Chyba: čekání, až bude vše jasné
Nejčastější chybou při hlášení porušení ochrany údajů není samotné porušení, ale okamžik, kdy se organizace rozhodne hlásit. Mnoho podniků chce nejdříve přesně vědět, co se stalo, která data se týkají a kolik lidí je postiženo, než upozorní dohledový orgán. To terá pocit pečlivosti, ale GDPR požaduje něco jiného: lhůta na hlášení 72 hodin začíná běžet, jakmile si organizace porušení ochrany údajů uvědomí, nikoli až když má všechna fakta jasná.
Důsledkem je, že se hodiny již značně ubírají v okamžiku, kdy se interně všichni shodnou na tom, co se přesně stalo. Obvykle se nejedná o neochotu, ale o neznalost způsobu, jak tato lhůta funguje: GDPR umožňuje, aby se hlášení doplňovalo v etapách, právě proto, že naprostá jistota se často nedá získat během tří dnů.
Proč se tato chyba vyskytuje tak často
Zmatek vzniká, protože lidé si zaměňují porušení ochrany údajů a porušení ochrany údajů podléhající hlášení. Ne každý incident s osobními údaji se musí hlásit dohledovému orgánu; GDPR při tom rozlišuje, zda existuje riziko pro práva a svobody subjektů údajů. Podniky, které toto rozlišení nemají jasné, jdou často dvěma směry příliš daleko: hlásí téměř nic ze strachu z problémů, nebo se nejdříve pokouší získat kompletní obraz, než se odváží hlášení provést. Obě reakce vycházejí z nejistoty ohledně toho, co zákon přesně požaduje, a tuto nejistotu lze v mnoha případech eliminovat pomocí několika pevných otázek. Rozhodovací strom na v pěti otázkách vám ukáže, kde stojíte byl vytvořen za tímto účelem: na základě několika konkrétních otázek ukazuje, zda se předpokládaný případ pravděpodobně podřizuje hlašovací povinnosti, aniž by k tomu bylo třeba právních znalostí.
Druhou přidruženou chybu
Úzce související s pozdním hlášením je zapomenutí na vlastní dokumentaci. Také porušení ochrany údajů, které nakonec nehlásíte dohledovému orgánu, by mělo být interně zaznamenáno: co se stalo, proč bylo nebo nebylo hlášeno a jaká opatření byla přijata. Mnoho organizací zaznamenává pouze incidenty, které skutečně hlásily, a zbytek zůstává nedokumentován. Tím chybí právě přehled, který je potřebný k prokázání, že zvážení bylo provedeno vědomě a na základě správných kritérií, mělo-li by se to později zkoumalo.
Jak si nechat hodinky pracovat pro vás
Lhůta 72 hodin není určena k tomu, aby překvapila organizace, ale aby umožnila subjektům údajů rychlé varování, pokud je to třeba. To funguje lépe, pokud je předem jasné, kdo v organizaci nahlásí podezření na porušení, komu, a které základní otázky jsou při tom standardně kladeny. Bez těchto dohod se marní drahocenný čas hledáním, kdo za to vlastně zodpovídá, zatímco se hodiny již odpočítávají.
Pomáhá také, když si předem vědomě uvědomíte, které systémy a poskytovatelé osobní údaje zpracovávají, abyste při hlášení od poskytovatele mohli okamžitě odhadnout, o která data a která subjekta údajů jde. Aktuální přehled používaných SaaS nástrojů a dohod o nich, tak jak se objevuje v registru zpracování na znalostní base s vysvětlením pro jednotlivá témata ušetří v praxi spoustu vyšetřovací práce v rozhodujícím okamžiku.
Co si můžete zaznamenat předem
Hlavní myšlenkou je, že hlášení nemusí být úplné, aby byla na čase. První hlášení se známými fakty, následované doplněním, jakmile bude více jasné, je v souladu s tím, co GDPR umožňuje. Organizace, které si to předem uvědomí a mají pro to pevný, krátký postup, se méně často setkávají s chybou, kdy příliš dlouho čekají. Také pomáhá srozumitelnost, kde jsou citlivá data umístěna a jak jsou zabezpečena, aby bylo podezření na porušení rychleji posouzeno na závažnost; stránka o jak jsou údaje v systému chráněny vám o tom dá představu.
Zda je určitý incident v organizaci podléhá povinnosti hlášení a jak jej nejlépe zdokumentovat, je nakonec rozhodnutí, které se rozhodujete sami, případně s právníkem nebo v konzultaci s Úřadem na ochranu osobních údajů. gdpria.eu vám při tom poskytuje vysvětlení a strukturovaný první odhad, nikoli právní poradenství.
Chcete si hned zjistit, kde jsou u vás problémová místa? Bezplatná rychlá kontrola a odpovědi na nejčastěji kladené otázky vám během pár minut dají první přehled, a přitom není potřeba žádný účet.