Môžem vyriešiť únik údajov sám?
Áno, veľkú časť hodnotenia a riešenia úniku údajov si môžete zvládnuť sami. GDPR neukladá predpoklad, že musí byť zapojený právnik alebo vonkajšia kancelária. Čo však nariadenie vyžaduje, je, aby ste únik rozpoznali, vyhodnotili, či predstavuje riziko pre osoby, ktorých údaje boli dotknuté, a — ak je to tak — včas ho nahlásili úradu na ochranu údajov a prípadne aj samotným dotknutým osobám.
Či to zvládnete samostatne, závisí najmä od rozsahu a zložitosti incidentu. Nesprávne odoslaná e-mailová správa s údajmi jedného zákazníka je niečo iné ako prerazený server s tisíckami zákaznícskych záznamov. Hranica medzi vlastným riešením a outsourcingom nie je daná zákonom, ale vašou vlastnou schopnosťou rýchlo a starostlivo zhodnotiť, čo sa stalo.
Čo si môžete vyhodnotiť sami
Prvá otázka v každom incidente je, či vôbec ide o únik údajov v zmysle GDPR: či boli osobné údaje stratené, pozrané osobou, ktorá na to nemá právo, alebo omylom zmenené alebo zničené? Toto hodnotenie si môžete perfektne urobić sami pomocou jasného zoznamu otázok. vidieť na pár otázok, kde sa nachádzate poskytuje prvú indikáciu bez toho, aby ste na to hneď potrebovali poradcu.
Ak je naozaj únik, nasleduje odhad rizika: predstavuje to nebezpečenstvo pre práva a slobody dotknutých osôb, napríklad preto, že citlivé údaje sú verejné alebo je možná krádež totožnosti? Aj toto zváženie je možné vykonať pri mnohých bežných situáciách na základe návrhov EDPB a výkladu, ktorý Úrad na ochranu údajov k tomu poskytuje. Dokument Poznatkovej základni s vysvetlením pre každú tému opisuje kritériá, ktoré pri tom zohrávajú úlohu, s odkazom na oficiálny text.
Samotné nahlásenie úradu na ochranu údajov je v praxi pre mnohé podniky tiež možné vykonať samy. Dozorný úrad na to má vlastný formulár na nahlásenie a informácie, ktoré sa vyžadujú — čo sa stalo, o aké údaje ide, koľko osôb bolo dotknutých a aké opatrenia boli prijaté — sú informácie, ktoré ako organizácia poznáte najlepšie vy sami.
Kedy je rozumné hľadať dodatočnú pomoc
V niektorých situáciách je vlastné riešenie náročnejšie. Ak ide o veľký počet dotknutých osôb, citlivé osobné údaje ako údaje o zdraví, alebo technický incident, ktorého rozsah nie je jasný, je vhodné nespoliehať sa len na vlastný odhad. To isté platí, keď má únik možné dôsledky v inom členskom štáte alebo keď nie je jasné, ktorý dozorný úrad je príslušný.
Aj informovanie samotných dotknutých osôb — namiesto iba dozorného úradu — vyžaduje starostlivosť. Tón, obsah a časovanie tej komunikácie do značnej miery určujú, ako ľudia reagujú, a zle formulovaná správa môže spôsobiť väčšie znepokojenie ako samotný incident. V takých prípadoch je vhodné poradiť sa s právnikom alebo kontaktovať Úrad na ochranu údajov, aby ste zistili správnu cestu.
Čo GDPR ukladá a čo nie
Nariadenie stanovuje lehotu, v rámci ktorej musí byť únik podliehajúci oznamovacím povinnostiam nahlásený dozornému úradu, a zaväzuje organizácie, aby si zaznamenali, k akým únikom údajov došlo, vrátane únnikov, ktoré netreba hlásať. Čo GDPR neukladá, je, kto v rámci vašej organizácie tento proces vykonáva. To znamená, že vlastné riešenie je povolené, pokiaľ výsledok spĺňa požiadavky zákona.
Zodpovednosť zostáva pri organizácii, aj keď je časť práce delegovaná poradcovi alebo agentúre. Nejde teda o to, aby ste všetko odovzdali a potom sa tým nezaoberal, ale o to, aby ste vedeli, aké kroky boli podniknuté a prečo.
Dokumentácia vždy patrí k tomu
Či to robíte sami alebo s podporou, dokumentácia je v oboch prípadoch nevyhnutná: čo sa stalo, kedy ste to zistili, aké zváženie ste vykonali týkajúce sa rizika a aké opatrenia boli prijaté na zabránenie opakovaniu. Táto dokumentácia nie je užitočná len pre dozorný orgán, ale aj pre vás, ak by sa podobný incident neskôr opakoval.
Ako by mala táto podpora vyzerať a aké zdroje sa pri nej používajú, možno čítať na stránke, odkiaľ pochádza informácia. Máte pochybnosti, či vaša situácia podlieha oznamovaciej povinnosti, vykonajte najskôr bezplatnú kontrolu a prečítajte si relevantné témy v knižnici vedomostí, kým sa rozhodnete. Ak chcete proces od rozpoznania až po vyriešenie štrukturálne zorganizovať, môžete sa prihlásiť na obchodný účet aby sa termíny a dokumentácia sledovali automaticky.