Czy mogę sam poradzić sobie z naruszeniem ochrony danych?
Tak, większość oceny i obsługi naruszenia ochrony danych pan może przeprowadzić sam. RODO nie stanowi, że należy angażować prawnika lub biuro zewnętrzne. To, co wymaga rozporządzenie, to aby pan rozpoznał naruszenie, ocenił czy stwarza ono ryzyko dla osób, których dane zostały ujawnione, oraz — jeśli tak jest — w odpowiednim czasie zawiadomił Urząd Ochrony Danych Osobowych i ewentualnie samych zainteresowanych.
Czy pan to może zrobić samodzielnie, zależy przede wszystkim od zakresu i złożoności incydentu. Błędnie wysłana wiadomość e-mail z danymi jednego klienta to co innego niż zhakowany serwer zawierający tysiące akt klientów. Granica między działaniem samodzielnym a outsourcingiem nie wynika z prawa, ale z pana zdolności do szybkiej i starannej oceny tego, co się stało.
Co pan może ocenić samodzielnie
Pierwsze pytanie przy każdym incydencie to czy w ogóle dochodzi do naruszenia ochrony danych w rozumieniu RODO: czy dane osobowe zostały utracone, dostęp do nich uzyskała osoba, która do tego nie miała uprawnienia, lub czy przypadkowo zostały zmienione lub zniszczone? Taką ocenę pan może przeprowadzić samodzielnie za pomocą przejrzystej listy kontrolnej. w kilku pytaniach zobaczyć swoją sytuację stanowi pierwszą orientację bez konieczności zaangażowania doradcy.
Jeśli naruszenie rzeczywiście miało miejsce, następuje ocena ryzyka: czy stwarza ono zagrożenie dla praw i wolności zainteresowanych osób, na przykład dlatego że wrażliwe dane trafiły w niepowołane ręce lub możliwe jest oszustwo tożsamości? Taką ocenę można w wielu typowych sytuacjach przeprowadzić na podstawie wytycznych EDPB i wyjaśnień udzielanych przez Urząd Ochrony Danych Osobowych. bazie wiedzy z objaśnieniami dla każdego tematu opisuje kryteria, które tutaj odgrywają rolę, wraz ze wskazaniem źródła w tekście obowiązującego aktu.
Faktyczne zawiadomienie Urzędu Ochrony Danych Osobowych może w praktyce przeprowadzić też wiele firm samodzielnie. Organ nadzoru ma do tego celu własny formularz zawiadomienia, a informacje, które są wymagane — co się stało, jakie dane to dotyczy, ile osób zostało poszkodowanych i jakie podjęto środki — to informacje, które jako organizacja pan zna najlepiej.
Kiedy warto szukać dodatkowej pomocy
W kilku sytuacjach samodzielna obsługa staje się trudniejsza. Jeśli chodzi o dużą liczbę zainteresowanych osób, o wrażliwe dane osobowe takie jak dane dotyczące zdrowia, lub o incydent techniczny którego zakres jest jeszcze niejasny, zaleca się nie polegać tylko na własnej ocenie. To samo dotyczy sytuacji gdy naruszenie może mieć skutki w innym państwie członkowskim, lub gdy niejasne jest który organ nadzoru jest właściwy.
Powiadomienie samych zainteresowanych osób — zamiast tylko organu nadzoru — wymaga również staranności. Ton, treść i moment tej komunikacji w pewnej mierze decydują o reakcji ludzi, a źle sformułowana wiadomość może spowodować więcej niepokoju niż sam incydent. W takich przypadkach warto zasięgnąć porady prawnika lub skontaktować się z Urzędem Ochrony Danych Osobowych w celu ustalenia właściwego postępowania.
Co RODO nakazuje, a co nie
Rozporządzenie stanowi termin w jakim naruszenie podlegające obowiązkowi zawiadomienia musi być zgłoszone organowi nadzoru, i zobowiązuje organizacje do dokumentowania jakie naruszenia ochrony danych miały miejsce, w tym naruszenia, które nie podlegają obowiązkowi zawiadomienia. To czego RODO nie stanowi, to kto w ramach pana organizacji prowadzi ten proces. Oznacza to że samodzielna obsługa jest dozwolona, o ile wynik spełnia to co wymaga prawo.
Odpowiedzialność pozostaje u organizacji, nawet jeśli część pracy zostaje zlecona doradcy lub biuru. To nie jest więc kwestia przekazania wszystkiego i nieinteresowania się tym dalej, ale znania, jakie kroki zostały podjęte i dlaczego.
Dokumentowanie zawsze jest niezbędne
Niezależnie od tego, czy robisz to sam, czy otrzymujesz wsparcie, dokumentowanie jest w obu przypadkach konieczne: co się stało, kiedy to odkryłeś, jaką ocenę ryzyka dokonałeś, oraz jakie środki podjęto, aby zapobiec powtórzeniu się. Ta dokumentacja jest nie tylko przydatna dla organu nadzoru, ale także dla ciebie, gdyby podobny incydent miał miejsce później.
Jak ta ocena powinna wyglądać i jakie źródła należy przy tym wykorzystać, można przeczytać na stronie, z której pochodzą informacje. Jeśli wątpisz, czy Twoja sytuacja podlega obowiązkowi zgłoszenia, najpierw wykonaj darmową weryfikację i przeczytaj odpowiednie tematy w bazie wiedzy przed podjęciem decyzji. Jeśli chcesz strukturalnie uregulować proces od wykrycia do rozwiązania, możesz zalogować się na konto biznesowe aby automatycznie śledzić terminy i dokumentowanie.