Pelanggaran data peribadi ialah pelanggaran keselamatan yang membawa kepada kemusnahan, kehilangan, pengubahan, pendedahan tanpa kebenaran atau akses kepada data peribadi secara tidak sengaja atau menyalahi undang-undang. Bukan setiap kejadian perlu dimaklumkan, tetapi anda mesti dapat menunjukkan bagaimana anda mencapai kesimpulan tersebut.
Asas undang-undang
Takrifannya terdapat dalam Perkara 4(12) GDPR. Perkara 33 menghendaki pengawal untuk memaklumkan Pihak Berkuasa Perlindungan Data Belanda tanpa berlengah dan selewat-lewatnya dalam tempoh 72 jam selepas menyedari pelanggaran tersebut, melainkan jika ia tidak mungkin mengakibatkan risiko kepada hak dan kebebasan individu. Perkara 34 menambah kewajipan untuk memaklumkan individu itu sendiri di mana risikonya tinggi. Pemproses tidak memaklumkan pengawal selia tetapi pengawal, dan mesti berbuat demikian tanpa berlengah. Perkara 33(5) menghendaki daftar semua pelanggaran, termasuk yang tidak dimaklumkan.
Bagaimana ia berfungsi dalam praktik
Tempoh 72 jam bermula sebaik sahaja anda mempunyai kepastian yang munasabah bahawa insiden keselamatan yang melibatkan data peribadi telah berlaku, bukan apabila siasatan selesai. Oleh itu, pemberitahuan boleh dibuat secara berperingkat: pertama apa yang anda tahu, kemudian penambahan. Penilaian beralih kepada akibatnya kepada individu: adakah ia melibatkan data kategori khas, kombinasi yang membolehkan penipuan identiti, bilangan yang besar atau orang yang berada dalam kedudukan yang terdedah? Komputer riba yang hilang dengan cakera yang disulitkan biasanya tidak boleh dilaporkan; surat-menyurat yang salah alamat yang mengandungi data kesihatan hampir selalu boleh dilaporkan.
Di mana ia menjadi salah
Kebanyakan penguatkuasaan lebih mementingkan akibatnya berbanding pelanggaran itu sendiri. Organisasi memaklumkan lewat kerana mereka ingin menentukan secara dalaman siapa yang bersalah, atau mereka tidak memaklumkan individu tersebut kerana takut akan kerosakan reputasi walaupun risikonya cukup tinggi. Kelemahan ketiga ialah daftar dalaman yang hilang: tanpanya, anda tidak dapat membuktikan mengapa sesuatu kejadian tidak dimaklumkan, dan penilaian anda tidak dikira.
Istilah berkaitan
Pelanggaran berkait secara langsung dengan perjanjian pemprosesan data , yang harus menyatakan tarikh akhir pelaporan pembekal anda, dan dengan Akta Keselamatan Siber Belanda , yang mengenakan tarikh akhir yang lebih pendek ke atas sektor tertentu.
Tidak pasti sama ada sesuatu insiden perlu dimaklumkan? Pakar undang-undang IT kami akan menilainya bersama anda, termasuk dalam tempoh 72 jam.
