Adatvédelmi incidens: Adatvédelmi incidens a GDPR 4. cikk 12. pontja szerint a biztonság olyan sérülése, amely a személyes adatok véletlen vagy jogellenes megsemmisítését, elvesztését, módosítását, jogosulatlan közlését vagy az azokhoz való jogosulatlan hozzáférést eredményezi.
Rendelői példák: elveszett laptop titkosítatlan betegadatokkal, rossz címre küldött lelet, zsarolóvírus a NAS-on, vagy egy volt munkatárs, akinek a hozzáférését nem vonták vissza. Nem csak a támadás számít: a véletlen törlés is incidens, ha az adat nem állítható vissza.
A GDPR 33. cikke szerint az adatkezelő az incidenst indokolatlan késedelem nélkül, és ha lehetséges, legkésőbb 72 órával a tudomásszerzés után bejelenti a felügyeleti hatóságnak, Magyarországon a NAIH-nak, kivéve, ha valószínűsíthetően nem jár kockázattal. Magas kockázat esetén a 34. cikk szerint az érintett pácienseket is tájékoztatni kell. Minden incidenst nyilvántartásba kell venni, azokat is, amelyeket nem kellett bejelenteni.
A felkészülés olcsóbb, mint az utólagos kármentés: titkosítás, szerepkörös jogosultság, naplózás, kipróbált mentés, és egy egyoldalas teendőlista arra az esetre, ha baj van.