Pot să gestionez singur o încălcare de date?
Da, o mare parte din evaluarea și gestionarea unei încălcări a datelor o puteți face singuri. Regulamentul nu impune ca trebuie să angajați un jurist sau o firmă externă. Cu toate acestea, Regulamentul cere ca dvs. să identificați încălcarea, să o evaluați pentru a stabili dacă prezintă un risc pentru persoanele ale căror date au fost afectate, și — dacă este cazul — să notificați la timp autoritatea de supraveghere și eventual persoanele vizate.
Capacitatea dvs. de a o face singuri depinde în principal de amploarea și complexitatea incidentului. O scrisoare de e-mail trimisă greșit cu datele unui client este ceva cu totul diferit de un server hacking cu mii de dosare de clienți. Linia dintre a face singur și a externaliza nu este fixată de lege, ci de capacitatea dvs. proprie de a evalua rapid și atent ceea ce s-a întâmplat.
Ceea ce puteți evalua singuri
Prima întrebare în orice incident este dacă există cu adevărat o încălcare a datelor în sensul Regulamentului: au fost pierdute date cu caracter personal, au fost consultate de cineva neautorizat, sau au fost modificate sau șterse din greșeală? Puteți evalua ușor aceasta singuri folosind o listă clară de întrebări. în câteva întrebări vedeți unde vă situați oferă o primă indicație fără să aveți nevoie imediat de un consultant.
Dacă există într-adevăr o încălcare, urmează evaluarea riscului: prezintă pericol pentru drepturile și libertățile persoanelor vizate, de exemplu pentru că date sensibile sunt expuse publicului sau frauda de identitate devine posibilă? Pentru multe situații obișnuite, puteți face și această evaluare pe baza orientărilor Consiliului și explicațiilor autorității de supraveghere. banca de cunoștințe cu explicații pe subiect descrie criteriile relevante, cu trimiteri la textul oficial.
Notificarea efectivă la autoritatea de supraveghere este în practică și pentru multe companii ceva ce pot face singure. Autoritatea de supraveghere dispune de propriul formular de notificare, iar informațiile cerute — ce s-a întâmplat, ce date sunt implicate, câte persoane sunt afectate și ce măsuri ați luat — sunt informații pe care organizația dvs. le cunoaște cel mai bine.
Când este prudent să căutați ajutor suplimentar
În mai multe situații, gestionarea singur devine mai dificilă. Dacă este vorba despre un număr mare de persoane vizate, date sensibile cum ar fi date de sănătate, sau un incident tehnic a cărui amploare este încă neclar, este recomandabil să nu vă bazați numai pe propria evaluare. Același lucru se aplică atunci când încălcarea poate avea consecințe și în alt stat membru, sau când nu este clar care autoritate de supraveghere este competentă.
Informarea persoanelor vizate — mai degrabă decât doar autoritatea de supraveghere — necesită de asemenea grijă. Tonul, conținutul și momentul comunicării determină parțial cum reacționează oamenii, iar un mesaj greșit formulat poate provoca mai multă neliniște decât incidentul în sine. În aceste cazuri, este prudent să consultați un jurist sau să contactați autoritatea de supraveghere pentru ruta competentă.
Ce prescrie și ce nu prescrie Regulamentul
Regulamentul prescrie o termen în care o încălcare a datelor cu obligația de notificare trebuie comunicată autorității de supraveghere, și obligă organizațiile să înregistreze încălcările de date care s-au produs, chiar și pe acelea care nu trebuie notificate. Ce nu prescrie Regulamentul este cine efectuează acest proces în cadrul organizației dvs. Aceasta înseamnă că gestionarea singur este permisă, cu condiția ca rezultatul să răspundă la ceea ce impune legea.
Responsabilitatea rămâne la nivel de organizație, chiar și atunci când o parte din muncă este externalizată către un consultant sau o agenție. Deci nu este o chestiune de a transfera totul și a nu mai avea grijă, ci de a ști ce pași au fost luați și de ce.
Documentarea este întotdeauna necesară
Indiferent dacă o faceți dumneavoastră sau vă sprijiniți pe alții, documentarea este necesară în ambele cazuri: ce s-a întâmplat, când ați descoperit-o, ce evaluare ați făcut cu privire la risc și ce măsuri au fost luate pentru a preveni repetarea. Această documentare este utilă nu doar pentru autoritatea de supraveghere, ci și pentru dumneavoastră, în cazul în care un incident similar s-ar repeta mai târziu.
Cum ar trebui să arate fundamentarea și ce surse sunt utilizate în acest scop poate fi citit pe pagina de unde provine informația. Dacă vă îndoiți dacă situația dumneavoastră necesită notificare, efectuați mai întâi verificarea gratuită și citiți subiectele relevante din baza de cunoștințe înainte de a lua o decizie. Dacă doriti să aduceți în ordine procesul de la identificare la gestionare în mod structural, puteti vă înscrie pentru un cont de afaceri pentru a lăsa termenele și documentarea să meargă automat.