Art. 33 GDPR: operatorul notifică ANSPDCP în maximum 72 de ore de la luarea la cunoștință a unei breșe de securitate cu risc pentru persoanele vizate. Art. 34: dacă riscul este ridicat, operatorul notifică și persoanele vizate direct. Fără un plan de răspuns pre-stabilit, cele 72 de ore sunt insuficiente pentru a evalua breșa, a conține daunele și a redacta notificarea.
Plan de răspuns pre-stabilit, template-uri pregătite, echipă instruită.
Nu pentru orice breșă, dar pentru orice breșă care prezintă risc pentru persoanele vizate. Dacă datele erau criptate și cheia nu a fost compromisă, riscul este considerat scăzut și notificarea nu este obligatorie. Totuși, orice breșă trebuie documentată intern în registrul de breșe (art. 33 alin. 5 GDPR), indiferent dacă se notifică sau nu.
Puteți notifica și după 72 de ore, dar trebuie să motivați întârzierea. ANSPDCP va evalua dacă întârzierea este justificată. Nenotificarea sau notificarea nejustificat tardivă constituie încălcarea art. 33, sancționabilă cu amendă de până la 10 milioane EUR sau 2% din cifra de afaceri anuală globală.
Suntem aici. Alege metoda preferată de contact.