VDAR nosaka, ka datu pārkāpums, kas var radīt risku datu subjektiem, ir jāpaziņo Personas datu pārvaldības iestādei tiklīdz jūs par to uzzinājāt. Šim nolūkam noteiktais termiņš ir īss: 72 stundas. Ja jūs neatcerat vai atcerat pārāk vēlu, tad šajā punktā jūs neatbilst VDAR prasībai. Tas, ko tas konkrēti nozīmē, ir atkarīgs no situācijas, un redakcijas līmenī mēs par to neuzskatām: tas ir jūsu, jūsu jurista vai uzraudzības iestādes lēmums.
Tomēr var aprakstīt: VDAR piešķir Personas datu pārvaldības iestādei pilnvaras veikt izmeklēšanu par datu pārkāpumu, kas nav paziņots vai paziņots pēc termiņa, un uz to reaģēt. Kāda šī reakcija ir un vai tā notiek, nav noteikts un nav paredzams. Jums kā uzņēmējam jautājums tad nav tik daudz par to, "kāds ir sods", bet par to, "ko man jānoregulē, lai savlaicīgi varētu izvērtēt, vai paziņošana ir nepieciešama".
Ko paziņošanas pienākums precīzi prasa
VDAR izšķir starp paziņošanu uzraudzības iestādei un paziņošanu pašiem datu subjektiem. Pirmā ir aktuāla, ja datu pārkāpums var radīt risku; otrā, smagāka varianta, ir aktuāla, ja pastāv augsts risks. Abas izvērtēšanas ir jāveic ātri, un 72 stundu uzraudzības iestādei noteiktais termiņš sākas no momenta, kad jūs esat atklājuši datu pārkāpumu, nevis no momenta, kad tas ir notikis. Kas vēl nav izteiksmīgi diferenciējis šo atšķirību, var to izskatīt, uzdodot dažus jautājumus: piecās jautājumos parāda, kur jūs stāvat sniedz tiešu norādi, vai paziņošana ir nepieciešama.
Lielā mērā vēlās paziņošanas problēma parasti nav negatīvs nolūks, bet laiks, kas tiek zaudēts neskaidrības dēļ: kas to pārņem, vai tas tiešām ir datu pārkāpums VDAR nozīmē, un vai mums vispār ir pārskats par sistēmām, kas satur personas datus. Pēdējais ir tieši tas, kur verwerkingsregisters (datu apstrādes reģistrs) pierāda savu vērtību: bez pārskata par jūsu datu apstrādi, datu pārkāpuma apjoma noskaidrošana nepamatoti patērē jums pieejamās 72 stundas.
Arī neatcelt jums jāspēj pamatot
Mazāk zināms punkts ir tas, ka VDAR arī prasa dokumentēt, kad jūs nolemjat neatcelt datu pārkāpumu un kāpēc. Pamatošanas pienākums attiecas uz pašu izvērtēšanu, nevis tikai uz paziņošanu, ja tā notiek. Datu pārkāpums, kuru jūs novērtējat kā "bez riska datu subjektiem" un kuru jūs nekur nedokumentējat, ir grūti pamatot retrospektīvi, ja par to tiks vaicāts. EDPB vadlīnijas šeit sīki aplūko; avots un skaidrojums ir pieejami zināšanu banka pēc tēmas.
Sekas, kas pārsniedz uzraudzības iestādi
Ārpus attiecībām ar Personas datu pārvaldības iestādi ir vēl divas vietas, kur paziņošanas palaišana var būt nozīmīga. Pirmā ir datu apstrādes vienošanās: ja jūs apstrādājat personas datus klienta vajadzībām, tajā bieži ir sava paziņošanas laika frakcija, dažkārt īsāka par normatīvo 72 stundām, un šis termiņš tad papildus VDAR. Otrā ir pats datu subjekts: cilvēks, kura dati ir noplūduši un kas par to uzzina pats, nevis no jūsu paziņojuma, nevar atgūt šo uzticību neatkarīgi no jebkādas juridiskas novērtēšanas.
Arī apdraudējums vai iepirkuma puse, kas vēlāk jautā, kā datu pārkāpums tika risināts, skatās uz to, vai tas tika laicīgi izvērtēts un, ja nepieciešams, paziņots. Tas nav tas pats, kas sods, bet tas pieskaras tam, kas bieži vien ir pamatojums privātuma kārtības labošanai: parādīt, ka pastāv process, nevis tikai tas, ka nekad neko nav aizmirsusi.
Kāpēc pulkstenis bieži ir šaurais vietas
Praksē bieži vien nav trūkuma gribas ziņot, bet ātruma, ar kādu organizācija var konstatēt, kas ir noticis, kādi dati ir skartie un kas ir iesaistīts. Sistēma, kas iedarbina 72 stundu termiņu, tiklīdz tiek reģistrēts iespējams noplūde, novērš, ka šis laiks tiek izšķērdēts iekšējās diskusijās. Kā šāda sistēma ir uzbūvēta un uz kādu informāciju tā ir balstīta, ir aprakstīts lapā par no kurienes nāk informācija.
To, vai noteikts incidents jūsu gadījumā ir zināmais pienākums, kāds precīzi ir termiņš jūsu gadījumā un kādi ir sekas, ja paziņojums nav izdarīts, nevar atbildēt vispārējā veidā. Šāda novērtējuma veikšanai piemērot likumiskie padomi vai pati Datu Pārvaldības Iestāde.
Vēlaties vispirms pats iegūt ieskatu par savu stāvokli, bez jebkādiem pienākumiem? Bezmaksas ātrajā pārbaudē un zināšanu bāzē ir sniedzams pirmais norādījums par katru tēmu, ieskaitant norādi uz oficiālo tekstu.