som USB kľúč so zákazníckymi údajmi stratil je to porušenie bezpečnosti údajov

Stratená USB-stick je zvyčajne únik údajov

USB-stick s údajmi zákazníkov, ktorá sa stratila, je v najpočastejších prípadoch únik údajov v zmysle GDPR. Definícia v článku 4 GDPR hovorí o porušení bezpečnosti, ktoré vedie k strate osobných údajov, a to je práve to, čo sa stane, keď sa stick s menami, adresami alebo inými údajmi zákazníkov nenájde — údaje nie sú zničené, ale dostali sa mimo kontrolu podniku. To, či údajom hrozí riziko dostať sa do nesprávnych rúk, nie je jadrom otázky — strata kontroly je na to už dosť, aby spadala pod túto definíciu.

To, čo sa stane potom, závisí od toho, čo sa nachádzalo na stick-u a ako bola zabezpečená. Zašifrovaná stick s obmedzeným súborom údajov poskytuje iný obraz ako nechránená stick s mnohými údajmi zákazníkov alebo citlivými informáciami. Toto rozlíšenie je relevantné pre otázku kedy musím oznámiť únik údajov dozorvému orgánu, a tiež pre otázku, či by sa zákazníci mali o tom dozvediť — táto otázka je popísaná na stránke o musím informovať dotknuté osoby o úniku údajov. Pre rozlíšenie medzi incidentom a únikom údajov v širšom zmysle je stránka čo je únik údajov presne logickým východiskom.

Na čom sa to zakladá

Definícia porušenia bezpečnosti je uvedená v článku 4 GDPR a článok 33 GDPR upravuje oznamovanie dozornému orgánu hneď, keď sú splnené podmienky. Dozorný orgán to ďalej rozpracúva na svojej stránke o oznamovaní únikov údajov a EDPB zverejnil usmernenia s príkladmi typov únikov údajov, vrátane straty dátových médií. Povinnosť hlásenia platí všade v EÚ na základe nariadenia, ale miesto, kde sa hláša, sa líši podľa krajiny — na Slovensku je to dozorný orgán určený v tejto krajine.