Protokol o obvezi prijave povrede podataka
Uvodne napomene
- Dena Textile Productions B.V. pridaje veliku važnost dobroj zaštiti svojih (elektroničkih) sustava u kojima se pohranjuju i obrađuju osobni podaci.
- Nikada se u potpunosti ne može spriječiti da dođe do povrede podataka.
- Dena Textile Productions B.V. je na temelju Opće uredbe o zaštiti podataka (GDPR) obvezna prijaviti (ozbiljne) povrede podataka Tijelu za zaštitu osobnih podataka i pogođenim osobama.
- Dena Textile Productions B.V. želi ispuniti svoje zakonske obveze.
- Dena Textile Productions B.V. je stoga formulirala politiku kako bi što primjerenije djelovala u slučaju da ipak dođe do povrede podataka.
1 - Definicija povrede podataka
O povredi podataka govori se kada dođe do povrede sigurnosti koja slučajno ili nezakonito dovodi do uništenja, gubitka, izmjene ili neovlaštenog otkrivanja ili neovlaštenog pristupa proslijeđenim, pohranjenim ili na drugi način obrađenim podacima.
2 - Interna odgovorna osoba za prijavu povreda podataka
Dena Textile Productions B.V. imenovala je internu odgovornu osobu za obradu povreda podataka. Ta je osoba odjel marketinga, s Rolfom van Edenom kao prvom kontakt-osobom.
3 - Interna prijava po otkrivanju povrede podataka
Osoba koja otkrije povredu podataka kod Dena Textile Productions B.V. o tome odmah obavještava internu odgovornu osobu. Ako je moguće, osoba koja je otkrila povredu podataka istovremeno se brine da se procurjeli podaci odmah na daljinu izbrišu ili učine nedostupnima.
4 - Istraga interne odgovorne osobe
Interna odgovorna osoba istražuje, između ostalog: jesu li osobni podaci izgubljeni ili se mogu nezakonito koristiti; tko ili koji odjeli unutar organizacije su uključeni u povredu podataka; je li u incident uključen izvršitelj obrade.
5 - Suzbijanje povrede podataka
Interna odgovorna osoba zaustavlja povredu podataka ako je to još moguće i poduzima potrebne mjere za što bolje suzbijanje povrede podataka.
6 - Utvrđivanje posljedica povrede podataka
Interna odgovorna osoba istražuje moguće posljedice povrede podataka na temelju prirode i opsega podataka koji su procurili te utvrđuje koje bi mogle biti štetne posljedice za pogođene osobe.
7 - Suradnja pri dostavljanju podataka o povredi podataka
Osoba koja je otkrila/prijavila povredu podataka pruža svu suradnju internoj odgovornoj osobi tako da što je brže i bolje moguće (pisano) odgovori na pitanja o: što se dogodilo; nesretan slučaj ili zla namjera; kada se dogodilo; kada je otkriveno; vrsta procurjelih podataka; status enkripcije; mogućnost brisanja na daljinu; moguće posljedice; pogođene skupine; broj osoba; uključenost EU zemalja; tehničke/organizacijske mjere.
8 - Dostupnost osoblja nakon otkrivanja povrede podataka
Odgovorna osoba odjela iz kojeg je došlo do povrede podataka, kao i osoba koja je otkrila povredu podataka te svi koji su na temelju svoje funkcije ili znanja u mogućnosti poduzeti organizacijske i/ili tehničke mjere, dostupni su prvih 24 sata nakon otkrivanja.
9 - Odluka o prijavi povreda podataka
Interna odgovorna osoba čim je prije moguće, a u svakom slučaju u roku od 60 sati od otkrivanja, odlučuje je li potrebna prijava. Povreda podataka se u načelu uvijek prijavljuje Tijelu za zaštitu osobnih podataka, osim ako nije vjerojatno da povreda podataka predstavlja rizik za prava i slobode pogođenih osoba.
10 - Prijava povreda podataka Tijelu za zaštitu osobnih podataka i/ili pogođenim osobama
Interna odgovorna osoba brine se o prijavi. Prijava se vrši čim je prije moguće nakon otkrivanja, a najkasnije u roku od 60 sati od otkrivanja povrede podataka. Nijedan drugi zaposlenik ne smije samostalno izvršiti prijavu.
11 - Posljedice prijave povreda podataka
U slučaju negativnih posljedica, interna odgovorna osoba određuje način informiranja, naknadnu skrb i potrebne mjere. Ako je došlo do povrede podataka - bez obzira je li prijavljena ili ne - čim je prije moguće poduzimaju se odgovarajuće tehničke i/ili organizacijske mjere.
12 - Vođenje registra povreda podataka
Interna odgovorna osoba vodi registar koji sadrži: opis incidenta, datum/vrijeme povrede podataka, datum otkrivanja, vrstu podataka, kategorije pogođenih osoba, broj osoba, uključenost EU zemalja, status prijave tijelima i pogođenim osobama, metode informiranja, posljedice i poduzete mjere.
Pitanja o (mogućoj) povredi podataka mogu se uputiti na privacy@dena.nl.