Naruszenie ochrony danych osobowych (data breach) to naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utraty, zmiany, nieuprawnionego ujawnienia lub dostępu do danych osobowych (art. 4 pkt 12 RODO). Nie potrzeba cyberataku: wystarczy błąd.
Trzy rodzaje naruszeń
- Poufności: dane trafiają do osób, które nie powinny ich mieć. Przykład: e-mail z danymi o zdrowiu wysłany do niewłaściwego adresata.
- Integralności: dane zostają zmienione bez upoważnienia lub przez pomyłkę.
- Dostępności: dane zostają utracone lub przestają być dostępne. Przykład: atak ransomware szyfrujący pliki albo archiwum papierowe zniszczone przez zalanie.
Przykłady
- Niezabezpieczony laptop lub pendrive zostaje zgubiony albo skradziony.
- Plik z danymi klientów zostaje przez pomyłkę dołączony do zewnętrznego e-maila.
- List z danymi o zdrowiu trafia do niewłaściwej skrzynki.
- Współpracownik używa cudzych danych logowania i przegląda sprawy, które nie są jego.
- Ktoś klika link phishingowy i jego konto zostaje przejęte.
72 godziny
Administrator musi zgłosić naruszenie Garante w ciągu 72 godzin od stwierdzenia naruszenia, chyba że jest mało prawdopodobne, by powodowało ryzyko naruszenia praw lub wolności osób (art. 33 RODO). Po upływie 72 godzin zgłoszenie nadal można złożyć, ale trzeba w nim wyjaśnić opóźnienie. Garante ma na swojej stronie procedurę online.
Podmiot przetwarzający musi poinformować administratora bez zbędnej zwłoki po stwierdzeniu naruszenia.
Jeśli ryzyko dla osób jest wysokie, administrator musi zawiadomić także osoby, których dane dotyczą, prostym językiem, wskazując, co się stało i co mogą zrobić (art. 34). Jeśli dane były skutecznie zaszyfrowane, zawiadomienie może na przykład nie być potrzebne.
Administrator dokumentuje każde naruszenie, także niezgłoszone, w rejestrze naruszeń (art. 33 ust. 5).
Dlaczego twoje zgłoszenie się liczy
Termin 72 godzin dotyczy administratora, ale by go dotrzymać, firma musi od razu wiedzieć, co się stało. Jeśli poczekasz trzy dni z informacją, że plik poszedł od ciebie na zły adres, czas na reakcję już minął. Niektóre naruszenia da się jeszcze naprawić, jeśli działa się wcześnie: poprosić adresata o usunięcie wiadomości, zablokować konto, zmienić hasło, wyłączyć urządzenie.
Co robić, gdy do tego dojdzie
- Zatrzymaj się i nie próbuj „naprawiać” na własną rękę, usuwając wiadomości lub pliki: mogą być potrzebne, by zrozumieć, co się stało.
- Od razu powiadom osobę wskazaną przez firmę (dział informatyki, osobę odpowiedzialną za prywatność, IOD lub przełożonego). Jeśli nie wiesz, kto to jest, powiadom przełożonego: nie czekaj.
- Opisz fakty: co się stało, kiedy, jakie dane, ile osób, kto mógł je zobaczyć.
- Stosuj się do poleceń firmy. Nie informuj na własną rękę klientów, dziennikarzy ani mediów społecznościowych i nie kontaktuj się z organem: ocena i ewentualne zgłoszenie należą do administratora.
- Jeśli zdarzyło ci się już kliknąć link lub wpisać hasło, zmień hasło z bezpiecznego kanału i powiedz o tym.
Atmosfera bez strachu
Kto szybko zgłasza błąd, powinien zostać wysłuchany, a nie ukarany za to, że się odezwał. Firmy, które ukrywają incydenty, ponoszą znacznie większe ryzyko. Naruszenie niezgłoszone, gdy trzeba było je zgłosić, może zostać ukarane przez Garante (art. 83 ust. 4 RODO: kary do 10 milionów euro lub 2 % obrotu).