Грешката: чакане докато всичко стане ясно
Най-честата грешка при докладване на нарушение на данни е не самото нарушение, а моментът, в който организацията решава да докладва. Много фирми искат първо да знаят точно какво се е случило, кои данни са засегнати и колко хора са пострадали, преди да уведомят органа по защита на данните. Това изглежда внимателно, но GDPR изисква нещо различно: срокът от 72 часа начина да тече от момента, в който осъзнаете нарушението на данни, не от момента, в който сте събрали всички факти.
Резултатът е, че часовникът е отчел голяма част от времето до момента, в който всички в организацията се договорят какво точно се е случило. Обикновено това не е въпрос на нежелание, а на неознайомленост как работи този срок: GDPR позволява докладването да се допълни на етапи, тъй като пълна сигурност често не може да се постигне в рамките на три дни.
Защо тази грешка възникна толкова често
Объркването възниква, защото хората объркват нарушение на данни и докладваемо нарушение на данни. Не всеки инцидент с персонални данни трябва да бъде докладван на органа; GDPR прави разлика дали съществува риск за правата и свободите на засегнатите лица. Фирмите, които не прават ясно това разграничение, често отиват твърде далеч в две посоки: или докладват почти нищо от страх пред неудобствата, или се опитват да получат цялата картина преди да осмелят да направят докладване. И двете реакции произтичат от неуверност какво точно изисква законът, и тази неуверност често може да се отстрани с няколко фиксирани въпроса. Дърветото на решение на в пет въпроса видите къде сте е направено за това: на базата на няколко конкретни въпроса показва дали един случай вероятно е обхванат от задължението за докладване, без да имате нужда от правни познания.
Втора грешка, която часто идва с нея
Тясно свързано със забавеното докладване е забравянето на собственото документиране. И нарушение на данни, което в крайна сметка не докладвате на органа, трябва да бъде вътрешно записано: какво се е случило, защо е или не е докладвано, и кои мерки са предприети. Много организации регистрират само инцидентите, които действително са докладвали, и оставят останалите недокументирани. По този начин липсва точно преглеждът, който е необходим да се покаже, че одобрението е направено с познание и на основата на правилните критерии, ако по-късно се попита.
Как да накарате часовника да работи в ваша полза
Срокът от 72 часа не е предназначен да затиска организациите, а да позволи на засегнатите лица да бъдат уведомени бързо, ако е необходимо. Това работи по-добре, ако е предварително ясно кой в организацията докладва съмнение за нарушение, на кого, и кои базови въпроси се задават стандартно. Без тези договорки се губи ценно време за определяне кой всъщност е отговорен, докато часовникът вече работи.
Помага и да знаете предварително кои системи и доставчици обработват персонални данни, за да можете, когато получите докладване от доставчик, веднага да прецените кои данни и кои засегнати лица са засегнати. Актуален преглед на използваните SaaS инструменти и договореностите за тях, както е представено в регистъра на дейности по обработка на данни на уроци с обяснение по тема спестява в практиката много разследвания в момента, когато е критично.
Какво можете да документирате предварително
Същинското е, че докладването не трябва да бъде пълно, за да бъде своевременно. Първоначално докладване с известните факти, последвано от допълнение, когато има още информация, отговаря на това, което GDPR допуска. Организации, които знаят това предварително и имат фиксирана, кратка процедура за това, по-рядко се сблъскват с грешката да чакат твърде дълго. Което също помага е яснота за локализиране на чувствителни данни и как са защитени, за да може един подозрение за нарушение бързо да бъде преценено по отношение на сериозност; страницата на как данните са защитени в системата дава представа за това.
Дали конкретен инцидент в организацията ви подлежи на задължение за докладване и как да го документирате е в крайна сметка преценка, която правите вие, евентуално със съдействието на адвокат или в консултация с Управата за защита на личните данни. gdpria.eu осигурява насоки и структурирана първоначална преценка, но не правна консултация.
Желаете ли да разберете съответно къде са критичните точки в организацията ви? Безплатната бърза проверка и отговорите на често задавани въпроси дават представа за положението в рамките на няколко минути, без да е необходима регистрация.