Protokol o prijavi kršitev varstva osebnih podatkov

Premisleki

• Dena Textile Productions B.V. pripisuje velik pomen dobri varnosti svojih (elektronskih) sistemov, v katerih se shranjujejo in obdelujejo osebni podatki.
• Popolnoma preprečiti kršitev varstva osebnih podatkov ni mogoče.
• Dena Textile Productions B.V. je na podlagi Splošne uredbe o varstvu podatkov (GDPR) dolžna prijaviti (resne) kršitve varstva osebnih podatkov Nizozemskemu organu za varstvo osebnih podatkov in posameznikom, na katere se podatki nanašajo.
• Dena Textile Productions B.V. želi izpolniti svoje zakonske obveznosti.
• Dena Textile Productions B.V. je zato oblikovala politiko, s katero lahko ustrezno ukrepa, če kljub vsemu pride do kršitve varstva osebnih podatkov.

1. Opredelitev kršitve varstva osebnih podatkov

Gre za kršitev varstva osebnih podatkov, kadar pride do kršitve varnosti, ki po naključju ali nezakonito povzroči uničenje, izgubo, spremembo ali nepooblaščeno razkritje posredovanih, shranjenih ali drugače obdelanih podatkov ali nepooblaščen dostop do njih.

2. Notranji odgovorni za prijavo kršitev

Dena Textile Productions B.V. je imenovala notranjega odgovornega za obdelavo kršitev varstva osebnih podatkov, ki je odgovoren za prijavo kršitve. Ta odgovorni je oddelek za marketing, prva kontaktna oseba pa je Rolf van Eden, telefonska številka +31 (0)318 588 596, e-naslov sales@cheffix.eu, v nadaljnjem besedilu: notranji odgovorni.

3. Notranja prijava ob odkritju kršitve

Kdor odkrije kršitev varstva osebnih podatkov pri podjetju Dena Textile Productions B.V., o tem takoj obvesti notranjega odgovornega. Če je mogoče, oseba, ki je kršitev odkrila, hkrati poskrbi, da se uhajajoči podatki takoj izbrišejo na daljavo ali naredijo nedostopne.

4. Preiskava notranjega odgovornega

Notranji odgovorni med drugim preveri:

• ali so bili osebni podatki izgubljeni ali jih je mogoče nezakonito uporabiti;
• kdo ali kateri oddelki v organizaciji so vpleteni v kršitev;
• ali je pri incidentu vpleten obdelovalec.

5. Omejitev kršitve

Notranji odgovorni ustavi kršitev, če je to še mogoče, in nato sprejme potrebne ukrepe za čim boljšo omejitev kršitve.

6. Ugotavljanje posledic kršitve

Notranji odgovorni preuči morebitne posledice kršitve glede na vrsto in obseg uhajajočih podatkov ter ugotovi, kakšne neugodne posledice bi lahko imela za posameznike, na katere se podatki nanašajo.

7. Sodelovanje pri zagotavljanju podatkov o kršitvi

Oseba, ki je kršitev odkrila ali prijavila, nudi notranjemu odgovornemu vso pomoč tako, da čim hitreje in čim bolje (pisno) odgovori na naslednja vprašanja:

• kaj se je zgodilo? (opis incidenta)
• ali je šlo za naključje ali za zlonamerno dejanje (npr. vdor v podatke)?
• kdaj se je to zgodilo? (datum in čas)
• kdaj je bilo to odkrito?
• kakšni podatki oziroma evidence so bili razkriti?
• ali so bili podatki šifrirani in, če da, kako?
• ali je bilo mogoče podatke izbrisati na daljavo ali jih narediti nedostopne in, če je bilo mogoče, ali je to bilo storjeno?
• kakšne so morebitne posledice za posameznike, na katere se podatki nanašajo?
• katera skupina oseb oziroma katere skupine oseb so bile s tem prizadete?
• koliko oseb je bilo s tem (približno) prizadetih?
• ali so bili prizadeti tudi podatki oseb v drugih državah EU?
• ali so bili zaradi incidenta že sprejeti tehnični in/ali organizacijski ukrepi?

8. Razpoložljivost osebja po odkritju kršitve

Odgovorna oseba oddelka, s katerega območja je prišlo do kršitve, ter oseba, ki je kršitev odkrila, in vsi, ki so zaradi svoje funkcije ali znanja sposobni sprejeti organizacijske in/ali tehnične ukrepe za omejitev posledic kršitve, so prvih 24 ur po odkritju kršitve na voljo za posvetovanje z notranjim odgovornim oziroma z strokovnjaki, ki jih ta po potrebi imenuje, ter za izvajanje naloženih dela, ki je posledica kršitve.

