Twoje preferencje cookies

Wytyczne EROD · art. 7 RODO

Używamy niezbędnych plików cookie technicznych, aby platforma działała (logowanie, bezpieczeństwo, sesje). Chcielibyśmy używać także plików analitycznych, aby wiedzieć, jak ją ulepszać.

Możesz zaakceptować wszystkie, odrzucić wszystkie albo wybrać, które kategorie włączyć.Twoja zgoda jest ważna 6 miesięcy i możesz ją wycofać w każdej chwili ze stopki strony.

Wszystko znajdziesz w naszej informacji o ochronie danych.

DPO WorkspaceZacznij bezpłatnie

Art. 33-34 RODO

Naruszenia ochrony danych: jak zarządzać 72 godzinami bez paniki

Przy naruszeniu ochrony danych liczy się każda godzina od chwili, gdy administrator stwierdził naruszenie -- nie od samego zdarzenia. Uporządkowany proces obsługuje dokładnie te sekwencje: pierwszą ocenę ryzyka, decyzję o obowiązku zgłoszenia, terminowe zgłoszenie do organu nadzorczego oraz, przy wysokim ryzyku, zawiadomienie osób, których dane dotyczą.

Dla zewnętrznego IOD obsługującego wielu klientów dochodzi dodatkowa trudność: każdy klient ma inną ścieżkę zgłaszania, innych kontaktów wewnętrznych i własny licznik czasu. Wspólny arkusz dla wszystkich klientów zawodzi właśnie tam, gdzie 72 godziny nie zostawiają marginesu błędu.

Termin liczy się od stwierdzenia, nie od zdarzenia

Art. 33 ust. 1 RODO odnosi się do momentu stwierdzenia naruszenia. Dlatego kluczowe są wewnętrzne kanały zgłaszania i szybkie wykrywanie: spóźnione wykrycie wynikające z zaniedbań organizacyjnych trudno będzie uzasadnić przed Prezesem UODO powołaniem się na termin 72 godzin.

Co obejmuje prowadzony proces

  • Odliczanie 72 godzin od stwierdzenia naruszenia, z przypomnieniami
  • Wewnętrzny rejestr wszystkich naruszeń (art. 33 ust. 5)
  • Wzór zgłoszenia do organu nadzorczego (art. 33 ust. 3)
  • Wzór zawiadomienia osób przy wysokim ryzyku (art. 34)
  • Prowadzona ocena ryzyka z uzasadnieniem decyzji o zgłoszeniu lub jego braku
  • Archiwizacja w aktach klienta, powiązana z rejestrem i oceną skutków

Licznik działa, wzory są gotowe

W DPO Workspace licznik 72 godzin rusza w momencie stwierdzenia naruszenia i pozostaje powiązany z rejestrem, oceną skutków i dokumentami każdego klienta. 30 dni bezpłatnie, bez karty płatniczej.

Wypróbuj bezpłatnie

Najczęściej zadawane pytania

Od kiedy liczy się 72 godziny na zgłoszenie naruszenia?

Od momentu, w którym administrator STWIERDZIŁ naruszenie, a nie od momentu samego zdarzenia (art. 33 ust. 1 RODO). Dlatego kluczowe są wewnętrzne kanały zgłaszania i szybkie wykrywanie: stracony czas przed wykryciem nie wstrzymuje biegu terminu, a spóźnione wykrycie wynikające z zaniedbań organizacyjnych samo w sobie może być przedmiotem zarzutu.

Czy każde naruszenie trzeba zgłaszać do UODO?

Nie, tylko takie, które może powodować ryzyko naruszenia praw lub wolności osób fizycznych (art. 33 ust. 1 RODO). Przy wysokim ryzyku dochodzi dodatkowo obowiązek zawiadomienia osób, których dane dotyczą (art. 34 RODO).

Co musi zawierać zgłoszenie do organu nadzorczego?

Charakter naruszenia, kategorie i przybliżoną liczbę osób oraz wpisów, których dotyczy, imię, nazwisko i dane kontaktowe inspektora ochrony danych, prawdopodobne konsekwencje oraz podjęte lub proponowane środki zaradcze (art. 33 ust. 3 RODO). Jeśli nie wszystko jest znane w ciągu 72 godzin, zgłoszenie można uzupełniać etapami.

Czy każde naruszenie trzeba dokumentować, nawet jeśli nie podlega zgłoszeniu?

Tak. Art. 33 ust. 5 RODO wymaga wewnętrznego rejestru wszystkich naruszeń, włącznie z tymi niepodlegającymi zgłoszeniu, z faktami, skutkami i podjętymi działaniami -- jako dowód rozliczalności przed organem nadzorczym.

Który organ jest właściwy w Polsce?

Prezes Urzędu Ochrony Danych Osobowych (UODO), na podstawie ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych. Zgłoszenia składane są poprzez platformę dostępna na stronie UODO.

Naruszenia bez paniki, z właściwymi terminami

Licznik, rejestr i wzory dla każdego klienta, w jednym miejscu.

Zacznij bezpłatnie