Mogu li sam riješiti napad na podatke?
Da, veliki dio procjene i rješavanja napada na podatke možete obaviti sami. GDPR ne propisuje da se mora angažirati odvjetnik ili vanjska agencija. Ono što uredba zahtijeva je da prepoznate napad, procijenite predstavlja li rizik za osobe čiji su podaci pogođeni, i — ako je to slučaj — da na vrijeme prijavite Nadzornom tijelu i eventualno samim dotknutim osobama.
Možete li to obaviti samostalno ovisi uglavnom o opsegu i složenosti incidenta. Pogrešno poslana e-pošta s podacima jednog klijenta nije isto što i hakirani poslužitelj s tisuće klijentskih dosijea. Granica između samostalne obrade i outsourcinga nije regulirana zakonom, već ovisi o vašoj sposobnosti da brzo i temeljito procijenite što se dogodilo.
Što možete procijeniti sami
Prvo pitanje pri svakom incidentu je je li uopće riječ o napadu na podatke u smislu GDPR-a: jesu li osobni podaci izgubljeni, dostupni osobi koja na to nema pravo, ili slučajno izmijenjeni ili izbrisani? Tu procjenu možete lako obaviti s jasnom listom pitanja. u nekoliko pitanja vidjeti gdje se nalazite daje prvi pokazatelj bez da vam trebate savjetnik.
Ako doista postoji napad, slijedi procjena rizika: predstavlja li opasnost za prava i slobode dotknutih osoba, primjerice zato što su osjetljivi podaci dostupni ili postoji mogućnost krađe identiteta? I taj opis možete obaviti prema smjernicama EDPB-a i objašnjenjima nadzornog tijela za mnoge česte situacije. banci znanja s objašnjenjima po temama opisuje kriterije koji su relevantni, s linkom na službeni tekst.
Sama prijava Nadzornom tijelu u praksi je za većinu poduzeća izvediva samostalno. Nadzorni organ ima vlastiti obrazac za prijavu, a informacije koje se traže — što se dogodilo, koje podatke se radi, koliko je osoba pogođeno i koje su mjere poduzete — to su informacije koje kao organizacija najbolje poznajete.
Kada je razumno potražiti dodatnu pomoć
U određenim situacijama vlastita obrada postaje teža. Ako se radi o velikom broju dotknutih osoba, osjetljivim osobnim podacima kao što su zdravstveni podaci, ili o tehnički kompleksnom incidentu čiji je opseg još nejasan, preporučuje se da se ne oslanjate samo na vlastitu procjenu. Isto vrijedi kada napad na podatke može imati posljedice u drugoj državi članici ili kada nije jasno koje nadzorno tijelo je nadležno.
I obavješćivanje samih dotknutih osoba — umjesto samo nadzornog tijela — zahtijeva pažnju. Ton, sadržaj i vrijeme te komunikacije dijelom određuju kako će ljudi reagirati, a loše formulirana poruka može uzrokovati veću uznemirenost od samog incidenta. U tim slučajevima je razumno konzultirati odvjetnika ili se obratiti Nadzornom tijelu za ispravan postupak.
Što GDPR propisuje, a što ne
Uredba propisuje rok u kojem se napad na podatke koji se mora prijaviti mora prijaviti nadzornom tijelu, te obvezuje organizacije da dokumentiraju napade na podatke do kojih je došlo, uključujući napade koji se ne trebaju prijavljivati. Ono što GDPR ne propisuje je tko provodi taj proces unutar vaše organizacije. To znači da je vlastita obrada dozvoljenja, sve dok rezultat ispunjava zahtjeve zakona.
Odgovornost ostaje kod organizacije, čak i ako se dio posla prenese na savjetnika ili agenciju. Dakle, nije se radi samo o tome da se sve prosljeđuje i da više ne razmišljate o tome, već o tome da znate koji su koraci poduzeti i zašto.
Dokumentiranje je uvijek dio toga
Bilo da to radite sami ili da vam pomognu drugi, dokumentiranje je u oba slučaja potrebno: što se dogodilo, kada ste to otkrili, koju ste procjenu rizika napravili i koje su mjere poduzete kako bi se spriječilo ponavljanje. To dokumentiranje nije samo korisno za nadzorni organ, već i za vas sami, ako se slični incident kasnije ponovi.
Kako bi ta utemeljenja trebala izgledati i koji izvori se pri tome koriste, može se pročitati na stranici odakle informacija potječe. Ako sumnjate je li vaša situacija podleća prijavljivanju, prvo napravite besplatnu provjeru i pročitajte relevantne teme u bazi znanja prije nego što donesete odluku. Ako želite da proces od otkrivanja do razrješavanja bude sustavno uredan, možete se prijaviti za poslovni račun kako bi se rokovi i dokumentiranje automatski pratili.