W przypadku naruszenia bezpieczeństwa danych zasadniczo potrzebujesz trzech rodzajów dokumentów: wewnętrzną rejestrację tego, co się stało, ocenę czy zawiadomienie Urzędu Ochrony Danych Osobowych jest obowiązkowe, i — jeśli tak — samo zawiadomienie wraz z jego uzasadnieniem. Jeśli dochodzi do komunikacji z osobami, których dane dotyczą, ta komunikacja również musi być dokumentem do zachowania.
Szczegół, który najczęściej jest pomijany w tym temacie, to wewnętrzna rejestracja. Nawet jeśli po ocenie zdecydujesz, że naruszenie bezpieczeństwa danych nie musi być zgłaszane Urzędowi Ochrony Danych Osobowych, RODO nadal wymaga udokumentowania samego incydentu: co się stało, jakie dane go dotyczyły, jakie mogły być konsekwencje i dlaczego doszedłeś do tego wniosku. Wielu przedsiębiorców sądzi, że coś musi być na piśmie dopiero wtedy, gdy nastąpi zawiadomienie. Nie o to chodzi w rozporządzeniu.
Wewnętrzna rejestracja incydentu
To dokument, który powinien istnieć w każdym przypadku naruszenia bezpieczeństwa danych, niezależnie od wyniku twojej oceny. Opisuje, kiedy odkryłeś incydent, dokładnie co się stało, jakie kategorie danych i które osoby zostały nim dotknięte, i jakie środki podjąłeś w celu ograniczenia skutków. Organy nadzoru podczas inspekcji patrzą nie tylko na zawiadomienia, które zostały złożone, ale także na to, czy organizacja może wykazać, jak wcześniejsze incydenty były oceniane. Bez tego dokumentu uzasadnienie nie istnieje.
Ocena czy zawiadomienie jest niezbędne
Obok rzeczywistej rejestracji potrzebny jest drugi dokument: sama ocena. Jakie ryzyka widziałeś dla osób, których dane dotyczą, i na jakiej podstawie doszedłeś do wniosku, że zawiadomienie było lub nie było konieczne? RODO wyróżnia przy tym ryzyko dla praw i wolności osób, których dane dotyczą, jako kryterium oceny. Udokumentowanie tej oceny jest nie tylko przyjemne dla ciebie później, ale jest to również dokument, za pomocą którego możesz wykazać, że dokonana została świadoma decyzja, a nie wypadek. Kto waha się, czy konkretny incydent podlega obowiązkowi zawiadomienia, znajdzie w drzewie decyzyjnym, które w kilku pytaniach daje pierwsze wskazanie punkt wyjścia, bez zastępowania własnej oceny.
Zawiadomienie Urzędu Ochrony Danych Osobowych
Jeśli wniosek jest taki, że zawiadomienie jest konieczne, samo zawiadomienie staje się dokumentem: co zawiadomiłeś, kiedy i jakimi danymi. RODO określa na to termin 72 godzin od momentu, kiedy dowiedziałeś się o naruszeniu bezpieczeństwa danych. Zachowaj nie tylko potwierdzenie zawiadomienia, ale także wersję faktów taką, jaką znałeś w momencie zawiadomienia — może ona być później uzupełniona, gdy będzie wiadomo więcej o skali.
Komunikacja z osobami, których dane dotyczą
W części przypadków dochodzi również do wiadomości do samych osób, których dane dotyczą, na przykład gdy ryzyko dla nich uważane jest za znaczące. Taka wiadomość — dokładnie to, co zostało wiadomością i do kogo — jest również częścią akt sprawy. Nie jest to stały szablon, który jest taki sam dla każdego naruszenia bezpieczeństwa danych; treść zależy od tego, co się stało i jakie dane to dotyczy.
Umowy z dostawcami i podmiotami przetwarzającymi
Jeśli naruszenie bezpieczeństwa danych ma miejsce u strony, która dla ciebie przetwarza dane, takiej jak pakiet księgowy lub dostawca hostingu, umowa zawarcia w umowie o przetwarzaniu danych musi być również dołączona: czy ta strona zgłasza ci incydenty i w jakim terminie? Kto tego jeszcze nie ma jasno sprecyzowanego, znajdzie w bazie wiedzy, w której jest to opracowane dla każdej sytuacji punkt odniesienia, aby przejrzeć umowy o przetwarzaniu danych w tym aspekcie.
Dlaczego to akta różnią się od twojego bezpieczeństwa
Dokumentacja dotycząca naruszenia danych różni się od środków, które wcześniej podjęli Państwo, aby zapobiec naruszeniu danych, ale te dwa elementy się łączą: organ nadzoru może zapytać, jak wyglądało Państwa zabezpieczenie w momencie incydentu. Jak zabezpieczenie danych w praktyce jest dokumentowane, możecie przeczytać w wyjaśnieniu dotyczącym odpowiednich środków bezpieczeństwa.
Mieć to już w porządku
Baza wiedzy i drzewo decyzyjne są dostępne bezpłatnie, bez konta. Jeśli chcecie mieć rejestrację incydentów, terminy i szablony dla nich systematycznie w jednym miejscu, zamiast szukać ich za każdym razem od nowa, to jest to, do czego przeznaczony jest abonament w gdpria.eu. Konto biznesowe tworzysz na podstawie swojego numeru KvK i numeru VAT, powiązane z organizacją, a nie z jednym adresem e-mail.
Jeśli w tej chwili muszecie ocenić możliwe naruszenie danych, najpierw przejdźcie bezpłatną szybką kontrolę lub przeczytajcie tematy w bazie wiedzy. Aby uzyskać wyjaśnienie, co dokładnie dotyczy Waszej sytuacji, prawnik lub Urząd Ochrony Danych Osobowych pozostają właściwym punktem kontaktu.