9. Odločitev o prijavi kršitve

Notranji odgovorni čim prej, v vsakem primeru pa v 60 urah po odkritju kršitve, po potrebi v posvetovanju z odgovorno osebo oddelka, s katerega območja je bila kršitev odkrita, in/ali z ustreznimi strokovnjaki, odloči, ali je treba kršitev prijaviti Nizozemskemu organu za varstvo osebnih podatkov in/ali posameznikom, na katere se podatki nanašajo. Kršitev se načeloma vedno prijavi organu za varstvo osebnih podatkov, razen če ni verjetno, da kršitev pomeni tveganje za pravice in svoboščine posameznikov, na katere se podatki nanašajo. Prijava kršitve vključuje odgovore na vprašanja, navedena v točki 7. Kršitev, prijavljena organu za varstvo osebnih podatkov, se prav tako prijavi posameznikom, na katere se podatki nanašajo, če predstavlja veliko tveganje za pravice in svoboščine fizičnih oseb, razen če so bili medtem sprejeti ustrezni ukrepi, s katerimi je bilo visoko tveganje odpravljeno.

10. Prijava kršitve Nizozemskemu organu za varstvo osebnih podatkov in/ali posameznikom

Notranji odgovorni po potrebi poskrbi za prijavo Nizozemskemu organu za varstvo osebnih podatkov in/ali posameznikom, na katere se podatki nanašajo. Prijava se opravi čim prej po odkritju, najpozneje pa v 60 urah po odkritju kršitve. Noben drug zaposleni, razen notranjega odgovornega, ne sme sam prijaviti (morebitne) kršitve Nizozemskemu organu za varstvo osebnih podatkov in/ali prizadetim posameznikom. Če se zaposleni ne strinja z odločitvijo notranjega odgovornega o tem, ali je treba kršitev prijaviti Nizozemskemu organu za varstvo osebnih podatkov in/ali posameznikom, lahko svoje pritožbe predstavi upravi. Na zahtevo zaposleni v celoti sodeluje z odgovornim, da bi lahko prizadete osebe v skladu s členom 34 GDPR obvestili o kršitvi.

11. Posledice prijave kršitve

Če kršitev negativno vpliva na posameznike, na katere se podatki nanašajo, notranji odgovorni stori vse, da te posledice čim bolj omeji. Glede na vrsto in obseg kršitve za posameznike notranji odgovorni določi:

• na kakšen način bodo posamezniki obveščeni (vključno z obvestilom, katere vrste osebnih podatkov so bile prizadete, kakšne so morebitne posledice, kateri ukrepe bo podjetje Dena Textile Productions B.V. sprejelo in kako lahko posamezniki sami preprečijo ali omejijo škodo);
• kakšno naknadno oskrbo bodo posamezniki prejeli;
• katera dejanja so v interesu organizacije nujna.

Če je prišlo do kršitve, se ne glede na to, ali je bila prijavljena ali ne, čim prej sprejmejo ustrezni tehnični in/ali organizacijski ukrepi, da se prihodnje podobne kršitve preprečijo.

12. Vodenje evidence kršitev

Notranji odgovorni vodi evidenco vseh kršitev varstva osebnih podatkov, v kateri se beležijo vsi podatki o kršitvi, kot so:

• Opis incidenta.
• Datum in čas kršitve.
• Datum in čas odkritja kršitve.
• Opis vrste uhajajočih osebnih podatkov.
• Opis kategorije(-j) prizadetih posameznikov.
• Opis števila prizadetih posameznikov (približno).
• Ali so bili uhajajoči podatki oseb iz drugih držav EU.
• Ali je bil incident prijavljen Nizozemskemu organu za varstvo osebnih podatkov in, če da, datum in čas prijave.
• Ali je bil incident prijavljen posameznikom, na katere se podatki nanašajo, in, če da, datum in čas prijave.
• Na kakšen način so bili posamezniki obveščeni.
• Posledice kršitve, po možnosti z navedbo datuma in časa.
• Kateri tehnični in/ali organizacijski ukrepi so bili sprejeti po kršitvi, z navedbo datuma in časa.

Ta protokol o prijavi kršitev varstva osebnih podatkov je bil sestavljen 1. maja 2020.