Suština: sama obaveza obavještavanja se ne mijenja
Obaveza obavještavanja kod kršenja podataka nalazi se u samoj GDPR-i, s poznatim rokom od 72 sata nakon otkrivanja prema Nadzornom tijelu, i odvojenom procjenom trebaju li biti obaviješteni i sami pogođeni subjekti podataka. Taj tekst dio je europske uredbe i ne mijenja se svake godine. Koliko je sada poznato, ove godine nema izmjene same uredbe koja bi utjecala na obavezu obavještavanja ili na rok. Ono što se ipak mijenja jest tumačenje oko toga: kako EDPB i Nadzorno tijelo ispunjavaju nedoumice u zakonu, i kako se druga zakonodavstva postavljaju pored GDPR-a. Za MKB-poduzeće to je često relevantnije od samog zakonskog teksta, jer upravo to tumačenje određuje kada se incident smatra obavezom obavještavanja.
Dakle, ne radi se o novom datumu ili novom rednom broju članka koji treba zapamtiti, već o tri pomaka koja utječu na praksu: stroži smjernice o tome što se broji kao kršenje podataka, veća sličnost sa sektorskom zakonodavstvom poput NIS2, i drugačija realnost jer se incidenti sve češće javljaju kod SaaS-pružatelja umjesto kod samoga poduzeća.
Smjernice koje pomičnu granicu
Sama GDPR opisuje kršenje podataka u općim terminima: povrede sigurnosti koja vodi do uništavanja, gubitka, izmjene ili neovlaštenog otkrivanja osobnih podataka. Što konkretno spada pod to, godinu za godinom dalje se ispunjava smjernicama EDPB-a i vlastitim tumačenjem Nadzornog tijela. Tako je u proteklih nekoliko godina došlo do veće jasnoće oko graničnih slučajeva: pogrešno poslana e-pošta s prilozom, zaposlenik koji se prijavi na krivi račun, ili sigurnosna kopija koja je privremeno nedostupna. Takve situacije su ranije često biti obrađene kao unutarnje pitanje; linija u smjernicama je da čak i bez zle namjere zaposljenika može biti riječ o obligatornom incidentu. Za direktora ili upravitelja ureda to znači da se procjena može rjeđe temeljiti na osjećaju, a više na fiksnom planu. Tko je nesuran jesu li neki konkretni slučaj spada pod obavezu obavještavanja, to može proraditi kroz nekoliko pitanja koristeći se odlučnom granom gdpria.eu-a, u nekoliko pitanja vidjeti je li nešto obavezno prijaviti kao kršenje podataka.
Sličnost s drugom zakonodavstvom
Drugi pomak nije u samoj GDPR-i, već u zakonodavstvu koje se postavlja pored nje. Za organizacije koje su dio ili dobavljaju sektorima na koje se primjenjuje zakonodavstvo poput NIS2, sigurnosni incident može istovremeno spasti pod dva režima obavještavanja: GDPR za osobne podatke, i sektorsku obavezu obavještavanja za samu pružanu uslugu. To ne dira sva MKB-poduzeća, ali uređuje instalaterske poduzeće, IT-davatelje usluga i druge strane koje su kao dobavljač za veću reguliranu organizaciju. Za ovu skupinu mudroje je da provjeri je li klijent ili naručitelj u međuvremenu unio dodatne dogovore o obavještavanju u ugovor, pored onoga što je već u ugovoru s obradom podataka. Tko želi provjeriti što točno taj ugovor kaže o rokovima obavještavanja i odgovornostima, pronalazi pozadinu u bazama znanja s objašnjima po temama.
Praksa se pomjera prema SaaS-pružatelju
Treća promjena manje je pitanje regulacije i više pitanja stvarnog razvoja: rastući dio incidenata s kojima se suočavaju nizozemska poduzeća ne potječe od njih samih, već od dobavljača softvera kojeg koriste za računovodstvo, upravljanje ljudskim resursima ili odnos s kupcima. Odgovornost za procjenu je li to incident neuspješne zaštite podataka koji se mora prijaviti ostaje kod poduzeća koje omogućava obradu podataka, ne automatski kod dobavljača. Dobavljač koji sam prijavi incident ne oslobađa nalogodavca od vlastite procjene. To čini još važnijim da se unaprijed jasno određe kako i kada dobavljač prijavljuje incident, te da se ta dogovorba ponovno pronađe u vlastitom pregledu korištenih alata. Poduzeća koja taj pregled još nisu dovršila mogu ga izgrađivati uz pomoć objašnjenja kako se sustav puni od strane poznatih alata.
Što to znači za vas
Za većinu malih i srednjih poduzeća ovdje se ove godine ništa ne mijenja u samoj zakonskoj roku. Što je razumno: povremeno provjeriti vlastiti pristup incidentima prema najnovijim smjernicama, provjeriti postavljaju li nalogodavci dodatne dogovore o prijavljivanju, te s dobavljačima jasno dogovoriti tko prvo procjenjuje incident. Nijedan od ovih točaka ne zahtijeva pravnu studiju, ali zahtijeva redovit trenutak da se na to pogleda.
Želite li brzo vidjeti gdje vaše poduzeće stoji na ovoj točki? Pitanja u besplatnoj brzoj provjeri gdpria.eu-a daju prvu naznaku, a u često postavljanim pitanjima o incidentima neuspješne zaštite podataka i prijavnoj obvezi možete pronaći kraće odgovore na povezana pitanja.