Decyzje, których nie delegujesz
Trzy decyzje należą do zarządu: zgłoszenie naruszenia, akceptacja ryzyka i budżet.
AZgłoszenie naruszenia: decyzja w 72 godziny
Naruszenie ochrony danych to utrata poufności, rzetelności albo dostępności danych osobowych. Przykłady: umowy wysłane na zły adres, zgubiony nośnik, atak na system. Gdy naruszenie może zagrażać prawom lub wolnościom osób, spółka zgłasza je do Prezesa UODO w ciągu 72 godzin od stwierdzenia. Gdy ryzyko jest wysokie, informuje też osoby, których dane dotyczą.
Decyzję o zgłoszeniu podejmuje zarząd w terminie. Nie czeka na komplet informacji ani na jedną nieobecną osobę.
| Jak to dociera do ciebie | Co robisz | Dlaczego |
|---|---|---|
| Osobiście | Zapisujesz godzinę i kto zgłasza, prosisz o opis w kilku zdaniach i uruchamiasz procedurę procedura zgłaszania incydentów | od tej godziny liczysz termin |
| Telefon | Notujesz imię, godzinę i opis, potwierdzasz przyjęcie zgłoszenia i oddzwaniasz na znany numer | przez telefon możesz rozmawiać z oszustem |
| Zostawiasz wiadomość, nie usuwasz jej i przekazujesz osobie bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów | wiadomość jest dowodem | |
| Pismo lub portal | Rejestrujesz datę wpływu i tego samego dnia przekazujesz dalej | data wpływu może być początkiem terminu |
| Osoba trzecia: klient, dostawca, policja, dziennikarz | Dziękujesz, zapisujesz treść i dane, niczego nie potwierdzasz ani nie zaprzeczasz i zgłaszasz sprawę | twoje słowa mogą ujawnić dane |
- Zapisujesz godzinę stwierdzenia — od niej liczysz termin
- Włączasz IOD lub jego zastępcę — ocena wymaga ich wiedzy
- Zgłaszasz z tym, co wiadomo, i uzupełniasz — czekanie na komplet to najczęstsza przyczyna spóźnienia
- Zapisujesz decyzję z uzasadnieniem — to twój dowód
- Nie czekasz do poniedziałku — weekend się liczy
- Nie prosisz o usunięcie wiadomości — dowód zostaje
- Nie odkładasz decyzji, bo IOD jest nieosiągalny — zastępca lub zarząd działa
Gdy masz wątpliwość, dzwonisz do IOD (inspektor ochrony danych jednostki) lub do osoby bezpośredni przełożony albo osoba wskazana w procedurze zgłaszania incydentów. Nie czekasz na pewność. Termin dla spółki to niezwłocznie, najpóźniej w ciągu 1 godziny.
Dowody (naklejka, nośnik, wiadomość) zostawiasz i zgłaszasz, nie usuwasz. Ocenę naruszenia prowadzi administrator z udziałem IOD. To zasady z kursu podstawowego.
BAkceptacja ryzyka szczątkowego
Ryzyko szczątkowe zostaje po zastosowaniu zabezpieczeń. Zarząd może je zaakceptować, ale musi to zrobić świadomie.
| Krok | Co robisz | Dlaczego |
|---|---|---|
| 1 | Czytasz opis ryzyka w raporcie koordynatora: co się może stać i jaki byłby skutek | decydujesz o konkretnym ryzyku, a nie o haśle |
| 2 | Pytasz, co już zabezpieczono i co zostaje | ryzyko szczątkowe to to, co zostaje |
| 3 | Wskazujesz właściciela ryzyka — osobę odpowiedzialną za obszar | ryzyko bez właściciela nikt nie pilnuje |
| 4 | Wyznaczasz termin przeglądu | akceptacja nie trwa wiecznie |
| 5 | Podpisujesz zapis z uzasadnieniem | zapis to dowód dla audytora i organu |
Przykład zdania: „Akceptuję to ryzyko do czasu przeglądu. Właścicielem jest kierownik biura obsługi. Jeśli skutki wzrosną, wracamy do decyzji.”
Nie akceptujesz wszystkiego naraz. Akceptujesz konkretne ryzyko na konkretny czas.
CBudżet zabezpieczeń
Zarząd decyduje, na co spółka przeznacza pieniądze i czas. Zwykle chodzi o kopie zapasowe z testem odtworzenia, ochronę stacji i poczty, dodatkowe logowanie, szkolenia i przegląd dostawców.
Gdy zarząd nie finansuje zabezpieczenia, zapisuje to jako akceptację ryzyka (sekcja B). Brak decyzji to też decyzja, ale bez zapisu.
DŻądania organu nadzoru i fałszywe wezwania
Odpowiedzi dla organu nadzoru muszą być rzetelne i spójne ze sprawozdaniami. Pracę osoby ds. kontaktu z organem opisuje kurs FZ-02 „Sprawozdawczość nadzorcza i kontakt z KNF”. Tu uczysz się, jak nie dać się oszukać fałszywym wezwaniem.
| Jak żądanie dociera | Co robisz | Dlaczego |
|---|---|---|
| System komunikacji organu | Wchodzisz sam, wpisując adres w przeglądarce. Odpowiedź przygotowuje osoba odpowiedzialna za kontakt z organem nadzoru, a ty zatwierdzasz | masz pewność, że to organ |
| Pismo | Rejestrujesz datę wpływu i tego samego dnia przekazujesz osoba odpowiedzialna za kontakt z organem nadzoru | termin liczy się od wpływu |
| Nie klikasz linków, wiadomość zostawiasz i sprawę sprawdzasz w systemie organu | organ nie prosi o hasło ani kod | |
| Telefon | Notujesz dane rozmówcy, prosisz o pismo i niczego nie podajesz | rozmówcy nie sprawdzisz |
| Osoba trzecia, np. „doradca” | Prosisz o pełnomocnictwo i kontaktujesz się z prawnikiem spółki | nie każdy doradca reprezentuje spółkę |
Przed podpisaniem odpowiedzi sprawdzasz, czy jest zgodna ze sprawozdaniami. Różnicę wyjaśniasz przed wysyłką, nie po niej.
Zagrożenie cyfrowe: „ostatnie wezwanie” z linkiem do logowania. Prawdziwy organ nie prosi o hasło ani o kod z aplikacji. Zobacz symulację 3.
- Kto w mojej spółce zastępuje IOD, gdy jest nieosiągalny?
- Jakie ryzyko akceptowałem ostatnio i czy mam zapis?