RODO stanowi, że naruszenie danych osobowych, które może stanowić ryzyko dla osób, których dane dotyczą, musi być zgłoszone Prezesowi Urzędu Ochrony Danych Osobowych niezwłocznie po otrzymaniu wiadomości o naruszeniu. Okres na dokonanie zgłoszenia jest krótki: 72 godziny. Jeśli nie dokonasz zgłoszenia lub dokonasz go zbyt późno, w tym zakresie nie spełniasz obowiązku wynikającego z RODO. To, co to konkretnie oznacza, zależy od sytuacji, i właśnie dlatego jako redakcja nie zajmujemy stanowiska: to zależy od Ciebie, Twojego prawnika lub organu nadzoru.
To, co można opisać, to: RODO przyznaje Prezesowi Urzędu Ochrony Danych Osobowych uprawnienia do prowadzenia postępowania wyjaśniającego w sprawie naruszenia danych, które nie zostało zgłoszone lub zostało zgłoszone zbyt późno, oraz do podjęcia działań w odpowiedzi. Jakie to będą działania i czy zostaną podjęte, nie jest ustalone i nie można tego przewidzieć. Dla Ciebie jako przedsiębiorcy pytanie nie brzmi więc tyle "jaka jest kara", ile "co muszę zorganizować, aby mieć czas na ocenę, czy zgłoszenie jest konieczne".
Co dokładnie wymaga obowiązek zgłaszania
RODO rozróżnia zgłoszenie organowi nadzoru i zgłoszenie samym osobom, których dane dotyczą. Pierwsze ma miejsce w przypadku naruszenia, które może stanowić ryzyko; drugie, bardziej dotkliwe, ma miejsce w przypadku wysokiego ryzyka. Obie oceny muszą dokonane być szybko, a 72-godzinny termin dla organu nadzoru rozpoczyna się od momentu, w którym odkryłeś naruszenie, a nie od momentu, w którym do niego doszło. Kto jeszcze nie wyjaśnił sobie tego rozróżnienia, może to zrobić na podstawie kilku pytań: w pięciu pytaniach zobacz, gdzie stoisz daje bezpośrednią wskazówkę, czy zgłoszenie jest konieczne.
Istota problemu opóźnionego zgłoszenia zwykle nie leży w złej woli, ale w czasie, który traci się na brak jasności: kto ma się tym zająć, czy to faktycznie naruszenie danych w rozumieniu RODO, i czy w ogóle mamy przegląd, które systemy zawierają dane osobowe. To ostatnie to dokładnie miejsce, gdzie rejestr przetwarzania danych wykazuje swoją wartość: bez przeglądu przetwarzania danych, ustalenie zakresu naruszenia pochłania niepotrzebnie dużo z 72 godzin, które masz.
Również brak zgłoszenia musisz móc uzasadnić
Mniej znany punkt to fakt, że RODO wymaga również udokumentowania sytuacji, w której decydujesz się nie zgłaszać naruszenia, i dlaczego. Obowiązek dokumentowania dotyczy bowiem samej oceny, nie tylko zgłoszenia, jeśli do niego dojdzie. Naruszenie, które oceniasz jako "bez ryzyka dla osób, których dane dotyczą" i którego ocenę nigdzie nie dokumentujesz, trudno będzie później uzasadnić, jeśli będzie o to pytanie. Wytyczne EDPB szczegółowo się tutaj rozwijają; źródło i wyjaśnienie można znaleźć w bazie wiedzy według tematów.
Skutki wykraczające poza organ nadzoru
Poza relacją z Prezesem Urzędu Ochrony Danych Osobowych są jeszcze dwa miejsca, gdzie może się pojawić pominięte zgłoszenie. Pierwsze to umowa o przetwarzaniu: jeśli przetwarzasz dane osobowe dla klienta, często zawiera ona własny termin zgłoszenia, czasami krótszy niż ustawowe 72 godziny, i ten termin obowiązuje wtedy dodatkowo do RODO. Drugie to sama osoba, której dane dotyczą: ktoś, czyje dane wyciekły i który się o tym dowie bez Twojego zgłoszenia, nie będzie już w stanie odzyskać tego zaufania, co jest niezależne od jakiejkolwiek oceny prawnej.
Również ubezpieczyciel lub zamawiający, który później pyta, jak naruszenie było obsługiwane, patrzą na to, czy dokonano oceny w terminie i, gdzie było to konieczne, czy zgłoszono. To coś innego niż kara, ale to dotyczy również tego, co jest zwykle powodem do porządkowania kwestii ochrony danych: wykazanie, że istnieje proces, nie tylko że nigdy nic nie poszło nie tak.
Dlaczego zegar jest często wąskim gardłem
W praktyce rzadko brakuje woli do zgłoszenia, ale szybkości, z jaką organizacja może ustalić, co się stało, które dane to dotyczy i kto jest zaangażowany. System, który uruchamia 72-godzinny limit od momentu zarejestrowania możliwego wycieku, zapobiega zmarnowaniu tego czasu na wewnętrzne dyskusje. Jak taki system jest zbudowany i na jakich informacjach się opiera, opisano na stronie poświęconej gdzie pochodzą informacje.
Czy konkretny incydent u Pana/Pani podlega obowiązkowi zgłoszenia, jaki dokładnie limit czasowy ma zastosowanie w Pana/Pani przypadku i jakie są konsekwencje, jeśli zgłoszenie zostało pominięte, nie da się odpowiedzieć w ujęciu ogólnym. Do dokonania tej oceny właściwym punktem kontaktowym jest prawnik lub sam Urząd Ochrony Danych Osobowych.
Chce Pan/Pani najpierw sam/sama uzyskać obraz swojej sytuacji, bez zobowiązań? Bezpłatna szybka ocena i baza wiedzy dają wstępne wskazanie dla każdego tematu, łącznie z lokalizacją w tekście urzędowym.