Уведомяването на нарушение на данните пред Управата по защита на личните данни е безплатно: няма такса или вознаграждение. Разходите се крият в това, което се случва след това: установяване на точно какво е станало, уведомяване на засегнатите лица, евентуално технически работи по възстановяване и времето, което всичко това отнема от вашата организация. Колко високо ще бъде суммата, зависи силно от мащаба на нарушението, вида на данните и дали вече е имало процес преди да се случи проблемът.
Няма фиксирана сума за "едно нарушение на данните", защото няма две еднакви нарушения. Грешно изпратено писмо с контактни данни на един клиент изисква нещо различно от проникване в система с кадрови досиета на сто служители. Позициите на разходите са винаги в същите категории; само размерът се различава.
Откъде идват разходите
Първата позиция на разходите е внътрешното време: някой трябва да установи какво се е случило, кои данни са засегнати и дали законният срок от седемдесет и два часа за уведомяване пред Управата по защита на личните данни е близо. Тези часове често се подценяват, особено ако няма фиксирана контактна точка или процес и няколко хора едновременно разглеждат един и същи инцидент.
Освен това може да е необходима външна помощ: IT доставчик, който технически трябва да затвори нарушението, разследващ с опит в криминалистиката при по-голямо проникване, или юрист, който да преценява дали и как трябва да се уведоми. Не всяко нарушение на данните изисква всички тези звена, но при по-сериозен инцидент тези разходи бързо се увеличават.
Уведомяването на засегнатите лица също изисква време и понякога пари: съставяне на внимателен, разбираем за клиента документ или писмо, отговаряне на вопросите, които следват, и в някои случаи предлагане на някаква форма на обезщетение, като нов код за вход или безплатна услуга. Блокът за вземане на решение в в няколко въпроса ще видите дали и как трябва да докладвате помага при уточняване на първата стъпка, така че да не губите ненужно време в колебание.
Какво определя размера
Най-важният фактор е обхватът: колко хора са засегнати и колко чувствителни са данните. Изтичането на имена и имейл адреси се различава от изтичането на финансови данни или данни за здравето. Указанията на EDPB и самата GDPR споменават този вид рискови фактори като отправна точка за оценката, а не като формула за изчисляване на размер.
Втори фактор е колко бързо е открито изтичането и колко ясно е кой на кого отговаря. Ако в договора с обработвателя вече е определено кой доставчик трябва да бъде предупреден и в какъв период, това спестява проучване на момента, когато нещото се обърка. Ако това споразумение липсва, самото инцидент отнема повече време за разбиране, преди да се начне възстановяването.
Трети фактор е дали вашата организация вече има установен процес: фиксиран план на действията, списък на кого трябва да уведомите и място, където са регистрирани предишни инциденти. Без него, при всяко инцидент трябва да се изобретава отново кой какво прави, което отнема както време, така и спокойствие на момент, когато и двете са редки.
Самото докладване е безплатно, подготовката не е
Добре е да поддържате това разграничение ясно: задължението да докладвате на Органа за защита на данните не носи разходи, но способността да изпълните надлежно това докладване носи. Този, който трябва да определи дали инцидент трябва да бъде докладван в установения период и какво точно трябва да съдържа, има нужда от време за това. Преглед на това, което трябва да бъде включено в докладване и какви документи обикновено ще ви трябват, е описан в базата от знания с обяснение по всяка тема.
Много от тези разходи не са еднократни, а повтарящи се, просто защото нарушенията на данни не са планирани и могат да се повторят отново и след години. Поради това някои организации избират да пуснат часовника, стъпките и записването да работят в система, вместо да преконструират това всеки път ръчно. Какво струва такъв абонамент и какво му отговаря, се вижда на страница с цени с разбивка по компонент.
Предварителното записване спестява после
Най-голямото намаление на разходите обикновено е не в самия инцидент, а в подготовката за него: актуален регистър на дейностите по обработка, ясни договорености с доставчици и фиксирана точка за контакт осигуряват, че нарушението на данни отнема по-малко време за оценка и управление. Често задавани въпроси относно това какво е и не е задължително в този случай са събрани на страницата с отговори на въпросите, които задават и други предприемачи.
Искате ли да получите начално представяне за вашата конкретна ситуация откъде сте? Безплатното бързо сканиране дава с няколко въпроса индикация, без да имате нужда от профил.