Основното: самото задължение за докладване не се променя
Задължението за докладване при нарушение на данни е определено в самата GDPR с известния период от 72 часа след откритие към Органа по защита на данните, и отделна оценка дали трябва да бъдат информирани и самите засегнати лица. Този текст е част от европейско разпореждане и не се изменя всяка година. Доколкото е известно, тази година няма изменение на самото разпореждане, което засяга задължението за докладване или периода. Това, което се променя, е пояснението около него: как EDPB и Органа по защита на данните попълват отворените норми от закона, и как друго законодателство идва да се наложи до GDPR. За MKB-фирма това често е по-относимо от самия закон, защото именно това пояснение определя кога един инцидент се счита за подлежащ на докладване.
Не е въпрос за нова дата или нов номер на член, който трябва да запомните, а за три изменения, които засягат практиката: по-строги указания относно това какво се счита за нарушение на данни, повече съвпадение със специализирано законодателство като NIS2, и различна реалност, защото инцидентите все по-често възникват при SaaS-доставчик, вместо в самата фирма.
Указания, които преместват границата
Самата GDPR описва нарушение на данни в общи термини: нарушение на защитата, което води до унищожаване, загуба, изменение или неоправдано разкриване на лични данни. Какво конкретно попада под това, се попълва година след година чрез указания на EDPB и собственото тълкуване на Органа по защита на данните. По този начин през последните години е постигнато повече яснота относно пограничните случаи: грешно изпратен имейл с прикачен файл, служител, който влиза в грешен акаунт, или резервно копие, което временно не е налично. Такива ситуации преди често се третираха като вътрешен въпрос; посоката в указанията е, че дори без лоша намерение от служител може да има подлежащ на докладване инцидент. За директор или мениджър на офис това означава, че оценката по-редко може да бъде въз основа на интуиция и повече на определена процедура. Quien дума дали конкретен случай попада под задължението за докладване, може да го разработи в няколко въпроса чрез решалника на gdpria.eu, в няколко въпроса вижте дали нещо е нарушение на данни, подлежащо на докладване.
Съвпадение с друго законодателство
Второто изменение не е в самата GDPR, а в законодателство, което идва да се наложи до нея. За организации, които са част от, или доставят на, сектори, които попадат под законодателство като NIS2, инцидент на защитата може едновременно да попадне под два режима на докладване: GDPR за личните данни, и секторно задължение за докладване за самата услуга. Това не касае всяка MKB-фирма, но засяга инсталационни компании, IT-услугодатели и други страни, които са доставчик за по-голяма, регулирана организация. За тази група е разумно да проверят дали клиент или поръчател вече е включил допълнителни споразумения за докладване в договора, в допълнение на това, което вече е в договора с обработвача. Който иска да провери какво точно е в такъв договор относно периоди на докладване и отговорности, намира информация в уроци с обяснение по тема.
Практиката се преместват към SaaS-доставчика
Третата промяна е по-скоро въпрос на фактическо развитие, отколкото на нормативни изменения: растящ дял от инцидентите, с които се сблъскват нидерландските компании, не възникват в самите тях, а при доставчик на софтуер, който те използват за счетоводство, управление на персонала или контакт с клиенти. Отговорността да се преценим дали това води до подлежащо на докладване нарушение на данните остава при компанията, която разпоредява обработката на данните, а не автоматично при доставчика. Доставчик, който сам докладва инцидент, не освобождава поръчвача от собствената преценка. Това прави още по-важно да се определи предварително как и кога доставчикът докладва инцидент, и да се намери това споразумение в собствения преглед на използваните инструменти. Компаниите, които все още нямат пълен преглед, могат да го изградят с помощта на обяснение как системата се попълва от известни инструменти.
Какво означава това за вас
За повечето МСП компании тази година няма промяна на самата законна срокова граница. Което е разумно: периодично преверете собния си подход към инцидентите според най-новите насоки, проверете дали поръчвателят поставя допълнителни споразумения за докладване, и имайте ясна договореност с доставчиците кой преценява инцидента първи. Нито един от тези пунктове не изисква правно проучване, а по-скоро фиксиран момент да се вземат предвид.
Искате ли бързо да видите как стои вашата компания по отношение на този въпрос? Въпросите в безплатното бързо сканиране на gdpria.eu дават първо указание, а в често задавани въпроси относно нарушения на данни и докладване намирате по-кратки отговори на свързани въпроси.