יש לך הודעה. המידע התאדה - חלק 33
פסוק 33 דורש מהשולטים במידע להודיע לרשות הפרטיות המתאימה במידה ומידע פרטי דלף להם בין הידיים.
( איך יודעים מי הרשות הנכונה??? שאלה טובה. עוד על כך בימים אחרים ).
יש לשלוח את ההודעה תוך לא למעלה מ-72 שעות. אם לא ניתן לבצע זאת בפרק זמן זה, יש להצטייד בתירוץ טוב.
על ההודעה לכלול את אופי המידע שדלף, המספר המשוער של נושאי המידע שנפגעו, אנשי הקשר הרלוונטיים, ההשלכות האפשריות מדליפת המידע והצעדים המתוכננים על מנת לצמצם את הנזק.
גם אם בשלב ראשון לא כל המידע זמין, ניתן לעדכן את ההודעה בשלבים.
יש לתעד את פרטי הדליפה, הנזק שנגרם והמהלכים שבוצעו לצמצם את הנזק.
לתושב שדאג שהמידע זלג, מודיעים לך ביגון שזה אכן נכון - חלק 34
אתמול דאגנו ליידע את רשות הפרטיות, תהיה אשר תהיה, כי מידע פרטי דלף לנו.
היום מזכירים לנו את העיקר: למי שייך המידע? יפה אמרתם, לנושא המידע.
לכן, מן הסתם, גם הוא צריך לדעת כי המידע שלו היה פרטי ואיננו עוד.
יש להודיע על הזליגה לתושב המאוכזב בלי שיהוי, במידה וזליגת המידע עלולה לגרום נזק משמעותי.
יש לדווח על האירוע בצורה ברורה וקריאה, גם לגברת ון-גברת מהולנד. על ההודעה להכיל מידע דומה לזה שעליו דנו אתמול.
אין צורך לדווח על אירוע זליגה שנחסם על ידי אמצעים יעילים כגון הצפנה.
במידה והמשימה מורכבת מידי וקשה, כאשר הנזק היחסי אינו גדול, ניתן להודיע באמצעי תקשורת ציבוריים.
חושבים שההנחיות מאוד לא חד משמעיות? אתם לא לבד. זה מה יש.
יהיה מעניין, כבר אמרנו?
מה השפעת חשיפת המידע? אם לא תבדוק ,לא תדע - חלק 35
פסוק 35 דן בצורך לבצע בחינה מעמיקה של ההשפעה של פגיעה במידע פרטי.
יש לבצע בחינה כזו עבור אותם תהליכים ומערכות שעבורן פגיעה כזו תגרור נזק משמעותי.
הגדרה מעגלית . רק אחרי שנעריך את הסיכון נדע אם הוא גבוה או נמוך, לא?
אנחנו מקבלים קצת סיוע במשימה. מספר הנחיות לזיהוי מקרים לביצוע הבחינה:
1. כאשר מעבדים מידע אישי באופן עקבי ועושים בו שימוש על מנת לקבל החלטות באופן אוטומטי
2. עיבוד מידע רגיש רב
3. ניטור עקבי ומסיבי של סביבות ציבוריות
הרגולציה מאפשרת לרשויות הפרטיות המקומיות להרחיב הגדרה זו ולהוסיף רשימה של דוגמאות בהן יש לבצע בחינה כזו וכאלה שלא.
על בחינה זו לכלול:
1. תיאור התהליך, הסיבה לקיומו והבסיס החוקי לביצוען
2. בחינה האם אכן הצורך קיים והעיבוד עומד בקנה אחד עם הצורך
3. הערכת הסיכונים לפגיעה בזכויות נושאי המידע
4. קיומם ויעילותם של התהליכים והטכנולוגיות המיועדות לצמצם את הסיכון בהתאם לרגולציה
מומלץ להתייחס למסמך כללי ההתנהגות (עליו דברנו מספר פעמים ונחזור אליו בפסוק 40) כבסיס לבחינה.
כשהדבר ניתן, מומלץ גם לבחון את נקודת מבטם של נושאי המידע.
מומלץ לבצע בחינה תקופתית, לוודא יישום של הבקרות בהתאם למה שנמצא בתהליך זה.
עד כאן להיום, שימרו על הפרטיות.
שלכם,
גלעד
הערה: האמור אינו מהווה חוות דעת רשמית של הכותב או מעסיקו ואינו מחליף ייעוץ משפטי.
