Protokol o obavezi prijave povreda podataka

Razmatranja

• Dena Textile Productions B.V. pridaje veliku važnost dobroj zaštiti svojih (elektroničkih) sustava u kojima se pohranjuju i obrađuju osobni podaci.
• Nikada se ne može u potpunosti spriječiti da dođe do povrede podataka.
• Dena Textile Productions B.V. je na temelju Opće uredbe o zaštiti podataka (GDPR) obvezna prijaviti (ozbiljne) povrede podataka Nizozemskom tijelu za zaštitu osobnih podataka (Autoriteit Persoonsgegevens) i ispitanicima.
• Dena Textile Productions B.V. želi ispuniti svoje zakonske obveze.
• Dena Textile Productions B.V. stoga je utvrdila politiku kako bi postupala što primjerenije u slučaju da, nažalost, ipak dođe do povrede podataka.

1. Definicija povrede podataka

Riječ je o povredi podataka ako dođe do narušavanja sigurnosti koje slučajno ili nezakonito dovodi do uništenja, gubitka, izmjene ili neovlaštenog otkrivanja odnosno neovlaštenog pristupa podacima koji su prenošeni, pohranjeni ili na drugi način obrađivani.

2. Interna odgovorna osoba za prijavu povreda podataka

Dena Textile Productions B.V. imenovala je internu odgovornu osobu za obradu povreda podataka, koja je odgovorna za prijavu povrede podataka. Ta odgovorna osoba je odjel marketinga, s prvom kontakt osobom: Rolf van Eden, telefonski broj +31 (0)318 588 596, adresa e-pošte sales@cheffix.eu, u daljnjem tekstu: interna odgovorna osoba.

3. Interna prijava pri otkrivanju povrede podataka

Osoba koja otkrije povredu podataka u Dena Textile Productions B.V. odmah o tome obavještava internu odgovornu osobu. Ako je moguće, osoba koja je otkrila povredu istodobno osigurava da se procurjeli podaci odmah daljinski izbrišu ili učine nedostupnima.

4. Istraga koju provodi interna odgovorna osoba

Interna odgovorna osoba istražuje, među ostalim:

• jesu li osobni podaci izgubljeni ili mogu li se nezakonito upotrijebiti;
• koje su osobe ili odjeli unutar organizacije uključeni u povredu podataka;
• je li u incident uključen izvršitelj obrade.

5. Suzbijanje povrede podataka

Interna odgovorna osoba zaustavlja povredu podataka ako je to još moguće te dalje poduzima potrebne mjere kako bi povredu što bolje suzbila.

6. Utvrđivanje posljedica povrede podataka

Interna odgovorna osoba istražuje moguće posljedice povrede podataka na temelju vrste i opsega procurjelih podataka te utvrđuje moguće štetne posljedice za ispitanike.

7. Suradnja pri dostavi podataka o povredi podataka

Osoba koja je otkrila ili prijavila povredu podataka pruža punu suradnju internoj odgovornoj osobi tako što što brže i potpunije (pisanim putem) odgovara na sljedeća pitanja:

• što se dogodilo? (opis incidenta)
• je li to bilo slučajno ili je uzrokovano zlonamjernom namjerom (primjerice hakiranim podacima)?
• kada se to dogodilo? (datum i vrijeme)
• kada je to otkriveno?
• koji su podaci odnosno evidencije procurjeli?
• jesu li podaci šifrirani i, ako jesu, kako?
• mogli su se podaci daljinski izbrisati ili učiniti nedostupnima i, ako jest, je li to učinjeno?
• koje su moguće posljedice za ispitanike?
• koja skupina(e) osoba je time pogođena?
• koliko je osoba time (približno) pogođeno?
• jesu li time pogođeni i podaci osoba iz drugih država EU-a?
• jesu li već poduzete tehničke i/ili organizacijske mjere kao posljedica incidenta?

8. Dostupnost osoblja nakon otkrivanja povrede podataka

Odgovorna osoba odjela iz kojeg je povreda podataka nastala, kao i osoba koja ju je otkrila te svi koji su zbog svoje funkcije ili znanja u mogućnosti poduzeti organizacijske i/ili tehničke mjere za ublažavanje posljedica povrede podataka, tijekom prvih 24 sata nakon otkrivanja povrede podataka stavljaju se na raspolaganje za savjetovanje s internom odgovornom osobom odnosno eventualno stručnjacima koje ona odredi te za obavljanje, ako je potrebno, zadataka koji proizlaze iz povrede podataka.

