Napaka: čakanje, da bo vse jasno
Najpogostejša napaka pri prijavi kršitve podatkov ni sama kršitev, ampak trenutek, ko se organizacija odloči za prijavo. Številna podjetja želijo najprej natančno vedeti, kaj se je zgodilo, kateri podatki so vpleteni in koliko oseb je prizadanih, preden obvestijo nadzorni organ. To se zdi previdno, vendar Uredba (EU) 2016/679 zahteva nekaj drugega: rok za prijavo 72 ur se začne šteti, takoj ko se zavedete kršitve podatkov, ne šele, ko imate vse dejstvo razčiščeno.
Posledica je, da je ura že potekla za precejšen del, do trenutka, ko se vsi znotraj organizacije strinjajo, kaj se je natančno zgodilo. To običajno ni vprašanje nezainteresiranosti, ampak nepoznavanja, kako ta rok deluje: Uredba (EU) 2016/679 dovoljuje, da se prijava dopolnjuje v fazah, prav zato, ker je popolna gotovost pogosto nemogoče doseči v treh dneh.
Zakaj se ta napaka pojavi tako pogosto
Zmešnjava nastane, ker ljudje zamenjujejo kršitev podatkov in prijavno kršitev podatkov. Ne mora se vsak incident s podatki prijaviti nadzornemu organu; Uredba (EU) 2016/679 pri tem razlikuje, ali obstaja tveganje za pravice in svoboščine posameznikov. Podjetja, ki te razlike niso imela jasne, pogosto gresta v dveh smereh prehitro: skoraj ničesar ne prijavijo iz strahu pred neprijetnostmi, ali pa najprej poskušajo dopolniti celotno sliko, preden se usujevajo prijave. Obe reakciji izhajata iz negotovosti, kaj zakon natančno zahteva, in to negotovost je pogosto mogoče odpraviti z nekaj stalnimi vprašanji. Odločitveni ključ na v petih vprašanjih pokažete svojo pozicijo je narejen za to: na podlagi nekaj konkretnih vprašanj pokaže, ali je verjetno, da je dogodek predmet prijave, brez da bi za to prej potrebovali pravno znanje.
Druga pogosta napaka
Tesno povezano s prepozno prijavo je pozaba lastne dokumentacije. Tudi kršitev podatkov, ki je na koncu ne prijavite nadzornemu organu, mora biti interno dokumentirana: kaj se je zgodilo, zakaj je bila ali ni bila podana prijava in kateri ukrepi so bili sprejeti. Številne organizacije zabeležijo samo incidente, ki so jih dejansko prijavile, ostale pa pustijo nedokumentirane. S tem se izgubi natanko tisti pregled, ki je potreben, da se pokaže, da je bila presoja narejena zavedajoče in na podlagi pravilnih meril, če bi se to pozneje vprašali.
Kako dati ročici v svojih rokah
Rok 72 ur ne bi smel presenečiti organizacije, ampak omogočiti hitro opozarjanje posameznikov, če je potrebno. To je bolje mogoče, če je vnaprej jasno, kdo v organizaciji sporoči sum puščave, komu in katera temeljna vprašanja se pri tem standardno zastavljajo. Brez teh dogovorov se izgubi dragoceni čas pri ugotavljanju, kdo je pravzaprav odgovoren, medtem ko ura že teče.
Pomaga tudi, če vnaprej veste, kateri sistemi in dobavitelji obdelujejo podatke, tako da lahko takoj ocenite, za katere podatke in katere posameznike gre, ko vas obvestite dobavitelj. Tekočo pregledo uporabljenih programskih storitev in dogovorov o njih, kot se odraža v registru obdelave podatkov na spoznavnica s pojasnili po temah v praksi prihrani veliko raziskovalnega dela v trenutku, ko je to najpomembnejše.
Kaj je mogoče vnaprej dokumentirati
Bistvo je, da prijava ne mora biti popolna, da bi bila pravočasna. Prva prijava z znanimi dejstvi, ki ji sledi dopolnitev, ko je več jasno, je v skladu s tem, kar Uredba (EU) 2016/679 dovoljuje. Organizacije, ki to vnaprej vedo in imajo za to nastavljen hiter postopek, se manj pogosto znajdejo pred napako, da čakajo predolgo. Pri tem pomaga tudi jasnost o tem, kje so občutljivi podatki in kako so zaščiteni, tako da je sum kršitve podatkov mogoče hitreje oceniti glede na resnost; stran o kako so podatki v sistemu zaščiteni o tem daje predstavo.
Ali je specifičen incident v vaši organizaciji podlegajoč obveznosti prijave in kako ga najbolje dokumentirate, je v končni fazi odločitev, ki jo sprejmete sami, po potrebi s pravnikom ali v dogovoru z Uradom za varstvo osebnih podatkov. gdpria.eu pri tem ponuja pojasnjenje in strukturirano prvo oceno, ne pravnega nasveta.
Želite že vedeti, kje v vaši organizaciji so kritične točke? Brezplačna hitro-preverka in odgovori na pogosto zastavljana vprašanja v nekaj minutah dajo prvi pregled, ne da bi za to potrebovali račun.