REKLAMA

REKLAMA

Kategorie
Zaloguj się

Zarejestruj się

Proszę podać poprawny adres e-mail Hasło musi zawierać min. 3 znaki i max. 12 znaków
* - pole obowiązkowe
Przypomnij hasło
Witaj
Usuń konto
Aktualizacja danych
  Informacja
Twoje dane będą wykorzystywane do certyfikatów.

Naruszenie ochrony danych – zgłoszenie

Subskrybuj nas na Youtube
Dołącz do ekspertów Dołącz do grona ekspertów
Naruszenie ochrony danych – zgłoszenie. / fot. Shutterstock
Naruszenie ochrony danych – zgłoszenie. / fot. Shutterstock
ShutterStock

REKLAMA

REKLAMA

Do naruszenia ochrony danych dochodzi, gdy są one przetwarzane niezgodnie z RODO, polityką bezpieczeństwa czy polityką ochrony danych osobowych administratora danych. Kto i komu zgłasza naruszenie? Czy każdy taki przypadek należy zgłosić do PUOD? Co powinno zawierać zgłoszenie? Jak je udokumentować? Kto i w jaki sposób zawiadamia osobę, której dane zostały naruszone?

Naruszenie ochrony danych – z czym to się wiąże?

Dziś zajmiemy się szeroko pojętym tematem naruszenia ochrony danych. Napiszę Wam o tym: kiedy mówimy o naruszeniu ochrony danych, kto komu i w jakim terminie zgłasza naruszenie, co powinno zawierać takie zgłoszenie, jak udokumentować naruszenie, kiedy nie trzeba go zgłaszać no i wreszcie jak zawiadomić osobę, której dane wyciekły.

REKLAMA

REKLAMA

Temat jest naprawdę bardzo ważny, ponieważ pomimo naszych starań jako administratorzy, pracodawców w każdej chwili może u nas dojść do naruszenia danych i co wtedy? Zacznijmy od ustalenia  - kiedy mówimy o naruszeniu ochrony danych.

Kiedy dochodzi do naruszenia danych?

Wszelkiego rodzaju nieprawidłowości (incydenty) związane z ochroną danych osobowych w świetle RODO są traktowane jako naruszenie danych. Chodzi tu więc o wszystkie te sytuacje, w których dane osobowe były przetwarzane w sposób niezgodny z:

  • przepisami prawa powszechnie obowiązującego – RODO oraz ustawa z 10 maja 2018 roku o ochronie danych osobowych;
  • postanowieniami wewnętrznych regulacji administratora danych, np. polityką bezpieczeństwa czy polityką ochrony danych osobowych.

Polecamy: Serwis Inforlex RODO 3 m-ce + książka RODO dla kadrowych i HR

REKLAMA

Stwierdziliśmy, że doszło do naruszenia danych – co dalej ? Kto i komu zgłasza ten fakt?

Dalszy ciąg materiału pod wideo

Kto i komu zgłasza naruszenie?

Zgodnie z art. 33 RODO w przypadku takiego naruszenia ochrony danych osobowych administrator danych osobowych powinien je zgłosić do Prezesa Urzędu Ochrony Danych Osobowych (PUODO).

Administratorem danych osobowych jest na przykład pracodawca. Należy pamiętać, że RODO nie ustanawia na podmiotach innych niż administrator danych osobowych obowiązku reagowania na incydenty związane z ochroną danych osobowych. Oznacza to w szczególności, że obowiązku zgłoszenia naruszenia do PUODO nie spoczywa na żadnym z pracowników administratora. Powinni oni jednak w razie wykrycia naruszenia niezwłocznie powiadomić o tym kierownictwo, ponieważ zgłoszenia dokonuje organ reprezentujący dany podmiot, np. w przypadku spółki jest to zarząd.

Z kolei gdy podmiot przetwarzający (procesor) stwierdzi naruszenie ochrony danych osobowych, powinien zgłosić je administratorowi. I tutaj bardzo ważna rzecz, którą zawsze podkreślam podczas moich szkoleń – zwróćcie uwagę przy podpisywaniu umów powierzenia przetwarzania danych na czas jaki dajecie procesorowi na powiadomienie was jako administratorów o naruszeniu danych do jakiego ewentualnie doszło u procesora. Biorąc pod uwagę, że wy macie na zgłoszenie do PUODO 72 godziny, rekomenduję zawsze, aby w takiej umowie wpisać maksymalnie 24 godziny od wykrycia naruszenia.

