Termenul de 72 de ore pentru încălcarea securității datelor: începutul numărătorii inverse

Termenul de 72 de ore pentru notificarea unei încălcări începe să curgă în momentul în care aveți un grad rezonabil de certitudine că s-a produs o încălcare a securității datelor cu caracter personal. Acest lucru nu este același cu confirmarea fiecărui detaliu. Dacă suspectați o încălcare, dar așteptați până când dispuneți de un raport criminalistic complet, ați depășit deja termenul. GDPR prevede mai întâi „fără întârzieri nejustificate”, apoi adaugă limita maximă de 72 de ore. Prin urmare, chiar dacă nu vă puteți finaliza investigația, trebuie să notificați autoritatea de supraveghere în termen de trei zile de la momentul în care ați aflat pentru prima dată că există o problemă.

Pentru a evita capcana, rețineți că pragul pentru „a lua cunoștință” este redus. Dacă o alertă de sistem semnalează un acces neobișnuit la o bază de date care conține date cu caracter personal, acest lucru este suficient pentru a porni numărătoarea inversă. Nu aveți nevoie de dovada că datele au fost efectiv extrase. Un truc util: priviți intervalul de 72 de ore ca pe o numărătoare inversă care începe atunci când aveți o suspiciune rezonabilă, nu atunci când aveți un incident confirmat. Un alt indiciu: dacă o întrebare descrie o încălcare descoperită vineri după-amiază, termenul continuă să curgă în weekend. Weekendurile și sărbătorile legale nu suspendă cele 72 de ore.

Pentru a fixa acest aspect, asociați numărul 72 cu expresia „grad rezonabil de certitudine”. Imaginați-vă un analist de securitate spunând „Sunt suficient de sigur că avem o încălcare” și pornind imediat un cronometru de 72 de ore. Dacă întâlniți un scenariu în care operatorul așteaptă o investigație completă înainte de notificare, aceasta este o încălcare clară. Termenul începe să curgă de la apariția suspiciunii, nu de la dobândirea certitudinii.