Μπορώ να χειριστώ μόνος μου ένα περιστατικό παραβίασης δεδομένων;
Ναι, μπορείτε να κάνετε μόνοι σας μεγάλο μέρος της αξιολόγησης και του χειρισμού ενός περιστατικού παραβίασης δεδομένων. Ο GDPR δεν προβλέπει ότι πρέπει να συμμετέχει ένας δικηγόρος ή ένα εξωτερικό γραφείο. Αυτό που ζητά ο κανονισμός είναι να αναγνωρίσετε το περιστατικό, να αξιολογήσετε αν δημιουργεί κίνδυνο για τα άτομα των οποίων τα δεδομένα έχουν επηρεαστεί, και — εάν ναι — να ειδοποιήσετε εγκαίρως την αρχή εποπτείας και ενδεχομένως τα ίδια τα άτομα.
Το αν μπορείτε να το κάνετε αυτό ανεξάρτητα εξαρτάται κυρίως από την έκταση και την πολυπλοκότητα του περιστατικού. Ένα εμάιλ που αποστάλθηκε λανθασμένα με δεδομένα ενός πελάτη είναι διαφορετικό από έναν καταλογογραφημένο διακομιστή με χιλιάδες αρχεία πελατών. Το όριο μεταξύ αυτοδιαχείρισης και εξωτερικής ανάθεσης δεν καθορίζεται από το νόμο, αλλά από την ικανότητά σας να αξιολογήσετε γρήγορα και προσεκτικά τι συνέβη.
Αυτά που μπορείτε να αξιολογήσετε μόνοι σας
Το πρώτο ερώτημα σε κάθε περιστατικό είναι αν υπάρχει πράγματι περιστατικό παραβίασης δεδομένων κατά την έννοια του GDPR: έχουν χαθεί τα προσωπικά δεδομένα, προσπελάστηκαν από κάποιον που δεν είχε δικαίωμα, ή αλλάχθηκαν ή διεγράφησαν κατά λάθος; Αυτή η αξιολόγηση μπορείτε να την κάνετε καλά μόνοι σας με ένα σαφές κατάλογο ερωτήσεων. σε μερικές ερωτήσεις δείτε πού βρίσκεστε δίνει μια πρώτη ένδειξη χωρίς να χρειάζεστε αμέσως έναν σύμβουλο.
Εάν υπάρχει πράγματι το περιστατικό, ακολουθεί η αξιολόγηση του κινδύνου: δημιουργεί κίνδυνο για τα δικαιώματα και τις ελευθερίες των ατόμων, για παράδειγμα επειδή ευαίσθητα δεδομένα είναι δημόσια γνωστά ή είναι δυνατή η απάτη ταυτότητας; Αυτή η αξιολόγηση είναι επίσης δυνατή για πολλές συνήθεις καταστάσεις με βάση τις κατευθυντήριες γραμμές του EDPB και τη διευκρίνιση που παρέχει η αρχή εποπτείας. Το χώρο γνώσης με επεξήγηση ανά θέμα περιγράφει τα κριτήρια που παίζουν ρόλο, με την αναφορά στο επίσημο κείμενο.
Η πραγματική ειδοποίηση της αρχής εποπτείας είναι στην πράξη κάτι που πολλές εταιρείες μπορούν να κάνουν μόνες τους. Η αρχή έχει ένα δικό της έντυπο ειδοποίησης, και οι πληροφορίες που ζητούνται — τι συνέβη, ποια δεδομένα σχετίζονται, πόσα άτομα έχουν επηρεαστεί, και ποια μέτρα έχουν λαμβάνει — είναι πληροφορίες που γνωρίζετε καλύτερα ως οργανισμός.
