Viga: oodata, kuni kõik on selge
Andmelekkest teatamise levinuim viga ei ole leak ise, vaid hetk, millal organisatsioon otsustab teatada. Paljud ettevõtted tahavad kõigepealt täpselt teada, mis juhtus, milliseid andmeid see puudutab ja kui paljusid inimesi see mõjutab, enne kui nad andmekaitse järelevalve asutust teavitavad. See tunnetakse hoolikalt, aga GDPR nõuab midagi muud: 72-tunnine teatamistähtaeg alkab siis, kui te olete teada saanud andmelekkest, mitte siis, kui teil on kõik faktid paika pannud.
Tagajärjeks on see, et kell on suuresti juba möödunud ajal, mil organisatsioonis kõik kokku leppivad, mis täpselt juhtus. Tavaliselt ei ole see tahtmatuse küsimus, vaid teadmatusest, kuidas see tähtaeg toimib: GDPR lubab teatist etappide kaupa täiendada, just sellepärast, et täielik kindlus sageli kolme päevaga saavutatav pole.
Miks see viga nii sageli esineb
Segadus tekib, sest inimesed segistavad andmelekke ja teaatavatava andmelekke omavahel. Mitte iga juhtum, millega on kaasatud isikuandmed, ei pea teatavale jälitajale teatamist nõudma; GDPR eristab, kas tegemist on riskiga isikute õiguste ja vabaduste suhtes. Ettevõtted, kes seda eristust teravalt ei tea, lähevad sageli kahes suunas liiga kaugele: nad teatavad peaaegu millestki hirmu pärast, või nad püüavad kõigepealt terve pildi komplektseks saada, enne kui julgevad teatada. Mõlemad reaktsioonid tulevad teadmatusest, mis täpselt seadus nõuab, ja seda teadmatust saab sageli juba paari kindla küsimusega suuresti kõrvaldada. Otsustuspuu veebisaidil viie küsimuse alusel näeb, kus te seisate on selleks tehtud: ta näitab konkreetsete küsimuste alusel, kas juhtum tõenäoliselt teatamiskohustuse alla kuulub, ilma et peaksite selleks esmalt juriidilist teadmist omama.
Teine viga, mis sellega sageli kaasas käib
Tihedalt seotud hilineva teatamisega on enda administratsiooni unustamine. Ka andmelekk, mida te lõppkokkuvõttes jälitajale ei teataksite, tuleb sisemiselt dokumenteerida: mis juhtus, miks teatati või ei teatatud, ja millised meetmed võeti. Paljud organisatsioonid registreerivad ainult juhtumitest, mida nad tegelikult jälitajale teatanud on, ja jätavad ülejäänu dokumenteerimata. Sellega kaob täpselt ülevaade, mida on vaja, et näidata, et hindamine oli teadlik ja õigete kriteeriumide põhjal tehtud, kui hiljem sellest küsitakse.
Kuidas ajapiirang 72 tundi teie heaks töötab
Tähtaeg 72 tundi ei ole mõeldud organisatsioonide üllatamiseks, vaid et isikuid saaks kiiresti hoiatada, kui see on vajalik. See õnnestub paremini, kui on eelnevalt selge, kes organisatsioonis lekke kahtlusest teatab, kellele ja millised baasküsimused sellega standardselt seotud on. Ilma nende kokkulepeita läheb väärtuslik aeg kaotsi, otsides, kes tegelikult otsustab, kuigi kell jookseb.
Samuti aitab, kui on eelnevalt teada, millised süsteemid ja tarnijad isikuandmeid töötlevad, et te võiksite tarnija teatamisel kohe hinnata, millistest andmetest ja millistest isikutest jutt käib. Kasutusel olevate SaaS-tööriistade ja selle kohta käivate kokkulepete ajakohane ülevaade, nagu see töödeldud andmete registris teemakaupa selgitavast teadmusbaasist tuleneb, säästab praktikas palju uurimistaande hetkel, mil asi on kriitilise tähtsusega.
Mida saate eelnevalt dokumenteerida
Tuum on selles, et teatis ei pea olema täielik, et olla õigeaegne. Esimene teatis teadaolevate faktidega, millele järgneb täiendus, kui rohkem selgub, jääb sisse, mida GDPR lubab. Organisatsioonid, kes seda eelnevalt teavad ja kellel on selleks kindel, lühike protseduur, ei jookse nii kiiresti vastu vea vastu, et nad liiga kaua ootavad. Mis selleks aitab, on ka selgus selle kohta, kus tundlikud andmed asuvad ja kuidas need on kaitstud, et lekke kahtlus saaks kiiresti tõsiduse alusel hinnata; leht kuidas andmeid süsteemi siseselt kaitstakse annab sellest ülevaate.
Kas konkreetne vahejuhtum teie organisatsioonis teatamiskohustusega seotud on ja kuidas seda parimalt dokumenteerida, on lõpuks otsus, mille teete ise, vajaduse korral advokaat abil või kooskõlas Isikuandmete Kaitsega Seotud Asutusega. gdpria.eu annab selle juures selgitusi ja struktureeritud esimest hinnangut, kuid mitte õiguslikku nõu.
Kas soovite teada saada, millised on teie juures kritiigilised punktid? Tasuta kiirdiagnostika ja vastused sageli esitatavatele küsimustele annavad paari minutiga esimese ülevaate, ilma et selleks vaja oleks kontot.