Czy każdy incydent należy zgłosić do PUOD?

RODO przewiduje tylko jeden wyjątek, gdy nie trzeba dokonywać zgłoszenia naruszenia do PUODO: jeśli jest mało prawdopodobne, by naruszenie skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych.

Oznacza to, że nie zawsze naruszenie ochrony danych osobowych musi się równać z naruszeniem praw lub wolności osoby fizycznej. Jeżeli jednak istnieje chociażby ryzyko takiego naruszenia praw lub wolności to incydent należy zgłosić.

Pamiętajcie o tym, że takie zawiadomienie może złożyć każdy, nie tylko administrator! Takie zawiadomienie dokonane przez podmiot trzeci może skutkować przeprowadzeniem kontroli przez PUODO u danego administratora. A więc  z tego powodu rezygnacja z dokonania zgłoszenia powinna być gruntownie przemyślana.

Postanowiliśmy zgłosić naruszenie – co powinno zawierać takie zgłoszenie?

Zawartość zgłoszenia

Minimalna obligatoryjna treść zgłoszenia powinna zawierać:

  • opisywać charakter naruszenia ochrony danych osobowych, w tym w miarę możliwości wskazywać kategorie i przybliżoną liczbę osób, których dane dotyczą, oraz kategorie i przybliżoną liczbę wpisów danych osobowych, których dotyczy naruszenie;
  • zawierać imię i nazwisko oraz dane kontaktowe inspektora ochrony danych lub oznaczenie innego punktu kontaktowego, od którego można uzyskać więcej informacji;
  • opisywać możliwe konsekwencje naruszenia ochrony danych osobowych;
  • opisywać środki zastosowane lub proponowane przez administratora w celu zaradzenia naruszeniu ochrony danych osobowych, w tym w stosownych przypadkach środki w celu zminimalizowania jego ewentualnych negatywnych skutków.

W zgłoszeniu można zawrzeć także wszelkie inne informacje jakie administrator danych uważa za istotne dla sprawy, w tym pozwalające zminimalizować jego odpowiedzialność za naruszenie. Może się zdarzyć, że już po zgłoszeniu dotrą do was nowe informacje mające wpływ na ocenę PUODO. Wtedy powinniście je przekazać do Urzędu w kolejnej korespondencji.

Zgłoszenia naruszenia dokonuje się poprzez stronę UODO, gdzie należy wypełnić poszczególne pola – zgłoszenie jest bardzo proste i z pewnością jeśli zajdzie taka potrzeba nie sprawi wam problemu.

Należy pamiętać, że nie zawsze organem właściwym do dokonania zgłoszenia będzie polski organ nadzorczy. W przypadku gdy naruszenie dotyczy danych osób z różnych krajów Unii Europejskiej, zgłoszenie powinno zostać dokonane do tzw. wiodącego organu nadzorczego. Może nim być, ale wcale nie musi, polski organ nadzorczy czyli PUODO. Zgłoszenie do organu nadzorczego w innym Państwie członkowskim powinno mieć miejsce w przypadku przetwarzania transgranicznego. Chodzi tu o przypadki, gdy:

  • przetwarzanie danych osobowych, które odbywa się w Unii w ramach działalności jednostek organizacyjnych w więcej niż jednym państwie członkowskim administratora lub podmiotu przetwarzającego w Unii posiadającego jednostki organizacyjne w więcej niż jednym państwie członkowskim; albo
  • przetwarzanie danych osobowych, które odbywa się w Unii w ramach działalności pojedynczej jednostki organizacyjnej administratora lub podmiotu przetwarzającego w Unii, ale które znacznie wpływa lub może znacznie wpłynąć na osoby, których dane dotyczą, w więcej niż jednym państwie członkowskim.

Kolejną ważną sprawą jest dokumentowanie naruszeń.

Dokumentowanie naruszeń

RODO wymaga, aby administrator dokumentował wszelkie naruszenia ochrony danych osobowych, w tym:

  • okoliczności naruszenia ochrony danych osobowych,
  • skutki naruszenia,
  • podjęte działania zaradcze.

