Lidl přiznal únik dat. Jaká máte práva, když uniknou vaše osobní údaje

Řetězec Lidl přiznal únik dat, při kterém hackeři podle serveru Novinky.cz získali e-maily, telefonní čísla i data narození zákazníků. Podobné případy se množí a většina lidí neví, co v takové situaci může požadovat. Přitom evropské nařízení GDPR dává každému, jehož údaje uniknou, konkrétní práva. Tady je přehled toho, co dělat a kdy má smysl obrátit se na advokáta.

Co znamená únik dat z pohledu zákona

Únik osobních údajů je situace, kdy se data dostanou k někomu, kdo k nim neměl mít přístup, nebo se ztratí či poškodí. Právně jde o takzvané porušení zabezpečení osobních údajů. Firma, která data zpracovává, za jejich ochranu odpovídá. Nese odpovědnost i tehdy, když za únik může útok zvenčí, protože její povinností je zajistit přiměřené zabezpečení.

To je důležité pochopit. Skutečnost, že za únikem stojí hacker, firmu automaticky nezbavuje odpovědnosti. Otázka vždy zní, zda přijala dostatečná technická a organizační opatření. Pokud ne, může jít o porušení jejích povinností.

Co musí firma udělat po úniku

GDPR ukládá správci údajů dvě základní povinnosti. Za prvé musí porušení, které představuje riziko pro práva lidí, ohlásit dozorovému úřadu zpravidla do 72 hodin. V Česku je tímto úřadem Úřad pro ochranu osobních údajů. Za druhé, pokud únik znamená vysoké riziko, třeba hrozbu podvodu nebo zneužití identity, musí firma informovat i samotné dotčené osoby.

Oznámení zákazníkům má být srozumitelné. Má popsat, jaká data unikla, jaké mohou být následky a co doporučuje udělat. Pokud jste dostali takové oznámení nebo se o úniku dozvěděli z médií, jste dotčenou osobou a máte svá práva.

Jaká práva máte vy

Máte právo na informace. Můžete firmu požádat, aby vám sdělila, zda a jaké vaše údaje unikly a jak s incidentem naložila. Máte také právo na přístup ke svým údajům, tedy vědět, co o vás firma vede.

Pokud vám únik způsobil skutečnou újmu, ať už majetkovou, jako je finanční ztráta z podvodu, nebo nemajetkovou, jako je stres a obavy ze zneužití, máte podle GDPR právo na náhradu. Uplatnit ji lze vůči správci údajů. V praxi to znamená doložit, co se stalo a jaká újma vám vznikla, a to je oblast, kde bývá vhodná pomoc advokáta.

Kromě toho můžete podat stížnost k Úřadu pro ochranu osobních údajů. Ten může incident prošetřit a firmě uložit opatření nebo pokutu. Stížnost je bezplatná a nevylučuje váš nárok na náhradu újmy.

Co udělat hned

Nejdřív omezte škody. Pokud unikla hesla, změňte je, a to i na jiných službách, kde jste stejné heslo použili. Sledujte bankovní účet a buďte obezřetní u e-mailů a hovorů, které vás nutí něco potvrdit, protože po úniku dat se množí cílené podvody. Uchovejte si důkazy, tedy oznámení o úniku i zprávy, které od firmy dostanete.

Pak zvažte právní krok. U drobného úniku často stačí stížnost k úřadu. Když ale vznikla konkrétní škoda nebo jde o citlivé údaje ve velkém rozsahu, má smysl konzultovat nárok na náhradu s advokátem specializovaným na ochranu osobních údajů. Přehled advokátů a jejich zaměření vede Česká advokátní komora. Advokát posoudí sílu vašeho nároku a případně jej za vás uplatní.

Jak vysoká bývá náhrada a co ji ovlivní

Výše náhrady se u úniků dat liší případ od případu a nedá se předem stanovit paušálně. Roli hraje, jaká data unikla, jak citlivá byla, jak velké riziko zneužití vzniklo a jakou konkrétní újmu jste utrpěli. Únik samotného e-mailu se posuzuje jinak než únik rodného čísla nebo údajů o zdraví. Soud přihlíží i k tomu, jak firma po incidentu jednala, zda situaci bagatelizovala, nebo naopak rychle informovala a škody mírnila.

Důležité je, že náhrada nemajetkové újmy nemá lidi obohatit, ale odškodnit reálné dopady, jako je stres, obavy nebo čas strávený řešením. Proto si od začátku pište, co únik způsobil, kolik času vás stál a jaké kroky jste museli udělat. Čím lépe újmu doložíte, tím silnější je váš nárok. U rozsáhlých úniků se navíc vyplatí sledovat, zda se nechystá společný postup více poškozených, který může jednotlivci usnadnit domáhání se práva.

Časté otázky

Můžu chtít odškodné, i když mi zatím žádná škoda nevznikla?

Nárok na náhradu vzniká při skutečné újmě, majetkové nebo nemajetkové. Samotné obavy mohou být nemajetkovou újmou, ale je nutné je doložit. Bez prokázané újmy je vymáhání složitější, proto si uchovejte důkazy.

Firma o úniku mlčí. Co s tím?

Máte právo se ptát a firma je povinna reagovat. Pokud mlčí nebo odmítá, podejte stížnost k Úřadu pro ochranu osobních údajů, který má pravomoc incident prošetřit a vynutit nápravu.

Do kdy musí firma únik nahlásit?

Rizikové porušení má správce ohlásit dozorovému úřadu zpravidla do 72 hodin od zjištění. Při vysokém riziku musí bez zbytečného odkladu informovat i dotčené osoby.

Kdy má smysl jít za advokátem?

Když únik zasáhl citlivé údaje, měl velký rozsah nebo vám způsobil konkrétní škodu. Advokát posoudí nárok na náhradu a pomůže jej uplatnit, což se u složitějších případů vyplatí.