Η γνωστοποίηση μιας παραβίασης δεδομένων στην Autoriteit Persoonsgegevens δεν έχει κόστος από μόνη της: δεν υπάρχουν τέλη ή αμοιβή που να οφείλονται. Τα κόστη βρίσκονται σε αυτό που συμβαίνει γύρω από αυτό: το να διευκρινιστεί τι ακριβώς πήγε στραβά, το να ενημερωθούν οι φυσικά πρόσωπα, τυχόν τεχνικές εργασίες επισκευής και ο χρόνος που όλα αυτά απαιτούν από την οργάνωσή σας. Το ύψος αυτού εξαρτάται σε μεγάλο βαθμό από το μέγεθος της παραβίασης, το είδος των δεδομένων και το αν είχατε ήδη ένα σχέδιο δράσης πριν παρουσιαστεί το πρόβλημα.
Δεν υπάρχει σταθερό ποσό για μια "παραβίαση δεδομένων", επειδή δεν υπάρχουν δύο παραβιάσεις που να είναι ίδιες. Ένα λάθος αποστολής ηλεκτρονικού ταχυδρομείου με στοιχεία επικοινωνίας ενός πελάτη απαιτεί κάτι διαφορετικό από ένα κατάσπασμα σε ένα σύστημα με αρχεία προσωπικού εκατό υπαλλήλων. Οι κατηγορίες κόστους είναι πάντα οι ίδιες, μόνο το μέγεθος διαφέρει.
Πού προέρχονται τα κόστη
Η πρώτη κατηγορία κόστους είναι ο εσωτερικός χρόνος: κάποιος πρέπει να διερευνήσει τι συνέβη, ποια δεδομένα επλήγησαν και εάν η νόμιμη προθεσμία εβδομήντα δύο ωρών για γνωστοποίηση στην Autoriteit Persoonsgegevens είναι εφικτή. Αυτές οι ώρες συχνά υποτιμώνται, ειδικά εάν δεν υπάρχει σταθερό σημείο επικοινωνίας ή διαδικασία και πολλοί άνθρωποι εξετάζουν ταυτόχρονα το ίδιο περιστατικό.
Επιπλέον, μπορεί να χρειαστεί εξωτερική βοήθεια: ένας προμηθευτής ΤΠ που πρέπει να κλείσει τεχνικά μια παραβίαση, ένας ερευνητής δικαιοσύνης σε περίπτωση ενός μεγαλύτερου κατασπάσματος ή ένας νομικός που συμμετέχει στην αξιολόγηση του αν και πώς πρέπει να γίνει η γνωστοποίηση. Δεν κάθε παραβίαση δεδομένων απαιτεί όλα αυτά τα στοιχεία, αλλά σε ένα σοβαρότερο περιστατικό αυτά τα κόστη αυξάνονται γρήγορα.
Επίσης, η ενημέρωση των φυσικών προσώπων κοστίζει χρόνο και μερικές φορές χρήμα: η σύνταξη ενός προσεκτικού, κατανοητού γράμματος ή ηλεκτρονικού μηνύματος, η απάντηση στις ερωτήσεις που ακολουθούν και σε ορισμένες περιπτώσεις η προσφορά μιας μορφής αποζημίωσης, όπως ένας νέος κωδικός σύνδεσης ή δωρεάν υπηρεσία. Το δέντρο απόφασης στο σε λίγες ερωτήσεις δείτε αν και πώς πρέπει να κάνετε τη γνωστοποίηση σας βοηθά να καταστρώσετε καλά το πρώτο βήμα, ώστε να μην χάσετε περιττό χρόνο σε αμφιβολίες.
Τι καθορίζει το ύψος
Ο σημαντικότερος παράγοντας είναι το μέγεθος: πόσα άτομα επλήγησαν και πόσο ευαίσθητα είναι τα δεδομένα. Μια παραβίαση με ονόματα και διευθύνσεις ηλεκτρονικού ταχυδρομείου έχει διαφορετικό βάρος από μια παραβίαση με χρηματοοικονομικά δεδομένα ή δεδομένα υγείας. Οι κατευθυντήριες γραμμές του EDPB και η ίδια η AVG αναφέρουν αυτού του είδους τους παράγοντες κινδύνου ως σημείο εκκίνησης για την αξιολόγηση, όχι ως τύπο υπολογισμού για ένα ποσό.
