Obvladovanje kršitev in obveznosti obveščanja
Ob zaznani kršitvi mora organizacija najprej oceniti stopnjo tveganja. Presoja mora vključevati verjetnost škode in njeno morebitno resnost. Na tej podlagi se odloči o nadaljnjih ukrepih. Vsaka kršitev mora biti zabeležena v interni evidenci. Če kršitev predstavlja tveganje za pravice posameznikov, je potrebno obvestiti nadzorni organ. V Sloveniji je to Informacijski pooblaščenec. Obvestilo mora biti poslano brez odlašanja, najkasneje v 72 urah. Zamuda mora biti ustrezno utemeljena, obvestilo pa mora vsebovati opis narave kršitve in vse vrste podatkov ter približno število prizadetih posameznikov. Navesti je treba verjetne posledice kršitve. Dodani morajo biti tudi sprejeti ali načrtovani zaščitni ukrepi. V določenih primerih je potrebno obvestiti tudi posameznike. To velja, kadar kršitev pomeni veliko tveganje za njihove pravice in svoboščine. Obvestilo mora biti jasno, razumljivo in pravočasno. Njegov namen je omogočiti posameznikom zaščitno ravnanje. Izjeme obstajajo, kadar so bili podatki ustrezno šifrirani. Obveščanje ni potrebno, če tveganje za posameznike ni več prisotno.
V primeru nesorazmernega napora je dovoljena javna objava. Pomembno vlogo imajo tudi obdelovalci osebnih podatkov. Ti morajo upravljavca takoj obvestiti o zaznani kršitvi. Pogodbe morajo jasno določati njihove obveznosti. Sodelovanje omogoča hitrejše in učinkovitejše ukrepanje. Varstvo osebnih podatkov zahteva vnaprej pripravljen odzivni načrt. Načrt mora opredeljevati odgovorne osebe in komunikacijske poti. Vključevati mora postopke za zmanjševanje posledic. Le tako je mogoče zagotoviti skladnost in zaščito posameznikov.
Varstvo osebnih podatkov kot del organizacijske kulture
Varstvo osebnih podatkov mora postati sestavni del organizacijske kulture in vsakodnevnega delovanja. Tehnični ukrepi sami po sebi ne zagotavljajo ustrezne zaščite osebnih podatkov. Pomembno vlogo imajo tudi zaposleni in njihovo razumevanje odgovornega ravnanja. Redno usposabljanje zaposlenih zmanjšuje tveganje za človeške napake. Zaposleni morajo poznati osnovna pravila obdelave in varovanja podatkov. Pomembno je, da znajo prepoznati varnostne incidente. Prav tako morajo vedeti, komu in kako jih prijaviti. Vodstvo organizacije mora aktivno podpirati varstvo osebnih podatkov. S tem pošilja jasno sporočilo o pomembnosti zakonitega ravnanja. Notranji pravilniki morajo biti jasni, razumljivi in dostopni zaposlenim. Organizacije morajo redno preverjati skladnost svojih postopkov. Notranje revizije pomagajo odkriti pomanjkljivosti in izboljšati zaščito. Stalno izboljševanje procesov zmanjšuje tveganje prihodnjih kršitev. Varstvo osebnih podatkov tako postane dolgoročna naložba v varnost in zaupanje.
FAQ
- Kaj pomeni kršitev varstva osebnih podatkov?
Kršitev pomni incident, ki ogroža zaupnost, celovitost ali dostopnost osebnih podatkov posameznikov.
- Kdaj moram obvestiti Informacijskega pooblaščenca?
Obvestilo je potrebno, kadar je verjetno, da kršitev pomeni tveganje za pravice posameznikov.
- Ali moram ob kršitvi obvestiti tudi posameznike?
Da, kadar kršitev pomeni veliko tveganje za njihove pravice in svoboščine.
Več o samem varstvu osebnih podatkov si lahko preberete tudi na naši spletni strani: https://infocenter.si/varstvo-osebnih-podatkov/
