Politica de răspuns în cazul unei încălcări a securității datelor
Introducere
Această politică prezintă răspunsul revzper SAS la încălcările securității datelor cu caracter personal, asigurând conformitatea cu reglementările aplicabile privind protecția datelor și minimizând riscurile pentru persoane.
Obligații privind răspunsul în cazul unei încălcări a securității datelor
1. Evaluarea încălcării securității datelor
În cazul unei încălcări a securității datelor cu caracter personal, revzper SAS va evalua natura, amploarea și impactul potențial în termen de 24 de ore de la detectare.
2. Notificarea autorității de supraveghere
Dacă este probabil ca încălcarea securității datelor să genereze un risc pentru drepturile și libertățile persoanelor, revzper SAS va notifica autoritatea de supraveghere relevantă în termen de 72 de ore de la detectare.
Ref: GDPR Art. 33
3. Notificarea persoanelor vizate
Dacă este probabil ca încălcarea securității datelor să genereze un risc ridicat pentru drepturile și libertățile persoanelor fizice, revzper SAS va notifica persoanele vizate afectate fără întârzieri nejustificate. Astfel de riscuri includ discriminarea, furtul de identitate, pierderile financiare sau alte dezavantaje economice ori sociale semnificative.
Ref: GDPR Art. 34, GDPR Recital 85
4. Documentarea încălcării securității datelor
revzper SAS va documenta toate încălcările securității datelor, inclusiv cauzele, efectele și acțiunile de remediere întreprinse.
Ref: GDPR Art. 33(5), GDPR Art. 30(1)(g)
5. Măsuri preventive
revzper SAS va implementa măsuri pentru a preveni repetarea încălcărilor securității datelor cu caracter personal.
Procesul de notificare a autorității de supraveghere
1. Autoritatea de notificare
În cazul unei încălcări a securității datelor cu caracter personal care necesită notificarea autorității de supraveghere relevante în termen de 72 de ore, revzper SAS va transmite notificarea încălcării securității datelor Autorității franceze pentru protecția datelor (CNIL).
2. Portalul de notificare
Notificarea va fi transmisă prin portalul online oficial al CNIL.
3. Conținutul pachetului de notificare
Pachetul de notificare va include:
- O descriere a naturii încălcării securității datelor cu caracter personal, inclusiv categoriile și numărul aproximativ al persoanelor vizate și al înregistrărilor de date cu caracter personal vizate;
- Numele și datele de contact ale responsabilului cu protecția datelor (DPO) sau ale altui punct de contact de unde pot fi obținute mai multe informații;
- O descriere a consecințelor probabile ale încălcării securității datelor cu caracter personal;
- O descriere a măsurilor luate sau propuse a fi luate de revzper SAS pentru remedierea încălcării securității datelor cu caracter personal, inclusiv, după caz, măsuri pentru atenuarea posibilelor efecte adverse ale acesteia.
4. Termenul notificării
Notificarea va fi pregătită și transmisă de DPO sau de echipa desemnată pentru răspunsul la incidente în termenul de 72 de ore.
5. Documentarea notificării
Toate notificările privind încălcările securității datelor vor fi documentate în șablonul intern de documentare a încălcărilor securității datelor.
Ref: GDPR Art. 33(5)
Șablon intern de documentare a încălcărilor securității datelor
1. Scopul documentării
Toate încălcările securității datelor cu caracter personal vor fi documentate folosind un șablon standardizat pentru a asigura consecvența, trasabilitatea și conformitatea cu reglementările aplicabile.
2. Câmpurile documentării încălcării securității datelor
Șablonul de documentare a încălcării securității datelor include următoarele câmpuri:
- ID-ul încălcării securității datelor: Identificator unic pentru încălcarea securității datelor.
- Data/Ora detectării: Data și ora la care a fost detectată încălcarea securității datelor.
- Produs: Produsul/produsele afectat(e) de încălcarea securității datelor.
- Mediul de găzduire: Mediul de găzduire în care a avut loc încălcarea securității datelor.
- Locația datelor: Locația geografică a datelor afectate.
- Descrierea încălcării securității datelor: O descriere detaliată a naturii și amplorii încălcării securității datelor.
- Categoriile de date afectate: Categoriile de date cu caracter personal implicate.
- Numărul aproximativ al persoanelor vizate: Numărul aproximativ al persoanelor afectate de încălcarea securității datelor.
- Data/Ora evaluării: Data și ora la care a fost evaluată încălcarea securității datelor.
- Evaluarea riscului: Nivelul de risc evaluat (scăzut, mediu, ridicat) și justificarea acestuia.
- Notificarea autorității de supraveghere: Data și ora notificării autorității de supraveghere, dacă este cazul.
- Notificarea persoanelor vizate: Data și ora notificării persoanelor vizate afectate, dacă este cazul.
- Acțiunile de remediere întreprinse: O descriere a măsurilor luate pentru remedierea încălcării securității datelor și prevenirea repetării acesteia.
- Analiza cauzei principale: Cauza principală a încălcării securității datelor și orice probleme sistemice identificate.
- Măsuri preventive: Măsuri suplimentare implementate pentru prevenirea repetării încălcării securității datelor.
- Data revizuirii de către DPO: Data la care DPO a revizuit și aprobat documentația încălcării securității datelor.
3. Procesul de documentare
Ref: GDPR Art. 30(1)(g)
Procesul de documentare a încălcării securității datelor include următorii pași:
- Documentarea inițială: Echipa de răspuns la incidente va completa șablonul în termen de 24 de ore de la detectarea încălcării securității datelor.
- Actualizarea evaluării: Evaluarea riscului și acțiunile de remediere vor fi actualizate pe măsură ce investigația progresează.
- Revizuirea finală: DPO va revizui și aproba documentația finală în termen de 72 de ore de la detectarea încălcării securității datelor.
- Păstrarea: Șablonul completat va fi păstrat pentru o perioadă de minimum 3 ani, în conformitate cu reglementările aplicabile.
4. Stocarea și partajarea documentației
Toată documentația privind încălcările securității datelor va fi stocată în condiții de securitate și partajată cu părțile interesate relevante, inclusiv cu autoritatea de supraveghere și persoanele vizate afectate, astfel cum impun reglementările aplicabile.