Компании, пережившие инцидент
Если вы подозреваете утечку, нужно быстро определить её масштаб, риск для людей и необходимость уведомления; мы подключаемся оперативно.
~/danube-gdpr/service-breach-response · SRV-04
Утечки данных, запросы субъектов и работа с Datenschutzbehörde
Юридическая и организационная поддержка в ситуациях, где важны время и аккуратность формулировок: уведомление об утечке в 72-часовом режиме, ответы на запросы пользователей и коммуникация с надзорным органом.
> 01 / audience
Для кого подходит
Инциденты и запросы случаются у всех: потерянный ноутбук, ошибочная рассылка, взломанный аккаунт, письмо бывшего клиента с требованием удалить данные. Разница — в том, насколько компания готова к такому моменту.
Компании с большим числом клиентов
Чем больше записей и пользователей, тем чаще приходят запросы на доступ, исправление и удаление, и тем важнее отлаженный процесс.
Получатели письма от DSB
Запрос надзорного органа обычно содержит сроки и перечень вопросов. Правильно составленный ответ — основа дальнейшего диалога.
Компании, которых уведомили о претензии
Жалоба клиента, претензия конкурента или предупреждение требуют юридически выверенной реакции без лишних признаний и эмоций.
> 02 / requirements
Требования и документы
Скорость работы зависит от того, какие сведения у вас есть в момент обращения. Мы заранее отправляем короткий список вопросов, но начинаем помогать с тем, что известно, не дожидаясь полной картины.
Если инцидент связан с внешним поставщиком, соберите по возможности его уведомление и описание. Срок для уведомления надзорного органа считается с момента, когда компании стало известно о нарушении.
$ ls ./required-docs
- Краткое описание инцидента: когда и как обнаружен, какие системы затронуты
- Категории и примерный объём затронутых данных и людей
- Журналы доступа и технические сведения, если они доступны (в объёме, необходимом для оценки)
- Информация о принятых мерах: блокировка доступа, смена паролей, отключение сервисов
- Для запросов субъектов: текст обращения, дата получения и данные для проверки личности
- Для запросов DSB: копия письма, срок ответа и ранее поданные документы
> 03 / stages
Этапы работы
- 01
Шаг 1
Срочный созвон и оценка
В течение рабочего дня выясняем факты, определяем, есть ли нарушение защиты данных, и оцениваем риск для людей. Фиксируем время обнаружения и первые меры.
- 02
Шаг 2
Решение об уведомлении
Вместе с вами решаем, нужно ли уведомлять Datenschutzbehörde (Art. 33) и затронутых лиц (Art. 34). Решение и его мотивы документируем независимо от результата.
- 03
Шаг 3
Подготовка и отправка уведомления
Готовим текст на немецком языке, заполняем форму надзорного органа, при необходимости направляем дополнительные сведения по мере уточнения фактов.
- 04
Шаг 4
Запросы субъектов и коммуникация
Готовим ответы затронутым лицам и на отдельные запросы: доступ, исправление, удаление, переносимость. Следим за сроком — по общему правилу один месяц.
- 05
Шаг 5
Выводы и профилактика
Проводим разбор причин, обновляем процедуры и техническую защиту, при необходимости проводим обучение, чтобы снизить вероятность повторения.
// схема этапов: от первичного обсуждения до итогового результата
> 04 / timing
Сроки
Первичную реакцию мы стараемся организовать в течение рабочего дня после обращения, поскольку срок на уведомление ограничен. Для запросов субъектов данных общий срок ответа составляет один месяц с возможностью продления в сложных случаях при соблюдении условий GDPR. Сроки ответа на письма DSB определяются самим органом и указываются в письме; мы просим обращаться сразу после получения.
// сроки ориентировочные; точный график согласуется письменно после первичного обсуждения
> 05 / mistakes
Типичные ошибки
$ cat common-mistakes.log
5 entries- [WARN] delay
Ожидание «полной картины». Компания несколько дней выясняет детали и упускает срок уведомления. Допускается направлять первичное уведомление и дополнять его позднее.
- [WARN] silence
Игнорирование запроса пользователя. Письмо с просьбой удалить данные остаётся без ответа, и человек обращается с жалобой в DSB. Ответить нужно, даже если в удалении откажут.
- [WARN] over
Избыточные признания. В первом письме надзорному органу содержатся оценочные выводы, не подтверждённые фактами. Формулировки лучше выверять юридически.
- [WARN] docs
Нет записи об инциденте. Даже если уведомление не требуется, компания обязана документировать нарушение и принятые решения (Art. 33(5)).
- [WARN] id
Выдача данных без проверки личности. Ответ на запрос отправляется третьему лицу, и возникает новая утечка. Проверка личности обязательна и должна быть соразмерной.
> 06 / included
Что входит в работу
Мы помогаем и в остром режиме, и заранее: подготовка плана реагирования обычно значительно снижает стресс и стоимость настоящего инцидента.
- Оперативная оценка инцидента и риска для людей
- Решение об уведомлении DSB и затронутых лиц с документированием мотивов
- Подготовка уведомлений и сопроводительных сообщений
- Обработка запросов субъектов: доступ, исправление, удаление, ограничение, переносимость
- Подготовка ответов на запросы и жалобы Datenschutzbehörde
- Разбор претензий и предупреждений, в том числе в рамках UWG
- Разработка плана реагирования и обучение сотрудников
- Постинцидентный разбор и обновление процедур
> 07 / faq
Частые вопросы по услуге
Всегда ли нужно сообщать об утечке в DSB?
Нет. Уведомление обязательно, если нарушение может привести к риску для прав и свобод людей. Если риск маловероятен, уведомление не требуется, но решение нужно задокументировать.
Что делать, если пользователь требует удалить все данные?
Нужно проверить личность, оценить, есть ли основания отказать (например, обязанность хранить бухгалтерские документы), и ответить в течение месяца. Мы поможем с формулировками.
Может ли DSB оштрафовать компанию?
Да, GDPR предусматривает административные штрафы; верхние границы указаны в Art. 83. Фактическое решение зависит от обстоятельств, а надзорный орган учитывает степень сотрудничества и меры по устранению нарушения.
Вы представляете клиентов в суде?
Мы готовим материалы и консультируем. Если требуется представительство, доступное только адвокатам, привлекаем партнёров из числа австрийских Rechtsanwälte и сообщаем об этом заранее.
Обсудим вашу задачу?
Опишите проект в двух-трёх предложениях: мы подскажем объём работ и ориентиры по срокам.
> more / services
Другие услуги
Аудит сайтов и интернет-магазинов
Сканирование cookie и трекеров, проверка форм, чекаута и сторонних скриптов, отчёт с приоритетами исправлений.
подробнееДокументы: политика, Impressum, DPA
Datenschutzerklärung, Impressum, договоры с обработчиками (Art. 28) и реестр обработки (Art. 30) под реальные процессы.
подробнееDPO как сервис, DPIA и третьи страны
Внешний уполномоченный по защите данных, оценка воздействия (DPIA), SCC и оценка передачи данных в третьи страны.
подробнее