Strona głównaUsługiAnaliza naruszeń
Naruszenie ochrony danych: doba na ocenę, od której może zależeć kara
Prowadzimy analizę naruszeń od zgłoszenia po decyzję o powiadomieniu organu. Z liczeniem terminów, oceną ryzyka według naszej metodyki i dokumentacją, która obroni się podczas kontroli.
Na czym polega problem
Zegar rusza w momencie stwierdzenia, nie w momencie decyzji
Termin z art. 33 RODO wynosi 72 godziny i biegnie od chwili stwierdzenia naruszenia. Na samą ocenę ryzyka dla praw i wolności osób zostaje z tego doba, najwyżej dwie – resztę pochłania ustalenie faktów i przygotowanie zgłoszenia. Właśnie ta ocena jest najtrudniejszym elementem całej procedury.
Najczęstsze błędy są dwa i oba kosztowne. Pierwszy: zgłaszanie wszystkiego, co wygląda niepokojąco. Drugi: zwlekanie z oceną do momentu, gdy termin już minął.
Inaczej liczy się czas, gdy przetwarzają Państwo dane na zlecenie innej organizacji. Podmiot przetwarzający nie zgłasza naruszenia Prezesowi UODO, tylko bez zbędnej zwłoki zawiadamia administratora (art. 33 ust. 2 RODO), a 72 godziny liczy już administrator. Umowy powierzenia często skracają czas na to zawiadomienie do 24 albo 48 godzin, więc warto go znać przed pierwszym zdarzeniem.
Zegar
Co się dzieje w pierwszych trzech dobach
Terminy z RODO liczy się od stwierdzenia naruszenia. Poniższa oś pokazuje, co musi zdążyć się wydarzyć i w jakiej kolejności. Pierwsze godziny decydują o tym, czy w ogóle da się te terminy dotrzymać.
0 h
do 24 h
do 72 h
bez zwłoki
Podlegają Państwo także NIS2? Zegar jest krótszy
Dyrektywa wymaga wczesnego ostrzeżenia w ciągu dwudziestu czterech godzin, zgłoszenia właściwego w ciągu siedemdziesięciu dwóch i sprawozdania końcowego w ciągu miesiąca. Jedno zdarzenie może uruchomić oba reżimy naraz, a terminy biegną wtedy równolegle i niezależnie od siebie.
Jak wspieramy
Od zgłoszenia do decyzji, z dowodem na każdym kroku
Zgłoszenie przez formularz
Pracownik zgłasza zdarzenie odnośnikiem, bez logowania. Data i godzina zapisują się automatycznie.
Liczenie terminu
Widać, ile czasu zostało do upływu terminu zgłoszenia do organu, licząc od stwierdzenia.
Ocena ryzyka według metodyki
Pytania prowadzą przez ocenę skutków dla osób. Ryzyko liczone jest tą samą skalą co pozostałe ryzyka w organizacji.
Dwie perspektywy
Osobny formularz dla zgłaszającego i osobny dla konsultanta. Zgłaszający opisuje fakty, ocenę prawną robi ekspert.
Rekomendacja decyzji
Zgłaszać czy nie, zawiadamiać osoby czy nie. Z uzasadnieniem, które zostaje w dokumentacji.
Rejestr naruszeń
Obowiązek z art. 33 ust. 5 prowadzony na bieżąco: rodzaj naruszenia, okoliczności, skutki, podjęte środki.
Jak to wygląda w systemie
Zgłoszenie, ocena i działania w jednym miejscu
Osoba zgłaszająca odpowiada na pytania, a system prowadzi sprawę dalej: opis zdarzenia, ocenę ryzyka, decyzję o zawiadomieniu organu i podjęte działania.
Każdy krok ma datę i autora. Gdy organ zapyta, co zrobiono w pierwszych godzinach, odpowiedź jest gotowa, a nie odtwarzana z pamięci.
Czego nie robimy
Nie zastępujemy Państwa w decyzji
Decyzję o zgłoszeniu podejmuje administrator. Naszą rolą jest przygotowanie oceny, wskazanie argumentów po obu stronach i przedstawienie rekomendacji wraz z uzasadnieniem.
