GDPR: Na bezpečnostné incidenty by firmy mali byť pripravené

Spoločnosti by mali teda preskúmať, aká je ich schopnosť odhaľovať bezpečnostné incidenty. Každá firma by mala skúmať, či systémy, ktoré používa, dokážu odhaľovať bezpečnostné incidenty ako sú stanovené povinnosti jednotlivých pracovníkov spoločnosti v takýchto situáciách. 

Spoločnosť by mala určiť konkrétne osoby, ktoré budú mať za úlohu komunikáciu s Úradom na ochranu osobných údajov SR. Bezpečnostný incident je potrebné oznámiť do 72 hodín od okamihu, kedy nastal. To, akým spôsobom spoločnosť zareaguje na porušenie ochrany osobných údajov,  určuje stanovenie miery zodpovednosti tejto spoločnosti. Dozorné orgány budú prihliadať na správanie sa firiem po odhalení bezpečnostného incidentu.

Zároveň je dôležité skúmať, či sú ostatné oprávnené osoby poučené o tom, čo je bezpečnostný incident a komu ho v rámci organizačnej štruktúry spoločnosti oznámiť. Porušením ochrany osobných údajov je potrebné rozumieť náhodné alebo nezákonné zničenie osobných údajov, stratu, zmenu, neoprávnené poskytnutie osobných údajov, neoprávnený prístup k osobným údajom, ktoré môže viesť napríklad k diskriminácii, krádeži identity, zneužitiu identity, finančnej strate, poškodeniu povesti, neoprávnenému zrušeniu pseudonymizácie a podobne. 

K porušeniu ochrany osobných údajov môže dôjsť zvonku, napríklad v dôsledku kybernetického útoku, alebo zvnútra spoločnosti ako napríklad pri neoprávnenom sprístupnení údajov tretej osobe. Porušenie ochrany osobných údajov môže byť zároveň úmyselné ako aj nedbanlivostné.

Do 25. mája 2018 by spoločnosti mali:

• preskúmať, aká je ich schopnosť odhaľovať bezpečnostné incidenty
• určiť konkrétnu osobu , ktorá uskutoční oznámenia porušenia ochrany osobných údajov Úradu na ochranu osobných údajov SR, prípadne aj dotknutým osobám
• stanoviť mechanizmy riešenia bezpečnostných incidentov
• preskúmať, či ostatné oprávnené osoby sú schopné rozpoznať bezpečnostný incident a situáciu oznámiť kompetentným subjektom v rámci spoločnosti