Únik osobních údajů: co udělat v prvních 72 hodinách a jakou úlohu má pověřenec

Účetní pošle mzdové listy všech zaměstnanců omylem externímu dodavateli. Obchodníkovi ukradnou z auta nezašifrovaný notebook se seznamem klientů. E-shop ráno zjistí, že útočník stáhl databázi zákazníků. Ve všech třech případech jde o porušení zabezpečení osobních údajů a ve všech třech začíná běžet lhůta, kterou GDPR správci dává na reakci. Rozhodnutí přijatá v prvních hodinách pak určují, jak se na incident podívá úřad i dotčení lidé.

Co je porušení zabezpečení osobních údajů

GDPR ho vymezuje široce: jde o porušení zabezpečení, které vede k náhodnému nebo protiprávnímu zničení, ztrátě, změně nebo neoprávněnému poskytnutí osobních údajů, případně k neoprávněnému přístupu k nim (čl. 4 bod 12). Nemusí jít o hackerský útok. Chybně adresovaný e-mail, ztracený USB klíč či omylem veřejně sdílený dokument jsou porušením stejně jako únik databáze.

Ohlášení úřadu

Základní povinnost zní takto:

V případě porušení zabezpečení osobních údajů správce bez zbytečného odkladu a pokud možno nejpozději do 72 hodin poté, co se o této skutečnosti dozvěděl, ohlásí porušení zabezpečení osobních údajů dozorovému úřadu příslušnému podle článku 55 s výjimkou případů, kdy není pravděpodobné, že porušení zabezpečení osobních údajů povede k riziku pro práva a svobody fyzických osob. Pokud ohlášení nebylo dozorovému úřadu předloženo do 72 hodin, připojí se k němu odůvodnění zpoždění.

— Český překlad čl. 33 odst. 1 nařízení (EU) 2016/679 (GDPR)

Pro firmu působící pouze na Slovensku je příslušným orgánem Úřad na ochranu osobních údajů Slovenské republiky. Z textu vyplývají tři praktické věci. První je, že lhůta běží od okamžiku, kdy se o porušení dozvěděl správce, nikoli od jeho úplného prošetření. Druhá, že ohlášení není třeba podat, pokud porušení pravděpodobně nepovede k riziku pro lidi; toto posouzení však musí být odůvodněné a zapsané. Třetí, že ohlášení může přijít i v etapách, nejsou-li všechny informace hned k dispozici (čl. 33 odst. 4).

Ohlášení obsahuje zejména popis povahy porušení včetně kategorií a přibližného počtu dotčených osob a záznamů, kontakt na pověřence nebo jiné kontaktní místo, popis pravděpodobných následků a přijatých nebo navrhovaných opatření (čl. 33 odst. 3). Každé porušení, i to, které se neohlašuje, musí správce zdokumentovat tak, aby úřad mohl později ověřit, že postupoval správně (čl. 33 odst. 5).

Pokud k porušení dojde u zpracovatele, například u poskytovatele cloudu či mzdové agentury, musí zpracovatel správci porušení oznámit bez zbytečného odkladu (čl. 33 odst. 2). Jelikož lhůta správce běží až od jeho vědomosti, vyplatí se ve smlouvě se zpracovatelem sjednat konkrétní krátkou lhůtu a obsah hlášení.

Informování dotčených lidí

Pokud porušení pravděpodobně povede k vysokému riziku pro práva a svobody lidí, správce jim ho oznámí bez zbytečného odkladu také. Oznámení jasně a jednoduše popíše povahu porušení a obsahuje alespoň kontakt na pověřence, pravděpodobné následky a přijatá nebo navrhovaná opatření (čl. 34 odst. 1 a 2). Povinnost odpadá, pokud byly údaje chráněny například šifrováním, pokud následná opatření vysoké riziko odstranila, nebo pokud by individuální oznámení vyžadovalo nepřiměřené úsilí; tehdy nastupuje informování veřejnosti (čl. 34 odst. 3). Úřad může informování dotčených osob i nařídit (čl. 34 odst. 4). Zašifrovaný notebook tak může znamenat pouze zápis do evidence incidentů, nezašifrovaný se seznamem klientů a jejich rodnými čísly může vést k povinnosti informovat každého z nich.

Úloha pověřence

Pokud má firma pověřence, je při incidentu přirozeným koordinátorem. Spolupracuje s dozorovým úřadem a je jeho kontaktním místem (čl. 39 odst. 1 písm. d) a e)), jeho kontakt se uvádí přímo v ohlášení a subjekty údajů se na něj mohou obracet se všemi otázkami zpracování (čl. 38 odst. 4). Pověřenec posoudí riziko a připraví podklady i text oznámení; rozhodnutí o ohlášení a odpovědnost za ně však zůstávají na správci. Firma bez pověřence potřebuje mít předem určeno, kdo tuto úlohu v prvních hodinách převezme.

Když jde i o kybernetický incident

Provozovatel základní služby podle zákona o kybernetické bezpečnosti hlásí závažný kybernetický bezpečnostní incident samostatným postupem: včasné varování nejpozději do 24 hodin a oznámení zpravidla nejpozději do 72 hodin od jeho zjištění (§ 24 odst. 3 zákona č. 69/2018 Z. z.). Toto hlášení se řídí jiným předpisem a GDPR jej neupravuje, takže pokud incident zasáhl i osobní údaje, je třeba posoudit obě povinnosti zvlášť. Postup při kybernetickém útoku popisuje otázka komu a dokdy hlásit kybernetický incident, souvislosti se smlouvami s IT dodavateli článek NIS2 registrací nekončí.

Postup ve zkratce

1. Incident zastavit a zajistit důkazy, bez mazání záznamů.
2. Zapsat čas, kdy se firma o porušení dozvěděla, a začít vést záznam o postupu.
3. Posoudit, jakých údajů a kolika lidí se týká a jaké riziko z toho pro ně plyne.
4. Rozhodnout o ohlášení úřadu a při vysokém riziku i dotčeným osobám, a rozhodnutí odůvodnit.
5. Přijmout nápravná opatření a zdokumentovat je.

Jak úřad při porušení vypočte pokutu a proč se samotné povinné ohlášení hodnotí neutrálně, vysvětluje otázka podle čeho úřad vypočte pokutu za GDPR. Plán reakce na incidenty, smlouvy se zpracovateli a vzory oznámení připravíme v rámci služby GDPR a ochrana osobních údajů. Pokud chcete mít při incidentu po ruce někoho, kdo převezme koordinaci a komunikaci s úřadem, podívejte se na službu pověřenec (DPO) jako služba.