Sızmış veriyi incelemek, onu sınırsızca saklamak anlamına gelmez. Amaç, süre ve erişim üçlüsü baştan yazılmalı.
Sızıntı verisi kişisel veri içerir. Kurumunuzu korumak için incelemek meşru bir amaca dayanabilir; ancak bu, veriyi süresiz saklamak ya da herkese açmak için gerekçe değildir.
Baştan yazılması gerekenler
- Amaç — kendi çalışanlarınızın ve sistemlerinizin güvenliğini sağlamak. Amaç dışına çıkan her kullanım ayrı değerlendirilir.
- Süre — kaydın vaka kapandıktan sonra ne kadar saklanacağı.
- Erişim — ham kayda kimlerin erişebileceği ve erişimin loglanması.
- Asgarilik — parolanın düz metin saklanmaması; eşleştirme için özet değerinin yeterli olduğu durumlar.
Üçüncü kişilerin verisi
Bir veri setinde kurumunuzla ilgisi olmayan kişilerin kayıtları da bulunur. Bunları ayıklayın ve saklamayın; eşleşmeyen kayıtları işlemeye devam etmek için meşru menfaatiniz yoktur.
İlgili kişiye bildirim
Kendi çalışanınızın kimlik bilgisi sızdıysa bildirim yükümlülüğünüzü hukuk ekibiyle birlikte değerlendirin. Bildirimin içeriği, kişinin hangi hesabını ne zaman değiştirmesi gerektiğini açıkça söylemelidir.
