Când a fost cunoscut incidentul?
Fixăm momentele relevante și cine a aflat ce, pentru a controla termenele și explicațiile.
GDPR / incident / răspuns juridic
Incident de date și notificare ANSPDCP
Nu orice incident tehnic este identic juridic și nu orice încălcare conduce automat la aceeași notificare. Stabilim rapid natura evenimentului, momentul luării la cunoștință, riscul pentru persoane, rolurile furnizorilor și ce trebuie documentat sau comunicat.
Sistemul, datele și drepturile
La un incident, faptele și cronologia decid dacă există obligația de notificare și ce trebuie documentat.
În digital, aceeași situație poate activa simultan reguli de protecția datelor, contracte, AI, securitate sau sector. Stabilim mai întâi regimul și rolurile, apoi măsurile.
Ce consecințe sunt plauzibile pentru persoane?
Analizăm tipul datelor, amploarea, accesul, măsurile deja existente și probabilitatea/gravitatea efectelor.
Se activează notificarea și ce trebuie să conțină?
GDPR prevede, când condițiile sunt îndeplinite, notificarea autorității fără întârzieri nejustificate și, dacă este posibil, în cel mult 72 de ore de la luarea la cunoștință.
Mai există și alte termene?
În funcție de companie și de produs, pot exista și obligații suplimentare de securitate cibernetică, contractuale sau sectoriale; le verificăm separat.
Frontiera juridic–tehnic
Ce ține de analiza juridică și ce ține de securitatea tehnică.
Analizăm obligațiile legale, rolurile, documentele, termenele, notificările și relația cu furnizorii sau autoritățile. Testarea tehnică, investigația informatică și măsurile efective de securizare țin de specialiștii tehnici și, dacă este nevoie, se coordonează separat.
Harta tehnică și juridică
Începem cu documentele disponibile, riscurile concrete și decizia care trebuie luată în termen.
Ce ne trimiteți
Cronologia, natura incidentului, sistemele/datele afectate, mesajele tehnice disponibile, furnizorii și acțiunile deja luate.
Ce verificăm
Definiția incidentului, rolurile, riscul, termenele, obligațiile de notificare/comunicare și documentarea necesară.
Ce primiți
O decizie juridică de incident: notificăm sau documentăm ne-notificarea, ce comunicăm, cui și în ce ordine.
Ce poate urma
Dacă sunt necesare notificarea, răspunsuri către persoane sau autorități, verificarea furnizorilor și contractelor, corectarea documentației ori o contestație, stabilim separat etapa respectivă.
Decizia de conformitate
Aveți un incident în desfășurare sau ați aflat recent despre el?
Trimiteți cronologia și informațiile certe disponibile acum. Nu amânați analiza până când investigația tehnică este completă.