О чём эта статья
Статья 33 — уведомление надзорного органа о нарушении (data breach notification).
33(1) 72 часа
В случае нарушения безопасности персональных данных контролёр должен без неоправданной задержки, и где возможно — не позднее 72 часов после того, как ему стало известно о нарушении, уведомить компетентный надзорный орган.
Исключение: если нарушение маловероятно создаст риск для прав и свобод субъектов.
Если уведомление сделано позже 72 часов, оно должно сопровождаться объяснением причин задержки.
33(2) Уведомление обработчиком
Обработчик уведомляет контролёра без неоправданной задержки, как только узнаёт о нарушении.
33(3) Содержание уведомления
Уведомление должно как минимум:
(a)описывать характер нарушения, включая категории и приблизительное количество затронутых субъектов и записей;
(b)содержать имя и контакты DPO или другого контактного лица;
(c)описывать вероятные последствия нарушения;
(d)описывать меры, принятые или предложенные для устранения нарушения, включая, при необходимости, меры по смягчению возможных неблагоприятных последствий.
33(4) Поэтапное уведомление
Если невозможно предоставить всю информацию одновременно, её можно предоставить поэтапно без неоправданной задержки.
33(5) Документирование
Контролёр должен документировать все нарушения безопасности данных, включая факты, последствия и принятые меры. Эта документация должна позволять надзорному органу проверить соблюдение Art. 33.
Почему это важно
72-часовое окно — это жёсткий срок, и за его пропуск штрафуют. Контролёры часто пытаются «изучить ситуацию» две недели, а потом сообщают — это уже нарушение само по себе.
Документация нарушений (33(5)) — отдельная обязанность. DPA при проверке может запросить журнал инцидентов, и его отсутствие — нарушение.