MKB Juristen, özel hukuki belgeler hazırlamaktadır
Önemli sözleşmeleri, şartları ve diğer yasal belgeleri kendiniz bir araya getirmek veya kopyalamak en iyisi değildir. Bütçesi kısıtlı girişimcilere özel yasal çözümler, net maliyetler ve pratik açıklamalar sunuyoruz.
- Gümrük sözleşmeleri, şartlar ve koşullar ve yasal belgeler
- Bütçe dostu ve maliyetler konusunda baştan net bilgi veriyor
- Ücretsiz danışmanlık veya herhangi bir yükümlülük gerektirmeyen fiyat teklifi isteyin
Veri ihlali protokolünü, tek bir kılavuzda belgeleyerek oluşturursunuz: çalışanların veri ihlalini nasıl tespit edip dahili olarak bildireceği, kimin ciddiyetini değerlendireceği, Veri Koruma Kurumu'na ne zaman bildirimde bulunulacağı (GDPR Madde 33), veri sahiplerinin ne zaman bilgilendirileceği (GDPR Madde 34) ve her olayın dahili kayıt defterine nasıl kaydedileceği (GDPR Madde 33, paragraf 5). Protokol, özellikle zaman baskısı altında uygulanabilir olmalıdır, çünkü 72 saatlik bildirim süresi, kimin ne yapacağı konusunda şüpheye yer bırakmaz.
Kısa cevap
- İçsel olarak tespit etme ve bildirme: Bir çalışanın bir sızıntıyı nasıl tespit edip derhal bildirdiği.
- Değerlendirme: Riski kim değerlendiriyor ve hangi kriterlere göre?
- Veri Koruma Kurumuna bildirim: Ne zaman ve nasıl, 72 saat içinde (GDPR Madde 33).
- Veri sahiplerini bilgilendirmek: yüksek risk durumunda, açık bir dille (GDPR Madde 34).
- Belgeleme: Bildirim yapılmasa bile, her türlü ihlali kayıt defterine kaydedin (GDPR Madde 33, paragraf 5).
Veri ihlali protokolü taslağı hazırlama: standart bileşenler
Kullanılabilir bir protokol, teorik bir belge değil, herkesin takip edebileceği adım adım bir plandır. Sabit bileşenler şunlardır:
- Tanım: Yanlış gönderilen bir e-posta veya kayıp bir veri taşıyıcısı gibi bilindik örneklerle veri ihlalinin ne olduğunu açıklar.
- Bildirim noktası: Çalışanın şüpheli bir sızıntıyı doğrudan bildirdiği, iletişim bilgilerinin ve 24 saat ulaşılabilirliğin sağlandığı yer.
- Değerlendirme kriterleri: Riski nasıl değerlendirdiğiniz, özellikle de ilgili kişiler üzerindeki sonuçları göz önünde bulundurarak.
- Karar ağacı: AP'ye rapor verilip verilmeyeceği, veri sahiplerine bilgi verilip verilmeyeceği.
- Kayıt defteri: Her olayın kaydedildiği format.
- Değerlendirme: Olaydan sonra nasıl ders çıkardığınız ve güvenliği nasıl sıkılaştırdığınız.
Görevler ve sorumluluklar
Zaman baskısı altında, kararları kimin vereceğinin net olması gerekir. Bu nedenle, somut roller atayın. İç raporları kim alacak, ciddiyetini kim değerlendirecek, Veri Koruma Kurumu'na yapılacak bildirime kim karar verecek ve veri sahiplerine yönelik iletişimi kim hazırlayacak? Küçük bir şirkette bu bir veya iki kişi olabilir, ancak ilk kişinin müsait olmaması durumunda bir yedek kişi belirlediğinizden emin olun. Tek bir çalışanın yokluğuna bağlı bir protokol, tam da yanlış zamanda başarısız olur.
72 saatlik saati kullanılabilir hale getirmek
GDPR Madde 33 uyarınca 72 saatlik süre, veri ihlalinden makul ölçüde haberdar olduğunuz anda başlar. Bu süre, özellikle ihlal hafta sonu keşfedilirse, göründüğünden daha kısadır. Bu nedenle, protokole hızlı bir değerlendirme ekleyin: birkaç saat içinde ilk değerlendirme ve ardından bir karar. Tüm bilgiler henüz mevcut değilse, gerekirse Veri Koruma Kurumuna bildirimin tamamlanabileceğine dair bir hüküm ekleyin. Bu, soruşturma devam ederken sürenin dolmasına izin vermenizi önler.
Bildirim eşiğini somut olarak açıklayın. Veri sahiplerinin hak ve özgürlükleri için bir risk oluşturma olasılığı düşükse bildirim gerekli değildir. Değerlendiricinin her seferinde sıfırdan başlamaması için kuruluşunuzla ilgili örnekler verin.
Paydaşlara yönelik iletişim
Veri sahipleri için yüksek risk söz konusuysa, onları bilgilendirmeniz gerekir (GDPR Madde 34). Bunu yapmak için, hızlıca uyarlayabileceğiniz standart bir metin hazırlayın. Bu metin, ne olduğunu, hangi verilerin etkilendiğini, olası sonuçları ve şifre değiştirme gibi kendilerinin alabileceği önlemleri açık bir dille açıklar. Hazır bir şablon, zamanınızın kısıtlı olduğu bir anda size değerli zaman kazandırır.
