Европейският комитет по защита на данните обяснява защо е важно да получи информацията за инцидент навреме
Европейският комитет по защита на данните (ЕКЗД/EDPB) публикува Насоки 9/2022 относно уведомяването за нарушение на сигурността на личните данни съгласно GDPR. Текстът на параграф 73 беше обект на обществено обсъждане в края на 2022 г., а в сайта на комитета не се вижда нито един коментар, постъпил от България. Защо тези насоки са важни? След последната редакция от 6 февруари 2018 г. на Насоките относно уведомяването за нарушения на сигурността на личните данни съгласно Регламент (ЕС) 2016/679 на Работна група за защита на личните данни по член 29 се появява необходимостта от допълване на раздел за предприятия извън ЕС.
Какво пише в насоките? ЕКЗД счита, че изискването за уведомяване има редица предимства. При уведомяване на надзорния орган администраторите могат да получат съвет дали засегнатите лица трябва да бъдат информирани. В действителност надзорният орган може да нареди на администратора да информира тези лица за нарушението. Съобщаването на нарушение на лицата позволява на администратора да предостави информация за рисковете, възникващи в резултат на нарушението, и стъпките, които тези лица могат да предприемат, за да се защитят от неговите потенциални последици. Фокусът на всеки план за реакция при нарушение трябва да бъде върху защитата на лицата и техните лични данни. Следователно уведомяването за нарушение трябва да се разглежда като инструмент за подобряване на съответствието по отношение на защитата на личните данни. В същото време трябва да се отбележи, че липсата на докладване за нарушение на физическо лице или на надзорен орган може да означава, че съгласно член 83 от GDPR е възможно налагане на санкция на администратора.
Следователно администраторите и обработващите данни се насърчават да планират предварително и да въведат процеси, за да могат да открият и своевременно да ограничат нарушението, да оценят риска за лицата и след това да определят дали е необходимо да уведомят компетентния надзорен орган и да съобщят за нарушението на засегнатите лица, когато е необходимо. Уведомлението до надзорния орган трябва да бъде част от този план за реакция при инцидент.
GDPR/ОРЗД съдържа разпоредби относно това кога за нарушение трябва да се уведомява и кого, както и каква информация трябва да бъде предоставена като част от уведомлението. Информацията може да бъде предоставена на етапи, но във всеки случай администраторите трябва да предприемат своевременни действия при всяко нарушение.
Насоките обясняват изискванията за задължително уведомяване за нарушения и някои от стъпките, които администраторите и обработващите могат да предприемат, за да изпълнят тези задължения. В документа има и примери за различни видове нарушения и кой трябва да бъде уведомен при различните сценарии.
Основна препоръка на ЕКЗД е администраторът да документира мотивите си за решенията, взети в отговор на нарушението. Например обосновката защо да не се пуска уведомление. Причините, поради които администраторът счита, че е малко вероятно нарушението да доведе до риск за правата и свободите на лицата.
Когато администраторът уведоми за нарушение надзорния орган, но уведомлението се забави, администраторът трябва да може да посочи причините за това забавяне; документацията, свързана с това, може да помогне да се докаже, че забавянето на докладването е оправдано и не е прекомерно.
Когато администраторът съобщи за нарушение на засегнатите лица, той трябва да бъде прозрачен относно нарушението и да съобщи по ефективен и навременен начин. Съответно това би помогнало на администратора да демонстрира отчетност и съответствие чрез запазване на доказателства за такава комуникация.
За да се подпомогне спазването на членове 33 и 34 от ОРЗД, би било полезно както за администраторите, така и за обработващите данни да разполагат с документирана процедура за уведомяване, определяща процеса, който да се следва след откриване на нарушение.
За да се покаже съответствие с GDPR, трябва да може да се докаже, че служителите са били информирани за съществуването на такива процедури и механизми и че знаят как да реагират при нарушения.
Липсата на правилно документиране на нарушение може да доведе до упражняване от страна на надзорния орган на правомощията му съгласно член 58 от GDPR и или налагане на административна глоба в съответствие с член 83 от GDPR, пише в насоките.
Дадени са 10 примера в помощ на администраторите да определят дали трябва да уведомяват някого при различни сценарии за нарушаване на сигурността на личните данни. Тези примери също могат да помогнат за разграничаване на риска за правата и свободите на физическите лица.