A lényeg: a bejelentési kötelezettség maga nem változik
Az adatszerű bejelentési kötelezettség magában a GDPR-ban található meg, az ismert 72 órás határidővel a felfedezésétől számítva a Személyes Adatok Védelméről Szóló Hatóság felé, valamint külön értékelés szükséges arról, hogy az érintetteket magát tájékoztatni kell-e. Ez a szöveg egy európai rendelet része, és nem változik minden évben. Amennyire ismert, idén nincs a rendelet olyan módosítása, amely a bejelentési kötelezettséget vagy a határidőt érintené. Amit viszont megváltozik, az e körüli értelmezés: hogyan töltik ki az EDPB és a Személyes Adatok Védelméről Szóló Hatóság a törvényben foglalt nyitott normákat, és hogyan helyezkedik el az egyéb jogszabályok mellett a GDPR. Egy kkv számára ez gyakran relevánsabb, mint maga a szöveges törvény, mivel éppen ez az értelmezés határozza meg, hogy mikor tekinthető egy incidens bejelentési kötelezettséggel járónak.
Tehát nem arról van szó, hogy új dátumot vagy új cikkszámot kell megjegyeznünk, hanem három olyan eltolódásról, amely érinti a gyakorlatot: szigorúbb iránymutatások arról, hogy mi számít adatsérelmezésnek, nagyobb átfedés a szektoros jogszabályokkal, például a NIS2-vel, és megváltozott valóság azzal, hogy az incidensek egyre gyakrabban egy SaaS-szolgáltatónál fordulnak elő, nem pedig magánál a vállalatot.
Iránymutatások, amelyek átrendezik a határokat
Maga a GDPR általános megfogalmazásban írja le az adatsérelmét: a biztonságban bekövetkezett sérülés, amely a személyes adatok megsemmisítéséhez, elvesztéséhez, megváltoztatásához vagy jogtalan továbbításához vezet. Hogy konkrétan mi tartozik ide, azt év után év az EDPB iránymutatásai és a Személyes Adatok Védelméről Szóló Hatóság saját értelmezése egészítik ki. Így például az elmúlt évek során nagyobb világosság lett a határesetekről: egy helytelenül elküldött e-mail melléklettel, egy alkalmazott, aki rossz fiókra jelentkezik be, vagy egy biztonsági másolat, amely ideiglenesen nem érhető el. Az ilyen helyzeteket korábban gyakrabban belsőbb kérdésként kezelték; az iránymutatások lezárása az, hogy még egy munkavállaló rossz szándékja nélkül is beszélhetünk egy bejelentési kötelezettséggel járó incidensről. Egy igazgató vagy irodavezető számára ez azt jelenti, hogy az értékelés kevésbé történhet megérzésből, és inkább egy rögzített lépésrendet kell követni. Aki kétséges abban, hogy egy konkrét eset a bejelentési kötelezettség alá tartozik-e, néhány kérdéssel ellenőrizheti a gdpria.eu döntési fájában, néhány kérdésben megtudhatja, hogy valami egy bejelentési kötelezettséggel járó adatszerzés-e.
Átfedés más jogszabályokkal
A második eltolódás nem magában a GDPR-ban van, hanem az azt kiegészítő jogszabályban. Azok az szervezetek, amelyek egy olyan szektor részét képezik, vagy szállítanak olyan szektornak, amely olyan jogszabályok alá tartozik, mint a NIS2, egy biztonsági incidens egyszerre két bejelentési rendszer alá eshet: a GDPR a személyes adatokért, és egy szektoros bejelentési kötelezettség magára a szolgáltatásnyújtásra. Ez nem érinti az összes kkv-t, de érinti a telepítési vállalkozásokat, az IT-szolgáltatókat és más olyan feleket, amelyek egy nagyobb, szabályozott szervezet szállítójaként működnek. Ennek a csoportnak ajánlatos megvizsgálnia, hogy egy ügyfél vagy megbízó közepesen nem tartalmazott-e az szerződésben további bejelentési megállapodásokat az már a feldolgozószerződésben szereplőkön felül. Aki pontosan szeretné tudni, hogy mi áll az ilyen szerződésben a bejelentési határidőkről és a felelősségről, háttérinformációt talál a tudásbázisban, témánként magyarázattal.
A gyakorlat a SaaS-szállító felé tolódik
A harmadik változás kevésbé szabályozási kérdés, inkább tényleges fejlődés: a holland vállalatok által felmerülő incidensek növekvő részét nem ők maguk, hanem egy olyan szoftveres szállító okozza, amelyet könyveléshez, személyzetgazdálkodáshoz vagy ügyfélkommunikációhoz használnak. A felelősség annak megítéléséhez, hogy ez bejelentendő adatsérülést jelent-e, azonban az adatok feldolgoztatására utasító vállalatnál marad, nem automatikusan a szállítónál. A szállító, aki maga is jelent egy incidenst, nem mentesíti fel a megbízót a saját megítélés alól. Ez azt teszi még fontosabbá, hogy előzetesen rögzítsék, hogyan és mikor jelent egy szállító egy incidenst, és ezt az egyezséget megtalálják a használt eszközök saját leltárában is. Azok a vállalatok, akiknek az leltáruk még nem teljes, azt felépíthetik a segítségével: egy útmutató arról, hogyan töltödik fel a rendszer az ismert eszközökből.
Mit jelent ez Ön számára
A legtöbb KKV-vállalat számára ebben az évben nem változik magában a jogi határidő. Ami azonban célszerű: az incidenskezelés saját megközelítését időszakonként összehasonlítani a legújabb irányelvekkel, ellenőrizni, hogy a megbízó további bejelentési megállapodásokat szab-e, és egyértelműen megállapítani a szállítókkal, hogy ki értékeli az incidenst először. Ezen pontok egyike sem igényel jogi vizsgálatot, csupán egy rögzített időpontot, hogy rá tekintsünk.
Szeretné gyorsan megtudni, hogy vállalatának hol van állása ebben a tekintetben? A gdpria.eu ingyenes gyors-vizsgálatában feltett kérdések első jelzést adnak, és a az adatsérülésekről és bejelentési kötelezettségről szóló gyakran ismételt kérdések között az összetett kérdésekre adott rövidebb válaszokat találja meg.