Дори да се вземат предпазни мерки, понякога нещо се обърква. Тогава е важно да действате бързо и да уведомите когото трябва.
Какво е нарушение на сигурността на личните данни
Това е всеки инцидент със сигурността, който води до случайно или неправомерно унищожаване, загуба или промяна на лични данни, или до тяхното неразрешено разкриване или достъп до тях (член 4, т. 12 от GDPR). Може да е случайно или умишлено. Примери:
- имейл с данни на клиенти, изпратен до грешен човек
- загуба или кражба на лаптоп, телефон или флашка
- компютърна атака или вирус, който криптира файловете (ransomware)
- папка с документи, забравена във влак
- акаунт, използван от някой, който не бива, например след фишинг
- случайно изтриване на база данни без резервно копие
Не е нужно да чакате да сте сигурни във вредата. Съмнението е достатъчно, за да уведомите.
Какво трябва да направите вие
- Уведомете незабавно лицето или отдела, посочени от вашата фирма (ИТ, ръководството, длъжностното лице по защита на данните).
- Кажете какво знаете: какво се е случило, кога, кои данни са засегнати и колко хора може да засегне.
- Направете каквото можете, за да ограничите вредата, ако може да стане без риск: смяна на парола, изключване на устройство от мрежата, молба към грешния получател да изтрие съобщението.
- Не изтривайте доказателства и не се опитвайте да го оправите тихомълком сами.
- Не го скривайте. Проблем, съобщен навреме, обикновено може да се овладее. Скритият проблем расте.
Сроковете по GDPR
- До надзорния орган (AEPD). Администраторът трябва да уведоми за нарушението без ненужно забавяне и, когато е възможно, не по-късно от 72 часа след като е разбрал за него (член 33, ал. 1). Не е нужно да се уведомява, ако е малко вероятно нарушението да породи риск за правата и свободите на хората. Ако срокът не е спазен, трябва да се обяснят причините за забавянето.
- До засегнатите лица. Когато нарушението поражда висок риск за правата и свободите им, администраторът ги уведомява без ненужно забавяне, на ясен език (член 34). Пример е изтичането на банкови или здравни данни.
- От обработващия до администратора. Ако нарушението засегне обработващ данните, той трябва да уведоми администратора без ненужно забавяне (член 33, ал. 2).
72-те часа се броят от момента, в който фирмата разбере, а това включва момента, в който разберете вие. Ако ви трябват три дни, за да съобщите, срокът на практика е изтекъл. Късното уведомяване може да струва на фирмата санкция.
Вътрешният регистър
Освен да уведомява, администраторът трябва да документира всички нарушения, включително тези, за които не се уведомява: фактите, последиците и предприетите мерки (член 33, ал. 5). Така може да докаже на AEPD как е действал. LOPDGDD счита за тежко нарушение неуведомяването на органа за нарушение на сигурността (член 73, буква r).
Какво се съобщава на AEPD
Уведомлението описва естеството на нарушението, категориите и приблизителния брой засегнати лица и записи, данните за контакт на длъжностното лице по защита на данните или на друго лице, вероятните последици и предприетите мерки. Подава се през електронния портал на AEPD (aepd.es).
Запомнете: който забележи проблема, не е длъжен нито да го решава, нито да го преценява. Вашата задача е да съобщите в същия ден.