Naruszenie ochrony danych: 72 godziny i co w nich zrobić
Termin biegnie od powzięcia wiadomości, nie od wyjaśnienia sprawy. Kto czeka, aż wszystko zrozumie, zwykle już go przekroczył – a zgłoszenie niekompletne jest wyraźnie przewidziane.
Naruszenie ochrony danych osobowych to więcej niż atak hakerski. Obejmuje każde zniszczenie, utratę, zmianę i nieuprawnione ujawnienie – umyślne lub przypadkowe.
Większość przypadków nie mieści się więc w kategorii „atak”, lecz „wpadka”: e-mail do niewłaściwej listy, otwarty katalog na serwerze, zgubiony laptop, przypadkiem usunięta baza bez kopii.
Pierwsze 72 godziny
- PowstrzymaćNajpierw zatrzymać wyciek: zablokować dostęp, cofnąć udostępnienie, zmienić hasła. Przed jakąkolwiek dokumentacją.
- UstalićJakie dane, ile osób, jaki okres, kto miał dostęp. Na początku wystarczą przybliżenia.
- Ocenić ryzykoZ perspektywy osób, których dane dotyczą. Dane zaszyfrowane z bezpiecznym kluczem niosą inne ryzyko niż jawne nazwiska.
- ZgłosićDo właściwego organu nadzorczego, jeśli istnieje ryzyko. Zgłoszenia niekompletne są dopuszczalne i uzupełniane później.
- UdokumentowaćKażde naruszenie, także niezgłoszone. Sama decyzja o niezgłaszaniu też podlega udokumentowaniu.
Dwa progi, nie jeden
Zgłoszenie do organu i powiadomienie osób
Do organu nadzorczego
Do osób, których dane dotyczą
Próg: istnieje ryzyko
Próg: istnieje <em>wysokie</em> ryzyko
Termin: 72 godziny od powzięcia wiadomości
Termin: bez zbędnej zwłoki
Treść: charakter naruszenia, skala, skutki, środki, punkt kontaktowy
Treść: to samo, ale jasnym i prostym językiem
Odpada tylko, gdy ryzyko jest mało prawdopodobne
Odpada także przy skutecznym szyfrowaniu lub późniejszych środkach
Co da się przygotować wcześniej
- Właściwy organ i jego formularz zgłoszeniowy – ustalanie tego w biegnącym terminie kosztuje godziny.
- Rejestr czynności przetwarzania – bez niego nie da się powiedzieć, jakie dane są objęte.
- Ścieżka zgłoszenia działająca także w sobotni wieczór, wraz z zastępstwem.
- Szablon powiadomienia osób – napisany na spokojnie, nie pod presją.