Ar aš galiu tvarkyti duomenų saugos pažeidimą pats?
Taip, didelę dalį duomenų pažeidimo įvertinimo ir tvarkymosi galite atlikti patys. BDAR nereikalauja pasamdyti teisininką ar išorinę agentūrą. Tai, ko reikalauja reglamentas, yra kad atpažintumėte pažeidimą, įvertintumėte, ar jis sukelia riziką žmonėms, kurių duomenys buvo paveikti, ir — jei taip — laiku pranešėte Duomenų apsaugos valstybinei institucijai ir gegebenais suinteresuotiems asmenims patiems.
Tai, ar galite tai daryti savarankiškai, daugiausia priklauso nuo incidento apimties ir sudėtingumo. Neteisingai išsiųstas el. laiškas su vieno kliento duomenimis yra ką kas nors kitaip nei sulaužytas serveris su tūkstančiais kliento bylų. Riba tarp savarankiško darbo ir subkontravaimo nėra įstatymų, bet priklauso nuo jūsų gebėjimo greitai ir rūpestingai įvertinti, kas atsitiko.
Ką galite įvertinti patys
Pirmasis klausimas bet kokiame incidente yra, ar iš tikrųjų yra duomenų pažeidimas BDAR prasme: ar asmeniniai duomenys buvo prarasti, jų peržvelgė asmenys, kurie neturėjo teisės, arba per klaidą pakeisti ar sunaikinti? Tą įvertinimą su aiškia klausimų sąrašu galite atlikti visai gerai patys. keliame klausimais pamatyti, kurioje vietoje esate suteikia pirmąjį įspėjimą, nereikalaudami iš karto konsultanto.
Jei yra pažeidimas, tada seka rizikos įvertinimas: ar jis sukelia pavojų suinteresuotiems asmenims ir jų teisėms bei laisvėms, pavyzdžiui, todėl, kad jautrūs duomenys atsidūrė viešumoje arba tampa įmanoma tapatybės vagystė? Tas vertinimas taip pat daugeliui įprastų situacijų gali būti atliktas vadovaujantis EDPB nurodymais ir Duomenų apsaugos valstybinės institucijos paaiškinimais. Jame žinių banke su paaiškinimais pagal temą aprašomi kriterijai, kurie čia vaidina svarbų vaidmenį, su nuoroda į oficialų tekstą.
Faktinis pranešimas Duomenų apsaugos valstybinei institucijai praktikoje taip pat dažnai atliekamas pačių įmonių. Priežiūrą atliekančioji institucija tam turi savą pranešimo formą, o informacija, kurios prašoma — kas atsitiko, kokie duomenys, kiek žmonių buvo paveikti ir kokie priimti sprendimai — yra informacija, kurią jūsų organizacija pati geriausia žino.
Kada tikslinga kreiptis pagalbos
Kai kuriose situacijose savarankiškas tvarkymas darosi sunkiau. Jei tai yra daug suinteresuotų asmenų, jautrūs duomenys, tokie kaip sveikatos duomenys, arba techninis incidentas, kurio apimtis vis dar neaiški, tai rekomenduojama nesitikėti tik savosios nuomonės. Tas pats galioja, kai pažeidimas gali turėti pasekmes kitoje narėje valstybėje arba kai nėra aišku, kurie priežiūrą atliekantysis subjektas yra kompetentingas.
Pačių suinteresuotų asmenų informavimas — o ne tik priežiūrą atliekančiosios institucijos — reikalauja rūpestingumo. Tono, turinio ir to pranešimo momento pasirinkimas iš dalies lemia, kaip žmonės reaguoja, ir neteisingai suformuluotas pranešimas gali sukelti daugiau sumiešimo nei pats incidentas. Tokiais atvejais patartina pasitarti su teisininku arba susisiekti su Duomenų apsaugos valstybine institucija dėl teisingos procedūros.
Ką BDAR reikalauja ir ko nereikalauja
Reglamentas nustato terminą, kuriame priežiūrą atliekančiajai institucijai turi būti pranešta apie pažeidimą, kurio pranešimas yra būtinas, ir reikalauja organizacijų dokumentuoti, kokie duomenų pažeidimai įvyko, taip pat pažeidimai, kurių pranešti nereikia. Tačiau BDAR nereikalauja, kas tą procesą atliektu jūsų organizacijoje. Tai reiškia, kad savarankiškas tvarkymas yra leidžiamas, kol rezultatas atitinka tai, ko reikalauja įstatymas.
Atsakomybė išlieka organizacijoje, net jei dalis darbo yra išduota į sutartis konsultantui ar biurui. Tai nėra klausa apie viską perduoti ir daugiau nežiūrėti, bet žinoti, kokie žingsniai buvo žengti ir kodėl.
Dokumentavimas visada priklauso prie to
Nesvarbu, ar tai darote patys, ar prašote pagalbos, dokumentavimas reikalingas abiem atvejais: kas įvyko, kada tai atradote, kokią riziką įvertinote ir kokie priemonės buvo imtasi, kad incidentas nesikartotų. Šis dokumentavimas naudingas ne tik priežiūros institucijai, bet ir jums patiems, jei panašus incidentas vėliau kartosis.
Kaip turėtų atrodyti šis pagrindimas ir kokie šaltiniai yra naudojami, galima perskaityti puslapyje, kuriame randama informacija. Jei abejojate, ar jūsų situacija reikalauja pranešimo, pirmiausia atlikite nemokamą patikrą ir perskaitykite atitinkamas žinių banko temas prieš priimant sprendimą. Jei norite šį procesą nuo atpažinimo iki sprendimo struktūrizuoti, galite prisiregistruoti verslo paskyrą kad termynai ir dokumentavimas būtų automatiniai.