Нарушение на сигурността на личните данни (на английски data breach) е нарушение, което води до случайно или неправомерно унищожаване, загуба, промяна, неразрешено разкриване или достъп до лични данни (чл. 4, т. 12 от GDPR). Не е нужно да е хакерска атака.
Примери от работата
- имейл с лични данни, изпратен на грешен получател
- изгубен или откраднат лаптоп, телефон, USB устройство
- служител, който без разрешение надниква в чужди записи
- фишинг, след който нападател е получил достъп до акаунт
- изхвърлени или изгубени документи с лични данни
- атака с рансъмуер, при която данните са криптирани и недостъпни
- публикуване на данни в уебсайт или социална мрежа по погрешка
Нарушение е и загубата на достъпност на данните, не само изтичането им.
Какво трябва да направи администраторът
- Да съобщи за нарушението на Úřad pro ochranu osobních údajů без ненужно забавяне и ако е възможно, до 72 часа след като е разбрал за него (чл. 33). Изключение е случаят, когато е малко вероятно нарушението да породи риск за правата и свободите на хората. Забавеното уведомяване трябва да се мотивира.
- Ако нарушението вероятно означава висок риск, да го съобщи и на засегнатите хора, разбираемо и без ненужно забавяне (чл. 34). Задължението отпада например когато данните са били ефективно криптирани.
- Да документира всяко нарушение, дори това, което не се съобщава (чл. 33, пар. 5).
Обработващият данните съобщава за нарушението на администратора без ненужно забавяне (чл. 33, пар. 2). За уведомяването на ÚOOÚ има формуляр на uoou.gov.cz.
Какво съдържа уведомлението
Според чл. 33, пар. 3 уведомлението до ÚOOÚ описва по-специално:
- естеството на нарушението, категориите и приблизителния брой засегнати хора и записи
- името и данните за контакт на длъжностното лице по защита на данните или друго звено за контакт
- вероятните последици от нарушението
- мерките, които администраторът е предприел или предлага, за да се справи с нарушението и да смекчи последиците му
Ако администраторът няма веднага цялата информация, може да я предоставя поетапно (чл. 33, пар. 4). Затова не се чака, докато всичко стане ясно. Именно вашите бележки за това кога, какво и на кого се е случило са основа за уведомлението.
Времето е кратко
Срокът от 72 часа е кратък. Ако установите нарушение и не кажете нищо, фирмата губи време и може да пропусне уведомлението, а тогава трябва да обоснове забавянето пред ÚOOÚ. Затова съобщавайте всичко веднага.
Какво да направите, ако откриете проблем
- Не изпадайте в паника и нищо не заметайте под килима. Навременното съобщаване е по-важно от това кой е допуснал грешката.
- Веднага информирайте началника си, длъжностното лице по защита на данните или лицето, определено от вътрешните правила. Не казвайте „по-късно“ или „ще се оправи“.
- Ако можете, предотвратете по-нататъшна вреда: изключете устройството, обадете се на получателя на погрешния имейл с молба да го изтрие, сменете паролата.
- Запишете какво се е случило: кога, какво, на кого и какви данни са засегнати.
- Не изтривайте доказателства и не се свързвайте на своя глава със засегнатите хора, ако никой не ви го е възложил.
- Следвайте указанията. За уведомяването на ÚOOÚ решава администраторът.
Оценка на риска
Администраторът преценява дали рискът е вероятен и колко е висок. Оценява вида на данните (здраве, документи, финанси), броя на хората, лекотата на идентифициране, последиците и това дали данните са били криптирани. Един имейл с график, изпратен по погрешка на колега, на практика не носи риск. Списък с диагнози, изпратен на непознат, носи висок риск.
Какво да запомните
- Нарушението на сигурността не е само хакерска атака. Достатъчен е погрешно изпратен имейл.
- Администраторът съобщава на ÚOOÚ до 72 часа от момента, в който е разбрал за нарушението.
- Трябва да му го кажете веднага, за да не скъсите срока му.
- Документира се всяко нарушение.