BDAR nustato, kad duomenų saugumo pažeidimas, kuris gali sudaryti riziką asmenims, kurių duomenys apdoroti, turi būti praneštas Personažodžių apsaugos valdžiai, kai tik jūs apie tai sužinojote. Šiam pranešimui skirtas terminas yra trumpas: 72 valandos. Jei nepranešate arba pranešate per vėlai, tuo atžvilgiu nesilaikote BDAR nustatyto įpareigojimo. Ką tai konkrečiai reiškia, priklauso nuo situacijos, ir būtent todėl mes kaip redakcija nedarome išvados: tai priklauso nuo jūsų, jūsų teisininko arba priežiūros institucijos.
BDAR nusako tai, ką galima aprašyti: BDAR suteikia Personažodžių apsaugos valdžiai kompetenciją atlikti tyrimą dėl duomenų saugumo pažeidimo, kuris nepraneštas arba praneštas per vėlai, ir į tai reaguoti. Kokia ta reakcija bus ir ar iš viso bus reaguojama, nėra nustatyta ir negali būti nuspėjama. Jums kaip verslininkui svarbiausia klausimas yra ne tiek "kokia bus nuobauda", kiek "ką turėčiau suorganizuoti, kad laiku galėčiau įvertinti, ar pranešimas būtinas".
Ką tiksliai reikalauja pranešimo pareiga
GDPR nustato skirtumą tarp pranešimo priežiūros institucijai ir pranešimo patiems asmenims. Pirmasis yra svarbus nuotėkio atveju, kuris gali kelti riziką; antrasis, svarbesnis variantas yra svarbus didelės rizikos atveju. Abu vertinimai turi būti atlikti greitai, o 72 valandų terminas priežiūros institucijai pradedamas skaičiuoti nuo momento, kai jūs nustatėte nuotėkį, o ne nuo momento, kai jis įvyko. Kas dar neturi aiškaus šio skirtumo supratimo, gali jį suvokti per kelis klausimus: penkiuose klausimuose parodo, kur jūs stovite Iš karto suteikia nurodymą, ar pranešimas yra reikalingas.
Pagrindinė per vėluoto pranešimo problema dažniausiai yra ne nenoras, o laikas, kuris praleidžiamas dėl neaiškumo: kas turi tai perimti, ar tai tikrai yra duomenų saugumo pažeidimas Reglamento (ES) 2016/679 prasme, ir ar iš tikrųjų turime apžvalgą, kurie mūsų sistemos saugo asmens duomenis. Pastarasis dalykas yra tiksliai tai, kur duomenų tvarkymo veiklos registras įrodo savo vertę: be apžvalgos apie jūsų tvarkymą, pažeidimo apimties nustatymas nereikalingai bėga iš jūsų turimų 72 valandų.
Taip pat turėtumėte sugebėti pagrįsti ir nepraneš
Mažiau žinomas dalykas yra tas, kad BDAR taip pat reikalauja fiksuoti, kada jūs nusprendžiate nepranešti apie saugumo incidentą ir kodėl. Atskaitomybės pareiga taikoma pačiam sprendimui, o ne tik pranešimui, jei jis bus pateiktas. Saugumo incidentas, kurį vertinate kaip "nesukeliantį rizikos tiems asmenims" ir kurio vertinimą niekur nefikaluojate, vėliau sunku pagrįsti, jei to paprašytų. EDPB gairės šiuo klausimu plačiai išsamios; šaltinis ir jų paaiškinimas yra surandami žinių baza pagal temą.
Pasekmės, kurios viršija priežiūros institucijos kompetenciją
Išskyrus santykius su Asmenų duomenų apsaugos institucija, yra dar dvi vietos, kuriose gali iškilti nesumailyta pranešimo problema. Pirmoji yra duomenų tvarkymo sutartis: jei tvarkote asmenų duomenis klijento vardu, joje dažnai yra numatytas savitarpinis pranešimo terminas, kartais trumpesnis nei įstatyminis 72 valandos, ir tas terminas tada galioja kartu su GDPR. Antroji yra pats duomenų subjektas: asmuo, kurio duomenys bociau, ir kuris tai suznoja pats be jūsų pranešimo, nebegali atgauti to pasitikėjimo, kas nėra susijęs su jokia tiesine vertinimu.
Taip pat draudimo bendrove arba perkančioji organizacija, kuri vėliau paklaus, kaip buvo tvarkytas nuotėkis, žiūri į tai, ar laiku buvo vertinta ir, jei reikalinga, pranešta. Tai yra kas nors kita nei bauda, bet juk tai liečia tai, kas dažnai yra priežastis privačumą sutvarkyti: mokėti parodyti, kad yra procesas, ne tik kad niekada nieko neišėjo iš kelio.
Kodėl laikrodis dažnai yra siauras grįstas
Praktikoje dažnai problema yra ne noras pranešti, o greitis, kuriuo organizacija gali nustatyti, kas įvyko, kurie duomenys yra paveikti ir kas į tai įvairpis. Sistema, kuri pradeda skaičiuoti 72 valandų terminą iš karto, kai registruojamas galimas nutekėjimas, užkerta kelią tam, kad laikas būtų švaistomas vidiniam diskusijoms. Kaip tokia sistema yra sustrukturinta ir kurioje informacija ji grindžiama, aprašyta puslapyje apie kur informacija iš kur.
Ar konkretus įvykis jūsų atveju yra privalomas pranešti, kuris tiksliai terminas taikomas jūsų situacijoje ir kokios yra pasėkos, jei pranešimas buvo praleistas, negalima atsakyti bendrai. Tokiam vertinimui teisininkas arba pati Duomenų apsaugos tarnyba yra tinkamiausi kontaktai.
Norite iš pradžių patys suprasti, kur jūs esate, be jokių pareigų? Nemokamas greitas patikrinimas ir žinių bankas pateikia pirmą nuorodą pagal temą, įskaitant nuorodą į oficialų tekstą.