1. Se consemnează
Titlul, descrierea, momentul producerii, dacă se cunoaște, și — obligatoriu — momentul în care instituția a aflat. Din acesta din urmă curge termenul.
Modul al platformei Edilo
Registrul incidentelor de securitate, cu termenul de 72 de ore urmărit
Fiecare incident de securitate a datelor se consemnează cu momentul în care instituția a aflat de el, iar platforma calculează din acel moment termenul de 72 de ore prevăzut de art. 33 din Regulamentul general privind protecția datelor. Termenul se vede, se reamintește și rămâne în evidență.
- 72 de ore calculate de la momentul luării la cunoștință
- Registru complet incident, date afectate, persoane, măsuri
- Reamintiri automate înainte de expirarea termenului
Traseul unui incident
Traseul unui incident
De la momentul în care cineva își dă seama că s-a întâmplat ceva, până la închiderea dosarului, cu tot ce trebuie arătat la un control.
2. Se evaluează
Ce categorii de date sunt afectate, câte persoane, cât de grav. Aprecierea este a instituției, cu responsabilul cu protecția datelor; platforma ține evidența ei.
3. Se notifică, dacă este cazul
Notificarea autorității de supraveghere se consemnează cu data și cu numărul de înregistrare primit. Dacă riscul este ridicat, se consemnează și informarea persoanelor vizate.
4. Se închide
Cu măsurile luate și cu concluzia. Dosarul rămâne în registru, cu tot traseul lui, și poate fi arătat oricând.
Înainte și după
Ce rezolvă, concret
Termenul calculat greșit
Cele 72 de ore curg de la luarea la cunoștință, nu de la producerea incidentului. Platforma calculează din data corectă, pentru că o cere explicit.
Incidentul uitat peste weekend
Termenul nu se oprește sâmbăta. Reamintirile pleacă înainte de expirare, nu după.
Registrul care nu există
Obligația de a ține evidența incidentelor există indiferent dacă vreunul a fost notificat. Un registru gol, dar existent, este un răspuns; lipsa lui, nu.
Dosarul reconstituit din e-mailuri
Ce s-a întâmplat, ce date, câte persoane, ce s-a notificat și ce s-a făcut — într-un singur loc, nu în cinci căsuțe poștale.
„Nu ne-am dat seama că e incident”
Consemnarea este ieftină, iar un incident consemnat și evaluat ca nenotificabil este o decizie documentată, nu o omisiune.
Numărul de înregistrare pierdut
Referința primită de la autoritate stă pe dosarul incidentului, nu într-un fișier separat.
Ce spune art. 33 și ce face platforma
Articolul 33 alineatul (1) din Regulamentul (UE) 2016/679 prevede notificarea autorității de supraveghere fără întârzieri nejustificate și, dacă este posibil, în cel mult 72 de ore de la data la care operatorul a luat cunoștință de încălcarea securității datelor. Textul integral se citește la sursă.
Platforma nu decide dacă un incident trebuie notificat și nu ar trebui să o facă niciun program: încadrarea depinde de riscul pentru drepturile și libertățile persoanelor, iar aprecierea aceea este a operatorului, împreună cu responsabilul cu protecția datelor. Ce face platforma este să arate termenul, să îl reamintească și să țină evidența a ceea ce s-a hotărât.
Distincția contează la un control: diferența dintre „am considerat că nu era notificabil” și „pot arăta când am aflat, ce am evaluat, cine a decis și când” este diferența dintre o afirmație și un dosar.
Primăria este operator, Edilo este împuternicit
Primăria este operatorul datelor cu caracter personal pe care le prelucrează, iar Edilo este împuternicitul ei, în limitele contractului de prelucrare. Obligația de notificare a autorității aparține operatorului.
Dacă un incident se produce la nivelul platformei, obligația noastră contractuală este să vă informăm fără întârzieri nejustificate, ca să vă puteți îndeplini obligația proprie în termen. Registrul de aici rămâne al instituției și cuprinde toate incidentele, nu doar pe cele legate de platformă — inclusiv un dosar pierdut sau un e-mail trimis greșit.
Fiecare consemnare și fiecare modificare intră în jurnalul de audit, cu autor și moment, într-o formă care nu se editează și nu se șterge.
Disponibilitate pe pachete
De la ce pachet este inclus modulul
Registrul incidentelor de securitate este inclus în toate cele trei pachete. Obligațiile din Regulamentul general privind protecția datelor se aplică oricărei primării, indiferent de numărul de locuitori.
Întrebări frecvente despre modul
Despre registrul incidentelor de securitate
Trebuie să consemnăm și incidentele care nu se notifică?
Da. Evidența cuprinde toate încălcările securității datelor, iar pentru cele nenotificate se consemnează motivul. Aceasta este, de fapt, partea pe care o cere un control.
De când curg cele 72 de ore?
De la momentul în care instituția a luat cunoștință de incident, nu de la momentul producerii lui. Platforma cere explicit ambele date și calculează din a doua.
Platforma notifică singură autoritatea?
Nu. Notificarea este un act al instituției, făcut prin canalele autorității. În platformă se consemnează data și numărul de înregistrare primit.
Cine poate vedea registrul?
Conducerea instituției și persoanele cărora li se dă acces. Nu este un registru public.
Se trimit reamintiri?
Da, automat, pentru incidentele la care termenul încă nu a fost consemnat ca îndeplinit.
Cât timp se păstrează?
Registrul rămâne în platformă, iar consemnările din jurnalul de audit au retenție de trei ani.
Vedeți platforma pe datele dumneavoastră
Cont demonstrativ gratuit, 14 zile, fără obligații și fără date de plată. Îl configurăm noi, cu structura primăriei dumneavoastră.