GDPR näeb ette, et andmelekkest, mis võib riskiga kaasneda kordade jaoks, tuleb Andmekaitse Inspektsioonile teatada niipea, kui te sellest teada saate. Ajaraamistik on lühike: 72 tundi. Kui te ei teata või teate hilinedes, siis te ei täida selles osas GDPR-i kohustust. See, mida see konkreetselt tähendab, sõltub olukorrast, ja see on täpselt see punkt, kus me redaktsioonina arvamust ei avaldada: see on teie, teie jurist või järelevalveasutuse otsustada.
Siiski on võimalik kirjeldada järgmist: GDPR annab Andmekaitse Inspektsioonile volitusvõimu andmelekke uurimiseks, mida ei ole teatatud või mis on hilinedes teatatud, ning sellele reageerimiseks. Milline reaktsioon see on ja kas see järgneb, ei ole määratletud ja ei ole ennustatav. Teie jaoks ettevõtjana ei ole küsimus mitte niivõrd "mis on karistus", vaid "mida peab ma korraldama, et ma saaks õigeaegselt hinnata, kas teatamine on vajalik".
Mida teatamiskohustus täpselt nõuab
GDPR teeb vahet teatamisel järelevalveasutusele ja teatamisel andmete subjektidele endale. Esimene on asjakohane lekkest, mis võib riskiga kaasneda; teine, raskema kaalu variant on asjakohane kõrge riski puhul. Mõlemad hinnangud peavad olema kiired ja 72-tunnise ajaraamistik järelevalveasutusele algab siis, kui te lekkest teada saate, mitte siis, kui see tekkis. Kellel see erinevus veel selge ei ole, saab selle mõne küsimuse kaudu läbi vaadata: viie küsimuse alusel näeb, kus te seisate annab kohe vihjeid, kas teatamine on asjakohane.
Liiga hilinud teatamise probleemi tuum ei ole tavaliselt pahatahtlikkus, vaid aeg, mis on valel moel kasutatud: kes peaks seda ette võtma, kas see on üldse andmelekkeks GDPR mõttes, ja kas meil tegelikult on ülevaade sellest, millised süsteemid isikuandmeid sisaldavad. Viimane on täpselt see koht, kus andmete töötlemise registri väärtus ilmneb: ilma ülevaateta teie andmete töötlemise kohta kulub lekkest teatamiste ulatuse väljaselgitamine ebavajalikult palju neist 72 tunnist, mis teil on.
Mitteteatamist peab te ka teostama saama
Vähem tuntud aspekt on see, et GDPR nõuab ka seda, et fikseerida, millal te otsustate lekkest mitte teada anda ja miks. Arvestuse kohustus kehtib nimelt hindamise enda kohta, mitte ainult teatamise kohta, kui see leiab aset. Lekkest, mida te hindate kui "puudub risk andmete subjektide jaoks" ja mille hindamist te kusagil üles ei kirjuta, on hiljem keeruline põhjendada, kui selles küsitakse. EDPB-i suunised käsitlevad seda põhjalikult; asukoht ja selle selgitus on leitavad teadmusbaasist teema kaupa.
Tagajärjed, mis ulatuvad kaugemale kui järelevalveasutus
Andmekaitse Inspektsiooniga suhtlemise väliselt on veel kaks kohta, kus vahele jäänud teatamine võib probleemi tekitada. Esimene on andmete töötleja leping: kui te töötlete klendi jaoks isikuandmeid, on seal sageli omaette teatamistähtaeg, mõnikord seadusest lühem, ja see tähtaeg kehtib siis GDPR-i kõrval. Teine on andmete subjekt ise: inimene, kelle andmed on lekkida saanud ja kes sellest ise teada saab ilma et te oleksite teatanud, ei saa seda usaldust kunagi tagasi, mis on eraldiseisev igasugusest õiguslikust hindamisest.
Ka kindlustaja või tellijapoolne pool, kes hiljem küsib, kuidas andmelekkest hooldati, vaatab, kas hinnang oli õigeaegne ja kas teatamine oli vajalik, ja toimus. See erineb karistusest, kuid see puudutab seda, mis on sageli alguse saamiseks: näidata, et protsess on olemas, mitte ainult et midagi pole kunagi valesti läinud.
Miks on kell sageli kitsaskohaks
Praktikas ei ole tavaliselt puudu soov teatada, vaid kiirus, millega organisatsioon saab teha kindlaks, mis juhtus, milliseid andmeid see puudutab ja kes sellega seotud on. Süsteem, mis käivitab 72-tunnise kellaaja niipea, kui võimalik lekkaus registreeritakse, takistab, et see aeg kuluks siseste aruteludes. Kuidas selline süsteem on üles ehitatud ja millel on teave põhinev, on kirjeldatud lehel kust teave pärineb.
Kas konkreetne juhtum teie juures kuulub teatamiskohustuse alla, milline tähtaeg kehtib teie konkreetses olukorras ja millised on tagajärjed, kui teatamine on unustatud, ei ole võimalik üldise alusega vastata. Selle hindamise jaoks on jurist või andmekaitse järelevalvebüroo ise sobiv kontaktisik.
Kas soovite esmalt saada enda seisukoha kohta ülevaadet, ilma kohustuseta? Tasuta kiirkontroll ja teadusbaas annavad esimese ülevaate teema kaupa, sealhulgas viite ametlikule tekstile.