Musíme hlásit incident, když nakonec nic neuniklo?

Kdy vzniká povinnost incident nahlásit

Povinnost hlásit incident Úřadu pro ochranu osobních údajů (ÚOOÚ) vzniká podle GDPR vždy, když je pravděpodobné, že incident bude mít za následek riziko pro práva a svobody fyzických osob · nikoliv teprve tehdy, když k úniku dat skutečně a prokazatelně došlo.

Konkrétně článek 33 GDPR ukládá správci osobních údajů oznámit porušení zabezpečení dozorovému úřadu do 72 hodin od zjištění, pokud je taková pravděpodobnost dána. Klíčové je slovo „pravděpodobné“. Zákon nevyžaduje jistotu, že k újmě došlo, stačí reálná a nezanedbatelná možnost. Výjimka z oznamovací povinnosti platí tam, kde je riziko nepravděpodobné. Typicky jde o situace, kdy:

• data byla šifrovaná silným algoritmem a šifrovací klíč zůstal v bezpečí,
• zařízení s daty bylo rychle vzdáleně vymazáno dřív, než k němu měl kdokoliv přístup,
• incident se týkal informací, které jsou už veřejně dostupné,
• šlo o čistě interní chybu bez přístupu neoprávněné osoby zvenčí.

Jak posoudit riziko, když se zdá, že k úniku nedošlo

I bez potvrzeného úniku je nutné provést formální posouzení rizika. Spoléhat na dojem, že „se vlastně nic nestalo“, nestačí · dojem není důkaz a při kontrole ÚOOÚ neobstojí.

Posouzení rizika by mělo zahrnovat tyto kroky:

1. Určit typ dotčených osobních údajů · citlivé kategorie (zdravotní stav, rodná čísla, přihlašovací údaje) zvyšují riziko výrazně víc než běžné kontaktní údaje.
2. Odhadnout počet dotčených osob a záznamů.
3. Posoudit snadnost identifikace konkrétní osoby z dotčených dat.
4. Zvážit závažnost možných důsledků · finanční ztrátu, diskriminaci, poškození pověsti, ztrátu důvěrnosti.
5. Zohlednit, zda mezi dotčenými nejsou zranitelné skupiny, například děti.
6. Vyhodnotit, zda šlo o izolovaný incident, nebo o signál systémové chyby v zabezpečení.

V auditech CIAD se opakovaně ukazuje, že firmy toto posouzení buď neprovádí vůbec, nebo je udělají neformálně, ústně a bez záznamu. Z pohledu důkazního břemene je to stejně rizikové jako incident samotný.

Jak doložit rozhodnutí incident nehlásit

Rozhodnutí nehlásit musí mít písemnou dokumentaci s odůvodněním. Bez ní při kontrole nemáte čím prokázat, že jste postupovali podle GDPR.

Nařízení v článku 33 odstavec 5 ukládá vést záznamy o všech porušeních zabezpečení osobních údajů bez ohledu na to, zda byly nakonec nahlášeny dozorovému úřadu. Záznam by měl obsahovat:

1. Popis incidentu · co se stalo, kdy a jak byl zjištěn.
2. Kategorie a přibližný počet dotčených osob a záznamů.
3. Provedené posouzení rizika včetně odůvodnění závěru, proč se riziko považuje za nepravděpodobné.
4. Přijatá nápravná a preventivní opatření.

Bez tohoto záznamu hrozí sankce nikoli za samotné nenahlášení, ale za porušení evidenční povinnosti. Stát se to může klidně i v situaci, kdy věcné rozhodnutí nehlásit bylo správné.

Modelový příklad z praxe

Firma provozující e-shop zjistí, že zaměstnanec omylem poslal soubor se jmény a e-mailovými adresami asi dvou set zákazníků internímu kolegovi místo externímu dodavateli. Soubor neobsahoval hesla ani platební údaje, kolega ho po upozornění ihned smazal a podepsal prohlášení o mlčenlivosti. Firma provede posouzení: riziko zneužití je nízké, protože data zůstala uvnitř organizace a nedostala se k neoprávněné třetí straně. Rozhodne se incident nehlásit ÚOOÚ, ale sepíše interní záznam s popisem události, provedeným posouzením rizika a opatřeními do budoucna · proškolením zaměstnance a kontrolou nastavení automatického doplňování adresátů v e-mailovém klientovi.

Co to znamená: Otázka „hlásit, nebo nehlásit“ se neřeší podle toho, zda k úniku skutečně došlo, ale podle toho, jaké riziko incident objektivně představuje pro dotčené osoby. I když se rozhodnete nehlásit, musíte mít proces posouzení rizika a jeho výsledek písemně zaznamenaný. Právě to vás při případné kontrole ochrání, ne samotná správnost rozhodnutí.