Το σφάλμα: αναμονή έως ότου όλα είναι ξεκάθαρα
Το πιο συνηθισμένο σφάλμα κατά την αναφορά παραβίασης δεδομένων δεν είναι η ίδια η παραβίαση, αλλά η στιγμή που αποφασίζει ένας οργανισμός να ενημερώσει. Πολλές επιχειρήσεις θέλουν πρώτα να γνωρίζουν ακριβώς τι συνέβη, ποια δεδομένα αφορούν και πόσα άτομα επηρεάστηκαν, πριν ενημερώσουν την Αρχή Προστασίας Δεδομένων. Αυτό φαίνεται προσεκτικό, αλλά ο ΓΚΠΔ ζητά κάτι διαφορετικό: η προθεσμία ανακοίνωσης 72 ωρών αρχίζει να μετράει από τη στιγμή που γίνεστε εaware της παραβίασης δεδομένων, όχι από το σημείο που έχετε όλα τα γεγονότα ταξινομημένα.
Το αποτέλεσμα είναι ότι το χρονόμετρο έχει ήδη περάσει το μεγαλύτερο μέρος της προθεσμίας έως ότου εσωτερικά όλοι συμφωνήσουν για το τι ακριβώς συνέβη. Αυτό συνήθως δεν είναι θέμα δυσμένειας, αλλά άγνοιας για το πώς λειτουργεί η προθεσμία: ο ΓΚΠΔ επιτρέπει να συμπληρώνεται μια ανακοίνωση σε στάδια, ακριβώς γιατί η πλήρης βεβαιότητα συχνά δεν είναι δυνατή σε τρεις ημέρες.
Γιατί το σφάλμα αυτό εμφανίζεται τόσο συχνά
Η σύγχυση προκύπτει γιατί οι άνθρωποι συγχέουν μια παραβίαση δεδομένων και μια αναφέρσιμη παραβίαση δεδομένων. Δεν πρέπει να αναφέρεται κάθε περιστατικό που αφορά δεδομένα στον εποπτικό φορέα. ο ΓΚΠΔ διακρίνει εάν υπάρχει κίνδυνος για τα δικαιώματα και τις ελευθερίες των υποκειμένων δεδομένων. Οι επιχειρήσεις που δεν έχουν αυτήν τη διάκριση σαφή συχνά ξεπερνούν τα όρια και με τους δύο τρόπους: δεν αναφέρουν σχεδόν τίποτα από φόβο για ενοχλήσεις, ή προσπαθούν πρώτα να συμπληρώσουν την ολόκληρη εικόνα πριν τολμήσουν να κάνουν αναφορά. Και οι δύο αντιδράσεις προκύπτουν από αβεβαιότητα σχετικά με το τι ακριβώς απαιτεί ο νόμος, και η αβεβαιότητα αυτή μπορεί συχνά να μειωθεί σημαντικά με λίγες σταθερές ερωτήσεις. Το δέντρο αποφάσεων στο παρακάτω σε πέντε ερωτήσεις δείχνει πού βρίσκεστε δημιουργήθηκε για αυτό: δείχνει βάσει μερικών συγκεκριμένων ερωτήσεων εάν ένα περιστατικό πιθανώς υπόκειται στην υποχρέωση ανακοίνωσης, χωρίς να χρειάζεστε πρώτα νομική γνώση.
Ένα δεύτερο σφάλμα που συχνά συνοδεύει
Στενά συνδεδεμένο με την καθυστερημένη ανακοίνωση είναι η παράλειψη της δικής σας τήρησης αρχείων. Ακόμη και μια παραβίαση δεδομένων που τελικά δεν αναφέρετε στον εποπτικό φορέα, πρέπει να καταγραφεί εσωτερικά: τι συνέβη, γιατί αποφασίστηκε ή όχι να ανακοινωθεί, και ποια μέτρα λήφθησαν. Πολλοί οργανισμοί καταγράφουν μόνο τα περιστατικά που ανακοίνωσαν ενεργώς και αφήνουν το υπόλοιπο ανεκτέλεστο. Με αυτόν τον τρόπο χάνεται ακριβώς η εικόνα που απαιτείται για να αποδειχθεί ότι μια σκέψη έγινε συνειδητά και με βάση τα σωστά κριτήρια, αν ερωτηθείτε για αυτό αργότερα.
