Kļūda: gaidīt, līdz viss būs skaidrs
Visizplatītākā kļūda datu noplūdes paziņošanā ir nevis pati noplūde, bet brīdis, kad organizācija nolemj paziņot. Daudzi uzņēmumi vispirms vēlas precīzi uzzināt, kas noticis, kādi dati ir iesaistīti un cik cilvēki ir skārti, pirms informē Datu aizsardzības iestādi. Tas šķiet piesardzīgi, taču GDPR prasa kaut ko citu: 72 stundu paziņošanas termiņš sākas tiklīdz jūs apzināties datu noplūdi, nevis tiklīdz jums ir sakopoti visi fakti.
Rezultāts ir tāds, ka pulkstenis jau lielā mērā ir izbeidzies, kad organizācijas iekšienē visi vienojas par to, kas tieši noticis. Tas parasti nav naidīguma jautājums, bet neziņas par to, kā šis termiņš darbojas: GDPR atļauj papildināt paziņojumu posmos tieši tāpēc, ka pilna pārliecība bieži vien trīs dienu laikā nav iespējama.
Kāpēc šī kļūda rodas tik bieži
Sajukums rodas tāpēc, ka cilvēki jaucē datu noplūdi un paziņojamām datu noplūdēm. Ne katrs incidents ar personiskajiem datiem ir jāpaziņo uzraudzības iestādei; GDPR pie tam nošķir, vai pastāv risks personu tiesībām un brīvībām. Uzņēmumi, kuri šo atšķirību nav skaidri nofiksējuši, bieži vien iet pārāk tālu divos virzienos: tie gandrīz neko neparīko bailēs no pūļa, vai arī vispirms cenšas iegūt pilnu ainu, pirms drosmi paziņot. Abi atspoguļojumi izriet no nenoteiktības par to, ko likums precīzi prasa, un šo nenoteiktību ar dažiem fiksētiem jautājumiem bieži vien var lielā mērā novērst. Lēmumu koks vietnē piecās jautājumos parāda, kur jūs stāvat tika izveidots tam: pamatojoties uz dažiem konkrētiem jautājumiem, tas parāda, vai notikums, iespējams, ietilpst paziņošanas pienākumā, bez tam, ka jums vispirms būtu nepieciešamas juridiskas zināšanas.
Otrā kļūda, kas bieži parādās kopā
Cieši saistīta ar pārāk vēlu paziņošanu ir pašu administrācijas aizmiršana. Arī datu noplūde, kuru jūs galu galā neparīkojat uzraudzības iestādei, ir jāieverc iekšēji: kas noticis, kāpēc paziņojat vai neparīkojat, un kādi pasākumi veikti. Daudza organizācijas reģistrē tikai incidentus, kurus faktiski paziņojušas, un pārējus atstāj nedokumentētus. Tādējādi pietrūkst tieši tā apskats, kas nepieciešams, lai parādītu, ka novērtējums ir pieņemts apzināti un pamatojoties uz pareizajiem kritērijiem, ja par to vēlāk tiks jautāts.
Kā panākt, lai pulkstenis darbotos jūsu labā
72 stundu termiņš nav paredzēts, lai pārsteidzētu organizācijas, bet lai ātri varētu brīdināt personas, ja tas nepieciešams. Tas darbojas labāk, ja iepriekš ir skaidrs, kas organizācijā paziņo par noplūdes aizdomām, kam, un kādi pamatjautājumi tiek standarta kārtībā uzdoti. Bez šiem nolīgumiem dārgais laiks tiek iztērēts, noskaidrojot, kurš īsti par to ir atbildīgs, kamēr pulkstenis jau iet.
Tas palīdz arī iepriekš uzzināt, kuri sistēmas un piegādātāji apstrādā personiskos datus, lai jūs pēc piegādātāja paziņošanas uzreiz varētu noteikt, par kādiem datiem un kādām personām ir runa. Aktuāls pārskats par izmantotajiem SaaS rīkiem un nolīgumiem par tiem, piemēram, apstrādes reģistrā, kas norādīts zināšanu bāzē ar paskaidrojumiem par katru tēmu praktiski ietaupa daudz izmeklēšanas darba brīdī, kad tas ir svarīgi.
Ko jūs varat iepriekš dokumentēt
Būtība ir tāda, ka paziņojumam nav jābūt pilnīgam, lai tas būtu laikā. Pirmais paziņojums ar zināmajiem faktiem, kam seko papildinājums, kad izrādās vairāk skaidras, atbilst tam, ko GDPR atļauj. Organizācijas, kuras to iepriekš zina un kurām ir noliets īss, noteikts process, mazāk iespējams, ka paklūps kļūdā, gaidot pārāk ilgi. Tas arī palīdz ar skaidrību par to, kur atrodas sensitīvie dati un kā tie ir aizsargāti, lai aizdomu par noplūdi varētu ātrāk novērtēt pēc smaguma pakāpes; lapā par kā dati sistēmā ir aizsargāti tiek dots attēls par to.
Vai konkrēts incidents jūsu organizācijā ir pārskatāms un kā to vislabāk dokumentēt, galu galā ir lēmums, ko pieņemat jūs, iespējams, ar juristu vai konsultējoties ar Datu pārvaldības iestādi. gdpria.eu sniedz šajā sakarā norādījumus un strukturētu sākotnējo novērtējumu, nevis juridiskas konsultācijas.
Vai vēlaties jau iepriekš uzzināt, kur jūsu organizācijā ir jāpievērš uzmanība? Bezmaksas ātro pārbaudi un atbildes uz biežāk uzdotajiem jautājumiem sniedz dažu minūšu laikā sākotnējo priekšstatu, bez konta izveidošanas nepieciešamības.