Ένας δεύτερος παράγοντας είναι πόσο γρήγορα ανακαλύπτεται η παραβίαση και πόσο ξεκάθαρο είναι ποιος είναι υπεύθυνος για τι. Εάν σε μια σύμβαση επεξεργασίας δεδομένων έχει ήδη οριστεί ποιος πρέπει να ειδοποιήσει έναν προμηθευτή και σε ποια προθεσμία, αυτό εξοικονομεί έρευνα τη στιγμή που παρουσιάζεται το πρόβλημα. Εάν αυτή η συμφωνία δεν υπάρχει, το ίδιο το περιστατικό απαιτεί περισσότερο χρόνο για να κατανοηθεί, πριν ξεκινήσουν οι εργασίες επανόρθωσης.
Ένας τρίτος παράγοντας είναι εάν η οργάνωσή σας έχει ήδη ένα τεκμηριωμένο σχέδιο δράσης: ένα σταθερό σχέδιο βημάτων, μια λίστα ποιον πρέπει να ειδοποιήσετε και ένα σημείο όπου καταγράφονται προηγούμενα περιστατικά. Χωρίς αυτό, σε κάθε περιστατικό πρέπει να επινοείται ξανά ποιος κάνει τι, κάτι που κοστίζει χρόνο και ηρεμία σε μια στιγμή που και τα δύο είναι σπάνια.
Η γνωστοποίηση είναι δωρεάν, η προετοιμασία όχι
Είναι καλό να διατηρήσετε αυτή τη διάκριση σαφή: η υποχρέωση γνωστοποίησης στην Autoriteit Persoonsgegevens δεν συνεπάγεται κόστη, αλλά η σωστή εκτέλεσή της ναι. Ποιος πρέπει να καθορίσει εάν ένα περιστατικό πρέπει να γνωστοποιηθεί εντός της νόμιμης προθεσμίας και τι ακριβώς πρέπει να περιέχεται, χρειάζεται χρόνο. Μια περίληψη των στοιχείων που περιλαμβάνονται σε μια γνωστοποίηση και των εγγράφων που συνήθως απαιτούνται περιγράφεται στο χώρο γνώσης με επεξήγηση ανά θέμα.
Πολλά από αυτά τα κόστη δεν είναι εφάπαξ αλλά επαναλαμβανόμενα, απλώς επειδή παραβιάσεις δεδομένων δεν είναι προγραμματισμένες και μπορούν επίσης να εμφανιστούν ξανά μετά από χρόνια. Για αυτόν τον λόγο, ορισμένοι οργανισμοί επιλέγουν να αφήσουν το ρολόι, τα βήματα και την καταγραφή να λειτουργούν σε ένα σύστημα αντί να το ανακατασκευάσουν κάθε φορά με το χέρι. Τι κοστίζει ένα τέτοιο συνδρομητικό δελτίο και τι υπάρχει απέναντί του, μπορεί να δειθεί στο σελίδα τιμών με την ανάλυση ανά στοιχείο.
Η προκαταρκτική καταγραφή εξοικονομεί εργασία αργότερα
Η μεγαλύτερη εξοικονόμηση κόστους βρίσκεται συνήθως όχι στο ίδιο το περιστατικό, αλλά στην προετοιμασία γι' αυτό: ένα ενημερωμένο μητρώο δραστηριοτήτων επεξεργασίας, σαφείς συμφωνίες με τους προμηθευτές και ένα σταθερό σημείο επικοινωνίας διασφαλίζουν ότι μια παραβίαση δεδομένων κοστίζει λιγότερο χρόνο για την αξιολόγηση και την επεξεργασία. Συχνές ερωτήσεις σχετικά με το τι είναι υποχρεωτικό και τι όχι σε αυτό το θέμα, συγκεντρώνονται στη σελίδα με απαντήσεις σε ερωτήματα που θέτουν και άλλοι επιχειρηματίες.
Θέλετε να αποκτήσετε μια πρώτη ιδέα για την δική σας κατάσταση; Η δωρεάν γρήγορη αξιολόγηση δίνει μια ένδειξη σε μερικές ερωτήσεις, χωρίς να χρειάζεστε λογαριασμό γι' αυτό.