Powiadomienie o naruszeniu ochrony danych do Urzędu Ochrony Danych Osobowych jest samo w sobie bezpłatne: nie są za to należne żadne opłaty ani wyrównania. Koszty pojawiają się w tym, co się dzieje wokół tego: ustalenie dokładnie, co poszło nie tak, informowanie osób, których dane dotyczą, ewentualne prace naprawcze o charakterze technicznym i czas, jaki wszystko to zajmie Twojej organizacji. Jak wysoko się to będzie sumować, zależy w dużym stopniu od zakresu naruszenia, rodzaju danych i tego, czy masz już proces na wypadek, gdyby coś poszło nie tak.
Nie istnieje stała kwota dla "naruszenia ochrony danych", ponieważ żadne dwa naruszenia nie są takie same. Błędnie wysłana wiadomość e-mail z danymi kontaktowymi jednego klienta wymaga czegoś innego niż włamania do systemu z osobistymi plikami stu pracowników. Pozycje kosztów zawsze mieszczą się w tych samych kategoriach; tylko rozmiar się różni.
Skąd pochodzą koszty
Pierwsza pozycja kosztowa to czas wewnętrzny: ktoś musi ustalić, co się stało, które dane zostały dotkniętym i czy ustawowy termin siedemdziesięciu dwóch godzin na powiadomienie Urzędu Ochrony Danych Osobowych jest osiągalny. Te godziny są często niedoceniane, zwłaszcza jeśli nie ma ustalonego punktu kontaktowego lub procesu i wiele osób jednocześnie patrzy na ten sam incydent.
Poza tym może być potrzebna pomoc zewnętrzna: dostawca IT, który musi technicznie zatkać lukę, biegły zajmujący się sprawami sądowymi przy większym włamania, lub prawnik, który przyglądnie się ocenie, czy i jak powiadomić. Nie każde naruszenie ochrony danych wymaga wszystkich tych ogniw, ale przy poważniejszym incydencie koszty te rosną szybko.
Informowanie osób, których dane dotyczą, również pochłania czas i czasami pieniądze: przygotowanie starannego, zrozumiałego listu lub wiadomości e-mail, udzielanie odpowiedzi na pytania, które z tego wynikają, a w niektórych przypadkach oferowanie formy zadośćuczynienia, takiej jak nowy kod dostępu lub bezpłatna usługa. Drzewo decyzyjne na pokazuje w kilku pytaniach, czy i jak powiadomić pomaga w wyostrznięciu pierwszego kroku, aby nie marnować niepotrzebnie czasu na wątpliwości.
Co decyduje o wysokości
Najważniejszym czynnikiem jest zakres: ile osób zostało dotkniętych i jak czułe są dane. Naruszenie z imionami i adresami e-mail jest oceniane inaczej niż naruszenie z danymi finansowymi lub zdrowotnymi. Wytyczne EDPB i sama RODO wymieniają tego typu czynniki ryzyka jako punkt wyjścia do oceny, a nie jako formułę do obliczania kwoty.
Drugim czynnikiem jest szybkość wykrycia naruszenia i jasność, kto za co odpowiada. Jeśli w umowie z przetwarzającym już określono, kto musi powiadomić dostawcę i w jakim terminie, oszczędza się pracy badawczej w momencie, gdy coś pójdzie nie tak. Jeśli tej umowy nie ma, sam incydent zajmuje więcej czasu, aby go zrozumieć, zanim jeszcze przystąpi się do naprawy.
Trzecim czynnikiem jest to, czy Twoja organizacja ma już ustalony proces: gotowy plan działań, listę osób do powiadomienia i miejsce, gdzie rejestrowane są wcześniejsze incydenty. Bez tego, przy każdym incydencie trzeba na nowo wymyślać, kto robi co, co pochłania zarówno czas, jak i spokój w momencie, gdy obie rzeczy są deficytowe.
Samo powiadomienie jest bezpłatne, przygotowanie nie
Warto utrzymać to rozróżnienie na ostrzu: obowiązek powiadomienia Urzędu Ochrony Danych Osobowych nie pociąga za sobą żadnych kosztów, ale prawidłowe jego wykonanie pociąga. Ktoś musi mieć czas, aby określić, czy incydent musi być powiadomiony w ustawowym terminie i co dokładnie powinno się znaleźć w powiadomieniu. Przegląd tego, co powinno się znaleźć w powiadomieniu i jakie dokumenty zwykle trzeba do niego dołączyć, znajduje się w bazie wiedzy z objaśnieniami dla każdego tematu.
Wiele z tych kosztów nie jest jednorazowa, ale powtarzająca się, po prostu dlatego, że naruszenia danych nie są planowane i mogą się powtórzyć nawet po latach. Dlatego właśnie niektóre organizacje decydują się na uruchomienie zegara, kroków i rejestracji w systemie zamiast każdorazowego ręcznego rekonstruowania tego procesu. To, ile kosztuje taka subskrypcja i co się za nią kryje, można zobaczyć na stronie cenowej z podziałem na poszczególne komponenty.
Wcześniejsza rejestracja oszczędza później
Największa oszczędność kosztów zazwyczaj nie leży w samym incydencie, ale w przygotowaniu się do niego: aktualny rejestr działań przetwarzania, jasne umowy z dostawcami i stały punkt kontaktowy sprawiają, że naruszenie danych zajmuje mniej czasu na ocenę i rozwiązanie. Często zadawane pytania dotyczące tego, co jest obowiązkowe, a co nie, znajdują się na stronie z odpowiedziami na pytania, które zadają też inni przedsiębiorcy.
Chcieć Państwo uzyskać pierwszy obraz sytuacji w swojej firmie? Bezpłatne szybkie skanowanie daje w kilku pytaniach wskazówkę, bez konieczności posiadania konta.