Πολιτική Αντιμετώπισης Παραβιάσεων Δεδομένων
Εισαγωγή
Η παρούσα πολιτική περιγράφει την απόκριση της revzper SAS σε παραβιάσεις προσωπικών δεδομένων, διασφαλίζοντας τη συμμόρφωση με τους ισχύοντες κανονισμούς προστασίας δεδομένων και την ελαχιστοποίηση των κινδύνων για τα φυσικά πρόσωπα.
Υποχρεώσεις Αντιμετώπισης Παραβιάσεων Δεδομένων
1. Αξιολόγηση Παραβίασης
Σε περίπτωση παραβίασης προσωπικών δεδομένων, η revzper SAS θα αξιολογήσει τη φύση, την έκταση και τον δυνητικό αντίκτυπο εντός 24 ωρών από τον εντοπισμό.
2. Γνωστοποίηση στην Εποπτική Αρχή
Εάν η παραβίαση είναι πιθανό να έχει ως αποτέλεσμα κίνδυνο για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων, η revzper SAS θα γνωστοποιήσει την παραβίαση στην αρμόδια εποπτική αρχή εντός 72 ωρών από τον εντοπισμό.
Ref: GDPR Art. 33
3. Γνωστοποίηση στα Υποκείμενα των Δεδομένων
Εάν η παραβίαση είναι πιθανό να έχει ως αποτέλεσμα υψηλό κίνδυνο για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων, η revzper SAS θα ενημερώσει τα επηρεαζόμενα υποκείμενα των δεδομένων χωρίς αδικαιολόγητη καθυστέρηση. Οι κίνδυνοι αυτοί περιλαμβάνουν διακρίσεις, κλοπή ταυτότητας, οικονομική ζημία ή άλλα σημαντικά οικονομικά ή κοινωνικά μειονεκτήματα.
Ref: GDPR Art. 34, GDPR Recital 85
4. Τεκμηρίωση Παραβίασης
Η revzper SAS θα τεκμηριώνει όλες τις παραβιάσεις, συμπεριλαμβανομένων των αιτιών, των επιπτώσεων και των διορθωτικών ενεργειών που ελήφθησαν.
Ref: GDPR Art. 33(5), GDPR Art. 30(1)(g)
5. Προληπτικά Μέτρα
Η revzper SAS θα εφαρμόζει μέτρα για την αποτροπή επανάληψης παραβιάσεων προσωπικών δεδομένων.
Διαδικασία Γνωστοποίησης στην Εποπτική Αρχή
1. Αρχή Γνωστοποίησης
Σε περίπτωση παραβίασης προσωπικών δεδομένων που απαιτεί γνωστοποίηση στην αρμόδια εποπτική αρχή εντός 72 ωρών, η revzper SAS θα υποβάλει τη γνωστοποίηση της παραβίασης στη Γαλλική Αρχή Προστασίας Δεδομένων (CNIL).
2. Πύλη Γνωστοποίησης
Η γνωστοποίηση θα υποβληθεί μέσω της επίσημης διαδικτυακής πύλης της CNIL.
3. Περιεχόμενα του Πακέτου Γνωστοποίησης
Το πακέτο γνωστοποίησης θα περιλαμβάνει:
- Περιγραφή της φύσης της παραβίασης προσωπικών δεδομένων, συμπεριλαμβανομένων των κατηγοριών και του κατά προσέγγιση αριθμού των υποκειμένων των δεδομένων και των σχετικών αρχείων προσωπικών δεδομένων·
- Το όνομα και τα στοιχεία επικοινωνίας του υπευθύνου προστασίας δεδομένων (DPO) ή άλλου σημείου επικοινωνίας από το οποίο μπορούν να ληφθούν περισσότερες πληροφορίες·
- Περιγραφή των πιθανών συνεπειών της παραβίασης προσωπικών δεδομένων·
- Περιγραφή των μέτρων που έλαβε ή προτείνει να λάβει η revzper SAS για την αντιμετώπιση της παραβίασης προσωπικών δεδομένων, συμπεριλαμβανομένων, κατά περίπτωση, μέτρων για τον μετριασμό των πιθανών δυσμενών επιπτώσεών της.
4. Χρονοδιάγραμμα Γνωστοποίησης
Η γνωστοποίηση θα προετοιμαστεί και θα υποβληθεί από τον DPO ή την ορισθείσα ομάδα αντιμετώπισης περιστατικών εντός της προθεσμίας των 72 ωρών.
5. Τεκμηρίωση Γνωστοποίησης
Όλες οι γνωστοποιήσεις παραβιάσεων θα τεκμηριώνονται στο εσωτερικό πρότυπο τεκμηρίωσης παραβιάσεων.
