Protokoll adatvédelmi incidensek bejelentésére
Megfontolások
- A Dena Textile Productions B.V. nagy hangsúlyt fektet a személyes adatokat tartalmazó (elektronikus) rendszerei megfelelő biztonságára.
- Adatvédelmi incidens teljes mértékben soha nem zárható ki.
- A Dena Textile Productions B.V. az Általános Adatvédelmi Rendelet (GDPR) alapján köteles a (súlyos) adatvédelmi incidenseket bejelenteni a Holland Adatvédelmi Hatóság (Autoriteit Persoonsgegevens) felé és az érintetteknek.
- A Dena Textile Productions B.V. eleget kíván tenni jogi kötelezettségeinek.
- Ezért a Dena Textile Productions B.V. olyan szabályzatot dolgozott ki, amely lehetővé teszi, hogy adatvédelmi incidens esetén a lehető legmegfelelőbben járjon el.
1. Az adatvédelmi incidens meghatározása
Adatvédelmi incidensről akkor beszélünk, ha a biztonság megsértése történik, amely véletlenül vagy jogellenesen a továbbított, tárolt vagy más módon kezelt adatok megsemmisítéséhez, elvesztéséhez, módosításához, illetve jogosulatlan továbbításához vagy jogosulatlan hozzáféréséhez vezet.
2. Belső felelős az adatvédelmi incidensek bejelentéséért
A Dena Textile Productions B.V. az adatvédelmi incidensek kezeléséért belső felelőst jelölt ki, aki felelős az incidens bejelentéséért. Ez a felelős a Marketing osztály, első kapcsolattartója: Rolf van Eden, telefonszám: +31 (0)318 588 596, e-mail cím: sales@cheffix.eu, a továbbiakban: belső felelős.
3. Belső bejelentés adatvédelmi incidens felfedezésekor
Aki a Dena Textile Productions B.V.-nél adatvédelmi incidenst fedez fel, azt azonnal jelenti a belső felelősnek. Ha lehetséges, az incidenst felfedező személy egyidejűleg gondoskodik arról, hogy a kiszivárgott adatok távolról azonnal törlésre kerüljenek vagy hozzáférhetetlenné váljanak.
4. A belső felelős vizsgálata
A belső felelős többek között vizsgálja:
- elvesztek-e vagy jogellenesen felhasználhatók-e személyes adatok;
- kik vagy mely osztályok érintettek az adatvédelmi incidensben a szervezeten belül;
- érintett-e az incidensben adatfeldolgozó.
5. Az adatvédelmi incidens elhárítása
A belső felelős megszünteti az adatvédelmi incidenst, ha ez még lehetséges, és egyéb szükséges intézkedéseket tesz annak lehető legjobb elhárítására.
6. Az adatvédelmi incidens következményeinek megállapítása
A belső felelős a kiszivárgott adatok jellegének és mennyiségének függvényében vizsgálja az incidens lehetséges következményeit, és megállapítja, milyen hátrányos következményei lehetnek az érintettekre nézve.
7. Az adatvédelmi incidenssel kapcsolatos adatszolgáltatásban való együttműködés
Az incidens felfedezője/bejelentője minden együttműködést megad a belső felelősnek azzal, hogy a következő kérdésekre a lehető leggyorsabban és legpontosabban (írásban) válaszol:
- mi történt? (az incidens leírása)
- véletlenül történt-e, vagy rosszindulatú szándék okozta (pl. feltört adatok)?
- mikor történt? (dátum és időpont)
- mikor fedezték fel?
- milyen adatok (nyilvántartások) szivárogtak ki?
- az adatok titkosítva voltak-e, és ha igen, hogyan?
- az adatok távolról törölhetők vagy hozzáférhetetlenné tehetők voltak-e, és ha igen, megtörtént-e ez?
- mik lehetnek az érintettekre nézve a lehetséges következmények?
- mely személycsoport(ok) érintettek?
- hány személy érintett (hozzávetőlegesen)?
- érintettek-e más EU-tagállamokban élő személyek adatai is az adatvédelmi incidensben?
- az incidens nyomán már megtehetők voltak-e műszaki és/vagy szervezési intézkedések?
8. A személyzet rendelkezésre állása az adatvédelmi incidens felfedezése után
Az osztály felelőse, ahonnan az adatvédelmi incidens származik, valamint az incidens felfedezője, továbbá mindenki, aki beosztása vagy tudása alapján képes szervezési és/vagy műszaki intézkedéseket tenni az incidens következményeinek csökkentése érdekében, az adatvédelmi incidens felfedezését követő első 24 órában rendelkezésre áll a belső felelőssel való egyeztetésre, illetve az általa esetlegesen kijelölt szakértőkkel való egyeztetésre, valamint szükség esetén az incidens következtében megbízott feladatok elvégzésére.
