Încălcarea securității datelor cu caracter personal (în engleză data breach) este o încălcare care duce la distrugerea, pierderea, modificarea sau divulgarea neautorizată ori accesul neautorizat la datele personale, accidental sau ilegal (art. 4 pct. 12 GDPR). Nu trebuie să fie vorba de un atac de hackeri.
Exemple de la locul de muncă
- un e-mail cu date personale trimis unui destinatar greșit
- un laptop, un telefon sau un stick USB pierdut ori furat
- un angajat care consultă fără drept înregistrările altora
- un phishing în urma căruia atacatorul a obținut acces la un cont
- documente cu date personale aruncate sau pierdute
- un atac cu ransomware, în care datele sunt criptate și indisponibile
- publicarea din greșeală a unor date pe site sau pe o rețea socială
Încălcare este și pierderea disponibilității datelor, nu doar scurgerea lor.
Ce trebuie să facă operatorul
- Să notifice încălcarea către Úřad pro ochranu osobních údajů fără întârzieri nejustificate, dacă este posibil în 72 de ore de când a luat cunoștință de ea (art. 33). Excepție: cazul în care este improbabil ca încălcarea să genereze un risc pentru drepturile și libertățile persoanelor. O notificare tardivă trebuie motivată.
- Dacă încălcarea reprezintă probabil un risc ridicat, să o comunice și persoanelor afectate, în mod clar și fără întârzieri nejustificate (art. 34). Obligația dispare, de exemplu, când datele au fost criptate eficient.
- Să documenteze fiecare încălcare, chiar și pe cea care nu se notifică (art. 33 alin. 5).
Persoana împuternicită notifică încălcarea operatorului fără întârzieri nejustificate (art. 33 alin. 2). Pentru notificarea către ÚOOÚ există un formular pe uoou.gov.cz.
Ce conține notificarea
Conform art. 33 alin. 3, notificarea către ÚOOÚ descrie în special:
- natura încălcării, categoriile și numărul aproximativ de persoane și de înregistrări afectate
- numele și datele de contact ale responsabilului cu protecția datelor sau ale altui punct de contact
- consecințele probabile ale încălcării
- măsurile pe care operatorul le-a luat sau le propune pentru a remedia încălcarea și a-i reduce efectele
Dacă operatorul nu are imediat toate informațiile, le poate furniza etapizat (art. 33 alin. 4). De aceea nu se așteaptă până când totul este clar. Tocmai notele dumneavoastră despre când, ce și cui s-a întâmplat sunt baza notificării.
Timpul este scurt
Termenul de 72 de ore este scurt. Dacă observați încălcarea și nu spuneți nimic, firma pierde timp și poate depăși termenul de notificare, iar apoi trebuie să justifice întârzierea în fața ÚOOÚ. De aceea raportați totul imediat.
Ce faceți când descoperiți o problemă
- Nu intrați în panică și nu ascundeți nimic. Raportarea la timp contează mai mult decât cine a greșit.
- Informați imediat șeful, responsabilul cu protecția datelor sau persoana stabilită de regulile interne. Nu spuneți „mai târziu” sau „se rezolvă de la sine”.
- Dacă puteți, preveniți alte daune: deconectați dispozitivul, sunați destinatarul e-mailului trimis greșit și rugați-l să-l șteargă, schimbați parola.
- Notați ce s-a întâmplat: când, ce, cui și ce date au fost afectate.
- Nu ștergeți dovezile și nu contactați pe cont propriu persoanele afectate, dacă nu v-a cerut nimeni.
- Urmați instrucțiunile. Despre notificarea către ÚOOÚ decide operatorul.
Evaluarea riscului
Operatorul evaluează dacă riscul este probabil și cât de ridicat este. Ia în calcul tipul de date (sănătate, documente, finanțe), numărul de persoane, ușurința identificării, consecințele și dacă datele au fost criptate. Un e-mail cu un orar trimis din greșeală unui coleg nu prezintă practic niciun risc. O listă de diagnostice trimisă unei persoane străine prezintă un risc ridicat.
Ce trebuie să rețineți
- Încălcarea securității nu înseamnă doar un atac al hackerilor. Este suficient un e-mail trimis greșit.
- Operatorul raportează către ÚOOÚ în 72 de ore de la momentul în care a luat cunoștință de încălcare.
- Dumneavoastră trebuie să-i spuneți imediat, ca să nu-i scurtați termenul.
- Se documentează fiecare încălcare.