Incydenty i postępowania wewnętrzne w firmie

Jedno zdarzenie może wymagać równoległej pracy IT, osoby zajmującej się ochroną danych, HR i właściwych organów spółki. Uporządkowanie ról pozwala rozdzielić fakty techniczne, kwalifikację prawną i decyzję biznesową. Brak pełnego raportu nie powinien przesłaniać obowiązku pilnej oceny terminów.

• Ustalenie celu, zakresu i prawnych podstaw wyjaśnień.
• Mapa osób odpowiedzialnych, umocowania i konfliktów interesów.
• Ocena obowiązków dotyczących naruszenia ochrony danych, z rozdzieleniem zgłoszenia organowi i zawiadomienia osób.
• Plan prawnie dopuszczalnego pozyskania i zachowania materiału.
• Dokumentacja rozmów i ustaleń, z uwzględnieniem praw uczestników.
• Ocena wariantów dalszego działania oraz projektów stanowisk i pism w uzgodnionym zakresie.

Przy zgłoszeniu sygnalisty trzeba najpierw ustalić zastosowanie właściwych regulacji, kanał, uprawnienia prowadzących i zasady poufności. Nie każda skarga pracownicza jest automatycznie zgłoszeniem w ustawowym trybie, a brak takiej kwalifikacji nie oznacza, że informację wolno zignorować.

Analiza prawna opiera się na legalnie dostępnym materiale i informacjach przekazanych przez uprawnione osoby. Jeżeli potrzebne jest techniczne zabezpieczenie systemów, odtworzenie zdarzeń lub ocena konfiguracji, wymaga to właściwego zespołu IT albo odpowiedniego specjalisty. Kancelaria nie przedstawia tej usługi jako informatyki śledczej, odzyskiwania plików lub technicznej obsługi cyberataku.

Ocena konkretnego incydentu nie oznacza przejęcia całej funkcji ochrony danych w przedsiębiorstwie. Ustalamy relację do administratora, ewentualnego inspektora ochrony danych, dostawców i innych doradców. Zakres dotyczący regulacji sektorowych, postępowania karnego lub innego odrębnego zagadnienia wymaga osobnego uzgodnienia.

Nie obiecujemy odzyskania danych, braku odpowiedzialności, określonego wyniku postępowania ani całodobowej gotowości. Przy trwającym zagrożeniu firma powinna uruchomić własną ścieżkę reagowania i uprawnione osoby techniczne. Wysłanie formularza nie zapewnia dochowania terminu ani podjęcia pilnej interwencji.

• Daty wykrycia, potwierdzenia informacji i dotychczasowych decyzji.
• Opis skutków, kategorii informacji i podmiotów uczestniczących w zdarzeniu.
• Informację o osobie koordynującej, zespole IT, HR i ochronie danych.
• Obowiązujące procedury, umowy i zasady dostępu właściwe dla sprawy.
• Indeks legalnie dostępnych dokumentów oraz opis ich źródeł.
• Informację o dokonanych zgłoszeniach, zawiadomieniach i biegnących terminach.

Na początku wystarczy ogólny opis. Nie przesyłaj haseł, pełnych baz klientów, danych zdrowotnych, danych sygnalisty ani całych skrzynek pocztowych przez formularz. Sposób przekazania niezbędnego materiału ustalamy po sprawdzeniu możliwości działania. Nie pozyskuj nowych dowodów przez nieuprawniony dostęp.