Az adatszivárgás bejelentése a Hatóságnak önmagában nem kerül pénzbe: nincs rá díj vagy illeték. A költségek abban rejlenek, ami körülötte történik: annak kiderítése, hogy pontosan mi történt, az érintottek értesítése, lehetséges technikai helyreállítási munkálatok és az ezek elvégzéséhez szükséges idő az Ön szervezete részéről. Ennek mennyire magas lesz, nagyban függ az adatszivárgás terjedelmétől, az adatok fajtájától és attól, hogy már volt-e folyamata előtte annak, ami elromlott.
Nincs rögzített összeg egy "adatszivárgásra", mert nincs két azonos adatszivárgás. Egy hibásan elküldött e-mail egy ügyfél kapcsolattartási adataival másképp igényel figyelmet, mint egy támadás egy rendszerre, amely száz munkavállaló személyzetidossziéjait tartalmazza. A költségposták kategóriái azonban mindig ugyanazok; csak a terjedelem különbözik.
Honnan jönnek a költségek
Az első költségposzt a belső idő: valakinek ki kell derítenie, mi történt, mely adatok értek el és az adatbevalláshoz szükséges hetvenhat óra – a mérlegeléshez szükséges időtartam – láthatóvá válik-e. Ezek az órák gyakran alulbecsültek, különösen akkor, ha nincs meghatározott kapcsolattartási pont vagy folyamat, és több ember egyidejűleg ugyanarra az incidensre figyel.
Ezenkívül külső segítség lehet szükséges: egy IT-szállító, aki technikailag le kell zárnia egy szivárgást, egy törvényi szakértő egy nagyobb támadásnál, vagy egy jogász, aki vizsgálja az értékelést, hogy és hogyan kell bejelenteni. Nem minden adatszivárgás igényli ezeket a lépéseket, de egy súlyosabb incidens esetén ezek a költségek gyorsan felhalmozódnak.
Az érintottak értesítése is időbe és néha pénzbe telik: egy gondos, érthető levél vagy e-mail összeállítása, a rá érkezett kérdések megválaszolása, és bizonyos esetekben az elégtétel valamilyen formájának biztosítása, például új bejelentkezési kód vagy ingyenes szolgáltatás. A gdpria.eu-n található döntési fában néhány kérdésben megtudhatja, hogy és hogyan kell bejelentenie segít az első lépés élesítésében, hogy ne veszítsen az időt feleslegesen a habozásban.
Mi határozza meg az összeget
A legfontosabb tényező a terjedelem: hány ember érintett és milyen érzékeny az adat. Az egy adatszivárgás, amelynek nevei és e-mail-címei vannak, másképp mérlegelhető, mint egy pénzügyi adatokkal vagy egészségügyi adatokkal járó adatszivárgás. Az EDPB-irányelvei és az AVG maga ilyen kockázati tényezőket említenek az értékelés kiindulópontjaként, nem pedig egy összeg kiszámítási képleteként.
Egy második tényező az, hogy milyen gyorsan fedezik fel az adatszivárgást és mennyire világos, hogy ki felelős miért. Ha egy adatfeldolgozási szerződésben már megállapodtak arról, hogy a szállító kit kell értesítenie és milyen időn belül, ez csökkenti a nyomozómunkát abban a pillanatban, amikor valami nem működik. Ha ezt az egyezséget nem létezik, akkor az incidens maga több időt igényel, mielőtt már a helyreállítás megkezdődne.
A harmadik tényező az, hogy az Ön szervezete már rögzített folyamattal rendelkezik-e: egy megállapított lépéscsalád, egy lista azokról, akiket értesíteni kell, és egy hely, ahol az előző incidenseket rögzítik. Anélkül, hogy ezt az incidensnél újra fel kell találni, ki mit csinál, amely időt és egyensúlyt vesz el abban a pillanatban, amikor mindkettő ritka.
A bejelentés maga ingyenes, az előkészítés nem
Jó, hogy ezt a megkülönböztetést élesnek tartsa: a bejelentési kötelezettség a Hatóság felé nem jár költségekkel, de ennek jó teljesítése igen. Annak meg kell határoznia, hogy egy incidenst az adott időn belül be kell-e jelentenie, és mit kell pontosan tartalmaznia, ehhez időre van szüksége. A bejelentésben szereplő tartalmakról és azokról a dokumentumokról, amelyekre általában szüksége van, egy áttekintés van leírva a tudásbázisban témaonkénti magyarázattal.
Ezen költségek közül sok nem egyszeri, hanem visszatérő, egyszerűen azért, mert az adatsértések nem tervezett, és évek múlva ismét bekövetkezhetnek. Ezért egyes szervezetek úgy döntenek, hogy az óra, a lépések és a dokumentálás egy rendszerben futnak, ahelyett hogy ezt minden alkalommal manuálisan rekonstruálnák. Mennyibe kerül egy ilyen előfizetés, és mit kapnak érte, az a árjegyzék oldalon látható az összetevőnkénti bontásban.
Az előzetes dokumentálás időt takarít meg később
A legnagyobb költségmegtakarítás általában nem az incidens során, hanem az arra való felkészülésben van: egy naprakész feldolgozási napló, egyértelmű megállapodások a szállítókkal és egy rögzített kapcsolattartó pont biztosítja, hogy egy adatsértés értékelése és kezelése kevesebb időt vegyen igénybe. A gyakran felmerülő kérdésekre adott válaszok arról, hogy ebben mi kötelező és mi nem, az alábbi oldalon vannak összegyűjtve: válaszok olyan kérdésekre, amelyeket más vállalkozók is felteszik.
Szeretne első képet kapni saját helyzetéről és arról, hogy hol áll? Az ingyenes gyorsellenőrzés néhány kérdésben ad egy jelzést, anélkül hogy ehhez fiók szükséges.