Σε περίπτωση παραβίασης δεδομένων, χρειάζεστε ουσιαστικά τρεις τύπους εγγράφων: μια εσωτερική καταγραφή του τι συνέβη, μια αξιολόγηση του κατά πόσον η ειδοποίηση της Αρχής Προστασίας Δεδομένων είναι υποχρεωτική, και — εάν ισχύει — η ειδοποίηση αυτή με τη στήριξή της. Εάν προστεθεί η επικοινωνία προς τα υποκείμενα των δεδομένων, τότε η επικοινωνία αυτή μετράει επίσης ως έγγραφο που πρέπει να καταγραφεί.
Η λεπτομέρεια που παραβλέπεται περισσότερο σε αυτό το θέμα είναι η εσωτερική καταγραφή. Ακόμη και αν αποφασίσετε μετά την αξιολόγηση ότι μια παραβίαση δεδομένων δεν χρειάζεται να ειδοποιηθεί στην Αρχή Προστασίας Δεδομένων, ο Κανονισμός συνεχίζει να ζητά από εσάς να καταγράψετε το περιστατικό: τι συνέβη, ποια δεδομένα επηρεάστηκαν, ποιες ήταν οι πιθανές συνέπειες και γιατί καταλήξατε στο συμπέρασμά σας. Πολλοί επιχειρηματίες νομίζουν ότι κάτι χρειάζεται να καταγραφεί μόνο όταν γίνει ειδοποίηση. Αυτό δεν είναι αυτό που περιγράφει ο Κανονισμός.
Η εσωτερική καταγραφή του περιστατικού
Αυτό είναι το έγγραφο που πρέπει να υπάρχει σε κάθε παραβίαση δεδομένων, ανεξάρτητα από την έκβαση της αξιολόγησής σας. Περιγράφει πότε ανακαλύψατε το περιστατικό, τι ακριβώς συνέβη, ποιες κατηγορίες δεδομένων και ποια υποκείμενα δεδομένων επηρεάστηκαν, και ποια μέτρα λάβατε για να περιορίσετε τις συνέπειες. Οι εποπτικές αρχές, κατά τη διάρκεια ενός ελέγχου, δεν εξετάζουν μόνο τις ειδοποιήσεις που έγιναν, αλλά και εάν ένας οργανισμός μπορεί να δείξει πώς αξιολόγησε προηγούμενα περιστατικά. Χωρίς αυτό το έγγραφο, η τεκμηρίωση αυτή δεν υπάρχει.
Η αξιολόγηση του κατά πόσον απαιτείται ειδοποίηση
Εκτός από την ουσιαστική καταγραφή, χρειάζεται ένα δεύτερο έγγραφο: η ίδια η αξιολόγηση. Ποιους κινδύνους αναγνωρίσατε για τα υποκείμενα των δεδομένων και σε τι βάσει συμπεράνατε ότι η ειδοποίηση ήταν αναγκαία ή όχι; Ο Κανονισμός διακρίνει τον κίνδυνο για τα δικαιώματα και τις ελευθερίες των υποκειμένων των δεδομένων ως κριτήριο αξιολόγησης. Η καταγραφή αυτής της αξιολόγησης δεν είναι μόνο χρήσιμη για εσάς αργότερα, αλλά είναι επίσης το έγγραφο με το οποίο μπορείτε να δείξετε ότι έγινε μια συνειδητή επιλογή και όχι τύχη. Όποιος δεν είναι σίγουρος εάν ένα συγκεκριμένο περιστατικό υπόκειται σε υποχρέωση ειδοποίησης, μπορεί να ανατρέξει στο δέντρο αποφάσεων που σε λίγες ερωτήσεις δίνει ένα πρώτο στοιχείο ένα σημείο εκκίνησης, χωρίς να αντικαθιστά την ίδια αξιολόγησή σας.
