Błąd: czekanie aż wszystko będzie jasne
Najczęstszy błąd przy zgłaszaniu naruszenia bezpieczeństwa danych to nie samo naruszenie, ale moment, w którym organizacja decyduje się na zgłoszenie. Wiele firm chce najpierw dokładnie wiedzieć, co się stało, jakie dane są objęte i ilu ludzi dotyczy, zanim zawiadomi Urząd Ochrony Danych Osobowych. To wydaje się ostrożne, ale RODO wymaga czegoś innego: termin zgłoszenia 72 godziny zaczyna biec od momentu, gdy zdacie sobie sprawę z naruszenia, a nie od momentu, gdy zbierzecie wszystkie fakty.
Konsekwencją jest to, że większość czasu upłynie, zanim w organizacji wszyscy będą zgodni na temat tego, co dokładnie się stało. Zwykle nie jest to kwestia braku woli, ale nieznajomości sposobu działania tego terminu: RODO pozwala na uzupełnienie zgłoszenia etapami, dokładnie dlatego, że pełną pewność często nie można uzyskać w ciągu trzech dni.
Dlaczego ten błąd występuje tak często
Zamieszanie wynika z tego, że ludzie mieszają naruszenie bezpieczeństwa danych z naruszeniem wymagającym zgłoszenia. Nie każdy incydent z danymi osobowymi musi zostać zgłoszony do organu nadzoru; RODO rozróżnia, czy istnieje ryzyko dla praw i wolności osób, których dane dotyczą. Firmy, które nie mają tego rozróżnienia wyraźnie, zwykle idą w dwie skrajne strony: nie zgłaszają prawie nic z obawy przed kłopotami, lub próbują najpierw uzupełnić całe zdjęcie, zanim będą się ośmielać złożyć zgłoszenie. Obie reakcje wynikają z niepewności co do tego, co dokładnie wymaga ustawy, a tę niepewność można w dużej mierze wyeliminować przy użyciu kilka stałych pytań. Drzewo decyzyjne na w pięciu pytaniach zobacz, gdzie stoisz zostało stworzone w tym celu: pokazuje ono na podstawie kilku konkretnych pytań, czy zdarzenie prawdopodobnie podlega obowiązkowi zgłoszenia, bez konieczności posiadania wcześniej wiedzy prawniczej.
Drugi błąd, który zwykle się z tym wiąże
Ściśle związane z zbyt późnym zgłoszeniem jest zapomnienie o własnej dokumentacji. Również naruszenie bezpieczeństwa danych, które ostatecznie nie zgłaszacie organowi nadzoru, powinno być wewnętrznie zarejestrowane: co się stało, dlaczego stwierdziliście, że należy lub nie należy zgłosić, i jakie zostały podjęte środki. Wiele organizacji rejestruje tylko incydenty, które faktycznie zgłosiły, a resztę pozostawia nieudokumentowaną. W ten sposób brakuje dokładnie przeglądu, który jest potrzebny, aby wykazać, że ocena została dokonana świadomie i na podstawie prawidłowych kryteriów, jeśli później o to zapytają.
Jak sprawić, aby termin 72 godzin działał na waszą korzyść
Termin 72 godzin nie ma na celu zaskakiwania organizacji, ale umożliwienia szybkiego ostrzeżenia osób, których dane dotyczą, jeśli będzie to konieczne. Działa to lepiej, jeśli wcześniej będzie jasne, kto w organizacji zgłasza podejrzenie naruszenia, komu i które pytania podstawowe są w tym celu zadawane standardowo. Bez tych uzgodnień cenny czas tracimy na ustalenie, kto faktycznie decyduje, podczas gdy zegar już biegnie.
Pomocne jest również wcześniejsze zapoznanie się z tym, które systemy i dostawcy przetwarzają dane osobowe, aby w przypadku zgłoszenia od dostawcy można było od razu ocenić, jakie dane i które osoby, których dane dotyczą, są zaangażowane. Aktualny przegląd używanych narzędzi SaaS i umów na ich temat, taki, jaki znajduje się w rejestrze przetwarzania danych w baza wiedzy z wyjaśnieniami dla każdego tematu w praktyce zaoszczędzić wiele pracy badawczej w momencie, gdy naprawdę się liczy.
Co możecie wcześniej ustalić
Istota jest taka, że zgłoszenie nie musi być pełne, aby było terminowe. Pierwsze zgłoszenie ze znanymi faktami, a następnie uzupełnienie, gdy więcej będzie jasne, mieści się w ramach tego, co dopuszcza RODO. Organizacje, które wiedzą o tym wcześniej i mają na to ustalone stałą, krótką procedurę, rzadziej wpadają w błąd zbyt długiego czekania. To, co również pomaga, to jasność co do tego, gdzie znajdują się wrażliwe dane i jak są chronione, aby podejrzenie naruszenia mogło być szybciej oceniane pod względem poważności; strona dotycząca jak dane są chronione w systemie daje na to obraz.
To determine whether a specific incident at your organization is reportable and how best to document it is ultimately a decision you make yourself, possibly with a lawyer or in consultation with the data protection authority. gdpria.eu provides guidance and a structured initial assessment, not legal advice.
Would you like to know in advance where the points of attention are for you? The free quick scan and the answers to frequently asked questions provide an initial picture within a few minutes, without requiring an account.