Każde naruszenie ochrony danych, nawet takie, które nie wymaga zgłoszenia, musi być odpowiednio udokumentowane. W praktyce najczęściej stosuje się rejestry naruszeń i raporty z naruszeń, niemniej jednak nie są to jedyne dopuszczalne rozwiązania. Administrator musi postępować zgodnie z regułą rozliczalności, a zatem być gotowy do wykazania, że udokumentował naruszenie i podjął w związku z nim adekwatne działania. Sprawdź, jaką dokumentację ochrony danych prowadzić w związku z naruszeniami.
RODO nakazuje udokumentować każde naruszenie ochrony danych osobowych
W RODO przewidziano obowiązek dokumentowania wszystkich naruszeń ochrony danych osobowych. Udokumentowane musi być każde naruszenie, w tym jego okoliczności, skutki i podjęte działania zaradcze. Nie ma tu znaczenia, jaki poziom ryzyka dla praw i wolności osób fizycznych to naruszenie wygenerowało. Obowiązek udokumentowania dotyczy nawet takich naruszeń ochrony danych, które nie wymagają zgłoszenia do Prezesa Urzędu Ochrony Danych Osobowych i zawiadamiania podmiotów danych. Przypomnijmy, że zgłoszenie naruszenia ochrony danych do Prezesa UODO dotyczy wyłącznie takich zdarzeń, które skutkują naruszeniem praw lub wolności podmiotów danych. Zgłoszenie naruszenia nie jest konieczne, w przypadku gdy jest mało prawdopodobne, by dane zdarzenie skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych.
Wybór metody dokumentowania należy do administratora danych osobowych
RODO nie reguluje jednak sposobów dokumentowania naruszeń ochrony danych. Wybór rozwiązań należy tu do administratora. Dlatego przedstawione w artykule rozwiązania to propozycja. Równie dobrze administrator może przyjąć inny sposób dokumentowania naruszeń. Ważne jest jednak przygotowanie rzetelnej dokumentacji, która posłuży też do szczegółowej analizy incydentu. Zgodnie z RODO to na administratorze danych osobowych spoczywa obowiązek prowadzenia dokumentacji w sposób umożliwiający ewentualną weryfikację przez organ nadzorczy.
