Únik osobných údajov: 72 hodín na oznámenie a čo musíte zdokumentovať

Ak dôjde k porušeniu ochrany osobných údajov — strate notebooku, odoslaniu e-mailu nesprávnemu adresátovi, útoku ransomware —, prevádzkovateľ ho musí oznámiť Úradu na ochranu osobných údajov SR bez zbytočného odkladu a podľa možnosti do 72 hodín, pokiaľ nie je nepravdepodobné, že povedie k riziku pre ľudí. Pri vysokom riziku musí informovať aj dotknuté osoby. Každé porušenie treba zdokumentovať.

Kľúčové body

Oznámenie dozornému orgánu: bez zbytočného odkladu, ak je to možné do 72 hodín od zistenia (čl. 33 ods. 1 GDPR).

Oznámenie netreba, ak je nepravdepodobné, že porušenie povedie k riziku pre práva a slobody ľudí.

Pri vysokom riziku treba bez zbytočného odkladu informovať aj dotknuté osoby (čl. 34).

Každé porušenie — aj neoznámené — patrí do internej evidencie (čl. 33 ods. 5).

Sprostredkovateľ musí prevádzkovateľa informovať bez zbytočného odkladu (čl. 33 ods. 2).

Návrh Digital Omnibus by lehotu predĺžil na 96 hodín; zatiaľ nie je prijatý.

Čo je porušenie ochrany osobných údajov

GDPR ho chápe široko: ide o porušenie bezpečnosti, ktoré vedie k náhodnému alebo nezákonnému zničeniu, strate, zmene, neoprávnenému poskytnutiu osobných údajov alebo k neoprávnenému prístupu k nim. Nemusí ísť o hackerský útok. Typické prípady z praxe malých firiem:

e-mail s prílohou poslaný nesprávnemu adresátovi alebo hromadný e-mail s viditeľnými adresami,
stratený alebo ukradnutý telefón či notebook bez šifrovania,
ransomware, ktorý zašifroval databázu zákazníkov,
verejne dostupný priečinok v cloude.

Rozhodovací postup

Zistenie. Lehota 72 hodín beží od okamihu, keď sa prevádzkovateľ o porušení dozvie.
Posúdenie rizika. Aké údaje, koľko ľudí, dajú sa zneužiť? Sú zašifrované?
Žiadne pravdepodobné riziko → nemusíte oznamovať, ale porušenie zapíšete do evidencie aj s dôvodom, prečo ste ho neoznámili.
Riziko → oznámite Úradu na ochranu osobných údajov SR do 72 hodín. Ak neviete všetko, podáte oznámenie postupne.
Vysoké riziko → informujete aj dotknuté osoby jasným a jednoduchým jazykom. Výnimky platia napríklad vtedy, ak boli údaje nečitateľné (šifrované).

Čo musí obsahovať oznámenie

Podľa čl. 33 ods. 3 GDPR aspoň:

povahu porušenia, kategórie a približný počet dotknutých osôb a záznamov,
kontakt na zodpovednú osobu alebo iné kontaktné miesto,
pravdepodobné následky,
prijaté alebo navrhované opatrenia na nápravu a zmiernenie.

Prepojenie s kybernetickou bezpečnosťou

Ak je vaša firma prevádzkovateľom základnej služby podľa zákona č. 69/2018 Z. z. o kybernetickej bezpečnosti, kybernetický incident môže súčasne znamenať povinnosť hlásiť ho Národnému bezpečnostnému úradu (včasné varovanie do 24 hodín, hlásenie do 72 hodín) a zároveň porušenie ochrany osobných údajov podľa GDPR. Ide o dva samostatné procesy s rôznymi adresátmi.

Čo sa môže zmeniť

Európska komisia v návrhu Digital Omnibus z 19. 11. 2025 navrhla predĺžiť lehotu na 96 hodín a oznamovať len porušenia s vysokým rizikom. Návrh nie je prijatý — dovtedy platí lehota 72 hodín.

Čo urobiť

Určte, kto vo firme rozhoduje o oznámení a kto ho podáva — skôr, než sa niečo stane.

Pripravte si šablónu záznamu: čo sa stalo, aké údaje, koľko ľudí, následky, prijaté opatrenia.

V zmluvách so sprostredkovateľmi si dohodnite lehotu, do ktorej vás o incidente informujú.

Ak spadáte aj pod zákon o kybernetickej bezpečnosti, zosúlaďte proces s hlásením incidentov NBÚ (24/72 hodín).