Nie każdy wyciek ma tę samą wagę

Ujawnienie listy służbowych adresów, dokumentacji medycznej i skanów dokumentów to różne sytuacje. Spisz konkretne pola danych, ich aktualność, możliwość połączenia z innymi informacjami oraz to, kto mógł uzyskać dostęp. Nie ograniczaj opisu do ogólnego hasła „dane klientów”.

W analizie uwzględnij także informacje poufne firm, hasła, klucze i dokumentację kontraktową. Część danych nie jest osobowa, ale ich ujawnienie może wywołać skutki biznesowe i umowne. Tego nie rozstrzyga sam formularz RODO.

Odtwórz rzeczywisty zasięg dostępu

Ustal, czy informacje były tylko publicznie osiągalne, faktycznie pobierane czy przekazane konkretnemu odbiorcy. Logi mogą mieć luki; raport powinien pokazywać granice ustaleń, zamiast zamieniać brak zapisów w pewność bezpieczeństwa.

Zapisz moment uzyskania informacji o zdarzeniu oraz osoby podejmujące ocenę. Zabezpiecz uprawnienia, eksporty, konfiguracje i korespondencję z dostawcą. Dowody przechowuj w kontrolowanym miejscu, aby analiza nie stworzyła kolejnego nieuprawnionego ujawnienia.

Zgłoszenie i zawiadomienie to różne decyzje

UODO wyjaśnia, że zgłoszenie organowi następuje bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od stwierdzenia naruszenia, chyba że jest mało prawdopodobne ryzyko naruszenia praw lub wolności osób. Nie jest to automatyczne dodatkowe 72 godziny na zwlekanie.

Zawiadomienie osób ma odrębne przesłanki. Uzasadnienie decyzji należy dokumentować, także przy odstąpieniu od zgłoszenia. Zespół prawny i techniczny powinny pracować równolegle: nie czekaj na kompletny raport forensic, aby w ogóle rozpocząć ocenę obowiązków.

Jak przygotować rozmowę o finansowaniu skutków

Wyodrębnij analizę techniczną, doradztwo prawne, przygotowanie zawiadomień i obsługę roszczeń. Opisz zakres prac i uzasadnienie wydatków. Zbiorcza faktura za „obsługę RODO” może nie pozwalać ustalić związku z konkretnym zdarzeniem.

Przy porównaniu polis pytaj o dane osób trzecich, podwykonawców i granice terytorialne. Nie zakładaj, że każde ujawnienie tajemnicy przedsiębiorstwa będzie traktowane identycznie jak naruszenie danych osobowych. Definicje i wyłączenia wymagają osobnego odczytu.

Minimalny rejestr faktów

Dla każdej kategorii informacji wskaż źródło ustalenia, zakres pewny i zakres nieznany. Osobno zapisz możliwość nadużycia danych i dostępne środki ograniczające skutki. Taki rejestr można aktualizować bez przepisywania całej historii. Nie podmieniaj pierwotnych ustaleń bez zachowania informacji, kiedy oraz dlaczego je zmieniono.