Eroarea: așteptarea până când totul este clar
Cea mai frecventă greșeală în raportarea unei încălcări a datelor nu este încălcarea în sine, ci momentul în care o organizație decide să raporteze. Multe companii doresc mai întâi să știe exact ce s-a întâmplat, ce date sunt implicate și câte persoane sunt afectate, înainte de a informa autoritatea de supraveghere. Asta pare prudent, dar GDPR cere altceva: termenul de raportare de 72 de ore începe să curgă din momentul în care vă conștientizați încălcarea datelor, nu din momentul în care aveți toate faptele ordonate.
Drept urmare, ceasul a curs deja în mare parte până când intern toată lumea este de acord cu exactitatea ceea ce s-a întâmplat. Aceasta nu este de obicei o chestiune de rea voință, ci de necunoaștere a modului în care funcționează acest termen: GDPR permite ca un raport să fie completat în faze, tocmai pentru că certitudinea deplină nu este adesea realizabilă în trei zile.
De ce această greșeală apare atât de des
Confuzia apare deoarece oamenii confundă o încălcare a datelor cu o încălcare a datelor care trebuie raportată. Nu fiecare incident care implică date cu caracter personal trebuie raportat autorității de supraveghere; GDPR face o distinție cu privire la existența unui risc pentru drepturile și libertățile persoanelor vizate. Companiile care nu au bine această distincție tind să meargă prea departe în două direcții: raportează aproape nimic din frică de complicații, sau încearcă mai întâi să obțină imaginea completă înainte de a îndrăzni să fac un raport. Ambele reacții provin din incertitudine cu privire la ceea ce legea cere cu exactitate, iar acea incertitudine este adesea ușor de eliminat prin puțini pași difiniți. Arborele de decizie de pe în cinci întrebări vedeți unde vă aflați a fost creat în acest scop: el arată pe baza unor puține întrebări concrete dacă este probabil ca un incident să cază sub obligația de raportare, fără a fi nevoie mai întâi de cunoștințe juridice.
O a doua greșeală care merge deseori cu aceasta
Strâns legată de raportarea prea târzie este uitarea propriei înregistrări. O încălcare a datelor pe care nu o raportați în final autorității de supraveghere trebuie totuși înregistrată intern: ce s-a întâmplat, de ce a fost sau nu a fost raportată, și ce măsuri au fost luate. Multe organizații înregistrează doar incidentele pe care le-au raportat efectiv și lasă restul neocumentat. Prin aceasta lipsește exact panorama care este necesară pentru a arăta că o apreciere a fost făcută cu conștiință și pe baza criteriilor corecte, dacă mai târziu va fi întrebat.
Cum să faceți ceasul să funcționeze pentru dumneavoastră
Termenul de 72 de ore nu are scopul de a lua prin surprindere organizațiile, ci de a putea avertiza rapid persoanele vizate dacă este necesar. Aceasta funcționează mai bine dacă este clar din timp cine din cadrul organizației raportează o suspiciune de încălcare, cui, și ce întrebări de bază sunt puse în mod standard. Fără aceste înțelegeri, se pierde timp prețios pentru a afla cine este de fapt responsabil, în timp ce ceasul deja clocotește.
De asemenea, ajută să știți în avans ce sisteme și furnizori procesează date cu caracter personal, astfel încât atunci când un furnizor raportează o încălcare, puteți imediat aprecia ce date și ce persoane vizate sunt implicate. O privire de ansamblu actuală a instrumentelor SaaS utilizate și a acordurilor cu privire la acestea, după cum apare în registrul de prelucrare al baza de cunoștințe cu explicații pe fiecare subiect economisește în practică o mulțime de cercetare la momentul critic.
Ce puteți documenta în avans
Esența este că un raport nu trebuie să fie complet pentru a fi la timp. Un prim raport cu faptele cunoscute, urmat de o completare atunci când sunt mai clare, se încadrează în ceea ce GDPR permite. Organizațiile care știu asta în avans și au o procedură fixă și scurtă pentru aceasta sunt mai puțin susceptibile să comită greșeala de a astepta prea mult. Ceea ce ajută și în acest sens este claritate cu privire la locul unde se găsesc datele sensibile și cum sunt protejate, astfel încât o suspiciune de încălcare să poată fi mai rapid evaluată din punct de vedere al severității; pagina despre cum sunt protejate datele din cadrul sistemului oferă o imagine în acest sens.
Dacă o situație specifică din organizația dvs. este supusă obligației de notificare și cum o documentați cel mai bine este, în final, o evaluare pe care o faceți dvs. înșivă, eventual cu un jurist sau în consultare cu Autoritatea de Supraveghere. gdpria.eu oferă în acest sens clarificare și o evaluare structurată inițială, nu sfaturi juridice.
Doriți să aflați deja unde sunt punctele de atenție în cazul dvs.? Scanarea rapidă gratuită și răspunsuri la întrebări care apar frecvent oferă în câteva minute o imagine inițială, fără a fi necesară o înregistrare.