Pri úniku údajov potrebujete v podstate tri typy dokumentov: interný záznam o tom, čo sa stalo, posúdenie, či je hlásenie Úradu na ochranu osobných údajov povinné, a — ak je to tak — samotné hlásenie spolu s jeho odôvodnením. Pokiaľ na to nasleduje aj komunikácia so subjektami údajov, aj táto komunikácia sa má zaznamenať ako dokument.
Detail, ktorý sa v tejto oblasti najčastejšie prehliadne, je interný záznam. Aj keď sa po posúdení rozhodnete, že únik údajov nie je potrebné hlásať Úradu na ochranu osobných údajov, GDPR stále vyžaduje, aby ste incident sami zaznamenali: čo sa stalo, ktoré údaje sa dotkli, aké boli možné následky a prečo ste dospeli k vášmu záveru. Mnohí podnikatelia si myslia, že niečo musí byť napísané až keď sa hlásí. To nie je to, čo nariadenie opisuje.
Interný záznam o incidente
Toto je dokument, ktorý by mal existovať pri každom úniku údajov, bez ohľadu na výsledok vášho posúdenia. Opisuje, kedy ste incident objavili, čo sa presne stalo, ktoré kategórie údajov a ktoré subjekty údajov sa dotkli, a aké opatrenia ste podnikli, aby ste obmedzili následky. Dozorovacie orgány pri kontrole nepozerajú len na hlásenia, ktoré boli urobené, ale aj na to, či organizácia dokáže preukázať, ako boli hodnotené staršie incidenty. Bez tohto dokumentu nemáte toto odôvodnenie.
Posúdenie, či je hlásenie potrebné
Okrem faktického záznamu je potrebný druhý dokument: samotné posúdenie. Aké riziká ste videli pre subjekty údajov a na základe čoho ste uzavreli, že hlásenie bolo alebo nebolo potrebné? GDPR pri tom rozlišuje riziko pre práva a slobody subjektov údajov ako kritérium posúdenia. Zaznamenanie tohto posúdenia je nielen príjemné pre vás neskôr, je to aj dokument, pomocou ktorého môžete preukázať, že bola urobená vedomá voľba a nie náhoda. Kto si nie je istý, či je konkrétny incident podliehajúci hláseniu, nájde v rozhodovacím strome, ktorý v niekoľkých otázkach poskytne prvý návrh východiskový bod bez nahradenia vlastného posúdenia.
Hlásenie Úradu na ochranu osobných údajov
Ak z záveru vyplýva, že hlásenie je potrebné, hlásenie sa samo stáva dokumentom: čo ste hlásili, kedy a s akými údajmi. GDPR na to určuje lehotu 72 hodín od momentu, keď ste sa dozvedeli o úniku údajov. Uschovajte si nielen potvrdenie o hlásení, ale aj verziu faktov tak, ako boli v čase hlásenia známe — neskôr sa to môže doplniť, keď sa zjaví viac informácií o rozsahu.
Komunikácia so subjektami údajov
V niektorých prípadoch by mala existovať aj správa samotným subjektom údajov, napríklad keď sa riziko pre nich považuje za značné. Aj táto správa — čo sa presne komunikovalo a komu — je súčasťou spisu. Nejde o štandardnú šablónu, ktorá je rovnaká pre každý únik údajov; obsah závisí od toho, čo sa stalo a ktoré údaje sú zasiahnuté.
Dohody so dodávateľmi a sprostredkovateľmi
Ak k úniku údajov dôjde u strany, ktorá pre vás spracováva údaje, ako je účtovný balík alebo poskytovateľ hostingu, dohoda, ktorá sa na to vzťahuje a je zakotvená v zmluve sprostredkovateľa, by mala byť súčasťou spisu: hlásí vám táto strana incidenty a v akej lehote? Kto to ešte nemá jasne stanovené, nájde v znalostnej báze, kde je to vypracované pre každú situáciu východiskový bod na preskúmanie zmlúv sprostredkovateľa z tohto hľadiska.
Prečo je tento spis oddelený od vašej bezpečnosti
Dokumentácia okolo narušenia údajov sa líši od opatrení, ktoré ste vopred prijali na zabránenie narušeniu údajov, ale tieto dve sa navzájom dotýkajú: dozorný úrad vám môže položiť otázku, ako vyzerala vaša bezpečnosť v čase incidentu. Ako sa bezpečnosť údajov v praxi zaznamenáva, si môžete prečítať v časti vysvetlenie primeraných bezpečnostných opatrení.
Mať to už vporiadku
Vedomostnú základňu a rozhodovací strom si môžete bezplatne prehliadnuť bez účtu. Ak chcete mať registráciu incidentov, lehoty a šablóny pre nich na jednom mieste, a to štruktúrne namiesto toho, aby ste ich zakaždým hľadali znova, je to práve na to, na čo je nastavený predplatný balík na gdpria.eu. Obchodný účet vytvárate na základe vášho čísla IČO a DPHspojené s organizáciou a nie s jednou e-mailovou adresou.
Ak máte práve teraz možné narušenie údajov na posúdenie, prejdite si najprv bezplatnú rýchlu kontrolu alebo si prečítajte témy vo vedomostnej základni. Pokiaľ ide o vysvetlenie, čo presne patrí k vašej situácii, právnik alebo Úrad na ochranu osobných údajov sú vhodným kontaktným miestom.