Duomenų saugumo pažeidimo atveju iš esmės jums reikia trijų rūšių dokumentų: vidinio incidento registravimo, kuriame aprašyta, kas įvyko; įvertinimo, ar pranešimas Duomenų apsaugos institucijai yra privalomas; ir – jei taip – paties pranešimo su jo pagrindžimu. Jei prie to prisideda pranešimas asmenims, kurių duomenys pažeisti, ir tas komunikavimas taip pat turi būti dokumentuotas.
Labiausiai šioje temoje nepastebiamas smulkmenų yra vidinis incidento registravimas. Net jei atlikus įvertinimą nusprendžiate, kad duomenų saugumo pažeidimo pranešimas Duomenų apsaugos institucijai nėra privalomas, BDAR vis tiek reikalauja registruoti patį incidentą: ką įvyko, kurie duomenys buvo paveikti, kokios buvo galimos pasekmės ir kaip priėjote prie savo išvados. Daugelis verslininkų mano, kad rašytinė dokumentacija reikalinga tik tada, kai reikia pranešti. Tai neatitinka to, ką nurodo reglamentas.
Vidinis incidento registravimas
Tai dokumentas, kuris turi egzistuoti bet kurio duomenų saugumo pažeidimo atveju, nepriklausomai nuo jūsų įvertinimo rezultato. Jame aprašoma, kada jūs incidentą atradote, kas tiksliai nutiko, kurios duomenų kategorijos ir kurie asmenys buvo paveikti, ir kokias priemones jūs paėmėte pasekmėms sumažinti. Inspektavimo metu priežiūros institucijos žiūri ne tik į gautus pranešimus, bet ir į tai, ar organizacija gali parodyti, kaip buvo įvertinti ankstesni incidentai. Be šio dokumento tas pagrindimas neegzistuoja.
Pranešimo būtinumo įvertinimas
Be faktinio registravimo reikalingas antras dokumentas: pats svarstymas. Kokius rizikus jūs matėte asmenims, kurių duomenys pažeisti, ir remdamiesi kuo priėjote išvadą, kad pranešimas buvo ar nebuvo reikalingas? BDAR vertina asmenų, kurių duomenys pažeisti, teisių ir laisvių riziką kaip pagrindinį kriterijų. Šio vertinimo dokumentavimas yra ne tik patogu jums pačiam vėliau, bet ir dokumentas, kuriuo galite parodyti, kad buvo priimtas sąmoningas sprendimas, o ne atsitiktinumas. Tie, kurie abejoja, ar konkretaus incidento pranešimas yra privalomas, randa sprendimų medį, kuris keliomis klausimais pateikia pirmą nuorodą išeities tašką, nepakeitjant jūsų paties įvertinimo.
Pranešimas Duomenų apsaugos institucijai
Jei išvada yra tokia, kad pranešimas tikrai reikalingas, prie dokumentų prisideda ir pats pranešimas: ką jūs pranešėte, kada ir su kokiais duomenimis. BDAR nurodo 72 valandų terminą nuo to, kai sužinojote apie duomenų saugumo pažeidimą. Išsaugokite ne tik pranešimo patvirtinimą, bet ir faktų versiją, kaip ji buvo žinoma pranešimo metu – ji gali vėliau papildyta, jei bus nustatyta daugiau apie apimtį.
Komunikacija su asmenimis, kurių duomenys pažeisti
Kai kuriuose atvejiuose turi būti ir žinutė patiems asmenims, kurių duomenys pažeisti, pavyzdžiui, kai jų rizika yra vertinama kaip reikšminga. Ir tas pranešimas – kas tiksliai buvo pasiųsta ir kam – yra dossier dalis. Tai nėra fiksuotas šablonas, kuris būtų vienodas kiekvienam duomenų saugumo pažeidimui; turinys priklauso nuo to, kas įvyko ir kurie duomenys buvo paveikti.
Sutartys su tiekėjais ir duomenų procesoriais
Jei duomenų saugumo pažeidimas įvyksta pas šalį, kuri jūsų duomenis apdoroja, pavyzdžiui, buhalterinės apskaitos programą ar hosting paslaugų teikėją, tada sutartis, nustatyta duomenų tvarkymo sutartyje, taip pat turi būti įtraukta: ar ta šalis praneša jums apie incidentus ir per kiek laiko? Kas dar to nėra aiškiai nustatęs, gali žinių bazėje, kur tai detalizuojama pagal situaciją rasti palydą, kad peržiūrėtų duomenų tvarkymo sutartis šiuo klausimu.
Kodėl šis dossier yra atskiras nuo jūsų saugumo
Dokumentacija apie duomenų saugumo pažeidimą nuo priemonių, kurias iš anksto imtės, skiriasi, tačiau šios sritys yra susijusios: priežiūros institucija gali paklausti, kaip atrodė jūsų saugumas incidento metu. Kaip duomenų apsauga praktikoje dokumentuojama, galite perskaityti per pastabas dėl tinkamų duomenų apsaugos priemonių.
Tai turėti sutvarkyta dabar
Žinių bankas ir sprendimų medis nemokamai prieinami be paskyros. Jei norite turėti incidentų registrą, terminus ir jiems skirtuosius šablonus sisteminai vienoje vietoje, o ne kiekvieną kartą iš naujo ieškoti, tai yra tai, kam skirtas gdpria.eu prenumerata. Verslo paskyra kuriate pagal jūsų KvK ir PVM numerį, susijusi su organizacija, o ne su vienu el. pašto adresu.
Jei šiuo metu turite galimą duomenų saugumo pažeidimą, kurio reikia įvertinti, pirmiausia atlikite nemokamą greitą patikrą arba perskaitykite žinių banko temas. Norėdami gauti išsamų paaiškinjimą, kas tiksliai taikytina jūsų situacijai, teisininkас arba Duomenų apsaugos tarybos lieka tinkamu kontaktiniu asmeniu.