Πώς να κάνετε τα ρολόγια να δουλέψουν υπέρ σας
Η προθεσμία 72 ωρών δεν έχει σκοπό να εκπλήσσει τους οργανισμούς, αλλά να δυνατή την ταχεία ειδοποίηση των υποκειμένων δεδομένων όταν είναι απαραίτητη. Αυτό λειτουργεί καλύτερα εάν είναι σαφές εξ αρχής ποιος στον οργανισμό ανακοινώνει μια υποψία διαρροής, σε ποιον, και ποιες βασικές ερωτήσεις τίθενται ρουτινιακά. Χωρίς αυτές τις συμφωνίες, χάνεται πολύτιμος χρόνος στο να καθοριστεί ποιος έχει την ευθύνη, ενώ το ρολόι τρέχει.
Βοηθά επίσης να γνωρίζετε εκ των προτέρων ποια συστήματα και προμηθευτές επεξεργάζονται δεδομένα, ώστε όταν ενημερωθείτε από έναν προμηθευτή, να μπορείτε αμέσως να αποτιμήσετε ποια δεδομένα και ποια υποκείμενα δεδομένων σχετίζονται. Ένα τρέχον επεξεργασιών δεδομένων των χρησιμοποιούμενων εργαλείων SaaS και τις συμφωνίες γι' αυτά, όπως εμφανίζεται στο μητρώο η τράπεζα γνώσης με εξηγήσεις ανά θέμα εξοικονομεί στην πράξη πολλή δουλειά διερευνήματος το ακριβό χρονικό σημείο.
Τι μπορείτε να καταγράψετε εξ αρχής
Το κλειδί είναι ότι μια ανακοίνωση δεν χρειάζεται να είναι πλήρης για να είναι έγκαιρη. Μια αρχική ανακοίνωση με τα γνωστά γεγονότα, ακολουθούμενη από συμπλήρωση μόλις γίνουν περισσότερα σαφή, ταιριάζει με αυτό που επιτρέπει ο ΓΚΠΔ. Οι οργανισμοί που το ξέρουν εξ αρχής και έχουν μια σταθερή, σύντομη διαδικασία για αυτό, είναι λιγότερο πιθανό να πέσουν στο σφάλμα της πολύ μεγάλης αναμονής. Αυτό που βοηθά επίσης είναι η σαφήνεια σχετικά με το πού βρίσκονται τα ευαίσθητα δεδομένα και πώς προστατεύονται, ώστε ένα υποψία διαρροής να μπορεί να αξιολογηθεί ταχύτερα για σοβαρότητα. η σελίδα για πώς τα δεδομένα προστατεύονται εντός του συστήματος δίνει μια εικόνα γι' αυτό.
Το αν ένα συγκεκριμένο περιστατικό στον οργανισμό σας υπόκειται στην υποχρέωση ειδοποίησης και πώς καλύτερα να το τεκμηριώσετε είναι τελικά μια αξιολόγηση που κάνετε εσείς, ενδεχομένως με τη βοήθεια δικηγόρου ή σε συνεργασία με την Αρχή Προστασίας Δεδομένων. Το gdpria.eu παρέχει σχετική διευκρίνιση και μια δομημένη αρχική εκτίμηση, όχι νομική συμβουλή.
Θέλετε να γνωρίζετε εκ των προτέρων που βρίσκονται τα σημεία προσοχής στον οργανισμό σας; Το δωρεάν γρήγορο σάρωμα και το απαντήσεις σε συχνές ερωτήσεις δίνουν μέσα σε λίγα λεπτά μια πρώτη εικόνα, χωρίς να χρειάζεται λογαριασμός.