Protokol o hlášení úniku dat

Úvahy

  • Dena Textile Productions B.V. klade důraz na dobré zabezpečení svých (elektronických) systémů, v nichž jsou uloženy a zpracovávány osobní údaje.
  • Není možné zcela zabránit tomu, aby k úniku dat nikdy nedošlo.
  • Dena Textile Productions B.V. je na základě Obecného nařízení o ochraně osobních údajů (GDPR) povinna hlásit (závažné) úniky dat Nizozemskému úřadu pro ochranu osobních údajů (Autoriteit Persoonsgegevens) a dotčeným osobám.
  • Dena Textile Productions B.V. chce plnit své zákonné povinnosti.
  • Dena Textile Productions B.V. proto zformulovala zásady, aby v případě, že k úniku dat přesto dojde, jednala co nejpřiměřeněji.

1. Definice úniku dat

K úniku dat dochází tehdy, pokud dojde k narušení zabezpečení, které náhodně nebo protiprávně vede ke zničení, ztrátě, změně nebo neoprávněnému sdělení či neoprávněnému přístupu k přenášeným, uloženým nebo jinak zpracovávaným údajům.

2. Interní odpovědná osoba pro hlášení úniků dat

Dena Textile Productions B.V. jmenovala interní odpovědnou osobu pro zpracování úniků dat, která odpovídá za hlášení úniku dat. Touto odpovědnou osobou je oddělení Marketing, s prvním kontaktem: Rolf van Eden, telefon +31 (0)318 588 596, e-mail sales@cheffix.eu, dále jen interní odpovědná osoba.

3. Interní hlášení při zjištění úniku dat

Kdo zjistí únik dat u společnosti Dena Textile Productions B.V., ihned to oznámí interní odpovědné osobě. Pokud je to možné, zajistí ten, kdo únik zjistil, zároveň, aby byla uniklá data ihned na dálku vymazána nebo znepřístupněna.

4. Šetření interní odpovědné osoby

Interní odpovědná osoba mimo jiné zjišťuje:

  • zda byly ztraceny osobní údaje nebo zda mohou být protiprávně použity;
  • které osoby nebo oddělení v organizaci jsou s únikem dat spojeny;
  • zda je s incidentem spojen zpracovatel.

5. Omezení úniku dat

Interní odpovědná osoba únik zastaví, pokud je to ještě možné, a dále přijme nezbytná opatření k co nejlepšímu omezení úniku.

6. Zjištění důsledků úniku dat

Interní odpovědná osoba zkoumá možné důsledky úniku dat podle povahy a rozsahu uniklých údajů a zjišťuje, jaké nepříznivé následky mohou mít pro dotčené osoby.

7. Spolupráce při poskytování informací o úniku dat

Ten, kdo únik zjistil nebo nahlásil, poskytuje interní odpovědné osobě veškerou součinnost tím, že co nejrychleji a co nejpřesněji (písemně) odpoví na následující otázky:

  • co se stalo? (popis incidentu)
  • šlo o náhodu, nebo byl únik způsoben zlým úmyslem (např. hackerským útokem)?
  • kdy k tomu došlo? (datum a čas)
  • kdy to bylo zjištěno?
  • jaké údaje (evidence) unikly?
  • jsou údaje zašifrovány, a pokud ano, jakým způsobem?
  • mohly být údaje vymazány nebo znepřístupněny na dálku, a pokud ano, bylo to provedeno?
  • jaké jsou možné důsledky pro dotčené osoby?
  • která skupina (skupiny) osob byla touto událostí zasažena?
  • kolik osob bylo touto událostí zasaženo (přibližně)?
  • byly únikem zasaženy také údaje osob z jiných zemí EU?
  • byla již v souvislosti s incidentem přijata technická a/nebo organizační opatření?

8. Dostupnost zaměstnanců po zjištění úniku dat

Vedoucí oddělení, z jehož působnosti únik vznikl, stejně jako osoba, která únik zjistila, a každý, kdo je ve svém postavení nebo na základě svých znalostí schopen přijmout organizační a/nebo technická opatření k omezení důsledků úniku, jsou po dobu prvních 24 hodin od zjištění úniku dat k dispozici k poradám s interní odpovědnou osobou, popř. s odborníky jí určenými, a k případnému provedení pracovních úkolů nařízených v souvislosti s únikem dat.