Jeżeli rekomendujemy zgłoszenie, przygotowujemy jego treść i wspieramy w korespondencji z organem. Jeżeli rekomendujemy odstąpienie, dokumentujemy powody, bo brak zgłoszenia też wymaga uzasadnienia.
Z bloga na ten temat
Pisaliśmy o tym szerzej
-
Zmiany w RODO 2025 – Digital Omnibus | Omówienie cz. 4. Pojedynczy punkt kontaktowy do zgłaszania incydentów
Digital Omnibus: pojedynczy punkt kontaktowy do zgłaszania incydentów, próg wysokiego ryzyka w art. 33 RODO i termin naruszenia wydłużony z 72 do…
-
UODO i RODO: ryzyko dla praw i wolności a konieczność zgłoszenia naruszenia
UODO & RODO -> Urząd Ochrony Danych Osobowych (UODO) przedstawił zaktualizowany poradnik dotyczący naruszeń. W jego treści możemy znaleźć m.in.: nowe wytyczne…
-
Nie ma automatycznego uprawnienia do odszkodowania z tytułu samego naruszenia RODO
Wyrok TSUE może być przydatny przy ocenie żądań osób, które otrzymały pojedynczą wiadomość zawierającą informację handlową i które twierdzą, że nie wyraziły…
Bardzo cenimy sobie u pracowników Auraco wysokie kompetencje, posiadaną wiedzę oraz dbałość o dobro klienta. W obliczu zaistniałego problemu, zawsze możemy liczyć na ich szybki odzew oraz wsparcie merytoryczne.
Polskie Centrum Badań i Certyfikacji S.A.
z referencji, publikacja za zgodą
Jak się rozliczamy
Obsługa pojedynczego zdarzenia jest wyceniana osobno. Klienci objęci stałą obsługą mają ją w abonamencie wraz z telefonem alarmowym, bo naruszenie rzadko zdarza się w godzinach pracy.
Pytania i odpowiedzi
Naruszenie: pytania z pierwszej godziny
Ile mamy czasu na zgłoszenie do UODO?
Siedemdziesiąt dwie godziny od stwierdzenia naruszenia, zgodnie z art. 33 ust. 1 RODO. Liczy się moment stwierdzenia, nie moment zdarzenia, ale zwlekanie ze stwierdzeniem nie przesuwa terminu. Zgłoszenie po terminie jest wciąż lepsze niż jego brak, wymaga natomiast wyjaśnienia opóźnienia.
Czy każde naruszenie trzeba zgłaszać?
Nie. Zgłoszenia wymaga naruszenie, które może powodować ryzyko naruszenia praw lub wolności osób. Ocena tego ryzyka musi jednak zostać przeprowadzona i udokumentowana, a jej wynik wpisany do wewnętrznego rejestru – ten obowiązek z art. 33 ust. 5 dotyczy wszystkich naruszeń, także tych niezgłaszanych.
Kiedy trzeba zawiadomić osoby, których dane wyciekły?
Gdy ryzyko jest wysokie, a nie tylko możliwe. Art. 34 RODO zwalnia z zawiadomienia między innymi wtedy, gdy dane były zaszyfrowane w sposób uniemożliwiający odczyt. Zaszyfrowany dysk laptopa istotnie zmienia kwalifikację zdarzenia, o ile klucz nie był przechowywany razem z nim.
Co robić w pierwszej godzinie?
Zatrzymać rozprzestrzenianie się, zabezpieczyć ślady i uruchomić ustaloną wcześniej ścieżkę decyzyjną. Najgorsze, co można zrobić, to zacząć od kasowania: usunięcie logów pozbawia organizację jedynego dowodu na to, jaki był rzeczywisty zakres zdarzenia.
Mają Państwo procedurę na wypadek naruszenia? Warto sprawdzić ją przed pierwszym zdarzeniem
Przy obsłudze IOD reagujemy również poza godzinami pracy.
