Naruszenia ochrony danych osobowych stanową realne zagrożeniem dla firm i instytucji. Odpowiednie reagowanie na incydenty to nie tylko obowiązek prawny, ale i sposób na ochronę wizerunku organizacji. Z tego poradnika dowiesz się, jak zgłosić naruszenie ochrony danych osobowych oraz jak zgłosić naruszenie do UODO zgodnie z aktualnymi wytycznymi.
Czym jest naruszenie ochrony danych osobowych?
Naruszenie ochrony danych osobowych to każde zdarzenie skutkujące nieuprawnionym zniszczeniem, utratą, modyfikacją, ujawnieniem lub dostępem do danych osobowych. Zdarzenie takie może wynikać zarówno z błędu ludzkiego, awarii technicznej, jak i ataku cyberprzestępców.
Przykłady naruszeń:
- Wysłanie e-maila z danymi osobowymi do niewłaściwego odbiorcy.
- Kradzież laptopa z niezabezpieczonymi danymi klientów.
- Utrata bazy danych na skutek awarii serwera bez kopii zapasowej.
Zapraszamy do współpracy
Szczegółowe informacje o ofercie i warunkach współpracy można uzyskać telefonicznie lub wysyłając zapytanie za pomocą formularza kontaktowego.
Kiedy i jak zgłosić naruszenie ochrony danych osobowych?
RODO nakłada na administratora obowiązek zgłoszenia naruszenia ochrony danych osobowych do organu nadzorczego, czyli Prezesa Urzędu Ochrony Danych Osobowych (UODO), jeśli istnieje ryzyko naruszenia praw lub wolności osób, których dane dotyczą.
Kiedy zgłosić naruszenie?
Zgłoszenia należy dokonać bez zbędnej zwłoki, nie później niż w ciągu 72 godzin od stwierdzenia naruszenia. Jeżeli zgłoszenie nie nastąpi w tym terminie, należy podać uzasadnienie opóźnienia.
Jak zgłosić naruszenie do UODO?
- Wypełnij formularz zgłoszeniowy: UODO udostępnia dedykowany formularz online lub PDF dostępny na stronie uodo.gov.pl.
- Przygotuj wymagane informacje:
- charakter naruszenia,
- kategorie i przybliżona liczba osób, których dane dotyczą,
- kategorie i przybliżona liczba rekordów danych osobowych,
- możliwe konsekwencje naruszenia,
- środki zastosowane lub proponowane w celu zaradzenia naruszeniu.
- Złóż zgłoszenie elektronicznie lub pisemnie:
- poprzez ePUAP,
- osobiście w siedzibie UODO,
- pocztą tradycyjną.
- Pamiętaj o dokumentacji: Każde naruszenie, niezależnie od tego, czy zostało zgłoszone do UODO, powinno być dokumentowane wewnętrznie.
Jakie informacje zawrzeć w zgłoszeniu?
W zgłoszeniu powinny się znaleźć:
- Dane kontaktowe administratora lub Inspektora Ochrony Danych (IOD),
- Opis naruszenia,
- Kategorie danych osobowych,
- Ocena ryzyka dla praw i wolności osób fizycznych,
- Środki zaradcze podjęte lub planowane.
Jak zgłosić naruszenie ochrony danych osobowych wewnątrz organizacji?
Po wykryciu naruszenia należy:
- Zgłosić incydent wewnętrznie: pracownik powinien niezwłocznie poinformować Inspektora Ochrony Danych lub osobę odpowiedzialną za ochronę danych.
- Ocenić skalę naruszenia: sprawdzić, jakie dane wyciekły, ilu osób dotyczy naruszenie i jakie mogą być skutki.
- Opracować raport naruszenia: zawierający szczegółowe informacje, które będą podstawą do decyzji o zgłoszeniu naruszenia do UODO.
- Zabezpieczyć dowody: logi systemowe, e-maile, dokumenty związane z incydentem.
Sankcje za brak zgłoszenia naruszenia
Brak zgłoszenia naruszenia ochrony danych osobowych może skutkować nałożeniem administracyjnej kary pieniężnej do 10 milionów euro lub 2% rocznego światowego obrotu firmy, zgodnie z art. 83 RODO.