9. Rozhodnutí o hlášení úniku dat

Interní odpovědná osoba rozhodne co nejdříve, nejpozději však do 60 hodin od zjištění úniku dat, zda je v konzultaci s vedoucím oddělení, z jehož působnosti byl únik zjištěn, a/nebo s jím určenými odborníky, nutné únik nahlásit Nizozemskému úřadu pro ochranu osobních údajů a/nebo dotčeným osobám. Únik dat se zásadně vždy hlásí Nizozemskému úřadu pro ochranu osobních údajů, pokud není nepravděpodobné, že únik představuje riziko pro práva a svobody dotčených osob. Hlášení úniku dat je doprovázeno zodpovězením otázek uvedených v bodě 7. Únik dat nahlášený Nizozemskému úřadu pro ochranu osobních údajů se rovněž sdělí dotčeným osobám, pokud představuje vysoké riziko pro práva a svobody fyzických osob, pokud mezitím nebyla přijata vhodná opatření, která toto vysoké riziko odvrátila.

10. Hlášení úniku dat Nizozemskému úřadu pro ochranu osobních údajů a/nebo dotčeným osobám

Interní odpovědná osoba v případě potřeby zajistí oznámení Nizozemskému úřadu pro ochranu osobních údajů a/nebo dotčené osobě (osobám). Oznámení se provede co nejdříve po zjištění a nejpozději do 60 hodin od zjištění úniku dat. Žádnému jinému zaměstnanci než interní odpovědné osobě není dovoleno (možný) únik dat sám hlásit Nizozemskému úřadu pro ochranu osobních údajů a/nebo dotčeným osobám. Pokud zaměstnanec nesouhlasí s rozhodnutím interní odpovědné osoby o tom, zda únik dat nahlásit Nizozemskému úřadu pro ochranu osobních údajů a/nebo dotčeným osobám, může své výhrady vznést vedení společnosti. Na vyžádání zaměstnanec poskytne odpovědné osobě veškerou součinnost, aby mohla dotčené osoby v souladu s článkem 34 GDPR o úniku informovat.

11. Důsledky hlášení úniku dat

Pokud únik dat má pro dotčené osoby nepříznivé důsledky, interní odpovědná osoba učiní vše pro co nejvyšší možné omezení těchto důsledků. Podle povahy a rozsahu úniku pro dotčené osoby interní odpovědná osoba určí:

  • jakým způsobem budou dotčené osoby informovány (zejména bude sděleno, jaké druhy osobních údajů jsou dotčeny, jaké jsou možné důsledky, jaká opatření Dena Textile Productions B.V. přijímá a jakým způsobem mohou dotčené osoby samy škodě předejít nebo ji omezit);
  • jakou následnou péči dotčené osoby obdrží;
  • jaké kroky jsou v zájmu organizace nezbytné.

Pokud došlo k úniku dat, bez ohledu na to, zda byl nahlášen či nikoli, jsou co nejdříve přijata přiměřená technická a/nebo organizační opatření, aby se zabránilo budoucím podobným únikům.

12. Vedení evidence úniků dat

Interní odpovědná osoba vede evidenci všech úniků dat, v níž jsou zaznamenány všechny údaje o úniku, například:

  • Popis incidentu.
  • Datum a čas úniku dat.
  • Datum a čas zjištění úniku dat.
  • Popis druhu uniklých osobních údajů.
  • Popis kategorie (kategorií) dotčených osob.
  • Popis počtu dotčených osob (přibližně).
  • Zda byly uniklé údaje osob z jiných zemí EU.
  • Zda byl incident nahlášen Nizozemskému úřadu pro ochranu osobních údajů, a pokud ano, datum a čas hlášení.
  • Zda byl incident nahlášen dotčeným osobám, a pokud ano, datum a čas hlášení.
  • Jakým způsobem byly dotčené osoby informovány.
  • Důsledky úniku dat, pokud možno s uvedením data a času.
  • Jaká technická a/nebo organizační opatření byla přijata po úniku dat, s uvedením data a času.

Tento protokol o hlášení úniku dat byl sepsán dne 1. května 2020.