zgłoszenie naruszenia ochrony danych

3 rodzaje naruszeń ochrony danych osobowych

Przypomnijmy, że naruszenia ochrony danych można podzielić na 3 grupy, jako kryterium biorąc pod uwagę ryzyko naruszenia praw lub wolności podmiotów danych. Odpowiadają im konkretne obowiązki administratora danych osobowych

Rodzaj naruszenia	Opis naruszenia	Reakcja administratora
naruszenie nieistotne	Naruszenie to rodzi niewielkie ryzyko, że incydent doprowadzi do naruszenia praw lub wolności ww. osób fizycznych,	Należy udokumentować zdarzenie (np. poprzez wpis do raportu z naruszeń i rejestru naruszeń)
naruszenie średniej wagi	Istnieje uzasadnione prawdopodobieństwo wystąpienia negatywnych skutków zdarzenia czyli wystąpienia naruszenia praw lub wolności osób fizycznych (nadal jednak mniej niż 50%).	Należy: zgłosić naruszenie ochrony danych do Prezesa UODO do 72 godzin po stwierdzeniu naruszenia, udokumentować zdarzenie.
naruszenie istotne	Zdarzenie to generuje wysokie ryzyko, że incydent doprowadzi do naruszenia praw lub wolności fizycznych. Prawdopodobieństwo wystąpienia negatywnych skutków jest wyższe niż 50%.	Należy: zgłosić naruszenie ochrony danych do Prezesa UODO, zawiadomić o naruszeniu osoby, których dane zostały naruszone, udokumentować zdarzenie.

Konsekwencje niezgłoszenia naruszenia przez administratora danych osobowych

Niewykonanie obowiązku zgłaszania naruszeń ochrony danych osobowych jest bardzo częstym powodem nałożenia administracyjnej kary pieniężnej przez Prezesa Urzędu Ochrony Danych Osobowych. Najczęściej jest to wynik całkowitej bierności administratora albo niewłaściwej oceny poziomu ryzyka wiążącego się z incydentem.

Zawiadomienie podmiotów danych o naruszeniu nie jest jednak konieczne, gdy:

• administrator wdrożył odpowiednie techniczne i organizacyjne środki ochrony, które zastosowano względem naruszonych danych, przez co uniemożliwiono ich odczyt (np. szyfrowanie, fragmentacja, anonimizacja),

• administrator zastosował następnie środki eliminujące prawdopodobieństwo wysokiego ryzyka naruszenia praw lub wolności osoby, której dane dotyczą (np. zawiadomienie odpowiednich organów o wycieku, natychmiastowe zablokowanie zasobów przed dostępem osób trzecich, zmiana haseł)

• wymagałoby ono niewspółmiernie dużego wysiłku (zamiast tego wydawany jest publiczny komunikat lub zastosowany zostaje podobny środek, za pomocą którego podmioty danych zostają poinformowane w równie skuteczny sposób – ten punkt stosuje się zwłaszcza do masowych wycieków danych osobowych).