Jak opracować procedurę postępowania w przypadku naruszenia ochrony danych osobowych
Jednym z obowiązków administratora danych wynikającym z RODO będzie zgłaszanie naruszeń ochrony danych do organu nadzorczego. Należy przygotować się do realizacji tego obowiązku. Dowiedz się, jakie elementy należy zamieścić w instrukcji postępowania w przypadku naruszenia ochrony danych osobowych.
Ogólne rozporządzenie o ochronie danych (RODO) wprowadza obowiązek zgłoszenia naruszenia ochrony danych osobowych organowi nadzorczemu (w Polsce będzie to Prezes Urzędu Ochrony Danych Osobowych). Jeżeli naruszenie ochrony danych osobowych może skutkować ryzykiem naruszenia praw lub wolności osób fizycznych, administrator bez zbędnej zwłoki – w miarę możliwości, nie później niż w terminie 72 godzin po stwierdzeniu naruszenia – zgłasza je organowi nadzorczemu. Do zgłoszenia, które przekazuje się organowi nadzorczemu po upływie 72 godzin, będzie trzeba dołączyć wyjaśnienie przyczyn opóźnienia (art. 33 RODO). W określonych sytuacjach o takim naruszeniu będzie trzeba powiadomić również osobę, której dane zostały naruszone. Podmiot przetwarzający musi niezwłocznie informować administratora o wszelkich naruszeniach. Poniżej znajduje się propozycja instrukcji postępowania w przypadku takiego naruszenia.
|
Instrukcja postępowania w przypadku naruszenia ochrony danych osobowych Użytkownik jest zobowiązany powiadomić inspektora ochrony danych (lub inną osobę zajmującą się kwestiami ochrony danych, jeżeli inspektor ochrony danych nie został wyznaczony), jeśli stwierdzi, że doszło do naruszenia ochrony danych osobowych lub będzie miał podejrzenie, że mogło dojść do takiego zdarzenia. Typowe sytuacje, o których użytkownik powinien powiadomić inspektora ochrony danych: 1) ślady na drzwiach, oknach i szafach wskazują na próbę włamania, 2) zniszczenie dokumentacji zawierającej dane osobowe bez użycia niszczarki, 3) fizyczna obecność w budynku lub pomieszczeniach osób zachowujących się podejrzanie, 4) otwarte drzwi do pomieszczeń, szaf, w których przechowywane są dane osobowe, 5) ustawienie monitorów pozwalające na wgląd osób postronnych w dane osobowe, 6) wynoszenie danych osobowych w wersji papierowej i elektronicznej na zewnątrz firmy bez upoważnienia inspektora ochrony danych, 7) udostępnienie danych osobowych osobom nieupoważnionym w formie papierowej, elektronicznej i ustnej, 8) telefoniczne próby wyłudzenia danych osobowych, 9) kradzież komputerów lub CD, twardych dysków, pendrive’a z danymi osobowymi, 10) e-maile zachęcające do ujawnienia identyfikatora i/lub hasła, 11) pojawienie się wirusa komputerowego lub niestandardowe zachowanie komputerów, 12) przechowywanie haseł do systemów w pobliżu komputera. |
- Informacja publiczna na wniosek dziennikarza – czy podlega anonimizacji
- Pozyskanie zaświadczenia o niekaralności z Krajowego Rejestru Karnego może skutkować naruszeniem RODO
- Zgoda na przetwarzanie danych osobowych o zdrowiu musi być udokumentowana
- Księga główna przychodni zawiera dane osobowe o zdrowiu pacjentów
- Jak przeprowadzić analizę ryzyka dla danych osobowych w związku z wdrożeniem sztucznej inteligencji
- Samorządy muszą spodziewać się kontroli RODO
Wideo: Przegląd orzecznictwa (sierpień – listopad 2022 r.) – cz. III – decyzje zagranicznych organów nadzorczych
Poznaj najważniejsze orzeczenia zagranicznych organów nadzorczych. W podsumowaniu poruszamy zagadnienia związane m.in. z geolokalizacją, prawem dostępem do danych, cyberatakiem na gminę czy rozpoznawaniem twarzy.
