Please enable JavaScript.

Coggle requires JavaScript to display documents.

Risk Assessments for notification of breaches under the GDPR…

- - - - :no_entry:　以下のデータが含まれる場合は、高リスクになる可能性が高い
        ・人種／民族、政治的思考、宗教、哲学、労働組合加盟情報、
        遺伝子データ、健康や性的指向に関するデータ、犯罪歴、セキュリティ侵害歴等
    - - :recycle:　ある程度暗号化／仮名化／匿名化されたデータである場合は、リスクは低くなる
      - :no_entry:　　健康に関するデータと身分証明書類とクレジットカード情報など、複数のデータの組み合わせだとより高リスクとなる
    - - :no_entry:　データを侵害された個人が社会的弱者のもの場合、高リスクとなる可能性が高い
      - :no_entry:　コントローラが医療関係者の場合、機密情報を持っているため、高リスクとなる可能性が高い
      - :no_entry:　データの開示先の人物が悪意を持つ人物（犯罪者）である可能性により、高リスクとなる
      - :recycle:　データの開示先が、同組織の隣の部署／お得意先のサプライヤー等の場合は、信頼できる関係があり、利害が一致しているため、すぐに侵害回避に協力を依頼すれば、リスクは低くなる
  - - - 監督機関、データ主体共に通知の必要なし。
      - いずれの場合も、コントローラは、インシデントを記録し、記録を管理する必要がある。（Ⅳ）
        
        記録する項目
        ・侵害の原因
        ・起きた現象
        ・侵害されたデータについて
        
        コントローラは、通知が不要だと判断した根拠を示す必要がある。
        
        文書化することのメリット
        
        ・監督機関への通知の遅延、もしくは通知しなかった理由を正当化することができる
        
        ・コントローラが、個人に対し、侵害の事実を効果的に、タイムリーに通知したという記録は、コントローラの高い説明責任とコンプライアンスの証拠となる。
        
        ・インシデントの封じ込め、管理、復旧、リスク評価、侵害の通知について文書化することで、GDPRへの遵守を証明できる。
        
        従業員に対し、インシデントが起きた際の手順、メカニズム、対応を知らせていることの証拠となる。
    - - 監督機関へ通知の必要がある。
      - データ主体への通知義務はない。
    - - 監督機関、データ主体共に通知の必要がある。