Esmė: pati pranešimo pareiga nesikeičia
Pranešimo pareiga dėl duomenų saugumo pažeidimo nustatyta pačioje GDPR su žinomu 72 valandų terminu nuo to momento, kai jis aptiktas, iš ataskaitos Asmenų duomenų tarnybai, ir atskira vertinimu, ar taip pat patys asmenys turi būti informuoti. Šis tekstas yra Europos reglamento dalis ir keičiasi ne kiekvienais metais. Kiek žinoma, šiais metais nėra reglamento pačio pakeitimo, kuris paveiktų pranešimo pareigą ar terminą. Kas tikrai keičiasi, tai yra išaiškinimas aplink: kaip EDPB ir Asmenų duomenų tarnyba išpildo atvirtas normas iš įstatymo ir kaip kita teisė nustatoma šalia GDPR. MKB įmonei tai dažnai yra relevantiškiau nei patis teisės tekstas, nes būtent šis išaiškinimas nustato, kada incidentas yra laikomas turintis pranešimo pareigą.
Taigi tai nėra naujas terminas ar naujas straipsnio numeris, kurį reikėtų atsiminti, bet trys poslinkiai, kurie veikia praktiką: griežtesnės gairės dėl to, kas laikoma duomenų saugumo pažeidimu, daugiau sutapimo su sektoriaus teisyne, tokia kaip NIS2, ir kita realybė, nes incidentai vis dažniau atsiranda pas SaaS tiekėją, o ne pačioje įmonėje.
Gairės, kurios perkeičia ribą
GDPR pati aprašo duomenų saugumo pažeidimą bendrais terminais: saugumo sutrikdymas, dėl kurio atsiranda duomenų sunaikinimas, praradimas, pakeitimas ar neteisėtas atskleidimas. Kas iš tiesų po tuo visada, metai iš metų išaiškinamos EDPB gairėmis ir pačios Asmenų duomenų tarnybos paaiškinimais. Pavyzdžiui, pastaraisiais metais paaiškėjo daugiau apie ribinius atvejus: neteisingai išsiųstas el. laiškas su priedu, darbuotojas, kuris prisijungia prie klaidingo paskyros, arba atsarginė kopija, kuri laikinai nepasiekiama. Tokios situacijos anksčiau dažnai buvo laikomos vidiniais klausimais; gairių linija yra ta, kad net be darbuotojo piktavališko ketinimo gali būti turinys su pranešimo pareiga susijęs incidentas. Direktoriui ar biuro vedėjui tai reiškia, kad vertinimas gali būti atliekamas retai remiantis instinktu ir daugiau pagal fiksuotą veiksmų planą. Kam kyla klausimas, ar konkretus įvykis patenka į pranešimo pareigą, gali tai išsiaiškinti keliais klausimais naudodamas gdpria.eu sprendimų medį, keliais klausimais sužinoti, ar kažkas yra duomenų saugumo pažeidimas, turintis pranešimo pareigą.
Sutapimas su kita teisyne
Antras poslinkis nėra pačiame GDPR, bet teisėje, kuri yra šalia jo. Organizacijoms, kurios yra dalimi arba teikia paslaugas sektoriams, kuriems taikomas reglamentas, pavyzdžiui NIS2, saugumo incidentas gali vienu metu patekti į du pranešimo režimus: GDPR dėl asmeninių duomenų ir sektorinius pranešimo reikalavimus dėl pačios paslaugos. Tai nepalies kiekvieno MKB verslo, tačiau paliestus santarpinius įmones, IT paslaugų teikėjus ir kitus dalyvius, kurie veikia kaip didesnės, reguliuojamos organizacijos tiekėjai. Šiai grupei naudinga patikrinti, ar kliento ar užsakovo kontraktas tuo tarpu apima papildomą pranešimo sutartis, be to, kas jau yra duomenų apdorojimo sutartyje. Norintiems patikrinti, kas tiksliai tokioje sutartyje nurodytas apie pranešimo terminus ir atsakomybes, rasite paaiškintą, žinybos su paaiškinimu pagal temą.
Praktika keičiasi SaaS tiekėjo link
Trečias pokytis yra ne tiek reguliacijos klausimas, kiek faktinio vystymosi klausimas: didėjanti dalis incidentų, su kuriais susiduria Nyderlandų įmonės, atsiranda ne jų pačių veikloje, o programinės įrangos tiekėjo, kurį jos naudoja buhalterinei apskaityti, personalui vadinti arba kliento sąsajai, veikloje. Tačiau atsakomybė įvertinti, ar tai sukelia privalomą pranešimą apie duomenų saugos pažeidimą, lieka įmonei, kuri duomenis leidžia apdoroti, o ne automatiškai tiekėjui. Tiekėjas, kuris pats pranešė apie incidentą, neatleidžia užsakovą nuo savojo vertinimo. Tai daro dar svarbiau iš anksto nustatyti, kaip ir kada tiekėjas pranešimas apie incidentą, ir šią susitarimą rasti savo naudojamų priemonių apžvalgoje. Įmonės, kurios dar neturi šios apžvalgos užbaigtų, gali ją sukurti naudodamosi paaiškinimas, kaip sistema užpildoma iš žinomų priemonių.
Ką tai reiškia jums
Daugeliui MKB įmonių šiais metais wettelijke termino pati nesikeičia. Tačiau protinga: periodiškai tikrinti savo incidentų tvarkos principus pagal naujausius gaires, patikrinti, ar užsakovas nustato papildomus pranešimų susitarimus, ir su tiekėjais aiškiai žinoti, kas pirmiausia vertina incidentą. Nė vienas iš šių punktų nereikalauja tiesinio tyrimo, bet yra svarbus nustatytas laikas jam peržiūrėti.
Norite greitai pamatyti, kur jūsų įmonė yra šioje temoje? Klausime gratis greito skenavimo gdpria.eu duos pirmą nuorodą, o dažnai užduodami klausimai apie duomenų pažeidimus ir pranešimo pareigą rasite trumpesnius atsakymus į susijusius klausimus.