Η ειδοποίηση στην Αρχή Προστασίας Δεδομένων
Εάν το συμπέρασμα είναι ότι η ειδοποίηση είναι αναγκαία, τότε η ειδοποίηση αυτή προστίθεται ως έγγραφο: τι ειδοποιήσατε, πότε, και με ποια δεδομένα. Ο Κανονισμός καθορίζει προς τούτο μια προθεσμία 72 ωρών από τότε που πήρατε γνώση της παραβίασης δεδομένων. Φυλάξτε όχι μόνο την επιβεβαίωση της ειδοποίησης, αλλά και την έκδοση των γεγονότων όπως ήταν γνωστά τη στιγμή της ειδοποίησης — αυτά μπορούν να συμπληρωθούν αργότερα εάν γίνει περισσότερο σαφές το εύρος.
Η επικοινωνία προς τα υποκείμενα των δεδομένων
Σε ορισμένες περιπτώσεις, πρέπει επίσης να υπάρχει ένα μήνυμα προς τα ίδια τα υποκείμενα των δεδομένων, για παράδειγμα, όταν ο κίνδυνος για αυτά θεωρείται σημαντικός. Αυτό το μήνυμα — τι ακριβώς επικοινωνήθηκε και σε ποιους — είναι επίσης μέρος του φακέλου. Δεν υπάρχει ένα σταθερό πρότυπο που να είναι το ίδιο για κάθε παραβίαση δεδομένων· το περιεχόμενο εξαρτάται από το τι συνέβη και ποια δεδομένα εμπλέκονται.
Συμφωνίες με προμηθευτές και επεξεργαστές
Εάν η παραβίαση δεδομένων συμβεί σε ένα μέρος που επεξεργάζεται δεδομένα για λογαριασμό σας, όπως ένα λογιστικό πακέτο ή ένας πάροχος φιλοξενίας, η συμφωνία που έχει καθοριστεί γι' αυτό στη σύμβαση επεξεργασίας δεδομένων πρέπει επίσης να περιλαμβάνεται: ειδοποιεί εκείνο το μέρος τα περιστατικά σε σας και σε ποια προθεσμία; Όποιος δεν έχει αυτό σαφές, μπορεί να βρει στο τη βάση γνώσης όπου αυτό έχει αναπτυχθεί για κάθε περίπτωση ένα σημείο εκκίνησης για να ελέγξει σύμβασης επεξεργασίας δεδομένων σε αυτό το σημείο.
Γιατί αυτός ο φάκελος είναι ξεχωριστός από την ασφάλειά σας
Η τεκμηρίωση σχετικά με μια παραβίαση δεδομένων διαφέρει από τα μέτρα που λάβατε εκ των προτέρων για την πρόληψη μιας παραβίασης δεδομένων, αλλά τα δύο σχετίζονται: μια αρχή επιτήρησης μπορεί να ρωτήσει πώς ήταν η ασφάλειά σας κατά την ώρα του περιστατικού. Πώς καταγράφεται η ασφάλεια δεδομένων στην πράξη, μπορείτε να διαβάσετε μέσω της εξήγησης των κατάλληλων μέτρων ασφάλειας.
Να το έχετε τακτοποιημένο ήδη τώρα
Η τράπεζα γνώσης και το δέντρο αποφάσεων είναι δωρεάν διαθέσιμα, χωρίς λογαριασμό. Εάν θέλετε την καταγραφή των περιστατικών, τις προθεσμίες και τα πρότυπα γι' αυτά να είναι δομημένα σε ένα μόνο σημείο αντί να τα αναζητάτε κάθε φορά ξανά, τότε αυτό είναι το σκοπό της συνδρομής στο gdpria.eu. Ένας επιχειρηματικός λογαριασμός δημιουργείται στο όνομά σας χρησιμοποιώντας τον αριθμό KvK και τον αριθμό ΦΠΑ σας, συνδεδεμένος με τον οργανισμό και όχι με μια μόνο διεύθυνση ηλεκτρονικού ταχυδρομείου.
Εάν έχετε τώρα μια ενδεχόμενη παραβίαση δεδομένων να αξιολογήσετε, ακολουθήστε πρώτα την δωρεάν γρήγορη σάρωση ή διαβάστε τα θέματα στην τράπεζα γνώσης. Για την εξήγηση του τι ακριβώς ισχύει για την κατάστασή σας, ένας δικηγόρος ή η Αρχή Προστασίας Δεδομένων παραμένουν το κατάλληλο σημείο επαφής.