Pratik bir örnek: Bir çevrimiçi mağaza Cumartesi günü müşteri verilerini içeren bir veritabanına erişilebildiğini keşfeder. Protokol sayesinde, sorumlu kişi derhal aranır, şifrelerin sızdırılması nedeniyle risk yüksek olarak değerlendirilir ve Pazar günü Hollanda Veri Koruma Kurumu'na (AP) müşteriler için hazır standart metinle birlikte bir rapor sunulur. Protokol olmasaydı, Pazartesi günü son tarih fark edilmeden önce kimse geçmeyecekti.
Kayıt ve satış sonrası hizmetler
Protokolde standart bir adım olarak iç kayıt defterini dahil edin. Bildirmediğiniz veri ihlalleri de dahil olmak üzere her veri ihlalini, olayları, sonuçlarını ve alınan önlemleri belgeleyin (GDPR Madde 33, paragraf 5). Sonuç olarak bir değerlendirme yapın: Neler yanlış gitti ve hangi teknik veya organizasyonel önlem tekrarını önlüyor? Bu şekilde, her olay aynı zamanda güvenliğinizin iyileştirilmesi anlamına gelir.
Dürüst tavsiye
Sınırlı ve minimum düzeyde hassas kişisel verilere sahip küçük bir işletme için, iyi bir şablon kullanarak kolayca uygulanabilir bir protokol oluşturabilirsiniz. 72 saatlik zaman sınırını, bildirim eşiğini ve kayıt zorunluluğunu doğru bir şekilde dahil ettiğiniz ve somut roller atadığınız sürece, bir avukata ihtiyacınız yoktur.
Özel kişisel verilerle, birden fazla işlemciyle veya büyük veri akışlarıyla çalışırken mutlaka gözden geçirilmesini sağlayın. Bu gibi durumlarda, değerlendirme daha yakından incelenmeyi gerektirir ve bildirim zincirinin ve risk ağırlıklandırmasının doğru olduğundan emin olmak istersiniz. Gerçek bir olay durumunda, bu kurulum zamanında ve doğru hareket edip etmeyeceğinizi belirler ve bu konudaki bir hata, protokolün kontrol edilmesinden daha pahalıya mal olur.
Ayrıca , veri ihlali protokolünün ne olduğuna ve bir veri ihlali protokolü hazırlanmasının maliyetine ilişkin açıklamayı da okuyun . Veri ihlali protokolü sayfası üzerinden bir belge oluşturabilirsiniz .
Sıkça Sorulan Sorular
Çalışanların bir ihlali nasıl tespit edip bildireceğini, ihlalin ciddiyetini kimin değerlendireceğini, Hollanda Veri Koruma Kurumu'na ve veri sahiplerine ne zaman bildirimde bulunulacağını ve her olayın kayıt defterine nasıl kaydedileceğini tek bir protokolde belgeleyin. Belirli roller ve yedek kişiler atayın.
Veri ihlalinin net bir tanımı, dahili bir raporlama noktası, değerlendirme kriterleri, raporlama karar ağacı, kayıt formatı ve bir değerlendirme adımı. Bu bileşenler olmadan, protokol zaman baskısı altında ihtiyaç duyulan rehberliği sağlayamaz.
Birkaç saat içinde hızlı bir ön değerlendirme ve 72 saat içinde bir karar verilmesini sağlayın (GDPR Madde 33). Tüm bilgiler henüz mevcut değilse, Veri Koruma Kurumuna yapılacak bildirimin daha sonra tamamlanabileceğini de ekleyin.
Somut roller atayın: raporları kim alacak, riski kim değerlendirecek, rapor hakkında kim karar verecek ve ilgili kişilerle kim iletişim kuracak. Protokolün bir kişinin yokluğunda aksamamasını sağlamak için her zaman bir yedek kişi atayın.
Evet. Bildirmediğiniz veri ihlalleri de dahil olmak üzere her veri ihlalini, olayları, sonuçlarını ve alınan önlemleri içeren bir iç kayıt defterine kaydetmeniz gerekir (GDPR Madde 33, paragraf 5). Hollanda Veri Koruma Kurumu, doğrulama amacıyla bu kayıt defterini talep edebilir.
Yüksek risk durumunda, veri sahiplerini açık bir dille bilgilendirin (GDPR Madde 34): neler olduğunu, hangi verilerin etkilendiğini ve kendilerinin neler yapabileceğini açıklayın. Hazırlanmış standart bir metin, yoğun bir anda zaman kazandırır.
Veri işleyicilerinin, veri ihlali durumunda sizi gecikmeksizin bilgilendirmesini öngören anlaşmaya (GDPR Madde 33, paragraf 2) bakınız; bu, veri işleyici sözleşmesinde belirtilmiştir. Bu sayede, kimin kimi uyardığı herkes tarafından bilinir ve bildirim zincirinde zaman kaybetmezsiniz.
