Porušenie ochrany osobných údajov: čo robiť pri úniku a hlásiť do 72 hodín

Zamestnanec pošle e-mail s prílohou plnou osobných údajov nesprávnemu adresátovi. Stratí sa notebook s databázou klientov. Do informačného systému sa dostane ransomvér. Alebo vám dodávateľ mzdového systému oznámi, že incident mal on. A zrazu stojíte pred otázkami, na ktoré treba odpovedať rýchlo: je toto vôbec únik, ktorý sa hlási? komu? a dokedy?

Únik údajov nie je otázka „či“, ale „kedy“. Lehota 72 hodín začína plynúť od chvíle, keď sa o ňom dozviete, nie od chvíle, keď na to budete mať čas. To sú necelé tri dni na to, aby ste posúdili, čo sa stalo, aké to má následky a či a komu to nahlásiť. S pripraveným postupom je to zvládnuteľné, bez neho je to panika.

Čo je porušenie ochrany osobných údajov?

Prvé nedorozumenie je, že „únik“ znamená hackera. GDPR to chápe oveľa širšie. Porušením ochrany údajov (čl. 4 bod 12) je akékoľvek narušenie bezpečnosti, ktoré vedie k náhodnému alebo nezákonnému zničeniu, strate, zmene alebo neoprávnenému poskytnutiu či sprístupneniu osobných údajov.

Prakticky to zahŕňa oveľa viac situácií, než by človek čakal. Nielen kybernetický útok, ale aj stratený alebo ukradnutý notebook a telefón, e-mail poslaný nesprávnemu adresátovi, omylom zverejnený zoznam, zamestnanca, ktorý si odnesie databázu, alebo aj obyčajné zmazanie, po ktorom sa údaje nedajú obnoviť. Väčšina reálnych únikov, ktoré vidím, nevznikla prelomením zabezpečenia, ale ľudskou chybou. Dá sa im do veľkej miery predchádzať dobre nastavenými procesmi a budovaním povedomia zamestnancov.

Odkedy začína plynúť lehota 72 hodín?

Lehota nezačína plynúť pri prvom podozrení. Hlásenie zamestnanca o čudnom správaní systému ani anonymné upozornenie ešte nie sú tým okamihom. Tou je až okamih, keď má prevádzkovateľ primeranú mieru istoty, že k narušeniu bezpečnosti došlo a že sa dotklo osobných údajov. Overenie je legitímne a očakáva sa. Vyplýva to z výkladu, ktorý k oznamovaniu porušení vydal Európsky výbor pre ochranu údajov.

Overovanie sa ale nesmie bezdôvodne naťahovať. Odložiť zisťovanie na budúci týždeň s odôvodnením, že kým vec neprešetríme, nič nebeží, je presne ten postup, ktorý pri kontrole neobstojí.

Na základe dobrej praxe si zaznamenajte čas prvého podozrenia aj čas, keď ste získali istotu. Práve týmto záznamom sa začiatok lehoty preukazuje, a bez neho ste v spore o dodržanie lehoty bez argumentu.

Kedy a komu sa únik hlási?

Adresátom hlásenia je dozorný orgán, na Slovensku Úrad na ochranu osobných údajov Slovenskej republiky, ktorý má na oznámenie porušenia vlastný formulár a elektronickú službu. Hlásite bez zbytočného odkladu, najneskôr do 72 hodín. Ak to nestihnete, musíte k hláseniu priložiť dôvod omeškania.

Výnimka existuje: ak porušenie pravdepodobne nepovedie k riziku pre práva a slobody dotknutých osôb, úradu ho hlásiť nemusíte. Toto posúdenie je ale na vás a musí byť obhájiteľné, takže „radšej to nenahlásime“ nie je stratégia. Hlásenie má obsahovať aspoň povahu porušenia, kategórie a približný počet dotknutých osôb a záznamov, kontakt na zodpovednú osobu, pravdepodobné následky a opatrenia, ktoré ste prijali alebo navrhujete. Ak v prvej chvíli nemáte všetko, môžete informácie doplniť postupne, dôležité je začať včas.

