Personas datu aizsardzības pārkāpumu procedūra nosaka, kā uzņēmums atpazīst notikumu, ierobežo tā sekas, pieņem lēmumus un saglabā pierādījumus. Pārkāpumu reģistrs savukārt rāda, kas konkrētajā lietā noticis un kāpēc uzņēmums rīkojies tieši tā. Abi vajadzīgi kopā: laba procedūra nepalīdz, ja darbinieki to nevar atrast, bet tabula bez atbildīgajiem neveido incidenta vadību.
Šis raksts palīdz izveidot iekšējo darba kārtību un izsekojamu lietas ierakstu. Zemāk dots pielāgojams procedūras un reģistra paraugs, taču tā aizpildīšanai vajadzīgi uzņēmuma īstie kanāli, pilnvaras un sistēmas. Paraugs nav oficiāla DVI veidlapa un neaizstāj regulatoram nepieciešamo paziņojumu, ja konkrētajā situācijā tas jāiesniedz.
Nošķiriet tehnisku incidentu no personas datu pārkāpuma
VDAR 4. panta 12. punkts aptver drošības pārkāpumu, kura rezultātā personas dati nejauši vai nelikumīgi iznīcināti, nozaudēti, pārveidoti, neatļauti izpausti vai tiem piekļūts. Tāpēc pārkāpums nav tikai datu noplūde internetā. Tas var skart konfidencialitāti, integritāti vai pieejamību, tostarp tad, ja sistēma bojāta bez pierādītas ārējas piekļuves.
Vienlaikus ne katra neveiksmīga pieteikšanās vai sistēmas kļūda jau ir personas datu aizsardzības pārkāpums. Sākotnējo notikumu var reģistrēt kā drošības incidentu un izmeklēšanas laikā precizēt klasifikāciju. Saglabājiet faktus, uz kuriem balstīts secinājums. Frāze «noplūde nav konstatēta» viena pati neatbild uz jautājumu, vai dati nav nelikumīgi mainīti vai kļuvuši nepieejami.
Hipotētiskā situācijā darbinieks nosūta klientu sarakstu nepareizam saņēmējam. Pat ja saņēmējs uzreiz sola to dzēst, neatļauta izpaušana jau jāizvērtē. Solījums var ietekmēt seku un riska vērtējumu, bet automātiski neatceļ notikušo. Jānoskaidro datu saturs, saņēmēja uzticamība, iespējamās kopijas un tas, cik pārliecinoši izdevies ierobežot turpmāku izmantošanu.
Citā piemērā šifrēta rezerves kopija īslaicīgi nav pieejama, bet pamatsistēma darbojas un dati nav zaudēti. Klasifikāciju nosaka faktiskā ietekme un notikuma apstākļi. Nedrīkst mehāniski secināt, ka jebkurš dīkstāves brīdis vienmēr nozīmē paziņojumu DVI, vai ka pieejamības problēmas nekad nav personas datu aizsardzības jautājums.
Iekšējā ziņošana jāpadara vienkārša
Darbiniekam pirmajā ziņojumā nav jānosaka juridiskais risks vai precīzs skarto personu skaits. Viņam jāspēj nekavējoties nodot zināmos faktus noteiktam kontaktam. Ieteicams izmantot vienu viegli atrodamu kanālu un paredzēt alternatīvu, ja parastais e-pasts vai uzņēmuma tīkls nedarbojas. Procedūrā jābūt arī aizvietotājam galvenā atbildīgā prombūtnes laikā.
Pirmajā ziņojumā pietiek sākt ar notikuma aprakstu, atklāšanas laiku, iespējami skartajām sistēmām un jau veiktajām darbībām. Neprasiet darbiniekam pierādīt, ka incidents ir nopietns, pirms to drīkst nodot tālāk. Šāds šķērslis var aizkavēt reakciju un radīt kļūdainu pārliecību, ka neziņots notikums juridiski vēl nav zināms.
