Jedro: sama obveznost prijave se ne spremeni
Obveznost prijave pri kršitvi podatkov je predvidena v samem GDPR, z znano rokom 72 ur po odkritju za prijavo nadzornemu organu, in ločeno presojo, ali je treba obvestiti tudi posameznike, na katere se podatki nanašajo. To besedilo je del evropske uredbe in se ne spreminja vsako leto. Kolikor je znano, se letos nadzorna uredba v zvezi s kršitvijo podatkov in rokom ne spreminja. Kar se res spreminja, je razlaga navedenega: kako EDPB in nadzorni organ tolmačita odprti pravni standard iz zakona, in kako se druga zakonodaja vzpostavlja ob GDPR. Za podjetje je to pogosto bolj relevantno kot sam besedilo zakona, ker prav ta razlaga določa, kdaj se incident obravnava kot prijavljen.
Zato ne gre za nov rok ali novo številko članka, ki jo je treba zapomniti, temveč za tri spremembe, ki vplivajo na prakso: bolj stroge smernice o tem, kaj se šteje za kršitev podatkov, večja sovpadanja s panožno zakonodajo, kot je NIS2, in drugačna realnost, ker se incidenti vse pogosteje zgodijo pri ponudniku SaaS namesto pri samem podjetju.
Smernice, ki premikajo mejo
Sam GDPR opisuje kršitev podatkov v splošnih izrazih: kršitev varnosti, ki vodi v uničenje, izgubo, spremembo ali nedovoljenega razkritja osebnih podatkov. Kaj konkretno spada pod to, se leto za letom nadaljuje s smernicami EDPB in lastno razlago nadzornega organa. Na primer, v preteklih letih je bilo več jasnosti o mejnih primerih: nepravilno poslana e-pošta s prilogo, zaposlenik, ki se prijavi na napačen račun, ali varnostna kopija, ki je začasno nedostopna. Take situacije so se prej pogosteje obravnavale kot notranja zadeva; smernice kažejo, da lahko gre za prijavljen incident tudi brez slabih namenov zaposlenega. Za direktorja ali vodjo pisarne to pomeni, da se presoja lahko manj pogosto izvede po občutku in več po stalnem akcijskem načrtu. Kdor dvomi, ali se konkreten primer uvrsti pod obveznost prijave, lahko to v nekaj vprašanjih razčisti prek odločitvenega drevesa gdpria.eu, v nekaj vprašanjih vidite, ali je nešto prijavljena kršitev podatkov.
Sovpadanje z drugo zakonodajo
Druga sprememba ni v samem GDPR, temveč v zakonodaji, ki se vzpostavlja ob njem. Za organizacije, ki so del ali dobavljač sektorjev, ki spadajo pod zakonodajo, kot je NIS2, se lahko varnostni incident hkrati uvrsti pod dva režima prijave: GDPR za osebne podatke in panožni režim prijave za samo storitev. To ne prizadene vsakega podjetja, vendar vzpostavitelje, IT-ponudnike storitev in druge strani, ki delujejo kot dobavljač večje regulirane organizacije. Za to skupino je pametno preveriti, ali je kupec ali naročnik medtem v pogodbo vključil dodatne dogovore o prijavi poleg tega, kar je že v pogodbi o obdelavi podatkov. Kdor želi preveriti, kaj je v takšni pogodbi natančno navedeno o rokih za prijavo in odgovornostih, najde ozadje v spoznavnica s pojasnili po temah.
Praksa se premika k ponudniku SaaS
Tretja sprememba je manj vprašanje ureditve in bolj vprašanje dejanskega razvoja: naraščajoči del incidentov, s katerimi se srečavajo nizozemska podjetja, ne nastane pri njih samih, temveč pri ponudniku programske opreme, ki ga uporabljajo za računovodstvo, kadrovske zadeve ali stike s strankami. Odgovornost za presojo, ali to povzroči obvezno prijavljen iztok podatkov, pa ostaja pri podjetju, ki podatke daje v obdelavo, ne samodejno pri ponudniku. Ponudnik, ki sam prijavi incident, ne razreši naročnika njegove lastne presoje. To še toliko bolj poudarja pomen, da vnaprej določite, kako in kdaj ponudnik prijavi incident, ter da to dogovor najdete tudi v lastnem pregledu uporabljenih orodij. Podjetja, ki tega pregleda še nimajo popolnega, ga lahko izgradijo s pomočjo razlage, kako se sistem napolni iz znanih orodij.
Kaj to pomeni za vas
Za večino MKB-podjetij se letos na samo zakonski rok ni spremenilo nič. Kar je pametno: periodično preveriti lastni pristop k incidentom glede na najnovejše smernice, preveriti, ali naročnik postavlja dodatne dogovore o prijavi, ter imeti jasno dogovorjeno z dobavitelji, kdo incident prvi oceni. Nobeno od teh točk ne zahteva pravne študije, temveč le reden trenutek, da se ji posvetite.
Ali želite hitro videti, kako stoji vaše podjetje pri tem? Vprašanja v prosti hitrih diagnozi gdpria.eu dajejo prvo indikacijo, v pogostih vprašanjih o datalekih in obveznosti prijave pa boste našli krajše odgovore na sorodna vprašanja.