Ubezpieczenie cyber a RODO
Ubezpieczenie nie przejmuje obowiązków administratora ani podmiotu przetwarzającego. Może obejmować określone koszty reakcji, ale zgodność z RODO trzeba oceniać niezależnie.
RODO nie sprowadza się do jednego terminu. Po incydencie liczą się fakty, ryzyko dla osób i udokumentowane decyzje.
W serwisie rozróżniamy „Naruszenie Danych” jako termin z OWU PZU oraz „naruszenie ochrony danych osobowych” jako pojęcie z RODO. Zakres tych pojęć nie jest identyczny.
Jeżeli naruszenie może powodować ryzyko dla praw lub wolności osób, administrator zgłasza je organowi bez zbędnej zwłoki, w miarę możliwości nie później niż 72 godziny od stwierdzenia naruszenia.
Źródła: RODO, art. 33 i 34 · UODO: obowiązki po naruszeniu ochrony danych
72 godziny nie oznaczają obowiązku zgłaszania każdego incydentu
Art. 33 RODO przewiduje zgłoszenie naruszenia organowi nadzorczemu bez zbędnej zwłoki, w miarę możliwości nie później niż w ciągu 72 godzin od stwierdzenia, chyba że jest mało prawdopodobne, by naruszenie powodowało ryzyko dla praw lub wolności osób fizycznych.
Zawiadomienie osób: próg wysokiego ryzyka
Art. 34 RODO wiąże obowiązek zawiadomienia osób, których dane dotyczą, z wysokim ryzykiem dla ich praw lub wolności i przewiduje wyjątki. Nie każde zgłoszenie do UODO oznacza więc automatycznie konieczność indywidualnego zawiadomienia wszystkich osób.
Koszty prawne, zawiadomienia i roszczenia
OWU przewidują m.in. Koszty Obsługi Prawnej i Koszty Zawiadomienia, a także określony zakres szkód z tytułu Roszczeń. Każdorazowo trzeba sprawdzić definicje, limity i okoliczności zdarzenia.
Kary administracyjne tylko w zakresie dozwolonym przez prawo
OWU definiują Szkodę w sposób obejmujący określone grzywny i kary pieniężne związane z objętym Roszczeniem, ale wyłącznie w zakresie dozwolonym przez prawo. Nie należy komunikować, że każda kara Prezesa UODO zostanie objęta ochroną.
Trzy odrębne decyzje, których nie warto mieszać
Każda wymaga własnej oceny przesłanek i dokumentacji.
| Decyzja | Pytanie | Uwagi |
|---|---|---|
| Dokumentacja naruszenia | Co się wydarzyło, jakie były skutki i jakie działania podjęto? | Obowiązek dokumentowania naruszeń jest szerszy niż sam obowiązek zgłoszenia. |
| Zgłoszenie do organu | Czy naruszenie może powodować ryzyko dla praw lub wolności osób? | Jeżeli tak, stosuje się zasady art. 33 RODO. |
| Zawiadomienie osób | Czy naruszenie może powodować wysokie ryzyko dla praw lub wolności osób? | Art. 34 przewiduje osobne przesłanki i wyjątki. |