Prawnik potrzebuje ustaleń technicznych

Sama informacja „doszło do włamania” nie pozwala ocenić rodzaju naruszenia. Potrzebne są dane o czasie, zakresie dostępu, kategoriach informacji i możliwych skutkach. Wskaż, które fakty potwierdzono, a które pozostają hipotezą. Uaktualniaj ocenę wraz z nowymi dowodami.

W zespole wyznacz osobę odpowiedzialną za zebranie materiału i osobę zatwierdzającą decyzje. Rozproszone pytania do kilku kancelarii bez wspólnej osi czasu mogą tworzyć sprzeczne założenia. Ważna jest koordynacja z IT i osobą odpowiedzialną za ochronę danych.

Terminy nie czekają na komplet dowodów

Przy zgłoszeniu naruszenia do UODO obowiązuje reguła działania bez zbędnej zwłoki i w miarę możliwości do 72 godzin od stwierdzenia, z wyjątkiem zależnym od ryzyka dla praw lub wolności osób. Zgłoszenie może wymagać późniejszego uzupełnienia.

Nie oznacza to, że każde podejrzenie trzeba opisać tak samo ani że decyzję wolno odłożyć do zakończenia analizy. Zapisuj uzasadnienie oceny, także jeśli nie zgłaszasz. Dla zawiadomienia osób sprawdza się odrębne przesłanki i właściwą treść.

Jak uporządkować zlecenie i rachunek

Rozdziel ocenę obowiązków, przygotowanie korespondencji, postępowanie przed organem i obronę przed roszczeniem. Ustal zakres pełnomocnictwa, stawki i tryb zatwierdzania dodatkowych prac. Opis „obsługa incydentu” jest mniej użyteczny niż wskazanie celu każdej większej czynności.

Zwykły audyt zgodności lub stała obsługa prawna firmy nie stają się w całości kosztem szkody po wykryciu jednego naruszenia. Prowadź ewidencję zadań związanych z konkretnym zdarzeniem. Nie przekazuj pełnych baz danych prawnikom, jeżeli wystarczy bezpiecznie zminimalizowany materiał.

Granice ochrony wymagają osobnej lektury

OWU PZU pkt 2.11 definiują koszty obsługi prawnej, a inne postanowienia regulują koszty obrony i szkodę z roszczeń. Możliwość objęcia określonych sankcji jest ograniczona prawem i umową. Nie obiecuj zwrotu każdej kary RODO.

Przy otrzymaniu żądania zachowaj termin doręczenia i treść. Nie przyjmuj odpowiedzialności ani nie zawieraj ugody bez sprawdzenia obowiązków z polisy i konsultacji. Szybka, rzeczowa odpowiedź nie oznacza konieczności składania nieuzgodnionych deklaracji finansowych.

Zachowaj rozliczalność decyzji

Dziennik powinien pokazywać moment uzyskania faktów, treść oceny i zatwierdzającego. Nie chodzi o zbieranie zbędnych danych, lecz o możliwość wyjaśnienia, dlaczego podjęto dane działanie w określonym czasie. Materiał udostępniaj w kontrolowany sposób; korespondencja dotycząca naruszenia sama może być poufna.