Naruszenie ochrony danych osobowych (personal data breach) to naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utraty, zmiany, nieuprawnionego ujawnienia danych osobowych lub dostępu do nich (art. 4). To pojęcie szersze niż włamanie.
Przykłady
- E-mail wysłany do niewłaściwej osoby albo z niewłaściwym załącznikiem.
- Zgubiony lub skradziony laptop, telefon, pendrive albo teczka z dokumentami.
- Ktoś przegląda rekordy, do których nie ma powodu zaglądać.
- Atak phishingowy, który daje przestępcy twoje hasło.
- Ransomware, który blokuje rekordy, tak że pracownicy nie mają do nich dostępu.
- Dokumenty wyrzucone do zwykłego kosza lub listy wysłane na zły adres.
- Dane podane przez telefon osobie, która nie miała do nich prawa.
- Pracownik, który przez pomyłkę usuwa lub zmienia rekordy.
Liczy się też utrata dostępności. Jeśli dane zostały utracone lub zablokowane i nikt nie może z nich korzystać, to również może być naruszenie.
Twój pierwszy obowiązek: zgłoś od razu
Powiedz przełożonemu lub osobie wskazanej w procedurze natychmiast. Nie czekaj, czy to ma znaczenie. Nie próbuj naprawiać po cichu. Nie obwiniaj się ani nie ukrywaj. Błędy się zdarzają. Prawdziwą szkodę wyrządza milczenie.
Zgłaszając, podaj:
- co się stało i kiedy;
- jakich danych dotyczy i czyich;
- kto mógł je zobaczyć;
- co już zrobiono (np. prośba do niewłaściwego odbiorcy o usunięcie e-maila).
Nie usuwaj dowodów. Zachowaj e-maile, wiadomości i dokumenty.
Dlaczego liczy się szybkość
Administrator musi zgłosić niektóre naruszenia do ICO. Termin to 72 godziny od stwierdzenia naruszenia, o ile to możliwe (art. 33). Czas biegnie od chwili, gdy organizacja się dowie, a długie zwlekanie pracowników zużywa czas potrzebny organizacji. Jeśli 72 godziny zostaną przekroczone, administrator musi podać powody opóźnienia.
Kto decyduje, czy zgłosić
Decyduje pracodawca lub jego osoba odpowiedzialna za ochronę danych, a nie ty. Oceniają ryzyko dla ludzi.
- Ryzyko mało prawdopodobne. Naruszenia nie zgłasza się do ICO, ale trzeba je zapisać. Organizacje muszą prowadzić rejestr wszystkich naruszeń, z faktami, skutkami i podjętymi działaniami.
- Ryzyko prawdopodobne. Administrator musi powiadomić ICO, etapami, jeśli nie zna jeszcze wszystkich szczegółów.
- Wysokie ryzyko. Administrator musi też poinformować osoby, których dotyczy naruszenie, bezpośrednio i bez zbędnej zwłoki, aby mogły się chronić, np. zmieniając hasła lub obserwując konta.
Ryzyko zależy m.in. od wrażliwości danych, liczby osób i tego, czy dane są zaszyfrowane. Dane o zdrowiu wysłane niewłaściwej osobie to poważniejsza sprawa niż zaproszenie na spotkanie.
Podmioty przetwarzające
Podmiot przetwarzający, np. dostawca chmury, musi powiadomić administratora bez zbędnej zwłoki, gdy dowie się o naruszeniu. Umowy powinny to określać.
Konsekwencje
Niezgłoszenie, gdy jest to wymagane, może skutkować karą do 8,7 mln £ lub 2% światowego rocznego obrotu, w zależności od tego, która kwota jest wyższa. ICO bierze pod uwagę, czy organizacja miała odpowiednie środki, przeszkoliła pracowników i szybko zareagowała. Pracownicy, którzy zgłaszają szybko, pomagają wykazać, że organizacja postąpiła właściwie.
Wnioski na przyszłość
Dobra organizacja traktuje naruszenie jako okazję do poprawy procedur i szkoleń. Zgłaszanie sytuacji o włos od błędu (near miss), gdy coś prawie poszło źle, pomaga zapobiec prawdziwemu naruszeniu.