Не завжди, але кожна така помилка є порушенням захисту персональних даних, яке ви повинні оцінити та внести до реєстру. Повідомити про нього наглядовий орган потрібно без невиправданої затримки, за можливості протягом 72 годин із моменту виявлення, крім випадків, коли ризик для людини, чиї дані було надіслано, малоймовірний. У типовому випадку плутанини двох рахунків з ім’ям, адресою та відомостями про покупку Європейська рада із захисту даних оцінює ризик як низький, і достатньо внутрішнього запису. Якщо документ розкрив також непублічні дані, наприклад дату народження, чутливі дані або дані багатьох людей, слід розраховувати на необхідність повідомлення наглядового органу. За високого ризику повідомте також осіб, яких це стосується.
Система виставлення рахунків прикріпила до відправлення неправильний документ, продавець надіслав пропозицію з додатком, призначеним іншому клієнту, або розсилку було надіслано з усіма адресами, видимими в полі копії. Про помилку компанія зазвичай дізнається від клієнта, який отримав чужий документ. GDPR вважає таку ситуацію порушенням захисту персональних даних, оскільки дані потрапили до особи, яка не мала права на доступ до них (ст. 4 п. 12 Регламенту (ЄС) 2016/679, далі — GDPR). Однак обов’язок повідомити про нього наглядовий орган не виникає автоматично. Він відсутній, якщо ризик для людини, чиї дані було надіслано, малоймовірний.
Коли повідомляти наглядовий орган не потрібно
Регламент пов’язує обов’язок повідомлення з ризиком:
Нижче наведено цитату словацькою мовою.
V prípade porušenia ochrany osobných údajov prevádzkovateľ bez zbytočného odkladu a podľa možnosti najneskôr do 72 hodín po tom, čo sa o tejto skutočnosti dozvedel, oznámi porušenie ochrany osobných údajov dozornému orgánu príslušnému podľa článku 55 s výnimkou prípadov, keď nie je pravdepodobné, že porušenie ochrany osobných údajov povedie k riziku pre práva a slobody fyzických osôb.
Європейська рада із захисту даних розглядає такі помилки в настановах 01/2021 щодо прикладів повідомлення про порушення (версія 2.0 від 14 грудня 2021 року). В одному випадку магазин під час пакування переплутав два замовлення, тому кожен із двох клієнтів отримав товар і рахунок іншого з ім’ям, адресою, зазначенням товару та ціни. Рада оцінює ризик як низький, оскільки не йшлося про чутливі дані чи системну помилку, а помилка стосувалася лише двох людей. Вона не вважає повідомлення наглядового органу необхідним, а інформування осіб, яких це стосується, за ст. 34 GDPR — обов’язковим. Однак внутрішній запис потрібен.
Інакше рада оцінила випадок із конвертом, у який машина вклала листи двох застрахованих осіб із датою народження, реєстраційним номером транспортного засобу та розміром страхового внеску. Ці дані не є загальнодоступними, імовірність неправомірного використання цих даних рада оцінює як низьку або помірну, а повідомлення наглядового органу вважає необхідним. Інформувати особу, якої це стосується, не потрібно.
У випадку електронного листа, який орган публічної адміністрації надіслав кандидатам на працевлаштування з додатком, що містив дані понад 60 000 із них, зокрема номер соціального забезпечення, рада оцінює ризик як високий і вважає необхідним як повідомлення наглядового органу, так і інформування всіх осіб, яких це стосується.
Як оцінити помилку
Під час оцінювання варто відповісти на такі запитання:
- які дані містив документ: лише ім’я, адресу та відомості про покупку чи також дату народження, особистий ідентифікаційний номер, номер рахунку, дані про здоров’я або борги,
- скількох людей і записів стосується помилка та чи є вона одноразовою, чи це системна помилка, яка може повторитися,
- хто отримав дані та чи готовий їх видалити або повернути,
- чи були дані захищені, наприклад зашифрованим додатком.
У разі помилково надісланого електронного листа рада рекомендує надіслати неправильним адресатам ще одне повідомлення з прихованими адресами (Bcc), вибачитися, попросити про видалення та попередити, що надалі використовувати адреси, які вони побачили, не можна. Якщо неправильні адресати водночас є особами, яких стосується порушення, як у випадку плутанини двох відправлень, усунути наслідки без їхньої співпраці не вдасться. Тому зв’язатися з ними потрібно навіть тоді, коли інформування за ст. 34 GDPR не є обов’язковим.
Запис робиться завжди
Кожне порушення необхідно задокументувати, включно з обставинами, наслідками та вжитими заходами, навіть якщо ви не повідомляєте про нього наглядовий орган (ст. 33 ч. 5). Запис має дозволити органу згодом перевірити, чи діяли ви належним чином, тому зазначте в ньому також причину, з якої ви оцінили ризик як малоймовірний. Строк починається з моменту, коли ви дізналися про помилку. Якщо ви подаєте повідомлення пізніше ніж через 72 години, до нього додається обґрунтування затримки. Якщо помилка, ймовірно, призведе до високого ризику, ви також інформуєте особу, якої це стосується (ст. 34 ч. 1), крім випадків, коли застосовується один із винятків, наприклад шифрування (ст. 34 ч. 3). Увесь порядок дій із моменту виявлення порушення розглянуто в статті що робити в перші 72 години після витоку персональних даних.
У листопаді 2025 року Європейська комісія запропонувала в пакеті Digital Omnibus зміну ст. 33, згідно з якою наглядовому органу повідомляли б лише про порушення з високим ризиком. Станом на 3 жовтня 2026 року пропозицію не прийнято, і чинною залишається поточна редакція.
До якого органу звертатися у Словаччині та Чехії
Правила в обох державах однакові, оскільки безпосередньо випливають із GDPR. Відрізняється орган. Словацька компанія повідомляє про порушення Управління із захисту персональних даних Словацької Республіки, яке є наглядовим органом відповідно до § 81 ч. 1 Закону № 18/2018 Z. z.. Чеська компанія звертається до чеського Управління із захисту персональних даних, яке є центральним адміністративним органом у цій сфері відповідно до § 50 ч. 1 Закону № 110/2019 Sb.. Якщо компанія здійснює транскордонне оброблення даних через установи в обох державах, провідним наглядовим органом для такого оброблення є орган держави її головної установи (ст. 56 ч. 1 GDPR), а адресата повідомлення необхідно визначити окремо.
Повідомлення про кіберінцидент Національному управлінню безпеки є окремим обов’язком операторів основних послуг, які обов’язково повідомляють, зокрема, про значні інциденти кібербезпеки. Його пояснює запитання кому та в який строк повідомляти про кіберінцидент.
Ми разом із вами оцінимо помилку, підготуємо запис до реєстру порушень, а за потреби — також повідомлення наглядовому органу та текст для клієнтів, яких це стосується. Перевірки під час надсилання документів, внутрішній реєстр порушень і зразки повідомлень ми впровадимо в межах послуги GDPR та захист персональних даних.
Ця відповідь містить загальну інформацію про законодавство станом на 3 жовтня 2026 р. Вона не є юридичною послугою та не замінює оцінювання конкретної справи. Обставини вашої ситуації можуть відрізнятися. Забронюйте консультацію, щоб обговорити їх.
