Το κύριο σημείο: η ίδια η υποχρέωση ειδοποίησης δεν αλλάζει
Η υποχρέωση ειδοποίησης σε περίπτωση παραβάσης δεδομένων προβλέπεται στο ίδιο το GDPR, με τη γνωστή προθεσμία 72 ωρών μετά την ανακάλυψη προς την εποπτική αρχή για την προστασία δεδομένων, και μια ξεχωριστή αξιολόγηση για το εάν πρέπει να ενημερωθούν και τα ίδια τα υποκείμενα δεδομένων. Αυτό το κείμενο αποτελεί μέρος ενός ευρωπαϊκού κανονισμού και δεν αλλάζει κάθε χρόνο. Εξ όσων είναι γνωστό, δεν υπάρχει φέτος καμία τροποποίηση του ίδιου του κανονισμού που να αφορά την υποχρέωση ειδοποίησης ή τη διάρκεια της προθεσμίας. Αυτό που αλλάζει όντως είναι η ερμηνεία γύρω από αυτό: ο τρόπος με τον οποίο η ΕΔΠΑ και η εποπτική αρχή για την προστασία δεδομένων ερμηνεύουν τα ανώνυμα πρότυπα του νόμου, και ο τρόπος με τον οποίο άλλη νομοθεσία τοποθετείται δίπλα στο GDPR. Για ένα μικρό ή μεσαίο επιχείρημα, αυτό είναι συχνά πιο σχετικό από το ίδιο το νομικό κείμενο, διότι η ερμηνεία αυτή καθορίζει πότε ένα συμβάν θεωρείται ως υπόχρεο να ειδοποιηθεί.
Δεν πρόκειται λοιπόν για μια νέα ημερομηνία ή έναν νέο αριθμό άρθρου που πρέπει να θυμάστε, αλλά για τρεις αλλαγές που επηρεάζουν την πράξη: αυστηρότερες κατευθυντήριες γραμμές για το τι θεωρείται παραβίαση δεδομένων, περισσότερη σύμπτωση με τη νομοθεσία του τομέα όπως το NIS2, και μια διαφορετική πραγματικότητα επειδή τα περιστατικά προέρχονται όλο και συχνότερα από έναν πάροχο υπηρεσιών λογισμικού ως υπηρεσία αντί να προέρχονται από την ίδια την επιχείρηση.
Κατευθυντήριες γραμμές που αλλάζουν τα όρια
Το ίδιο το GDPR περιγράφει μια παραβίαση δεδομένων σε γενικούς όρους: μια παραβίαση της ασφάλειας που οδηγεί στην καταστροφή, απώλεια, αλλαγή ή μη εξουσιοδοτημένη γνωστοποίηση δεδομένων προσώπων. Τι ακριβώς εμπίπτει σε αυτό, συμπληρώνεται έτος προς έτος περαιτέρω μέσω κατευθυντήριων γραμμών της ΕΔΠΑ και της ίδιας της ερμηνείας της εποπτικής αρχής. Για παράδειγμα, τα τελευταία χρόνια υπήρξε μεγαλύτερη σαφήνεια σχετικά με ανοικτές περιπτώσεις: ένα λάθος αποσταλμένο email με συνημμένο, ένας υπάλληλος που συνδέεται σε λάθος λογαριασμό, ή ένα αντίγραφο ασφαλείας που δεν είναι προσωρινά διαθέσιμο. Τέτοια περιστατικά παλιότερα συχνά αντιμετωπίζονταν ως εσωτερικό ζήτημα· η τάση στις κατευθυντήριες γραμμές είναι ότι ακόμη και χωρίς κακή πρόθεση ενός υπαλλήλου, μπορεί να υπάρχει ένα συμβάν που πρέπει να ειδοποιηθεί. Για έναν διευθυντή ή υπεύθυνο γραφείου, αυτό σημαίνει ότι η αξιολόγηση δεν μπορεί να γίνει τόσο συχνά με βάση την ένστικτη και περισσότερο με βάση ένα σταθερό σχέδιο ενεργειών. Όποιος αμφιβάλλει για το εάν ένα συγκεκριμένο περιστατικό εμπίπτει στην υποχρέωση ειδοποίησης, μπορεί να το δει σε μερικές ερωτήσεις μέσω του δένδρου αποφάσεων του gdpria.eu, σε μερικές ερωτήσεις να δει εάν κάτι είναι μια υποχρεωτική ειδοποίηση παραβίασης δεδομένων.