יש לך הודעה. המידע התאדה - חלק 33
פסוק 33 דורש מהשולטים במידע להודיע לרשות הפרטיות המתאימה במידה ומידע פרטי דלף להם בין הידיים.
( איך יודעים מי הרשות הנכונה??? שאלה טובה. עוד על כך בימים אחרים ).
יש לשלוח את ההודעה תוך לא למעלה מ-72 שעות. אם לא ניתן לבצע זאת בפרק זמן זה, יש להצטייד בתירוץ טוב.
על ההודעה לכלול את אופי המידע שדלף, המספר המשוער של נושאי המידע שנפגעו, אנשי הקשר הרלוונטיים, ההשלכות האפשריות מדליפת המידע והצעדים המתוכננים על מנת לצמצם את הנזק.
גם אם בשלב ראשון לא כל המידע זמין, ניתן לעדכן את ההודעה בשלבים.
יש לתעד את פרטי הדליפה, הנזק שנגרם והמהלכים שבוצעו לצמצם את הנזק.
לתושב שדאג שהמידע זלג, מודיעים לך ביגון שזה אכן נכון - חלק 34
אתמול דאגנו ליידע את רשות הפרטיות, תהיה אשר תהיה, כי מידע פרטי דלף לנו.
היום מזכירים לנו את העיקר: למי שייך המידע? יפה אמרתם, לנושא המידע.
לכן, מן הסתם, גם הוא צריך לדעת כי המידע שלו היה פרטי ואיננו עוד.
יש להודיע על הזליגה לתושב המאוכזב בלי שיהוי, במידה וזליגת המידע עלולה לגרום נזק משמעותי.
יש לדווח על האירוע בצורה ברורה וקריאה, גם לגברת ון-גברת מהולנד. על ההודעה להכיל מידע דומה לזה שעליו דנו אתמול.
אין צורך לדווח על אירוע זליגה שנחסם על ידי אמצעים יעילים כגון הצפנה.
במידה והמשימה מורכבת מידי וקשה, כאשר הנזק היחסי אינו גדול, ניתן להודיע באמצעי תקשורת ציבוריים.
חושבים שההנחיות מאוד לא חד משמעיות? אתם לא לבד. זה מה יש.
יהיה מעניין, כבר אמרנו?
מה השפעת חשיפת המידע? אם לא תבדוק ,לא תדע - חלק 35
פסוק 35 דן בצורך לבצע בחינה מעמיקה של ההשפעה של פגיעה במידע פרטי.
יש לבצע בחינה כזו עבור אותם תהליכים ומערכות שעבורן פגיעה כזו תגרור נזק משמעותי.
הגדרה מעגלית . רק אחרי שנעריך את הסיכון נדע אם הוא גבוה או נמוך, לא?
אנחנו מקבלים קצת סיוע במשימה. מספר הנחיות לזיהוי מקרים לביצוע הבחינה:
1. כאשר מעבדים מידע אישי באופן עקבי ועושים בו שימוש על מנת לקבל החלטות באופן אוטומטי
2. עיבוד מידע רגיש רב
3. ניטור עקבי ומסיבי של סביבות ציבוריות
הרגולציה מאפשרת לרשויות הפרטיות המקומיות להרחיב הגדרה זו ולהוסיף רשימה של דוגמאות בהן יש לבצע בחינה כזו וכאלה שלא.
על בחינה זו לכלול:
1. תיאור התהליך, הסיבה לקיומו והבסיס החוקי לביצוען
2. בחינה האם אכן הצורך קיים והעיבוד עומד בקנה אחד עם הצורך
3. הערכת הסיכונים לפגיעה בזכויות נושאי המידע
4. קיומם ויעילותם של התהליכים והטכנולוגיות המיועדות לצמצם את הסיכון בהתאם לרגולציה
מומלץ להתייחס למסמך כללי ההתנהגות (עליו דברנו מספר פעמים ונחזור אליו בפסוק 40) כבסיס לבחינה.
כשהדבר ניתן, מומלץ גם לבחון את נקודת מבטם של נושאי המידע.
מומלץ לבצע בחינה תקופתית, לוודא יישום של הבקרות בהתאם למה שנמצא בתהליך זה.
עד כאן להיום, שימרו על הפרטיות.
שלכם,
גלעד
הערה: האמור אינו מהווה חוות דעת רשמית של הכותב או מעסיקו ואינו מחליף ייעוץ משפטי.
לפרטים נוספים ויצירת קשר עם נציג אורקל
הודעתך לא התקבלה - נסה שוב מאוחר יותר