Jeśli dojdzie do sytuacji, że administrator nie powiadomił PUODO o naruszeniu i taka informacja nie dotarła od osób trzecich to organ nadzorczy nie ma możliwości posiadania wiedzy o danym naruszeniu. Wprowadzenie obowiązku dokumentowania wszystkich naruszeń ( i tych zgłoszonych i tych niezgłoszonych) ma pozwolić na weryfikowanie przestrzegania obowiązku dokonania zgłoszenia naruszenia.

Koresponduje to z bardziej ogólnym obowiązkiem administratora danych osobowych, zwanym zasadą rozliczalności. Zgodnie z nią administrator musi być w stanie wykazać przestrzeganie zasad ochrony danych osobowych.

Administrator powinien prowadzić tzw. rejestr naruszeń, w którym gromadzi informacje pojawiające się w całym procesie związanym z naruszeniem danych osobowych. Chodzi tu o okres od rejestracji zgłoszenia naruszenia, poprzez gromadzenie dokumentacji, aż do stworzenia kompletnego wpisu (rekordu) dotyczącego konkretnego przypadku naruszenia.

I ostania sprawa – zawiadomienie osoby której dane zostały naruszone.

Zawiadomienie osoby, której dane zostały naruszone

Pamiętajcie, że nie organ nadzorczy a właśnie administrator powinien zawiadomić osobę, której dane dotyczą, o naruszeniu ochrony danych osobowych, jeżeli może to powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych. Zawiadomienie powinno być dokonane bez zbędnej zwłoki, powinno jasnym i prostym językiem opisywać charakter naruszenia ochrony danych osobowych oraz zawierać przynajmniej:

  • imię i nazwisko oraz dane kontaktowe inspektora ochrony danych lub oznaczenie innego punktu kontaktowego, od którego można uzyskać więcej informacji;
  • możliwe konsekwencje naruszenia ochrony danych osobowych;
  • środki zastosowane lub proponowane przez administratora w celu zaradzenia naruszeniu ochrony danych osobowych, w tym w stosownych przypadkach środki w celu zminimalizowania jego ewentualnych negatywnych skutków.

Administrator nie musi jednak dokonywać zawiadomienia osoby, której dane zostały naruszone, jeśli:

  • wdrożył odpowiednie techniczne i organizacyjne środki ochrony i środki te zostały zastosowane do danych osobowych, których dotyczy naruszenie, w szczególności środki takie jak szyfrowanie, uniemożliwiające odczyt osobom nieuprawnionym do dostępu do tych danych osobowych;
  • zastosował następnie środki eliminujące prawdopodobieństwo wysokiego ryzyka naruszenia praw lub wolności osoby, której dane dotyczą;
  • zawiadomienie wymagałoby niewspółmiernie dużego wysiłku; w takim przypadku wydany zostaje publiczny komunikat lub zastosowany zostaje podobny środek, za pomocą którego osoby, których dane dotyczą, zostają poinformowane w równie skuteczny sposób.

Pamiętajcie jednak o tym, że może się zdarzyć, iż organ nadzorczy w toku prowadzonego zgłoszenia nakaże wam jako administratorowi powiadomić podmiot, którego dane zostały naruszone.

Co do zasady, jeśli już dojdzie do naruszenia ochrony danych to należy to dobrze przeanalizować i nie bać się powiadamiać o tym PUODO, gdyż takie powiadomienie wcale nie jest jednoznaczne z tym. że ktoś przyjdzie do nas na kontrolę i nałoży na nas mandatNatomiast może się tak stać, jeśli postanowimy sprawę zamieść pod dywan a organ nadzorczy dowie się o naruszeniu od osób trzecich.

