Hva er GDPR artikkel 33? En rask oversikt over overholdelseskrav
Artikkel 33 i GDPR omhandler en organisasjons plikt til å varsle relevant juridisk eller regulatorisk myndighet når en persons rettigheter og friheter er satt i fare på grunn av deres handlinger (eller en tredjeparts handlinger) som dataansvarlig.
GDPR artikkel 33 juridisk tekst
EU GDPR-versjon
Melding om brudd på personopplysninger til tilsynsmyndigheten
- Ved brudd på personopplysninger skal kontrolleren uten unødig forsinkelse og, hvor mulig, senest 72 timer etter å ha blitt kjent med det, varsle bruddet om personopplysninger til tilsynsmyndigheten som er kompetent i samsvar med artikkel 55, med mindre brudd på personopplysninger vil neppe føre til en risiko for fysiske personers rettigheter og friheter. Hvis varselet til tilsynsmyndigheten ikke sendes innen 72 timer, skal den ledsages av årsaker til forsinkelsen.
- Databehandler skal varsle behandlingsansvarlig uten ugrunnet opphold etter å ha blitt kjent med et personopplysningsbrudd.
- Meldingen nevnt i nr. 1 skal minst:
- Beskriv arten av bruddet på personopplysninger, inkludert der det er mulig, kategoriene og det omtrentlige antallet berørte registrerte personer og kategoriene og det omtrentlige antallet personopplysninger som er berørt;
- Formidle navn og kontaktinformasjon til personvernombudet eller annet kontaktpunkt der mer informasjon kan fås;
- Beskriv de sannsynlige konsekvensene av bruddet på personopplysninger;
- Beskriv tiltakene som er tatt eller foreslått tatt av den behandlingsansvarlige for å håndtere personopplysningsbruddet, inkludert, der det er hensiktsmessig, tiltak for å dempe dets mulige skadevirkninger.
- Der, og i den grad det ikke er mulig å gi opplysningene samtidig, kan opplysningene gis i faser uten unødig ytterligere forsinkelse.
- Den behandlingsansvarlige skal dokumentere eventuelle brudd på personopplysninger, inkludert fakta knyttet til personopplysningsbruddet, dets virkninger og de utbedrende tiltakene som er iverksatt. Denne dokumentasjonen skal gjøre det mulig for tilsynsmyndigheten å verifisere samsvar med denne artikkel.
UK GDPR-versjon
Melding om brudd på personopplysninger til kommissæren
- Ved brudd på personopplysninger skal den behandlingsansvarlige uten ugrunnet opphold og, der det er mulig, senest 72 timer etter å ha blitt kjent med det, varsle kommisjonæren om bruddet på personopplysninger, med mindre bruddet på personopplysninger er usannsynlig. resultere i en risiko for fysiske personers rettigheter og friheter. Dersom meldingen i henhold til denne paragraf ikke gis innen 72 timer, skal den ledsages av årsaker til forsinkelsen.
- Databehandler skal varsle behandlingsansvarlig uten ugrunnet opphold etter å ha blitt kjent med et personopplysningsbrudd.
- Meldingen nevnt i nr. 1 skal minst:
- Beskriv arten av bruddet på personopplysninger, inkludert der det er mulig, kategoriene og det omtrentlige antallet berørte registrerte personer og kategoriene og det omtrentlige antallet personopplysninger som er berørt;
- Formidle navn og kontaktinformasjon til personvernombudet eller annet kontaktpunkt der mer informasjon kan fås;
- Beskriv de sannsynlige konsekvensene av bruddet på personopplysninger;
- Beskriv tiltakene som er tatt eller foreslått tatt av den behandlingsansvarlige for å håndtere personopplysningsbruddet, inkludert, der det er hensiktsmessig, tiltak for å dempe dets mulige skadevirkninger.
- Der, og i den grad det ikke er mulig å gi opplysningene samtidig, kan opplysningene gis i faser uten unødig ytterligere forsinkelse.
- Den behandlingsansvarlige skal dokumentere eventuelle brudd på personopplysninger, inkludert fakta knyttet til personopplysningsbruddet, dets virkninger og de utbedrende tiltakene som er iverksatt. Denne dokumentasjonen skal gjøre det mulig for kommissæren å verifisere samsvar med denne artikkelen.
Administrer all samsvarskontroll, alt på ett sted
ISMS.online støtter over 100 standarder og forskrifter, og gir deg én enkelt plattform for alle dine samsvarsbehov.
