Pri kršitvi podatkov potrebujete v bistvu tri vrste dokumentov: interno dokumentacijo dogajanja, oceno ali je prijava Uradu za varstvo podatkov obvezna, in — če je tako — samo prijavo z utemeljitvijo nanjo. Če se prijavi betrokom, se tudi ta komunikacija šteje kot dokument, ki ga je treba dokumentirati.
Podrobnost, ki se pri tem predmetu največkrat spregledа, je notranja dokumentacija. Tudi če se po oceni odločite, da kršitev podatkov ni treba prijaviti Uradu za varstvo podatkov, mora GDPR zahtevati, da sami dokumentirate incident: kaj se je zgodilo, katere podatke je zajelo, kakšne so bile možne posledice in zakaj ste prišli do svojega zaključka. Mnogi podjetniki mislijo, da se kaj koli obriše le, ko je vložena prijava. To ni tisto, kar določa uredba.
Notranja dokumentacija incidenta
To je dokument, ki mora obstajati pri vsaki kršitvi podatkov, ne glede na izid vaše ocene. Opisuje, kdaj ste incident odkrili, kaj se je natanko zgodilo, katere vrste podatkov in katere osebe je zajelo, ter katere ukrepe ste sprejeli, da bi omejili posledice. Nadzorniki pri pregledu ne gledajo samo na prijave, ki so bile vložene, temveč tudi na to, ali lahko organizacija pokaže, kako so bili predhodnji incidenti ocenjeni. Brez tega dokumenta te utemeljitve ni.
Ocena ali je prijava potrebna
Poleg dejanske dokumentacije je potreben drugi dokument: sama ocena. Kakšna tveganja ste videli za osebe, in na osnovi česa ste sklepali, da prijava je ali ni bila potrebna? GDPR pri tem razlikuje tveganje za pravice in svoboščine oseb kot merilo. Dokumentiranje te ocene ni le prijetno zase pozneje, je tudi dokument, s katerim lahko pokažete, da je bila sprejeta premišljena odločitev in ne slučaj. Kdor se dvomi, ali je konkreten incident podvržen dolžnosti prijave, najde odločitveno drevo, ki v nekaj vprašanjih daje prvo nakazilo izhodišče, brez da bi to nadomestilo lastno presojo.
Prijava Uradu za varstvo podatkov
Če je zaključek tak, da je prijava potrebna, se sama prijava pojavi kot dokument: kaj ste prijavili, kdaj in s katerimi podatki. GDPR za to določa rok 72 ur od trenutka, ko ste izvedeli za kršitev podatkov. Ne ohranite samo potrdila prijave, temveč tudi različico dejstev, kot so bila znana v času prijave — to je mogoče pozneje dopolniti, ko je več jasno o obsegu.
Komunikacija s strani oseb
V delu primerov je potrebno tudi sporočilo samim osebam, na primer, kadar se tveganje zanje šteje za precejšnje. Tudi to sporočilo — kaj se je natanko sporočilo in komu — je del dokumenta. To ni fiksna predloga, ki je za vsako kršitev podatkov enaka; vsebina je odvisna od tega, kaj se je dogodilo in kateri podatki so vpleteni.
Dogovori z dobavitelji in obdelovalci
Če se kršitev podatkov zgodi pri stranki, ki za vas obdeluje podatke, kot je računovodski paket ali gostilna, se tudi dogovor, ki je bil v tej zvezi dokumentiran v pogodbi o obdelavi podatkov, pojavi tudi kot dokument: te stranke sporočajo incidente vam in v katerem roku? Kdor to še ni jasno uredil, najde v znanjski bazi, kjer je to po situacijah razdelano izhodišče za pregled pogodb o obdelavi podatkov na tej točki.
Zakaj se ta dokumentacija loči od vaše varnosti
Dokumentacija o kršitvi podatkov se razlikuje od ukrepov, ki ste jih vnaprej sprejeli, da bi preprečili kršitev podatkov, vendar sta si blizu: nadzorni organ vas lahko vpraša, kako je izgledala vaša varnost v času incidenta. Kako se varnost podatkov v praksi dokumentira, lahko preberete prek pojasnil o ustreznih varnostnih ukrepih.
imeti to že urejenega
Knjižnico znanja in odločitveno drevo je mogoče brezplačno pregledam brez računa. Če želite, da so incidenti registrirani, roki in predloge zanje strukturirano na enem mestu namesto da bi jih vsakič znova iskali, je to tisto, za katero je naročnina pri gdpria.eu namenjena. Poslovni račun ga odprete v imenu vaše številke pri trgovini in davčne številke, povezan z organizacijo in ne na en sam e-poštni naslov.
Če imate trenutno možno kršitev podatkov za oceno, najprej opravite brezplačen hitre pregled ali preberite teme v knjižnici znanja. Za razlago, kaj natanko velja za vašo situacijo, ostajata pravnik ali Organ za varstvo podatkov najprimernejši stiki.