Σύμπτωση με άλλη νομοθεσία
Μια δεύτερη αλλαγή δεν βρίσκεται στο ίδιο το GDPR, αλλά στη νομοθεσία που τοποθετείται δίπλα του. Για οργανισμούς που αποτελούν μέρος ή παρέχουν υπηρεσίες σε τομείς που υπόκεινται σε νομοθεσία όπως το NIS2, ένα περιστατικό ασφάλειας μπορεί να εμπίπτει ταυτόχρονα σε δύο καθεστώτα ειδοποίησης: το GDPR για τα δεδομένα προσώπων, και μια σεκτοριακή υποχρέωση ειδοποίησης για την ίδια την παροχή υπηρεσιών. Αυτό δεν επηρεάζει κάθε μικρό ή μεσαίο επιχείρημα, αλλά θα επηρεάσει εγκαταστάσεων, παροχέων υπηρεσιών πληροφορικής και άλλων μερών που λειτουργούν ως προμηθευτής για έναν μεγαλύτερο, ρυθμιζόμενο οργανισμό. Για αυτήν την ομάδα, είναι σκόπιμο να ελέγξει εάν ένας πελάτης ή αναθέτων έχει προσθέσει τώρα πρόσθετες δεσμεύσεις ειδοποίησης στο συμβόλαιο, εκτός από ό,τι ήδη υπάρχει στη σύμβαση επεξεργασίας. Όποιος θέλει να ελέγξει τι ακριβώς είναι σε αυτήν τη σύμβαση σχετικά με προθεσμίες ειδοποίησης και ευθύνες, βρίσκει πληροφορίες στο η τράπεζα γνώσης με εξηγήσεις ανά θέμα.
Η πράξη μετατοπίζεται προς τον πάροχο υπηρεσιών λογισμικού ως υπηρεσία
Η τρίτη αλλαγή είναι λιγότερο θέμα κανονισμού και περισσότερο ζήτημα πραγματικής εξέλιξης: ένα αυξανόμενο μέρος των περιστατικών που αντιμετωπίζουν ολλανδικές επιχειρήσεις δεν προκύπτει από τις ίδιες, αλλά από έναν πάροχο λογισμικού που χρησιμοποιούν για λογιστική, διαχείριση προσωπικού ή επαφή με πελάτες. Η ευθύνη να αξιολογήσει εάν αυτό έχει ως αποτέλεσμα ένα παραβίαση δεδομένων που υπόκειται σε υποχρέωση ειδοποίησης παραμένει, ωστόσο, στην επιχείρηση που επιτρέπει τη διαχείριση των δεδομένων, όχι αυτόματα στον πάροχο. Ένας πάροχος που ο ίδιος ειδοποιεί για ένα περιστατικό δεν απαλλάσσει τον ανάδοχο από τη δική του αξιολόγηση. Αυτό καθιστά ακόμη πιο σημαντικό να προσδιοριστεί εκ των προτέρων πώς και πότε ένας πάροχος ειδοποιεί για ένα περιστατικό, και να βρεθεί αυτή η συμφωνία στη δική σας επισκόπηση των εργαλείων που χρησιμοποιούνται. Οι επιχειρήσεις που δεν έχουν ακόμη ολοκληρώσει αυτή την επισκόπηση μπορούν να την κατασκευάσουν με τη βοήθεια του μιας επεξήγησης για το πώς το σύστημα συμπληρώνεται από γνωστά εργαλεία.
Τι σημαίνει αυτό για σας
Για τα περισσότερα μικρές και μεσαίες επιχειρήσεις δεν αλλάζει τίποτα φέτος στην ίδια τη νόμιμη προθεσμία. Ό,τι είναι λογικό είναι: να δοκιμάσετε περιοδικά τη δική σας προσέγγιση στα περιστατικά σύμφωνα με τις τελευταίες κατευθυντήριες γραμμές, να ελέγξετε εάν ένας ανάδοχος θέτει πρόσθετες συμφωνίες ειδοποίησης, και να έχετε σαφές με τους παρόχους ποιος αξιολογεί πρώτος ένα περιστατικό. Κανένα από αυτά τα σημεία δεν απαιτεί νομική μελέτη, αλλά ένα καθορισμένο χρονικό σημείο για να τον δούμε.
Θέλετε να δείτε γρήγορα πού βρίσκεται η επιχείρησή σας σε αυτό το σημείο; Τα ερωτήματα στη δωρεάν γρήγορη σάρωση του gdpria.eu δίνουν μια πρώτη ένδειξη, και στο τις συχνές ερωτήσεις σχετικά με παραβιάσεις δεδομένων και υποχρέωση ειδοποίησης θα βρείτε τις συντομότερες απαντήσεις σε σχετικά ερωτήματα.