Hlášení incidentů (úniků dat) v žádném případě nezakládá automatické uložení pokuty.

Naopak včasné nahlášení incidentu po poradě s DPO je jednou z činností, která Vás může od udělení pokuty ochránit.

V opačném případě při pokusu o nenahlášení incidentu bude toto bráno dozorovým orgánem jako hrubé porušení GDPR a bude hrozit maximalizace pokuty.

Ohlašování případů porušení zabezpečení osobních údajů dozorovému úřadu

• Jakékoli porušení zabezpečení osobních údajů správce bez zbytečného odkladu a pokud možno do 72 hodin od okamžiku, kdy se o něm dozvěděl, ohlásí dozorovému úřadu, ledaže je nepravděpodobné, že by toto porušení mělo za následek riziko pro práva a svobody fyzických osob. Pokud není ohlášení dozorovému úřadu učiněno do 72 hodin, musí být současně s ním uvedeny důvody tohoto zpoždění.
• Jakmile zpracovatel zjistí porušení zabezpečení osobních údajů, ohlásí je bez zbytečného odkladu správci.
• Ohlášení musí obsahovat:
• Popis povahy daného případu porušení zabezpečení osobních údajů včetně, pokud je to možné, kategorií a přibližného počtu dotčených subjektů údajů a kategorií a přibližného množství dotčených záznamů osobních údajů.
• Jméno a kontaktní údaje pověřence pro ochranu osobních údajů nebo jiného kontaktního místa, které může poskytnout bližší informace.
• Popis pravděpodobných důsledků porušení   zabezpečení osobních údajů.
• Popis opatření, která správce přijal nebo navrhl k přijetí s cílem vyřešit dané porušení zabezpečení osobních údajů, včetně případných opatření ke zmírnění možných nepříznivých dopadů.
• Není-li možné poskytnout informace současně, mohou být poskytnuty postupně bez dalšího zbytečného odkladu.
• Správce dokumentuje veškeré případy porušení zabezpečení osobních údajů, přičemž uvede skutečnosti, které se týkají daného porušení, jeho účinky a přijatá nápravná opatření. Tato dokumentace musí dozorovému úřadu umožnit ověření souladu s tímto článkem.

Oznamování případů porušení zabezpečení osobních údajů subjektu údajů

• Pokud je pravděpodobné, že určitý případ porušení zabezpečení osobních údajů bude mít za následek vysoké riziko pro práva a svobody fyzických osob, oznámí správce toto porušení bez zbytečného odkladu subjektu údajů.
• V oznámení určeném subjektu údajů se za použití jasných a jednoduchých jazykových prostředků popíše povaha porušení zabezpečení osobních údajů.

Oznámení subjektu údajů se nevyžaduje, je-li splněna kterákoli z těchto podmínek :

• Správce zavedl náležitá technická a organizační ochranná opatření a tato opatření byla použita u osobních údajů dotčených porušením zabezpečení osobních údajů, zejména taková, která činí tyto údaje nesrozumitelnými pro kohokoli, kdo není oprávněn mít k nim přístup, jako je například šifrování.
• Správce přijal následná opatření, která zajistí, že se vysoké riziko pro práva a svobody subjektů údajů již pravděpodobně neprojeví.
• Oznámení by vyžadovalo nepřiměřené úsilí. V takovém případě musí být subjekty údajů informováni stejně účinným způsobem pomocí veřejného oznámení nebo podobného opatření.
• Jestliže správce dotčenému subjektu údajů porušení zabezpečení osobních údajů ještě neoznámil, může dozorový úřad po posouzení pravděpodobnosti toho, že dané porušení bude mít za následek vysoké riziko, požadovat, aby tak učinil.

Vzhledem k naléhavosti hlášení incidentů do 72 hodin za vás začneme neprodleně jednat s Úřadem na ochranu osobních údajů, abychom minimalizovali veškeré možné dopady.