Nařízení (EU) 2016/679 (GDPR) · Kapitola IV · Správce a zpracovatel
Čl. 33 · Ohlašování případů porušení zabezpečení osobních údajů dozorovému úřadu
Znění
-
Jakékoli porušení zabezpečení osobních údajů správce bez zbytečného odkladu a pokud možno do 72 hodin od okamžiku, kdy se o něm dozvěděl, ohlásí dozorovému úřadu příslušnému podle článku 55, ledaže je nepravděpodobné, že by toto porušení mělo za následek riziko pro práva a svobody fyzických osob. Pokud není ohlášení dozorovému úřadu učiněno do 72 hodin, musí být současně s ním uvedeny důvody tohoto zpoždění.
-
Jakmile zpracovatel zjistí porušení zabezpečení osobních údajů, ohlásí je bez zbytečného odkladu správci.
-
Ohlášení podle odstavce 1 musí přinejmenším obsahovat:
a) popis povahy daného případu porušení zabezpečení osobních údajů včetně, pokud je to možné, kategorií a přibližného počtu dotčených subjektů údajů a kategorií a přibližného množství dotčených záznamů osobních údajů;
b) jméno a kontaktní údaje pověřence pro ochranu osobních údajů nebo jiného kontaktního místa, které může poskytnout bližší informace;
c) popis pravděpodobných důsledků porušení zabezpečení osobních údajů;
d) popis opatření, která správce přijal nebo navrhl k přijetí s cílem vyřešit dané porušení zabezpečení osobních údajů, včetně případných opatření ke zmírnění možných nepříznivých dopadů.
-
Není-li možné poskytnout informace současně, mohou být poskytnuty postupně bez dalšího zbytečného odkladu.
-
Správce dokumentuje veškeré případy porušení zabezpečení osobních údajů, přičemž uvede skutečnosti, které se týkají daného porušení, jeho účinky a přijatá nápravná opatření. Tato dokumentace musí dozorovému úřadu umožnit ověření souladu s tímto článkem.
Znění: EUR-Lex, CELEX 32016R0679 (konsolidované znění s opravami).
Komentář
Porušení zabezpečení se ohlašuje dozorovému úřadu bez zbytečného odkladu, pokud možno do 72 hodin, ledaže je riziko pro práva osob nepravděpodobné. Zpracovatel hlásí správci bez zbytečného odkladu. Interní evidence všech porušení je povinná vždy, i těch neohlášených.
Související ustanovení: čl. 4 bod 12 (definice porušení); čl. 32; čl. 34 (oznámení subjektům); čl. 83 odst. 4 písm. a)
Obsah výkladu
I.Lhůta 72 hodin a co ji spouští1 II.Kdy se neohlašuje5 III.Interní evidence podle odstavce 58I. Lhůta 72 hodin a co ji spouští
1 Ohlašuje se „bez zbytečného odkladu a pokud možno do 72 hodin od okamžiku, kdy se o něm dozvěděl”. Sedmdesát dva hodin není lhůta k rozmyšlení, ale ani absolutní propadná lhůta: text sám počítá s tím, že ohlášení může přijít později, a v takovém případě žádá, aby s ním byly současně uvedeny důvody zpoždění. Zmeškání tedy povinnost neruší, jen k ní přidává další.
2 Lhůta běží od okamžiku, kdy se správce o porušení dozvěděl, tedy od chvíle, kdy má rozumnou míru jistoty, že k incidentu došlo. Ne od dokončení vyšetřování.
3 Text výslovně počítá s neúplným ohlášením: nelze-li poskytnout informace současně, mohou být poskytnuty postupně bez dalšího zbytečného odkladu. Argument „ještě nevíme rozsah” tedy ohlášení neodkládá.
4 Zpracovatel ohlašuje správci „bez zbytečného odkladu”; jeho lhůta není 72 hodin, je kratší v tom smyslu, že správci musí zbýt čas na vlastní ohlášení. Ve smlouvě podle čl. 28 se to má promítnout konkrétní lhůtou v hodinách.
II. Kdy se neohlašuje
5 Neohlašuje se, „je-li nepravděpodobné, že by toto porušení mělo za následek riziko pro práva a svobody fyzických osob”. Formulace je dvojitě negativní a nastavuje laťku nízko: k ohlášení stačí, že riziko nelze vyloučit.
6 Posouzení musí být zdokumentováno. Rozhodnutí neohlásit je rozhodnutím, které správce v případě kontroly obhajuje.
7 Časté omyly: incidentem není jen únik ven (patří sem i ztráta a zničení, viz čl. 4 bod 12), a šifrování riziko snižuje jen tehdy, je-li klíč mimo dosah útočníka.
III. Interní evidence podle odstavce 5
8 Správce dokumentuje veškerá porušení, včetně skutečností, jejich účinků a přijatých nápravných opatření, a to i ta neohlášená. Evidence slouží úřadu k ověření souladu.
9 Prakticky to znamená vést seznam incidentů s posouzením rizika u každého. Organizace, která tvrdí, že za sedm let neměla jediný incident, obvykle nemá evidenci, ne nulovou incidenci.