Jak zgłosić naruszenie do UODO? Najczęstsze błędy
- Zbyt późne zgłoszenie (przekroczenie 72 godzin).
- Niedostateczne opisanie naruszenia i ryzyk.
- Brak informacji o środkach zaradczych.
- Brak kontaktu do Inspektora Ochrony Danych.
Podsumowanie
Zgłaszanie naruszeń ochrony danych osobowych to obowiązek prawny i element budowania zaufania do organizacji. Wiedza o tym, jak zgłosić naruszenie ochrony danych osobowych oraz jak zgłosić naruszenie do UODO, jest kluczowa w zarządzaniu incydentami i ochronie interesów osób, których dane przetwarzamy.
Pamiętaj: lepiej zgłosić naruszenie i wykazać się należytą starannością niż ryzykować wysokimi karami i utratą reputacji.
Chcesz wiedzieć więcej o tym, jak przygotować organizację na ewentualne naruszenia? Skontaktuj się z nami lub sprawdź aktualne wytyczne UODO.
Jak zgłosić naruszenie ochrony danych osobowych – FAQ
Nie każde naruszenie wymaga zgłoszenia do UODO. Najpierw trzeba ocenić, czy zdarzenie może powodować ryzyko naruszenia praw lub wolności osób fizycznych. Jeżeli takie ryzyko istnieje, administrator powinien zgłosić naruszenie do Prezesa UODO. Nawet wtedy, gdy zgłoszenie nie jest konieczne, incydent należy opisać i udokumentować wewnętrznie.
Termin 72 godzin liczy się od momentu stwierdzenia naruszenia, czyli od chwili, gdy administrator uzyskał wystarczającą wiedzę, aby uznać, że doszło do naruszenia ochrony danych. Nie warto czekać na pełne wyjaśnienie wszystkich szczegółów. Jeżeli część informacji nie jest jeszcze dostępna, zgłoszenie można uzupełnić później.
Jeżeli zgłoszenie zostanie wysłane po upływie 72 godzin, należy wyjaśnić przyczyny opóźnienia. Warto przygotować opis działań podjętych od chwili wykrycia incydentu, wskazać, dlaczego zgłoszenie nie mogło zostać dokonane wcześniej, oraz pokazać, jakie środki zabezpieczające zostały wdrożone. W takich sytuacjach nasze biuro porad prawnych może pomóc w ocenie zdarzenia i przygotowaniu prawidłowego uzasadnienia dla organu.
Tak, ale tylko wtedy, gdy naruszenie może powodować wysokie ryzyko naruszenia praw lub wolności tych osób. Przykładem może być wyciek danych finansowych, medycznych, danych logowania albo dokumentów tożsamości. Komunikat powinien być jasny i zrozumiały. Powinien wskazywać, co się stało, jakie mogą być skutki naruszenia i co dana osoba może zrobić, aby ograniczyć ryzyko.
Wsparcie prawne warto rozważyć szczególnie wtedy, gdy naruszenie dotyczy dużej liczby osób, danych wrażliwych, dokumentów tożsamości, danych medycznych, finansowych albo incydentu cyberbezpieczeństwa. Pomagamy ocenić ryzyko, przygotować zgłoszenie do UODO, opracować komunikat dla osób, których dane dotyczą, oraz uporządkować dokumentację po incydencie.
| Redakcja BPPZ.pl
Najważniejsze informacje
- Naruszenie ochrony danych to każde zdarzenie skutkujące nieuprawnionym zniszczeniem, utratą, modyfikacją lub ujawnieniem danych – np. błędny e-mail, kradzież urządzenia.
- Administrator ma obowiązek zgłosić naruszenie do UODO bez zbędnej zwłoki, nie później niż w ciągu 72 godzin od jego stwierdzenia.
- Zgłoszenie wymaga wypełnienia dedykowanego formularza UODO i złożenia go przez ePUAP, osobiście lub pocztą.
- Dokument musi zawierać: charakter naruszenia, kategorie i liczbę danych, możliwe konsekwencje oraz podjęte środki zaradcze.
- Przed zgłoszeniem zewnętrznym organizacja powinna poinformować IOD, ocenić skalę naruszenia, sporządzić raport i zabezpieczyć dowody.
- Brak zgłoszenia naruszenia grozi karą do 10 mln euro lub 2% rocznego obrotu firmy.