9. Döntés az adatvédelmi incidensek bejelentéséről
A belső felelős a lehető leggyorsabban, mindenesetre az adatvédelmi incidens felfedezését követő 60 órán belül – az incidens felfedezése helyének osztályvezetőjével és/vagy az általa kijelölt szakértőkkel való egyeztetéssel vagy anélkül – dönt arról, hogy az adatvédelmi incidenst be kell-e jelenteni a Holland Adatvédelmi Hatóságnak és/vagy az érintetteknek. Az adatvédelmi incidenst elvileg mindig be kell jelenteni a Holland Adatvédelmi Hatóságnak, kivéve, ha valószínűtlen, hogy az incidens kockázatot jelent a természetes személyek jogaira és szabadságára nézve. Az adatvédelmi incidens bejelentése magában foglalja az 7. pontban leírt kérdésekre adott válaszokat. A Holland Adatvédelmi Hatóságnak bejelentett adatvédelmi incidenst az érintetteknek is be kell jelenteni, ha az a természetes személyek jogaira és szabadságára nagy kockázatot jelent, kivéve, ha időközben olyan megfelelő intézkedéseket tettek, amelyek elhárították a magas kockázatot.
10. Az adatvédelmi incidensek bejelentése a Holland Adatvédelmi Hatóságnak és/vagy az érintetteknek
A belső felelős szükség esetén gondoskodik a bejelentésről a Holland Adatvédelmi Hatóság és/vagy az érintett(ek) felé. A bejelentés a felfedezést követően a lehető leggyorsabban, legkésőbb az adatvédelmi incidens felfedezését követő 60 órán belül történik. A belső felelőson kívül más munkavállaló nem jogosult az (esetleges) adatvédelmi incidenst saját hatáskörben bejelenteni a Holland Adatvédelmi Hatóságnak és/vagy az érintett(ek)nek. Ha egy munkavállaló nem ért egyet a belső felelős döntésével az adatvédelmi incidens bejelentésének elmulasztásáról vagy megtételéről a Holland Adatvédelmi Hatóság és/vagy az érintett(ek) felé, panaszát az igazgatóságnak jelezheti. Kérésre a munkavállaló minden együttműködést megad a felelősnek annak érdekében, hogy az érintetteket az AVG 34. cikke szerint tájékoztathassák az adatvédelmi incidensről.
11. Az adatvédelmi incidens bejelentésének következményei
Ha az adatvédelmi incidens negatív következményekkel jár az érintettekre nézve, a belső felelős mindent megtesz e következmények lehető legnagyobb mértékű csökkentése érdekében. Az érintettekre gyakorolt hatás jellegétől és mértékétől függően a belső felelős meghatározza:
- hogyan tájékoztatják az érintetteket (különösen: melyik típusú személyes adatok érintettek, melyek a lehetséges következmények, milyen intézkedéseket tesz a Dena Textile Productions B.V., és hogyan tudják az érintettek maguk megelőzni vagy csökkenteni a kárt);
- milyen utógondozásban részesülnek az érintettek;
- mely intézkedések szükségesek a szervezet érdekében.
Ha adatvédelmi incidens történt, függetlenül attól, hogy bejelentették-e vagy sem, a lehető leggyorsabban megfelelő műszaki és/vagy szervezési intézkedéseket kell tenni a jövőbeni hasonló adatvédelmi incidensek megelőzése érdekében.
12. Az adatvédelmi incidensek nyilvántartásának vezetése
A belső felelős nyilvántartást vezet az összes adatvédelmi incidensről, amelyben rögzítik az incidenssel kapcsolatos összes adatot, így például:
- Az incidens leírása.
- Az adatvédelmi incidens dátuma és időpontja.
- Az adatvédelmi incidens felfedezésének dátuma és időpontja.
- A kiszivárgott személyes adatok típusának leírása.
- Az érintett érintettek kategóriáinak leírása.
- Az érintettek számának leírása (hozzávetőlegesen).
- Hogy más EU-tagállamokban élő személyek adatai is kiszivárogtak-e.
- Hogy az incidenst bejelentették-e a Holland Adatvédelmi Hatóságnak, és ha igen, a bejelentés dátuma és időpontja.
- Hogy az incidenst bejelentették-e az érintetteknek, és ha igen, a bejelentés dátuma és időpontja.
- Hogyan tájékoztatták az érintetteket.
- Az adatvédelmi incidens következményei, lehetőség szerint a dátum és időpont feltüntetésével.
- Milyen műszaki és/vagy szervezési intézkedéseket tettek az adatvédelmi incidens után, a dátum és időpont feltüntetésével.
Ez az adatvédelmi incidensek bejelentésére vonatkozó protokoll 2020. május 1-jén készült.