Pranešimas apie duomenų saugos pažeidimą Asmenų duomenų apsaugos valdybai pačiam nieko nekainuoja: nereikia mokėti jokių mokesčių ar gebų. Išlaidos susideda iš to, kas vyksta šalia: išsiaiškinus, kas tiksliai nutiko, informuojant suinteresuotus asmenis, galimas techninę atkūrimą ir laiką, kurio visa tai reikalauja iš jūsų organizacijos. Kiek tai padidės, labai priklauso nuo nuotolio apimties, duomenų tipo ir to, ar jūs jau turėjote procesą prieš incidentą.
Nėra fiksuotos sumos "duomenų saugos pažeidimui", nes nėra dviejų vienodų duomenų saugos pažeidimų. Klaidingai išsiųstas el. laiškas su vieno kliento kontaktiniais duomenimis reikalauja ko nors kitokio nei įsilaužimas į sistemą su šimto darbuotojų personaliniais dokumentais. Sąmatų pozicijos vis dėlto visada yra tos pačios kategorijos; tik apimtis skiriasi.
Iš kur kyla išlaidos
Pirmoji išlaidų sąmata yra vidiniai darbuotojų valandos: kažkas turi išsiaiškinti, kas nutiko, kokie duomenys buvo paveikti ir ar artėja iš 72 valandų sandėlis, kuriame reikia pranešti Duomenų apsaugos institucijai. Tokios valandos dažnai skaitytinos nepakankamomis, ypač jei nėra nuolatinio kontaktinio asmens ar proceso ir keli žmonės vienu metu nagrinėja tą patį incidentą.
Be to, gali reikėti išorinės pagalbos: IT tiekėjo, kuris turėtų techniškai uždaryti skylę, kriminalinės ekspertizės specialisto atliekant didesnę ataką, arba advokato, kuris padėtų įvertinti, ar ir kaip pranešti reikia. Ne kiekvienas duomenų keblas reikalauja visų šių grandžių, tačiau atliekant rimtesnį incidentą šios išlaidos gali greitai išaugti.
Taip pat informuojant asmenų imtis reikalinga laika ir kartais pinigų: parengti atidų, suprantamą laišką ar el. paštą, atsakyti į iš to kylančius klausimus ir kai kuriais atvejais pasiūlyti kokią nors kompensacijos formą, pvz., naują slaptažodį arba nemokamą paslaugą. Sprendimų medis per kelis klausimus pamatyti, ar ir kaip turėtumėte pranešti padeda pasiruošti pirmajam žingsniui, kad nereikėtų nereikalingai švaistytis laiko abejodami.
Kas nulemia sumą
Svarbiausia yra apimtis: kiek žmonių buvo paveikti ir kiek jautrūs yra duomenys. Nuotėkis su vardais ir el. pašto adresais skiriasi nuo nuotėkio su finansiniais duomenimis ar sveikatos duomenimis. EDPB gairės ir pati GDPR minėtus tokius rizikos veiksnius kaip vertinimo pradžią, o ne kaip formulę suma apskaičiuoti.
Antrasis veiksnys yra tai, kaip greitai nuotėkis aptinkamas ir kaip aiški yra atsakomybė. Jei duomenų tvarkymo sutartyje jau nurodyta, ką tiekėjas turi daryti ir per kokį laikotarpį jį pranešti, tai sutaupo šioje situacijoje tyrinėjimo laiko. Jei tokios sutarties nėra, pats incidentas užima daugiau laiko, kad būtų suprasta, dar prieš pradedant taisyti.
Trečiasis veiksnys yra tai, ar jūsų organizacija jau turi nustatytą procesą: nustatytas veiksmų planą, kontaktų sąrašą ir vietą, kur registruojami ankstesni incidentai. Be to reikia iš naujo sugalvoti, kas ką daro kiekvieno incidento metu, o tai reikalauja laiko ir ramybės, kurie tą akimirką yra brangūs.
Pats pranešimas yra nemokamas, pasiruošimas – ne
Svarbu šį skirtumą išlaikyti aiškų: pareiga pranešti Duomenų apsaugos institucijai nekainuoja, tačiau gerai vykdyti tą pranešimą – kainuoja. Žmonėms, kurie turi nuspręsti, ar incidentas turi būti praneštas per nustatytą terminą ir kas jame turėtų būti, reikia laiko. Aprašas to, kas turėtų būti pranešime ir kokie dokumentai paprastai būtini, pateiktas žinių banke su paaiškinimais pagal temą.
Daugelis šių išlaidu yra ne vienkartinės, o pasikartojančios, tiesiog todėl, kad duomenų pažeidimai nėra planuojami ir gali pasikartoti net po metų. Todėl kai kurios organizacijos pasirenka leisti laikrodžiui, žingsniams ir registracijai veikti sistemoje, o ne kiekvieną kartą tai rankiniu būdu rekonstruoti. Kokia tokia prenumerata kainuoja ir ką ji apima, galite pamatyti adresu kainodaros puslapis su kiekvienos dalies suskaidymu.
Iš anksto atliekama registracija sutaupo vėliau
Didžiausia išlaidu santaupa paprastai yra ne pačiame incidente, o jo paruošoje: aktualus duomenų tvarkymo registras, aiškios sutarys su tiekėjais ir nustatytas kontaktinis asmuo užtikrina, kad duomenų pažeidimas trauktų mažiau laiko įvertinti ir sutvarkyti. Dažnai užduodami klausimai apie tai, kas yra privaloma ir kas ne, rinkti puslupyje atsakymai į klausimus, kuriuos taip pat užduoda kiti verslo savininkai.
Ar norėtumėte gauti pirmąjį supratimą apie savo situaciją? Nemokama greita diagnozė per porą klausimų suteikia orientaciją, ir jums nereikia kurti paskyros.