Apie įvykusius duomenų apsaugos pažeidimus būtina informuoti

Apie įvykusius duomenų apsaugos pažeidimus būtina informuoti duomenų apsaugos inspekciją.

Lenkijos priežiūros institucija paskyrė 3 500 eurų baudą bendrovei „Esselmann Technika Pojazdowa“. Bauda buvo skirta už tai, kad bendrovė neįvykdė savo pareigos pranešti priežiūros institucijai apie įvykusį asmens duomenų pažeidimą. Pažeidimas kilo dėl to, kad dėl darbdavio kaltės buvo prarastas vieno iš darbuotojų darbo pažymėjimas, kuriame buvo pateikta tokia informacija kaip darbo santykių trukmė, suteiktos vaiko priežiūros atostogos, informacija apie darbo užmokesčio dydį, įgytą kvalifikaciją ir panašiai.

Analizuojant šią situaciją svarbu atkreipti dėmesį, kad bendrovė sąmoningai nepranešė priežiūros institucijai apie padarytą pažeidimą. Anot bendrovės atstovų, pažeidimas buvo mažareikšmis ir nesukėlė pavojaus duomenų subjektų teisėms ir laisvėms. Vis dėlto, Lenkijos priežiūros institucija tam nepritarė ir bendrovei skyrė baudą.

Primename, kad Bendrasis duomenų apsaugos reglamentas įpareigoja asmens duomenų saugumo pažeidimo atveju nepagrįstai nedelsiant apie tai pranešti priežiūros institucijai, nebent asmens duomenų saugumo pažeidimas neturėtų kelti pavojaus fizinių asmenų teisėms ir laisvėms. Tačiau kaip žinoti, ar pažeidimas yra mažareikšmis, ir kokių esminių veiksmų imtis, kai yra padaromas pažeidimas?

Visų pirma, būkite pasiruošę galimam pažeidimui iš anksto:

• organizuokite mokymus, kuriuose edukuokite darbuotojus, kaip aptikti asmens duomenų pažeidimą ir kaip elgtis tokioje situacijoje;
• parenkite asmens duomenų saugumo reagavimo aprašą bei duomenų saugumo pažeidimų registrą;
• paskirkite atsakingą darbuotoją, kuris būtų atsakingas už pažeidimu sukeltos grėsmės panaikinimą.

O taip pat žinokite, kaip elgtis, kai yra padaromas pažeidimas:

• pagal bendrovėje patvirtintą procedūrą įvertinkite tikėtiną pažeidimo riziką asmenims;
• jei duomenų subjektų teisėms ir laisvėms gresia didelis pavojus, nedelsdami informuokite nukentėjusius asmenis apie pažeidimą;
• nustačius pažeidimą ir faktą, kad yra rizika fizinių asmenų teisėms ir laisvėms, atsakingas asmuo nedelsdamas, ne vėliau kaip per 72 val. nuo sužinojimo apie pažeidimą, turėtų pranešti apie tai priežiūros institucijai (jeigu įvertinus riziką abejojama, ar ji yra ir ar reikia pranešti apie pažeidimą, rekomenduotina vis tiek pranešti);
• dokumentuokite visus pažeidimus, net jei ne apie visus juos reikia pranešti.