Jde o únik dat a musím ho nahlásit?
Jako podnikatel odpovídáte za osobní údaje svých zákazníků a zaměstnanců. V GDPR se tato role nazývá správce. Zde se dočtete, kdy jde o únik dat, kdy ho musíte ohlásit a co máte udělat hned. Jde o obecné vysvětlení, nikoli o právní poradenství. V případě pochybností se podívejte na web nizozemského úřadu pro ochranu osobních údajů Autoriteit Persoonsgegevens (AP) nebo se obraťte na právníka.
Co je únik dat?
Podle GDPR, evropského nařízení o ochraně osobních údajů, jde o porušení zabezpečení, při kterém dojde ke ztrátě, zničení nebo změně osobních údajů, nebo se údaje dostanou k někomu, kdo k nim nemá mít přístup (článek 4 bod 12). Osobní údaje jsou údaje o identifikovatelné osobě, například jméno, e-mailová adresa, adresa nebo historie objednávek. Nejde tedy jen o hackery. Příklady:
- e-mail nebo příloha s osobními údaji, která odejde nesprávnému příjemci;
- ztracený nebo odcizený notebook, telefon či USB disk s nešifrovanými osobními údaji;
- napadená e-mailová schránka, ve které jsou faktury, nabídky nebo žádosti o zaměstnání;
- web nebo e-shop, ze kterého byly odcizeny údaje zákazníků;
- ransomware, kvůli kterému se nedostanete ke své zákaznické evidenci, i když nebylo nic zkopírováno.
První kroky
- Zastavte únik. Požádejte nesprávného příjemce, aby e-mail smazal a potvrdil Vám to. Změňte heslo k napadené e-mailové schránce ze zařízení, kterému důvěřujete (viz Bezpečná hesla a co dělat, když Vaše heslo unikne).
- Zmapujte, co se stalo. Jaká je příčina, kdy to začalo, o jaké údaje jde, kolika lidí se týkají, kdo k nim má přístup a byly údaje šifrované? Vše si zapište včetně data a času.
- Posuďte riziko pro osoby, jejichž údaje se to týká (viz níže).
- Ohlaste to úřadu AP, pokud je to nutné, do 72 hodin.
- Informujte dotčené osoby, pokud je pro ně riziko vysoké.
- Zapište to do své evidence úniků dat. To děláte vždy.
Musím únik ohlásit úřadu Autoriteit Persoonsgegevens?
Únik dat ohlašujete bez zbytečného odkladu a pokud možno do 72 hodin od chvíle, kdy jste ho zjistili. Ohlašovat ho nemusíte, pokud je nepravděpodobné, že by představoval riziko pro osoby, jejichž údaje se to týká (článek 33 GDPR).
- Lhůta začíná běžet, jakmile se o úniku dozvíte, nikoli ve chvíli, kdy k němu došlo. Víkend se započítává: zjistíte-li únik v pátek v 16:40, ohlásíte ho nejpozději v pondělí v 16:40.
- Neúplné ohlášení je přípustné. Pokud po 72 hodinách ještě nevíte vše, ohlaste únik s tím, co víte, a ohlášení později doplňte.
- Pouze online. Ohlášení podáte přes ohlašovací formulář úřadu AP, nikoli telefonicky, e-mailem ani poštou. S dotazníkem úřadu AP si ohlášení můžete připravit.
- Máte pochybnosti? Úřad AP doporučuje únik v takovém případě přesto ohlásit.
Při posouzení Vám pomohou tyto otázky:
| Otázka | Nižší riziko | Vyšší riziko |
|---|---|---|
| Jaké údaje? | Pouze firemní kontaktní údaje | Identifikační číslo občana (BSN), kopie průkazu totožnosti, bankovní údaje, hesla, zdravotní údaje, údaje o dětech |
| Kolika lidí se to týká? | Jednoho nebo několika | Mnoha |
| Může je přečíst ten, kdo je má? | Dobře zašifrované, klíč neunikl | Čitelné, nebo uniklo i heslo |
| Kdo je má? | Známý příjemce, který potvrdí, že je smazal | Neznámá osoba, zločinec, nebo jsou veřejně na internetu |
Příklad: pokud je odcizen dobře zašifrovaný notebook, riziko pravděpodobně nehrozí. Ohlašovat to pak nemusíte, ale do evidence to zapíšete. Na nešifrovaném notebooku si nálezce může vše přečíst, a pak riziko obvykle existuje.
Kdy informovat dotčené osoby?
Pokud únik pravděpodobně představuje vysoké riziko pro osoby, jejichž údaje se to týká, informujete je bez zbytečného odkladu (článek 34 GDPR). Srozumitelně jim vysvětlete, co se stalo, jaké to může mít následky, co děláte Vy a co mohou udělat oni sami, například změnit heslo nebo si dávat větší pozor na phishing zasílaný Vaším jménem.
To není nutné, pokud byly údaje díky kvalitnímu šifrování nečitelné, nebo pokud jste poté přijali opatření, díky kterým již vysoké riziko pravděpodobně nehrozí. Pokud by oslovení všech vyžadovalo nepřiměřené úsilí, zveřejníte veřejné oznámení.
Evidence úniků dat: vést vždy
Každý únik dat zaznamenáte, i když ho neohlašujete (článek 33 odst. 5). Zapište si skutečnosti, následky, přijatá opatření a své úvahy: proč jste únik ohlásili či neohlásili a proč jste dotčené osoby informovali či neinformovali. Úřad AP nabízí vzorovou evidenci úniků dat.
A co když k úniku dojde u dodavatele?
Vaše hostingová společnost, Váš cloudový účetní software nebo Vaše služba pro rozesílání newsletterů je podle GDPR zpracovatel: subjekt, který zpracovává osobní údaje na Váš pokyn. Zpracovatel Vás musí bez zbytečného odkladu informovat, pokud zjistí únik dat (článek 33 odst. 2). Poté posoudíte Vy, zda je nutné únik ohlásit, a zpravidla ho ohlašujete také Vy sami.
To platí i v případě, že je Vaším zpracovatelem WebOké. Příslušná ujednání najdete v naší smlouvě o zpracování osobních údajů, viz Smlouva o zpracování osobních údajů: kde ji najdu? Myslíte si, že k úniku došlo u nás, například na našich serverech? Pak nás ihned kontaktujte prostřednictvím tiketu v Centru podpory a uveďte, co jste zjistili a kdy.
Další informace
- WebOké Backups: zobrazení, obnovení nebo stažení zálohy
- Autoriteit Persoonsgegevens: ohlásit, či neohlásit
- Autoriteit Persoonsgegevens: jak ohlásit únik dat
- Autoriteit Persoonsgegevens: dotazník k ohlašovacímu formuláři
- Autoriteit Persoonsgegevens: vzorová evidence úniků dat
- GDPR, články 4, 33 a 34 (EUR-Lex)
Chcete se dozvědět víc? Absolvujte bezplatný kurz Bezpečně online pro podnikatele, lekci 8.2 Úniky dat a ohlašovací povinnost.