Zgłaszanie incydentów do Prezesa Urzędu Ochrony Danych Osobowych
Jesteśmy małą firmą. Przetwarzamy jedynie dane pracowników i klientów. Czy będzie dotyczył nas obowiązek zgłaszania incydentów do organu nadzorczego? Jeśli tak, to jak się do tego przygotować?
RODO nakłada na administratorów danych nowy obowiązek zgłaszania naruszenia ochrony danych osobowych organowi nadzorczemu. Organem nadzorczym w Polsce będzie Prezes Urzędu Ochrony Danych Osobowych (PUODO). W przypadku naruszenia ochrony danych osobowych np. włamania do systemu, nieuprawnionego skopiowania danych, kradzieży nośników zawierających dane osobowe, administrator bez zbędnej zwłoki - w miarę możliwości, nie później niż w terminie 72 godzin po stwierdzeniu naruszenia będzie musiał zgłosić je organowi nadzorczemu. Takiego zgłoszenia nie trzeba będzie dokonywać, jeżeli będzie mało prawdopodobne, by naruszenie to skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych. Takie sformułowanie przepisu zobowiązuje administratora danych do opracowania instrukcji postępowania z incydentami (naruszeniami ochrony danych osobowych). Należy w niej zdefiniować zagrożenia, opracować zasady postępowania w sytuacji wystąpienia incydentu oraz procedurę postępowania po incydencie.
Jeżeli naruszenie miało miejsce u podmiotu przetwarzającego dane np. u zewnętrznej firmy informatycznej, wówczas podmiot przetwarzający po stwierdzeniu naruszenia ochrony danych osobowych bez zbędnej zwłoki będzie musiał je zgłosić administratorowi.
Administrator danych będzie musiał dokumentować wszelkie naruszenia ochrony danych osobowych, w tym okoliczności naruszenia ochrony danych osobowych, jego skutki oraz podjęte działania zaradcze. Dokumentacja ta musi pozwolić organowi nadzorczemu na weryfikowanie przestrzegania przepisów w tym zakresie.
Jeżeli naruszenie ochrony danych osobowych może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych, administrator bez zbędnej zwłoki będzie musiał zawiadomić osobę, której dane dotyczą, o takim naruszeniu. Takie zawiadomienie nie będzie wymagane gdy:
- administrator wdrożył odpowiednie techniczne i organizacyjne środki ochrony i środki te zostały zastosowane do danych osobowych, których dotyczy naruszenie, w szczególności środki takie jak szyfrowanie, uniemożliwiające odczyt osobom nieuprawnionym do dostępu do tych danych osobowych,
- administrator zastosował następnie środki eliminujące prawdopodobieństwo wysokiego ryzyka naruszenia praw lub wolności osoby, której dane dotyczą,
- wymagałoby ono niewspółmiernie dużego wysiłku.
W takim przypadku musi zostać jednak wydany publiczny komunikat lub inny podobny środek, za pomocą którego osoby, których dane dotyczą, zostaną poinformowane w równie skuteczny sposób. Jeżeli administrator nie zawiadomi osoby, której dane dotyczą, o naruszeniu ochrony danych osobowych, organ nadzorczy - biorąc pod uwagę prawdopodobieństwo, że to naruszenie ochrony danych osobowych spowoduje wysokie ryzyko - może od niego tego zażądać lub może stwierdzić, że nie jest to wymagane.
| Jeśli nie znalazłeś informacji, której szukasz, wejdź do serwisu | ||
| www.KodeksPracy.pl » |
Serwis Głównego Księgowego
Gazeta Podatkowa
z obszernym komentarzem »
Firma »
Aplikacja mobilna dla Księgowych »
Księgowego,Kadrowego,VAT »
Serwisy internetowe »
Pobierz darmową aplikację »
Posłuchaj »
Terminarz
20.11.2024 (środa)
16.12.2024 (poniedziałek)
DRUKI
Darmowe druki aktywne
WSKAŹNIKI
Bieżące wskaźniki wraz z archiwum
KALKULATORY
Narzędzia księgowego i kadrowego
PRZEPISY PRAWNE - Prawo pracy
Ustawy, rozporządzenia - teksty ujednolicone
FORUM - Prawo pracy
Forum aktywnych księgowych i kadrowców
| ||||||||||||
|
||||||||||||