最近媒体对另一起引人注目的数据泄露的报道强化了信息专员办公室(“ ICO”)在本月初的季节性提醒,即数据控制器对于确保适当的个人数据安全的重要性。
ICO预计将由数据控制者正式通知1998年“数据保护法”的“严重违反”,以确定是否有适当的强制措施。 提醒一下,为此目的,违规是指破坏安全性,导致个人数据的破坏,丢失,更改,未经授权的披露或访问。 对于“严重违反”行为没有法律标准。在这种情况下,数据控制者应评估对受影响个人的潜在危害,受影响数据的数量以及在评估向ICO或个人数据主体的通知是否适当时作为违约主体的数据的敏感性。
当《欧盟通用数据保护条例》将对现有的数据保护立法框架进行实质性修订时,该立场将在2018年5月生效。届时,数据控制者将被要求立即通知ICO,并在不可行的情况下尽快通知ICO。在知道数据泄露后的72小时内,除非该泄露不太可能对个人的权利和自由造成风险。 如果未按要求通知违规行为,则根据GDPR最高可处以1000万欧元或相当于全球营业额2%的巨额罚款。 如果违规可能会给他们的权利和自由带来很高的风险,那么数据控制者还必须立即告知数据主体,不要过分延迟。
尽管2018年5月似乎相距遥远,但数据控制者现在可以(并且应该)采取积极措施,以确保他们处于最佳位置,以确保遵守GDPR并尽早实施计划。 这些步骤之一是审查您目前为处理数据泄露而采取的措施,并考虑可能需要对其进行修改或罚款以反映GDPR规定的新义务。
艾玛·塔克(Emma Tuck) 首席助理