Účtovníčka pošle mzdové listy všetkých zamestnancov omylom externému dodávateľovi. Obchodníkovi ukradnú z auta nezašifrovaný notebook so zoznamom klientov. E-shop ráno zistí, že útočník stiahol databázu zákazníkov. V každom z týchto prípadov ide o porušenie ochrany osobných údajov a začína plynúť lehota na reakciu prevádzkovateľa podľa GDPR. Rozhodnutia prijaté v prvých hodinách potom určujú, ako na incident pozrie úrad aj dotknutí ľudia.
Čo je porušenie ochrany osobných údajov
GDPR zaň považuje porušenie bezpečnosti, ktoré vedie k náhodnému alebo nezákonnému zničeniu, strate, zmene alebo neoprávnenému poskytnutiu osobných údajov, prípadne k neoprávnenému prístupu k nim (čl. 4 bod 12). Nemusí ísť o hackerský útok. Chybne adresovaný e-mail, stratený kľúč USB či omylom verejne zdieľaný dokument sú porušením rovnako ako únik databázy.
Oznámenie úradu
GDPR určuje lehotu aj výnimku z povinnosti oznámiť porušenie úradu.
V prípade porušenia ochrany osobných údajov prevádzkovateľ bez zbytočného odkladu a podľa možnosti najneskôr do 72 hodín po tom, čo sa o tejto skutočnosti dozvedel, oznámi porušenie ochrany osobných údajov dozornému orgánu príslušnému podľa článku 55 s výnimkou prípadov, keď nie je pravdepodobné, že porušenie ochrany osobných údajov povedie k riziku pre práva a slobody fyzických osôb. Ak oznámenie nebolo dozornému orgánu predložené do 72 hodín, pripojí sa k nemu zdôvodnenie omeškania.
Pre firmu pôsobiacu len na Slovensku je príslušným orgánom Úrad na ochranu osobných údajov Slovenskej republiky. Lehota plynie už od okamihu, keď sa prevádzkovateľ o porušení dozvie, bez čakania na jeho úplné prešetrenie. Ak porušenie pravdepodobne nepovedie k riziku pre ľudí, oznámenie netreba podať. Toto posúdenie však musí byť odôvodnené a zapísané. Ak všetky informácie nie sú hneď k dispozícii, možno ich oznamovať postupne (čl. 33 ods. 4).
Oznámenie obsahuje najmä opis povahy porušenia vrátane kategórií a približného počtu dotknutých osôb a záznamov, kontakt na zodpovednú osobu alebo iné kontaktné miesto, opis pravdepodobných následkov a prijatých alebo navrhovaných opatrení (čl. 33 ods. 3). Každé porušenie, aj to, ktoré sa neoznamuje, musí prevádzkovateľ zdokumentovať tak, aby úrad mohol neskôr overiť, že postupoval správne (čl. 33 ods. 5).
Ak k porušeniu dôjde u sprostredkovateľa, napríklad u poskytovateľa cloudu či mzdovej agentúry, sprostredkovateľ musí prevádzkovateľovi oznámiť porušenie bez zbytočného odkladu (čl. 33 ods. 2). Keďže lehota prevádzkovateľa beží až od jeho vedomosti, oplatí sa v zmluve so sprostredkovateľom dohodnúť konkrétnu krátku lehotu a obsah hlásenia.
Informovanie dotknutých ľudí
Ak porušenie pravdepodobne povedie k vysokému riziku pre práva a slobody ľudí, prevádzkovateľ ho oznámi bez zbytočného odkladu aj im. Oznámenie jasne a jednoducho opíše povahu porušenia a obsahuje aspoň kontakt na zodpovednú osobu, pravdepodobné následky a prijaté alebo navrhované opatrenia (čl. 34 ods. 1 a 2). Povinnosť odpadá, ak boli údaje chránené napríklad šifrovaním, ak následné opatrenia vysoké riziko odstránili, alebo ak by individuálne oznámenie vyžadovalo neprimerané úsilie. V poslednom prípade nastupuje informovanie verejnosti (čl. 34 ods. 3). Úrad môže informovanie dotknutých osôb aj nariadiť (čl. 34 ods. 4). Zašifrovaný notebook tak môže znamenať iba zápis do evidencie incidentov, nešifrovaný so zoznamom klientov a ich rodnými číslami môže viesť k povinnosti informovať každého z nich.
Úloha zodpovednej osoby
Ak má firma zodpovednú osobu, je pri incidente prirodzeným koordinátorom. Spolupracuje s dozorným orgánom a je jeho kontaktným miestom (čl. 39 ods. 1 písm. d) a e)), jej kontakt sa uvádza priamo v oznámení a dotknuté osoby sa na ňu môžu obracať so všetkými otázkami spracúvania (čl. 38 ods. 4). Zodpovedná osoba posúdi riziko a pripraví podklady aj text oznámenia. Rozhodnutie o oznámení a zodpovednosť zaň však zostávajú na prevádzkovateľovi. Firma bez zodpovednej osoby potrebuje mať vopred určené, kto túto úlohu v prvých hodinách prevezme.
Keď ide aj o kybernetický incident
Prevádzkovateľ základnej služby podľa zákona o kybernetickej bezpečnosti hlási závažný kybernetický bezpečnostný incident samostatným postupom: včasné varovanie najneskôr do 24 hodín a oznámenie spravidla najneskôr do 72 hodín od jeho zistenia (§ 24 ods. 3 zákona č. 69/2018 Z. z.). Toto hlásenie sa riadi iným predpisom a GDPR ho neupravuje, takže ak incident zasiahol aj osobné údaje, treba posúdiť obe povinnosti zvlášť. Postup pri kybernetickom útoku opisuje otázka komu a do kedy hlásiť kybernetický incident, súvislosti so zmluvami s IT dodávateľmi článok NIS2 sa registráciou nekončí.
Postup v skratke
- Incident zastaviť a zabezpečiť dôkazy, bez mazania záznamov.
- Zapísať čas, keď sa firma o porušení dozvedela, a začať viesť záznam o postupe.
- Posúdiť, aké údaje a koľkých ľudí sa týka a aké riziko z toho pre nich plynie.
- Rozhodnúť o oznámení úradu a pri vysokom riziku aj dotknutým osobám, a rozhodnutie odôvodniť.
- Prijať nápravné opatrenia a zdokumentovať ich.
Ako úrad pri porušení vypočíta pokutu a prečo sa samotné povinné oznámenie hodnotí neutrálne, vysvetľuje otázka podľa čoho úrad vypočíta pokutu za GDPR. Plán reakcie na incidenty, zmluvy so sprostredkovateľmi a vzory oznámení pripravíme v rámci služby GDPR a ochrana osobných údajov. Ak chcete mať pri incidente po ruke niekoho, kto prevezme koordináciu a komunikáciu s úradom, pozrite si službu zodpovedná osoba (DPO) ako služba.
Článok poskytuje všeobecné právne informácie podľa stavu k 12. 9. 2026. Nie je právnou službou ani radou pre konkrétnu situáciu. Právne predpisy sa menia a okolnosti vášho prípadu sa môžu líšiť. Pred rozhodnutím si preto postup overte alebo sa nám ozvite.
