Virhe: odottaminen, kunnes kaikki on selvää
Yleisin virhe tietomurron ilmoittamisessa ei ole itse murto, vaan se hetki, kun organisaatio päättää ilmoittaa. Monet yritykset haluavat ensin tarkasti tietää, mitä on tapahtunut, mitkä tiedot ovat kyseessä ja kuinka monta ihmistä on vaikuttunut, ennen kuin ne ilmoittavat asiasta valvontaviranomaiselle. Se tuntuu huolelliselta, mutta GDPR edellyttää jotain muuta: 72 tunnin ilmoitusaika alkaa, kun tiedät tietomurrosta, etkä silloin, kun sinulla on kaikki faktat selvillä.
Seurauksena kello on jo kuluttanut suuren osan ajastaan siihen mennessä, kun organisaation sisällä kaikki ovat samaa mieltä siitä, mitä tarkalleen ottaen on tapahtunut. Kyse ei yleensä ole haluttomuudesta, vaan siitä, että ei tiedetä, miten aika toimii: GDPR sallii ilmoituksen täydentämisen vaiheittain, juuri siksi, että täydellinen varmuus ei usein ole saatavissa kolmessa päivässä.
Miksi tämä virhe on niin yleinen
Sekaannus syntyy, kun ihmiset sekoittavat tietomurron ja ilmoitusvelvollisuuden alaiseen tietomurtoon. Kaikkia henkilötietoja koskevia tapauksia ei tarvitse ilmoittaa valvontaviranomaiselle; GDPR erottaa sen perusteella, onko olemassa riski asianomaisten oikeuksille ja vapauksille. Yritykset, joilla ei ole tätä eroa selkeästi hallinnassa, usein menevät liian pitkälle kahdessa suunnassa: ne eivät ilmoita melkein mistään vaivointomuuton pelosta, tai ne yrittävät ensin saada koko kuvan valmiiksi, ennen kuin ne uskaltavat ilmoittaa. Molemmat reaktiot johtuvat siitä, että ei ole varmuutta siitä, mitä laki tarkalleen vaatii, ja usein tämä epävarmuus vähenee huomattavasti muutamalla kiinteällä kysymyksellä. Päätöspuu kohteessa viidessä kysymyksessä näet, missä tilanteessa olet on luotu tätä tarkoitusta varten: se näyttää muutaman konkreettisen kysymyksen perusteella, kuuluuko tapahtuma todennäköisesti ilmoitusvelvollisuuden piiriin, ilman että tarvitsisi ensin omistaa juridista osaamista.
Toinen virhe, joka liittyy tähän usein
Liian myöhäiseen ilmoittamiseen liittyen on oman hallinnon unohtaminen. Myös tietomurto, jota et lopulta ilmoita valvontaviranomaiselle, tulee kirjata sisäisesti: mitä tapahtui, miksi ilmoitit tai et ilmoittanut, ja mitä toimenpiteitä toteutettiin. Monet organisaatiot kirjaavat vain tapaukset, jotka ne ovat tosiasiallisesti ilmoittaneet, ja jättävät muut dokumentoimatta. Näin menetetään juuri se yleiskatsaus, joka on tarpeen osoittamaan, että arviointi on tehty tietoisesti ja oikeilla kriteereillä, jos asiasta myöhemmin kysytään.
Kuinka saat kellon toimimaan puolestasi
72 tunnin raja ei ole tarkoitettu organisaatioiden yllättämiseen, vaan siihen, että asianomaisia voidaan varoittaa nopeasti, jos se on tarpeen. Se toimii paremmin, jos organisaatiossa on etukäteen selvää, kuka epäilee vuotoa, kenelle ilmoittaa, ja mitkä perusasiat käydään aina läpi. Ilman näitä sopimuksia arvokas aika menee siihen, että selvitetään, kuka asiasta päättää, vaikka kello jo käy.
Se auttaa myös, jos etukäteen tiedät, mitkä järjestelmät ja toimittajat käsittelevät henkilötietoja, joten toimittajan ilmoituksesta saat heti arvion siitä, mitä tietoja ja asianomaisia on kyseessä. Käytettävien SaaS-työkalujen ajantasainen yleiskatsaus ja niihin liittyvät sopimukset, joita näkyy tietopankissa kunkin aiheen selityksineen säästää käytännössä paljon tutkimustyötä silloin, kun asiaa ratkotaan.
Mitä voit dokumentoida etukäteen
Ydin on siinä, että ilmoitus ei tarvitse olla täydellinen ollakseen ajoissa. Ensimmäinen ilmoitus tunnetuilla faktoilla, jota seuraa täydennys, kun tietää enemmän, on GDPR:n sallimaa. Organisaatiot, jotka tietävät tämän etukäteen ja joilla on sille kiinteä, lyhyt menettely, eivät niin helposti joudu virheeseen, jossa odottavat liian kauan. Myös se auttaa, että on selvää, missä arkaluontoisia tietoja on tallennettu ja miten ne on suojattu, jotta epäilty vuoto voidaan nopeammin arvioida vakavuuden kannalta; sivu kohteesta kuinka tiedot suojataan järjestelmässä antaa käsityksen asiasta.
Se, ovatko tietyn organisaatiossanne tapahtuneen poikkeaman ilmoitusvelvoitteet ja kuinka se parhaiten dokumentoidaan, on lopulta päätös, jonka teette itse, mahdollisesti lakimiehen tai Tietosuojaviranomaisen kanssa keskustellen. gdpria.eu tarjoaa tässä selventävää ohjausta ja jäsennellyn alustavat arvion, muttei juridista neuvontaa.
Haluaisitteko jo tietää, mitkä ovat organisaatiossanne kriittiset kohtdat? Ilmainen pikakysely ja usein esitettyihin kysymyksiin saadut vastaukset antavat muutamassa minuutissa alustavaa kuvaa, ilman että tarvitsisitte tiliä.