Kiedy zaczyna biec 72-godzinny termin zgłoszenia z RODO?

W chwili, gdy administrator stwierdzi naruszenie ochrony danych osobowych, a nie wtedy, gdy naruszenie się zaczęło. Art. 33 ust. 1 liczy 72 godziny od stwierdzenia naruszenia. Wytyczne Europejskiej Rady Ochrony Danych uznają, że administrator ma tę wiedzę, gdy z rozsądnym stopniem pewności wie, że doszło do incydentu bezpieczeństwa, który naruszył dane osobowe. Krótkie wstępne dochodzenie, by to ustalić, jest dopuszczalne, ale musi być szybkie; nie można opóźniać stwierdzenia przez to, że się nie sprawdza. Podmiot przetwarzający, który wykryje naruszenie, musi bez zbędnej zwłoki poinformować administratora (art. 33 ust. 2), a termin administratora zwykle biegnie od chwili, gdy się o tym dowie. Dlatego w rejestrze incydentów trzeba zapisać dokładny czas, w którym ktoś uznał, że chodzi o dane osobowe. NetSenX pozwala zapisać ten moment dla każdego incydentu i przechowuje alerty pokazujące, kiedy zaczęła się aktywność.

Informacja ogólna, nie porada prawna. Przepisy krajowe mogą uzupełniać cytowane tu akty UE, na przykład o terminy, formularze czy kanały zgłoszeń: sprawdź przepisy swojego kraju.

← Wszystkie pytania (35): Terminy zgłaszania incydentówWszystkie tematy