RGPD prevede că o încălcare a datelor care poate crea un risc pentru persoanele vizate trebuie raportată Autorității pentru Protecția Datelor de îndată ce aveți cunoștință de aceasta. Termenul pentru aceasta este scurt: 72 de ore. Dacă nu raportați, sau raportați cu întârziere, atunci nu respectați o obligație prevăzută de RGPD în acest punct. Ce înseamnă exact aceasta depinde de situație, și aceasta este tocmai punctul pe care, ca redacție, nu facem vreo afirmație: decizia vă aparține dvs., avocatului dvs. sau autorității de supraveghere.
Ceea ce se poate descrie cu siguranță este: RGPD acordă Autorității pentru Protecția Datelor competențe pentru a investiga o încălcare a datelor care nu a fost raportată sau a fost raportată cu întârziere, și pentru a răspunde la aceasta. Ce răspuns va fi și dacă va urma nu este stabilit și nu poate fi prezis. Pentru dvs., ca antreprenor, întrebarea nu este atât de mult "care este pedeapsa", cât mai degrabă "ce trebuie să organizez pentru a putea evalua în timp util dacă este necesară o raportare".
Ce cere exact obligația de raportare
RGPD face o distincție între o raportare către autoritatea de supraveghere și o raportare către persoanele vizate. Prima se aplică în cazul unei scurgeri care poate crea un risc; a doua, varianta mai grea, se aplică în cazul unui risc mare. Ambele evaluări trebuie efectuate rapid, iar termenul de 72 de ore pentru autoritatea de supraveghere se calculează din momentul în care ați descoperit scurgerea, nu din momentul în care a avut loc. Oricine nu are încă această distincție clară o poate trece în revistă în câteva întrebări: în cinci întrebări vedeți unde vă aflați oferă imediat o indicație dacă o raportare este necesară.
Esența problemei unei raportări târzii nu este de obicei lipsa voință, ci timp pierdut din cauza lipsei de claritate: cine trebuie să se ocupe de asta, este aceasta cu adevărat o încălcare a datelor în sensul RGPD, și avem de fapt o imagine de ansamblu asupra sistemelor care conțin date cu caracter personal. Acesta din urmă este tocmai punctul în care un registru al activităților de prelucrare și-și dovedește valoarea: fără o imagine de ansamblu asupra prelucrărilor dvs., determinarea amploarei unei scurgeri consumă inutil din cele 72 de ore de care dispuneți.
Nici neraportarea nu trebuie s-o lăsați neexplicată
Un punct mai puțin cunoscut este că RGPD vă solicită, de asemenea, să consemnați atunci când decideți să nu raportați o scurgere și motivul pentru care nu o faceți. Obligația de justificare se aplică evaluării în sine, nu numai raportării dacă aceasta are loc. O scurgere pe care o evaluați ca "fără risc pentru persoanele vizate" și a cărei evaluare nu o consemnați nicaieri este dificil de apărat mai târziu, dacă cineva ar întreba despre aceasta. Ghidurile EDPB se ocupă pe larg de aceasta; locul și explicația acestora pot fi găsite în baza de cunoștințe per subiect.
Consecințe care merg mai departe decât autoritatea de supraveghere
Dincolo de relația cu Autoritatea pentru Protecția Datelor, există încă două locuri în care o raportare pierdută poate fi relevantă. Primul este contractul de prelucrare: dacă prelucrați date cu caracter personal pentru un client, acolo se găsește adesea un termen propriu de raportare, uneori mai scurt decât termenul legal de 72 de ore, și acel termen se aplică atunci alături de RGPD. Al doilea este persoana vizată în sine: pe cineva ale cărui date au fost scurse și care află aceasta pe cont propriu fără ca voi să raportați nu mai poate recupera acea încredere, ceea ce este independent de orice evaluare juridică.
De asemenea, un asigurator sau o parte contractantă care mai târziu întreabă cum a fost gestionată o scurgere se uită la dacă a fost evaluată în timp util și, acolo unde este necesar, raportată. Acesta este altceva decât o amendă, dar ține de ceea ce este adesea motivul inițial pentru a pune ordinea în materie de confidențialitate: a putea demonstra că există un proces, nu doar că nu s-a întâmplat niciodată nimic rău.
De ce termenul este adesea punctul critic
În practică, rareori absența voinței de raportare este problema, ci viteza cu care o organizație poate stabili ce s-a întâmplat, care date sunt afectate și cine este implicat. Un sistem care pornește cronometrul de 72 de ore imediat ce o posibilă încălcare este înregistrată, previne pierderea acestui timp în discuții interne. Cum este structurat un astfel de sistem și pe ce informații se bazează sunt descrise pe pagina despre de unde provin informațiile.
Dacă un caz specific din organizația dvs. este supus obligației de raportare, care termen exact se aplică în situația dvs. și care sunt consecințele dacă o raportare a fost omisă, nu pot fi răspunse în mod general. Pentru această evaluare, un jurist sau însuși Autoritatea pentru Protecția Datelor este punctul de contact potrivit.
Doriți mai întâi să vă faceți o imagine a situației dvs., fără obligații? Verificarea rapidă gratuită și baza de cunoștințe oferă o primă indicație pe fiecare subiect, inclusiv locul în textul oficial.