Povinnost ohlašování případů porušení zabezpečení osobních údajů dozorovému úřadu

Správce je povinen za podmínek stanovených obecným nařízením o ochraně osobních údajů ohlásit příslušnému dozorovému úřadu porušení zabezpečení osobních údajů. Jak má takové ohlášení v praxi vypadat? Inspiraci může poskytnout jak formulář slovenského Úradu na ochranu osobných údajov, tak příručka vydaná španělským dozorovým úřadem (Agencia Española de Protección de Datos).

Povinnost ohlášení

​Správce je dle čl. 33 odst. 1 nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (dále jen “GDPR”) povinen ohlásit příslušnému dozorovému úřadu jakékoli porušení zabezpečení osobních údajů, a to bez zbytečného odkladu a pokud možno do 72 hodin od okamžiku, kdy se o něm dozvěděl. Nemusí tak učinit, pokud je nepravděpodobné, že by toto porušení mělo za následek riziko pro práva a svobody fyzických osob.

​Pokud není ohlášení dozorovému úřadu učiněno do 72 hodin, musí být současně s ním uvedeny důvody tohoto zpoždění

Povinnost ohlášení se vztahuje i na zpracovatele. Jakmile zpracovatel zjistí porušení zabezpečení osobních údajů, je povinen je dle čl. 33 odst. 2 GDPR ohlásit bez zbytečného odkladu správci.

Co musí ohlášení obsahovat?

Ohlášení případu porušení zabezpečení osobních údajů musí dle čl. 33 odst. 3 GDPR přinejmenším obsahovat:

• popis povahy daného případu porušení zabezpečení osobních údajů včetně, pokud je to možné, kategorií a přibližného počtu dotčených subjektů údajů a kategorií a přibližného množství dotčených záznamů osobních údajů,
• jméno a kontaktní údaje pověřence pro ochranu osobních údajů nebo jiného kontaktního místa, které může poskytnout bližší informace,
• popis pravděpodobných důsledků porušení zabezpečení osobních údajů,
• popis opatření, která správce přijal nebo navrhl k přijetí s cílem vyřešit dané porušení zabezpečení osobních údajů, včetně případných opatření ke zmírnění možných nepříznivých dopadů.

Jak má v praxi ohlášení vypadat?

Jak přesně má ohlášení případu porušení zabezpečení osobních údajů dozorovému úřadu vypadat? Inspirovat se je možné u slovenského dozorového úřadu (Úrad na ochranu osobných údajov), který zveřejnil na svých webových stránkách formulář, prostřednictvím kterého je možné ohlašovat případy porušení zabezpečení osobních údajů. Formulář je dostupný zde.

​Španělský dozorový úřad (Agencia Española de Protección de Datos) vydal příručku, která podrobně popisuje, jak postupovat v případě porušení zabezpečení osobních údajů, tedy jak porušení identifikovat, vyhodnocovat, ohlašovat a jak na něj reagovat. Příručka je dostupná zde.