Stručně: Pokud je při útoku porušeno zabezpečení osobních údajů, vyžaduje čl. 33 GDPR oznámení dozorovému úřadu, pokud možno do 72 hodin od zjištění, jestliže pro dotčené osoby existuje riziko. Při vysokém riziku přistupuje podle čl. 34 informování dotčených osob. Bez ohledu na to musíte zdokumentovat každé porušení. Tato stránka je obecná informace, nikoli právní poradenství.
Žádné právní poradenství: zda a kdy v konkrétním případě oznamovací povinnost existuje, posoudí váš pověřenec pro ochranu osobních údajů nebo advokátka. My dodáváme technická fakta, o která se toto posouzení opírá.
Porušení zabezpečení údajů a oznámení do 72 hodin: co upravuje čl. 33
Čl. 33 GDPR se týká „porušení zabezpečení osobních údajů“. Rozumí se jím každé narušení bezpečnosti, které vede ke zničení, ztrátě, změně, neoprávněnému zpřístupnění nebo neoprávněnému přístupu k osobním údajům. Pod to může spadat kompromitovaný webový server se zákaznickou databází, kontaktními formuláři nebo údaji uchazečů.
Oznámení dozorovému úřadu má proběhnout bez zbytečného odkladu a pokud možno do 72 hodin poté, co se správce o porušení dozvěděl. Odpadá, pokud porušení pravděpodobně nepovede k riziku pro práva a svobody fyzických osob. Kdo oznámí později než po 72 hodinách, musí zpoždění odůvodnit. Informace lze poskytovat postupně.
Co má oznámení obsahovat
Čl. 33 odst. 3 GDPR uvádí minimální obsah. Tyto body byste měli připravit, i když ještě není vše jisté:
- povaha porušení, pokud možno s kategoriemi a přibližným počtem dotčených osob a záznamů
- jméno a kontaktní údaje pověřence pro ochranu osobních údajů nebo jiného kontaktního místa
- pravděpodobné důsledky porušení
- přijatá nebo navrhovaná opatření k nápravě a ke zmírnění možných nepříznivých dopadů
Právě u útoků na webové servery je rozsah na začátku často nejasný. Pak pomůže upřímné první oznámení se známým stavem a s ohlášením, že další poznatky budou doplněny.
Kdy začíná lhůta po útoku na server?
Lhůta navazuje na zjištění, nikoli na okamžik útoku. V praxi je vymezení často obtížné: zpráva o bezpečnostní zranitelnosti, jako je PHP2Shell, sama o sobě zjištění porušení ochrany údajů nezakládá. Pokud ale najdete konkrétní náznaky průniku, například webshell nebo podezřelé dotazy do databáze, může být situace jiná.
Dokumentujte proto od začátku s časem, kdo kdy obdržel jakou informaci a jaké kroky následovaly. Tato časová osa pomáhá při právním posouzení i při dotazech úřadu. Pečlivé technické vyšetření, například pomocí IT forenzní analýzy, objasní, zda a jaká data byla skutečně dotčena.
Informování dotčených osob podle čl. 34
Pokud porušení pravděpodobně znamená vysoké riziko pro osobní práva a svobody, musí být bez zbytečného odkladu informovány i dotčené osoby. To může být případ například přístupových údajů, bankovních spojení nebo zdravotních údajů. Informování má jasným a jednoduchým jazykem popsat, co se stalo, a uvést minimálně kontaktní místo, pravděpodobné důsledky a přijatá opatření.
Čl. 34 počítá s výjimkami, například pokud byla data pro neoprávněné osoby učiněna nepřístupnými, třeba šifrováním. Pokud by informování každé jednotlivé osoby vyžadovalo nepřiměřené úsilí, může místo toho přicházet v úvahu veřejné oznámení nebo srovnatelně účinné opatření. Zda se výjimka uplatní, patří k právnímu posouzení. Jak zákazníky srozumitelně informovat, popisuje stránka Krizová komunikace po útoku.
Dokumentační povinnost podle čl. 33 odst. 5
Bez ohledu na oznamovací povinnost vyžaduje čl. 33 odst. 5 GDPR zdokumentovat každé porušení: fakta, dopady a přijatá nápravná opatření. Tato dokumentace musí dozorovému úřadu umožnit ověření. Platí to i tehdy, když po prověření dojdete k závěru, že oznámení není nutné.
Pro webové servery to prakticky znamená: zajistit logy, než se rotují, zaznamenat nálezy s časem, poznamenat si rozhodnutí a jejich odůvodnění. U PHP2Shell odborný tisk doporučuje uchovávat logy serveru od 20. 10. 2026. Záplata navíc neodstraní již zavlečený škodlivý software a nedokazuje, že se předtím nic nestalo.
Praktický postup v prvních hodinách
- Podezření interně nahlásit na pevné místo a zapojit pověřence pro ochranu osobních údajů.
- Zajistit důkazy: logy, seznamy souborů, výpisy z databáze, než se cokoli smaže nebo znovu nasadí.
- Technicky objasnit, zda mohou být dotčeny osobní údaje.
- Právní posouzení oznamovací a informační povinnosti, případně s advokátem a pojišťovnou.
- Oznámení prostřednictvím formuláře příslušného dozorového úřadu, doplnění při nových poznatcích.
Připravený IT nouzový plán tyto kroky výrazně zkrátí.
Jak konkrétně pomáhá PHP SOS?
- Zajistíme logy a stavy systémů tak, aby zůstaly použitelné pro posouzení a pozdější kontrolu.
- Technicky objasníme, zda a jaká data byla dosažitelná, a dodáme srozumitelné shrnutí pro pověřence a advokáty.
- Vedeme časovou osu technických poznatků, kterou můžete využít pro oznámení a dokumentaci.
- Při potvrzeném průniku převezmeme reakci na incidenty a vyčištění.
Časté dotazy
Od kdy běží 72 hodin?
Podle čl. 33 GDPR od okamžiku, kdy se správce o porušení dozvěděl. Kdy to lze v jednotlivém případě předpokládat, je právní posouzení. Přesně proto zdokumentujte, kdo kdy měl jakou informaci.
Musí se oznamovat každá bezpečnostní zranitelnost?
Ne. Samotná zranitelnost ještě není porušením zabezpečení osobních údajů. Oznamovací povinnost může vzniknout, pokud existují náznaky, že neoprávněné osoby k takovým údajům měly nebo mohly mít přístup, a z toho vzniká riziko pro dotčené osoby.
Co když po 72 hodinách ještě nevím všechno?
Čl. 33 odst. 4 GDPR dovoluje poskytovat informace postupně, pokud je nelze poskytnout současně. Opožděné oznámení je třeba odůvodnit. Čekání na úplnou jasnost proto zpravidla není důvod nechat lhůtu uplynout.
Kdo oznamuje, pokud byl dotčen poskytovatel hostingu?
Oznamovací povinnost má správce, tedy zpravidla firma, která web provozuje. Zpracovatel, například poskytovatel hostingu, musí správce podle čl. 33 odst. 2 GDPR bez zbytečného odkladu informovat.
Kde porušení zabezpečení údajů oznámím?
U příslušného dozorového úřadu pro ochranu osobních údajů, u firem většinou u úřadu spolkové země, ve které mají sídlo. Většina úřadů k tomu nabízí online formuláře.