Jak zawiadomić o naruszeniu ochrony danych – 4 rady od Prezesa UODO

Przede wszystkim zawiadomienie o naruszeniu kierowane do podmiotu danych powinno zawierać

• opis charakteru naruszenia (np. przedstawienie okoliczności wystąpienia naruszenia wraz z opisem kategorii danych);
• imię i nazwisko oraz dane kontaktowe inspektora ochrony danych (jeżeli został 
  on wyznaczony) lub innego punktu kontaktowego, od którego można uzyskać więcej informacji;
• opis możliwych konsekwencji naruszenia ochrony danych osobowych (np. możliwość zaciągnięcia zobowiązań finansowych w instytucjach pozabankowych);
• opis środków zastosowanych i proponowanych przez administratora w celu zaradzenia naruszeniu ochrony danych osobowych lub zminimalizowania jego ewentualnych negatywnych skutków (np. poinformowanie o możliwości założenia konta w systemie informacji kredytowej celem monitorowania aktywności kredytowej).

Administrator musi dołożyć wszelkich starań, by zawiadomienie było zredagowane z użyciem przejrzystego i zrozumiałego języka. Prezes UODO radzi zatem, (powołując się na Wytyczne Grupy Roboczej Art. 29) by używać bezpośrednich sformułowań.

Nie mniej ważna jest spójność komunikatu. Poza tym opis możliwych skutków naruszenia i zalecenia dla podmiotu danych powinny być dostosowane do konkretnego stanu faktycznego.

Transparentność komunikatu zapewnimy dzięki oddzieleniu opisu i charakteru naruszenia od możliwych konsekwencji, środków zaradczych czy danych kontaktowych inspektora ochrony danych lub innego punktu kontaktowego, od którego można uzyskać więcej informacji.

Należy wybrać taką formę zawiadomienia, by podmiot danych miał możliwość wielokrotnego zapoznania się z jego treścią.

Obowiązkiem administratora jest zagwarantowanie jak największej szansy największą szansę właściwego przekazania informacji wszystkim osobom fizycznym, na które to naruszenie wywiera wpływ. Czasem więc konieczne może okazać się równoległe skorzystanie z różnych metod komunikacji.

Zawiadomienie musi zostać dostarczone adresatowi w możliwie najkrótszym czasie.

Administrator nie musi dokonywać bezpośredniego zamówienia, ale tylko wówczas, gdy wymagałoby to niewspółmiernie dużego wysiłku. W takim przypadku wystarczy publiczny komunikat lub podobny środek, aby w równie skuteczny sposób poinformować osoby, których dane dotyczą (art. 34 ust. 3 lit. c RODO). Zastosowanie takiego rozwiązania powinno być jednak poprzedzone wnikliwą analizą całokształtu okoliczności sprawy, tak aby administrator zgodnie z regułą rozliczalności był w stanie wykazać, iż indywidualne zawiadomienie osób, których dane dotyczą, z przyczyn obiektywnych jest utrudnione lub niemożliwe. W tym celu należy porównać wysiłek wkładany w udzielenie informacji bezpośrednio osobie, której dane dotyczą, z konsekwencjami i skutkami dla tej osoby. Co więcej taki komunikat powinien być odseparowany od innych wiadomości przesyłanych podmiotowi danych.