Η Insurance Europe ανέπτυξε ένα πρότυπο που θα μπορούσε να βοηθήσει τις εταιρίες να εκπληρώσουν την υποχρέωσή τους βάσει του Γενικού Κανονισμού Προστασίας Δεδομένων (GDPR) να ενημερώνουν την αρμόδια εποπτική τους αρχή για παραβιάσεις προσωπικών δεδομένων.

Το πρότυπο παρουσιάζει ιδιαίτερο ενδιαφέρον για τις μικρομεσαίες επιχειρήσεις και τις εποπτικές αρχές. Οι επιχειρήσεις θα μπορούσαν να βασίζονται σε αυτό το πρότυπο αντί να κάνουν μια περιγραφική άσκηση εν μέσω παραβίασης των δεδομένων, για την οποία ενδέχεται να μην διαθέτουν τους πόρους. Οι εποπτικές αρχές θα μπορούσαν να επωφεληθούν από μια τυποποιημένη μορφή που θα τους επιτρέπει να μοιράζονται τα δεδομένα των περιστατικών πέρα από τα σύνορα, να εντοπίζουν καλύτερα τις τάσεις και να αποκτούν πληροφορίες σχετικά με τον τρόπο αντιμετώπισης των κυβερνοαπειλών σε ολόκληρη την Ευρώπη.

Το πρότυπο δημιουργήθηκε με τέτοιο τρόπο ώστε οι πληροφορίες να μπορούν να μοιράζονται χωρίς να χρειάζεται να είναι ανώνυμες ή συγκεντρωμένες, καθώς δεν θα είναι δυνατόν να προσδιοριστεί μια εταιρία μέσω των πληροφοριών που παρέχει.

Σε περίπτωση που χρησιμοποιηθεί ευρέως, το πρότυπο θα μπορούσε να συμβάλει στην ενίσχυση των πληροφοριών και των δεδομένων που είναι εκτεθειμένα στους κινδύνους του κυβερνοχώρου και, συνεπώς, στην αύξηση της ανθεκτικότητας του κυβερνοχώρου. Επί του παρόντος, η έλλειψη διαθέσιμων πληροφοριών σχετικά με συμβάντα στο κυβερνοχώρο παρεμποδίζει μια σειρά από φορείς, κυρίως ασφαλιστικές, οι οποίοι έχουν περιορισμένη δυνατότητα να προσφέρουν κάλυψη για τους κινδύνους του κυβερνοχώρου και συναφείς υπηρεσίες. Αυτό θα μπορούσε να αλλάξει εάν οι ασφαλιστικές αποκτήσουν πρόσβαση στα ανώνυμα δεδομένα που θα συλλέγονται από τις εθνικές εποπτικές αρχές ως αποτέλεσμα των διατάξεων περί παραβίασης των δεδομένων.

Πώς λειτουργεί

Το πρότυπο έχει τρείς διαφορετικές ενότητες:

• Η πρώτη ενότητα περιλαμβάνει προσωπικά στοιχεία και πληροφορίες σχετικά με την επηρεαζόμενη εταιρία (δεν μοιράζονται με τρίτους).
• Η δεύτερη ενότητα περιλαμβάνει λεπτομέρειες για το περιστατικό παραβίασης δεδομένων σύμφωνα με τις ενδείξεις του άρθρου 33 του GDPR, οι οποίες αποστέλλονται στην εθνική εποπτική αρχή, όπου είναι εφικτό, το αργότερο εντός 72 ωρών από τη στιγμή που έχουν λάβει γνώση της παραβίασης.
• Η τρίτη ενότητα περιλαμβάνει συμπληρωματικά σύνολα δεδομένων που βοηθούν στη καλύτερη γνώση της φύσης της παραβίασης και πρέπει να ολοκληρωθεί μετά από την περίοδο των 72 ωρών, όταν υπάρχουν περισσότερες πληροφορίες σχετικά με την παραβίαση δεδομένων.