Teknisk kommentar
I tillegg til å dokumentere alle hendelser rundt et datainnbrudd grundig, må organisasjoner vurdere seks styrende faktorer når de handler ved et datainnbrudd:
- Definisjonen av et brudd – "brudd på sikkerheten som fører til utilsiktet eller ulovlig ødeleggelse, tap, endring, uautorisert avsløring av eller tilgang til personopplysninger som er overført, lagret eller på annen måte behandlet".
- Opprettholde akutt bevissthet om et brudd og oppnå en "rimelig grad av gransking" når et mistanke om brudd har skjedd.
- Å være klar over risikoen for individuelle friheter som et databrudd kan forårsake, og hvor sannsynlige disse risikoene presenterer seg som.
- Alvorlighetsgraden av risikoen, inkludert.
- Risikokategorien.
- Mengden data som er berørt og størrelsen på bruddet.
- Hvordan de er i stand til å identifisere berørte individer.
- Hvor alvorlig bruddet er når det gjelder konkrete konsekvenser for alle individer som er berørt av det (og hvor sårbare de er).
- Arten av organisasjonens virksomhet, og om det utgjør en høyere risiko (f.eks. økonomiske data).
- Der det er mulig, behovet for å varsle eventuelle styrende myndigheter Innen 72 timer.
- Behovet for å oppgi en gyldig grunn for å kontakte myndighetene etter at 72 timer har gått, hvis dette skjer.
Ved varsling til tilsynsmyndigheten må organisasjoner:
- Beskriv arten av bruddet.
- Utpek et kontaktpunkt.
- Skisser sannsynligheten for eventuelle konsekvenser.
- Beskriv eventuelle handlinger som er utført som svar på bruddet.
- Oppgi eventuelle tilleggsdetaljer som er relevante for bruddet.
ISO 27701 klausul 6.13.1.1 (Ansvar og prosedyrer) og EU GDPR artikkel 34 (1), 34 (2), 34 (3) (a), 34 (3) (b), 34 (3) (c) og 34 (4)
For å skape en sammenhengende, velfungerende hendelseshåndteringspolicy som sikrer tilgjengeligheten og integriteten til personverninformasjon under kritiske hendelser, bør organisasjoner:
- Overhold en metode for rapportering av personverninformasjonssikkerhetshendelser.
- Etabler en rekke prosesser som håndterer personverninformasjonssikkerhetsrelaterte hendelser på tvers av virksomheten, inkludert:
- Administrasjon.
- Dokumentasjon.
- Gjenkjenning.
- Prioritering.
- Prioritering.
- Analyse.
- Kommunikasjon.
- Lag et utkast til en hendelsesprosedyre som gjør organisasjonen i stand til å vurdere, reagere på og lære av hendelser.
- Sikre at hendelser håndteres av opplært og kompetent personell som drar nytte av pågående arbeidsplassopplæring og sertifiseringsprogrammer
Personale involvert i hendelser med personverninformasjon bør forstå:
- Tiden det bør ta å løse en hendelse.
- Eventuelle konsekvenser.
- Alvorlighetsgraden av hendelsen.
Når de håndterer personverninformasjonssikkerhetshendelser, bør personalet:
- Vurder hendelser i henhold til strenge kriterier som validerer dem som godkjente hendelser.
- Kategoriser personverninformasjonssikkerhetshendelser i 5 underemner:
- Overvåking (se ISO 27002 Kontroller 8.15 og 8.16).
- Deteksjon (se ISO 27002 Kontroll 8.16).
- Klassifisering (se ISO 27002 Kontroll 5.25).
- Analyse.
- Rapportering (se ISO 27002 Kontroll 6.8).
- Når organisasjoner løser hendelser med sikkerhet for personverninformasjon, bør:
- Respons og eskalere problemer (se ISO 27002 Kontroll 5.26) i henhold til type hendelse.
- Aktiver krisehåndtering og forretningskontinuitetsplaner.
- Påvirke en administrert utvinning fra en hendelse som reduserer operasjonell og/eller økonomisk skade.
- Sikre grundig kommunikasjon av hendelsesrelaterte hendelser til alt relevant personell.
- Delta i samarbeid (se ISO 27002 kontroller 5.5 og 5.6).
- Logg alle hendelsesadministrerte aktiviteter.
