Úniky osobních údajů a oznamovací povinnost

Modul 8: Když se něco pokazí · Doba čtení: 11 minut

Cíl lekce: Po této lekci dokážete posoudit, zda jde o únik osobních údajů, zda jej musíte do 72 hodin nahlásit Úřadu pro ochranu osobních údajů a zda musíte informovat dotčené osoby, a dokážete jej zaznamenat do registru úniků.

Klíčové pojmy: osobní údaje, únik osobních údajů (porušení zabezpečení osobních údajů), správce údajů, zpracovatel, GDPR článek 33 a 34, oznámení úniku, 72 hodin, riziko a vysoké riziko, registr úniků

Co je únik osobních údajů?

Při slově „únik osobních údajů“ si lidé představí hackery, kteří ukradnou databázi. To je jen jedna z podob. GDPR používá širší vymezení: porušení zabezpečení osobních údajů je porušení zabezpečení, které vede k náhodnému nebo protiprávnímu zničení, ztrátě, změně nebo neoprávněnému poskytnutí nebo zpřístupnění osobních údajů (článek 4, bod 12).

Osobní údaje jsou veškeré údaje o identifikovatelné osobě: jméno, e-mailová adresa jako jan.jansen@..., telefonní číslo, adresa, zákaznické číslo s historií objednávek, fotografie, IP adresa v kombinaci s dalšími údaji. Údaje o firmě jako takové (IČO, obecná adresa) to nejsou, ale údaje o kontaktní osobě ano.

Všechny následující situace jsou tedy únikem osobních údajů:

• e-mail se seznamem zákazníků odeslaný nesprávnému příjemci;
• newsletter, ve kterém jsou všichni příjemci viditelní v poli Komu nebo Kopie;
• ztracený USB flash disk nebo notebook s osobními údaji zaměstnanců, pokud nebyl zašifrovaný;
• ransomware, který zašifruje evidenci zákazníků (údaje pak nejsou dostupné, i když nic nebylo zkopírováno);
• zneužitá e-mailová schránka, ve které jsou faktury se jmény a adresami;
• sdílený odkaz na složku se žádostmi o zaměstnání, který je otevřený pro kohokoli.

Slovní spojení „porušení zabezpečení“ ukazuje, že nejde jen o důvěrnost. Počítá se i ztráta (údaje jsou pryč) a změna (někdo upravil čísla účtů).

Kdo je odpovědný: Vy, nebo Váš dodavatel?

GDPR rozlišuje dvě role.

• Správce údajů určuje, proč a jak se osobní údaje zpracovávají. U Vašich zákaznických a personálních údajů jste to Vy jako podnikatel.
• Zpracovatel zpracovává údaje na Váš pokyn: Vaše hostingová firma, Váš účetní program v cloudu, Vaše služba pro rozesílání newsletterů, Váš IT dodavatel.

Pokud k úniku dojde u zpracovatele, musí Vám to oznámit bez zbytečného odkladu (článek 33 odstavec 2). Vy pak posoudíte, zda je třeba nahlásit únik ÚOOÚ a informovat dotčené osoby, a v zásadě to oznamujete i sami (pokud jste si nedomluvili, že to zpracovatel udělá za Vás). Povinnost tedy zůstává na Vás, i když chyba vznikla u někoho jiného. Proto se ve smlouvě o zpracování osobních údajů sjednávají pravidla, jak rychle a jakým způsobem Vás zpracovatel informuje (lekce 7.2).

Hodiny odpočítávající 72 hodin

Článek 33 GDPR říká, že únik osobních údajů oznámíte Úřadu pro ochranu osobních údajů bez zbytečného odkladu a pokud možno do 72 hodin od okamžiku, kdy jste se o něm dozvěděli. Výjimkou je situace, kdy je nepravděpodobné, že by únik představoval riziko pro práva a svobody fyzických osob.