Vienlaikus jāizskaidro, ko darbiniekam nevajag darīt patstāvīgi. Piemēram, pierādījumus nevajadzētu sūtīt plašai adresātu grupai vai pārkopēt personīgā mākoņkrātuvē. Tehniskās darbības jāsaskaņo ar incidenta koordinatoru, lai nejauši neizdzēstu vajadzīgos žurnālus. Tas nenozīmē gaidīt formālu atļauju acīmredzama turpmāka kaitējuma apturēšanai, ja šāda rīcība ietilpst noteiktajās pilnvarās.
Apmācībā izmantojiet uzņēmuma darbībai atbilstošus piemērus: nepareiza pielikuma nosūtīšanu, pazaudētu ierīci, aizdomīgu datu eksportu vai piegādātāja brīdinājumu. Mērķis ir panākt, lai cilvēks atpazīst ziņojamu situāciju un zina pirmo soli. Nav nepieciešams, lai katrs darbinieks no galvas zinātu visus VDAR pantu nosacījumus.
Atbildība, padoms un lēmuma pieņemšana
Procedūrā atdaliet incidenta koordinēšanu, tehnisko izmeklēšanu, juridisko izvērtēšanu un ārējo saziņu. Mazā uzņēmumā vairākas lomas var pildīt viena persona, tomēr jābūt saprotamam, kas pieņem lēmumu un kas to aizstāj. Pārzinis saglabā atbildību arī tad, ja izmeklēšanu veic ārējais IT uzņēmums vai konsultants.
Datu aizsardzības speciālists, ja tāds ir iecelts, konsultē un uzrauga savu uzdevumu ietvaros. Viņš nav automātiski vienīgais incidenta vadītājs vai persona, uz kuru pārnest pārziņa atbildību. Praktiski jāparedz savlaicīga speciālista iesaiste, piekļuve informācijai un padoma dokumentēšana, vienlaikus saglabājot skaidru vadības lēmuma atbildību.
Ārējai saziņai nosakiet apstiprināšanas kārtību, kas nekļūst par kavējošu šķērsli. Ja vienīgais parakstītājs nav sasniedzams, jābūt tiesīgam aizvietotājam. Vajadzīgās sistēmas piekļuve un pilnvarojums jāpārbauda pirms incidenta. Pretējā gadījumā juridiski pareizs ziņojuma projekts var palikt nenosūtīts tehniskas vai organizatoriskas problēmas dēļ.
Ieteicams noteikt arī lēmumus, kurus tehniskā komanda drīkst pieņemt nekavējoties, piemēram, slēgt kompromitētu kontu vai izolēt ierīci. Atsevišķi jāparedz situācijas, kurās pakalpojuma apturēšana rada būtiskas sekas klientiem. Pilnvaru robežām jāpalīdz ātri samazināt kaitējumu, saglabājot pārskatāmu pamatojumu pieņemtajiem lēmumiem.
Veidojiet vienu faktu hronoloģiju
Reģistrā nošķiriet iespējamo notikuma sākumu, atklāšanas brīdi, brīdi, kad pārzinim pārkāpums kļuvis zināms, un turpmākos lēmumus. Šie datumi var atšķirties. Ja sākotnējā informācija vēl nebija pietiekama secinājumam, saglabājiet, ko uzņēmums tobrīd zināja un kādas pārbaudes veica, lai situāciju noskaidrotu.
Katram būtiskam ierakstam pievienojiet laiku, avotu un autoru. Ja piegādātājs sākumā min desmit lietotājus, bet vēlāk precizē skaitu līdz diviem simtiem, iepriekšējo vērtību nevajadzētu vienkārši pārrakstīt bez pēdām. Versiju vēsture palīdz paskaidrot, kāpēc sākotnējais lēmums atšķīrās no vēlākā, un novērš kļūdainu iespaidu, ka uzņēmums visu zināja jau sākumā.
