W Twojej firmie doszło do wycieku danych kontrahentów z systemu fakturowego? Oceń ryzyko dla osób, których dane ujawniono, i udokumentuj naruszenie. Od wyniku tej oceny zależy, czy trzeba je zgłosić Prezesowi Urzędu Ochrony Danych Osobowych (UODO).
Status prawny: Komunikat przypominający obowiązujące zasady
Dla kogo: firm, które są administratorami danych osobowych, zwłaszcza po nieuprawnionym dostępie do bazy kontrahentów lub systemu fakturowego
Co robić: Po naruszeniu oceń i udokumentuj ryzyko.
Od kiedy: zasady już obowiązują (komunikat nie zmienia przepisów)
Najważniejsze: Ujawnienie wyłącznie danych przedsiębiorców dostępnych w publicznym rejestrze firm (Centralna Ewidencja i Informacja o Działalności Gospodarczej) nie oznacza automatycznie konieczności zgłoszenia, ale nie zwalnia z oceny ryzyka.
Co przypomina Urząd
- Komunikat nie wprowadza nowych przepisów i dotyczy zasad RODO, czyli ogólnego rozporządzenia o ochronie danych.
- Urząd Ochrony Danych Osobowych (UODO) przypomina, że o zgłoszeniu naruszenia decyduje rzetelna ocena ryzyka dla osób.
- Każde naruszenie trzeba udokumentować, również gdy nie zostanie zgłoszone.
Kogo dotyczy
Dotyczy: firm, które są administratorami danych osobowych, zwłaszcza po nieuprawnionym dostępie do bazy kontrahentów lub systemu fakturowego.
Co to oznacza w praktyce
- Jeżeli obok danych z rejestru ujawniono także numer PESEL (numer ewidencyjny w rejestrze Powszechnego Elektronicznego Systemu Ewidencji Ludności), informacje finansowe albo informacje o zakupach wskazujących na stan zdrowia, może to powodować ryzyko wymagające zgłoszenia.
- Przy wysokim ryzyku trzeba również zawiadomić osoby, których dane dotyczą.
Co powinien zrobić przedsiębiorca
DZIAŁAJ TERAZ
- Po naruszeniu oceń i udokumentuj ryzyko.
- Jeśli ryzyko dla osób nie jest mało prawdopodobne, zgłoś naruszenie Prezesowi Urzędu Ochrony Danych Osobowych bez zbędnej zwłoki. W miarę możliwości zrób to w ciągu 72 godzin od stwierdzenia naruszenia, a nie od samego wycieku. Gdy nie masz jeszcze wszystkich informacji, złóż zgłoszenie wstępne, a brakujące informacje przekaż bez zbędnej zwłoki po ich uzyskaniu. Jeśli zgłaszasz po 72 godzinach, wyjaśnij przyczyny opóźnienia. Przy wysokim ryzyku zawiadom też osoby, których dane dotyczą.
- Jeśli nie zgłaszasz naruszenia, zapisz w wewnętrznym rejestrze naruszeń, dlaczego ryzyko jest mało prawdopodobne.
Ten materiał omawia komunikat i wyjaśnienia Urzędu, a nie wszystkie obowiązki z RODO.
