GDPR определя, че нарушение на данни, което може да създаде риск за субектите на данни, трябва да бъде докладано на Управата по защита на личните данни веднага щом вземете знание за него. Периодът за това е кратък: 72 часа. Ако не докладате или докладате закъснело, не изпълнявате задължение по GDPR в този аспект. Какво конкретно означава това, зависи от ситуацията, и точно там ние като редакция не издаваме преценка: това е на вас, вашия юрист или регулатора.
Това, което обаче може да бъде описано: GDPR дава на Управата по защита на личните данни правомощия да проведе разследване на нарушение на данни, което не е докладано или е докладано закъснело, и да реагира на него. Каква е тази реакция и дали ще последва, не е определено и не може да се предвиди. За вас като предприемач въпросът не е толкова "каква е наказанието", колкото "какво трябва да уредя, за да мога навременно да преценя дали е необходимо докладване".
Какво точно се изисква от докладната задължение
GDPR прави разлика между докладване на регулатора и докладване на субектите на данни. Първото е на ред при нарушение, което може да създаде риск; второто, по-тежко вариант, е на ред при висок риск. И двете преценки трябва да се направят бързо, и 72-часовият период за регулатора се брой от момента, в който сте открили нарушението, не от момента, в който то е възникнало. Който все още не е заострил това разграничение, може да го преодолее в няколко въпроса: в пет въпроса видите къде сте дава преки показания дали е необходимо докладване.
Ядрото на проблема при закъсняло докладване обикновено не е нежелание, а време, загубено в неяснота: кой трябва да се справи с това, дали е наистина нарушение на данни в смисъла на GDPR, и имаме ли всъщност преглед на кои системи съдържат лични данни. Последното е точно където регистър на дейностите на обработка доказва своята стойност: без преглед на вашите обработки, разчитането на размера на нарушението отнема ненужно време от 72-те часа, които имате.
Също така трябва да можете да обоснователете недокладване
По-малко известен аспект е, че GDPR също изисква да се документира, когато преценкате, че нарушението не трябва да бъде докладано, и защо. Задължението да се дават обосновки се отнася за самата преценка, не само за докладването, ако то се осъществи. Нарушение, което преценявате като "без риск за субектите на данни" и където не документирате тази преценка никъде, е трудно да се обоснова впоследствие, ако бъдете попитани. Ръководствата на EDPB разговарят подробно по този въпрос; референцията и обяснението са достъпни в банка от знания по тема.
Последици, които отиват по-далеч от регулатора
Извън връзката с Управата по защита на личните данни има още две места, където пропуснато докладване може да се появи. Първото е договорът за обработка на данни: ако обработвате лични данни за клиент, там често е посочен собствен период за докладване, понякога по-кратък от законния 72 часа, и този период тогава се прилага паралелно със GDPR. Второто е самият субект на данни: някой, чиито данни са нарушени и който това открие без вашето докладване, вече не може да възстанови това доверие, което е независимо от всяка правна преценка.
Също така застраховател или възложител, който впоследствие попита как е обработено нарушението, ще разглежда дали е извършена навременна преценка и, където е необходимо, докладване. Това е нещо различно от наказание, но то докосва това, което често е причината да се привеждат нещата в ред в областта на защитата на личните данни: да се докажат, че съществува процес, не само че никога не се е случило нещо лошо.
Защо часовникът често е критичен момент
На практика рядко липсва желанието да се направи уведомление, а по-скоро скоростта, с която една организация може да установи какво се е случило, какви данни са засегнати и кой е заинтересован. Система, която пуска 72-часовата брой на времето веднага след като възможно течение бъде регистрирано, предотвратява времето да се разходва в вътрешни дискусии. Как е построена такава система и на какво се основава информацията, е описано на страницата за откъде идва информацията.
Дали конкретен инцидент в ваш случай е обект на задължение за уведомление, кой точно е срокът в ваш случай и какви са последствията, ако уведомлението е пропуснато, не може да се отговори по общ начин. За това преценяване адвокат или самата Орган за защита на данните е подходящият контакт.
Желаете ли първо да се запознаете със своята позиция, без задължения? Безплатното бързо сканиране и базата от знания дават първоначална индикация по всяка тема, включително местоположението в официалния текст.