Kedy musím nahlásiť únik údajov Úradu na ochranu osobných údajov?

Hlásenie je hlavné pravidlo, pokiaľ nie je riziko nepravdepodobné

Únik údajov hlásite dozornej autorite čím skôr, keď je pravdepodobné, že únik predstavuje riziko pre práva a slobody osôb, ktorých údaje boli dotknuté. To je podstatou článku 33 GDPR: hlásenie je východiskom a len keď je rozumne preukazateľné, že k žiadnemu riziku nedôjde, sa takéto hlásenie nevyžaduje. V praxi to znamená, že väčšina únikov údajov — nesprávne poslané e-maily s údajmi zákazníkov, ukradnutý notebook, hackerský útok na databázu — podliehajú povinnosti hlásenia, zatiaľ čo únik, ktorý evidentne nemôže nikoho postihnúť (napríklad preto, že údaje boli zašifrované a kľúč nebol odcudzený), môže byť vylúčený.

Pri tejto úvahe sa pozeráte na to, čo sa presne stalo, ktorých údajov sa to týka a kto by mohol byť postihnutý. Špeciálne kategórie údajov, finančné údaje alebo údaje detí majú väčšiu váhu ako osamotená e-mailová adresa. Lehota 72 hodín z článku 33 GDPR začína plynúť od okamihu, keď si uvedomíte únik, nie od okamihu, keď vznikol — tieto dva momenty sa niekedy líšia o týždne. Rozhodovací strom, ktorý túto úvahu krok za krokom prejde, nikdy nie je náhradou za vlastný úsudok o konkrétnom úniku, ale pomáha štruktúrovane prejsť otázkou "hlásiteľný alebo nie".

Kde to vyplýva z článku 33 GDPR a smerníc EDPB

Samotná povinnosť hlásenia je obsiahnutá v článku 33 GDPR; konkrétne vymedzenie pojmov ako "riziko" a "bez zbytočného odkladu" vychádza zo smerníc EDPB o hlásení únikov údajov a Úrad na ochranu osobných údajov to vysvetľuje pre nederlandskú prax. GDPR sa uplatňuje priamo v každom členskom štáte, ale na to, komu hlásiteľ hlási, sa to líši: v Holandsku je to hlásiteľňa Úradu na ochranu osobných údajov, jedinou dozornou autoritou pre celú krajinu. V Nemecku hlásiteľ hlási dozornej autorite spolkovej krajiny, kde sa nachádza prevádzková strediska, pretože tam pôsobí šestnásť štatnych dozorných autorít vedľa federálnej dozornej autority.