Ali lahko sam ukrepam pri kršitvi podatkov?
Ja, veliki del ocenjevanja in obdelave puščanja podatkov lahko storite sami. Uredba ne predpisuje, da mora biti angažiran pravnik ali zunanja pisarna. Kar pa Uredba zahteva, je, da puščanje prepoznate, ocenite, ali predstavlja tveganje za osebe, katerih podatki so bili prizadeti, in — če je tako — pravočasno obvestite Nadzorni organ in po potrebi tudi same posameznike.
Ali to lahko storite samostojno, je v veliki meri odvisno od obsega in zapletenosti incidenta. Napačno poslana e-pošta s podatki enega stranke je kaj drugega kot napadeni strežnik s tisoči datotekami strank. Meja med samostojnim delom in zunanjim izvajanjem ni v zakonu, temveč v vaši sposobnosti, da hitro in skrbno ocenite, kaj se je zgodilo.
Kaj lahko sami ocenite
Prvo vprašanje pri vsakem incidentu je, ali sploh gre za puščanje podatkov v smislu Uredbe: ali so osebni podatki izgubljeni, dostopni komu, ki ni bil primoran, ali so bili naključno spremenjeni ali izbrisani? To oceno lahko z jasnim vprašalnikom brez težav storite sami. v nekaj vprašanjih vidite, kje ste daje prvo indikacijo, ne da bi za to takoj potrebovali svetovalca.
Če je puščanje res prisotno, sledi ocena tveganja: ali predstavlja nevarnost za pravice in svoboščine posameznikov, na primer ker so občutljivi podatki dostopni javnosti ali je možna kraja identitete? To presojo je tudi za pogoste situacije mogoče opraviti na podlagi smernic EDPB in razlage, ki jo o tem daje Nadzorni organ. Dokument bazi znanja s pojasnili po temah opisuje merila, ki pri tem igrajo vlogo, z navedbo mesta v uradnem besedilu.
Dejansko obveščanje Nadzornega organa je v praksi za številna podjetja tudi mogoče storiti samo. Nadzorni organ ima za to lasten obrazec za prijavo, informacije, ki se zahtevajo — kaj se je zgodilo, katere podatke je to zadevalo, koliko ljudi je bilo prizadetih in katere ukrepe ste sprejeli — pa so informacije, ki jih kot organizacija najbolje sami poznate.
Kdaj je razumno iskati dodatno pomoč
Pri številnih situacijah je samostojno ravnanje težje. Če gre za veliko število posameznikov, za posebne kategorije osebnih podatkov, kot so zdravstveni podatki, ali za tehnični incident, katerega obseg še ni jasno opredeljen, je priporočljivo, da se ne zanašate samo na lastno oceno. Enako velja, če ima puščanje posledice tudi v drugi državi članici, ali ko ni jasno, kateri nadzorni organ je pristojen.
Tudi obveščanje samih posameznikov — namesto samo nadzornega organa — zahteva pazljivost. Ton, vsebina in časovni moment te komunikacije delno določajo, kako ljudje reagirajo, napačno formulirano sporočilo pa lahko povzroči več nemira kot sam incident. V teh primerih je priporočljivo, da se posvetujete s pravnikom ali se obrnete na Nadzorni organ za pristojno pot.
Kaj Uredba predpisuje in kaj ne
Uredba predpisuje obdobje, v katerem je treba puščanje, ki je treba prijaviti, prijaviti nadzornemu organu, in zavezuje organizacije, da dokumentirano vodijo evidenco puščanj podatkov, tudi tistih, ki se jih ni treba prijaviti. Kar Uredba ne predpisuje, je, kdo ta proces izvaja v vaši organizaciji. To pomeni, da je samostojno ravnanje dovoljeno, dokler rezultat izpolnjuje zahteve zakona.
Odgovornost ostaja pri organizaciji, tudi če je del dela prepustljen svetovalcu ali agenciji. Torej ni vprašanje, da prenesete vse in se ne obremenjujete več s tem, temveč da veste, kateri koraki so bili poderjeni in zakaj.
Dokumentiranje je vedno obvezno
Ne glede na to, ali to naredite sami ali z zunanjo podporo, je dokumentiranje v obeh primerih potrebno: kaj se je zgodilo, kdaj ste to odkrili, kakšno oceno ste naredili glede tveganja in kateri ukrepi so bili sprejeti, da se prepreči ponovitev. To dokumentiranje ni koristno samo za nadzorni organ, temveč tudi za vas, v primeru, da se pozneje pojavi podoben incident.
Kako mora ta obrazložitev izgledati in kateri viri se pri tem uporabljajo, je mogoče prebrati na strani, kjer informacija izvira. Če ste negotovi, ali je vaša situacija predmet obveznosti prijave, najprej opravite brezplačni pregled in preberite ustrezne teme v bazi znanja, preden se odločite. Če želite postopek od prepoznavanja do rešitve strukturno urediti, se registrirajte za poslovni račun da se roki in dokumentiranje samodejno spremljajo.