Zgłaszanie incydentów do Prezesa Urzędu Ochrony Danych Osobowych
|
RODO nakłada na administratorów danych nowy obowiązek zgłaszania naruszenia ochrony danych osobowych organowi nadzorczemu.
Zgłaszanie incydentów do Prezesa Urzędu Ochrony Danych Osobowych
RODO nakłada na administratorów danych nowy obowiązek zgłaszania naruszenia ochrony danych osobowych organowi nadzorczemu. Organem nadzorczym w Polsce będzie Prezes Urzędu Ochrony Danych Osobowych (PUODO). W przypadku naruszenia ochrony danych osobowych np. włamania do systemu, nieuprawnionego skopiowania danych, kradzieży nośników zawierających dane osobowe, administrator bez zbędnej zwłoki - w miarę możliwości, nie później niż w terminie 72 godzin po stwierdzeniu naruszenia będzie musiał zgłosić je organowi nadzorczemu. Takiego zgłoszenia nie trzeba będzie dokonywać, jeżeli będzie mało prawdopodobne, by naruszenie to skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych. Takie sformułowanie przepisu zobowiązuje administratora danych do opracowania instrukcji postępowania z incydentami (naruszeniami ochrony danych osobowych). Należy w niej zdefiniować zagrożenia, opracować zasady postępowania w sytuacji wystąpienia incydentu oraz procedurę postępowania po incydencie.
Jeżeli naruszenie miało miejsce u podmiotu przetwarzającego dane np. u zewnętrznej firmy informatycznej, wówczas podmiot przetwarzający po stwierdzeniu naruszenia ochrony danych osobowych bez zbędnej zwłoki będzie musiał je zgłosić administratorowi.
Administrator danych będzie musiał dokumentować wszelkie naruszenia ochrony danych osobowych, w tym okoliczności naruszenia ochrony danych osobowych, jego skutki oraz podjęte działania zaradcze. Dokumentacja ta musi pozwolić organowi nadzorczemu na weryfikowanie przestrzegania przepisów w tym zakresie.
Jeżeli naruszenie ochrony danych osobowych może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych, administrator bez zbędnej zwłoki będzie musiał zawiadomić osobę, której dane dotyczą, o takim naruszeniu. Takie zawiadomienie nie będzie wymagane gdy:
- administrator wdrożył odpowiednie techniczne i organizacyjne środki ochrony i środki te zostały zastosowane do danych osobowych, których dotyczy naruszenie, w szczególności środki takie jak szyfrowanie, uniemożliwiające odczyt osobom nieuprawnionym do dostępu do tych danych osobowych,
- administrator zastosował następnie środki eliminujące prawdopodobieństwo wysokiego ryzyka naruszenia praw lub wolności osoby, której dane dotyczą,
- wymagałoby ono niewspółmiernie dużego wysiłku.
W takim przypadku musi zostać jednak wydany publiczny komunikat lub inny podobny środek, za pomocą którego osoby, których dane dotyczą, zostaną poinformowane w równie skuteczny sposób. Jeżeli administrator nie zawiadomi osoby, której dane dotyczą, o naruszeniu ochrony danych osobowych, organ nadzorczy - biorąc pod uwagę prawdopodobieństwo, że to naruszenie ochrony danych osobowych spowoduje wysokie ryzyko - może od niego tego zażądać lub może stwierdzić, że nie jest to wymagane.
link:http://outsourcing-kip.pl/wiadomosci/zglaszanie-incydentow-do-prezesa-urzedu-ochrony-danych-osobowych
Nadesłał:
Outsourcing kadry i płace
http://outsourcing-kip.pl 
|
