Об этой услуге
Инцидент с данными — сбой защиты, в результате которого данные случайно или незаконно уничтожаются, утрачиваются, изменяются, раскрываются или становятся доступными, — для организации не только техническое, но и правовое событие. Грузинский закон о защите персональных данных обязывает ответственное за обработку лицо учитывать инциденты и уведомлять о них. Одно обстоятельство стоит оговорить сразу: по действующему законодательству надзор в сфере защиты данных осуществляет Служба государственного аудита, и уведомление адресуется именно ей — название «инспектор» — наследие прежнего института. Наша услуга помогает организациям в правовом реагировании на инцидент: определение обязанностей, подготовка уведомления и управление риском санкций.
Обязанность уведомления — 72 часа
Статья 29 закона устанавливает базовое правило: ответственное за обработку лицо обязано учесть инцидент, наступившие последствия, принятые меры и не позднее 72 часов с обнаружения инцидента письменно или в электронной форме уведомить о нём Службу государственного аудита — кроме случая, когда маловероятно, что инцидент причинит значительный вред или создаст значительную угрозу основным правам и свободам человека. Часы, таким образом, отсчитываются с момента обнаружения, а не с завершения полного расследования — это различие на практике решающе. Более того, если невозможно предоставить всю требуемую информацию сразу, ответственное лицо вправе по согласованию со Службой предоставлять её поэтапно в разумный срок.
Что должно содержать уведомление
Закон точно описывает содержание. Уведомление должно содержать: сведения об обстоятельствах, характере и времени инцидента; предполагаемые категории и объёмы данных, которые были незаконно раскрыты, повреждены, удалены, уничтожены, получены, утрачены или изменены, и категории и число субъектов, которым создана угроза; предполагаемый вред и осуществлённые или запланированные меры по его уменьшению или устранению; планирует ли лицо информировать субъектов и в какой срок; и данные офицера по защите данных или иного контактного лица. Эти пять элементов — минимум, без которого уведомление считается неполным.
Роль уполномоченного на обработку лица
Если обработку осуществляет или содействует ей другое лицо — например, внешний поставщик сервиса, — закон распространяет на него ясное требование: уполномоченное на обработку лицо обязано незамедлительно сообщить об инциденте ответственному лицу. Это значит, что момент обнаружения и цепочка передачи должны быть выстроены договором так, чтобы у ответственного лица реально оставалось 72 часа — даже один договорно отведённый день при серьёзном инциденте съедает треть этого времени.
Информирование субъекта данных
Обязанности организации властями не исчерпываются. Согласно статье 30 закона, если инцидент с высокой вероятностью причинит значительный вред или создаст значительную угрозу основным правам и свободам человека, ответственное лицо обязано с момента обнаружения при первой возможности, без неоправданной задержки, уведомить субъекта данных и простым и понятным для него языком предоставить: общее описание инцидента и связанных обстоятельств; предполагаемый или наступивший вред и меры по его уменьшению или устранению; контактные данные. Если отдельное информирование требует непропорционально больших затрат, информация распространяется публично в форме, дающей субъектам реальную возможность её получить. Закон допускает и исключения — например, когда принятыми мерами значительная угроза нарушения прав была предотвращена, — но обоснование такой оценки лежит на ответственном лице.
Штрафы
Неисполнение обязанности уведомления Службы государственного аудита влечёт административную ответственность: предупреждение или штраф в размере 2 000 лари для тех, чей годовой оборот не превышает 500 000 лари, и предупреждение или штраф 3 000 лари для тех, чей оборот превышает 500 000 лари. При отягчающих обстоятельствах суммы возрастают — соответственно до 3 000 и 5 000 лари. Запоздалое или пропущенное уведомление, таким образом, создаёт точно исчислимое финансовое последствие.
Важна и ещё одна деталь: на основании уведомления Служба государственного аудита вправе также обнародовать имеющуюся у неё информацию об инциденте, если ответственное лицо не обеспечивает информирование субъектов данных, — при наличии определённых государственных и общественных интересов это остаётся исключением. Поэтому правильный коммуникационный план — неотъемлемая часть правового реагирования на инцидент. Наконец, помните о балансе сроков: фиксация инцидента, внутренняя эскалация и подготовка уведомления должны укладываться в одни и те же 72 часа, и организации, у которых эти процессы заранее расписаны, проходят инцидент без паники и без штрафов — в отличие от тех, кто собирает регламент в момент события.Чем мы можем помочь
Наши специалисты помогут квалифицировать инцидент юридически — является ли событие инцидентом в смысле закона, подлежит ли оно уведомлению и какой срок действует; подготовим уведомление в Службу с полным соблюдением пяти законных элементов; поможем принять решение об информировании субъектов и подготовить его текст. Заблаговременно мы выстраиваем план реагирования, который закрепляет в организации сроки, зоны ответственности и шаблоны уведомлений на раннем этапе. Обратитесь к нам и получите конкретные шаги для вашей ситуации.