Povreda kod izvršitelja obrade: prijava i zajednički postupak

Povreda ličnih podataka kod izvršitelja obrade ne počinje tek kada je voditelj obrade sam otkrije. Prema članu 33. stav 2. GDPR-a, izvršitelj obrade mora voditelja obrade obavijestiti o povredi bez nepotrebnog odlaganja. Zato su važni jasan kanal za prijavu, korisne početne informacije i zajednička istraga pružaoca usluge i voditelja obrade.

Ovaj članak obrađuje praktičan odnos između izvršitelja i voditelja obrade. Objašnjava koje informacije izvršitelj treba odmah dostaviti, kako ugovor podržava postupak i kako voditelj obrade priprema vlastitu procjenu, prijavu nadležnom tijelu i, kada je potrebno, obavještavanje pogođenih osoba. Ne postoji opšti zakonski rok od 24 sata za svaku povredu kod izvršitelja. Odlučujuće je postupanje bez nepotrebnog odlaganja uz jasan ugovorni postupak.

Uloge se moraju razdvojiti na početku. Izvršitelj obrade obrađuje lične podatke za voditelja obrade i mora prijaviti povredu za koju je saznao bez nepotrebnog odlaganja. Voditelj obrade zatim procjenjuje rizik za prava i slobode osoba i odlučuje da li je potrebna prijava nadležnom nadzornom tijelu.

Član 33. stav 1. GDPR-a u pravilu se odnosi na 72 sata od trenutka kada voditelj obrade sazna za povredu. To nije opšti rok za izvršitelja. Izvršitelj ne smije čekati da taj period skoro istekne. Njegove informacije moraju stići dovoljno brzo da voditelj obrade može procijeniti slučaj i, gdje je potrebno, prijaviti ga nadležnom tijelu.

Ugovor može odrediti konkretna interna vremena, kontakte i minimalne informacije. Ne može ukinuti obavezu prijave bez nepotrebnog odlaganja niti procjenu rizika prebaciti na izvršitelja. Ako je prijava podnesena nakon 72 sata, treba zapisati razloge kašnjenja. I povreda koja nije prijavljena mora biti dokumentovana kako bi odluka ostala razumljiva.

Član 28. stav 3. tačka f GDPR-a traži da izvršitelj pomaže voditelju obrade u ispunjavanju obaveza iz članova 32. do 36. Odredba o povredi zato ne bi trebala sadržavati samo opštu adresu e-pošte. Treba odrediti odgovorni tim, hitne i zamjenske kontakte te način potvrde prijema, uključujući vrijeme izvan redovnog radnog vremena kada rizik to zahtijeva.

Korisne početne informacije su vrijeme otkrivanja, vrsta incidenta, pogođeni sistemi, kategorije podataka, moguće grupe osoba, poznat ili procijenjen broj, uzrok, mjere ograničavanja i otvorena pitanja. Ako činjenica još nije poznata, izvršitelj to treba jasno navesti i odrediti vrijeme naredne informacije.

Pregled izvršitelja obrade i pružalaca usluga pomaže pri provjeri uloga, podizvršitelja i prava kontrole. Provjera ugovora o obradi može ukazati na nedostajuće ugovorne tačke. Nijedna lista ne zamjenjuje pregled stvarnog ugovora i komunikacijskih kanala.

Nakon prijave voditelj obrade treba prenijeti činjenice u pouzdan radni spis. Zapišite prijem, prvu vremensku liniju, pogođene postupke obrade, poznate kategorije podataka i pitanje da li incident još traje. Izvršitelj treba dokumentovati ograničavanje posljedica, na primjer deaktiviranje naloga, izolaciju sistema ili obnovu zaštićene verzije.

Istraga traži jasne odgovornosti. Izvršitelj daje tehničke činjenice, zapise, događaje pristupa, pogođene sisteme i podatke o podizvršiteljima. Voditelj obrade vodi pravnu procjenu rizika, usklađuje eventualnu prijavu nadzornom tijelu i procjenjuje da li pogođene osobe treba obavijestiti o visokom riziku. Obje strane trebaju koristiti istu vremensku liniju kako kasnije dopune ne bi stvorile protivrječne prikaze.

Čuvanje dokaza ne smije zaustaviti otklanjanje posljedica. Zapise, kopije sistema i relevantnu komunikaciju treba zaštititi tako da istraga ostane moguća, uz ograničen pristup ličnim podacima. Izvršitelj treba dokumentovati promjene dokaza, obnove i forenzičke mjere te voditelju dostaviti informacije potrebne za procjenu.