Pierādījumus glabājiet atbilstoši to sensitivitātei. Reģistra pamata skatā bieži pietiek ar atsauci uz aizsargātu pielikumu, nevis pilnu klientu datu kopiju. Nodrošiniet piekļuvi tikai vajadzīgajām personām un saglabājiet vajadzīgo informāciju par izcelsmi. Incidenta izmeklēšana nedod visiem darbiniekiem vispārīgas tiesības pārlūkot skarto personu datus.
Apstrādes darbību reģistrs palīdz atrast datu kategorijas, saņēmējus un pakalpojumu īpašniekus. Tomēr tas nav pats pārkāpumu reģistrs. Incidenta lietā vajadzīgi konkrētie apstākļi, ietekme un korektīvās darbības, savukārt apstrādes reģistrā aprakstīta darbība kā tāda. Saite starp abiem dokumentiem palīdz izvairīties no dublēšanās.
Vērtējiet risku cilvēkiem, ne tikai uzņēmuma izmaksas
Riska vērtējumā jāapsver iespējamās sekas skartajām personām: piemēram, identitātes ļaunprātīga izmantošana, finansiāls zaudējums, diskriminācija vai konfidenciālas situācijas atklāšana. Uzņēmuma reputācija un sistēmas atjaunošanas cena ir nozīmīgi darbības jautājumi, bet tie neaizstāj VDAR prasīto cilvēka tiesību un brīvību vērtējumu.
Ņemiet vērā datu raksturu, apjomu, sasaistāmību, skarto personu situāciju un iespējamā saņēmēja spējas izmantot informāciju. Neliels ierakstu skaits var radīt smagas sekas, ja informācija ir īpaši sensitīva. Savukārt apjoms pats par sevi nedod pilnu atbildi, ja nav saprotams, vai dati bija lasāmi un pieejami neatļautai personai.
Esoši aizsardzības pasākumi jāvērtē pēc faktiskās darbības. Šifrēšanas esība ir būtiska, bet jānoskaidro, vai algoritms un atslēgu pārvaldība patiešām neļāva saņēmējam datus saprast. Ja nozagta ierīce kopā ar atslēgu vai aktīvu atvērtu sesiju, vārds «šifrēts» var nedot cerēto aizsardzību. Saglabājiet tehniskās komandas secinājumu un tā robežas.
Ja informācijas trūkst, fiksējiet nenoteiktību un nākamo pārbaudi. Nedrīkst automātiski pielīdzināt nezināmu ietekmi zemam riskam. Vienlaikus riska novērtējums nav prasība izdomāt katru teorētiski iespējamo kaitējumu bez saiknes ar notikumu. Pamatots lēmums rāda ticamos scenārijus, pieejamos pierādījumus un to, kas varētu mainīt secinājumu.
Trīs atsevišķi lēmumi: dokumentēt, ziņot, informēt
VDAR 33. panta 5. punkts paredz dokumentēt katru personas datu aizsardzības pārkāpumu, tostarp faktus, sekas un veiktās korektīvās darbības. Tas attiecas arī uz gadījumiem, par kuriem uzraudzības iestādei nav jāpaziņo. Reģistrā tādēļ vajadzīgs pamatots neziņošanas lēmums, nevis tikai atzīme «DVI nav informēta» bez paskaidrojuma.
Uzraudzības iestādei jāpaziņo bez nepamatotas kavēšanās un, ja iespējams, ne vēlāk kā 72 stundās pēc uzzināšanas, izņemot gadījumu, kad pārkāpums, visticamāk, nerada risku cilvēku tiesībām un brīvībām. Ja paziņo vēlāk, jāpievieno kavēšanās iemesli. 72 stundu paziņošanas ceļvedis detalizētāk izskaidro termiņa un paziņojuma jautājumus.