Πότε είναι σκόπιμο να ζητήσετε πρόσθετη βοήθεια
Σε ορισμένες καταστάσεις η αυτοδιαχείριση γίνεται δυσκολότερη. Αν αφορά μεγάλο αριθμό ατόμων, ευαίσθητα δεδομένα όπως δεδομένα υγείας, ή ένα τεχνικό περιστατικό του οποίου η έκταση είναι ακόμη ασαφής, είναι συνιστώμενο να μην βασίζεστε μόνο στη δική σας αξιολόγηση. Το ίδιο ισχύει αν το περιστατικό ενδεχομένως έχει επιπτώσεις σε άλλο κράτος μέλος, ή αν είναι ασαφές ποια αρχή είναι αρμόδια.
Επίσης, η ενημέρωση των ατόμων από τα οποία εξαρτάται — αντί μόνο της αρχής εποπτείας — απαιτεί προσοχή. Ο τόνος, το περιεχόμενο και η στιγμή αυτής της επικοινωνίας καθορίζουν σε μεγάλο βαθμό τον τρόπο που αντιδρούν οι άνθρωποι, και ένα λανθασμένα διατυπωμένο μήνυμα μπορεί να προκαλέσει περισσότερη ανησυχία από το ίδιο το περιστατικό. Σε αυτές τις περιπτώσεις είναι σκόπιμο να συμβουλευτείτε έναν δικηγόρο ή να επικοινωνήσετε με την αρχή εποπτείας για τη σωστή διαδρομή.
Αυτά που ο GDPR προβλέπει και δεν προβλέπει
Ο κανονισμός θέτει ένα χρονικό όριο για την ειδοποίηση ενός περιστατικού που υπόκειται σε υποχρέωση ειδοποίησης στην αρχή εποπτείας, και υποχρεώνει τους οργανισμούς να τεκμηριώνουν ποια περιστατικά παραβίασης δεδομένων έχουν συμβεί, ακόμη και τα περιστατικά που δεν χρειάζεται να ειδοποιηθούν. Αυτό που ο GDPR δεν προβλέπει είναι ποιος εκτελεί αυτή τη διαδικασία στον οργανισμό σας. Αυτό σημαίνει ότι η αυτοδιαχείριση είναι επιτρεπτή, εφόσον το αποτέλεσμα ικανοποιεί αυτά που ζητά ο νόμος.
Η ευθύνη παραμένει στον οργανισμό, ακόμη και αν ένα μέρος της εργασίας ανατεθεί σε σύμβουλο ή γραφείο. Δεν πρόκειται λοιπόν για μεταφορά όλων των αρμοδιοτήτων και απροσεξία, αλλά για γνώση των βημάτων που έχουν ληφθεί και του λόγου.
Η τεκμηρίωση είναι πάντα απαραίτητη
Είτε το κάνετε μόνοι σας είτε λαμβάνετε υποστήριξη, η τεκμηρίωση είναι απαραίτητη και στις δύο περιπτώσεις: τι συνέβη, πότε το ανακαλύψατε, ποια αξιολόγηση κάνατε για τον κίνδυνο και ποια μέτρα λήφθησαν για την αποφυγή επανάληψης. Αυτή η τεκμηρίωση δεν είναι χρήσιμη μόνο για την αρχή εποπτείας, αλλά και για εσάς, εάν ένα παρόμοιο περιστατικό επαναληφθεί αργότερα.
Πώς θα πρέπει να φαίνεται αυτή η τεκμηρίωση και ποιες πηγές χρησιμοποιούνται, μπορείτε να διαβάσετε στο τη σελίδα όπου προέρχονται οι πληροφορίες. Αν αμφιβάλλετε για το εάν η κατάσταση σας υπόκειται σε υποχρέωση γνωστοποίησης, κάντε πρώτα τον δωρεάν έλεγχο και διαβάστε τα σχετικά θέματα στη βάση γνώσης πριν λάβετε απόφαση. Αν θέλετε να θέσετε σε τάξη δομικά τη διαδικασία αναγνώρισης και διαχείρισης, μπορείτε να εγγραφείτε για επιχειρηματικό λογαριασμό για να παρακολουθούν αυτόματα οι προθεσμίες και η τεκμηρίωση.