Co zrobić, gdy doszło do naruszenia bezpieczeństwa danych osobowych

Reforma ochrony danych osobowych (Rozporządzenie Parlamentu Europejskiego i Rady zacznie obowiązywać 25 maja 2018 r.; RODO) nakłada na administratorów danych nowe obowiązki.

Aktualizacja: 17.12.2017 10:29 Publikacja: 16.12.2017 23:01

Co zrobić, gdy doszło do naruszenia bezpieczeństwa danych osobowych

Foto: 123RF

RODO zdefiniował pojęcie „naruszenia ochrony danych osobowych" jako naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych przesyłanych, przechowywanych lub w inny sposób przetwarzanych. Postać naruszenia może mieć charakter zewnętrzny i wewnętrzny oraz dotyczyć danych w formie papierowej czy elektronicznej. Brak adekwatnej i niezwłocznej reakcji administratora może skutkować powstaniem uszczerbku fizycznego, szkód majątkowych lub niemajątkowych u osób fizycznych (kradzież, sfałszowanie tożsamości, strata finansowa, naruszenie poufności, szkody gospodarcze). Administrator powinien upewnić się, czy w związku z przetwarzaniem danych wdrożył techniczne i organizacyjne środki ochrony, a następnie dokonać oceny, czy naruszenie miało miejsce. Pozytywna weryfikacja skutkować powinna niezwłocznym powiadomieniem przez administratora organu nadzorczego. To nowum w stosunku do regulacji obowiązującej. O tym, czy zgłoszenia dokonano bez zbędnej zwłoki podlegać będzie ocenie z uwzględnieniem kryterium charakteru i wagi ochrony danych oraz niekorzystnych skutków dla osoby, której naruszenie dotyczy. Administrator powinien poinformować organ nie później niż w ciagu 72 godzin od stwierdzenia naruszenia chyba, że będzie w stanie wykazać małe prawdopodobieństwo ryzyka naruszenia praw lub wolności osób fizycznych. W przypadku przekroczenia terminu zgłoszenia na administratorze ciążyć będzie obowiązek udzielenia wyjaśnień, co do jego przyczyn. RODO nie pozostawia dowolności, co do formy zgłoszenia naruszenia, określając jego minimalne wymogi. I tak, administrator musi: opisać charakter naruszenia ochrony danych, wskazać kategorie i przybliżoną liczbę osób, których dane dotyczą, kategorie i przybliżoną liczbę wpisów danych, których dotyczy naruszenie; podać dane oraz kontaktowe inspektora ochrony danych lub oznaczenie innego punktu kontaktowego, od którego można uzyskać więcej informacji; opisać konsekwencje naruszenia; wskazać zastosowane lub proponowane przez administratora środki w celu zaradzenia naruszeniu ochrony danych. Obowiązek informowania o naruszeniach spoczywa też na podmiocie przetwarzającym, któremu na mocy umowy lub innego aktu powierzono przetwarzanie danych. To administrator ponosi odpowiedzialność za właściwą ochronę danych.

Miesięczny limit darmowych artykułów został wyczerpany

Teraz 4 zł za tydzień dostępu!

Czytaj 46% taniej przez 4 miesiące

Na bieżąco o tym, co ważne w kraju i na świecie. Czytaj bez ograniczeń artykuły z Rzeczpospolitej i wydania magazynowego Plus Minus.

Samorząd
Krzyże znikną z warszawskich urzędów. Trzaskowski podpisał zarządzenie
Prawo pracy
Od piątku zmiana przepisów. Pracujesz na komputerze? Oto, co powinieneś dostać
Praca, Emerytury i renty
Babciowe przyjęte przez Sejm. Komu przysługuje?
Spadki i darowizny
Ten testament wywołuje najwięcej sporów. Sąd Najwyższy wydał ważny wyrok
Sądy i trybunały
Sędzia WSA ujawnia, jaki tak naprawdę dostęp do tajnych danych miał Szmydt