Ja visu informāciju nav iespējams sniegt vienlaikus, to var iesniegt pakāpeniski bez turpmākas nepamatotas kavēšanās. Procedūra nedrīkst prasīt pabeigt pilnu izmeklēšanu, pirms drīkst nosūtīt sākotnējo paziņojumu. Sākotnējā informācijā godīgi nodaliet zināmos faktus, aplēses un to, ko vēl pārbaudāt; nepadariet pieņēmumu par apstiprinātu rezultātu.
Atsevišķs lēmums saskaņā ar 34. pantu ir skarto personu informēšana bez nepamatotas kavēšanās, ja pārkāpums var radīt augstu risku. Paredzētie izņēmumi jāvērtē konkrēti: piemēroti pasākumi padara datus nesaprotamus, turpmākie pasākumi novērš augstā riska iespējamību vai individuāla saziņa prasītu nesamērīgu piepūli, kad vajadzīga līdzvērtīgi efektīva publiska vai cita saziņa.
DVI kanāls un saprotama saziņa ar cilvēkiem
DVI pārziņu paziņošanas lapa norāda tiešsaistes rīku un alternatīvos iesniegšanas veidus, tostarp e-adresi, pienācīgi parakstītu iesniegumu oficiālajā e-pastā un papīra iesniegšanu. Pārziņa paziņojums nav datu subjekta sūdzība. Pirms izmantošanas pārbaudiet aktuālo oficiālo lapu, nevis paļaujieties uz procedūrā pirms vairākiem gadiem iekopētu adresi.
Saglabājiet tieši iesniegto ziņojuma versiju, iesniegšanas laiku un saņemšanas apliecinājumu. Ja ziņojumu iesniedz pilnvarots pārstāvis, pārzinim joprojām jāspēj iegūt šo informāciju. Vēlāks papildinājums jāsaista ar sākotnējo lietu, lai ārējā saziņa un iekšējā hronoloģija nestāstītu atšķirīgus stāstus par vienu notikumu.
Cilvēkiem adresētam paziņojumam jābūt skaidram un saprotamam. Izskaidrojiet pārkāpuma raksturu, iespējamo ietekmi, kontaktpunktu un veiktos vai paredzētos pasākumus. Ja ieteicat praktisku darbību, tai jāatbilst riskam, piemēram, paroles maiņai kompromitētu piekļuves datu gadījumā. Neskaidrs tehnisks teksts vai nevajadzīgu datu atkārtota izpaušana var palielināt sākotnējo kaitējumu.
Saziņas komandai jāsaņem apstiprināti fakti un robežas, ko vēl nevar apgalvot. Paziņojums «riska nav» nav piemērots, ja izmeklēšana to vēl neļauj secināt. Vienlaikus uzņēmumam jāizvairās no nepamatotiem apgalvojumiem par jau notikušu kaitējumu. Atjauniniet saziņu, kad mainās būtiski apstākļi, un saglabājiet izmantoto versiju pierādījumus.
Apstrādātāja un piegādātāju ķēdes iesaiste
Apstrādātājs par personas datu aizsardzības pārkāpumu pārzinim ziņo bez nepamatotas kavēšanās pēc uzzināšanas. Tam nav vispārīgu patstāvīgu 72 stundu, kurās klusēt pirms klienta informēšanas. Pārzinim vajadzīgs laiks savam izvērtējumam un pienākumu izpildei, tāpēc ziņošanas kontaktus un informācijas pakāpenisku papildināšanu jānosaka iepriekš.
Datu apstrādes līgums vai cits VDAR 28. pantā paredzēts saistošs Savienības vai dalībvalsts tiesību akts nosaka apstrādātāja pienākumu ietvaru. Praktiskos komerclīguma noteikumus var sagatavot, izmantojot līguma paraugu, bet jāpielāgo kontaktpersonas, palīdzības saturs, pieejamie pierādījumi un attiecīgā apakšapstrādātāju ķēde.
