Greška: čekati dok sve bude jasno
Najčešća greška pri prijavljivanju kršenja zaštite podataka nije samo samo kršenje, već moment kada se organizacija odluči prijaviti. Mnoga poduzeća prvo žele znati točno što se dogodilo, koji podaci su uključeni i koliko je osoba pogođeno, prije nego što obavijeste Autoritet za zaštitu podataka. To se čini pažljivo, ali GDPR zahtijeva nešto drugačije: rok od 72 sata počinje teći čim ste postali svjesni kršenja zaštite podataka, a ne kad ste sve činjenice složili.
Rezultat je što se sat u većoj mjeri već iscrpio do vremena kada se svi unutar organizacije slože o tome što se točno dogodilo. To obično nije stvar loše volje, već nepoznavanja kako taj rok funkcionira: GDPR omogućava da se prijava dopuni u fazama, upravo zato što je potpuna sigurnost često nemoguća dobiti u tri dana.
Zašto se ova greška toliko često javlja
Zbunjujuća je što ljudi miješaju kršenje zaštite podataka i obavezno prijavljivo kršenje zaštite podataka. Ne moraju se sva incidents s osobnim podacima prijaviti nadzornom tijelu; GDPR pri tome razlikuje postoji li rizik za prava i slobode dotičnih osoba. Poduzeća koja to razlikovanje nisu jasno postavila često idu u dva smjera prekrajno: skoro ništa ne prijavljuju iz straha od gnjave, ili prvo pokušavaju dobiti cijelu sliku da bi se usudili prijaviti. Obje reakcije proizlaze iz nesigurnosti što zakon točno zahtijeva, a ta neusigurnost se često može većim dijelom ukloniti s nekoliko stalnih pitanja. Dijagram odlučivanja na u pet pitanja pokazuje gdje ste napravljen je za to: na osnovi nekoliko specifičnih pitanja pokazuje je li događaj vjerojatno pod obavezom prijavljivanja, bez da prvo trebate pravno znanje.
Druga greška koja često ide s time
Usko povezano s prekasnom prijavom je zaboravljanje vlastite evidencije. Čak i kršenje zaštite podataka koje na kraju ne prijavite nadzornom tijelu treba biti interno zabilježeno: što se dogodilo, zašto je ili nije bila prijavljena i koja su sredstva poduzeta. Mnoge organizacije evidentiraju samo incidente koje su doista prijavile i ostale ostavljaju nedokumentirane. Na taj način nedostaje upravo pregled koji je potreban da se pokaže da je procjena bila svjesna i na osnovi ispravnih kriterija, ako se to kasnije od vas traži.
Kako ćete sat zaista iskoristiti u vašu korist
Rok od 72 sata nije namijenjen da iznenadi organizacije, već kako bi se dotične osobe mogle brzo upozoriti ako je to potrebno. To ide bolje ako je unaprijed jasno tko se unutar organizacije javlja s sumnjom na kršenje, komu, i koja se osnovna pitanja standardno postavljaju. Bez tih dogovora gubi se dragocjeno vrijeme na pronalaženje tko zapravo odlučuje, dok sat već teče.
Pomaže i ako unaprijed znate koji sustavi i dobavljači obrađuju osobne podatke, kako biste pri prijavljivanju od dobavljača odmah mogli procijeniti o kojim podacima i kojim dotičnim osobama se radi. Aktualan pregled korištenih SaaS alata i dogovora o njima, kao što se to pojavljuje u registru obrade u bazama znanja s objašnjima po temama u praksi štedi mnogo istražnog rada u trenutku koji je odlučujući.
Što možete unaprijed zabilježiti
Suština je da prijava ne mora biti potpuna da bi bila na vrijeme. Prva prijava s poznatim činjenicama, praćena dopunom čim je više jasno, sukladna je s onim što GDPR dopušta. Organizacije koje to unaprijed znaju i imaju za to ustaljenu, kratku proceduru rjeđe padaju u grešku da prečekaju. Što također pomaže je jasnoća o mjestu gdje se nalaze osjetljivi podaci i kako su zaštićeni, kako bi se sumnja na kršenje mogla brže procijeniti po ozbiljnosti; stranica o kako se podaci u sustavu štite daje sliku o tome.
Je li određeni incident u vašoj organizaciji predmet obavijesti i kako ga najbolje dokumentirati u konačnici je procjena koju sami donosite, eventualno sa pravnikom ili u konzultaciji s Autoritetom za zaštitu podataka. gdpria.eu pri tome daje pojašnjenja i strukturiranu prvu procjenu, bez pravnog savjeta.
Želite li unaprijed znati koja su kritična mjesta u vašoj organizaciji? Besplatni brzi pregled i odgovori na često postavljena pitanja pružaju nekoliko minuta tek prvo uvide, bez potrebe za računom.