Nowe podejście UODO od 2025 roku
Zgodnie z nowymi wytycznymi PUODO, już każde zdarzenie, które może potencjalnie skutkować naruszeniem poufności, integralności lub dostępności danych osobowych, należy traktować jako naruszenie.
Każdy administrator powinien przeprowadzić ocenę ryzyka związanego z naruszeniem ochrony danych osobowych. Za każdym razem, gdy administrator stwierdzi naruszenie ochrony danych osobowych, powinien samodzielnie ocenić, czy naruszenie może stwarzać ryzyko naruszenia praw lub wolności osób fizycznych. To właśnie wynik tej oceny decyduje o tym, czy naruszenie trzeba zgłosić do PUODO, czy należy również poinformować osoby, których dane dotyczą, czy tylko udokumentować zdarzenie.
Termin zgłoszenia: 72 godziny
Naruszenia należy zgłaszać do PUODO nie później niż w ciągu 72 godzin od ich stwierdzenia — niezależnie od tego, czy to dzień roboczy, weekend czy święto.
Co analizować?
- wagę potencjalnych konsekwencji,
- prawdopodobieństwo ich wystąpienia uwzględniając następujące okoliczności zdarzenia:
- rodzaj naruszenia (np. wyciek, utrata, nieautoryzowana modyfikacja czy dostęp),
- charakter, wrażliwość i zakres danych osobowych,
- łatwość identyfikacji osób, których dane dotyczą,
- możliwe konsekwencje (np. kradzież tożsamości, oszustwa finansowe, naruszenie prywatności),
- cechy szczególne osób, których dane dotyczą,
- cechy szczególne administratora,
- liczbę osób, których dane dotyczą.
Jakie naruszenia ochrony danych osobowych należy zgłaszać?
- jeśli ryzyko jest wysokie: konieczne jest zgłoszenie naruszenia do PUODO + zawiadomienie osób, których dane dotyczą + udokumentowanie naruszenia,
- jeśli naruszenie wiąże się z ryzykiem: obowiązkowe zgłoszenie do PUODO + udokumentowanie naruszenia.
Jeśli naruszenie jest związane z brakiem ryzyka — należy naruszenie udokumentować, ale nie zgłaszać.
Zawiadamianie osób, których dane dotyczą, o naruszeniu ochrony danych osobowych
Jeśli naruszenie może prowadzić do wysokiego ryzyka naruszenia praw i wolności osób fizycznych, Administrator powinien niezwłocznie powiadomić takie osoby o naruszeniu.
Informacja ta powinna być jasna, zrozumiała i zawierać:
- podstawowe informacje o administratorze i innych podmiotach mających związek z naruszeniem,
- okoliczności naruszenia,
- skutki lub możliwe skutki naruszenia ochrony danych osobowych dla osób, których dane dotyczą,
- podjęte lub zaplanowane działania zaradcze,
- zalecenia dotyczące środków zaradczych, które we własnym zakresie może podjąć osoba, której dane dotyczą,
- imię i nazwisko oraz dane kontaktowe IOD.
Dokumentacja zdarzeń — rejestr naruszeń. Co musi zawierać rejestr?
Rejestr naruszeń powinien obejmować:
- okoliczności naruszenia (np. data, sposób wykrycia, przyczyna, zakres danych, liczba osób dotkniętych),
- skutki lub możliwe skutki naruszenia,
- uzasadnienie oceny ryzyka,
- działania zaradcze i zapobiegawcze,
- szczegóły dotyczące zgłoszenia lub uzasadnienie niezgłoszenia,
- szczegóły dotyczące zawiadomienia osób, których dane dotyczą .
Dokumentacja naruszeń ochrony danych osobowych powinna być regularnie aktualizowana.
Rola Inspektora Ochrony Danych (IOD)
IOD pełni wyłącznie funkcję doradczą i monitorującą.
Nie może wykonywać obowiązków Administratora, do których należą, m. in.:
- zgłaszanie naruszeń ochrony danych,
- zawiadamianie osób, których dane dotyczą.
Brak odpowiedniego zarządzania naruszeniami przez Administratorów danych może skutkować poważnymi karami.
Jeśli masz wątpliwości – i potrzebujesz pomocy skonsultuj się nami. Nasza Kancelaria chętnie doradzi i może !
Joanna Mikulczyńska – radca prawny | ekspert ds. ochrony danych osobowych
NK Legal Partners