Piegādātāja ziņojumā var nebūt uzreiz zināms, kuri no uzņēmuma klientiem ir skarti. Procedūrā jāparedz, kas savieno piegādātāja tehniskos identifikatorus ar uzņēmuma ierakstiem un pārbauda rezultātu. Nekritiska visa piegādātāja klientu skaita pārņemšana var radīt gan pārspīlētu, gan nepietiekamu ietekmes aprakstu. Saglabājiet aprēķina metodi un vēlākos precizējumus.
Ja viens notikums skar vairākus pārziņus, katram jāizvērtē savi pienākumi un konkrētā ietekme. Kopīga izmeklēšana var palīdzēt, bet nevar automātiski aizstāt atsevišķu juridisko lēmumu. Ja ziņošanu kāds veic cita vārdā, vajadzīgs skaidrs pilnvarojums, aptvertā informācija un pierādījums, ka konkrētā pārziņa paziņojums tiešām ir iesniegts.
Lietas slēgšana un uzlabojumu izpilde
Incidentu nevajadzētu slēgt tikai tāpēc, ka sistēma atkal darbojas. Jāpārbauda, vai izpildīti paziņošanas lēmumi, izvērtētas sekas un noteiktas darbības cēloņa novēršanai. Tehniska atjaunošana un juridiskās lietas pabeigšana var notikt dažādos laikos. Reģistra statuss var atšķirt pakalpojuma atjaunošanu no vēl atvērtiem korektīvajiem uzdevumiem.
Ja incidents atklāj jaunu vai lielāku risku, pārskatiet attiecīgo ietekmes novērtējumu, ja tas piemērojams. Iepriekš veikta DPIA pati par sevi nenozīmē, ka katrs incidents ir augsta riska pārkāpums. Vajadzīga konkrētā notikuma analīze un saprotama saikne ar esošo apstrādes risku izvērtējumu.
Integrētā datu aizsardzība palīdz pārvērst incidenta mācības sistēmas izmaiņās, piemēram, samazināt nevajadzīgu datu eksportu vai ieviest precīzākas piekļuves tiesības. Korektīvam uzdevumam vajadzīgs īpašnieks un rezultāta pārbaude. Vienreizēja atgādinājuma vēstule darbiniekiem var būt nepietiekama, ja kļūdu regulāri veicina sistēmas uzbūve.
Reģistra glabāšanas termiņš jānosaka pamatoti, ņemot vērā pārskatatbildību, iespējamos prasījumus un datu minimizēšanu. VDAR neparedz vienu universālu gadu skaitu katram pārkāpumu reģistram. Glabāšanas ierobežojuma skaidrojums palīdz atšķirt nepieciešamo lēmuma pierādījumu no pilniem tehniskajiem pielikumiem, kuri var būt dzēšami agrāk.
Procedūras un reģistra pielāgojams paraugs
Pirms parauga apstiprināšanas aizstājiet lomas ar reāliem pienākumu turētājiem un pārbaudiet kontaktus. Norādiet arī dokumenta versiju un pārskatīšanas atbildīgo. Neiekļaujiet publiski pieejamā procedūrā paroles vai sensitīvus tehniskus piekļuves datus. Darbiniekiem paredzētais īsais ziņošanas norādījums var būt atsevišķs no detalizētās izmeklēšanas kārtības.
Iekšējās procedūras paraugs — jāpielāgo uzņēmumam
1. Darbinieks ziņo par iespējamu incidentu [kanāls, alternatīvais kanāls],
norādot atklāšanas laiku, zināmos faktus un jau veiktās darbības.
2. Koordinators [loma] vai aizvietotājs [loma] reģistrē lietu, nodrošina
sākotnējo ierobežošanu un piesaista tehnisko un juridisko atbildīgo.
3. Tehniskais atbildīgais saglabā nepieciešamos pierādījumus, noskaidro
skartās sistēmas, datu kategorijas, piekļuvi un atjaunošanas iespējas.
4. Pilnvarotais lēmuma pieņēmējs [loma], saņemot vajadzīgo padomu,
dokumentē personas datu pārkāpuma klasifikāciju un risku cilvēkiem.
