A hiba: várni, amíg minden világos lesz
Az adatvédelmi incidens bejelentésének leggyakoribb hibája nem maga az incidens, hanem az a pillanat, amikor egy szervezet úgy dönt, hogy bejelent. Sok vállalat először pontosan szeretné tudni, hogy mi történt, mely adatokról van szó, és hány embert érintett, mielőtt értesítené a felügyeletet. Ez gondosnak tűnik, de az AVG mást kér: a 72 órás bejelentési határidő akkor kezd futni, amikor tudomást szerez az adatvédelmi incidensről, nem amikor az összes tény világossá válik.
Ennek eredménye, hogy az időkorlát nagy részben már lejárt, amire a szervezeten belül mindenki megegyezik abban, hogy pontosan mi történt. Ez általában nem akarati hiba, hanem az ennek a határidőnek a működésével kapcsolatos ismeretlentség: az AVG lehetővé teszi, hogy a bejelentést szakaszokra bontva egészítsék ki, éppen azért, mert az összes bizonyosság gyakran nem szerezhető meg három nap alatt.
Miért fordul elő ez a hiba olyan gyakran
A félreértés azért keletkezik, mert az emberek az adatvédelmi incidenseket és a bejelentési kötelezettségű adatvédelmi incidenseket összekeverik. Nem minden adat bejelentésre felügyelő incidensével kell értesíteni a felügyeletet; az AVG azt különböztet meg, hogy van-e kockázat az érintett személyek jogaira és szabadságaira nézve. Azok a vállalatok, amelyek ezt a különbséget nem ismerik pontosan, gyakran két irányban túllépnek: szinte semmit sem jelentenek a bonyodalom félelmében, vagy először megpróbálnak teljes képet kapni, mielőtt merészelnek bejelentést tenni. Mindkét reakció a törvényi követelmények bizonytalanságából ered, és ezt a bizonytalanságot néhány rögzített kérdéssel gyakran nagyban el lehet távolítani. Az alapvető döntési fa a öt kérdésben mutatja meg, hogy hol áll erre lett kialakítva: konkrét kérdések alapján mutatja meg, hogy egy esemény valószínűleg a bejelentési kötelezettség alá esik-e, anélkül, hogy ehhez először jogi ismeretekre lenne szüksége.
Egy második gyakori hiba
Szorosan kapcsolódik a túl késői bejelentéshez, hogy elfelejti a saját nyilvántartást. Még az olyan adatvédelmi incidens is, amelyet végül nem jelent a felügyeletnek, belsőleg rögzítendő: mi történt, miért lett vagy nem lett bejelentve, és milyen intézkedéseket vezettek be. Sok szervezet csak azokat az incidenseket rögzíti, amelyeket ténylegesen bejelentett, a többit nem dokumentálja. Ezzel éppen az a rálátás hiányzik, amely szükséges ahhoz, hogy megmutassa, hogy egy mérlegelés tudatos volt és a helyes kritériumok alapján történt, ha később rákérdeznek.
Hogyan működtetheti az időkorlátot az Ön javára
A 72 órás határidő nem arra való, hogy meglepje a szervezeteket, hanem hogy az érintett személyeket gyorsan figyelmeztethesse, ha szükséges. Ez jobban működik, ha előzetesen világos, hogy a szervezeten belül ki jelenti be egy gyanúsított incidenst, kinek, és mely alapvető kérdéseket szokás feltennelőre. Ezek az egyezmények nélkül értékes idő vész el azon, hogy megállapítsák, ki dönt a kérdésről, miközben az időkorlát már fut.
Azt is segít, ha előzetesen tudja, hogy mely rendszerek és szállítók dolgozzák fel a személyes adatokat, hogy szállító bejelentésekor azonnal fel tudja becsülni, mely adatokról és mely érintett személyekről van szó. A használt SaaS-eszközök és ezekre vonatkozó megállapodások aktuális áttekintése, ahogyan az a tudásbázisban, témánként magyarázattal visszajelenik, a gyakorlatban sok felderítési munkát megtakarít az a pillanatban, amikor fontos.
Mit rögzíthet előre
A lényeg az, hogy a bejelentés nem kell, hogy teljes legyen ahhoz, hogy időben legyen. Az első bejelentés az ismert tényekkel, ezt követően egy kiegészítés, mihelyt több világos lesz, az AVG-nak megfelel. Azok a szervezetek, amelyek ezt előzetesen tudják, és erre van egy rögzített, rövid eljárásuk, ritkábban ütköznek abba a hibába, hogy túl sokáig várnak. Ez is segít azzal, hogy világos, ahol az érzékeny adatok vannak, és hogyan vannak védelemmel ellátva, hogy az incidens gyanúja gyorsabban értékelhető legyen; a szomszédságában az adatok védelméről szóló oldal erről ad képet.
Az, hogy egy adott incidens az Ön szervezeténél bejelentési kötelezettség alá esik-e, és ennek legjobb módon történő dokumentálása végső soron az Ön saját mérlegelése, amely során szükség esetén jogi tanácsadóval vagy az Adatvédelmi Hatósággal konzultálhat. A gdpria.eu ebben segítségnyújtást és strukturált előzetes értékelést nyújt, de nem jogi tanácsadás.
Szeretne már most megtudni, hogy szervezetében hol vannak a kitüntetett figyelmet igénylő pontok? Az ingyenes gyors felülvizsgálat és a gyakrabban ismételt kérdésekre adott válaszok néhány perc alatt átfogó képet adnak, ehhez nem szükséges regisztráció.