- Være ansvarlig for håndtering av hendelsesrelatert bevis (se ISO 27002 Kontroll 5.28).
- Foreta en grundig grunnårsaksanalyse for å minimere risikoen for at hendelsen skjer igjen, inkludert foreslåtte endringer i eventuelle prosesser.
Rapporteringsaktiviteter bør være sentrert rundt 4 nøkkelområder:
- Handlinger som må iverksettes når en informasjonssikkerhetshendelse inntreffer.
- Hendelsesskjemaer som registrerer informasjon gjennom en hendelse.
- End-to-end tilbakemeldingsprosesser til alt relevant personell.
- Hendelsesrapporter som beskriver hva som har skjedd når en hendelse er løst.
Støtter ISO 27002 kontroller
- ISO 27002
- ISO 27002
- ISO 27002
- ISO 27002
- ISO 27002
- ISO 27002
- ISO 27002
Frigjør deg fra et fjell av regneark
Bygg inn, utvid og skaler samsvarsstyringen din uten rot. IO gir deg robustheten og selvtilliten til å vokse sikkert.
ISO 27701 klausul 6.13.1.5 (Respons to Information Security Incidents) og EU GDPR artikkel 34 (1) og 34 (2)
Organisasjoner bør sikre at personverninformasjonssikkerhetshendelser håndteres av et dedikert teknisk team med ferdigheter og ressurser til å påvirke en rask løsning (se ISO 27002 Kontroll 5.24).
Organisasjoner bør:
- inneholder personvernrelaterte trusler som oppstår fra det opprinnelige problemet.
- samle inn en samling bevis gjennom løsningsprosessen.
- inkludere eskalering, BUDR-aktiviteter og kontinuitetsplanlegging i ethvert oppløsningsarbeid (se ISO 27002 kontroller 5.29 og 5.30).
- logg all hendelsesrelatert aktivitet.
- sikre at personalet opererer på en "need to know"-basis når de håndterer hendelser med personverninformasjon.
- være kontinuerlig oppmerksom på deres ansvar overfor sine kunder og eksterne organisasjoner, når de kommuniserer hendelser med personverninformasjon og datainnbrudd.
- nære hendelser til et rigid sett med løsningskriterier.
- foreta rettsmedisinske analyser (se ISO 27002 kontroll 5.28), etter behov.
- forsøke å fastslå den underliggende årsaken til en hendelse, når den er løst (se ISO 27002 kontroll 5.27).
- ta korrigerende tiltak på eventuelle tilknyttede prosesser, kontroller, retningslinjer og prosedyrer, for å styrke organisatorisk personvern når en hendelse er løst.
Støtter ISO 27002 kontroller
- ISO 27002
- ISO 27002
- ISO 27002
- ISO 27002
- ISO 27002
Indeks over tilknyttede EU GDPR-artikler, ISO 27701-klausuler og ISO 27002-kontroller
| GDPR-artikkel | ISO 27701 klausul | ISO 27002 kontroller |
|---|---|---|
| EU GDPR artikkel 34 (1), 34 (2), 34 (3) (a), 34 (3) (b), 34 (3) (c) og 34 (4) | ISO 27701 |
ISO 27002 ISO 27002 ISO 27002 ISO 27002 ISO 27002 ISO 27002 ISO 27002 |
| EU GDPR artikkel 34 (1) og 34 (2) | ISO 27701 |
ISO 27002 ISO 27002 ISO 27002 ISO 27002 ISO 27002 |
Hvordan ISMS.online hjelper
Et brudd på GDPR kan resultere i betydelige bøter, noe som gjør det til en av verdens strengeste personvern- og sikkerhetsforskrifter. Som et resultat innebærer det at organisasjoner må beskytte personopplysninger i "rimelig" grad.
Men her er de gode nyhetene.
På et sikkert sted som alltid er på, gjør ISMS.online det enkelt for deg å hoppe rett inn i GDPR-overholdelse og demonstrere et beskyttelsesnivå som strekker seg utover "rimelig".
Vi gjør datakartlegging til en enkel oppgave. Ved å legge til organisasjonens detaljer i vårt forhåndskonfigurerte dynamiske Records of Processing Activity-verktøy, kan du enkelt registrere og gjennomgå alt.
Hvis det verste skjer, er du klar.
Med våre verktøy kan du planlegge, kommunisere, dokumentere og lære av hvert brudd.
Finn ut mer ved å bestille en kort 30-minutters demonstrasjon.
