Būtība: pats paziņošanas pienākums nemainās
Paziņošanas pienākums datu noplūdes gadījumā ir noteikts pašā GDPR ar zināmo 72 stundu termiņu pēc atklāšanas, sniedzot informāciju Personīgo datu pārvaldei, un ar atsevišķu izvērtējumu, vai pašiem personīgo datu subjektiem jāsniedz informācija. Šis teksts ir Eiropas regulas sastāvdaļa un nemainās katru gadu. Cik zināms, šogad nav regulas grozījumu, kas ietekmētu paziņošanas pienākumu vai termiņu. Tas, kas mainās, ir skaidrojums apkārt: tas, kā EDPB un Personīgo datu pārvalde piepilda likumā noteiktās vispārējās normas, un tas, kā cits normatīvais regulējums nokļūst blakus GDPR. MKB uzņēmumam tas bieži ir nozīmīgāks nekā pati likuma teksts, jo tieši šis skaidrojums nosaka, kad incidents tiek uzskatīts par paziņojamiem.
Tā nav jauna data vai jauns artikuls, kas jāatceras, bet gan trīs novirzes, kas skar praksi: stingrākas normas par to, kas tiek uzskatīts par datu noplūdi, vairāk sakritības ar nozares regulējumu, piemēram, NIS2, un cits realitāte, jo incidenti arvien biežāk notiek pie SaaS pakalpojuma sniedzēja, nevis pašā uzņēmumā.
Normes, kas pārceļ robežu
GDPR pati apraksta datu noplūdi vispārējās izteiksmē: drošības pārkāpums, kas noved pie personīgo datu iznīcināšanas, zaudēšanas, izmaiņas vai neatļautas izpaušanas. To, kas konkrēti ietilpst šajā jēdzienā, gadu pēc gada turpina precizēt EDPB vadlīnijas un Personīgo datu pārvaldes savs skaidrojums. Pēdējos gadus ir skaidrs bijis par robežjutīgiem gadījumiem: nepareizi nosūtīts e-pasts ar pielikumu, darbinieks, kurš pieslēdzas nepareizajam kontam, vai rezerves kopija, kura uz laiku nav pieejama. Šādas situācijas agrāk biežāk tika norakstītas kā iekšēja problēma; normu virziens ir tas, ka pat bez darbinieka ļaunās nolūkmes var būt paziņojams incidents. Direktoram vai birojuma vadītājam tas nozīmē, ka vērtējumu var veikt reti pēc intuīcijas un biežāk pēc noteiktas soļu shēmas. Kas šaubās, vai konkrēts gadījums ietilpst paziņošanas pienākumā, var to izstrādāt dažu jautājumu laikā, izmantojot gdpria.eu lēmuma koku. dažos jautājumos noskaidrot, vai kaut kas ir paziņojama datu noplūde.
Sakritība ar citu normatīvo regulējumu
Otrā novirze nav pašā GDPR, bet gan normatīvajā regulējumā, kas nokļūst blakus. Organizācijām, kas ir daļa no vai piegādā nozarēm, kas ietilpst tādu noteikumu kā NIS2 darbības jomā, drošības incidents var vienlaikus ietilpst divos paziņošanas režīmos: GDPR personīgo datu jomā un nozares paziņošanas pienākums pašai pakalpojumu sniegšanai. Tas nepieskaras ikvienam MKB uzņēmumam, bet tā skar instalācijas uzņēmumus, IT pakalpojumu sniedzējus un citas puses, kas darbojas kā piegādātāji lielākām, regulētām organizācijām. Šai grupai ir ieteicams pārbaudīt, vai klients vai darba devējs līgumos ir iekļāvis papildu paziņošanas noteikumus, papildus tam, kas jau ir datu verifikācijas līgumā. Kam vēlas uzzināt, kas tieši šādā līgumā teikts par paziņošanas termiņiem un atbildībām, atrodams fons pieejams. zināšanu bāzē ar paskaidrojumiem par katru tēmu.
Prakse pārvietojas uz SaaS pakalpojuma sniedzēju
Trešā izmaiņa ir mazāk normatīvā jautājuma nozīmē un vairāk faktiskās attīstības nozīmē: pieaugošā daļa no negadījumiem, ar kuriem saskaras Nīderlandes uzņēmumi, rodas nevis tajā, bet pie programmatūras piegādātāja, ko viņi izmanto grāmatvedībai, personāla pārvaldei vai klientu attiecībām. Tomēr atbildība par to novērtēšanu, vai tas rada paziņojamu datu noplūdi, paliek pie uzņēmuma, kas datus laiž apstrādāt, nevis automātiski pie piegādātāja. Piegādātājs, kas pats paziņo par negadījumu, neatbrīvo pasūtītāju no paša novērtējuma. Tas padara to vēl svarīgāku, lai iepriekš noteiktu, kā un kad piegādātājs paziņo par negadījumu, un lai šo vienošanos atrastu arī savā pārskatā par izmantotajiem rīkiem. Uzņēmumiem, kuriem šis pārskats vēl nav pilnīgs, to var veidot ar palīdzību paskaidrojums par to, kā sistēmu piepilda no zināmiem rīkiem.
Ko tas nozīmē jūsu uzņēmumam
Lielākajai daļai MKB uzņēmumu šogad nemainās pati likumā noteiktā termiņa. Tas, kas ir piemērots: periodiski pārbaudīt savas negadījumu ieklausīšanas pieejas saskaņā ar jaunākajiem pamatnostādnēm, pārbaudīt, vai pasūtītājs nosaka papildu paziņošanas vienošanos, un ar piegādātājiem skaidri vienoties, kurš negadījumu novērtē pirmais. Neviens no šiem punktiem neprasīs juridisko pētījumu, bet jau noteiktu laiku, lai uz tiem paskatītos.
Vēlaties ātri redzēt, kur jūsu uzņēmums atrodas šajā jautājumā? Jautājumi gdpria.eu bezmaksas ātro skeneri sniedz pirmo norādi, un bieži uzdotie jautājumi par datu noplūdēm un paziņošanas pienākumu atradīsit īsākās atbildes uz saistītiem jautājumiem.