A co jeżeli źródłem naruszenia jest nasz podmiot przetwarzający?

Wyobraź sobie następującą sytuację:

Jest piękny, słoneczny dzień, przychodzisz do pracy w wyjątkowo dobrym nastroju, praca idzie jak z płatka, jesteś na ostatniej prostej z projektem, który ciągnie się od miesięcy, kawa smaczna, współpracownicy do rany przyłóż, nic nie jest w stanie popsuć Ci humoru, aż tu nagle otrzymujesz e-maila od zewnętrznego biura księgowego, które obsługuje Twoją organizację i z którym masz bieżący kontakt. W zakresie bieżącej obsługi biuro przetwarza dane finansowe (czyli również osobowe) pracowników, klientów i kontrahentów Twojej organizacji, przez co pełni funkcję podmiotu przetwarzającego.

Pracownik biura księgowego informuje Cię, że omyłkowo przesłał zestawienie wynagrodzeń pracowników Twojej firmy do niewłaściwego adresata. Plik nie był zaszyfrowany, a danych osobowych było tam niewiele, bo tak naprawdę tylko imię, nazwisko i roczny dochód – żadnych danych „wrażliwych”, żadnego PESEL-u czy numeru dowodu osobistego.

Co robisz?

A) Nic nie robię

Nie przejmuję się - to nie ja popełniłem/am błąd, więc wina nie leży po stronie mojej organizacji.

B) Reaguję

Przypominam sobie listopadowy odcinek RODOinformatora i reaguję natychmiast, zgłaszając zdarzenie do przełożonego lub powołanego w mojej organizacji inspektora ochrony danych. Wiem, że należy działać szybko, bo na ewentualne zgłoszenie naruszenia Prezesowi UODO mamy tylko 72h od momentu jego wykrycia.

Pamiętaj

Naruszenie ochrony danych osobowych po stronie podmiotu przetwarzającego, który przetwarza dane w imieniu Twojej organizacji jako administratora, to naruszenie, za którego ocenę i analizę odpowiada administrator. Zastanów się, z jakimi podmiotami przetwarzającymi masz na co dzień do czynienia – czy są to przykładowo zewnętrzne firmy marketingowe, eventowe, dostawcy rozwiązań IT, firmy oferujące obsługę danych kadrowych, firmy archiwizujące czy utylizujące dokumenty – i bądź czujny, gdy dojdzie do Ciebie informacja o naruszeniu ochrony danych osobowych po stronie tego podmiotu.