Pri curenju podataka trebate u biti tri vrste dokumenata: internu registraciju onoga što se dogodilo, procjenu je li obavijest Autoritetu za zaštitu podataka obavezna, i — ako jest — samu obavijest s njezinim opravdanjem. Ako dolazi do komunikacije sa osobama na koje se podaci odnose, i ta komunikacija se broji kao dokument koji treba sačuvati.
Detalj koji se pri ovoj temi najčešće previđa jest interna registracija. Čak i ako nakon procjene zaključite da curenje podataka nije potrebno obavijestiti Autoritetu za zaštitu podataka, Uredba vas i dalje poziva da zabilježite sam incident: što se dogodilo, koje podatke je pogodilo, kakve su bile moguće posljedice i zašto ste došli do tog zaključka. Mnogi poduzetnici misle da nešto treba biti zapisano samo kada se podnese obavijest. To nije ono što Uredba navodi.
Interna registracija incidenta
Ovo je dokument koji bi trebao biti prisutan pri svakom curenju podataka, bez obzira na ishod vaše procjene. Opisuje kada ste incident otkrili, što se točno dogodilo, koje kategorije podataka i koje osobe na koje se podaci odnose su pogođene, i koje mjere ste poduzeli kako bi ograničili posljedice. Nadzorni органи pri inspekciji ne gledaju samo na obavijesti koje su podane, već i na to može li organizacija pokazati kako su raniji incidenti procijenjeni. Bez ovog dokumenta ta opravdanja nema.
Procjena je li obavijest potrebna
Pored činjenične registracije potreban je drugi dokument: sama procjena. Koja ste rizika vidjeli za osobe na koje se podaci odnose, i na osnovu čega ste zaključili je li obavijest bila potrebna ili ne? Uredba pri tome razlikuje rizik za prava i slobode osoba na koje se podaci odnose kao kriterij procjene. Zabilježavanje te procjene nije samo praktično za vas kasnije, to je i dokument s kojim možete pokazati da je sročena svjesna odluka, a ne slučajnost. Tko je neodlučan je li konkretan incident podložan obavijesti, nalazi kod stabla odlučivanja koji daje osnovnu indikaciju u nekoliko pitanja početnu točku, bez zamjene vlastite procjene.
Obavijest Autoritetu za zaštitu podataka
Ako zaključak kaže da je obavijest potrebna, dolazi sama obavijest kao dokument: što ste obavijestili, kada i s kojim podacima. Uredba pri tome predviđa rok od 72 sata nakon što ste saznali za curenje podataka. Čuvajte ne samo potvrdu obavijesti, već i verziju činjenica kakva je bila poznata u trenutku obavijesti — to se kasnije može dopuniti ako se više saznaje o robusti.
Komunikacija prema osobama na koje se podaci odnose
U dijelu slučajeva tu spada i poruka samim osobama na koje se podaci odnose, na primjer kada se rizik za njih smatra značajnim. I ta poruka — što je točno komunicirano i kome — dio je dosijea. Nije fiksni obrazac koji je isti za svako curenje podataka; sadržaj ovisi o tome što se dogodilo i koji se podaci tiču.
Dogovori s dobavljačima i procesatorima
Ako se curenje podataka dogodi kod strane koja za vas obrađuje podatke, kao što je paket za uštedu ili hosting, onda dogovor o tome koji je evidentiran u ugovoru o obradi podataka tu također spada: ta strana vas obavijesti o incidentima i u kojem roku? Ako to još nije jasno definirano, u banci znanja gdje je to po situaciji razrađeno nalazi se početnu točku za pregled ugovora o obradi podataka na ovoj točki.
Zašto je ovaj dosije odvojen od vaše zaštite
Dokumentacija vezana uz povredu podataka razlikuje se od mjera koje ste unaprijed poduzeli kako biste spriječili povredu podataka, ali ta dva aspekta su međusobno povezana: nadzorni organ može pitati kako je izgledala vaša zaštita na trenutak incidenta. Kako se zaštita podataka u praksi dokumentira, možete pročitati putem objašnjenja prikladnih sigurnosnih mjera.
Već sada to urediti
Banka znanja i stabla odlučivanja dostupni su besplatno, bez računa. Ako želite da registracija incidenata, rokovi i predlošci za njih budu kontinuirano na jednom mjestu umjesto da ih svaki put iznova tražite, to je razlog za koji je pretplata na gdpria.eu postavljena. Poslovni račun kreirate na osnovu vašeg KvK-broja i PDV-broja, povezan s organizacijom, a ne s jednom e-mail adresom.
Ako u ovom trenutku trebate ocijeniti moguću povredu podataka, prvo prođite kroz besplatnu brzu provjeru ili pročitajte teme iz banke znanja. Za objašnjenje što se točno odnosi na vašu situaciju, pravnik ili Autoritet za zaštitu podataka ostaju odgovarajući kontaktni punkt.