Jeżeli dane zdarzenie spełnia przesłanki wymagające zawiadomienia organu nadzorczego, RODO przewiduje dokonanie zgłoszenia naruszenia ochrony danych osobowych bez zbędnej zwłoki, w miarę możliwości nie później niż w ciągu 72 godzin od jego stwierdzenia. Termin ten ma szczególne znaczenie dla przedsiębiorcy, ponieważ analiza incydentu powinna rozpocząć się możliwie szybko po uzyskaniu informacji o problemie. Nie oznacza to jednak, że każdą pomyłkę, utratę dokumentu, błędnie wysłaną wiadomość czy inne zdarzenie związane z danymi należy automatycznie zgłaszać do Prezesa Urzędu Ochrony Danych Osobowych. W pierwszej kolejności trzeba ustalić, czy rzeczywiście doszło do naruszenia ochrony danych osobowych, a następnie dokładnie określić jego charakter i zakres. Znaczenie ma między innymi to, jakie dane zostały utracone, ujawnione, zmienione lub udostępnione osobie nieuprawnionej, ilu osób dotyczy zdarzenie oraz kto mógł uzyskać dostęp do informacji. Inaczej może być oceniana sytuacja dotycząca podstawowych danych kontaktowych, a inaczej incydent obejmujący dokumentację finansową, dane pracowników, informacje dotyczące klientów czy inne dane, których ujawnienie może powodować poważniejsze konsekwencje. Kolejnym etapem powinna być ocena ryzyka naruszenia RODO dla praw i wolności osób fizycznych. Nie wystarczy więc samo stwierdzenie, że doszło do błędu. Trzeba przeanalizować możliwe skutki zdarzenia, prawdopodobieństwo ich wystąpienia oraz okoliczności, które mogą zwiększać albo ograniczać ryzyko. Znaczenie może mieć również to, czy przedsiębiorca szybko odzyskał kontrolę nad informacjami, czy przypadkowy odbiorca potwierdził ich usunięcie oraz czy istnieje możliwość dalszego wykorzystania ujawnionych danych. Na podstawie przeprowadzonej analizy przedsiębiorca powinien ustalić, czy powstaje obowiązek zgłoszenia naruszenia do UODO. Jeżeli zgłoszenie jest wymagane, należy przygotować informacje dotyczące charakteru incydentu, kategorii i przybliżonej liczby osób oraz danych objętych zdarzeniem, możliwych konsekwencji, a także środków zastosowanych lub planowanych w celu ograniczenia jego skutków. Jeżeli pełne ustalenie wszystkich okoliczności w krótkim czasie nie jest możliwe, nie powinno to prowadzić do pozostawienia sprawy bez analizy aż do momentu zebrania kompletnego materiału. Niezależnie od kwestii zawiadomienia organu przedsiębiorca powinien odpowiednio udokumentować naruszenie danych osobowych oraz sposób jego oceny. Ma to znaczenie również w sytuacji, gdy po przeprowadzonej analizie firma uzna, że konkretne zdarzenie nie wymaga zgłoszenia. Dokumentacja pozwala wykazać, jakie okoliczności zostały wzięte pod uwagę, jakie ryzyko zidentyfikowano i na jakiej podstawie podjęto określoną decyzję. Warto również przeanalizować przyczynę incydentu oraz działania, które mogą ograniczyć prawdopodobieństwo wystąpienia podobnego problemu w przyszłości. Osobnej oceny wymaga kwestia zawiadomienia osób, których dane zostały objęte zdarzeniem. Zgłoszenie naruszenia do UODO i poinformowanie osób, których dane dotyczą, to odrębne obowiązki, których wystąpienie zależy od okoliczności konkretnego przypadku i poziomu związanego z nim ryzyka. Z tego względu po wykryciu poważniejszego incydentu przedsiębiorca powinien przeanalizować oba zagadnienia, zamiast zakładać, że dokonanie zgłoszenia do organu automatycznie rozstrzyga wszystkie pozostałe obowiązki. Prawnik RODO dla firm może pomóc przeanalizować charakter zdarzenia, jego skalę, rodzaj danych oraz potencjalne konsekwencje dla osób fizycznych. W ramach pomocy prawnej możliwa jest również analiza obowiązku zgłoszenia incydentu, przygotowanie dokumentacji wewnętrznej oraz opracowanie zawiadomienia kierowanego do Prezesa UODO, jeżeli będzie ono wymagane. W przypadku dalszych pytań lub czynności ze strony organu prawnik może również przygotowywać odpowiedzi i stanowiska przedsiębiorcy. Nasza kancelaria zapewnia obsługę prawną RODO dla przedsiębiorców w Warszawie i Siedlcach, również w sprawach wymagających szybkiej oceny incydentu i podjęcia decyzji dotyczącej zgłoszenia. Prawnik dla firm w Warszawie może przeanalizować zdarzenie, dokumentację oraz dotychczasowe działania przedsiębiorcy i pomóc ustalić dalsze kroki. Ze względu na termin związany ze zgłoszeniem naruszenia nie warto odkładać takiej analizy, szczególnie gdy incydent obejmuje większą liczbę osób, istotny zakres danych albo informacje, których ujawnienie może powodować poważne konsekwencje.