72-godzinny termin zgłoszenia naruszenia ochrony danych: początek odliczania

Bieg 72-godzinnego terminu na zgłoszenie naruszenia rozpoczyna się w chwili uzyskania wystarczającej pewności, że doszło do naruszenia ochrony danych osobowych. Nie jest to równoznaczne z potwierdzeniem każdego, nawet najmniejszego szczegółu. Jeśli podejrzewasz naruszenie, lecz czekasz na pełny raport z analizy kryminalistycznej, termin już został przekroczony. RODO w pierwszej kolejności stanowi o działaniu „bez zbędnej zwłoki”, a następnie określa maksymalny termin wynoszący 72 godziny. Dlatego nawet jeśli nie możesz zakończyć dochodzenia, musisz zawiadomić organ nadzorczy w ciągu trzech dni od chwili, gdy po raz pierwszy dowiesz się, że coś jest nie tak.

Aby uniknąć tej pułapki, należy pamiętać, że próg „stwierdzenia naruszenia” jest niski. Jeśli alert systemowy sygnalizuje nietypowy dostęp do bazy zawierającej dane osobowe, wystarcza to do rozpoczęcia biegu terminu. Nie trzeba mieć dowodu, że dane rzeczywiście zostały wyprowadzone. Pomocna wskazówka: traktuj 72-godzinny termin jak odliczanie rozpoczynające się w chwili powzięcia uzasadnionego podejrzenia, a nie dopiero po potwierdzeniu incydentu. Kolejna wskazówka: jeśli pytanie opisuje naruszenie wykryte w piątek po południu, termin nadal biegnie przez weekend. Weekendy i dni ustawowo wolne od pracy nie wstrzymują biegu 72 godzin.

Aby utrwalić tę zasadę, skojarz liczbę 72 z wyrażeniem „wystarczająca pewność”. Wyobraź sobie analityka ds. bezpieczeństwa, który mówi: „Mam wystarczającą pewność, że doszło do naruszenia”, i natychmiast uruchamia 72-godzinny minutnik. Jeśli w opisanej sytuacji administrator czeka ze zgłoszeniem do zakończenia pełnego dochodzenia, stanowi to wyraźne naruszenie przepisów. Bieg terminu rozpoczyna się w chwili powzięcia podejrzenia, a nie uzyskania całkowitej pewności.