Ref: GDPR Art. 33(5)
Εσωτερικό Πρότυπο Τεκμηρίωσης Παραβιάσεων
1. Σκοπός της Τεκμηρίωσης
Όλες οι παραβιάσεις προσωπικών δεδομένων θα τεκμηριώνονται με τη χρήση τυποποιημένου προτύπου, ώστε να διασφαλίζονται η συνέπεια, η ιχνηλασιμότητα και η συμμόρφωση με τους ισχύοντες κανονισμούς.
2. Πεδία Τεκμηρίωσης Παραβίασης
Το πρότυπο τεκμηρίωσης παραβιάσεων περιλαμβάνει τα ακόλουθα πεδία:
- Αναγνωριστικό Παραβίασης: Μοναδικό αναγνωριστικό για την παραβίαση.
- Ημερομηνία/Ώρα Εντοπισμού: Η ημερομηνία και η ώρα κατά τις οποίες εντοπίστηκε η παραβίαση.
- Προϊόν: Το προϊόν ή τα προϊόντα που επηρεάστηκαν από την παραβίαση.
- Περιβάλλον Φιλοξενίας: Το περιβάλλον φιλοξενίας στο οποίο σημειώθηκε η παραβίαση.
- Τοποθεσία Δεδομένων: Η γεωγραφική τοποθεσία των επηρεαζόμενων δεδομένων.
- Περιγραφή Παραβίασης: Λεπτομερής περιγραφή της φύσης και της έκτασης της παραβίασης.
- Κατηγορίες Επηρεαζόμενων Δεδομένων: Οι κατηγορίες των εμπλεκόμενων προσωπικών δεδομένων.
- Κατά Προσέγγιση Αριθμός Υποκειμένων των Δεδομένων: Ο κατά προσέγγιση αριθμός των φυσικών προσώπων που επηρεάστηκαν από την παραβίαση.
- Ημερομηνία/Ώρα Αξιολόγησης: Η ημερομηνία και η ώρα κατά τις οποίες αξιολογήθηκε η παραβίαση.
- Αξιολόγηση Κινδύνου: Το αξιολογημένο επίπεδο κινδύνου (χαμηλό, μεσαίο, υψηλό) και η αιτιολόγηση.
- Γνωστοποίηση στην Εποπτική Αρχή: Η ημερομηνία και η ώρα της γνωστοποίησης στην εποπτική αρχή, κατά περίπτωση.
- Γνωστοποίηση στα Υποκείμενα των Δεδομένων: Η ημερομηνία και η ώρα της γνωστοποίησης στα επηρεαζόμενα υποκείμενα των δεδομένων, κατά περίπτωση.
- Διορθωτικές Ενέργειες που Ελήφθησαν: Περιγραφή των μέτρων που ελήφθησαν για την αντιμετώπιση της παραβίασης και την αποτροπή επανάληψής της.
- Ανάλυση Βασικής Αιτίας: Η βασική αιτία της παραβίασης και τυχόν συστημικά ζητήματα που εντοπίστηκαν.
- Προληπτικά Μέτρα: Πρόσθετα μέτρα που εφαρμόστηκαν για την αποτροπή επανάληψης.
- Ημερομηνία Επανεξέτασης από τον DPO: Η ημερομηνία κατά την οποία ο DPO επανεξέτασε και ενέκρινε την τεκμηρίωση της παραβίασης.
3. Διαδικασία Τεκμηρίωσης
Ref: GDPR Art. 30(1)(g)
Η διαδικασία τεκμηρίωσης παραβιάσεων περιλαμβάνει τα ακόλουθα βήματα:
- Αρχική Τεκμηρίωση: Η ομάδα αντιμετώπισης περιστατικών θα συμπληρώσει το πρότυπο εντός 24 ωρών από τον εντοπισμό της παραβίασης.
- Ενημέρωση Αξιολόγησης: Η αξιολόγηση κινδύνου και οι διορθωτικές ενέργειες θα ενημερώνονται καθώς προχωρά η έρευνα.
- Τελική Επανεξέταση: Ο DPO θα επανεξετάσει και θα εγκρίνει την τελική τεκμηρίωση εντός 72 ωρών από τον εντοπισμό της παραβίασης.
- Διατήρηση: Το συμπληρωμένο πρότυπο θα διατηρείται για τουλάχιστον 3 έτη σύμφωνα με τους ισχύοντες κανονισμούς.
4. Αποθήκευση και Κοινοποίηση της Τεκμηρίωσης
Όλη η τεκμηρίωση παραβιάσεων θα αποθηκεύεται με ασφάλεια και θα κοινοποιείται στα σχετικά ενδιαφερόμενα μέρη, συμπεριλαμβανομένης της εποπτικής αρχής και των επηρεαζόμενων υποκειμένων των δεδομένων, όπως απαιτείται από τους ισχύοντες κανονισμούς.