Při úniku osobních údajů nejdřív zjistěte, jaká data unikla, a podle toho jednejte: u hesel je změňte, u karty ji nechte zablokovat, u dokladů ohlaste ztrátu a u přihlašovacích údajů do bankovnictví volejte banku. Správce, u kterého k úniku došlo, má povinnosti vůči úřadu a při vysokém riziku i vůči vám. Vy sami můžete po správci chtít informace a podat stížnost u úřadu.
Uniklé údaje nejsou samy o sobě škodou, ale podvodníci je rádi využijí k věrohodnějšímu útoku: znají vaše jméno, telefon nebo objednávku, a proto působí důvěryhodně. Proto se vyplatí vědět, jak se bránit, co po správci chtít a kdy se obrátit na Úřad pro ochranu osobních údajů.
Co v článku najdete
Jak poznáte, že k úniku došlo
O úniku se nejčastěji dozvíte z e-mailu samotné služby, ze zpráv v médiích, nebo od známých, kterým přišla podezřelá zpráva s vašimi údaji. Dá se ale poznat i podle nepřímých znaků: přicházejí podvodné SMS, ve kterých vás oslovují celým jménem nebo odkazují na skutečnou objednávku, nebo se objeví pokusy o přihlášení k vašim účtům.
Pozor na falešná oznámení o úniku. Podvodníci rádi pošlou „upozornění o úniku“ s odkazem na změnu hesla. Odkazu nevěřte, otevřete službu ručně přes adresu, kterou znáte, a změnu proveďte tam. Jak rozlišit podvodnou zprávu, vysvětluje text o phishingu.
Co udělat podle toho, co uniklo
Nejdůležitější je rozlišit druh dat, protože každý druh vyžaduje jiný krok. Níže najdete přehled.
| Co uniklo | První krok | Kam dál | Opora |
|---|---|---|---|
| Heslo nebo e-mail | změnit heslo, zapnout dvoufázové ověření | správce služby | doporučení ČBA |
| Údaje platební karty | zablokovat kartu | banka | § 165 písm. b) zákona o platebním styku |
| Přihlašovací údaje do bankovnictví | okamžitě volat banku | banka, policie | § 165 a doporučení ČNB |
| Občanský průkaz | ohlásit ztrátu nebo nebezpečí zneužití | obecní úřad, policie, aplikace Ministerstva vnitra | § 37 zákona o občanských průkazech |
| Údaje z e-shopu nebo služby | požádat o informace podle čl. 15 GDPR | správce, případně ÚOOÚ | GDPR |
| Zneužití identity | podat trestní oznámení | Policie ČR | ÚOOÚ věc neřeší |
Hesla, dvoufázové ověření a e-mail
První den po úniku je nejdůležitější a přitom nejméně pracný: stačí několik úprav na správném místě.
Heslo změňte u dotčené služby i všude, kde jste používali stejné. Modelový příklad: David, 29 let, dostal od e-shopu zprávu o úniku zákaznické databáze. Používal stejné heslo i k e-mailu, a tak nejdřív změnil heslo ke schránce, pak teprve k e-shopu, a zapnul dvoufázové ověření.
E-mail je klíčový, protože přes něj lze obnovit hesla k dalším službám. Zapněte dvoufaktorové ověřování všude, kde to jde, a hesla nepoužívejte opakovaně. Česká bankovní asociace doporučuje silná, unikátní hesla a jejich neukládání do prohlížeče. Více k nastavení najdete v článku o zabezpečení internetového bankovnictví.
Pokud unikly údaje k bankovnictví, nečekejte na vysvětlení správce a zavolejte do banky. Banka přihlašovací údaje nikdy nepožaduje telefonicky, e-mailem ani přes sociální sítě. Postup přihlašování a ochrany účtu popisuje bankovní identita a bezpečné přihlášení.
Cílený podvod s použitím uniklých údajů
Největším rizikem po úniku bývá podvod, který zní věrohodně. Podvodník, který zná vaše jméno, adresu nebo číslo objednávky, se snáze vydává za banku, dopravce nebo e-shop. Česká národní banka varuje před kombinací phishingu, smishingu, vishingu a podvržených čísel.
Zvýšená opatrnost znamená jednoduché pravidlo: nevěřte volajícímu jen proto, že zná vaše údaje. Hovor ukončete a zavolejte na oficiální číslo. Typickým pokračováním je falešné volání „z banky“, jak popisuje článek o falešném bankéři a bezpečném účtu. Pokud k podvodu již došlo, postupujte podle textu co dělat po okradení.
Dobrou obranou je i rodinné pravidlo, že se o penězích nikdy nerozhoduje při hovoru, který vám někdo vnutil. Pokud vám volá i „dítě s novým číslem“, pomůže text o podvodu Ahoj mami. Hlídejte také pohyby na účtu, upozornění banky a případné nové přihlášení k vašim službám. Kdykoli vás zaskočí zpráva, kterou jste nečekali, dejte si čas a ověřte ji jinou cestou.
Co musí udělat správce podle GDPR
Pravidla vycházejí z obecného nařízení o ochraně osobních údajů, známého jako GDPR, které platí v celé Evropské unii.
Správce, u kterého k úniku došlo, ohlásí porušení zabezpečení dozorovému úřadu, v Česku Úřadu pro ochranu osobních údajů, bez zbytečného odkladu a pokud možno do 72 hodin od okamžiku, kdy se o něm dozvěděl. Výjimkou je případ, kdy je nepravděpodobné, že by porušení vedlo k riziku pro práva lidí. Při zpoždění musí uvést důvody.
