Oznámenie porušenia ochrany údajov Úradu na ochranu osobných údajov samotné nič nestojí: neplatia sa žiadne poplatky ani ústredne. Náklady sú v tom, čo sa deje okolo: zistenie, čo presne sa stalo, informovanie dotknutých osôb, prípadné technické opravy a čas, ktorý to všetko vyžaduje od vašej organizácie. Ako vysoké to bude, silne závisí od rozsahu porušenia, typu údajov a toho, či ste už mali proces pred tým, ako sa niečo pokazilo.
Neexistuje žiadna pevná suma za "porušenie ochrany údajov", pretože žiadne dve porušenia nie sú rovnaké. Chybne odoslaný e-mail s kontaktnými údajmi jedného zákazníka vyžaduje niečo iné ako vniknutie do systému s personálnymi spismi sto zamestnancov. Položky nákladov sú však vždy v rovnakých kategóriách; len rozsah sa líši.
Zdroje nákladov
Prvou položkou nákladov je interný čas: niekto musí zistiť, čo sa stalo, ktoré údaje boli postihnuté a či sa zákonná lehota sedemdesiatdvoch hodín na oznámenie Úradu na ochranu osobných údajov blíži. Tieto hodiny sa často podceňujú, najmä ak neexistuje pevný kontaktný bod alebo proces a viacero ľudí súčasne pozerá na ten istý incident.
Navyše môže byť potrebná externá pomoc: poskytovateľ IT, ktorý musí porušenie technicky uzavrieť, forenzný vyšetrovateľ pri väčšom vniknutí, alebo právny poradca, ktorý sa pozerá na otázku, či a ako sa má ohlasovať. Nie každé porušenie ochrany údajov vyžaduje všetky tieto prvky, ale pri vážnejšom incidente sa tieto náklady rýchlo narastajú.
Aj informovanie dotknutých osôb si vyžaduje čas a niekedy peniaze: spracovanie starostlivého a zrozumiteľného listu alebo e-mailu, odpoveď na otázky, ktoré z toho vyplynú, a v niektorých prípadoch ponúknutie určitej formy náhrady, ako je nový prístupový kód alebo bezplatná služba. Rozhodovací strom na v niekoľkých otázkach vidíte, či a ako musíte ohlasovať pomáha pri precizácii prvého kroku, aby ste nestrácali čas zbytočným váhaním.
Čo určuje výšku
Najdôležitejším faktorom je rozsah: koľko ľudí je postihnutých a aké citlivé sú údaje. Porušenie s menami a e-mailovými adresami sa líši od porušenia s finančnými údajmi alebo zdravotnými údajmi. Pokyny EDPB a samotný GDPR spomínajú tieto rizikové faktory ako východisko pre hodnotenie, nie ako výpočtový vzorec pre sumu.
Druhým faktorom je, ako rýchlo sa porušenie objaví a ako jasné je, kto za čo zodpovedá. Ak je v dohode so spracovateľom už stanovené, koho musí poskytovateľ upozorniť a v akej lehote, šetrí to pracovný čas v momente, keď sa niečo pokazí. Ak táto dohoda neexistuje, incident sám si vyžaduje viac času na pochopenie, ešte predtým, ako sa začne s obnovou.
Tretím faktorom je, či má vaša organizácia už stanovený proces: pevný akčný plán, zoznam osôb, ktoré majú byť upozornené, a miesto, kde sú zaregistrované predchádzajúce incidenty. Bez toho musí sa pri každom incidente znova vymyslieť, kto čo robí, čo si vyžaduje čas aj pokoj v momente, keď sú oba vzácne.
Samotné oznámenie je bezplatné, príprava nie
Je dobré mať toto rozlíšenie jasné: oznamovacia povinnosť voči Úradu na ochranu osobných údajov so sebou nenesie žiadne náklady, ale jej správne vykonanie áno. Kto musí určiť, či musí byť incident oznámený v rámci zákonnej lehoty a čo v ňom presne musí byť, potrebuje na to čas. Prehľad toho, čo patrí do oznámenia a aké podklady zvyčajne potrebujete, je popísaný v Poznatkovej základni s vysvetlením pre každú tému.
Veľa z týchto nákladov nie je jednorazových, ale opakujúcich sa, jednoducho preto, že úniky údajov nie sú plánované a môžu sa vyskytnúť aj po rokoch znova. Z tohto dôvodu sa niektoré organizácie rozhodujú nechať si hodiny, kroky a zaznamenávanie spracovať v systéme namiesto toho, aby to zakaždým ručne rekonštruovali. Čo takéto predplatné stojí a čo mu zodpovedá, vidíte na stránke s cenami s rozdelením po jednotlivých položkách.
Vopred zaznamenané údaje šetria neskôr
Najväčšia úspora nákladov zvyčajne nie je v samotnom incidente, ale v príprave naň: aktuálny register spracovateľských činností, jasné dohody s dodávateľmi a určitý kontaktný bod zabezpečujú, že únik údajov trvá menej času na posúdenie a vyriešenie. Často kladené otázky o tom, čo je a nie je v tomto prípade povinné, sú zhromaždené na stránke s odpoveďami na otázky, ktoré si kladú aj iní podnikatelia.
Chcete si pre vašu vlastnú situáciu urobiť prvý obraz o tom, kde stojíte? Bezplatná rýchla kontrola vám v niekoľkých otázkach poskytne indikáciu bez potreby účtu.