môj pracovný e-mailový účet bol napadnutý, musím to nahlásiť

Napadnutá poštová schránka je väčšinou únik údajov, ohlasovanie závisí od následkov

Napadnutá firemná poštová schránka je v drvivej väčšine prípadov porušením v zmysle GDPR: ide o neoprávnený prístup k osobným údajom, a tento prístup vzniká prakticky vždy, keď sa niekto zvonku prihlási na konto s údajmi zákazníkov alebo kontaktmi v ňom. Tým je stanovené, že sa stalo niečo, čo spadá pod definíciu porušenia čo je presne únik údajov? Avšak toto nie je automaticky totožné s povinnosťou ohlasovať dohľadný orgán.

Či je ohlasovanie dohľadnému orgánu na mieste, závisí od rizika, ktoré porušenie predstavuje pre osoby, ktorých údaje boli v tej poštovej schránke — myslite na faktúry s adresami, ponuky s rodným číslami, alebo korešpondenciu s citlivým obsahom. Poštová schránka iba s obchodnými kontaktmi kolegov predstavuje iné riziko ako schránka plná klientskych súborov alebo lekárskej korešpondencie. Toto zvažovanie a kroky, ktoré k nemu patria, sú rozpracované na stránke o kedy musím ohlasovať únik údajov Úradu na ochranu osobných údajov?. Okrem ohlasovvania dohľadnému orgánu sa tiež ontstáva otázka, či by sa dotknuté osoby mali niečo dozvedieť, čo má samostatný rámec zvažovania.

Základ v GDPR: definícia porušenia a povinnosť ohlasovať

Základ je v článku 4 GDPR, ktorý definuje porušenie bezpečnosti osobných údajov ako prístup, stratu, zmenu alebo zničenie údajov, ku ktorému nemalo dôjsť — opisný text, pod ktorý zvyčajne spada napadnutá poštová schránka. Článok 33 GDPR na to nadväzuje podmienkou ohlasovenia dohľadnému orgánu: táto povinnosť ohlasovať platí, keď porušenie predstavuje riziko pre práva a slobody dotknutých osôb, s výnimkou, ak je také riziko oprávnene nepravdepodobné. Pokyny EDPB tento pojem rizika ďalej rozpracovávajú, a Úrad na ochranu osobných údajov ponúka na svojej stránke o únikoch údajov praktický sprievodca pre toto zvažovanie. Čo je v celej EÚ rovnaké: definícia a test rizika z nariadenia. Čo sa líši podľa krajiny, je dohľadný orgán, kde sa ohlásenie dostane — v Holandsku Úrad na ochranu osobných údajov, v iných členských štátoch dohľadný orgán tejto krajiny.