Povinnost oznámit únik přímo vám je užší než povinnost vůči úřadu. Vám jako dotčené osobě musí správce porušení oznámit bez zbytečného odkladu jen tehdy, je-li pravděpodobné vysoké riziko pro vaše práva. Oznámení má být srozumitelné a obsahovat popis povahy porušení, kontakt, pravděpodobné následky a přijatá opatření. Výjimky platí, pokud byla data šifrovaná, nebo pokud správce následnými opatřeními riziko odstranil; při nepřiměřeném úsilí stačí veřejné oznámení.
Proto je častým omylem představa, že vám správce musí každý únik oznámit do 72 hodin. Těch 72 hodin se týká úřadu, ne vás.
Co napsat správci
Žádost o informace pošlete písemně na kontakt pro ochranu osobních údajů, který správce uvádí ve svých zásadách zpracování. Modelově může obsahovat tyto body:
- jméno a údaj, podle kterého vás správce dohledá, například e-mail zákaznického účtu;
- dotaz, zda se únik týkal vašich údajů a kterých;
- žádost o potvrzení, jaké údaje o vás zpracovává, k jakému účelu a komu je předal;
- dotaz, jaká opatření po úniku přijal a co doporučuje vám;
- případně žádost o výmaz údajů, které už nepotřebuje.
Vaše práva a stížnost u ÚOOÚ
Máte právo zjistit, zda správce vaše údaje zpracovává, k jakému účelu, komu je předal a jak dlouho je uchová. Žádost se řídí čl. 15 GDPR, za podmínek čl. 17 můžete žádat i výmaz. Správce odpoví bez zbytečného odkladu, nejpozději do 1 měsíce, což lze prodloužit o další 2 měsíce s uvedením důvodů.
Pokud vám únik způsobil hmotnou nebo nehmotnou újmu, máte právo na její náhradu od správce nebo zpracovatele, který se zprostí jen tehdy, prokáže-li, že za událost nenese žádnou odpovědnost. Stížnost u dozorového úřadu může podat osoba přímo dotčená, jinak jde o podnět. Podat ji lze online formulářem, datovou schránkou, e-mailem s uznávaným elektronickým podpisem nebo písemně.
Sama stížnost vám peníze nevrátí a nemusí vést k okamžitému výsledku, ale přispívá k dohledu nad správcem. Úřad navíc může správci nařídit, aby únik dotčeným lidem oznámil, pokud to sám neudělal. V podání popište zpracování, druh dat a přiložte doklady o vztahu ke správci. Úřad ale podle vlastních stránek neřeší zneužití identity, to je věc Policie ČR. Další kontakty shrnuje text, kam nahlásit podvod.
Doklady a zneužití identity
Pokud unikly kopie dokladů nebo jste doklad ztratili, ohlaste to neprodleně. Ztrátu nebo odcizení občanského průkazu na území ČR hlásíte pověřenému úřadu nebo Policii ČR, případně elektronickou aplikací Ministerstva vnitra. Pokud průkaz máte, ale unikla jeho kopie, jde o nebezpečí zneužití: to ohlaste pověřenému úřadu, osobně, datovou schránkou nebo e-mailem úřadu, nebo přes tutéž aplikaci. Databáze neplatných dokladů obsahuje jen neplatné doklady; že tam číslo není, neznamená, že je doklad v pořádku. Aktualizuje se jednou denně, takže zápis může mít zpoždění, rozhodující je ale samotné ohlášení.
Doklady jsou zároveň klíčem k podvodům s úvěry. Jak funguje zneužití dokladů k půjčce, popisuje článek o půjčce na cizí jméno. Pokud se objeví nepravdivý záznam v registru dlužníků, pomůže vymazání negativního záznamu. Důležité papíry si uspořádejte podle návodu o finančních dokumentech. U složité situace se obraťte na Policii ČR nebo svou banku.
Časté otázky
Musí mi správce oznámit každý únik dat?
Ne. Lidem musí únik oznámit bez zbytečného odkladu jen při pravděpodobném vysokém riziku. Úřadu ho ohlašuje do 72 hodin, pokud je to možné.
Mám změnit heslo, i když jsem nic podezřelého nezaznamenal?
Ano, a to hned u dotčené služby i všude, kde jste heslo používali. Zapněte také dvoufázové ověření a zkontrolujte, zda se nepřihlásil někdo cizí.
Vyšetří ÚOOÚ zneužití mé identity?
Ne. Úřad řeší porušení pravidel ochrany osobních údajů. Podezření na zneužití identity je třeba oznámit Policii ČR.
Kdy mi správce odpoví na žádost o informace?
Bez zbytečného odkladu, nejpozději do 1 měsíce. Lhůtu lze prodloužit o další 2 měsíce, pokud správce sdělí důvody.
Mohu požadovat náhradu újmy po úniku?
Ano, od správce nebo zpracovatele, pokud vám porušení způsobilo hmotnou nebo nehmotnou újmu. Správce se zprostí, když prokáže, že za událost neodpovídá.
Když mé číslo občanského průkazu není v databázi neplatných dokladů, je vše v pořádku?
Nemusí být. Databáze obsahuje jen doklady, které jsou ohlášeny jako neplatné. Pokud vám doklad unikl nebo zmizel, ohlaste to sami.
Mám po úniku údajů karty žádat novou kartu?
Ano, pokud unikly údaje platební karty, nechte ji zablokovat a požádejte banku o novou. Zneužití karty jste povinni oznámit bez zbytečného odkladu a platby provedené až po oznámení už podle zákona nenesete, pokud jste nejednali podvodně.