Čo ak únik nastane u dodávateľa?

V malej organizácii je to najpravdepodobnejší scenár. Údaje sú v cloude, v mzdovom systéme, na platforme e-shopu a v nástroji na rozposielanie e-mailov, takže incident nastane najčastejšie práve tam.

Sprostredkovateľ musí porušenie oznámiť vám bez zbytočného odkladu po tom, ako sa o ňom dozvedel (čl. 33 ods. 2). Úradu ho potom hlásite vy ako prevádzkovateľ, nie dodávateľ. Vaša lehota 72 hodín pritom začína plynúť od chvíle, keď vás dodávateľ informoval.

Tu je najväčšie riziko. Ak s dodávateľom nemáte dohodnuté, ako rýchlo a čo vám má oznámiť, lehotu 72 hodín neviete dodržať. Lehota aj obsah oznámenia patria do zmluvy podľa čl. 28, konkrétne do ustanovenia o pomoci pri plnení povinností podľa čl. 33 a 34. Do vášho postupu si zapíšte kontakty všetkých dodávateľov s vplyvom na ochranu osobných údajov a spôsob, akým vás budú informovať. Overte si tiež, či sú tie kontakty funkčné.

Kedy treba informovať aj dotknuté osoby?

Hlásenie úradu je jedna vec, informovanie ľudí druhá. Ak únik pravdepodobne predstavuje vysoké riziko pre práva a slobody dotknutých osôb, musíte bez zbytočného odkladu informovať aj ich samotných, a to zrozumiteľne, nie právnickým žargónom. Cieľom je, aby sa mohli chrániť, napríklad zmeniť heslo alebo sledovať účet.

GDPR pozná aj situácie, keď informovať ľudí nemusíte: ak boli údaje účinne šifrované alebo inak nečitateľné pre útočníka, ak ste po úniku prijali opatrenia, vďaka ktorým už vysoké riziko nehrozí, alebo ak by individuálne informovanie vyžadovalo neprimerané úsilie, vtedy postačuje verejné oznámenie.

Pri šifrovaní si dajte pozor na jednu vec. Šifrovanie nemení to, že k porušeniu došlo, porušenie existuje a eviduje sa. Ovplyvňuje posúdenie rizika, a tým povinnosť informovať dotknuté osoby, prípadne aj povinnosť hlásiť úradu. Platí to však len vtedy, keď boli údaje účinne zašifrované, šifrovací kľúč nie je kompromitovaný a existuje záloha. Strata šifrovaného nosiča bez zálohy je porušením dostupnosti údajov a to riziko šifrovanie nijako neznižuje. Podrobnejšie sa bezpečnostným opatreniam venujeme v článku o bezpečnosti spracúvania.

Posúdenie, že vysoké riziko nehrozí, nie je vaším konečným rozhodnutím. Úrad môže po posúdení uložiť, aby ste dotknuté osoby informovali, alebo naopak potvrdiť, že je splnená niektorá z výnimiek.

Čo ak únik nenahlásite?

Nenahlásený alebo zatajený únik je dvojnásobný problém. Jednak samotné porušenie povinnosti hlásiť môže viesť k pokute, jednak sa tým pripravujete o možnosť situáciu zvládnuť bez poškodenia dobrého mena.

Nerozhoduje to, čo si „myslíte“, že je závažné, rozhoduje to, čo hovorí nariadenie, a to aj pri určovaní pokuty. Pri rozhodovaní o pokute a jej výške sa podľa čl. 83 ods. 2 zohľadňuje okrem iného miera spolupráce s dozorným orgánom a spôsob, akým sa dozorný orgán o porušení dozvedel, teda aj to, či ho prevádzkovateľ oznámil sám. Reakcia verejnosti je až druhotná.

Bez ohľadu na to, či konkrétny únik hlásite úradu, alebo nie, máte povinnosť evidovať všetky porušenia ochrany údajov vrátane ich následkov a prijatých opatrení (čl. 33 ods. 5). Táto interná evidencia je zároveň to, čo pri kontrole preukazuje, že svoje úniky posudzujete zodpovedne.

