Z. Ochońska-Borowska: Prezes UODO przypomina, kiedy zgłaszać naruszenie ochrony danych

Prezes UODO przypomina, kiedy zgłaszać naruszenie ochrony danych

W związku z niedawnymi incydentami, które dotknęły tysiące podmiotów, Prezes Urzędu Ochrony Danych Osobowych przypomniał, kiedy konieczne jest zgłoszenie naruszenia ochrony danych.

Zgodnie z RODO administrator zgłasza naruszenie bez zbędnej zwłoki, chyba że jest mało prawdopodobne, by skutkowało ono ryzykiem dla praw lub wolności osób fizycznych. O obowiązku decyduje więc rzetelna ocena ryzyka, przeprowadzana w każdym przypadku.

Zgłoszenie zazwyczaj nie będzie konieczne, gdy wyciekły wyłącznie dane przedsiębiorców jawne w CEIDG, np. imię i nazwisko, firma, NIP czy adres działalności, a tego dotyczyły niedawne zgłoszenia – chodziło bowiem głównie o nieuprawniony dostęp do baz kontrahentów i systemów fakturowych. Inaczej będzie, gdy obok nich ujawniono inne, nieupublicznione dane np. numer PESEL.

Należy pamiętać, że rezygnacja ze zgłoszenia nie zwalnia z obowiązku udokumentowania oceny ryzyka i uwzględnienia naruszenia w wewnętrznym rejestrze. Pamiętajmy też, że zgłoszenie powinno nastąpić w miarę możliwości w ciągu 72 godzin od stwierdzenia naruszenia. Spóźnione zgłoszenie wymaga wyjaśnienia przyczyn opóźnienia.

Co istotne, być może powyższe zasady zmienią się w najbliższej przyszłości – w listopadzie 2025 r. Komisja Europejska przedstawiła projekt „Digital Omnibus”, który zakłada m.in. zmiany art. 33 RODO.

Projekt przewiduje wydłużenie terminu zgłoszenia z 72 do 96 godzin, wprowadzenie wzoru zgłoszenia, a także ograniczenie zgłoszeń do naruszeń mogących skutkować wysokim ryzykiem dla praw lub wolności osób fizycznych. Ponadto planowane jest ustanowienie jednego unijnego punktu kontaktowego dla zgłoszeń.

Prace legislacyjne nadal trwają, a my na bieżąco śledzimy ten projekt!