Kezelhetem magam az adatszivárgást?
Igen, az adatszivárgás értékelésének és kezelésének nagyobb részét saját magam végezhetem. Az GDPR nem írja elő, hogy ügyvédet vagy külső irodát kell bevonni. Amit a rendelet megkövetel, az az, hogy felismerjem a szivárgást, értékelem, hogy kockázatot jelent-e az érintett személyek számára, és — ha igen — időben jelentem a Felügyeleti Hatóságnak és szükség esetén az érintett személyeknek.
Az, hogy ezt önállóan tudom-e végezni, leginkább az incidens terjedelmétől és összetettségétől függ. Egy véletlenül elküldött e-mail egy kliens adataival más dolog, mint egy hackerelt szerver ezreknyi ügyfélaktával. Az önálló cselekvés és koutsourcing közötti határ nem a törvényben van, hanem az én képességemben arra, hogy gyorsan és gondosan értékeljem, mi történt.
Amit saját magam értékelhetem
Az első kérdés minden incidenshez az, hogy egyáltalán adatszivárgásról van-e szó az GDPR értelemében: vesztek-e el személyes adatok, vagy látta-e őket valaki, akinek erre nem volt joga, vagy véletlenül módosították vagy megsemmisítették? Ezt az értékelést világos kérdőív segítségével jól elvégezhetem. néhány kérdésben láthatom, hol állok első jelzést ad anélkül, hogy azonnal tanácsadóra lenne szükségem.
Ha valóban szivárgás történt, akkor következik a kockázatfelmérés: jelent-e veszélyt az érintett személyek jogaira és szabadságaira, például mert érzékeny adatok nyilvánosak vagy identitástolvajlás lehetséges? Ez az értékelés számos gyakori helyzet esetén elvégezhető az EDPB irányelvei és a Felügyeleti Hatóság magyarázata alapján. A tudásbázisban témaonkénti magyarázattal leírja azokat a kritériumokat, amelyeknek szerepe van ebben, az oficializmus szövegében való helyükkel együtt.
A Felügyeleti Hatóságnak való tényleges bejelentés gyakorlatban sok vállalat számára szintén saját maguk végezhetik el. A felügyeletnek erre saját bejelentési formanyomtatványa van, és a kért információ — mi történt, mely adatokról van szó, hány embert érintett, és milyen intézkedéseket tegyenek — olyan információ, amelyét szervezetként magam ismerem legjobban.
Amikor célszerű további segítséget keresni
Néhány helyzetben az önálló kezelés nehezebbé válik. Ha nagy számú érintett személyről van szó, különleges személyes adatokról, mint az egészségügyi adatok, vagy olyan technikai incidensről, amelynek terjedelmét még nem tisztázták, akkor nem tanácsos csak a saját értékelésre hagyatkozni. Ugyanez vonatkozik arra az esetre, amikor a szivárgásnak más tagállamban is lehet következménye, vagy ha tisztázatlan, melyik felügyeleti hatóság illetékes.
Az érintett személyeknek való közvetítés — csak a felügyeleti hatóság helyett — gondosságot igényel. A tone, a tartalom és az adott közlemény időpontja részben azt határozza meg, hogyan reagálnak az emberek, és egy rosszul megfogalmazott üzenet több zavart okozhat, mint az incidens maga. Ezekben az esetekben tanácsos ügyvédet konzultálni vagy kapcsolatfelvétel a Felügyeleti Hatósággal az illetékes útvonal megismerésére.
Mit ír elő és mit nem az GDPR
A rendelet időkeretot ír elő, amelyen belül a bejelentendő szivárgást a felügyeleti hatóságnál be kell jelenteni, és kötelezi a szervezeteket, hogy rögzítsék, mely adatszivárgások fordultak elő, a bejelentésre nem szoruló szivárgásokat is. Amit az GDPR nem ír elő, az az, hogy ki végzi ezt a folyamatot az én szervezetemben. Ez azt jelenti, hogy az önálló kezelés megengedett, feltéve, hogy az eredmény megfelel a törvény által megköveteltséknek.
A szervezet viselt felelősséget, még akkor is, ha a munka egy részét tanácsadónak vagy ügynökségnek adjuk ki. Tehát nem arról van szó, hogy mindent delegálunk és aztán nem gondolunk rá többet, hanem arról, hogy tudjuk, milyen lépéseket tettünk meg és miért.
A dokumentálás mindig szükséges
Függetlenül attól, hogy saját maguk végzik-e vagy támogatást kérnek, a dokumentálás mindkét esetben szükséges: mi történt, mikor fedezték fel, milyen értékelést végzett a kockázattal kapcsolatban, és milyen intézkedéseket hoztak az ismétlődés megelőzésére. Ez a dokumentálás nemcsak a felügyeleti hatóság számára hasznos, hanem önmagában is, ha később hasonló incidens fordulna elő.
Hogyan kell kinéznie ennek az alátámasztásnak és mely forrásokat kell használni, olvasható oldalon, ahonnan az információ származik,A GDPR-ban rögzített lépéseket követve és dokumentálva, hogy mit tett, egy adatvédelmi incidenst nagyrészt saját maga is fel lehet mérni és kezelni; kétség esetén azonban regisztráljon üzleti fiók mellé hogy az időhatárok és a dokumentálás automatikusan nyomon kövessék.