Voditelj obrade mora procijeniti da li će povreda vjerovatno dovesti do rizika za prava i slobode osoba. Broj zapisa je samo jedan element. Važni su priroda i osjetljivost podataka, moguća šteta za identitet ili imovinu, rizik diskriminacije, trajanje pristupa i djelotvornost šifrovanja ili drugih mjera zaštite.

Ako postoji rizik koji zahtijeva prijavu, nadležno nadzorno tijelo se u pravilu obavještava bez nepotrebnog odlaganja i, kada je moguće, u roku od 72 sata od saznanja voditelja obrade. Nedostajuće informacije mogu se dostavljati naknadno. Austrijsko tijelo za zaštitu podataka ima poseban kanal za prijavu povrede. Odluka da prijava nije potrebna također mora biti obrazložena i dokumentovana.

Visok rizik može dodatno zahtijevati obavještavanje pogođenih osoba prema članu 34. GDPR-a. To je odvojena odluka i ne treba je miješati sa prijavom izvršitelja voditelju obrade. Izvršitelj može dostaviti tehničke činjenice, uzroke i mjere otklanjanja. Voditelj obrade u pravilu ostaje odgovoran za sadržaj, krug primalaca i vrijeme obavještavanja.

Član 33. stav 5. GDPR-a traži od voditelja obrade dokumentovanje povreda ličnih podataka. Spis zato treba zaključiti i kada prijava nadzornom tijelu nije podnesena. Treba zabilježiti činjenice, posljedice, procjenu rizika, odluku, komunikaciju i preduzete mjere.

Objedinite ugovor, početnu prijavu, dopune, analizu uzroka, tehničke dokaze, pogođene postupke obrade i informacije o podizvršiteljima. Provjerite da li je spis usklađen sa evidencijom aktivnosti obrade, tehničkim i organizacijskim mjerama i informacijama o privatnosti. Nedostaci mogu ukazivati na potrebu šireg poboljšanja.

Kontrolna lista za dokumentovanje povrede uređuje prve zapise. Prva provjera povrede podataka služi kao početna orijentacija, ali ne zamjenjuje procjenu konkretnog slučaja.

Prijava stiže na pogrešno mjesto: Otvori se tiket, ali kontakt za zaštitu podataka ili hitni predstavnik ne dobije informaciju. Ugovor treba odrediti kanal i potvrdu prijema.

Izvršitelj čeka završetak istrage: Član 33. stav 2. ne traži završenu analizu uzroka prije prve prijave. Poznate činjenice i otvorena pitanja treba razdvojiti.

72 sata se tretiraju kao rok izvršitelja: Rok za tijelo u pravilu se veže za saznanje voditelja obrade. To ipak ne opravdava sporu prijavu izvršitelja. Voditelju su informacije potrebne dovoljno rano za postupanje.

Procjena rizika se prepušta izvršitelju: Izvršitelj može dati tehničke činjenice i početno mišljenje. Voditelj obrade u pravilu donosi pravnu odluku o prijavi tijelu i obavještavanju osoba.

Posmatra se samo nadzorno tijelo: Ugovorni partneri, pogođene osobe, osiguravatelji, drugi izvršitelji i interni odlučioci mogu imati dodatne potrebe za komunikacijom i dokazima.

Spis nestane nakon zatvaranja: Bez zapisa odluke i otklanjanja posljedica preduzeće kasnije ne može dokazati odgovornost niti učiti iz incidenta.

1. Osigurajte prijem: Zapišite vrijeme, kanal, osobu koja prijavljuje i prve činjenice bez izmjena.

2. Potvrdite ograničavanje: Izvršitelj opisuje koji su nalozi, sistemi ili interfejsi zaštićeni i da li je pristup još moguć.

3. Prikažite obradu: Razjasnite postupak obrade, kategorije podataka, grupe osoba, period i podizvršitelje.

4. Procijenite rizik: Voditelj obrade procjenjuje rizik i mogući visoki rizik. Za nedostajuće činjenice odredite odgovornu osobu i vrijeme.

5. Uskladite komunikaciju: Uskladite prijavu tijelu, obavještavanje osoba i interne informacije. Početna prijava može biti dopunjena.

6. Zaključite i poboljšajte: Objedinite odluku, dokaze, uzrok, otklanjanje posljedica i promjene ugovora ili tehnike.

Sa Vama provjeravamo kanal prijave, ugovor sa izvršiteljem, dostupne početne činjenice i zajedničku dokumentaciju. Razjašnjavamo koje informacije nedostaju za procjenu rizika, kako pripremiti prijavu i koje ugovorne ili sigurnosne mjere treba poboljšati. Kontaktirajte nas sa ugovorom, prijavom izvršitelja i postojećom vremenskom linijom.