Podstawa prawna:

Ustawa z dnia 10 lipca 2015 r. o zmianie ustawy o prokuraturze, ustawy o wykonywaniu mandatu posła i senatora, ustawy o ochronie danych osobowych, ustawy o Instytucie Pamięci Narodowej – Komisji Ścigania Zbrodni przeciwko Narodowi Polskiemu, ustawy o Rzeczniku Praw Dziecka oraz ustawy – Prawo o ustroju sądów powszechnych (Dziennik Ustaw rok 2015 poz. 1309)

Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych (Dziennik Ustaw rok 2018 poz. 1000)

Zapisz się na newsletter
Najlepsze artykuły, najpoczytniejsze tematy, zmiany w prawie i porady. Skoncentrowana dawka wiadomości z różnych kategorii: prawo, księgowość, kadry, biznes, nieruchomości, pieniądze, edukacja. Zapisz się na nasz newsletter i bądź zawsze na czasie.
Zaznacz wymagane zgody
loading
Zapisując się na newsletter wyrażasz zgodę na otrzymywanie treści reklam również podmiotów trzecich
Administratorem danych osobowych jest INFOR PL S.A. Dane są przetwarzane w celu wysyłki newslettera. Po więcej informacji kliknij tutaj.
success

Potwierdź zapis

Sprawdź maila, żeby potwierdzić swój zapis na newsletter. Jeśli nie widzisz wiadomości, sprawdź folder SPAM w swojej skrzynce.

failure

Coś poszło nie tak

Źródło: INFOR

Oceń jakość naszego artykułu

Dziękujemy za Twoją ocenę!

Twoja opinia jest dla nas bardzo ważna

Powiedz nam, jak możemy poprawić artykuł.
Zaznacz określenie, które dotyczy przeczytanej treści:
Autopromocja

REKLAMA

QR Code

© Materiał chroniony prawem autorskim - wszelkie prawa zastrzeżone. Dalsze rozpowszechnianie artykułu za zgodą wydawcy INFOR PL S.A.

REKLAMA

Prawo
Zapisz się na newsletter
Zobacz przykładowy newsletter
Zapisz się
Wpisz poprawny e-mail
Ustawowy zakaz zamieszczania w internecie zdjęć dzieci przez rodziców – rząd podjął decyzję po interwencji RPO

W związku z pogłębiającym się problemem tzw. sharentingu, który polega na upowszechnianiu w środowisku cyfrowym, w szczególności w mediach społecznościowych, wizerunku dzieci przez rodziców i inne osoby – na skutek podjętej w tej sprawie interwencji przez Rzecznika Praw Obywatelskich (RPO) – Ministerstwo Cyfryzacji zajęło stanowisko w sprawie wprowadzenia w Polsce generalnego, ustawowego zakazu (lub ograniczenia) zamieszczania w internecie zdjęć dzieci.

Sąd: zachowek 31.916,67 zł (1/6 udziału) i 10.638,88 zł (1/18 udziału) [Przykład]

W artykule przedstawiam przykład (za wyrokiem sądu) obliczania zachowku dla rodziny, w której spadkodawca miał trójkę dzieci i trójkę wnuków. Córka przejęła mieszkanie po ojcu na podstawie testamentu, pozostałe dzieci (i wnuki) nie otrzymali nic. Wnuki (3 osoby) dziedziczą dlatego, że ich ojciec (syn zmarłego spadkobiercy) także zmarł. Jak sąd obliczył zachowek? Przedstawiam to krok po kroku.

Abp Przybylski: Lekcje religii i etyki powinny być dla uczniów obowiązkowe [wywiad]

"Lekcje religii i etyki powinny być dla uczniów obowiązkowe" – powiedział nowy metropolita katowicki abp Andrzej Przybylski w wywiadzie dla PAP. Dodał, że człowiek z natury jest religijny i etyczny, dlatego potrzebuje wiedzy o religii i wyborach moralnych, żeby harmonijnie się rozwijać.

Na firmę i jej pracowników można nałożyć obowiązkowe świadczenia po wybuchu wojny. Pracownika powołanego do wojska firma nie może zwolnić [Prawo]

Przepisy przewidują możliwość nałożenia na firmę świadczeń rzeczowych na rzecz wojska po wybuchu wojny. Pracodawcy muszą uwzględnić ryzyko prowadzenia działalności w sytuacji rekrutacji części pracowników do służby wojskowej. Pracownicy w czasie zatrudnienia mogą wykonywać świadczenia osobiste na rzecz wojska przerywając na ten okres (jednorazowo do 7 dni) świadczenie pracy dla pracodawcy.

REKLAMA

Odpowiedź na pozew o zachowek. Jak napisać po zmianach?

