Η GDPR ορίζει ότι ένα περιστατικό παραβίασης δεδομένων που μπορεί να δημιουργήσει κίνδυνο για τα υποκείμενα, πρέπει να αναφερθεί στην αρχή προστασίας δεδομένων μόλις σας ενημερωθεί. Η προθεσμία γι' αυτό είναι σύντομη: 72 ώρες. Εάν δεν αναφέρετε, ή αναφέρετε αργά, τότε δεν συμμορφώνεστε σε αυτό το σημείο με υποχρέωση της GDPR. Τι σημαίνει αυτό συγκεκριμένα, εξαρτάται από την κατάσταση, και αυτό είναι ακριβώς όπου εμείς ως συντακτική ομάδα δεν κάνουμε δηλώσεις: είναι δική σας απόφαση, του νομικού σας συμβούλου ή της αρχής προστασίας.
Αυτό που μπορεί να περιγραφεί είναι: η GDPR δίνει στην αρχή προστασίας δεδομένων τις εξουσίες να διεξάγει έρευνα για ένα περιστατικό παραβίασης δεδομένων που δεν αναφέρθηκε ή αναφέρθηκε αργά, και να ανταποκριθεί σε αυτό. Ποια ανταπόκριση θα γίνει και αν θα ακολουθήσει, δεν είναι καθορισμένο και δεν μπορεί να προβλεφθεί. Για εσάς ως επιχειρηματία, το ερώτημα δεν είναι τόσο πολύ "ποια είναι η ποινή", αλλά "τι πρέπει να οργανώσω ώστε να μπορώ να αξιολογήσω έγκαιρα αν χρειάζεται αναφορά".
Τι ακριβώς ζητά η υποχρέωση αναφοράς
Η GDPR κάνει διάκριση μεταξύ αναφοράς στην αρχή προστασίας και αναφοράς στα ίδια τα υποκείμενα. Η πρώτη ισχύει σε περιστατικό παραβίασης που μπορεί να δημιουργήσει κίνδυνο· η δεύτερη, πιο σοβαρή παραλλαγή ισχύει σε περιπτώσεις υψηλού κινδύνου. Και οι δύο αξιολογήσεις πρέπει να γίνουν γρήγορα, και η προθεσμία 72 ωρών για την αρχή προστασίας αρχίζει από τη στιγμή που ανακαλύψατε το περιστατικό, όχι από τη στιγμή που εγκείται. Όποιος δεν έχει ακόμα αυτή τη διάκριση ξεκάθαρη, μπορεί να τη δούμε σε μερικές ερωτήσεις: παρακάτω σε πέντε ερωτήσεις δείχνει πού βρίσκεστε δίνει άμεση ένδειξη αν χρειάζεται αναφορά.
Ο πυρήνας του προβλήματος με την αργή αναφορά συνήθως δεν είναι η έλλειψη θέλησης, αλλά ο χρόνος που χάνεται σε ασάφεια: ποιος θα το αναλάβει, είναι όντως ένα περιστατικό παραβίασης δεδομένων κατά την έννοια της GDPR, και έχουμε πραγματικά μια εικόνα ποιων συστημάτων περιέχουν προσωπικά δεδομένα. Το τελευταίο είναι ακριβώς όπου ένα μητρώο δραστηριοτήτων επεξεργασίας αποδεικνύει τη σημασία του: χωρίς εικόνα των δραστηριοτήτων επεξεργασίας σας, η διερεύνηση του εύρους ενός περιστατικού χρειάζεται περισσότερο χρόνο από τις 72 ώρες που έχετε.