5. Katru personas datu aizsardzības pārkāpumu dokumentē. Par ziņošanu
kompetentajai uzraudzības iestādei lemj atsevišķi: bez nepamatotas
kavēšanās un, ja iespējams, 72 stundās pēc uzzināšanas, izņemot
gadījumu, kad pārkāpums, visticamāk, nerada risku cilvēku tiesībām
un brīvībām. Kavējuma gadījumā norāda iemeslus; trūkstošo informāciju
papildina bez turpmākas nepamatotas kavēšanās.
6. Atsevišķi izvērtē VDAR 34. panta augsta riska saziņu ar personām,
tās saturu, kanālu un jebkura piemērotā izņēmuma pamatojumu.
7. Ziņojumu iesniedz [pilnvarotā loma]; saglabā nosūtīto versiju un
saņemšanas apliecinājumu. Ja kanāls nedarbojas, izmanto oficiāli
pieejamo alternatīvu. Sūdzības forma neaizstāj pārziņa paziņojumu.
8. Koordinators uztur vienotu hronoloģiju un pārskata lēmumus, ja mainās
būtiskie fakti. Piegādātāju saziņu piesaista tai pašai lietai.
9. Pēc ierobežošanas apstiprina cēloņa novēršanas uzdevumus, atbildīgos,
termiņus un rezultāta pārbaudi. Lietu slēdz [pilnvarotā loma],
saglabājot pārskatu par vēl atvērtiem korektīvajiem darbiem.
Reģistra ieraksta paraugs
Lietas identifikators un statuss: [..]
Koordinators, aizvietotājs un lēmuma pieņēmējs: [..]
Notikuma sākums, atklāšana, uzzināšana un šo secinājumu avoti: [..]
Pārkāpuma raksturs un skartās sistēmas: [..]
Datu un personu kategorijas; skaita aplēse un aprēķina metode: [..]
Zināmie fakti, nenoteiktība un pierādījumu atrašanās vieta: [..]
Iespējamās un konstatētās sekas cilvēkiem: [..]
Tūlītējie pasākumi un atlikušais risks: [..]
Uzraudzības iestādes paziņošanas lēmums un pamatojums: [..]
Personu informēšanas lēmums, izņēmumi un pamatojums: [..]
Nosūtīto ziņojumu versijas, datumi un apliecinājumi: [..]
Faktu un lēmumu izmaiņas ar datumu, avotu un autoru: [..]
Korektīvie uzdevumi, atbildīgie un pārbaudītie rezultāti: [..]
Slēgšanas lēmums, pielikumu piekļuve un glabāšanas pārskatīšana: [..]
Paraugu ieteicams izspēlēt galda mācībās ar izdomātu notikumu. Pārbaudiet, vai dežurējošais darbinieks atrod kanālu, vai aizvietotājs var pieņemt lēmumu un vai ziņojuma iesniedzējam ir vajadzīgā piekļuve. Mācībās atklātu trūkumu var izlabot pirms īsta incidenta. Tas ir ieteicams praktisks pārbaudes veids, nevis atsevišķa universāla VDAR prasība par konkrētu mācību formātu.
Divi piemēri lēmuma un tā pārskatīšanas fiksēšanai
Pirmajā izdomātajā piemērā klienta dokumentu saņem nepareizs, bet zināms sadarbības partneris. Koordinators saglabā nosūtīšanas faktu, noskaidro pielikuma saturu un nosūta lūgumu saņēmējam dzēst failu un tā kopijas. Jānoskaidro arī, vai dokuments atvērts vai pārsūtīts. Saņēmēja atbilde ir viens pierādījums kopējā izvērtējumā, nevis automātisks atbrīvojums no dokumentēšanas.
