الساعات الأولى
- احتواء الانتهاك: إيقاف التسرب، وتأمين الحسابات، والحفاظ على الأدلة.
- استدعاء فريق الأزمة ومسؤول حماية البيانات.
- تحديد لحظة العلم: فمنها تبدأ الساعات الـ72.
- معرفة البيانات المعنية، وعدد الأشخاص، والعواقب المحتملة.
ما يتضمنه الإخطار (الفقرة 3 من المادة 33)
- طبيعة الانتهاك، وفئات الأشخاص والسجلات وعددها التقريبي.
- جهة الاتصال.
- العواقب المرجحة.
- التدابير المتخذة أو المقترحة.
إن لم تكن تعرف كل شيء بعد
أخطر في الموعد وأكمل على مراحل، كما تسمح الفقرة 4 من المادة 33. وإن أخطرت بعد 72 ساعة، فعليك بيان أسباب التأخير.
من شأن مقترح Digital Omnibus الأوروبي أن يغيّر طريقة الإبلاغ عن الانتهاكات. تحقق من وضعه مقارنة بالنص الساري للائحة.
متى تُبلغ الأشخاص المعنيين
تشترط المادة 34 إبلاغهم دون تأخير غير مبرر حين يكون من المرجح أن يسبب الانتهاك خطراً مرتفعاً عليهم، بلغة واضحة، مع ما يمكنهم فعله لحماية أنفسهم.
سجّل كل انتهاك
تشترط الفقرة 5 من المادة 33 توثيق جميع الانتهاكات، حتى غير المبلّغ عنها: الوقائع، والآثار، والتدابير، والمنطق وراء قرارك.
أسئلة
- متى تبدأ مهلة الـ72 ساعة؟
- حين تعلم بالانتهاك، أي حين تكون متأكداً بدرجة معقولة من أن بيانات شخصية تعرضت للاختراق.
- هل يُخطر المعالجون السلطة؟
- يجب على المعالج إبلاغ المتحكم دون تأخير غير مبرر (الفقرة 2 من المادة 33). والمتحكم هو من يُخطر السلطة.
- هل يجب الإبلاغ عن كل انتهاك؟
- لا: ليس إذا كان من غير المرجح أن ينتج عنه خطر على الأشخاص. لكن يجب مع ذلك تسجيل القرار وأسبابه.