Мога ли сам да разреша нарушение на данни?
Да, голяма част от оценката и справянето с нарушение на безопасността на данните можете да направите сами. РЕГЛАМЕНТ (EU) 2016/679 не изисква ангажиране на адвокат или външна фирма. Какво изискува нормативният акт, е да отколешете нарушението, да преценитете дали то представлява риск за правата и свободите на засегнатите лица, и — ако е така — да го докладвате навреме на надзорния орган и евентуално на засегнатите лица.
Дали можете да го направите самостоятелно зависи главно от мащаба и сложността на инцидента. Погрешно изпратено писмо с данни на един клиент е нещо различно от хакирана сървър с хиляди клиентски досиета. Границата между самостоятелно справяне и поддържане на услуга не е установена в закона, а зависи от вашата способност да преценитеите бързо и внимателно какво е станало.
Какво можете да преценитете самостоятелно
Първи въпрос при всеки инцидент е дали изобщо има нарушение на безопасността на данните по смисъла на РЕГЛАМЕНТ (EU) 2016/679: дали персоналните данни са загубени, видени от лице, което нямаше право, или случайно променени или унищожени? Тази преценка можете да направите перфектно с ясна чек-листа. вижте в няколко въпроса къде сте дава първо указание без да имате веднага нужда от консултант.
Ако наистина има нарушение, следва оценка на риска: представлява ли то опасност за правата и свободите на засегнатите лица, например защото чувствителни данни са разкрити или е възможна кража на самоличност? Тази преценка също е възможно да се направи за много често срещани ситуации на основата на указанията на EDPB и обяснението, което дава надзорния орган. базата от знания с обяснение по всяка тема описва критериите, които участват в процеса, с посочване на източника в официалния текст.
Действителното докладване на нарушението на надзорния орган е в практиката също самостоятелно осъществимо за много компании. Надзорния орган има за това собствен формуляр за докладване, а информацията, която се изисква — какво се е случило, за кои данни е въпрос, колко хора са засегнати и какви мерки са предприети — е информация, която като организация вие сами най-добре познавате.
Когато е целесъобразно да потърсите допълнителна помощ
При редица ситуации справянето самостоятелно е по-трудно. Ако е въпрос за голям брой засегнати лица, за чувствителни персонални данни, като например данни за здравето, или за технически инцидент, чийто мащаб е все още неясен, то е препоръчително да не разчитате само на собствената преценка. Същото се отнася и когато нарушението може да има последици и в друга държава членка, или когато е неясно кой надзорен орган има компетентност.
Информирането самите засегнати лица — вместо само надзорния орган — също изисква внимателност. Тонът, съдържанието и момента на това съобщение определят до голяма степен как ще реагират хората, а неправилно формулирано съобщение може да причини повече безпокойство, отколкото самия инцидент. В тези случаи е целесъобразно да консултирате адвокат или да се свържете с надзорния орган за надлежния начин на действие.
Какво РЕГЛАМЕНТ (EU) 2016/679 изисква и какво не изисква
Нормативният акт предписва сроък, в който нарушение, което трябва да се докладва, трябва да бъде докладвано на надзорния орган, и задължава организациите да документират какви нарушения на безопасността на данните се е случили, включително и тези, които не трябва да бъдат докладвани. Какво РЕГЛАМЕНТ (EU) 2016/679 не предписва, е кой в организацията ви ще извършва този процес. Това означава, че самостоятелното справяне е допустимо, докато резултатът отговаря на това, което закона изисква.
Отговорността остава при организацията, дори ако част от работата се поддържа на външен съветник или бюро. Това не е въпрос на пълно прехвърляне и пренебрегване, а на познаване кои стъпки са предприети и защо.
Документирането винаги е необходимо
Независимо дали го правите сами или получавате подкрепа, документирането е необходимо и в двата случая: какво се е случило, кога сте го открили, каква оценка сте направили относно риска и какви мерки са предприети, за да се предотврати повторението. Това документиране е полезно не само за надзорния орган, но и за вас, в случай че сходен инцидент се случи отново по-късно.
Как трябва да изглежда той обосновката и какви източници се използват при него, може да се прочете на страницата, откъдето идва информацията. Ако се съмнявате дали вашата ситуация подлежи на задължение за докладване, първо направете безплатната проверка и прочетете съответните теми в знанийната база, преди да вземете решение. Ако желаете процесът от разпознаване до разрешаване да бъде структурирано организиран, можете да се регистрирате за бизнес акаунт за да оставите сроковете и документирането да следват автоматично.