Sākotnējais riska vērtējums var atšķirties atkarībā no tā, vai pielikumā bija tikai tikšanās laiks vai detalizēta informācija par cilvēka veselību. Abos gadījumos notikuma raksturs jāfiksē, bet iespējamās sekas un vajadzīgie pasākumi var būt ļoti atšķirīgi. Reģistrā jārāda šī atšķirība, lai vēlāks pārskatītājs saprastu lēmumu, nezinot komandas mutiskās sarunas.
Ja nākamajā dienā atklājas, ka saņēmējs failu pārsūtījis tālāk, iepriekšējo riska secinājumu pārskata. Pievieno jauno faktu, tā saņemšanas laiku un mainīto lēmumu, saglabājot sākotnējo ierakstu. Šādi redzams, ka uzņēmums reaģēja uz jaunām ziņām, nevis mēģināja vēlāk pielāgot hronoloģiju vēlamajam iznākumam. Vajadzības gadījumā papildina arī ārējo paziņojumu.
Otrajā piemērā izspiedējprogrammatūra padara nepieejamu klientu uzskaiti. Komanda pārbauda rezerves kopijas un iespējamās neatļautās piekļuves pazīmes. Ja nav pierādīta datu iznešana, tas vēl nenozīmē, ka nav noticis personas datu aizsardzības pārkāpums: jāvērtē arī datu zudums, pārveidošana un nepieejamības sekas. Vienlaikus nepamatoti pieņēmumi par iznešanu jānodala no apstiprinātiem faktiem.
Atjaunošanas gaitā jānoskaidro, vai atjaunotie ieraksti ir pilnīgi un vai cilvēkiem nav jāveic papildu darbības. Piemēram, kļūdains maksājuma statuss var radīt sekas arī pēc sistēmas darbības atsākšanas. Tehniskajam atjaunošanas apliecinājumam tāpēc ieteicams pievienot biznesa procesa pārbaudi un atlikušās neatbilstības. Tas sasaista incidenta novēršanu ar reālo ietekmi uz personām.
Abos piemēros lietas slēgšanas lēmumam jābalstās pārbaudītā rezultātā. Var palikt atvērts ilgāks sistēmas uzlabošanas uzdevums, bet tad jābūt skaidram atbildīgajam, termiņam un pagaidu pasākumiem. Reģistra mērķis nav radīt iespaidu, ka kļūdas nekad nenotiek. Tam jāparāda, ka uzņēmums notikumu pamanīja, izvērtēja, pienācīgi rīkojās un sekoja korektīvajām darbībām.
Biežākie jautājumi
Vai reģistrā jāieraksta tikai DVI paziņotie pārkāpumi?
Nē. Dokumentē katru personas datu aizsardzības pārkāpumu, arī ja pēc izvērtējuma paziņošana nav vajadzīga. Saglabā faktus, sekas un korektīvās darbības, kā arī pamatotu ziņošanas lēmumu. Sākotnēji neskaidrus tehniskus incidentus var uzskaitīt plašākā incidentu sistēmā, norādot vēlāk pieņemto klasifikāciju.
Vai piegādātājam ir 72 stundas klienta informēšanai?
Apstrādātāja pienākums ir ziņot pārzinim bez nepamatotas kavēšanās pēc uzzināšanas. Pārziņa 72 stundu noteikums attiecas uz atsevišķu paziņojumu uzraudzības iestādei un nav piegādātāja noklusējuma gaidīšanas termiņš. Līgumā jāparedz praktiska sadarbība, kas ļauj pārzinim laikus izvērtēt situāciju.
Vai darbinieka kļūda vienmēr nozīmē naudas sodu?
Nē. Konkrēto situāciju vērtē pēc piemērojamā regulējuma un faktiskajiem apstākļiem; nav automātiska soda par katru ziņojumu. Uzņēmumam jāierobežo kaitējums, jāizpilda pienākumi un jāspēj pamatot lēmumi. Noklusēšana vai ierakstu neveidošana nepadara notikumu par mazāk nozīmīgu un neatrisina tā cēloni.