Na nedávném setkání pověřenců ve zdravotním sektoru s představiteli ÚOOÚ byly mj. zmíněny i časté nedostatky při hlášení možných bezpečnostních incidentů ze strany správců údajů. Následně úřad zveřejnil informace o kontrolách z prvního pololetí tohoto roku, jejichž předmětem bylo i zabezpečení osobních údajů. Pojďme si tedy stručně představit, co všechno by ohlášení takového incidentu mělo obsahovat.
Ohlásit je třeba narušení zabezpečení, které představuje riziko pro práva a svobody subjektů údajů (např. útok na počítačovou síť s cílem odcizit osobní údaje). Naopak není potřeba Úřad informovat o situacích, které bezprostřední riziko nepředstavují (dočasná neschopnost najít listinný dokument, kdy je zřejmé, že nebyl odcizen). Samotné ohlášení musí obsahovat zejména popis bezpečnostního incidentu (povaha narušení zabezpečení, kategorie dotčených fyzických osob, včetně jejich počtu a počtu dotčených dokumentů obsahujících osobní údaje), možné důsledky tohoto incidentu pro subjekty údajů, kontakt na pověřence nebo jinou odpovědnou osobu a popis opatření, které správce přijal k předejití/vyřešení nastalé situace, včetně opatření zmírňující následek incidentu. Úřad nově vytvořil elektronický formulář, který obsahuje kompletní seznam informací, které je nezbytné Úřadu sdělit. Veškeré informace je třeba Úřadu dodat do 72 hodin od okamžiku, kdy jste se o něm dozvěděli. Za určitých okolností je pak nezbytné informovat i dotčené subjekty údajů (kdy pro ně narušení zabezpečení představuje velmi vysoké riziko).
Pokud u Vás z jakýchkoliv důvodů nastala situace, která by mohla vyústit v riziko pro práva a svobody subjektů údajů, neváhejte nás informovat. Se vším Vám rádi pomůžeme, včetně komunikace incidentu s Úřadem pro ochranu osobních údajů
Předem zaškrtnuté políčko není platným souhlasem, rozhodl SDE
Soudní dvůr EU (SDEU) rozhodl, že podobná praxe provozovatelů webových stránek neodpovídá legislativě EU, konkrétně pak směrnici ePrivacy, na základě které musí být souhlas poskytnut jako zvláštní projev vůle, který musí být svobodný, výslovný a informovaný. V konkrétním případě, o kterém SDEU rozhodoval, šlo o to, že souhlas s účastí v reklamní loterii automaticky neznamená i souhlas se zpracováním osobních údajů.
Podobný souhlas v souvislosti s návštěvou webových stránek často souvisí i s používáním souboru cookies. K tomu SDEU dodal, že vedle splnění náležitostí platného souhlasu je třeba uživatele informovat o době zpracování a možném předání třetím osobám.
Co z toho pro Vás vyplývá?
Pakliže používáte elektronická zaškrtávací políčka jako souhlas se zpracováním, je nezbytné dodržet výše popsané náležitosti a zásadně automaticky nezaškrtávat tato políčka předem. Vedle toho se vyhněte navázání souhlasu na jiný projev vůle subjektu (př. účast na Vámi pořádané akci nebo kampaně) – souhlas musí být mj. výslovný a zvláštní projev vůle, tzn. že musí být oddělen od ostatních projevů vůle.
Věděli jste, že…
… soubory cookies a další podobné nástroje na internetu bude podrobněji upravovat chystané evropské nařízení ePrivacy?
Pokud si nevíte s problematikou GDPR rady, neváhejte se obrátit na naši obchodní společnost.