Čtyři body bývají často pochopeny nesprávně:

1. Hodiny začínají běžet od okamžiku, kdy se o úniku dozvíte, nikoli od okamžiku, kdy k němu došlo. „Dozvědět se“ znamená: máte přiměřenou jistotu, že došlo k porušení zabezpečení, při kterém byly dotčeny osobní údaje. Krátké první posouzení je v pořádku, ale kdo se vědomě nedívá, čas si tím neposouvá.
2. 72 hodin je 72 hodin, i o víkendu a ve svátek. Pokud únik zjistíte v pátek v 16:40, konečná lhůta je pondělí 16:40.
3. Neúplné oznámení je v pořádku. Pokud po 72 hodinách ještě nevíte vše, oznámíte to, co víte, a později doplníte. Pokud oznámíte později než po 72 hodinách, musíte zpoždění zdůvodnit (článek 33 GDPR).
4. Jde o riziko pro lidi, ne o škodu pro Vaši firmu.

Zjištěno: pátek    16:40   -> hodiny začínají běžet
          sobota              (počítá se)
          neděle              (počítá se)
Nejpozději pondělí 16:40   -> oznámení ÚOOÚ (případně neúplné)

Oznámení se zpravidla podává prostřednictvím online formuláře pro ohlášení porušení zabezpečení na webu ÚOOÚ; podrobnosti uvádí úřad na svém webu. Oznámení si můžete předem připravit. Vyplňujete mimo jiné, co se stalo, kdy, jakých a kolika údajů a osob se to týká, jaké mohou být následky a jaká opatření jste přijali. Zde se vyplatí evidence z lekce 8.1.

Kdy oznamovat a kdy ne: posouzení rizika

Posuzujete, jak pravděpodobné a jak závažné jsou následky pro dotčené osoby. Myslete na: zneužití identity, finanční škodu, diskriminaci, poškození pověsti nebo ztrátu kontroly nad vlastními údaji. Pomohou tyto otázky:

Dva příklady, které se často opakují:

• Ukraden zašifrovaný notebook, silné heslo, klíč neunikl, nedávná záloha: pravděpodobně žádné riziko. Nehlásit ÚOOÚ, ale zaznamenat do registru.
• Napaden e-shop, útočník získal e-mailové adresy a slabě uložená hesla: riziko, tedy je nutné oznámení. A protože lidé svá hesla často používají opakovaně (lekce 1.4), jde o vysoké riziko: informujte dotčené osoby.

Pokud máte pochybnosti, oznámení je obvykle bezpečnější volbou. I ÚOOÚ doporučuje v případě pochybností oznámit. Nové informace doplníte později navazujícím oznámením.

Informování dotčených osob: při vysokém riziku

Článek 34 se týká lidí, jejichž údaje byly dotčeny. Pokud je pravděpodobné, že únik představuje vysoké riziko, informujete je bez zbytečného odkladu: tak rychle, jak to je přiměřeně možné. Neplatí zde lhůta 72 hodin, ale čekat, až bude vše prošetřeno, také není záměrem.

Ve zprávě srozumitelným jazykem uveďte, co se stalo, jaké jsou pravděpodobné následky, co děláte Vy a co mohou udělat oni sami (například si jinde změnit heslo, dávat pozor na phishing vydávající se za Vás, upozornit svou banku), plus kontaktní osobu.

Informování není třeba, pokud jste přijali vhodná opatření, díky kterým jsou údaje nečitelné (jako je kvalitní šifrování), pokud jste dodatečně přijali opatření, díky kterým vysoké riziko již není pravděpodobné, nebo pokud by to vyžadovalo nepřiměřené úsilí: v takovém případě zveřejníte veřejné oznámení (článek 34 odstavec 3).

Pozor: po úniku osobních údajů často následuje phishing. Zločinci pak vědí, kdo jsou Vaši zákazníci, a pošlou e-mail „jménem Vás“. Upozorněte na to i Vaše zákazníky.

