Další významnou novinkou, kterou zavádí Nařízení Evropského parlamentu a Rady EU č. 2016/679 (dále jen „GDPR“), je povinnost ohlásit příslušnému dozorovému úřadu a v některých případech oznámit subjektu osobních údajů tzv. případy porušení zabezpečení osobních údajů. Důležitost náležité péče o bezpečnost osobních údajů byla již nastíněna v předchozích článcích na našich stránkách, avšak s blížícím se datem nabytí účinnosti GDPR je nutné se seznámit i s dalšími povinnostmi z něj plynoucími.
Povinnost oznámit porušení zabezpečení osobních údajů existuje již nyní v některých státech Evropské unie. Jedná se například o povinnost nahlásit porušení postihující kromě poskytovatelů veřejně dostupných služeb elektronických komunikací také určité kategorie správců (Německo, Itálie), či povinnost oznámit veškerá porušení týkající se osobních údajů (Nizozemí). V Irsku například existuje kodex osvědčených postupů pro případy porušení. GDPR nově přichází s povinností vztahující se na všechny správce s výjimkou případů, kdy je nepravděpodobné, že by toto porušení mělo za následek rizika pro práva a povinnosti fyzických osob.
Ohlašování porušení zabezpečení osobních údajů úřadu
Pod pojmem porušením zabezpečení osobních údajů se dle čl. 4, odst. 12 rozumí „porušení zabezpečení, které vede k náhodnému nebo protiprávnímu zničení, ztrátě, změně nebo neoprávněnému poskytnutí nebo zpřístupnění přenášených, uložených nebo jinak zpracovávaných osobních údajů“. Jeden z požadavků GDPR proto je, aby byla ve věci zpracovávání osobních údajů přijata patřičná technická a bezpečnostní opatření, zajišťující náležité zabezpečení včetně ochrany před neoprávněným nebo protiprávním zpracováním, náhodnou ztrátou, zničením, nebo poškozením. GDPR proto požaduje, aby správci i zpracovatelé užívali takových bezpečnostních opatření, jaká lze rozumně požadovat v poměru k riziku, jež dané zpracování osobních údajů doprovází.
GDPR správcům i zpracovatelům osobních údajů ukládá povinnost ohlásit porušení zabezpečení osobních údajů vyjma těch případů, kdy je nepravděpodobné, že by došlo k omezení práv a svobod fyzické osoby. V případě, že takový následek hrozí, je správce a zpracovatel povinen dotčený subjekt informovat hned, jakmile to bude možné. S tím souvisí i to, jak je důležitá schopnost odhalit možné riziko a vyhodnotit jeho závažnost. V případě, že riziko zásahu do práv a svobod je příliš vysoké, a subjekt nebo zpracovatel porušení neohlásí dozorovému úřadu, může dozorový úřad uložit nápravná opatření, a to včetně správní pokuty. Tato správní pokuta může dosáhnout až 10 000 000 eur nebo 2 % celkového celosvětového ročního obratu. Nadto také může dojít k odhalení nedostatečnosti nebo absenci bezpečnostních a technických opatření.
Článek 35 GDPR stanovuje „Jakékoli porušení zabezpečení osobních údajů správce bez zbytečného odkladu a pokud možno do 72 hodin od okamžiku, kdy se o něm dozvěděl, ohlásí dozorovému úřadu příslušnému podle článku 55, ledaže je nepravděpodobné, že by toto porušení mělo za následek riziko pro práva a svobody fyzických osob. Pokud není ohlášení dozorovému úřadu učiněno do 72 hodin, musí být současně s ním uvedeny důvody tohoto zpoždění.“
Sporná je problematika okamžiku, kdy se správce „dozvěděl“. Jak je uvedeno v citaci výše, GDPR správci stanovuje, aby v případě porušení toto bez zbytečného odkladu ohlásil, a to, je-li to možné, do 72 hodin od okamžiku, kdy se o něm dozvěděl. Pracovní skupina WP29 v této věci vydala stanovisko, v němž má za to, že k tomuto okamžiku dojde až ve chvíli, kdy je možné správce považovat za „informovaného“. To z toho důvodu, že v některých případech porušení nemusí být zcela zřejmé, zda k porušení došlo, a pokud ano, v jaké míře, a jestli zde vyvstalo riziko negativního dopadu na práva a svobody fyzické osoby.
Ohlašuje-li správce případ porušení dozorovému úřadu, pak je mu článkem 33, odst. 3 uloženo, aby poskytl následující informace
| a) popis povahy daného případu porušení zabezpečení osobních údajů včetně, pokud je to možné, kategorií a přibližného počtu dotčených subjektů údajů a kategorií a přibližného množství dotčených záznamů osobních údajů b) jméno a kontaktní údaje pověřence pro ochranu osobních údajů nebo kontaktního místa, které může poskytnout bližší informace c) popis pravděpodobných důsledků porušení zabezpečení osobních údajů d) popis opatření, která správce přijal nebo navrhl k přijetí s cílem vyřešit dané porušení zabezpečení osobních údajů, včetně případných opatření ke zmírnění možných nepříznivých dopadů |
GDPR však také umožňuje, aby, pokud to není možné provést současně, správce poskytoval informace o porušení i postupně, a to bez zbytečného odkladu. Jak už bylo řečeno výše, správce je povinen porušení ohlásit dozorovému úřadu do 72 hodin. V případě, že ohlášení není učiněno v této lhůtě, je správce povinen toto zpoždění zdůvodnit.
Oznámení o porušení zabezpečení osobních údajů subjektu údajů
V určitých případech je správce povinen případ porušení oznámit také dotčeným subjektům.
Čl. 34, odst. 1 stanovuje, že „pokud je pravděpodobné, že určitý případ porušení zabezpečení osobních údajů bude mít za následek vysoké riziko pro práva a svobody fyzických osob, oznámí správce toto porušení bez zbytečného odkladu subjektu údajů.“ Hlavním účelem tohoto ustanovení je poskytnutí informací subjektu z toho důvodů, aby mohl sám přijmout všechna bezpečnostní opatření pro vlastní ochranu. Je nutné, aby oznámení bylo prosté jakýchkoliv dalších sdělení, bylo jasné, transparentní a pro subjekty pochopitelné.
Správce by měl subjektu poskytnout následující informace:
- popis povahy porušení
- kontaktní údaje pověřence správce
- popis pravděpodobných důsledků porušení
- popis přijatých bezpečnostních a technických opatření
Oznámení není vyžadováno v následujících třech případech:
- náležitá bezpečnostní a technická opatření byla zavedena ještě před případem porušení
- správce ihned po incidentu přijal taková opatření, že je vysoce nepravděpodobné, že se riziko ohrožení práv a svobod jednotlivce projeví
- kontaktovat jednotlivce by vyžadovalo nadměrné úsilí (např. když kontakt na jednotlivce není znám)
Na závěr je třeba uvést, že o každém porušení musí správce vést dokumentaci, a to bez ohledu na to, zda byly ohlášeny. Kromě dalšího je třeba uchovávat informace jako příčiny, popis, co se stalo a jaké osobní údaje byly dotčeny, důsledky porušení a především správcem přijatá nápravná opatření. V případě, že nedošlo k ohlášení, mělo by být zdokumentováno i zdůvodnění.