Kim jest właściwy organ do zgłaszania naruszeń danych osobowych?
W Polsce podstawowym organem odpowiedzialnym za nadzór nad ochroną danych osobowych jest Prezes Urzędu Ochrony Danych Osobowych (UODO). To właśnie do niego należy kierować zgłoszenia dotyczące naruszeń ochrony danych osobowych. W sytuacji, gdy naruszenie ma charakter transgraniczny lub dotyczy podmiotów działających w innych krajach Unii Europejskiej, zgłoszenia kieruje się do odpowiedniego organu nadzorczego w danym państwie członkowskim UE.
Prezes UODO pełni funkcję strażnika praw obywateli w zakresie ochrony danych, dlatego jego rola jest kluczowa wobec incydentów zagrażających prawom i wolnościom osób fizycznych.
Jak przebiega proces zgłaszania naruszenia danych osobowych?
Proces zgłoszenia naruszenia danych osobowych jest wieloetapowy i rozpoczyna się od wewnętrznej komunikacji w organizacji. Zazwyczaj pierwszym krokiem jest zgłoszenie naruszenia przez pracownika do Inspektora Ochrony Danych (IOD) lub osoby odpowiedzialnej za bezpieczeństwo danych w firmie, a następnie do zarządu.
W przypadku potwierdzenia naruszenia, administrator danych ma obowiązek zgłosić to naruszenie do Prezesa UODO bez zbędnej zwłoki, nie później niż w ciągu 72 godzin od momentu stwierdzenia incydentu. Termin ten liczy się od momentu, gdy administrator dowiedział się o naruszeniu, a nie od momentu jego wystąpienia.
Jeżeli zgłoszenie następuje po upływie 72 godzin, konieczne jest dołączenie wyjaśnienia przyczyn opóźnienia. W zgłoszeniu powinny znaleźć się szczegółowe informacje takie jak nazwa administratora, opis charakteru naruszenia, kategorie i liczba osób poszkodowanych oraz podjęte lub planowane działania naprawcze.
Co powinno zawierać zgłoszenie naruszenia danych osobowych?
Dokładny i merytoryczny opis naruszenia jest fundamentem skutecznego zgłoszenia do organu nadzorczego. W zgłoszeniu muszą znaleźć się następujące elementy:
- Nazwa administratora danych – podmiot odpowiedzialny za przetwarzanie danych.
- Opis charakteru naruszenia – dokładne przedstawienie, na czym polegało naruszenie, jak doszło do incydentu oraz jego potencjalne konsekwencje.
- Kategorie danych osobowych, których dotyczy naruszenie, np. dane identyfikacyjne, zdrowotne czy finansowe.
- Szacunkowa liczba poszkodowanych osób – ile osób zostało dotkniętych naruszeniem.
- Podjęte lub planowane działania – sposób reagowania na incydent i środki zapobiegawcze, które mają ograniczyć skutki naruszenia.
W przypadku zgłoszenia skargi do Prezesa UODO przez osobę fizyczną, musi ona zawierać imię i nazwisko zgłaszającego, adres zamieszkania, wskazanie podmiotu (nazwa lub nazwisko i adres), opis naruszenia oraz podpis. Skarga może być złożona na piśmie, ustnie do protokołu lub drogą elektroniczną.
Jakie są formy zgłoszenia naruszenia do Prezesa UODO?
Obecnie zgłoszenia naruszeń danych osobowych można dokonać na kilka sposobów, co ułatwia i przyspiesza cały proces:
- Elektronicznie – poprzez dedykowany formularz dostępny na stronie uodo.gov.pl lub platformie biznes.gov.pl.
- Tradycyjną pocztą – wysyłając zgłoszenie na adres siedziby UODO: ul. Stawki 2, 00-193 Warszawa.
- Ustnie do protokołu – po wcześniejszym umówieniu wizyty w siedzibie urzędu.
Elektroniczna forma zgłoszenia jest obecnie najczęściej wybierana ze względu na wygodę i szybkość przekazania informacji.
Kiedy zgłoszenie naruszenia danych osobowych jest obowiązkowe?
Obowiązek zgłoszenia naruszenia danych osobowych do Prezesa UODO wynika przede wszystkim z konieczności oceny ryzyka naruszenia praw i wolności osób fizycznych. Zgłoszenia nie trzeba dokonywać w przypadku, gdy naruszenie jest mało prawdopodobne, by skutkowało ryzykiem naruszenia tych praw.
W praktyce oznacza to, że jeśli incydent może powodować szkody, takie jak kradzież tożsamości, naruszenie prywatności czy inne poważne konsekwencje dla osób, których dane dotyczą, zgłoszenie jest konieczne.
W sytuacji, gdy administrator danych nie podejmuje odpowiednich działań lub jego reakcja jest niewystarczająca, osoby poszkodowane mogą złożyć skargę bezpośrednio do Prezesa UODO, co gwarantuje ochronę ich praw i umożliwia wszczęcie postępowania wyjaśniającego.
Jakie działania można oczekiwać po zgłoszeniu naruszenia?
Po zgłoszeniu naruszenia danych osobowych Prezes UODO podejmuje odpowiednie kroki, które mogą obejmować:
- Usunięcie danych – jeśli jest to konieczne dla ochrony osób poszkodowanych.
- Wypełnienie obowiązku informacyjnego – czyli poinformowanie osób, których dane zostały naruszone, o zaistniałym incydencie i podjętych działaniach.
- Sprostowanie danych – korektę błędnych lub nieaktualnych danych.
- Ograniczenie przetwarzania danych – w celu zminimalizowania ryzyka dalszego naruszenia.
Cały proces ma na celu nie tylko zminimalizowanie skutków incydentu, ale także zwiększenie bezpieczeństwa danych na przyszłość.
Materiały źródłowe
- https://www.biznes.gov.pl/pl/portal/ou891
- https://inspektorzyodo.pl/zgloszenie-naruszenia/
- https://gdpr.pl/baza-wiedzy/akty-prawne/interaktywny-tekst-gdpr/artykul-33-zglaszanie-naruszenia-ochrony-danych-osobowych-organowi-nadzorczemu
- https://powszechnasamoobrona.pl/naruszenie-ochrony-danych-osobowych-gdzie-zglosic/
- https://ratio-go.pl/gdzie-zglosic-naruszenie-rodo/