პერსონალური მონაცემების დარღვევა არის უსაფრთხოების დარღვევა, რომელიც იწვევს პერსონალური მონაცემების შემთხვევით ან უკანონო განადგურებას, დაკარგვას, შეცვლას, არაავტორიზებული გამჟღავნებას ან წვდომას. ყველა ინციდენტის შესახებ შეტყობინება სავალდებულო არ არის, მაგრამ თქვენ უნდა შეძლოთ იმის დემონსტრირება, თუ როგორ მიხვედით ამ დასკვნამდე.
სამართლებრივი საფუძველი
განმარტება მოცემულია GDPR-ის მე-4(12) მუხლში. 33-ე მუხლი მოითხოვს, რომ კონტროლერმა დაუყოვნებლივ და დარღვევის შესახებ შეტყობინებიდან არაუგვიანეს 72 საათისა აცნობოს ნიდერლანდების მონაცემთა დაცვის ორგანოს, თუ ნაკლებად სავარაუდოა, რომ ეს საფრთხეს შეუქმნის პირთა უფლებებსა და თავისუფლებებს. 34-ე მუხლი ამატებს ვალდებულებას, თავად ინფორმირდნენ პირების შესახებ, თუ რისკი მაღალია. დამმუშავებლები აცნობებენ არა მარეგულირებელს, არამედ კონტროლერს და ეს დაუყოვნებლივ უნდა გააკეთონ. 33-ე მუხლის მე-5 პუნქტი მოითხოვს ყველა დარღვევის რეესტრის წარმოებას, მათ შორის იმ დარღვევის, რომელთა შესახებაც შეტყობინება არ გაკეთებულა.
როგორ მუშაობს ეს პრაქტიკაში
72 საათი იწყება მას შემდეგ, რაც თქვენ დარწმუნდებით, რომ პერსონალურ მონაცემებთან დაკავშირებული უსაფრთხოების ინციდენტი მოხდა და არა გამოძიების დასრულების შემდეგ. ამიტომ, შეტყობინება შეიძლება ეტაპობრივად გაკეთდეს: ჯერ ის, რაც იცით, შემდეგ კი დამატებები. შეფასება დამოკიდებულია ინდივიდისთვის შედეგებზე: მოიცავს თუ არა ეს სპეციალური კატეგორიის მონაცემებს, კომბინაციებს, რომლებიც ხელს უწყობენ პირადობის გაყალბებას, დიდ რაოდენობას ან დაუცველ მდგომარეობაში მყოფ ადამიანებს? დაშიფრული დისკით დაკარგული ლეპტოპი, როგორც წესი, არ არის შეტყობინებადი; ჯანმრთელობის მონაცემების შემცველი არასწორად გაგზავნილი საფოსტო გზავნილი თითქმის ყოველთვის შეტყობინებას ექვემდებარება.
სად მიდის არასწორი გზა
აღსრულების უმეტესი ნაწილი უფრო მეტად დარღვევის შედეგებს ეხება, ვიდრე თავად დარღვევას. ორგანიზაციები დაგვიანებით აცნობებენ, რადგან თავდაპირველად სურთ შინაგანად დაადგინონ, ვინ არის დამნაშავე, ან რეპუტაციის შელახვის შიშით ერიდებიან პირების ინფორმირებას, მიუხედავად იმისა, რომ რისკი საკმარისად მაღალია. მესამე ნაკლი არის შიდა რეესტრის არარსებობა: მის გარეშე თქვენ ვერ დაასაბუთებთ, თუ რატომ არ იქნა შეტყობინება ინციდენტის შესახებ და თქვენი შეფასება უბრალოდ არ ითვლება.
დაკავშირებული ტერმინები
დარღვევა პირდაპირ კავშირშია მონაცემთა დამუშავების შეთანხმებასთან , რომელშიც მითითებული უნდა იყოს თქვენი მომწოდებლის ანგარიშგების ბოლო ვადა, და ნიდერლანდების კიბერუსაფრთხოების შესახებ კანონთან , რომელიც გარკვეულ სექტორებს საკუთარ უფრო მოკლე ვადას აწესებს.
არ ხართ დარწმუნებული, უნდა მოხდეს თუ არა ინციდენტის შესახებ შეტყობინების გაგზავნა? ჩვენი IT სამართლის სპეციალისტები შეაფასებენ მას თქვენთან ერთად, მათ შორის 72-საათიანი ფანჯრის ფარგლებში.
