To się dzieje w każdej firmie, która używa modeli językowych, i będzie się dziać dalej.
Ktoś skleił szybciej niż pomyślał. Pytanie nie brzmi, jak temu zapobiec w stu procentach,
tylko co zrobić w pierwszych godzinach, żeby z pomyłki nie zrobił się problem większego kalibru.
Krok pierwszy: ustal, co dokładnie wyszło
Zanim cokolwiek zgłosisz i zanim kogokolwiek ochrzanisz, potrzebujesz faktów: jaka treść,
w jakim narzędziu, na jakim koncie, o której godzinie. Konto prywatne czy firmowe ma tu
znaczenie rozstrzygające, bo od tego zależy, jaki reżim przetwarzania obowiązywał.
Poproś pracownika o zrzut ekranu rozmowy, zanim cokolwiek skasuje. Wiem, że odruch jest
odwrotny. Ale usunięta rozmowa to usunięty dowód tego, co się stało – a bez tego nie ocenisz
skali i nie napiszesz sensownego zgłoszenia.
Krok drugi: oceń, czy to w ogóle jest incydent ochrony danych
Nie każde wklejenie nim jest. Jeżeli poszła treść wewnętrzna bez danych osobowych –
to problem poufności handlowej, nieprzyjemny, ale bez ścieżki formalnej. Jeżeli poszły dane
osobowe, których administratorem jest Twoja firma, wchodzisz w reżim naruszenia ochrony
danych i zaczyna biec czas.
Rozstrzygające jest, czy w treści były dane pozwalające zidentyfikować konkretną osobę –
imię i nazwisko, adres, numer telefonu, numer sprawy powiązany z osobą, treść korespondencji
z klientem. Nazwa firmy kontrahenta sama w sobie zwykle nią nie jest, ale nazwisko osoby
kontaktowej już tak.
Krok trzeci: ogranicz skutki tam, gdzie to jeszcze możliwe
- Usuń rozmowę w panelu narzędzia – po zabezpieczeniu zrzutu.
- Sprawdź w ustawieniach konta, czy treść mogła trafić do dalszego trenowania modelu.
Jeśli tak i da się to wyłączyć, wyłącz teraz, żeby przynajmniej ograniczyć kolejne zdarzenia. - Jeżeli to konto prywatne pracownika, poproś o usunięcie i rozważ, czy nie jest to moment
na udostępnienie mu konta firmowego. Ludzie używają prywatnych kont wtedy, gdy nie dostali
firmowych. - Sprawdź, czy to samo nie dzieje się w innych zespołach. Jednostkowa pomyłka i utrwalony
zwyczaj wymagają zupełnie innej reakcji.
Krok czwarty: obowiązki formalne
Jeżeli doszło do naruszenia ochrony danych osobowych, administrator ma obowiązek
odnotować je w wewnętrznym rejestrze naruszeń – ten obowiązek dotyczy każdego naruszenia,
także tego, którego nie zgłasza się dalej.
Zgłoszenie do organu nadzorczego jest wymagane, gdy naruszenie może powodować ryzyko
naruszenia praw lub wolności osób, których dane dotyczą, i ma nastąpić bez zbędnej zwłoki,
nie później niż w ciągu 72 godzin od stwierdzenia naruszenia. Jeżeli ryzyko jest wysokie,
zawiadamia się także same osoby.
ryzyko występuje i czy zgłoszenie jest wymagane, zależy od okoliczności i wymaga decyzji
osoby odpowiedzialnej za ochronę danych w Twojej organizacji. Ten tekst pokazuje kolejność
działań, nie zastępuje tej oceny.
Krok piąty: rozmowa z pracownikiem
Jedna uwaga o tonie, bo ona przesądza o tym, czy dowiesz się o następnym razie. Jeżeli
pierwsze zgłoszenie skończy się awanturą, kolejne po prostu do Ciebie nie dotrze – a incydent
niezgłoszony jest znacznie gorszy niż zgłoszony.
Rozmowa ma ustalić, dlaczego to się stało. W większości przypadków odpowiedź brzmi:
bo nie było jasnej zasady albo bo firmowe narzędzie było gorsze od tego, co człowiek miał
pod ręką prywatnie. Obie odpowiedzi wskazują na organizację, nie na człowieka.
Decyzja do podjęcia
Po zamknięciu sprawy zostaje pytanie, czy zmieniasz zasady, czy narzędzia. Jeżeli
pracownik nie wiedział, że nie wolno – potrzebna jest jednostronicowa zasada i krótkie
szkolenie. Jeżeli wiedział, ale firmowe narzędzie było niewygodne – żadne szkolenie tego
nie naprawi i trzeba wrócić do doboru narzędzi.
Nie rób obu naraz „na wszelki wypadek”. Zrób to, co wynika z odpowiedzi.