Podstata: samotná povinnosť hlásenia sa nemení
Povinnosť hlásenia pri úniku dát je uvedená v samotnom GDPR s obviod lehotu 72 hodín od objavenia sa zamerať na Autoritu na ochranu osobných údajov, pričom sa osobitne posúdi, či musia byť informovaní aj samotní dotknutí jednotlivci. Tento text je súčasťou európskej nariadenia a nemení sa každý rok. Pokiaľ je nám známe, v tomto roku nie je žiadna zmena samotného nariadenia, ktorá by sa dotkla povinnosti hlásenia alebo lehoty. To, čo sa však mení, je výklad okolo toho: ako EDPB a Autorita na ochranu osobných údajov vypĺňajú otvorené normy zákona a ako sa ďalšie právne predpisy skladajú vedľa GDPR. Pre MKB podnik je to často relevantnejšie ako samotný zákonnický text, pretože práve tento výklad určuje, kedy sa incident považuje za hlásiteľný.
Nejde teda o nové dátum alebo nové číslo článku, ktoré by ste si mali pamätať, ale o tri posuny, ktoré sa dotýkajú praxe: prísnejšie usmernenia na to, čo sa považuje za únik dát, väčší súbeh so sektorovým právnym predpisom ako NIS2, a iná realita v tom, že incidenty často vznikajú u poskytovateľa SaaS namiesto u samotného podniku.
Usmernenia, ktoré posúvajú hranicu
GDPR samo osebe definuje únik dát v obecných termínoch: porušenie bezpečnosti, ktoré vedie k zničeniu, strate, zmene alebo neoprávnenému sprístupneniu osobných údajov. To, čo to konkrétne predstavuje, sa rok za rokom ďalej upresňuje prostredníctvom usmernení EDPB a vlastného výkladu Autority na ochranu osobných údajov. Napríklad v posledných rokoch sa objasnili hraničné prípady: chybne odoslaný e-mail s prílohou, zamestnanec, ktorý sa prihlási na nesprávny účet, alebo záloha, ktorá je dočasne nedostupná. Takéto situácie sa v minulosti často považovali za interné záležitosti; orientácia v usmerneniach je taká, že aj bez zlého úmyslu zamestnanca môže ísť o hlásiteľný incident. Pre riaditeľa alebo vedúceho kancelárie to znamená, že hodnotenie sa musí robiť menej podľa pocitu a viac podľa pevného akčného plánu. Kto si nie je istý, či konkrétny prípad spĺňa povinnosť hlásenia, môže to vyriešiť v niekoľkých otázkach pomocou rozhodovacieho stromu gdpria.eu. v niekoľkých otázkach zistiť, či ide o hlásiteľný únik dát.
Súbeh s ďalšou legislatívou
Druhý posun nie je v samotnom GDPR, ale v právnych predpisoch, ktoré sa ukladajú vedľa neho. Pre organizácie, ktoré sú súčasťou sektorov spadajúcich pod právne predpisy ako NIS2 alebo ktoré týmto sektorom poskytujú služby, môže bezpečnostný incident spadať súčasne pod dva hlasiteľné režimy: GDPR pre osobné údaje a sektorovú povinnosť hlásenia pre vlastnú službu. To sa nedotýka každého MKB podniku, ale dotýka sa inštalačných firiem, poskytovateľov IT služieb a ďalších strán, ktoré pôsobia ako dodávatelia väčšej, regulovanej organizácie. Pre túto skupinu je vhodné skontrolovať, či klient alebo objednávateľ do zmluvy nepridal ďalšie dohody o hlásení vedľa toho, čo už v zmluve medzi správcom a spracovateľom stojí. Kto chce zistiť, čo presne v takejto zmluve stojí o lehote hlásenia a zodpovednostiach, nájde pozadie v v banke vedomostí s vysvetlením na danú tému.
Prax sa posúva k poskytovateľovi SaaS
Tretia zmena je menej otázkou predpisov a viac otázkou skutočného vývoja: rastúca časť incidentov, s ktorými sa stretávajú holandské spoločnosti, nevzniká u nich samotných, ale u dodávateľa softvéru, ktorý používajú na účetnictvo, personalistiku alebo kontakt so zákazníkmi. Zodpovednosť za posúdenie, či z toho vyplýva hlásiteľný incident porušenia bezpečnosti údajov, však zostáva u spoločnosti, ktorá nechá údaje spracovávať, a nie automaticky u dodávateľa. Dodávateľ, ktorý sám incident ohlási, nezbavuje zadávateľa jeho vlastného posúdenia. To robí ešte dôležitejším vopred jasne určiť, ako a kedy dodávateľ incident hlási, a aby bola táto dohoda viditeľná aj vo vlastnom prehľade používaných nástrojov. Spoločnosti, ktoré tento prehľad ešte úplne nemajú, ho môžu budovať s pomocou vysvetlenia, ako sa systém vypĺňa zo známych nástrojov.
Čo to znamená pre vás
Pre väčšinu malých a stredných podnikov sa tento rok nemení samotná zákonná lehota. Čo je však rozumné: periodicky preskúšať vlastný postup pri incidentoch podľa najnovších usmernení, skontrolovať, či zadávateľ nestanovuje dodatočné dohody o hlásení, a mať jasne dohodnuté s dodávateľmi, kto incident ako prvý posúdi. Ani jeden z týchto bodov nevyžaduje právnu štúdiu, potrebný je len pevne stanovený čas, aby sa naň pozrelo.
Chcete si rýchlo uvedomiť, ako je na tom vaša spoločnosť v tomto bode? Otázky v bezplatnom rýchlom prehľade na gdpria.eu dávajú prvú indikáciu a v často kladených otázkach o únikoch údajov a povinnosti hlásenia nájdete kratšie odpovede na súvisiace otázky.