Cand se aplica notificarea incalcarilor securitatii datelor personale si ce urmeaza

Notificarea incalcarilor securitatii datelor personale este un flux operational. Cand un incident poate implica date personale, echipa trebuie sa deschida un dosar de evaluare, sa confirme sistemele afectate, sa atribuie responsabili si sa documenteze faptele cunoscute si necunoscute.

Articolul 33 GDPR cere operatorului sa notifice autoritatea competenta fara intarzieri nejustificate si, daca este posibil, in 72 de ore de la momentul in care a luat cunostinta de incalcare, cu exceptia cazului in care este improbabil sa existe risc pentru drepturile si libertatile persoanelor. Persoana imputernicita trebuie sa notifice operatorul fara intarzieri nejustificate. Articolul 34 cere comunicare catre persoane cand exista risc ridicat.

Pentru SaaS, intrebarile sunt simple: exista date personale, exista risc sau risc ridicat, si ce rol are compania pentru fiecare set de date. Furnizorul poate fi operator pentru date de cont si imputernicit pentru datele clientilor.

Dosarul trebuie sa includa detectarea, momentul constientizarii, sistemele, categoriile de date, persoanele sau inregistrarile afectate, furnizorii, limitarea efectelor, consecintele probabile, masurile si decizia de notificare. Termenele din DPA si contracte trebuie incluse in acelasi workflow.

Autoritatea, persoanele vizate, clientii si echipele interne au nevoi diferite. Evaluati separat riscul si riscul ridicat.

Greselile frecvente sunt asteptarea certitudinii, maparea gresita a rolurilor, confuzia dintre risc si risc ridicat, increderea excesiva in criptare sau containment si dovezi imprastiate in chat-uri, tichete si emailuri. Un proces bun conecteaza incident response, privacy, obligatii catre clienti si remediere.

FAQ

Trebuie notificata fiecare incalcare?

Nu. Daca riscul pentru persoane este improbabil, notificarea autoritatii poate sa nu fie necesara. Decizia trebuie documentata.

Ce documentam prima data?

Cronologia, datele afectate, rolul GDPR, clientii, limitarea efectelor, analiza de risc, decizia si actiunile corective.