Θα πρέπει επίσης να μπορέσετε να δικαιολογήσετε τη μη αναφορά
Ένα λιγότερο γνωστό σημείο είναι ότι η GDPR ζητά επίσης να καταγράψετε πότε αποφασίσατε να μην αναφέρετε ένα περιστατικό, και γιατί. Η υποχρέωση τεκμηρίωσης ισχύει για την ίδια την αξιολόγηση, όχι μόνο για την αναφορά αν γίνει. Ένα περιστατικό που αξιολογείτε ως "κανένας κίνδυνος για τα υποκείμενα" και του οποίου αυτή η αξιολόγηση δεν καταγράφεται πουθενά, είναι δύσκολο να υπερασπιστεί αργότερα, αν ερωτηθείτε. Οι κατευθυντήριες γραμμές του EDPB εξετάζουν αυτό εκτενώς· η πηγή και η εξήγηση βρίσκονται στη τράπεζα γνώσης ανά θέμα.
Συνέπειες που υπερβαίνουν την αρχή προστασίας
Εκτός από τη σχέση με την αρχή προστασίας δεδομένων, υπάρχουν δύο ακόμη σημεία όπου μια χαμένη αναφορά μπορεί να εμφανιστεί. Το πρώτο είναι η σύμβαση επεξεργασίας: αν επεξεργάζεστε προσωπικά δεδομένα για ένα πελάτη, συχνά υπάρχει δική τους προθεσμία αναφοράς, μερικές φορές συντομότερη από τις νόμιμες 72 ώρες, και αυτή η προθεσμία ισχύει τότε παράλληλα με τη GDPR. Το δεύτερο είναι το ίδιο το υποκείμενο: κάποιος των οποίων τα δεδομένα έχουν διαρρεύσει και το ανακαλύπτει μόνος του χωρίς να αναφέρετε, δεν μπορεί να ανακτήσει αυτή την εμπιστοσύνη, κάτι που στέκει ξεχωριστά από οποιαδήποτε νομική αξιολόγηση.
Ένας ασφαλιστής ή ένας αναθέτων που αργότερα ρωτά πώς χειρίστηκε ένα περιστατικό, κοιτά αν αξιολογήθηκε έγκαιρα και, όπου χρειάζεται, αναφέρθηκε. Αυτό είναι διαφορετικό από ένα πρόστιμο, αλλά αγγίζει και αυτό που συχνά είναι το κίνητρο για να μπει τάξη στην προστασία δεδομένων: να μπορούμε να δείξουμε ότι υπάρχει μια διαδικασία, όχι απλώς ότι δεν πήγε ποτέ κάτι στραβά.
Γιατί το ρολόι είναι συχνά το εμπόδιο
Στην πράξη, συχνά δεν λείπει η θέληση για αναφορά, αλλά η ταχύτητα με την οποία ένας οργανισμός μπορεί να προσδιορίσει τι συνέβη, ποια δεδομένα επηρεάζονται και ποιοι εμπλέκονται. Ένα σύστημα που παρακολουθεί το ρολόι των 72 ωρών μόλις καταχωρηθεί ένα πιθανό περιστατικό, αποτρέπει την απώλεια χρόνου σε εσωτερικές συζητήσεις. Ο τρόπος κατασκευής ενός τέτοιου συστήματος και η βάση των πληροφοριών περιγράφονται στη σελίδα για από πού προέρχονται οι πληροφορίες.
Ό κατά πόσο ένα συγκεκριμένο περιστατικό σας υπόκειται σε υποχρέωση αναφοράς, ποια ακριβώς προθεσμία ισχύει στην περίπτωσή σας και ποιες είναι οι συνέπειες εάν χάθηκε μια αναφορά, δεν μπορεί να απαντηθεί με γενικό τρόπο. Για αυτήν την αξιολόγηση, ένας νομικός ή η ίδια η Αρχή Προστασίας Δεδομένων είναι το κατάλληλο σημείο επικοινωνίας.
Θέλετε πρώτα να αποκτήσετε μόνοι σας μια εικόνα για την κατάσταση σας, χωρίς υποχρεώσεις; Η δωρεάν γρήγορη έρευνα και η βάση γνώσης παρέχουν μια πρώτη ένδειξη ανά θέμα, συμπεριλαμβανομένης της θέσης στο επίσημο κείμενο.