Stručne: Ak sa pri útoku naruší ochrana osobných údajov, čl. 33 GDPR vyžaduje oznámenie dozornému orgánu, podľa možnosti do 72 hodín od okamihu, keď sa o tom dozviete, pokiaľ pre dotknuté osoby existuje riziko. Pri vysokom riziku pribúda podľa čl. 34 upovedomenie dotknutých osôb. Bez ohľadu na to musíte zdokumentovať každé porušenie. Táto stránka je všeobecná informácia, nie právne poradenstvo.
Žiadne právne poradenstvo: Či a kedy v jednotlivom prípade vzniká oznamovacia povinnosť, posúdi vaša zodpovedná osoba za ochranu údajov alebo právnik. My dodáme technické fakty, o ktoré sa toto posúdenie opiera.
Únik údajov a oznamovacia povinnosť do 72 hodín: čo upravuje čl. 33
Čl. 33 GDPR sa týka „porušenia ochrany osobných údajov“. Myslí sa tým každé porušenie bezpečnosti, ktoré vedie k zničeniu, strate, zmene, neoprávnenému poskytnutiu alebo neoprávnenému prístupu k osobným údajom. Pod to môže spadať kompromitovaný webový server s databázou zákazníkov, kontaktnými formulármi alebo údajmi uchádzačov.
Oznámenie dozornému orgánu sa má uskutočniť bez zbytočného odkladu a podľa možnosti do 72 hodín od okamihu, keď sa prevádzkovateľ o porušení dozvedel. Odpadá, ak porušenie pravdepodobne nepovedie k riziku pre práva a slobody fyzických osôb. Kto oznamuje neskôr než po 72 hodinách, musí oneskorenie odôvodniť. Informácie sa smú dopĺňať postupne.
Čo by mal oznámenie obsahovať
Čl. 33 ods. 3 GDPR uvádza minimálny obsah. Tieto body by ste mali pripraviť, aj keď ešte nie je všetko isté:
- povaha porušenia, podľa možnosti s kategóriami a približným počtom dotknutých osôb a záznamov
- meno a kontaktné údaje zodpovednej osoby za ochranu údajov alebo iného kontaktného miesta
- pravdepodobné následky porušenia
- prijaté alebo navrhované opatrenia na nápravu a na zmiernenie možných nepriaznivých následkov
Práve pri útokoch na webové servery je rozsah na začiatku často nejasný. Vtedy pomôže úprimné prvotné oznámenie so známym stavom a s oznámením, že ďalšie poznatky budú doplnené.
Kedy začína lehota po útoku na server?
Lehota nadväzuje na vedomosť, nie na okamih útoku. V praxi je vymedzenie často ťažké: správa o zraniteľnosti ako PHP2Shell sama osebe ešte nezakladá vedomosť o porušení ochrany údajov. Ak však nájdete konkrétne náznaky vlámania, napríklad webshell alebo podozrivé dotazy do databázy, môže situácia vyzerať inak.
Zdokumentujte preto od začiatku s časom, kto kedy dostal akú informáciu a aké kroky nasledovali. Táto časová os pomáha pri právnom posúdení a pri otázkach úradu. Dôkladné technické vyšetrenie, napríklad IT forenznou analýzou, objasní, či a aké údaje boli skutočne dotknuté.
Upovedomenie dotknutých osôb podľa čl. 34
Ak porušenie pravdepodobne vedie k vysokému riziku pre osobné práva a slobody, musia byť bez zbytočného odkladu upovedomené aj dotknuté osoby. Môže to byť prípad napríklad prístupových údajov, bankových spojení alebo zdravotných údajov. Upovedomenie má jasným a jednoduchým jazykom opísať, čo sa stalo, a uvádzať minimálne kontaktné miesto, pravdepodobné následky a prijaté opatrenia.
