În caz de incident de securitate a datelor, aveți nevoie în esență de trei tipuri de documente: o înregistrare internă a ceea ce s-a întâmplat, o evaluare dacă notificarea către Autoritatea de Supraveghere a Protecției Datelor este obligatorie și — dacă este cazul — notificarea în sine cu justificarea acesteia. Dacă comunicarea către persoanele vizate se adaugă, acea comunicație contează și ea ca document de păstrat.
Detaliul care este cel mai des trecut cu vederea în această materie este înregistrarea internă. Chiar dacă după evaluare decideți că un incident de securitate a datelor nu trebuie notificat Autorității de Supraveghere a Protecției Datelor, AVG continuă să ceară înregistrarea incidentului în sine: ce s-a întâmplat, ce date a afectat, care ar fi putut fi consecințele și de ce ați ajuns la concluzia voastră. Mulți antreprenori cred că trebuie să existe ceva pe hârtie doar atunci când se face notificarea. Nu asta este ceea ce prevede regulamentul.
Înregistrarea internă a incidentului
Acesta este documentul care trebuie să existe în fiecare caz de incident de securitate a datelor, indiferent de rezultatul evaluării dumneavoastră. El descrie când ați descoperit incidentul, exact ce s-a întâmplat, ce categorii de date și care persoane vizate a afectat, și ce măsuri ați luat pentru a limita consecințele. Autoritățile de supraveghere nu analizează la o inspecție doar notificările care au fost făcute, ci și dacă o organizație poate arăta cum au fost evaluate incidentele anterioare. Fără acest document, justificarea nu există.
Evaluarea dacă notificarea este necesară
Pe lângă înregistrarea faptică, este necesar un al doilea document: evaluarea în sine. Ce riscuri ați identificat pentru persoanele vizate și pe baza căruia ați concluzionat că notificarea era sau nu necesară? AVG deosebește riscul pentru drepturile și libertățile persoanelor vizate ca criteriu de măsurare. Documentarea acelei evaluări nu este doar plăcută pentru dumneavoastră ulterior, ci este și documentul cu care puteți arăta că a fost luată o decizie conștientă și nu o întâmplare. Cine se întreabă dacă un anumit incident necesită notificare, găsește la arborele de decizie care în câteva întrebări oferă o primă indicație un punct de plecare, fără ca aceasta să înlocuiască evaluarea dumneavoastră proprie.
Notificarea către Autoritatea de Supraveghere a Protecției Datelor
Dacă evaluarea concluzionează că notificarea este necesară, notificarea în sine se adaugă ca document: ce ați notificat, când și cu ce informații. AVG stabilește o perioadă de 72 de ore de la momentul în care ați luat cunoștință de incidentul de securitate a datelor. Nu salvați doar confirmarea notificării, ci și versiunea faptelor așa cum erau cunoscute la momentul notificării — aceasta poate fi completată mai târziu dacă se clarifică mai multe asupra amplitudinii.
Comunicarea către persoanele vizate
În unele cazuri, se cuvine și un mesaj către persoanele vizate în sine, de exemplu atunci când riscul pentru ele este considerat semnificativ. Acel mesaj — exact ce a fost comunicat și cui — face parte din dosar. Nu este un șablon fix care este același pentru fiecare incident de securitate a datelor; conținutul depinde de ce s-a întâmplat și ce date sunt implicate.
Acorduri cu furnizori și procesatori
Dacă incidentul de securitate a datelor se întâmplă la o parte care prelucrează date pentru dumneavoastră, cum ar fi un pachet de contabilitate sau o parte de găzduire, acordul consemnat în contractul de prelucrare se cuprinde și el: acea parte vă notifică incidentele și în ce termen? Cine nu are claritate în privința acestui aspect, găsește la banca de cunoștințe unde acest lucru este detaliat în fiecare situație un punct de referință pentru a revizui contractele de prelucrare pe această temă.
De ce acest dosar se distinge de securitatea dumneavoastră
Documentația privind o încălcare a securității datelor este diferită de măsurile pe care le-ați luat în prealabil pentru a preveni o încălcare a securității datelor, dar cele două se ating: o autoritate de supraveghere poate cere cum arăta securitatea dvs. în momentul incidentului. Cum se înregistrează securitatea datelor în practică, puteți citi prin intermediul explicației privind măsuri de securitate corespunzătoare.
Să aveți deja aceasta în ordine
Baza de cunoștințe și arborele de decizie sunt gratuite de consultat, fără cont. Dacă doriți ca înregistrarea incidentelor, termenele și șabloanele pentru acestea să fie structurate într-un singur loc, în loc să le căutați din nou de fiecare dată, acesta este motivul pentru care abonamentul la gdpria.eu a fost configurat. Un cont de afaceri o creați pe numele numărului dvs. de înregistrare comercială și de TVA, legat de organizație și nu de o singură adresă de e-mail.
Dacă aveți în prezent o posibilă încălcare a securității datelor de evaluat, urmați mai întâi scanarea rapidă gratuită sau citiți subiectele din baza de cunoștințe. Pentru explicația a ceea ce se aplică exact situației dvs., un jurist sau Autoritatea pentru Protecția Datelor rămân punctul de contact indicat.