Esența: obligația de notificare în sine nu se schimbă
Obligația de notificare în caz de încălcare de date este prevăzută în RGPD, cu termenul cunoscut de 72 de ore de la descoperire către Autoritatea pentru Protecția Datelor, și o evaluare separată a faptului dacă persoanele vizate trebuie să fie și ele informate. Acest text face parte dintr-un regulament european și nu se modifică în fiecare an. Din cât se știe în prezent, nu există în acest an o modificare a regulamentului în sine care să afecteze obligația de notificare sau termenul. Ceea ce se schimbă este clarificarea din jurul ei: modul în care EDPB și Autoritatea pentru Protecția Datelor interpretează standardele deschise din lege și modul în care alte acte normative se aliniază cu RGPD. Pentru o întreprindere mică și medie, acest lucru este adesea mai relevant decât textul legii în sine, deoarece chiar această clarificare determină când un incident este considerat notificabil.
Nu este vorba despre o nouă dată sau un nou număr de articol de reținut, ci despre trei schimbări care afectează practica: orientări mai stricte asupra a ceea ce contează ca o încălcare de date, mai multă suprapunere cu legislația sectorială cum ar fi NIS2, și o realitate diferită deoarece incidentele apar din ce în ce mai des la furnizorul SaaS în loc să apară în cadrul întreprinderii în sine.
Orientări care schimbă granița
RGPD în sine definește o încălcare de date în termeni generali: o încălcare a securității care duce la distrugerea, pierderea, modificarea sau comunicarea neautorizată de date cu caracter personal. Ceea ce se încadrează concret aici este completat an de an prin orientări din partea EDPB și interpretarea proprie a Autorității pentru Protecția Datelor. De exemplu, în ultimii ani a existat mai multă claritate cu privire la cazuri limită: un e-mail trimis în mod eronat cu o anexă, un angajat care se conectează la un cont greșit, sau o copie de siguranță care nu este temporar disponibilă. Aceste situații au fost anterior mai des tratate ca problemă internă; orientarea din orientări este că poate exista un incident notificabil chiar și fără intenționalitate din partea unui angajat. Pentru un director sau manager de birou, aceasta înseamnă că evaluarea poate fi făcută mai rar pe baza intuiției și mai mult pe baza unui plan de acțiuni fix. Cine ezită dacă o situație concretă se încadrează în obligația de notificare, o poate explora în câteva întrebări prin arborele decizional al gdpria.eu, în câteva întrebări a vedea dacă ceva este o încălcare de date notificabilă.
Suprapunerea cu alte acte normative
O a doua schimbare nu este în RGPD în sine, ci în legislația care se aliniază cu el. Pentru organizațiile care fac parte din, sau furnizează către, sectoare care se încadrează în legislația cum ar fi NIS2, un incident de securitate poate cădea simultan sub două regimuri de notificare: RGPD pentru date cu caracter personal și o obligație de notificare sectorială pentru serviciul în sine. Aceasta nu afectează fiecare întreprindere mică și medie, dar afectează întreprinderile de instalare, furnizorii de servicii IT și alte părți care acționează ca furnizor pentru o organizație mai mare și reglementată. Pentru acest grup este prudent să se verifice dacă un client sau dator de lucru a inclus în între timp acorduri de notificare suplimentare în contract, în afara a ceea ce se află deja în acordul de prelucrare. Cine dorește să verifice exact ce se prevede în un asemenea acord cu privire la termene de notificare și responsabilități, găsește informații de fundal în baza de cunoștințe cu explicații pe fiecare subiect.
Practica se deplasează către furnizorul SaaS
Cea de-a treia schimbare este mai puțin o chestiune de reglementare și mai mult de dezvoltare faptică: o parte din ce în ce mai mare a incidentelor cu care se confruntă companiile olandeze nu apare la ele înșele, ci la un furnizor de software pe care îl folosesc pentru contabilitate, resurse umane sau contact cu clienții. Responsabilitatea de a evalua dacă aceasta presupune o încălcare notificabilă a datelor rămâne totuși cu compania care face prelucrarea datelor, nu automat cu furnizorul. Un furnizor care raportează el însuși un incident nu eliberează clientul de la propria evaluare. Asta face ca mai important să stabiliți în prealabil cum și când un furnizor raportează un incident, și să găsiți acea înțelegere și în propria dumneavoastră privire de ansamblu asupra instrumentelor utilizate. Companiile care nu au încă această privire de ansamblu completă o pot construi cu ajutorul o explicație asupra modului în care sistemul este completat din instrumente cunoscute.
Ce înseamnă asta pentru dumneavoastră
Pentru majoritatea companiilor mici și mijlocii nu se schimbă nimic anul acesta la termenul legal în sine. Ceea ce este totuși înțelept: evaluați periodic propria abordare a incidentelor în raport cu cele mai recente linii directoare, verificați dacă un client stabilește înțelegeri de notificare suplimentare, și clarificați cu furnizorii cine evaluează un incident în primul rând. Nici unul dintre aceste puncte nu necesită un studiu juridic, ci mai degrabă un moment stabilit pentru a vă uita la ele.
Doriți să vedeți rapid unde se situează compania dumneavoastră pe această problemă? Întrebările din scanning-ul rapid gratuit al gdpria.eu oferă o primă indicație, iar în întrebările frecvente despre datalekuri și obligația de notificare veți găsi răspunsurile mai scurte la întrebări conexe.