Registr úniků: vždy

Článek 33 odstavec 5 Vám ukládá zaznamenat každý únik osobních údajů, i když jej neoznamujete. Zaznamenejte: fakta, následky, přijatá opatření a Vaše posouzení (proč jste oznámili nebo neoznámili, proč jste informovali nebo neinformovali). Formu si můžete zvolit sami; ÚOOÚ má vzorový registr úniků. Postačí jednoduchá tabulka:

Č. | Zjištěno (datum/čas) | Co se stalo | Jaké údaje, kolik osob
   | Následky | Opatření | Nahlášeno ÚOOÚ? (ano/ne + proč, datum)
   | Dotčené osoby informovány? (ano/ne + proč) | Vyřízeno (datum)

Registr Vám pomůže i samotným: pokud třikrát ročně vidíte „e-mail odeslán nesprávnému příjemci“, víte, kde je třeba zlepšit postupy (například prodlevu před odesláním, nebo už nepřipojovat seznamy zákazníků jako přílohu, lekce 7.3).

Únik osobních údajů a zákon o kybernetické bezpečnosti: dvě různá oznámení

Pokud Vaše organizace spadá pod zákon o kybernetické bezpečnosti (NIS2, lekce 9.1), platí navíc oznamovací povinnost pro významné incidenty: první varování do 24 hodin, oznámení do 72 hodin a závěrečná zpráva do měsíce, prostřednictvím Portálu NÚKIB. To je jiné oznámení, s jiným účelem (kontinuita služeb) a jinému úřadu. Útok ransomwarem tak může spadat pod obojí. Většina malých firem pod zákon o kybernetické bezpečnosti nespadá; oznamovací povinnost podle GDPR platí ale pro všechny.

Tato lekce poskytuje obecné vysvětlení a není právním poradenstvím. V případě pochybností se obraťte na web ÚOOÚ nebo na právníka.

Shrnutí

• Únik osobních údajů je každé porušení zabezpečení, kvůli kterému dojde ke ztrátě, změně nebo zpřístupnění osobních údajů osobě, která k nim nemá mít přístup; i e-mail odeslaný nesprávnému příjemci nebo ztracený nezašifrovaný notebook.
• Oznámení ÚOOÚ: bez zbytečného odkladu a pokud možno do 72 hodin od zjištění, i o víkendu, pokud pravděpodobně nehrozí riziko. Neúplné oznámení je v pořádku.
• Informování dotčených osob: bez zbytečného odkladu, pokud pravděpodobně hrozí vysoké riziko.
• Pokud k úniku dojde u Vašeho zpracovatele, musí Vás informovat; rozhodnutí o oznámení je na Vás.
• Zaznamenejte každý únik do svého registru úniků, včetně Vašeho posouzení.

Kvíz

Úkol

Úkol A8.2: Spočítejte lhůtu. Dostanete čtyři okamžiky zjištění. U každého vyplňte konečné datum a čas pro oznámení ÚOOÚ. Program to zkontroluje.

Úkol A8.2b: Nahlásit, nebo ne? Dostanete osm krátkých kazuistik. U každé zvolte, zda je třeba to nahlásit ÚOOÚ, zda musíte informovat dotčené osoby a zda to zapíšete do registru úniků. Program to zkontroluje a u každé kazuistiky uvede vysvětlení.

Doporučená literatura

Kroky v článcích WebOké platí pro prostředí WebOké; u jiných poskytovatelů to funguje obdobně.

• Pomoc! Moje stránka byla napadena hackery. Jak to mohu vyřešit a jak tomu mohu předejít?
• Úřad pro ochranu osobních údajů, informace o ohlašování porušení zabezpečení: https://uoou.gov.cz/
• Úřad pro ochranu osobních údajů, obecné informace o GDPR a povinnostech správců: https://uoou.gov.cz/
• Evropský sbor pro ochranu osobních údajů (EDPB): https://www.edpb.europa.eu/about-edpb/about-edpb/members_en
• GDPR (nařízení (EU) 2016/679), články 4, 33 a 34: https://eur-lex.europa.eu/eli/reg/2016/679/oj
• NÚKIB, informace k zákonu o kybernetické bezpečnosti: https://nukib.gov.cz/
• Jde o únik dat a musím ho nahlásit?