Datu pārkāpuma gadījumā jums pamatā ir nepieciešami trīs veidu dokumenti: iekšējā reģistrācija par to, kas noticis, novērtējums, vai paziņošana Personīgo datu aizsardzības iestādei ir obligāta, un — ja tā ir — pats paziņojums ar tā pamatojumu. Ja paziņošana pienākas arī datu subjektiem, tad šī komunikācija arī tiek uzskatīta par dokumentu, kas jāsaglabā.
Detaļa, kas šajā tēmā visbiežāk tiek pārskatīta, ir iekšējā reģistrācija. Pat ja pēc novērtējuma jūs nolemjat, ka datu pārkāpums nav jāpaziņo Personīgo datu aizsardzības iestādei, GDPR joprojām prasa dokumentēt pašu incidentu: kas noticis, kādi dati tika skarts, kādas bija iespējamās sekas un kāpēc jūs nonācāt pie šāda secinājuma. Daudzi uzņēmēji uzskata, ka dokumentācija ir nepieciešama tikai tad, kad par to jāpaziņo. Tas nav tas, ko regulā noteikts.
Incidents iekšējā reģistrācijā
Šis ir dokuments, kas jāpastāv ikvienā datu pārkāpuma gadījumā, neatkarīgi no jūsu novērtējuma rezultāta. Tajā aprakstīts, kad jūs atklājāt incidentu, kas precīzi noticis, kādas datu kategorijas un kuri datu subjekti tika skarts, un kādi pasākumi jūs veicāt, lai ierobežotu sekas. Inspektori pārbaudes laikā aplūko ne tikai paziņojumus, kas izdarīti, bet arī to, vai organizācija var parādīt, kā iepriekšējie incidenti tika novērtēti. Bez šī dokumenta šis pamatojums nepastāv.
Novērtējums par to, vai paziņošana ir nepieciešama
Bez faktiskas reģistrācijas ir nepieciešams otrs dokuments: pats novērtējums. Kādi riski jūs redzējāt datu subjektiem un uz kā pamata jūs secinājāt, ka paziņošana ir vai nav nepieciešama? GDPR šeit kā kritēriju izmanto risku datu subjektu tiesībām un brīvībām. Šī novērtējuma dokumentēšana ir ne tikai ērti jums vēlāk, tas ir arī dokuments, ar kuru jūs varat parādīt, ka tika pieņemts apzināts lēmums, nevis gadījums. Ikviens, kurš šaubās, vai konkrēts incidents jāpaziņo, atradīs pie lēmuma koka, kas dažos jautājumos dod sākuma norādi sākumpunktu, neatstājoties no paša novērtējuma.
Paziņojums Personīgo datu aizsardzības iestādei
Ja secinājums ir tāds, ka paziņošana ir nepieciešama, tad paziņojums pats par sevi kļūst par dokumentu: kas jums paziņots, kad un ar kādiem datiem. GDPR šim nolūkam nosaka 72 stundu termiņu no brīža, kad jūs uzzinājāt par datu pārkāpumu. Saglabājiet ne tikai paziņojuma apstiprinājumu, bet arī faktu versiju, kā tā bija zināma paziņošanas brīdī — tā vēlāk var tikt papildināta, ja par apjomu kļūst skaidrāk.
Komunikācija ar datu subjektiem
Dažos gadījumos ir arī jānosūta ziņojums pašiem datu subjektiem, piemēram, ja viņiem draudošais risks tiek uzskatīts par nozīmīgu. Arī šis ziņojums — kas precīzi komunikācijas saturs un kam tas tika nosūtīts — ir dossijas daļa. Tas nav fiksēts veidlapa, kas visiem datu pārkāpumiem ir vienāda; saturs ir atkarīgs no tā, kas noticis un kādi dati bija iesaistīti.
Nolīgumi ar piegādātājiem un datu apstrādātājiem
Ja datu pārkāpums notiek pie puses, kas jūsu vārdā apstrādā datus, piemēram, grāmatvedības programma vai viesošanas pakalpojums, tad nolīgums, kas par to ir noslēgts datu apstrādes līgumā, arī jāiekļauj: vai šī puse jums paziņo par incidentiem un kādā termiņā? Ikviens, kurš par to vēl nav konkrēti izšķīries, var atrast zinātnē, kur tas ir detalizēts katrai situācijai ieskanu, lai datu apstrādes līgumus šajā jautājumā pārskatītu.
Kāpēc šis dossiers ir atsevišķs no jūsu drošības
Dokumentācija par datu pārkāpumu atšķiras no pasākumiem, kurus jūs iepriekš veicāt, lai novērstu datu pārkāpumu, taču abi ir savstarpēji saistīti: uzraudzības iestāde var jautāt, kā izskatījās jūsu drošība incidenta brīdī. Kā praksē tiek dokumentēta datu drošība, varat uzzināt vietnē pamatojums par atbilstošiem drošības pasākumiem.
Tas tagad jau kārtībā
Zināšanu bāze un lēmumu koks ir bezmaksas pieejami bez konta. Ja vēlaties, lai incidentu reģistrācija, termiņi un šabloni būtu strukturēti vienā vietā, nevis katru reizi no jauna meklējami, tad tieši tam ir paredzēts gdpria.eu abonements. Komerciaļais konts tiek izveidots jūsu KvK un PVN numura vārdā, pieslēgts organizācijai, nevis vienam e-pasta adresam.
Ja šobrīd jums ir jānovērtē iespējams datu pārkāpums, vispirms izejiet cauri bezmaksas ātrai pārbaudei vai izlasiet zināšanu bāzes tēmas. Skaidrojumam par to, kas precīzi attiecas uz jūsu situāciju, juridisks konsultants vai Personisko datu pārvaldi joprojām ir ieteicamais kontaktpunkts.