Klaida: laukti, kol viskas bus aišku
Dažniausiai pasitaikanti klaida pranešant apie duomenų saugos pažeidimą yra ne pats pažeidimas, o momentas, kada organizacija nusprendžia pranešti. Daugelis įmonių pirmiausia nori tiksliai žinoti, kas nutiko, kokie duomenys buvo paveikti ir kiek žmonių nukentėjo, prieš informuodami Duomenų apsaugos inspekciją. Tai atrodo atsakingai, tačiau GDPR reikalauja kažko kito: 72 valandų pranešimo terminas pradeda skaičiuotis nuo to momento, kai jūs sužinosite apie duomenų saugos pažeidimą, o ne nuo to, kai turėsite visus faktus sutvarkytus.
Dėl to likusis laikas dažnai pasibaigia, kai organizacijoje viduje visi sutaria, kas tiksliai nutiko. Paprastai tai nėra nedidelio noro klausimas, o nežinojimo apie tai, kaip šis terminas veikia: GDPR leidžia pranešimą papildyti etapais, nes visiškas tikrumas dažnai negali būti gautas per tris dienas.
Kodėl ši klaida taip dažnai pasitaiko
Painiava kyla todėl, kad žmonės sumaišo duomenų saugos pažeidimą ir praneštiną duomenų saugos pažeidimą. Ne kiekvienas incident su asmeniniais duomenimis turi būti praneštas priežiūros institucijai; GDPR čia atsižvelgia į tai, ar yra rizika asmenų teisėms ir laisvėms. Įmonės, kurios šio skirtumo nežino arba jį neryškai mato, paprastai veikia dvi kraštutines puses: beveik nieko nepranešą iš baimės dėl rūpesčio, arba pirmiausia bando gauti visą vaizdą, prieš drįsdamos daryti pranešimą. Abi šios reakcijos kyla iš neaiškumo dėl to, ką šaltinis tiksliai reikalauja, ir šitas neaišumas dažnai gali būti šalintas uždavus kelis nustatytos klausimus. Sprendimų medis adresu penkiuose klausimuose parodo, kur jūs stovite buvo sukurtas šiam tikslui: remiantis keliais konkrečiais klausimais jis parodo, ar įvykis tikriausiai patenka į pranešimo pareigą, nereikalaudamas iš jūsų jokių teisinių žinių.
Antra klaida, kuri dažnai supretenduoja kartu
Glaudžiai susijęs su per vėlu atliekamu pranešimu yra savos dokumentacijos užmaršimas. Taip pat duomenų saugos pažeidimas, kurio jūs galiausiai nepranešate priežiūros institucijai, turėtų būti viduje užfiksuotas: kas nutiko, dėl ko buvo arba nebuvo pranešta, ir kokie priemonės buvo imtasi. Daugelis organizacijų registruoja tik tas nelaimes, kurias jie iš tikrųjų pranešė, ir lieka likutį neišdokumentuotą. Tuo jie praranda tiksliai tą apžvalgą, kuri reikalinga, kad būtų galima parodyti, jog sprendimas buvo sąmoningas ir priimtas pagal teisingus kriterijus, jei vėliau apie tai būtų paklausti.
Kaip leisti terminui 72 valandų veikti jūsų naudai
72 valandų terminas nėra skirtas staigai nustebinti organizacijas, bet suteikti galimybę greitai įspėti asmenų, jei tai reikalinga. Tai veikia geriau, jei iš anksto yra aišku, kas organizacijoje turėtų pranešti apie įtariamą pažeidimą, kam jį pranešti, ir kokie pagrindiniai klausimai šiuo metu standartiškai turi būti keliami. Be šių susitarimų brangus laikas praleidžiamas sprendžiant, kas iš tikrųjų yra atsakingas, o laikas jau skaičiuojasi.
Taip pat padeda iš anksto žinoti, kurios sistemos ir tiekėjai apdoroja asmeninius duomenis, kad gaudami pranešimą iš tiekėjo jūs iš karto galėtumėte įvertinti, kokie duomenys ir kurie asmenys yra suinteresuoti. Galutinis naudojamų SaaS įrankių sąrašas ir su jais susiję susitarimai, tokie, kurie yra apdorojimo veiklų registre iš žinybos su paaiškinimu pagal temą praktikoje padeda smarkiai sumažinti tyrimo darbą tuo metu, kai jis reikalingiausias.
Ką jūs galite nustatyti iš anksto
Esmė ta, kad pranešimas neturi būti pilnas, kad būtų laiku. Pirmasis pranešimas su žinomais faktais, po kurio seka papildymas, kai pasidaro daugiau aiškumo, atitinka tai, ką GDPR leidžia. Organizacijos, kurios tai iš anksto žino ir turi tam nustatytą, trumpą procedūrą, mažiau tikėtina, kad padarytų klaidą laukdamos per ilgai. Tai, kas taip pat padeda, yra aiškumas apie tai, kur yra jautrūs duomenys ir kaip jie apsaugoti, kad įtarimas dėl pažeidimo galėtų būti greitai įvertintas pagal rimtumą; puslapis apie kaip duomenys sistemoje yra apsaugoti apie tai duoda apžvalgą.
Tai, ar konkretus incidentas jūsų organizacijoje turi būti praneštas ir kaip jį geriausia dokumentuoti, galiausiai yra sprendimas, kurį priimate patys, gerai būtų pasikonsultavus su teisininku arba susitarę su Duomenų apsaugos valdžia. gdpria.eu suteikia šioje srityje aiškumą ir struktūruotą pirmąjį vertinimą, ne teisinę konsultaciją.
Ar norėtumėte iš anksto sužinoti, kokius dėmesio punktus turite? Nemokama greita patikra ir atsakymai į dažnai iškylančius klausimus per kelias minutes duoda pirmąjį vaizdą, be to, reikalinga paskyra.