Čl. 34 predpokladá výnimky, napríklad ak boli údaje pre neoprávnené osoby sprístupnené len v nepoužiteľnej podobe, napríklad šifrovaním. Ak by upovedomenie každej jednotlivej osoby znamenalo neprimeranú námahu, môže namiesto toho prichádzať do úvahy verejné oznámenie alebo rovnako účinné opatrenie. Či sa výnimka uplatní, patrí k právnemu posúdeniu. Ako zrozumiteľne informovať zákazníkov, opisuje stránka Krízová komunikácia po útoku.
Dokumentačná povinnosť podľa čl. 33 ods. 5
Bez ohľadu na oznamovaciu povinnosť čl. 33 ods. 5 GDPR vyžaduje zdokumentovať každé porušenie: skutočnosti, účinky a prijaté nápravné opatrenia. Táto dokumentácia musí dozornému orgánu umožniť overenie. Platí to aj vtedy, ak po preskúmaní dospejete k záveru, že oznámenie nie je potrebné.
Pre webové servery to prakticky znamená: zabezpečiť logy skôr, než sa rotujú, zaznamenať nálezy s časom, poznačiť rozhodnutia a ich odôvodnenie. Pri PHP2Shell odborná tlač odporúča uchovať logy servera od 20. 10. 2026. Záplata navyše neodstráni už zavlečený škodlivý softvér a nedokazuje, že sa predtým nič nestalo.
Praktický postup v prvých hodinách
- Podozrenie interne nahlásiť na pevné miesto a zapojiť zodpovednú osobu za ochranu údajov.
- Zabezpečiť dôkazy: logy, zoznamy súborov, výpisy databázy, skôr než sa niečo zmaže alebo nanovo nainštaluje.
- Technicky objasniť, či môžu byť dotknuté osobné údaje.
- Právne posúdiť oznamovaciu a upovedomovaciu povinnosť, prípadne s právnikom a poisťovateľom.
- Oznámenie cez formulár príslušného dozorného orgánu, doplnenia pri nových poznatkoch.
Pripravený IT núdzový plán tieto kroky podstatne skracuje.
Ako konkrétne pomáha PHP SOS?
- Zabezpečíme logy a stavy systémov tak, aby zostali využiteľné pre posúdenie a neskoršiu kontrolu.
- Technicky objasníme, či a aké údaje boli dostupné, a dodáme zrozumiteľné zhrnutie pre zodpovedné osoby za ochranu údajov a právnikov.
- Vedieme časovú os technických poznatkov, ktorú môžete využiť pre oznámenie a dokumentáciu.
- Pri potvrdenom vlámaní preberáme reakciu na incident (Incident Response) a vyčistenie.
Časté otázky
Odkedy plynie 72 hodín?
Podľa čl. 33 GDPR od okamihu, keď sa prevádzkovateľ o porušení dozvedel. Kedy sa to v jednotlivom prípade predpokladá, je právne posúdenie. Preto presne zdokumentujte, kto kedy mal akú informáciu.
Musí sa oznámiť každá bezpečnostná zraniteľnosť?
Nie. Zraniteľnosť sama osebe ešte nie je porušením ochrany osobných údajov. Oznamovacia povinnosť môže vzniknúť, ak existujú náznaky, že k takým údajom mali alebo mohli mať prístup neoprávnené osoby, a z toho vzniká riziko pre dotknuté osoby.
Čo ak ani po 72 hodinách ešte neviem všetko?
Čl. 33 ods. 4 GDPR umožňuje poskytovať informácie postupne, ak ich nie je možné poskytnúť súčasne. Oneskorené oznámenie sa musí odôvodniť. Čakanie na úplnú jasnosť preto spravidla nie je dôvodom nechať lehotu uplynúť.
Kto oznamuje, ak bol dotknutý poskytovateľ hostingu?
Oznamovaciu povinnosť má prevádzkovateľ, teda spravidla firma, ktorá web prevádzkuje. Sprostredkovateľ, ako je poskytovateľ hostingu, musí podľa čl. 33 ods. 2 GDPR prevádzkovateľa bez zbytočného odkladu informovať.
Kde oznámim únik údajov?
Príslušnému dozornému orgánu pre ochranu údajov. Väčšina úradov na to ponúka online formuláre.