moj notebook so zákazníckymi údajmi bol ukradnutý čo mám teraz urobiť

Ukradnutý notebook s údajmi zákazníkov je zvyčajne porušením ochrany údajov

Ukradnutý firemný notebook s údajmi zákazníkov sa v prevažnej väčšine prípadov považuje za porušenie ochrany osobných údajov, ako to definuje článok 4 GDPR. Údaje sa dostávajú mimo kontrolu organizácie, a práve na to sa táto definícia zameriaňa — nezáleží na tom, či bol notebook ukradnutý z auta, tašky alebo kancelárie. To, čo sa na notebooku presne nachádzalo, a či boli údaje šifrované alebo iným spôsobom chránené, priamo vplýva na závažnosť situácie, ale samotná krádež je východiskom posúdenia. Podrobnejšie vysvetlenie toho, čo a čo nie je zahrnuté v tejto definícii, sa nachádza v stránke vedomostnej bázy o tom, čo je porušenie ochrany údajov presne.

Od okamihu zistenia prebiehajú súčasne dve veci: zisťovanie faktov (ktoré údaje, od koho, koľko osôb a či bolo použité šifrovanie) a otázka, či musí byť hlásené — regulačnému orgánu a prípadne aj samotným dotknutým osobám. Obe otázky závisia od rizika, ktoré predstavujú ukradnuté údaje pre ľudí, a práve toto riziko je dôvod, prečo sa prázdny alebo dobre zašifrovaný notebook posúduje inak ako notebook plný nešifrovaných zákazníckych záznamov. Ako toto posúdenie pri hlásení regulačnému orgánu funguje, je podrobne uvedené na stránke o tom, kedy musí byť porušenie ochrany údajov nahlásené Úradu na ochranu osobných údajov, a otázka, či by mal byť dotknutým osobám zaslané upozornenie, je na stránke o informovaní dotknutých osôb pri porušení ochrany údajov.

Na čom je to založené: článok 4, článok 32 a článok 33 GDPR

Definícia porušenia ochrany údajov je v článku 4 GDPR, povinnosť dostatočne chrániť údaje — vrátane rizika straty zariadenia — je v článku 32 a povinnosť hlásenia regulačnému orgánu je v článku 33. Tieto tri články sa uplatňujú priamo v celej EÚ, takže posúdenie, či je ukradnutý notebook hlásiteľným porušením ochrany údajov, prebieha všade podľa rovnakých pravidiel. To, čo sa však líši podľa krajiny, je regulačný orgán, kam sa hlásenie posiela: v Holandsku to je Úrad na ochranu osobných údajov, v iných členských štátoch národný regulačný orgán danej krajiny. Pokyny EDPB poskytujú ďalšie vysvetlenie, ako sa tieto články v praxi aplikujú, a Úrad na ochranu osobných údajov na svojej vlastnej stránke o porušeniach ochrany údajov poskytuje holandský komentár k rovnakým pravidlám.