În cazul unei breșe de securitate sub GDPR, trebuie să anunț și clienții?

Depinde de gravitatea breșei. Articolul 33 din GDPR impune notificarea ANSPDCP pentru orice breșă susceptibilă să genereze un risc pentru drepturile și libertățile persoanelor vizate. Articolul 34 adaugă o obligație suplimentară: dacă breșa este susceptibilă să genereze un risc ridicat, nu doar un risc, trebuie să notifici și persoanele afectate, fără întârzieri nejustificate.

Distincția dintre risc și risc ridicat nu este întotdeauna evidentă și depinde de natura datelor implicate, de numărul persoanelor afectate și de consecințele probabile. Date financiare sau de identificare expuse public reprezintă în mod obișnuit un risc ridicat. Date de livrare expuse fără alte informații sensibile pot fi evaluate diferit.

Comunicarea către clienții afectați trebuie să fie clară, să descrie natura breșei, categoriile de date implicate, consecințele probabile și măsurile pe care le-ai luat. Un model de comunicare pregătit în avans, adaptat la tipul de date pe care le prelucrezi, reduce semnificativ timpul de răspuns și riscul unor declarații publice care agravează situația în loc să o gestioneze.

Programează o consultație și pregătim împreună modelele de comunicare înainte să ai nevoie de acestea în regim de urgență.