Chiar și cu obiceiuri bune, lucrurile pot merge prost. Atunci contează să reacționați repede. Regulile se află în articolele 33 și 34 din regulament.
Ce este o încălcare?
O încălcare a securității datelor cu caracter personal este o încălcare a securității care duce la distrugerea, pierderea, modificarea, divulgarea neautorizată sau accesul neautorizat la date personale, accidental sau ilegal (articolul 4 punctul 12). Poate afecta trei lucruri:
- Confidențialitatea: Persoane neautorizate obțin acces. Exemplu: un e-mail cu statele de plată este trimis destinatarului greșit.
- Integritatea: Datele sunt modificate fără permisiune sau din greșeală.
- Disponibilitatea: Datele se pierd sau nu mai pot fi folosite. Exemplu: ransomware criptează fișierele sau lipsește o copie de rezervă.
Alte exemple: un laptop sau un telefon pierdut cu date pe el, un atac de hackeri, hârtii într-un container deschis, un tabel partajat cu prea multe persoane, un angajat care se uită în sistem fără nevoie legată de muncă și o scrisoare ajunsă la altcineva din greșeală.
Responsabilitatea dumneavoastră: spuneți imediat
Ca angajat, trebuie:
- Să semnalați incidentul imediat persoanei de contact sau sistemului desemnat de companie. Nu așteptați să vedeți dacă se dovedește grav.
- Să spuneți ce știți: ce s-a întâmplat, când, ce date și câte persoane pot fi afectate.
- Să încercați să limitați paguba, dacă puteți, de exemplu rugând un destinatar greșit să șteargă e-mailul. Faceți-o însă numai de comun acord și nu ștergeți singur dovezi.
- Să nu ascundeți greșeala și să nu o corectați pe ascuns.
Compania, nu dumneavoastră, apreciază dacă incidentul trebuie notificat.
Obligațiile companiei
- Notificarea către Datatilsynet (articolul 33 alineatul 1): Când operatorul a luat cunoștință de o încălcare, trebuie să o notifice autorității fără întârziere nejustificată și, dacă este posibil, în termen de 72 de ore. Excepția este dacă încălcarea nu este susceptibilă să genereze un risc pentru drepturile și libertățile persoanelor. Notificarea se face digital, prin formularul Datatilsynet de pe virk.dk. Dacă se face după 72 de ore, trebuie explicat motivul întârzierii. Informațiile pot fi date etapizat.
- Informarea persoanelor afectate (articolul 34): Dacă încălcarea este susceptibilă să genereze un risc ridicat pentru persoane, ele trebuie informate și ele fără întârziere nejustificată, într-un limbaj clar și simplu.
- Persoanele împuternicite trebuie să anunțe operatorul fără întârziere nejustificată (articolul 33 alineatul 2).
- Documentarea (articolul 33 alineatul 5): Compania trebuie să țină o evidență a tuturor încălcărilor, inclusiv a celor care nu se notifică, cu faptele, efectele și măsurile luate. Datatilsynet poate cere să o vadă.
Termenul de 72 de ore se calculează din momentul în care compania ia cunoștință de încălcare și include și weekendurile. Este unul dintre cele mai importante motive să semnalați repede la nivel intern: fiecare oră pe care o așteptați scade din timpul companiei.
După încălcare
Compania ar trebui să învețe din incident: ce a mers prost și cum împiedicăm să se repete? O greșeală semnalată deschis este o ocazie de a îmbunătăți rutinele.
Rețineți: 72 de ore. Semnalarea dumneavoastră rapidă este prima verigă a termenului companiei.