Postup při porušení zabezpečení

Tento dokument popisuje, jak provozovatel docházkového systému Attendees Ing. Matěj Kmínek, IČ 02877961, postupuje, když dojde k porušení zabezpečení osobních údajů, tedy k náhodnému nebo protiprávnímu zničení, ztrátě, změně, neoprávněnému zpřístupnění nebo zpřístupnění osobních údajů (čl. 4 bod 12 GDPR). Postup naplňuje články 33 a 34 obecného nařízení o ochraně osobních údajů (GDPR) a článek 4.7 zpracovatelské smlouvy.

1. Zjištění#

Na možné porušení zabezpečení může provozovatele upozornit:

• chybové hlášení aplikace nebo neobvyklý záznam v přístupových záznamech serveru,
• upozornění poskytovatele hostingu nebo společnosti Cloudflare,
• zákazník, uživatel systému nebo kdokoli jiný, kdo napíše na [email protected] nebo zavolá na +420 721 351 040,
• vlastní kontrola provozovatele, například nevysvětlitelná změna dat nebo souborů.

Každé podezření provozovatel zapíše do evidence incidentů s časem, kdy se o něm dozvěděl. Od tohoto okamžiku běží lhůty uvedené níže.

2. Omezení dopadů#

Provozovatel bez odkladu přijme opatření, která zastaví další únik nebo poškození, například:

• zablokuje dotčený systém, účet nebo přístupový klíč,
• změní hesla a klíče k databázím a serveru,
• nasadí bezpečnostní opravu,
• obnoví poškozená data ze zálohy,
• zajistí záznamy potřebné k vyšetření.

3. Posouzení#

Provozovatel posoudí:

• které systémy a kteří zákazníci jsou dotčeni,
• jaké kategorie údajů a přibližně kolik subjektů údajů a záznamů se to týká,
• zda jde o porušení důvěrnosti (únik), integrity (změna) nebo dostupnosti (ztráta, nedostupnost),
• jaká je pravděpodobnost a závažnost rizika pro práva a svobody dotčených osob, například zda unikla hesla (uložená jen jako haš argon2id), kontaktní údaje nebo údaje o docházce a nepřítomnosti.

4. Oznámení zákazníkům (provozovatel jako zpracovatel)#

U údajů v docházkových systémech je správcem zákazník. Provozovatel mu porušení oznámí bez zbytečného odkladu poté, co se o něm dozvěděl, a to e-mailem na adresu správce systému, v naléhavých případech i telefonicky. Cílem je oznámit porušení nejpozději do 24 hodin, aby zákazník stihl svou 72hodinovou lhůtu vůči dozorovému úřadu.

Oznámení obsahuje:

• popis povahy porušení, dotčené kategorie údajů a přibližný počet subjektů údajů a záznamů,
• pravděpodobné důsledky,
• přijatá a navržená opatření,
• kontakt na provozovatele pro další informace.

Pokud všechny informace ještě nejsou k dispozici, provozovatel je doplňuje postupně. Zákazník rozhoduje, zda porušení ohlásí Úřadu pro ochranu osobních údajů a zda informuje své zaměstnance; provozovatel mu k tomu poskytne potřebné podklady.

5. Ohlášení dozorovému úřadu (provozovatel jako správce)#

U údajů, jejichž správcem je provozovatel (web, žádosti o instalaci, fakturace), provozovatel ohlásí porušení Úřadu pro ochranu osobních údajů (Pplk. Sochora 27, 170 00 Praha 7, www.uoou.cz) do 72 hodin od okamžiku, kdy se o něm dozvěděl, ledaže je nepravděpodobné, že by porušení mělo za následek riziko pro práva a svobody fyzických osob. Ohlášení po této lhůtě musí obsahovat důvody zpoždění.

Pokud porušení pravděpodobně představuje vysoké riziko, provozovatel o něm bez zbytečného odkladu informuje i dotčené osoby, srozumitelně a jasně, s doporučením, co mohou udělat pro svou ochranu (článek 34 GDPR).

6. Dokumentace#

Každé porušení zabezpečení, i to, které se neohlašuje, provozovatel zdokumentuje: skutečnosti, za nichž k němu došlo, jeho účinky, přijatá opatření a odůvodnění, proč se ohlásilo nebo neohlásilo. Dokumentaci uchovává nejméně 5 let a na vyžádání ji předloží dozorovému úřadu nebo dotčenému zákazníkovi.

7. Poučení#

Po uzavření incidentu provozovatel vyhodnotí jeho příčinu a upraví technická a organizační opatření tak, aby se neopakoval. Podstatné změny promítne do dokumentu Technická a organizační opatření.

Kontakt#

Podezření na porušení zabezpečení hlaste neprodleně na [email protected] nebo telefonicky na +420 721 351 040. Uveďte, který systém se to týká, co jste zjistili a jak vás můžeme kontaktovat.