GDPR určuje, že únik údajov, ktorý môže predstavovať riziko pre subjekty údajov, musí byť nahlásený Úradu na ochranu osobných údajov hneď, ako o ňom viete. Lehota na to je krátka: 72 hodín. Ak nenahlásите, alebo nahlásите neskoro, potom v tomto bode neplníte povinnosť vyplývajúcu z GDPR. Konkrétny význam toho závisí od situácie, a to je presne to, na čo ako redakcia nevyjadrujeme názor: to je na vás samotných, vašom právnikovi alebo dohľadnom orgáne.
Čo sa dá opísať: GDPR dáva Úradu na ochranu osobných údajov právomoci vyšetrovať únik údajov, ktorý bol nenahlásený alebo nahlásený neskoro, a reagovať naň. Aká bude reakcia a či bude nasledovať, nie je stanovené a nie je predvídateľné. Pre vás ako podnikateľa nie je teda otázka toľko "aká bude pokuta", ale skôr "čo musím zorganizovať, aby som mohol včas posúdiť, či je hlásenie potrebné".
Čo presne hlásitá povinnosť vyžaduje
GDPR rozlišuje medzi hlásením dohľadnému orgánu a hlásením samotným subjektom údajov. Prvá je na mieste v prípade únika, ktorý môže predstavovať riziko; druhá, závažnejšia varianta je na mieste v prípade vysokého rizika. Obe posúdenia musia prebehnúť rýchlo, a 72-hodinová lehota na dohľadný orgán začína běžať od chvíle, keď ste na únik údajov zistili, nie od chvíle, keď k nemu došlo. Kto toto rozlíšenie ešte nemá jasné, môže si ho prejsť v niekoľkých otázkach: vidí v piatich otázkach, kde sa nachádzate dáva priamo indikáciu, či je hlásenie potrebné.
Jadrom problému pri neskorom hlásení zvyčajne nie je zlá vôľa, ale čas strácaný na neistotu: kto má na to upozorniť, je to naozaj únik údajov v zmysle GDPR, a máme vôbec prehľad o tom, ktoré systémy obsahujú osobné údaje. Práve v tom spočíva hodnota registra operácií spracovania: bez prehľadu o vašich spracovaniach si overenie rozsahu únika bezúčelne berie čas z 72 hodín, ktoré máte.
Aj nenahlásenie si musíte vedieť obhájiť
Menej známym bodom je, že GDPR tiež vyžaduje, aby ste zaznamenali, keď sa rozhodli únik nenahlásíť, a prečo. Povinnosť odôvodnenia totiž platí pre samotné posúdenie, nie len pre hlásenie, ak k nemu dôjde. Únik, ktorý posúdite ako "bez rizika pre subjekty údajov" a ktorého posúdenie nikde neupevníte, je potom ťažké brániť, ak by sa vás na to pýtali. Príručky EDPB sa tým podrobne zaoberajú; zdroj a vysvetlenie sú k dispozícii v banke poznatkov podľa témy.
Následky, ktoré sa vzťahujú ďalej ako na dohľadný orgán
Mimo vzťahu s Úradom na ochranu osobných údajov sú ešte dve miesta, kde sa môže zneužitá hlásiteľná povinnosť objaviť. Prvou je zmluva o spracovaní údajov: ak spracovávate osobné údaje za klienta, často je v nej uvedená vlastná lehota na hlásenie, niekedy kratšia ako zákonných 72 hodín, a táto lehota potom platí popri GDPR. Druhou je samotný subjekt údajov: niekto, ktorého údaje boli uniklé a on si to zistí sám bez toho, aby ste to nahlásili, nemôže už získať späť to dôveru, čo je nezávislé od akejkoľvek právnej posúdenia.
Poisťovňa alebo zadávajúca strana, ktorá sa neskôr pýta, ako bol únik riešený, sa bude pozerať na to, či sa včas posúdil a, kde bolo potrebné, nahlásil. To je niečo iné ako pokuta, ale dotýka sa toho, čo je často dôvodom, aby sa privátnosť dala do poriadku: vedieť dokázať, že existuje proces, nielen že sa nikdy nič nestalo.
Prečo je čas často úzkym miestom
V praxi často nie je vôľa na hlásenie, ktorá chýba, ale rýchlosť, s ktorou sa organizácia dokáže zistiť, čo sa stalo, ktoré údaje sa to týka a kto je do toho zapojený. Systém, ktorý spustí 72-hodinovú lehotu hneď, keď sa zaregistruje možné porušenie bezpečnosti, zabráni tomu, aby sa tento čas strácal v interných diskusiách. Ako je takýto systém postavený a na čom sú informácie založené, je popísané na stránke o kde sa informácie berú.
Či je konkrétny incident u vás podľa povinnosti nahlásiť, ktorá lehota presne platí vo vašom prípade a aké sú dôsledky, ak bolo hlásenie zmeškaného, sa nedá odpovedať všeobecne. Na túto posúdenie je právnik alebo samotný Úrad na ochranu osobných údajov vhodným kontaktným miestom.
Chcete si najprv sami urobiť predstavu o tom, kde sa nachádzate, bez povinností? Bezplatná rýchla kontrola a znalostnú základňu vám dajú prvé indikácie podľa témy, vrátane odkazu na oficiálny text.