Bezpieczeństwo, naruszenia i zgłaszanie incydentów

Bezpieczeństwo przetwarzania

Art. 32 wymaga środków technicznych i organizacyjnych odpowiednich do ryzyka, z uwzględnieniem stanu wiedzy technicznej, kosztów wdrożenia oraz charakteru, zakresu, kontekstu i celów przetwarzania. Należą do nich np. pseudonimizacja i szyfrowanie; zdolność do zapewnienia ciągłej poufności, integralności, dostępności i odporności systemów; zdolność do szybkiego przywrócenia dostępu do danych po incydencie; oraz regularne testowanie skuteczności środków.

Naruszenia ochrony danych osobowych

Naruszenie ochrony danych osobowych to naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia danych lub nieuprawnionego dostępu do nich. Administrator zgłasza je organowi nadzorczemu bez zbędnej zwłoki, w miarę możliwości nie później niż w terminie 72 godzin po stwierdzeniu naruszenia, chyba że jest mało prawdopodobne, by skutkowało ryzykiem dla osób (art. 33). Jeżeli może ono powodować wysokie ryzyko, administrator bez zbędnej zwłoki zawiadamia także osoby, których dane dotyczą (art. 34). Podmiot przetwarzający zgłasza naruszenie administratorowi bez zbędnej zwłoki. Każde naruszenie – zgłoszone czy nie – trzeba udokumentować.

Równoległe obowiązki zgłoszeniowe

Jeden incydent może uruchomić kilka terminów. Zgodnie z NIS2 podmioty kluczowe i ważne przekazują wczesne ostrzeżenie o poważnym incydencie w ciągu 24 godzin, zgłoszenie w ciągu 72 godzin i sprawozdanie końcowe w ciągu miesiąca. DORA przewiduje własne zgłaszanie poważnych incydentów związanych z ICT dla podmiotów finansowych, a Cyber Resilience Act zobowiązuje producentów do zgłaszania aktywnie wykorzystywanych podatności i poważnych incydentów za pośrednictwem jednolitej platformy zgłoszeniowej ENISA, zaczynając od wczesnego ostrzeżenia w ciągu 24 godzin. IOD powinien zadbać, by plan reagowania na incydenty uwzględniał każdy obowiązujący termin i wskazywał, kto podejmuje decyzję.