Jedná se o únik dat a musím to nahlásit?
Jako podnikatel jste odpovědní za osobní údaje svých zákazníků a zaměstnanců. Podle GDPR se pak nazýváte správcem. Zde se dozvíte, kdy se jedná o únik dat, kdy je potřeba ho nahlásit a co máte udělat okamžitě. Jedná se o obecné vysvětlení, nikoli o právní poradenství, v případě pochybností se podívejte na web nizozemského Úřadu pro ochranu osobních údajů (Autoriteit Persoonsgegevens, AP) nebo se obraťte na právníka.
Co je únik dat?
Podle GDPR, evropského zákona o ochraně soukromí, se jedná o narušení zabezpečení, při kterém dojde ke ztrátě, zničení nebo změně osobních údajů, nebo se k nim dostane osoba, která k nim nemá mít přístup (článek 4, bod 12). Osobní údaje jsou údaje o identifikovatelné osobě, jako je jméno, e-mailová adresa, adresa nebo historie objednávek. Nejde tedy pouze o hackery. Příklady:
- e-mail nebo příloha s osobními údaji odeslaná nesprávnému příjemci;
- ztracený nebo odcizený notebook, telefon či USB disk s osobními údaji, které nebyly zašifrované;
- napadená e-mailová schránka, ve které jsou faktury, nabídky nebo žádosti o zaměstnání;
- webové stránky nebo internetový obchod, z nichž byly odcizeny údaje o zákaznících;
- ransomware, kvůli kterému se již nedostanete ke správě svých zákazníků, i když nebylo nic zkopírováno.
První kroky
- Zastavte únik. Požádejte nesprávného příjemce, aby e-mail smazal a potvrdil to. Změňte heslo napadené e-mailové schránky ze zařízení, kterému důvěřujete (viz Bezpečná hesla a co dělat při úniku hesla).
- Zmapujte, co se stalo. Jaká je příčina, kdy to začalo, o jaké údaje jde, kolika lidí se to týká, kdo k nim má přístup a byly údaje zašifrované? Vše si zapište, včetně data a času.
- Odhadněte riziko pro osoby, jejichž údaje jsou dotčeny (viz níže).
- Nahlaste to úřadu AP, pokud je to nutné, do 72 hodin.
- Informujte dotčené osoby, pokud je pro ně riziko vysoké.
- Zapište to do svého registru úniků dat. To uděláte vždy.
Musím to nahlásit Úřadu pro ochranu osobních údajů?
Únik dat nahlašujete bez zbytečného odkladu a pokud možno do 72 hodin od okamžiku, kdy jste ho zjistili. To není nutné, pokud pravděpodobně nepředstavuje riziko pro osoby, jejichž údaje jsou dotčeny (článek 33 GDPR).
- Lhůta začíná běžet od okamžiku, kdy se o úniku dozvíte, nikoli od chvíle, kdy k němu došlo. Víkend se počítá: pokud ho zjistíte v pátek v 16:40, musíte ho nahlásit nejpozději v pondělí v 16:40.
- Neúplné nahlášení je v pořádku. Pokud po 72 hodinách ještě nevíte vše, nahlaste to s tím, co víte, a hlášení později doplňte.
- Pouze online. Hlášení podáváte prostřednictvím formuláře úřadu AP, nikoli telefonicky, e-mailem nebo poštou. Hlášení si můžete připravit pomocí dotazníku úřadu AP.
- Máte pochybnosti? Úřad AP doporučuje nahlásit to i přesto.
Při rozhodování Vám pomohou tyto otázky:
| Otázka | Nižší riziko | Vyšší riziko |
|---|---|---|
| Jaké údaje? | Pouze firemní kontaktní údaje | BSN, kopie dokladu totožnosti, bankovní údaje, hesla, zdravotní údaje, údaje o dětech |
| Kolik osob? | Jedna nebo několik | Mnoho |
| Čitelné pro toho, kdo k nim má přístup? | Dobře zašifrované, klíč neunikl | Čitelné, nebo uniklo i heslo |
| Kdo k nim má přístup? | Známý příjemce, který potvrdí, že je smazal | Neznámá osoba, zločinec, nebo jsou veřejně dostupné na internetu |
Příklad: pokud je odcizen dobře zašifrovaný notebook, pravděpodobně nehrozí žádné riziko. Nahlášení tedy není nutné, ale do registru to přesto zapíšete. Na nezašifrovaném notebooku si může nálezce přečíst vše, takže v takovém případě riziko obvykle existuje.
Kdy informujete dotčené osoby?
Pokud únik pravděpodobně představuje vysoké riziko pro osoby, jejichž údaje jsou dotčeny, informujete je neprodleně (článek 34 GDPR). Srozumitelným jazykem jim sdělte, co se stalo, jaké mohou být následky, co Vy sami děláte a co mohou udělat oni, například změnit heslo nebo věnovat zvýšenou pozornost phishingu vydávajícímu se za Vás.
To není nutné, pokud byly údaje díky kvalitnímu zašifrování nečitelné, nebo pokud jste následně přijali opatření, díky kterým vysoké riziko již není pravděpodobné. Pokud by oslovení všech vyžadovalo nepřiměřené úsilí, učiníte veřejné oznámení.
Registr úniků dat: veďte ho vždy
Každý únik dat zaznamenáte, i když ho nenahlásíte (článek 33 odstavec 5). Zapište si fakta, následky, přijatá opatření a své zdůvodnění: proč jste to nahlásili nebo nenahlásili a proč jste dotčené osoby informovali nebo neinformovali. Úřad AP má k dispozici vzorový registr úniků dat.
A co když je únik u dodavatele?
Vaše hostingová společnost, účetní program v cloudu nebo služba pro rozesílání newsletterů je podle GDPR zpracovatelem: subjektem, který zpracovává osobní údaje z Vašeho pověření. Zpracovatel Vás musí bez zbytečného odkladu informovat, pokud zjistí únik dat (článek 33 odstavec 2). Poté sami posoudíte, zda je nutné to nahlásit, a v zásadě to nahlásíte i Vy sami.
To platí i v případě, že je Vaším zpracovatelem WebOké. Domníváte se, že k úniku došlo u nás, například na našich serverech? Ihned nás kontaktujte prostřednictvím tiketu v Centru podpory a uveďte, co jste zjistili a kdy.
Další čtení
- WebOké Zálohy: zobrazení, obnovení nebo stažení zálohy
- Úřad pro ochranu osobních údajů: nahlásit, nebo ne
- Úřad pro ochranu osobních údajů: jak nahlásit únik dat
- Úřad pro ochranu osobních údajů: dotazník k hlášení
- Úřad pro ochranu osobních údajů: vzorový registr úniků dat
- GDPR, články 4, 33 a 34 (EUR-Lex)