Ako súvisí únik údajov s hlásením incidentu podľa zákona o kybernetickej bezpečnosti?

Toto je dôležité najmä pre subjekty v regulovaných odvetviach. Jeden a ten istý incident, napríklad ransomvér, môže naraz spadať pod GDPR, ak zahŕňa osobné údaje, aj pod zákon č. 69/2018 Z. z. o kybernetickej bezpečnosti v znení neskorších predpisov (ďalej len ZoKB). Ide o dva samostatné režimy s vlastnými adresátmi a vlastnými lehotami, ktoré bežia súbežne. Splnenie jednej povinnosti nenahrádza druhú.

V režime kybernetickej bezpečnosti sa závažný incident hlási Národnému bezpečnostnému úradu a hlásenie má tri fázy, ktorých náležitosti upravuje vyhláška č. 226/2025 Z. z. Prvou je včasné varovanie do 24 hodín, druhou podrobnejšie oznámenie do 72 hodín a treťou záverečná správa, spravidla do jedného mesiaca.

Prvá lehota v režime kybernetickej bezpečnosti je 24 hodín, teda výrazne kratšia než tá podľa GDPR.

Na úrovni Európskej únie sa navrhuje tieto hlásenia zosúladiť cez jednotné miesto, predĺžiť lehotu podľa GDPR zo 72 na 96 hodín a zvýšiť prah, od ktorého sa únik hlási. Stav k júlu 2026: je to návrh, ktorý je stále v rokovaní, a venujeme sa mu v samostatnom článku o zjednodušení GDPR. Pre prevádzkovateľov by išlo o úľavu, pre dotknuté osoby to znamená, že o časti únikov sa úrad nedozvie a reakcia príde neskôr. Na povinnostiach podľa ZoKB a vyhlášky č. 226/2025 Z. z. sa zatiaľ nič nemení.

Ako sa pripraviť na únik

Základom je mať jednoduchý postup pripravený skôr, než únik nastane. A prvé dva kroky nie sú o hlásení.

Prvým je obmedziť škodu, teda odvolať e-mail, zablokovať prístup, odpojiť systém alebo zmeniť heslá. Druhým je zaznamenať, čo sa stalo, vrátane času prvého podozrenia a času, keď ste získali istotu, a zabezpečiť dôkazy, aby sa dalo zistiť, koho a čoho sa únik týka. Bez toho sa ani nedá posúdiť rozsah, od ktorého závisí všetko ostatné.

Až potom nasleduje posúdenie závažnosti, dohľadanie toho, koho sa únik týka (tu vám pomôže záznam o spracovateľských činnostiach), a rozhodnutie o nahlásení. Nezabudnite zdokumentovať aj to, komu informáciu o úniku hlásiť a kto o nahlásení rozhodne.

Na rovnakú stranu papiera patrí odkaz na formulár úradu a kontakty na dodávateľov aj s lehotou, ktorú s nimi máte dojednanú. V čase úniku to človek hľadá ako prvé. Jedna strana, ktorú majú ľudia po ruke, je vtedy cennejšia než hrubá smernica, ktorú nikto nečíta.

Väčšina si myslí: „nám nič neunikne, načo to riešiť“. Lenže únik nie je väčšinou dielo hackera, je to zle poslaný e-mail alebo stratený telefón, a to sa stane skôr či neskôr každému. Rozdiel medzi organizáciou, ktorá to zvládne bez problémov, a organizáciou, ktorá v chaose panikári a premešká lehotu, nie je o šťastí, ale o tom, či mala pripravený postup.

Ak si chcete nastaviť postup pri úniku, ktorý zvládnete aj pod tlakom 72 hodín, a nechcete to riešiť sami, vašu situáciu posúdime a prípadne prevezmeme rolu zodpovednej osoby. Ako externá zodpovedná osoba pritom pôsobíme nezávisle a bez konfliktu záujmov, ako to vyžaduje čl. 38 GDPR. Viac informácií nájdete na našej stránke o ochrane osobných údajov. Celý rámec GDPR pre firmy a organizácie sme zhrnuli v úvodnom článku série.