Istota: sam obowiązek powiadomienia się nie zmienia
Obowiązek powiadomienia w przypadku naruszenia danych znajduje się w samym RODO, ze znanym terminem 72 godzin od wykrycia w kierunku Urzędu Ochrony Danych Osobowych, oraz oddzielną ocenę, czy również osoby, których dane dotyczą, muszą być poinformowane. Tekst ten jest częścią europejskiego rozporządzenia i nie zmienia się co roku. O ile wiadomo, w tym roku nie ma zmian samego rozporządzenia, które dotyczą obowiązku powiadomienia lub terminu. To, co się zmienia, to objaśnienia wokół tego: jak EUWG i Urząd Ochrony Danych Osobowych wypełniają ogólne normy z ustawy, i jak inne przepisy się obok RODO układają. Dla przedsiębiorstwa MŚP jest to często bardziej istotne niż sam tekst ustawy, ponieważ właśnie te objaśnienia określają, kiedy incydent uważa się za podlegający obowiązkowi powiadomienia.
Nie chodzi tutaj o nową datę lub nowy numer artykułu do zapamiętania, ale o trzy przesunięcia, które dotyczą praktyki: bardziej ścisłe wytyczne dotyczące tego, co liczy się jako naruszenie danych, większe zbieżności z ustawodawstwem sektorowym, takim jak NIS2, i inną rzeczywistość, ponieważ incydenty coraz częściej powstają u dostawcy SaaS zamiast w samym przedsiębiorstwie.
Wytyczne przesuwające granicę
Samo RODO definiuje naruszenie danych w kategoriach ogólnych: naruszenie bezpieczeństwa prowadzące do zniszczenia, utraty, zmiany lub nieautoryzowanego ujawnienia danych osobowych. To, co konkretnie pod to wpada, jest rok za rokiem dalej wypełniane wytycznymi EUWG i własnymi objaśnieniami Urzędu Ochrony Danych Osobowych. Na przykład w ostatnich latach pojawiła się większa jasność dotycząca przypadków graicznych: wysłana przez pomyłkę wiadomość e-mail z załącznikiem, pracownik logujący się na błędne konto lub kopia zapasowa, która tymczasowo jest niedostępna. Takie sytuacje wcześniej częściej traktowano jako kwestię wewnętrzną; kierunek w wytycznych jest taki, że nawet bez złych intencji pracownika może dojść do incydentu podlegającego obowiązkowi powiadomienia. Dla dyrektora lub kierownika biura oznacza to, że ocena może być dokonana rzadziej na podstawie przeczucia i bardziej na podstawie ustalonego planu działania. Kto wątpi, czy konkretny przypadek podlega obowiązkowi powiadomienia, może to sprawdzić w kilku pytaniach za pośrednictwem drzewa decyzyjnego gdpria.eu, w kilka pytań sprawdzić, czy coś jest naruszeniem danych podlegającym obowiązkowi powiadomienia.
Zbieżność z innymi przepisami
Drugie przesunięcie nie dotyczy samego RODO, ale ustawodawstwa, które się obok niego pojawia. Dla organizacji, które są częścią lub dostarczają usługi sektorom podlegającym ustawodawstwu takiemu jak NIS2, incydent bezpieczeństwa może jednocześnie podlegać dwóm reżimom powiadamiania: RODO dla danych osobowych i sektoralnemu obowiązkowi powiadomienia dla samej świadczenia usług. To nie dotyczy każdego przedsiębiorstwa MŚP, ale obejmuje przedsiębiorstwa instalacyjne, dostawców usług IT i inne strony, które działają jako dostawca dla większej, regulowanej organizacji. Dla tej grupy rozsądnie jest sprawdzić, czy klient lub zleceniodawca dodał już do umowy dodatkowe umowy powiadomienia obok tego, co już znajduje się w umowie przetwarzania. Kto chce sprawdzić, co dokładnie w takiej umowie jest napisane o terminach powiadomienia i odpowiedzialności, znajduje informacje w baza wiedzy z wyjaśnieniami dla każdego tematu.
Praktyka przesuwając się w kierunku dostawcy SaaS
Trzecia zmiana jest mniej kwestią regulacji, a bardziej rozwojem faktycznym: rosnąca część incydentów, z którymi borykają się holenderskie firmy, nie powstaje u nich samych, ale u dostawcy oprogramowania, którego używają do księgowości, spraw pracowniczych lub kontaktu z klientami. Odpowiedzialność za ocenę, czy incident ten skutkuje obowiązkowym powiadomieniem naruszenia, pozostaje jednak po stronie firmy, która zleca przetwarzanie danych, a nie automatycznie po stronie dostawcy. Dostawca, który sam zgłosi incident, nie zwalnia zleceniodawcy z własnej oceny. To czyni jeszcze ważniejszym ustalenie z góry, jak i kiedy dostawca zgłasza incident, oraz odnalezienie tej umowy w ramach własnego przeglądu używanych narzędzi. Firmy, które nie mają jeszcze pełnego przeglądu, mogą go opracować z pomocą wyjaśnienia, jak system jest zasilany ze znanych narzędzi.
Co to oznacza dla Ciebie
Dla większości firm MKB w tym roku nic się nie zmienia w samym ustawowym terminie. To, co jest mądre: okresowo sprawdzić własne podejście do incydentów w stosunku do najnowszych wytycznych, sprawdzić, czy zleceniodawca ustala dodatkowe umowy dotyczące powiadomień, i wyjaśnić sobie z dostawcami, kto ocenia incident jako pierwszy. Żaden z tych punktów nie wymaga studium prawniczego, ale wymaga ustalonego momentu, aby się temu przyjrzeć.
Chcesz szybko zobaczyć, gdzie stoi Twoja firma w tej kwestii? Pytania w bezpłatnej szybkiej ocenie gdpria.eu dają pierwsze wskazanie, a w często zadawanych pytaniach o naruszenia i obowiązkowe powiadomienia znajdziesz krótsze odpowiedzi na powiązane pytania.