Chyba: čakať, až bude všetko jasné
Najčastejšou chybou pri oznamovaní porušenia bezpečnosti údajov nie je samo porušenie, ale moment, kedy sa organizácia rozhodne povinnosť splniť. Mnohé spoločnosti chcú najskôr presne vedieť, čo sa stalo, ktoré údaje sa týkajú a koľko ľudí je postihnutých, predtým ako budú informovať dohľadný orgán. To pôsobí starostlivo, ale GDPR požaduje niečo iné: lehota 72 hodín na nahlásenie začína plynúť, keď si uvedomíte porušenie bezpečnosti údajov, nie keď máte všetky fakty zjednotené.
Dôsledkom je, že hodiny sa už veľkou časťou strácajú v čase, keď sa interní zamestnanci zhodujú na tom, čo presne sa stalo. Zvyčajne ide nie o nedostatočnú vôľu, ale o neznalosti toho, ako táto lehota funguje: GDPR umožňuje, aby sa oznamovanie doplňovalo postupne, práve preto, že úplnú istotu sa väčšinou nepodari dosiahnuť do troch dní.
Prečo sa táto chyba vyskytuje tak často
Zmätok vzniká tým, že ľudia si pomieňajú porušenie bezpečnosti údajov a porušenie bezpečnosti údajov s povinnosťou oznámiť. Nie každý incident súvisiaci s osobnými údajmi sa musí nahlasovať dohľadnému orgánu; GDPR rozlišuje, či existuje riziko pre práva a slobody dotknutých osôb. Spoločnosti, ktoré si toto rozlíšenie jasne neujasnili, väčšinou idú v dvoch smeroch príliš ďaleko: takmer nič neoznamujú z obavy z komplikácií, alebo sa snažia najskôr získať úplný obraz, predtým ako si porušenie trúfnu nahlasovať. Obe reakcie pochádzajú z neistoty v tom, čo zákon presne požaduje, a táto neistota sa často dá do značnej miery odstrániť pomocou niekoľkých ustálených otázok. Rozhodovací strom na vidí v piatich otázkach, kde sa nachádzate bol na to vytvorený: zobrazuje na základe niekoľkých konkrétnych otázok, či sa incident pravdepodobne povinnosti oznamovania týka, bez toho, aby ste museli mať najskôr právne vedomosti.
Druhá chyba, ktorá s tým často súvisí
Úzko súvisiace s príliš neskorým oznamovaním je zabudnutie na vlastnú dokumentáciu. Aj porušenie bezpečnosti údajov, ktoré napokon neoznamujete dohľadnému orgánu, musí byť interne zdokumentované: čo sa stalo, prečo bolo alebo nebol podaný návrh, a aké opatrenia boli prijaté. Mnohé organizácie zaznamenávajú iba incidenty, ktoré skutočne nahlasili, a zvyšok zostáva nedokumentovaný. Týmto spôsobom chýba presne prehľad, ktorý je potrebný na to, aby sa preukázalo, že rozhodovanie bolo vedomé a na základe správnych kritérií, ak by sa o to neskôr spytovali.
Ako necháte hodiny pracovať v svoj prospech
Lehota 72 hodín nie je určená na to, aby organizácie zaskočila, ale aby dotknuté osoby mohly byť rýchlo upozornené, ak je to potrebné. To funguje lepšie, ak je vopred jasné, kto v organizácii podozrenie na porušenie hlási, komu a ktoré základné otázky sa pri tom štandardne kladú. Bez týchto dohovorov sa stráca cenný čas zisťovaním, kto sa o to v skutočnosti stará, zatiaľ čo hodiny už bežia.
Pomáha aj to, keď vopred viete, ktoré systémy a dodávatelia spracovávajú osobné údaje, aby ste pri oznámení od dodávateľa mohli hneď odhadnúť, o ktoré údaje a dotknuté osoby ide. Aktuálny prehľad používaných nástrojov SaaS a dohovorov o nich, ako sa to odráža v registri spracovateľských činností na v banke vedomostí s vysvetlením na danú tému preskúmavajúci v praktickom zmysle veľa vyšetrovacieho úkola v čase, kedy na to príde.
Čo si môžete vopred zaznamenaťs
Jadrom je, že oznámenie nemusí byť úplné, aby bolo na čas. Prvé oznámenie so známymi faktami, nasledované dodatkami, akonáhle sa viac ujasní, je v súlade s tým, čo GDPR umožňuje. Organizácie, ktoré to vopred vedia a majú na to ustálený, krátky postup, nemajú toľko problémov s chybou, že príliš dlho čakajú. To, čo tiež pomáha, je jasnosť o tom, kde sa nachádzajú citlivé údaje a ako sú chránené, aby sa podozrenie na porušenie bezpečnosti údajov mohlo rýchlejšie posúdiť z hľadiska závažnosti; stránka o ako sú údaje v systéme chránené dáva o tom predstavu.
Či je konkrétny incident vo vašej organizácii oznamovací a ako ho najlepšie zaznamenať, je v konečnom dôsledku rozhodnutie, ktoré si vytvárate sami, prípadne s právnikom alebo po konzultácii s Úradom na ochranu osobných údajov. gdpria.eu vám pri tom poskytuje vysvetlenie a štruktúrovaný prvý odhad, nie právne poradenstvo.
Chcete vedieť, kde sa u vás nachádzajú kritické body? Bezplatný rýchly scan a odpovede na otázky, ktoré sa vracajú poskytnú vám v priebehu niekoľkých minút prvý prehľad bez potreby účtu.