При нарушение на данните имате нужда по същество от три вида документи: вътрешна регистрация на случилото се, преценка дали уведомяването на Органа за защита на личните данни е задължително и — ако е така — самото уведомяване с неговото обоснование. Ако уведомяването на засегнатите лица е включено, също така се счита за документ, който трябва да бъде регистриран.
Детайлът, който при тази тема най-често се пропуска, е вътрешната регистрация. Дори ако след преценката преценка решите, че нарушението на данните не трябва да бъде докладвано на Органа за защита на личните данни, GDPR и все пак иска да регистрирате самия инцидент: какво се случи, кои данни бяха засегнати, какви са били възможните последици и защо стигнахте до вашето заключение. Много предприемачи смятат, че нещо трябва да бъде написано само когато се уведоми. Това не е описано в регламента.
Вътрешната регистрация на инцидента
Това е документът, който трябва да съществува при всяко нарушение на данните, независимо от резултата на вашата преценка. Той описва кога открихте инцидента, какво точно се случи, кои категории данни и кои засегнати лица е засегнало, и какви мерки предприехте, за да ограничите последиците. Надзорните органи при проверка не разглеждат само направените уведомяления, но и дали организацията може да покаже как по-ранни инциденти са били преценени. Без този документ този анализ липсва.
Преценката дали уведомяването е необходимо
Наред с фактическата регистрация е необходим втори документ: самата преценка. Кои рискове видяхте за засегнатите лица и на какво основание заключихте, че уведомяването е или не е необходимо? GDPR разграничава риска за правата и свободите на засегнатите лица като критерий. Регистрирането на тази преценка не е само удобно за вас по-късно, това е и документът, с който можете да покажете, че е направен съзнателен избор и не случайност. Който се колебае дали конкретен инцидент подлежи на уведомяване, намира в дървото за вземане на решения, което дава първа индикация в няколко въпроса начална точка, без това да замещава вашата собствена преценка.
Уведомяването на Органа за защита на личните данни
Ако заключението е, че уведомяването е необходимо, самото уведомяване идва като документ: какво сте уведомили, кога и с кои данни. GDPR установява за това крайният срок от 72 часа, след като узнахте за нарушението на данните. Запазете не само потвърждението на уведомяването, но и версията на фактите, както бяха известни в момента на уведомяването — това може да бъде допълнено по-късно, ако станат ясни повече подробности за обхвата.
Комуникацията към засегнатите лица
В някои случаи трябва да има и съобщение към самите засегнати лица, например когато рискът за тях се счита за значителен. Това съобщение също — какво точно е было съобщено и на кого — е част от досието. Не е шаблон, който е еднакъв за всяко нарушение на данните; съдържанието зависи от това какво се е случило и кои данни е засегнало.
Договорености с доставчици и преработвачи
Ако нарушението на данните възникне при страна, която обработва данни за вас, като счетоводна програма или хостинг партньор, тогава договорката, която е регистрирана за това в договора за обработка, също трябва да е включена: уведомява ли вас тази страна за инциденти и в какъв срок? Ако това все още не е ясно, намирате в базата от знания, където е разработено по ситуация начална точка за преразглеждане на договорите за обработка на този момент.
Защо това досие е отделно от вашата сигурност
Документацията около нарушение на данните е нещо различно от мерките, които предварително предприехте, за да предотвратите нарушение на данните, но двете се засягат: надзорният орган може да попита как изглеждаше вашата сигурност в момента на инцидента. Как се документира защитата на данните на практика, можете да прочетете чрез обяснението на надлежните мерки за сигурност.
Да го подредите вече сега
Банката от знания и дървото на решенията са безплатни за консултация без акаунт. Ако искате регистрацията на инцидентите, сроковете и шаблоните за тях да бъдат структурирани на едно място вместо да ги търсите всеки път наново, то за това е насочена абонаментната услуга на gdpria.eu. Бизнес акаунт създавате на име на вашия номер на КвК и ДДС, свързан с организацията и не с един имейл адрес.
Ако сега имате евентуално нарушение на данните за оценка, преминете първо през бясплатното бързо сканиране или прочетете темите в банката от знания. За обяснението какво точно се отнася до вашата ситуация, адвокат или Органът за защита на данните остават надлежният контактен пункт.