PPwRI Procedura postępowania w razie zaistnienia incydentu przetwarzania danych osobowych

Administrator i podmiot przetwarzający wdrażają odpowiednie środki techniczne i organizacyjne, aby zapewnić stopień bezpieczeństwa odpowiadający ryzyku naruszeń danych przetwarzanych przez te podmioty. W celu zachowania bezpieczeństwa danych osobowych powinny one również stworzyć procedury, na wypadek działań nieporządanych, w szczególności przetwarzania danych przez podmioty nieuprawnione oraz wycieku danych poza administratora.  

Instrukcja postępowania w razie incydentu nieuprawnionego przetwarzania danych służyć ma przede wszystkim zdolności do szybkiego przywrócenia dostępności danych osobowych i dostępu do nich w razie incydentu fizycznego lub technicznego. Jednocześnie służy ona ustaleniu osób oraz metod działania, które należy podjąć niezwłocznie po ustaleniu incydentu, niezbędnych w celu powstrzymania niepożądanych skutków zaistniałych naruszeń, o ile istnieje taka możliwość oraz ustalenia ich przyczyn lub sprawców.

Instrukcja powinna przedstawiać wszystkie etapu postępowania, a zatem opisywać zdarzenia najbardziej kompleksowo. Powinna również dotyczyć wszystkich hipotetycznie możliwych zdarzeń. Od podmioty przetwarzającego lub administratora należy ustalenie, czy jest on znacznie narażony na wystąpienie incydentów, czy będą one miały postać znikomą. W tym pierwszym przypadku instrukcja powinna regulować osobno postępowanie w stosunku do różnych kategorii naruszeń. 
Etapy postępowania powinny obejmować czynności nagłe, podejmowane celem zatrzymania naruszenia, prowadzone na bieżąco bez obecności IOD (inspektora danych osobowych) lub podmiotu odpowiedzialnego (np. ASI administratora systemów informatycznych, kierownika jednostki). 
Niezależnie od przyjętej procedury reagowania, w przypadku naruszenia ochrony danych osobowych, administrator bez zbędnej zwłoki – w miarę możliwości, nie później niż w terminie 72 godzin po stwierdzeniu naruszenia – zgłasza je organowi nadzorczemu właściwemu, chyba że jest mało prawdopodobne, by naruszenie to skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych. Do zgłoszenia przekazanego organowi nadzorczemu po upływie 72 godzin dołącza się wyjaśnienie przyczyn opóźnienia. Natomiast jeśli doszło do powierzenia danych podmiotowi przetwarzającego przez administratora danych, to po stwierdzeniu naruszenia ochrony danych osobowych ten ostatni bez zbędnej zwłoki zgłasza je administratorowi.
 

Wzory druków przygotowane przez firmę PHAROS.

Rozporządzenie parlamentu europejskiego i rady (ue) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/we (ogólne rozporządzenie o ochronie danych) (Dz.Urz.UE.l nr 119).

PAMIĘTAJ! Gdy wypełnisz formularz - przeczytaj go uważnie w wersji ostatecznej lub skonsultuj się ze specjalistą! Udostępnione przez nas wzory druków, formularzy, pism, deklaracji lub umów należy zawsze właściwie przetworzyć, uzupełnić lub dopasować do swojej sytuacji.

Pamiętaj, że podpisując dokument kształtujesz nim swoje prawa lub obowiązki, zatem zachowaj należytą uwagę przy zmianach i jego wypełnianiu. Ze względu na niepowtarzalność każdej czynności, samodzielnie lub na podstawie opinii specjalisty musisz ocenić, czy wykorzystany formularz zastał zastosowany przez Ciebie odpowiednio do stanu faktycznego, prawnego lub zamierzonego celu.