Obvestilo o kršitvi varstva podatkov

Obvestilo o kršitvi varstva podatkov je zakonska obveznost obveščanja nadzornih organov in v nekaterih primerih prizadetih posameznikov, kadar so osebni podatki ogroženi zaradi varnostne kršitve. V skladu s Splošno uredbo o varstvu podatkov morajo upravljavci o kršitvi, ki predstavlja tveganje za pravice in svoboščine posameznikov, obvestiti svoj nadzorni organ v 72 urah po tem, ko so izvedeli zanjo, ter neposredno obvestiti prizadete posameznike, če kršitev predstavlja visoko tveganje.

Pravna podlaga

"V primeru kršitve varstva osebnih podatkov upravljavec brez nepotrebnega odlašanja in, kadar je to izvedljivo, najpozneje v 72 urah po tem, ko je izvedel zanjo, kršitev varstva osebnih podatkov sporoči nadzornemu organu, pristojnemu v skladu s členom 55, razen če ni verjetno, da bi kršitev varstva osebnih podatkov povzročila tveganje za pravice in svoboščine posameznikov."

— Člen 33(1), Uredba (EU) 2016/679 (Splošna uredba o varstvu podatkov)

"Kadar bi kršitev varstva osebnih podatkov verjetno povzročila visoko tveganje za pravice in svoboščine posameznikov, upravljavec posamezniku, na katerega se nanašajo osebni podatki, brez nepotrebnega odlašanja sporoči kršitev varstva osebnih podatkov."

— Člen 34(1), Uredba (EU) 2016/679 (Splošna uredba o varstvu podatkov)

Zakaj je pomembno

Obveznosti obveščanja o kršitvah varstva podatkov vplivajo na katero koli organizacijo, ki obdeluje osebne podatke v okviru storitev političnega oglaševanja. Za sponzorje, izdajatelje in ponudnike storitev političnega oglaševanja v skladu z Uredbo 2024/900 to pomeni, da je treba o kakršnem koli nedovoljenem dostopu do osebnih podatkov, njihovi izgubi ali spremembi, ki se uporabljajo za ciljanje ali dostavo oglasov, takoj poročati pristojnemu organu za varstvo podatkov.

72-urno časovno okno za obveščanje je strogo in se začne, ko organizacija izve za kršitev, ne pa, ko konča preiskavo. Organizacije morajo imeti vzpostavljene notranje postopke za hitro odkrivanje, preiskovanje in poročanje o kršitvah. Neobveščanje lahko povzroči globe do 10 milijonov EUR ali 2 % celotnega letnega prometa v skladu s Splošno uredbo o varstvu podatkov.

Za politično oglaševanje so še posebej občutljive kršitve, ki vključujejo podatke o ciljanju,Profile volivcev ali politične preference. Take kršitve lahko izpostavijo posameznike manipulaciji, diskriminaciji ali maščevalni škodi, zaradi česar je pravočasno obveščanje ključnega pomena za varovanje demokratičnih procesov in pravic posameznikov.

Ključne točke

• Upravljavci morajo o kršitvi obvestiti svoj nadzorni organ v 72 urah po tem, ko so izvedeli zanjo, razen če kršitev verjetno ne bo ogrozila pravic in svoboščin posameznikov
• Če kršitev predstavlja visoko tveganje za posameznike, je treba te neposredno obvestiti brez nepotrebnega odlašanja
• Obvestila morajo opisati naravo kršitve, kategorije in približno število prizadetih posameznikov in evidenc ter ukrepe, sprejete za odpravo težave
• Obdelovalci morajo upravljavce takoj obvestiti, ko odkrijejo kršitev, da lahko upravljavci izpolnijo svoje roke za obveščanje
• Organizacije bi morale voditi dokumentacijo o vseh kršitvah, vključno s tistimi, o katerih se ne poroča, da bi dokazale skladnost
• Kazni za neobveščanje lahko dosežejo 10 milijonov EUR ali 2 % celotnega letnega prometa, kar koli je višje

Obvestilo o kršitvi varstva podatkov v primerjavi z obvestilom o preglednosti

Čeprav obe vključujeta obveznosti razkritja, obvestilo o kršitvi varstva podatkov in obvestila o preglednosti služita različnim namenom. Obvestilo o kršitvi varstva podatkov je reaktivna, z incidentom pogojena zahteva, ki se sproži, ko je ogrožena varnost osebnih podatkov. Dostaviti ga je treba nadzornim organom v 72 urah in prizadetim posameznikom, kadar obstaja visoko tveganje.

Obvestilo o preglednosti (kot je obvestilo o zasebnosti, zahtevano v členih 13-14 Splošne uredbe o varstvu podatkov, ali obvestilo o preglednosti za politično oglaševanje v skladu z Uredbo 2024/900) je proaktivna, stalna obveznost obveščanja posameznikov o tem, kako se njihovi podatki obdelujejo pred zbiranjem ali ob njem. Obvestila o preglednosti so preventivna in informativna; obvestila o kršitvah so sanacijska in nujna.

Povezani pojmi

• Osebni podatki
• Organ za varstvo podatkov
• Upravljavec
• Obdelovalec
• Skladnost s Splošno uredbo o varstvu podatkov
• Tehnike ciljanja
• Varnostni ukrepi
• Nadzorni organ
• Obvestilo o zasebnosti
• Pravice posameznikov, na katere se nanašajo podatki