L'errore: aspettare finché tutto sia chiaro
L'errore più comune nella segnalazione di una violazione dei dati non è la violazione stessa, ma il momento in cui un'organizzazione decide di segnalare. Molte aziende vogliono prima sapere esattamente cosa è accaduto, quali dati sono interessati e quante persone sono colpite, prima di informare l'Autorità per la protezione dei dati. Questo sembra prudente, ma il GDPR richiede qualcosa di diverso: il termine di notifica di 72 ore inizia a decorrere non appena siete consapevoli della violazione dei dati, non quando avete ricostruito tutti i fatti.
Di conseguenza, l'orologio è già passato per una gran parte del tempo quando internamente tutti si sono messi d'accordo su cosa esattamente è accaduto. Di solito non è una questione di cattiva volontà, ma di sconoscenza di come funziona il termine: il GDPR consente che una notifica sia integrata per fasi, proprio perché la certezza completa spesso non può essere ottenuta entro tre giorni.
Perché questo errore si verifica così spesso
La confusione sorge perché le persone confondono una violazione dei dati con una violazione dei dati segnalabile. Non ogni incidente relativo ai dati personali deve essere segnalato all'autorità di controllo; il GDPR distingue se esiste un rischio per i diritti e le libertà degli interessati. Le aziende che non hanno affinato questa distinzione spesso vanno troppo lontano in due direzioni: segnalano quasi nulla per paura di inconvenienti, oppure cercano prima di ottenere l'intero quadro completo prima di osare fare una segnalazione. Entrambe le reazioni derivano dall'incertezza su cosa la legge richieda esattamente, e questa incertezza può spesso essere in gran parte eliminata con poche domande fisse. L'albero decisionale su in cinque domande vedete dove vi trovate è stato creato per questo: mostra sulla base di alcune domande concrete se un incidente probabilmente rientra nell'obbligo di notifica, senza la necessità di conoscenze legali preliminari.
Un secondo errore che spesso si aggiunge
Strettamente correlato alla segnalazione tardiva è la dimenticanza della propria documentazione. Anche una violazione dei dati che alla fine non segnalate all'autorità di controllo deve essere registrata internamente: cosa è accaduto, perché è stato segnalato o meno, e quali misure sono state adottate. Molte organizzazioni registrano solo gli incidenti che hanno effettivamente segnalato e lasciano il resto non documentato. In questo modo manca proprio la panoramica necessaria per dimostrare che una valutazione è stata fatta consapevolmente e sulla base dei giusti criteri, se in seguito venisse chiesto.
Come far funzionare l'orologio a vostro favore
Il termine di 72 ore non è inteso a sorprendere le organizzazioni, ma per consentire di avvertire rapidamente gli interessati se necessario. Questo funziona meglio se è chiaro in anticipo chi all'interno dell'organizzazione segnala un sospetto di una violazione, a chi, e quali domande di base vengono poste di routine. Senza questi accordi, viene perso tempo prezioso nel capire chi è effettivamente responsabile, mentre l'orologio continua a scorrere.
Aiuta anche sapere in anticipo quali sistemi e fornitori elaborano dati personali, in modo che quando ricevete una segnalazione da un fornitore possiate immediatamente valutare di quali dati e di quali interessati si tratta. Una panoramica aggiornata dei SaaS-tool utilizzati e degli accordi su di essi, come riportato nel registro delle attività di trattamento di la knowledge base con spiegazioni per argomento nella pratica risparmia molto lavoro investigativo nel momento in cui conta.
Cosa potete fissare in anticipo
L'essenza è che una notifica non deve essere completa per essere puntuale. Una prima notifica con i fatti noti, seguita da un supplemento non appena diventano più chiari, rientra in quanto il GDPR consente. Le organizzazioni che lo sanno in anticipo e hanno una procedura fissa e breve per questo, corrono meno il rischio di commettere l'errore di aspettare troppo a lungo. Ciò che aiuta anche è la chiarezza su dove si trovano i dati sensibili e come sono protetti, in modo che un sospetto di violazione possa essere valutato più rapidamente per gravità; la pagina su come i dati sono protetti all'interno del sistema fornisce un'idea al riguardo.
Se un incidente specifico nella vostra organizzazione è soggetto a obbligo di notifica e come documentarlo al meglio è una valutazione che spetta a voi, eventualmente con un avvocato o in consultazione con l'Autorità per la protezione dei dati. gdpria.eu fornisce chiarimenti e una prima valutazione strutturata, non consulenza legale.
Volete sapere in anticipo quali sono i punti critici nella vostra organizzazione? La scansione rapida gratuita e la risposte alle domande più frequenti forniscono un primo quadro in pochi minuti, senza necessità di un account.