72-часов срок при нарушение на сигурността на данните: начало на обратното броене

72-часовият срок при нарушение на сигурността започва да тече в момента, в който имате достатъчна степен на сигурност, че е настъпило нарушение на сигурността на личните данни. Това не е равнозначно на потвърждаването на всяка последна подробност. Ако подозирате нарушение, но изчакате изготвянето на пълен доклад от компютърно-техническа експертиза, вече сте пропуснали крайния срок. В GDPR най-напред се посочва „без ненужно забавяне“, а след това се добавя максималният срок от 72 часа. Следователно, дори да не можете да приключите разследването си, трябва да уведомите надзорния орган в срок от три дни от момента, в който за първи път сте узнали, че има проблем.

За да не попаднете в капана, запомнете, че прагът за „узнаване“ е нисък. Ако системно предупреждение сигнализира за необичаен достъп до база данни, съдържаща лични данни, това е достатъчно, за да започне да тече срокът. Не са Ви необходими доказателства, че данните действително са били изнесени. Полезен подход: мислете за 72-часовия период като за обратно броене, което започва, когато имате основателно подозрение, а не когато разполагате с потвърден инцидент. Още един ориентир: ако във въпрос е описано нарушение, установено в петък следобед, срокът продължава да тече и през почивните дни. Съботите, неделите и официалните празници не спират 72-часовия срок.

За да затвърдите този момент, свържете числото 72 с израза „достатъчна степен на сигурност“. Представете си как анализатор по сигурността казва: „Имам достатъчна степен на сигурност, че е настъпило нарушение“, и незабавно настройва таймер за 72 часа. Ако видите сценарий, при който администраторът изчаква приключването на цялостно разследване, преди да уведоми, това е явно нарушение. Срокът започва да тече при възникване на подозрение, а не при пълна сигурност.