Risposta alle Violazioni dei Dati

Cos’è Risposta alle Violazioni dei Dati?

L’articolo 33 concede a un’organizzazione 72 ore per informare la propria autorità di controllo una volta venuta a conoscenza di una violazione dei dati personali. Eccoti il dipendente che ne ha causato uno: record cliente 847 inviati all'indirizzo Gmail sbagliato. Riconosci l'e-mail indirizzata erroneamente come una violazione, la segnali attraverso il portale interno invece di sperare che nessuno se ne accorga e documenti una tempistica esatta per il responsabile della protezione dei dati, che decide se il regolatore e i clienti devono essere informati.

Cosa imparerai in Risposta alle Violazioni dei Dati

• Riconoscere che un'e-mail indirizzata erroneamente contenente dati personali costituisce una violazione ai sensi dell'articolo 4, paragrafo 12, del GDPR
• Segnala immediatamente una violazione internamente, con i record, le categorie di dati e le fasi di contenimento di cui il DPO ha bisogno
• Spiegare quando una violazione va all'autorità di vigilanza e quando un rischio elevato implica che anche le persone debbano essere informate
• Spiega perché l'orologio di 72 ore parte dalla consapevolezza, non dalla fine dell'indagine
• Documentare una cronologia esatta dell'incidente che supporti il dovere di responsabilità dell'organizzazione

Risposta alle Violazioni dei Dati — Fasi della formazione

1. Introduzione

   La formazione di oggi ti insegnerà i requisiti di notifica della violazione dei dati GDPR: uno degli obblighi di conformità più critici che qualsiasi organizzazione che gestisce dati personali deve comprendere.

2. Esportazione dati di routine

   Alice sta preparando un'esportazione di routine dei dati dei clienti per VendorPartner Inc., un legittimo partner di integrazione di terze parti. Il foglio di calcolo contiene 847 record di clienti inclusi nomi, indirizzi e-mail, numeri di telefono e indirizzi postali. Questa è un'attività settimanale standard che Alice ha svolto decine di volte in passato. Apre il client di posta elettronica per inviare il file a John Smith presso VendorPartner.

3. L'errore

   Alice finisce di scrivere l'e-mail e preme invio. Un paio di minuti dopo, dà un'occhiata alla cartella 'Posta inviata' e nota che qualcosa non va. L'e-mail è stata inviata a john.smith847@gmail.com invece che all'indirizzo corretto: john.smith@vendorpartner.com - il completamento automatico ha suggerito un indirizzo Gmail personale dall'aspetto simile, e Alice lo ha cliccato senza controllare con attenzione. Ora 847 record di clienti sono nelle mani di una persona sconosciuta.

4. La decisione critica

   Il cuore di Alice sprofonda. Il suo primo istinto è sperare che nessuno se ne accorga: forse il destinatario lo cancellerà semplicemente? Forse può far finta che non sia mai successo? Ma Alice ricorda la sua formazione sul GDPR. Una violazione dei dati include la 'divulgazione accidentale o illecita di dati personali'. L'invio dei record dei clienti all'indirizzo e-mail sbagliato è chiaramente idoneo. Ai sensi dell'articolo 33 del GDPR, la sua azienda deve notificare l'autorità di controllo senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui viene a conoscenza della violazione. L'orologio parte adesso, non quando finiscono le indagini.

5. Accesso al portale degli incidenti

   Alice decide di fare la cosa giusta e denunciare immediatamente l'accaduto. Apre il sistema di segnalazione degli incidenti interni dell'azienda. DataGuard Solutions dispone di un portale dedicato alla segnalazione delle violazioni che si collega direttamente al responsabile della protezione dei dati (DPO) e al team di risposta agli incidenti.

6. Presentazione della segnalazione di violazione

   Alice compila il modulo di segnalazione dell'incidente con i dettagli completi sull'e-mail indirizzata erroneamente. Essere accurati e onesti è essenziale: il DPO ha bisogno di informazioni accurate per valutare la gravità della violazione e determinare i requisiti di notifica.

7. Risposta del DPO

   Entro pochi minuti dall'invio della segnalazione, Alice riceve una chiamata dalla dottoressa Sarah Chen, responsabile della protezione dei dati dell'azienda. La dottoressa Chen ringrazia Alice per aver segnalato immediatamente e spiega come funziona il processo di valutazione delle violazioni ai sensi del GDPR.

8. Comprendere la regola delle 72 ore

   Il Dr. Chen spiega i requisiti chiave del GDPR: Articolo 33 : i titolari del trattamento devono notificare all'autorità di controllo senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui sono venuti a conoscenza di una violazione L'orologio è iniziato quando Alice si è accorta che l'e-mail era andata all'indirizzo sbagliato, non al termine dell'indagine I fine settimana e i giorni festivi non prolungano la scadenza. Notificare in ritardo non elimina l'obbligo, ma la notifica deve allora spiegare i motivi del ritardo La mancata notifica può comportare sanzioni fino a 10 milioni di euro o al 2% del totale globale entrate annuali L'RPD valuterà ora se questa violazione 'potrebbe comportare un rischio per i diritti e le libertà delle persone fisiche'; in tal caso, la notifica all'autorità è obbligatoria.

9. Azioni di contenimento

   Il team di risposta agli incidenti ha avviato azioni di contenimento: Tentativo di richiamo dell'e-mail, sebbene un richiamo non possa recuperare un messaggio da una casella di posta Gmail esterna IT La sicurezza sta analizzando i log del server Il team legale è stato informato Il destinatario Gmail sconosciuto è stato contattato richiedendo l'eliminazione Dr. Chen spiega che, nonostante gli sforzi di contenimento, la violazione deve comunque essere documentata e potenzialmente segnalata. La questione chiave è se la violazione rappresenta un rischio per le persone interessate.

10. Documentare l'incidente

    Anche se la notifica all’autorità di controllo non è richiesta, il GDPR impone che tutte le violazioni debbano essere documentate internamente. Ad Alice viene chiesto di fornire ulteriore documentazione sull'incidente, inclusa la cronologia esatta e qualsiasi prova in suo possesso.