GDPR a bezpečnostní služba: zpracovatelská smlouva, zabezpečení a ohlášení úniku ÚOOÚ do 72 hodin

Poskytovatel spravované bezpečnosti obvykle vidí vaše logy, poštu, soubory nebo identity uživatelů – zpracovává tedy osobní údaje jako zpracovatel a potřebujete s ním zpracovatelskou smlouvu podle čl. 28 GDPR. Vaše firma zůstává správcem: musí zajistit přiměřené zabezpečení (čl. 32) a při porušení zabezpečení osobních údajů ho ohlásit Úřadu pro ochranu osobních údajů bez zbytečného odkladu, pokud možno do 72 hodin od zjištění (čl. 33) – ledaže je nepravděpodobné, že by porušení vedlo k riziku pro práva osob. Při vysokém riziku informujete i dotčené osoby (čl. 34). Zpracovatel musí správci porušení oznámit bez zbytečného odkladu. Tyto lhůty běží souběžně s lhůtami podle zákona o kybernetické bezpečnosti, pokud jste regulovaní. Text není právní poradenství; v konkrétním incidentu se poraďte s pověřencem nebo advokátem.

Článek patří do sekce chyby a zdroje.

Zpracovatelská smlouva (čl. 28)

Smlouva se zpracovatelem musí podle čl. 28 odst. 3 obsahovat zejména:

Na co si dát pozor navíc:

• Místo zpracování – zda data nebo logy opouštějí EU/EHP a na jakém základě (např. rozhodnutí o odpovídající ochraně, standardní smluvní doložky).
• Lhůta pro oznámení porušení zpracovatelem – GDPR říká „bez zbytečného odkladu“; ve smlouvě je rozumné stanovit konkrétní počet hodin, abyste stihli svých 72.
• Doba uchování logů – logy obsahují osobní údaje; uchovávejte je jen tak dlouho, jak je potřeba (u regulovaných v režimu vyšších povinností vyhláška požaduje alespoň 18 měsíců).

Přiměřené zabezpečení (čl. 32)

GDPR nevyjmenovává produkty. Žádá opatření přiměřená riziku s ohledem na stav techniky a náklady, například:

• pseudonymizaci a šifrování,
• schopnost zajistit trvalou důvěrnost, integritu, dostupnost a odolnost systémů,
• schopnost včas obnovit dostupnost údajů po incidentu (zálohy),
• pravidelné testování a hodnocení účinnosti opatření.

Spravovaná bezpečnostní služba, vícefaktorové ověření, zálohy a penetrační test jsou typické způsoby, jak toto doložit. Proto si dokumentujte, proč jste zvolili daný rozsah – například analýzou rizik.

Ohlášení porušení zabezpečení ÚOOÚ (čl. 33)

Co je porušení zabezpečení: zničení, ztráta, změna, neoprávněné zpřístupnění nebo přístup k osobním údajům – a to i dočasná nedostupnost (např. zašifrování ransomwarem).

Postup:

1. Zjištění – od okamžiku, kdy si správce je přiměřeně jistý, že k porušení došlo, běží 72 hodin.
2. Posouzení rizika – jaké údaje, kolik osob, jaké důsledky.
3. Ohlášení ÚOOÚ – pokud riziko nelze vyloučit; formulář a pokyny najdete na webu ÚOOÚ. Pokud nemáte všechny informace, lze je poskytnout postupně.
4. Zdokumentování – každé porušení zabezpečení zdokumentujte (čl. 33 odst. 5), i když ho nehlásíte.
5. Informování osob – při vysokém riziku (čl. 34), srozumitelně a bez zbytečného odkladu.

Obsah ohlášení: povaha porušení, kategorie a přibližný počet osob a záznamů, kontakt (pověřenec), pravděpodobné důsledky, přijatá a navrhovaná opatření.

Modelová časová osa (smyšlená situace)

Lhůta podle zákona o kybernetické bezpečnosti běží od zjištění incidentu (v modelu pátek 22:10 → sobota 22:10), lhůta GDPR od chvíle, kdy se správce dozvěděl o porušení zabezpečení osobních údajů. Výklad začátku lhůt v konkrétním případě konzultujte.

Sankce

Za porušení povinností podle čl. 28, 32, 33 a 34 může ÚOOÚ uložit pokutu až 10 000 000 EUR nebo 2 % celosvětového ročního obratu (čl. 83 odst. 4), podle toho, co je vyšší. Skutečná výše závisí na okolnostech.

Co chtít od poskytovatele služby

• oznámení podezření na porušení zabezpečení do stanoveného počtu hodin,
• podklady pro ohlášení (rozsah, časová osa, indikátory),
• pomoc s posouzením, zda šlo o osobní údaje,
• forenzní stopu a záznamy pro dokumentaci.

Viz SLA a smlouva a retainer na reakci na incidenty. Povinnosti regulovaných firem shrnuje zákon o kybernetické bezpečnosti 2026, související chyby typické chyby při nákupu.

Záznam o porušení zabezpečení

Podle čl. 33 odst. 5 GDPR dokumentujete každé porušení zabezpečení, i když ho nehlásíte. Praktická osnova záznamu:

• datum a čas zjištění a kdo ho zjistil,
• popis, co se stalo, a které systémy a údaje byly zasaženy,
• kategorie a přibližný počet dotčených osob,
• posouzení rizika a zdůvodnění, proč jste hlásili, nebo nehlásili,
• přijatá opatření (izolace, změna hesel, obnova) a jejich čas,
• komu a kdy bylo oznámeno (ÚOOÚ, osoby, NÚKIB / Národní CERT, pojišťovna, policie).

Pokud incident vyvolal i pojistnou událost, poslouží záznam také pojišťovně (viz kyberpojištění); u testů zaměstnanců a pentestů s přístupem k údajům viz penetrační test a trestní zákoník. Záznam slouží ÚOOÚ k ověření, že jste postupovali správně.

Časté otázky

Musím hlásit ransomware, když jsme data obnovili ze zálohy?

Možná ano. Dočasná nedostupnost i možný neoprávněný přístup jsou porušením zabezpečení; rozhoduje riziko pro osoby. Pokud útočník mohl data i odcizit, riziko obvykle vyloučit nelze. Posouzení zdokumentujte.

Je poskytovatel bezpečnostní služby zpracovatel, i když data „jen hlídá“?

Pokud má přístup k osobním údajům (logy s identitou uživatelů, obsah pošty), obvykle ano. Uzavřete zpracovatelskou smlouvu.

Hlásí únik zpracovatel, nebo my?

Ohlašuje správce, tedy vaše firma. Zpracovatel oznamuje porušení vám bez zbytečného odkladu.

Zdroje

• Úřad pro ochranu osobních údajů – ohlášení porušení zabezpečení, metodiky
• EUR-Lex – nařízení (EU) 2016/679 (GDPR)
• Zákony pro lidi – zákon č. 110/2019 Sb., o zpracování osobních údajů
• Národní úřad pro kybernetickou a informační bezpečnost – hlášení kybernetických incidentů