Нарушение на сигурността на личните данни (personal data breach) е нарушение на сигурността, което води до случайно или незаконно унищожаване, загуба, промяна, неразрешено разкриване или достъп до лични данни (член 4). То е по-широко от хакерството.
Примери
- Имейл, изпратен до грешния човек или с грешния прикачен файл.
- Изгубен или откраднат лаптоп, телефон, USB стик или хартиено досие.
- Някой преглежда записи, които няма причина да вижда.
- Фишинг атака, която дава паролата ви на престъпник.
- Рансъмуер, който заключва записите, така че персоналът не може да стигне до тях.
- Документи, хвърлени в обикновен кош, или писма, изпратени на грешен адрес.
- Данни, дадени по телефона на човек, който не е имал право на тях.
- Служител, който изтрива или променя записи по грешка.
Загубата на достъпност също се брои. Ако данните са загубени или заключени и никой не може да ги ползва, това също може да е нарушение.
Първото ви задължение: съобщете веднага
Кажете на управителя си или на лицето, посочено във вашата процедура, веднага. Не чакайте да видите дали има значение. Не се опитвайте да го оправите тихо. Не се обвинявайте и не го криете. Грешки се случват. Истинската вреда идва от мълчанието.
Когато съобщавате, кажете:
- какво се е случило и кога;
- какви данни са засегнати и чии са;
- кой може да ги е видял;
- какво сте направили досега (например сте помолили грешния получател да изтрие имейла).
Не изтривайте доказателства. Пазете имейлите, съобщенията и документите.
Защо бързината е важна
Администраторът трябва да съобщава на ICO за някои нарушения. Срокът е 72 часа от узнаването за нарушението, когато е осъществимо (член 33). Времето тече от момента, в който организацията е узнала, а голямо забавяне от персонала изразходва времето, от което организацията се нуждае. Ако 72-те часа бъдат пропуснати, администраторът трябва да посочи причините за забавянето.
Кой решава дали да се съобщи
Решава работодателят или неговото лице по защита на данните, не вие. Те оценяват риска за хората.
- Малко вероятен риск. Нарушението не се съобщава на ICO, но трябва да бъде записано. Организациите трябва да водят регистър на всички нарушения, с фактите, последствията и предприетите действия.
- Вероятен риск. Администраторът трябва да уведоми ICO, на етапи, ако още не са известни всички подробности.
- Висок риск. Администраторът трябва да уведоми и засегнатите хора, директно и без ненужно забавяне, за да могат да се защитят, например като сменят пароли или следят сметките си.
Рискът зависи от неща като колко чувствителни са данните, колко хора са засегнати и дали са криптирани. Здравни данни, изпратени на грешен човек, са по-сериозни от покана за среща.
Обработващи
Обработващият, като доставчик на облачна услуга, трябва да уведоми администратора без ненужно забавяне, когато узнае за нарушение. Договорите трябва да го уреждат.
Последици
Неуведомяването, когато е необходимо, може да доведе до глоба до 8,7 млн. £ или 2 % от общия световен годишен оборот, което от двете е по-високо. ICO разглежда дали организацията е имала подходящи мерки, обучила ли е персонала си и дали е реагирала бързо. Персоналът, който съобщава незабавно, помага да се покаже, че организацията е постъпила правилно.
Поука след това
Добрата организация използва нарушението като възможност да подобри процедурите и обучението. Съобщаването за „почти инцидент“, при който нещо едва не е тръгнало зле, помага да се предотврати реално нарушение по-късно.