zgubiłem pendrive'a z danymi klientów, czy to naruszenie bezpieczeństwa danych

Zagubiony pendrive USB to zwykle naruszenie danych

Pendrive USB z danymi klientów, który zaginął, to w większości przypadków naruszenie danych w rozumieniu RODO. Definicja zawarta w artykule 4 RODO mówi o naruszeniu bezpieczeństwa, które prowadzi do utraty danych osobowych, i to jest dokładnie to, co się dzieje, gdy pendrive z nazwiskami, adresami lub innymi danymi klientów nie może być znaleziony: dane nie zostały zniszczone, ale wyszły spod kontroli przedsiębiorstwa. To, czy trafią też w złe ręce, nie jest istotą pytania — utrata kontroli wystarczy, aby wpaść pod tę definicję.

To, co się dzieje dalej, zależy od tego, co było na pendrივie i jak był zabezpieczony. Zaszyfrowany pendrive z ograniczonym zestawem danych daje inny obraz niż niezabezpieczony pendrive z wieloma danymi klientów lub wrażliwymi informacjami. To rozróżnienie jest istotne dla pytania kiedy muszę zgłosić naruszenie danych właściwemu organowi nadzorczemu, i także dla pytania, czy sami klienci coś powinni wiedzieć — to pytanie opisane jest na stronie dotyczącej czy muszę powiadomić osoby, których dane dotyczą, o naruszeniu danych. Aby zrozumieć różnicę między zdarzeniem a naruszeniem danych w szerszym sensie, strona czym dokładnie jest naruszenie danych to logiczny punkt wyjścia.

Na czym to się opiera

Definicja naruszenia znajduje się w artykule 4 RODO, a artykuł 33 RODO reguluje powiadomienie właściwego organu nadzorczego, gdy spełnione są warunki tego wymagające. Urząd Ochrony Danych Osobowych opracowuje to dalej na swojej stronie dotyczącej zgłaszania naruszeń danych, a RODO opublikował wytyczne zawierające przykłady rodzajów naruszeń danych, w tym utraty nośników danych. Obowiązek powiadomienia dotyczy całej Unii Europejskiej na podstawie rozporządzenia, ale miejsce, w którym się zgłasza, różni się w zależności od kraju: w Holandii jest to Urząd Ochrony Danych Osobowych, w innych państwach członkowskich — właściwy tam organ nadzorczy.