Czy trzeba dokumentować naruszenia ochrony danych, których nie zgłaszamy?

Tak. Art. 33 ust. 5 RODORODO: ogólne rozporządzenie o ochronie danych. Unijne prawo o ochronie danych osobowych (rozporządzenie (UE) 2016/679). wymaga od administratora dokumentowania każdego naruszenia ochrony danych osobowych, w tym okoliczności, skutków i podjętych działań zaradczych, niezależnie od tego, czy zostało zgłoszone organowi nadzorczemu. Chodzi o to, by organ mógł później zweryfikować przestrzeganie przepisów, w tym decyzję, że naruszenie raczej nie powodowało ryzyka dla osób. Przy każdym naruszeniu warto więc zapisać, co się stało, jakich danych i osób dotyczyło, dlaczego uznano zgłoszenie za potrzebne lub nie, kto i kiedy zdecydował oraz co zmieniono. Rejestr naruszeń powinien być oddzielny od rejestru incydentów bezpieczeństwa, ale z nim powiązany. Organy mogą zażądać go przy kontroli lub po skardze, a brak zapisu niezgłoszonego naruszenia wygląda gorzej niż samo naruszenie. NetSenX przechowuje dowody z alertów stojące za każdym wpisem przez okres przewidziany w planie.

Informacja ogólna, nie porada prawna. Przepisy krajowe mogą uzupełniać cytowane tu akty UE, na przykład o terminy, formularze czy kanały zgłoszeń: sprawdź przepisy swojego kraju.

← Wszystkie pytania (35): Terminy zgłaszania incydentówWszystkie tematy