Adatvédelmi incidens esetén lényegében három típusú dokumentumra van szüksége: egy belső nyilvántartásra az eseményről, egy értékelésre, amely megállapítja, hogy az Adatvédelmi Hatóság felé történő bejelentés kötelező-e, és – ha igen – magára a bejelentésre az annak alátámasztásával együtt. Amennyiben az érintettekhez intézett közlemény is szükséges, az is a dokumentálható iratok közé tartozik.
A leggyakrabban figyelmen kívül hagyott részlet ebben a témában az interne nyilvántartás. Még ha az értékelés után arra a következtetésre jut is, hogy az adatvédelmi incidenst nem kell az Adatvédelmi Hatóság felé bejelenteni, a GDPR továbbra is azt követeli meg, hogy az incidenst magát dokumentálja: mi történt, mely adatokat érintett, milyen következményei lehettek, és miért jutott erre a következtetésre. Sok vállalkozó azt gondolja, hogy csak a bejelentéskor szükséges valamit papírra vetni. Ez azonban nem az, amit a rendelet előír.
Az incidens belső nyilvántartása
Ez az eset, amely minden adatvédelmi incidens esetén léteznie kellene, függetlenül az értékelés kimenetelétől. Tartalmazza, hogy mikor fedezte fel az incidenst, pontosan mi történt, mely adatkategóriákat és mely érintetteket érintette, valamint milyen intézkedéseket tett a következmények csökkentésére. A felügyeleti szervek ellenőrzéskor nem csak az elvégzett bejelentésekre figyelnek, hanem arra is, hogy a szervezet képes-e bemutatni, hogyan értékelte az előző incidenseket. E dokumentum nélkül ez az alátámasztás nem létezik.
Az értékelés, hogy szükséges-e a bejelentés
A tényleges nyilvántartás mellett szükséges egy második dokumentum: maga az értékelés. Milyen kockázatokat látott az érintettekre nézve, és ennek alapján milyen okból jutott arra a következtetésre, hogy bejelentés szükséges-e vagy sem? A GDPR ebben az összefüggésben az érintett jogaira és szabadságaira vonatkozó kockázatot tekinti mérceként. Az értékelés dokumentálása nemcsak praktikus az Ön számára később, hanem az a dokumentum, amellyel bizonyítható, hogy tudatos döntés született, nem véletlen. Aki kétséges egy konkrét eset bejelentési kötelezettsége tekintetében, a , amely néhány kérdésben első jelzést ad kiindulópontot talál, anélkül, hogy ez helyettesítené a saját értékelést.
A bejelentés az Adatvédelmi Hatóság felé
Ha az értékelésből az következik, hogy bejelentés szükséges, akkor maga a bejelentés is dokumentumként kerül hozzáadásra: mit jelentett be, mikor és milyen adatokkal. A GDPR e tekintetében 72 órás határidőt határozza meg attól számítva, hogy az adatvédelmi incidenst tudomására jutott. Ne csak a bejelentés visszaigazolását őrizze meg, hanem a tények azon verzióját is, ahogyan azok a bejelentéskor ismertek voltak – ez később még kiegészíthető, ha az incidens terjedelmeiről több információ derül ki.
Kommunikáció az érintettekkel
Az esetek egy részében az érintettekhez intézett üzenet is szükséges, például amikor az azokra vonatkozó kockázat jelentősnek tekinthető. Ez az üzenet – pontosan mit közölt és kinek – szintén a dosszié része. Ez nem egy rögzített sablon, amely minden adatvédelmi incidens esetén azonos; a tartalom attól függ, hogy mi történt és mely adatokat érintett.
Megállapodások szállítókkal és adatkezelőkkel
Ha az adatvédelmi incidens egy olyan fél nél következik be, amely Ön helyett adatokat kezel, például könyvelőszoftvernél vagy tárhely-szolgáltatónál, akkor az e tekintetben az adatkezelési szerződésben rögzített megállapodás is részét képezi a dokumentációnak: hogy jelenti az illető fél az incidenseket Önnek, és milyen határidőn belül? Akinek ez még nem tiszta, a , amely ezt helyzetenként kibontja kiindulópontot talál az adatkezelési szerződések e pontjának felülvizsgálatához.
Miért áll ez a dosszié a biztonság mellett külön
A dokumentáció egy adatvédelemmel kapcsolatos incidens körül különbözik az előzetes intézkedésektől, amelyeket az incidens megelőzésére tett, de a kettő mégis kapcsolódik egymáshoz: egy felügyeleti hatóság megkérdezheti, hogy az Ön biztonsági intézkedései hogyan néztek ki az incidens pillanatában. Az adatbiztonság gyakorlatban való rögzítésérõl a következõ helyen olvashat: az alkalmas biztonsági intézkedésekre vonatkozó útmutatás.
ezt már most rendben van szükséges tartatni
A tudásbázis és a döntési fa ingyenesen elérhető, fiók nélkül. Ha szeretné, hogy az incidensek regisztrációja, a határidők és az ezekhez tartozó sablonok strukturáltan egy helyen legyenek ahelyett, hogy minden alkalommal újra meg kellene keresnie, akkor ez az, amire a gdpria.eu-nál lévő előfizetés van szervezve. Egy üzleti fiók a KvK-szám és az ÁFA-szám alapján hozható létre, az szervezethez kapcsolódik, és nem egy e-mail-címhez.
Ha jelenleg egy lehetséges adatvédelmi incidensre vonatkozóan kell döntenie, akkor először végezze el az ingyenes gyors-ellenőrzést, vagy olvassa át a tudásbázisban szereplő témaköröket. Az Ön helyzetére vonatkozó részletes magyarázathoz egy jogász vagy az Adatvédelmi Hatóság lesz az ajánlott kapcsolattartási pont.