एक बुनियादी घटना प्रतिक्रिया वर्कफ़्लो बनाना

कम से कम, किसी को यह तय करने का ज़िम्मा लेना चाहिए कि कोई घटना पुष्ट व्यक्तिगत डेटा उल्लंघन (ब्रीच) है या नहीं, किसी को तकनीकी दायरे का आकलन करने में सक्षम होना चाहिए, और किसी को संचार का ज़िम्मा लेना चाहिए — प्रभावित व्यक्तियों से और डेटा संरक्षण बोर्ड से, जो किसी भी व्यक्तिगत डेटा उल्लंघन में दोनों ज़रूरी हैं। एक छोटी टीम में ये अलग-अलग भूमिकाएँ एक ही व्यक्ति निभा सकता है; बात यह है कि यह पहले से तय हो, घटना के बीच में नहीं।

लिख कर रखें कि ये लोग कौन हैं, नाम या भूमिका से, और सामान्य कामकाजी घंटों के बाहर उन तक कैसे पहुँचा जाए। कोई घटना शायद ही किसी सुविधाजनक समय का इंतज़ार करती है।

सबूत नष्ट किए बिना जो रोक सकते हैं उसे रोकें: इसका मतलब हो सकता है पहुँच वापस लेना, किसी सिस्टम को अलग करना, या किसी प्रक्रिया को रोकना — लेकिन लॉग या ऐसे सिस्टम मिटाना नहीं जिनकी ज़रूरत आपको यह समझने के लिए पड़ेगी कि क्या हुआ। फिर आकलन करें: कौन-सा डेटा, कितने लोग, यह कैसे हुआ — जितना आप पहले कुछ घंटों में समझ सकें।

सूचना देने का समय एक वास्तविक सीमा है, औपचारिकता नहीं: DPDP नियम उम्मीद करते हैं कि डेटा संरक्षण बोर्ड और प्रभावित व्यक्तियों को बिना देरी बताया जाए, और एक ज़्यादा विस्तृत रिपोर्ट 72 घंटे के भीतर देनी हो। यह समय-सीमा तभी से शुरू हो जाती है जब आपको ब्रीच का पता चलता है, इसलिए पूरी निश्चितता का इंतज़ार करने के बजाय जल्दी आगे बढ़ाना बेहतर है।

प्रभावित व्यक्तियों को खुद को सुरक्षित रखने के लिए पर्याप्त जानकारी चाहिए — क्या हुआ, कौन-सा डेटा शामिल था, आप इसके बारे में क्या कर रहे हैं, और वे क्या कर सकते हैं। अस्पष्ट, बचाव करने वाली भाषा भरोसे को उस साफ़, सीधी जानकारी से कहीं तेज़ी से कमज़ोर करती है जो बताती है कि क्या पता है और क्या अभी नहीं।

क्या तय हुआ और कब, इसका एक लिखित रिकॉर्ड रखें, भले ही आप बीच में प्रतिक्रिया दे रहे हों। यही फ़र्क़ है बाद में सबूत के साथ अपनी प्रतिक्रिया समझाने और उसे याद्दाश्त से दोबारा जोड़ने में।

एक छोटी आंतरिक समीक्षा — क्या हुआ, क्या काम किया, क्या नहीं — इसे ताज़ा रहते हुए करना उचित है, महीनों बाद नहीं। जो भी बदलने की ज़रूरत हो (कोई एक्सेस कंट्रोल, वेंडर की कोई शर्त, निगरानी में कोई कमी) उसे वापस अपनी असली प्रक्रियाओं में शामिल करें, सिर्फ़ किसी दस्तावेज़ में दर्ज करके फ़ाइल न कर दें।