DPO WorkspaceZacznij bezpłatnie

Art. 33-34 RODO

Naruszenia ochrony danych: jak zarządzać 72 godzinami bez paniki

Przy naruszeniu ochrony danych liczy się każda godzina od chwili, gdy administrator stwierdził naruszenie -- nie od samego zdarzenia. Uporządkowany proces obsługuje dokładnie te sekwencje: pierwszą ocenę ryzyka, decyzję o obowiązku zgłoszenia, terminowe zgłoszenie do organu nadzorczego oraz, przy wysokim ryzyku, zawiadomienie osób, których dane dotyczą.

Dla zewnętrznego IOD obsługującego wielu klientów dochodzi dodatkowa trudność: każdy klient ma inną ścieżkę zgłaszania, innych kontaktów wewnętrznych i własny licznik czasu. Wspólny arkusz dla wszystkich klientów zawodzi właśnie tam, gdzie 72 godziny nie zostawiają marginesu błędu.

Termin liczy się od stwierdzenia, nie od zdarzenia

Art. 33 ust. 1 RODO odnosi się do momentu stwierdzenia naruszenia. Dlatego kluczowe są wewnętrzne kanały zgłaszania i szybkie wykrywanie: spóźnione wykrycie wynikające z zaniedbań organizacyjnych trudno będzie uzasadnić przed Prezesem UODO powołaniem się na termin 72 godzin.

Co obejmuje prowadzony proces

  • Odliczanie 72 godzin od stwierdzenia naruszenia, z przypomnieniami
  • Wewnętrzny rejestr wszystkich naruszeń (art. 33 ust. 5)
  • Wzór zgłoszenia do organu nadzorczego (art. 33 ust. 3)
  • Wzór zawiadomienia osób przy wysokim ryzyku (art. 34)
  • Prowadzona ocena ryzyka z uzasadnieniem decyzji o zgłoszeniu lub jego braku
  • Archiwizacja w aktach klienta, powiązana z rejestrem i oceną skutków

Licznik działa, wzory są gotowe

W DPO Workspace licznik 72 godzin rusza w momencie stwierdzenia naruszenia i pozostaje powiązany z rejestrem, oceną skutków i dokumentami każdego klienta. 30 dni bezpłatnie, bez karty płatniczej.

Wypróbuj bezpłatnie

Najczęściej zadawane pytania

Od kiedy liczy się 72 godziny na zgłoszenie naruszenia?

Od momentu, w którym administrator STWIERDZIŁ naruszenie, a nie od momentu samego zdarzenia (art. 33 ust. 1 RODO). Dlatego kluczowe są wewnętrzne kanały zgłaszania i szybkie wykrywanie: stracony czas przed wykryciem nie wstrzymuje biegu terminu, a spóźnione wykrycie wynikające z zaniedbań organizacyjnych samo w sobie może być przedmiotem zarzutu.

Czy każde naruszenie trzeba zgłaszać do UODO?

Nie, tylko takie, które może powodować ryzyko naruszenia praw lub wolności osób fizycznych (art. 33 ust. 1 RODO). Przy wysokim ryzyku dochodzi dodatkowo obowiązek zawiadomienia osób, których dane dotyczą (art. 34 RODO).

Co musi zawierać zgłoszenie do organu nadzorczego?

Charakter naruszenia, kategorie i przybliżoną liczbę osób oraz wpisów, których dotyczy, imię, nazwisko i dane kontaktowe inspektora ochrony danych, prawdopodobne konsekwencje oraz podjęte lub proponowane środki zaradcze (art. 33 ust. 3 RODO). Jeśli nie wszystko jest znane w ciągu 72 godzin, zgłoszenie można uzupełniać etapami.

Czy każde naruszenie trzeba dokumentować, nawet jeśli nie podlega zgłoszeniu?

Tak. Art. 33 ust. 5 RODO wymaga wewnętrznego rejestru wszystkich naruszeń, włącznie z tymi niepodlegającymi zgłoszeniu, z faktami, skutkami i podjętymi działaniami -- jako dowód rozliczalności przed organem nadzorczym.

Który organ jest właściwy w Polsce?

Prezes Urzędu Ochrony Danych Osobowych (UODO), na podstawie ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych. Zgłoszenia składane są poprzez platformę dostępna na stronie UODO.

Naruszenia bez paniki, z właściwymi terminami

Licznik, rejestr i wzory dla każdego klienta, w jednym miejscu.

Zacznij bezpłatnie

Najnowsze rozstrzygnięcia w tym temacie

Analiza z punktu widzenia tego, kto musi je stosować.