Zgubiony laptop, mail z danymi klientów wysłany do złej osoby albo włamanie na skrzynkę? Pomożemy Ci ocenić incydent i, jeśli trzeba, przygotować zgłoszenie do Prezesa UODO.
Zgłoszenie składa administrator, czyli firma, która decyduje o celach i sposobach przetwarzania danych. W zgłoszeniu opisuje się:
Zgłoszenie składa się elektronicznie przez formularz na biznes.gov.pl. Gdy nie znasz jeszcze wszystkich faktów, wysyłasz zgłoszenie wstępne i uzupełniasz je później. Zgłoszenie złożone po 72 godzinach trzeba uzasadnić. Przygotujemy jego treść i ułożymy chronologię zdarzeń.
Jeśli naruszenie może powodować wysokie ryzyko dla praw lub wolności ludzi, np. wyciekły imiona i nazwiska z numerami PESEL, dane o zdrowiu albo hasła do kont, administrator musi bez zbędnej zwłoki zawiadomić także te osoby (art. 34 RODO). Zawiadomienie pisze się prostym językiem: co się stało, jakie mogą być skutki, co zrobiła firma, kto odpowie na pytania (np. inspektor ochrony danych) i co dana osoba może zrobić sama, np. zmienić hasło albo, gdy wyciekł jej PESEL z imieniem i nazwiskiem, bezpłatnie go zastrzec (zastrzec numer może osoba pełnoletnia).
Zawiadomienia nie wysyła się m.in. wtedy, gdy dane były skutecznie zaszyfrowane albo firma zastosowała środki, które wykluczają wysokie ryzyko dla tych osób. Gdy indywidualne wiadomości wymagałyby niewspółmiernego wysiłku, zastępuje je komunikat publiczny. Prezes UODO może też zażądać zawiadomienia osób. Treść zawiadomienia napiszemy za Ciebie.
Obsługa prawna incydentu zaczyna się od rozmowy telefonicznej albo online, bo przy naruszeniu liczy się czas. Kancelaria pracuje od poniedziałku do piątku w godz. 9:00–17:00, więc daj nam znać jak najwcześniej. Ustalamy fakty, oceniamy ryzyko dla osób, których dane dotyczą, i przygotowujemy potrzebne pisma: zgłoszenie, zawiadomienia albo uzasadnienie, dlaczego zgłoszenie nie jest potrzebne. Incydent ocenia i dokumentuje nasz inspektor ochrony danych, a sprawy sporne prowadzi adwokat kancelarii.
Jeśli w firmie brakuje procedury na wypadek incydentu, przygotujemy ją w ramach wdrożenia RODO. Gdy Prezes UODO wszczyna postępowanie, przygotowujemy odpowiedzi na jego pisma, a jeśli firma nie zgadza się z decyzją, adwokat kancelarii przygotuje skargę do sądu administracyjnego. Jeśli nasz inspektor pełni w Twojej firmie funkcję IOD, zanim podejmiemy się reprezentacji przed Prezesem UODO albo sądem, sprawdzamy, czy nie koliduje to z jego rolą punktu kontaktowego dla urzędu, i mówimy Ci o tym wprost.
Nie mamy osobnego cennika usług RODO, bo każdy incydent wygląda inaczej. Cena pomocy prawnej zależy od tego, ilu osób i jakich danych dotyczy wyciek, czy trzeba zawiadamiać ludzi i czy sprawa trafi do postępowania przed Prezesem UODO. Wycenę podajemy po pierwszej rozmowie, a konsultacja kosztuje od 300 zł + VAT.
Na ocenę sprawy przez urząd wpływa też reakcja firmy. Wymierzając karę za naruszenie przepisów, np. za słabe zabezpieczenia albo niezgłoszenie wycieku, Prezes UODO bierze pod uwagę m.in. wagę naruszenia, działania ograniczające szkodę, współpracę z urzędem i to, czy firma sama zgłosiła incydent.
Po zamknięciu incydentu przyda się audyt RODO i szkolenie RODO dla zespołu. Stałe doradztwo w sprawach danych zapewnia outsourcing IOD, a pozostałe usługi opisujemy na stronie RODO w kancelarii.
Ocenę, czy zgłaszać naruszenie, zapisujemy z uzasadnieniem, żeby firma mogła ją przedstawić przy kontroli.
Przygotowujemy zgłoszenie do UODO, zawiadomienia osób i wpis do ewidencji naruszeń.
Incydent ocenia nasz inspektor ochrony danych, który na co dzień wdraża RODO w firmach.
Opinie klientów kancelarii z wizytówki Google.
Nie. Zgłoszenia nie robi się, gdy jest mało prawdopodobne, że naruszenie spowoduje ryzyko dla praw lub wolności osób, np. zgubiony pendrive był skutecznie zaszyfrowany, klucz nie wyciekł, a firma ma kopię tych danych. Każde naruszenie trzeba jednak wpisać do wewnętrznej ewidencji razem z uzasadnieniem, dlaczego nie zostało zgłoszone. Tę ocenę warto skonsultować przed upływem 72 godzin.
Zgłoszenia dokonuje się bez zbędnej zwłoki, najpóźniej w ciągu 72 godzin od stwierdzenia naruszenia, a godziny liczą się także w weekend i w święta. Jeśli nie znasz jeszcze wszystkich faktów, zgłaszasz to, co wiesz, i uzupełniasz zgłoszenie później. Postępowanie przed Prezesem UODO, jeśli zostanie wszczęte, trwa dłużej i jego długości nie da się przewidzieć z góry.
Ustalenie faktów i ocenę ryzyka, decyzję o zgłoszeniu, treść zgłoszenia do Prezesa UODO i zawiadomień osób, wpis do ewidencji naruszeń oraz zalecenia na przyszłość. Jeśli urząd wszczyna postępowanie, przygotowujemy odpowiedzi na jego pisma, a spór przed sądem prowadzi adwokat kancelarii.
Zgłasza administrator, czyli Twoja firma. Dostawca, który przetwarza dane w Twoim imieniu, musi bez zbędnej zwłoki poinformować Cię o naruszeniu, a jego obowiązki w takiej sytuacji powinna opisywać umowa powierzenia. Zbierz od niego jak najwięcej informacji, bo bez nich trudno ocenić ryzyko.
To zależy od skali incydentu i od tego, czy trzeba zawiadamiać osoby albo odpowiadać na pisma urzędu. Nie mamy osobnego cennika usług RODO, wycenę ustalamy po pierwszej rozmowie, a konsultacja kosztuje od 300 zł + VAT.
Inspektor Ochrony Danych (IOD)
Inspektor Ochrony Danych z wieloletnim doświadczeniem w stosowaniu i wdrażaniu przepisów RODO. Ukończył liczne kursy i szkolenia z ochrony danych osobowych, współpracował zarówno z mikroprzedsiębiorstwami, jak i z dużymi ogólnopolskimi markami. Na co dzień tworzy i wdraża kompleksową dokumentację RODO dla firm, przeprowadza audyty zgodności, prowadzi szkolenia stacjonarne, online i w formie kursów wideo, pełni funkcję IOD, doradza w praktycznym stosowaniu RODO i wspiera przedsiębiorców podczas kontroli Prezesa UODO.
Nie odbieramy? Musimy być zajęci. Zostaw numer telefonu, a oddzwonimy tak szybko, jak to możliwe. Dokumenty możesz przesłać elektronicznie — konsultacje prowadzimy także zdalnie.
ul. Wronia 45/175
00-870 Warszawa
pon.–pt. 9:00–17:00
