Týká se to zejména těch, kdo mají nebo v minulosti měli v rámci svých eshopů nainstalovány doplňky „Souhrnný přehled“ nebo „Pokročilé statistiky“. Úřad pro ochranu osobních údajů toto ohlášení porušení zabezpečení nyní vyhodnocuje, ale vzhledem k tomu, že mohlo dojít k porušení ochrany osobních údajů mnoha tisíc osob přistoupil k této veřejné výzvě.

Podle obecného nařízení o ochraně osobních údajů je správce povinen ohlásit porušení ochrany osobních údajů, a to bez zbytečného odkladu. Správce případ ohlásí Úřadu do 72 hodin od okamžiku, kdy se o něm dověděl. Pokud není ohlášení Úřadu učiněno do 72 hodin, musejí být současně s ním uvedeny i důvody tohoto zpoždění.

Ohlášení musí obsahovat:
a) popis povahy daného případu porušení zabezpečení osobních údajů včetně, pokud je to možné, kategorií a přibližného počtu dotčených subjektů údajů a kategorií a přibližného množství dotčených záznamů osobních údajů;
b) jméno a kontaktní údaje pověřence pro ochranu osobních údajů nebo jiného kontaktního místa, které může poskytnout bližší informace;
c) popis pravděpodobných důsledků porušení zabezpečení osobních údajů (pozn.: zejména ve vztahu vůči subjektům údajů);
d) popis opatření, která správce přijal nebo navrhl k přijetí s cílem vyřešit dané porušení zabezpečení osobních údajů, včetně případných opatření ke zmírnění možných nepříznivých dopadů.

Není-li možné poskytnout informace současně, mohou být poskytnuty postupně bez dalšího zbytečného odkladu.

Pokud byl správcem nebo zpracovatelem jmenován pověřenec pro ochranu osobních údajů a patří mezi jeho úkoly spolupráce s dozorovým úřadem, může být vypracování ohlášení úkolem tohoto pověřence.

V případě, že by porušení zabezpečení mělo za následek vysoké riziko pro práva a svobody fyzických osob (např. by incident zahrnoval osobní údaje, z nichž by bylo možné dovodit informace o zdravotním stavu zákazníka či by hrozilo zneužití identity zákazníka), je správce povinen oznámit toto porušení subjektům údajů, a to minimálně v rozsahu informací uvedených výše pod body b), c), d).

Pro úplnost Úřad pro ochranu osobních údajů uvádí, že dopadá-li na správce osobních údajů povinnost ohlášení porušení zabezpečení osobních údajů, může založit nesplnění této povinnosti přestupek dle § 62 odst. 1 písm. a) zákona č. 110/2019 Sb., o zpracování osobních údajů.

Podrobnější informace o postupu pro ohlášení porušení zabezpečení osobních údajů (ZDE) jsou na internetových stránkách Úřadu pro ochranu osobních údajů. Pro ohlášení je možné využít tyto následující kontakty.

Poštou:
Úřad pro ochranu osobních údajů
Pplk. Sochora 27, 170 00 – Praha 7

Elektronickou formou:
vyplněním formuláře Ohlášení porušení zabezpečení osobních údajů dle GDPR (ZDE)
do datové schránky: qkbaa2n
e-mailem posta@uoou.cz

Úřad pro ochranu osobních údajů je nezávislý ústřední správní úřad České republiky pro oblast ochrany osobních údajů. Je součástí výkonné moci a postupuje prostředky správního práva, primárně vydáváním rozhodnutí (správních aktů). ÚOOÚ je zároveň i dozorovým úřadem, ve smyslu zákona o kontrole č. 255/2012 Sb. (kontrolní řád). Úřad pro ochranu osobních údajů byl zřízen na základě zákona č. 101/2000 Sb., o ochraně osobních údajů. Dne 24. dubna 2019 byl tento právní základ transformován na zákon č. 110/2019 Sb., o zpracování osobních údajů (ZZOÚ).