Czym jest odpowiedź na pozew o zachowek i jakie ma znaczenie procesowe? Co powinno zawierać takie pismo? Prezentujemy najważniejsze informacje i aktualne przepisy.

Jawność wynagrodzeń w Polsce – co zmieni się od Wigilii 2025 roku? Jak się przygotować (checklista)? Co powinni wiedzieć pracownicy i pracodawcy?

Transparentność wynagrodzeń to temat, który od lat budzi emocje zarówno wśród pracowników, jak i pracodawców. Z jednej strony – jawne płace to większa równość i eliminacja dyskryminacji płacowej. Z drugiej – to rewolucja w podejściu do rekrutacji, polityki kadrowej i zarządzania firmą. W dniu 24 grudnia 2025 roku wejdzie w życie nowelizacja Kodeksu pracy - Ustawa z 4 czerwca 2025 r. o zmianie ustawy – Kodeks pracy, która nałoży na pracodawców szereg nowych obowiązków związanych z jawnością wynagrodzeń. Jest to efekt wdrażania unijnej Dyrektywy Parlamentu Europejskiego i Rady (UE) 2023/970 z 10 maja 2023 r., której celem jest wzmocnienie stosowania zasady równego wynagrodzenia kobiet i mężczyzn za taką samą pracę lub pracę o tej samej wartości.

Składki emerytalne, rentowe i zdrowotne za opiekuna osoby ze świadczeniem wspierającym zapłaci budżet państwa. Jakie warunki trzeba spełnić? Konieczny wniosek do ZUS

Od 1 stycznia 2024 r. opiekunowie osób pobierających świadczenie wspierające mogą zostać objęci ubezpieczeniem emerytalnym, rentowym i zdrowotnym. Składki w całości finansuje budżet państwa. Wystarczy złożyć elektroniczny wniosek do ZUS. Opiekun zgłoszony do ubezpieczenia zdrowotnego z tytułu sprawowania opieki nad osobą pobierającą świadczenie wspierające może zgłosić do tego ubezpieczenia także członków swojej rodziny.

Opinia Rzecznika Generalnego TSUE ws. WIBOR – kto faktycznie wygrał? Banki, czy kredytobiorcy - "wiborowicze"?

W dniu 11 września 2025 r. została wydana z dawana wyczekiwana opinia Rzecznika Generalnego (właściwie Rzecznik Generalnej) TSUE dotycząca WIBOR, w sprawie C-471/24, gdzie pozwanym jest PKO BP. Pytania prejudycjalne w tej sprawie zadał Sąd Okręgowy w Częstochowie.Wielu uznawało, że odpowiedzi będą absolutnie kluczowe dla spraw z powództwa „wiborowiczów” przeciwko bankom. Nic dziwnego, że po ogłoszeniu opinii każda ze stron – zarówno banki, jak i konsumenci – prześcigają się w ogłaszaniu swojej wygranej w mediach.

REKLAMA

Sejm: Od 900 zł do 1800 zł dla mundurowych - bo na około 160 000 funkcjonariuszy przypada zasób mieszkaniowy niespełna 9000 lokali

Projekt ustawy obejmuje Policję, Straż Graniczną, Państwową Straż Pożarną i Służbę Ochrony Państwa. Dotyczy także funkcjonariuszy Agencji Bezpieczeństwa Wewnętrznego, Agencji Wywiadu, Służby Wywiadu Wojskowego i Służby Kontrwywiadu Wojskowego. I pracuje nad nim odpowiednia komisja sejmowa. Sama ustawa - tak ważna dla funkcjonariuszy i żołnierzy - już niebawem będzie uchwalona.

Osoba niepełnosprawna, PFRON i UP: Wyciągano bzdurne i bezzasadne zarzuty żeby tylko dotacji nie przyznać. Np. bo 17 lat temu dostałem dotację z UP jako osoba młoda i sprawna, że lata wcześniej kierowano mnie na kursy

Redakcja Infor.pl otrzymuje sygnały od czytelników, że nie jest łatwo osobom niepełnosprawnym otrzymać dotację z PFRON na rozpoczęcie działalności gospodarczej. Publikujemy list od czytelnika, który takiej dotacji nie otrzymał.

REKLAMA