9. Odluka o prijavi povreda podataka

Interna odgovorna osoba u najkraćem mogućem roku, a u svakom slučaju u roku od 60 sati od otkrivanja povrede podataka, odlučuje, uz savjetovanje s odgovornom osobom odjela iz kojeg je povreda otkrivena i/ili stručnjacima koje ona odredi, treba li povredu podataka prijaviti Nizozemskom tijelu za zaštitu osobnih podataka i/ili ispitanicima. Povreda podataka u načelu se uvijek prijavljuje Nizozemskom tijelu za zaštitu osobnih podataka, osim ako nije vjerojatno da povreda podataka predstavlja rizik za prava i slobode ispitanika. Prijava povrede podataka sadrži odgovore na pitanja navedena u točki 7. Povreda podataka koja je prijavljena Nizozemskom tijelu za zaštitu osobnih podataka prijavljuje se i ispitanicima ako predstavlja visok rizik za prava i slobode fizičkih osoba, osim ako su u međuvremenu poduzete odgovarajuće mjere koje su taj visoki rizik otklonile.

10. Prijava povreda podataka Nizozemskom tijelu za zaštitu osobnih podataka i/ili ispitanicima

Interna odgovorna osoba prema potrebi osigurava prijavu Nizozemskom tijelu za zaštitu osobnih podataka i/ili ispitanicima. Prijava se podnosi što prije nakon otkrivanja, a najkasnije u roku od 60 sati od otkrivanja povrede podataka. Nijednom drugom zaposleniku osim interne odgovorne osobe nije dopušteno samostalno prijaviti (moguću) povredu podataka Nizozemskom tijelu za zaštitu osobnih podataka i/ili ispitanicima. Ako se zaposlenik ne slaže s odlukom interne odgovorne osobe o tome hoće li se povreda podataka prijaviti Nizozemskom tijelu za zaštitu osobnih podataka i/ili ispitanicima, može svoje prigovore iznijeti upravi. Na zahtjev zaposlenik u potpunosti surađuje s odgovornom osobom kako bi se pogođene osobe u skladu s člankom 34. GDPR-a mogle obavijestiti o povredi podataka.

11. Posljedice prijave povreda podataka

Ako povreda podataka ima negativne posljedice za ispitanike, interna odgovorna osoba čini sve kako bi te posljedice što više ublažila. Ovisno o vrsti i opsegu povrede podataka za ispitanike, interna odgovorna osoba odlučuje:

• na koji će se način ispitanici obavijestiti (uključujući u svakom slučaju priopćenje o tome koje su vrste osobnih podataka zahvaćene, koje su moguće posljedice, koje mjere Dena Textile Productions B.V. poduzima i na koji način ispitanici sami mogu spriječiti ili ublažiti štetu);
• kakvu će skrb ispitanici dobiti;
• koje su radnje u interesu organizacije nužne.

Ako je došlo do povrede podataka, bez obzira na to je li prijavljena ili nije, što je prije moguće poduzimaju se odgovarajuće tehničke i/ili organizacijske mjere kako bi se spriječile buduće slične povrede podataka.

12. Vođenje evidencije povreda podataka

Interna odgovorna osoba vodi evidenciju svih povreda podataka u kojoj se bilježe svi podaci o povredi, kao što su:

• Opis incidenta.
• Datum i vrijeme povrede podataka.
• Datum i vrijeme otkrivanja povrede podataka.
• Opis vrste procurjelih osobnih podataka.
• Opis kategorije(a) pogođenih ispitanika.
• Opis broja pogođenih ispitanika (približno).
• Jesu li procurjeli podaci osoba iz drugih država EU-a.
• Je li incident prijavljen Nizozemskom tijelu za zaštitu osobnih podataka i, ako jest, datum i vrijeme prijave.
• Je li incident prijavljen ispitanicima i, ako jest, datum i vrijeme prijave.
• Na koji su način ispitanici obaviješteni.
• Posljedice povrede podataka, uz navođenje datuma i vremena ako je moguće.
• Koje su tehničke i/ili organizacijske mjere poduzete nakon povrede podataka, uz navođenje datuma i vremena.

Ovaj Protokol o obavezi prijave povreda podataka sastavljen je 1. svibnja 2020.