Chiar dacă se iau precauții, uneori ceva nu merge bine. Atunci contează să acționați repede și să anunțați persoana potrivită.
Ce este o încălcare a securității datelor
Este orice incident de securitate care duce la distrugerea, pierderea sau modificarea, accidentală sau ilegală, a datelor personale ori la divulgarea sau accesul neautorizat la ele (articolul 4 punctul 12 din GDPR). Poate fi accidentală sau intenționată. Exemple:
- un e-mail cu datele clienților trimis persoanei greșite
- pierderea sau furtul unui laptop, al unui telefon sau al unui stick USB
- un atac informatic sau un virus care criptează fișierele (ransomware)
- un dosar pe hârtie uitat într-un tren
- un cont folosit de cineva care nu trebuia, de exemplu după un phishing
- ștergerea accidentală a unei baze de date fără copie de rezervă
Nu trebuie să așteptați să fiți sigur de pagubă. Îndoiala este suficientă pentru a anunța.
Ce trebuie să faceți
- Anunțați imediat persoana sau departamentul indicat de firmă (IT, conducerea, responsabilul cu protecția datelor).
- Spuneți ce știți: ce s-a întâmplat, când, ce date sunt implicate și câte persoane pot fi afectate.
- Faceți ce puteți pentru a limita paguba, dacă puteți face asta fără risc: schimbați o parolă, deconectați un echipament de la rețea, rugați destinatarul greșit să șteargă mesajul.
- Nu ștergeți probe și nu încercați să remediați pe cont propriu, pe ascuns.
- Nu ascundeți. O problemă comunicată la timp poate fi, de obicei, ținută sub control. Una ascunsă se agravează.
Termenele din GDPR
- Către autoritatea de supraveghere (AEPD). Operatorul trebuie să notifice încălcarea fără întârzieri nejustificate și, dacă este posibil, în termen de cel mult 72 de ore de la momentul în care a luat cunoștință de ea (articolul 33.1). Nu este necesară notificarea dacă este improbabil ca încălcarea să genereze un risc pentru drepturile și libertățile persoanelor. Dacă termenul nu este respectat, trebuie explicate motivele întârzierii.
- Către persoanele afectate. Când încălcarea este de natură să genereze un risc ridicat pentru drepturile și libertățile lor, operatorul le comunică încălcarea fără întârzieri nejustificate, într-un limbaj clar (articolul 34). Un exemplu este scurgerea de date bancare sau de sănătate.
- De la persoana împuternicită către operator. Dacă încălcarea survine la o persoană împuternicită, aceasta trebuie să o notifice operatorului fără întârzieri nejustificate (articolul 33.2).
Cele 72 de ore se numără din momentul în care firma ia cunoștință, iar asta include momentul în care aflați dumneavoastră. Dacă dumneavoastră întârziați trei zile să anunțați, termenul s-a scurs practic. Un anunț târziu poate costa firma o sancțiune.
Evidența internă
Pe lângă notificare, operatorul trebuie să documenteze toate încălcările, inclusiv pe cele care nu se notifică: faptele, efectele și măsurile luate (articolul 33.5). Astfel poate arăta AEPD cum a procedat. LOPDGDD consideră contravenție gravă nenotificarea către autoritate a unei încălcări de securitate (articolul 73 litera r).
Ce se notifică AEPD
Notificarea descrie natura încălcării, categoriile și numărul aproximativ de persoane și de înregistrări afectate, datele de contact ale responsabilului cu protecția datelor sau ale altei persoane, consecințele probabile și măsurile luate. Se depune prin sediul electronic al AEPD (aepd.es).
Rețineți: cine descoperă problema nu trebuie nici să o rezolve, nici să o judece. Sarcina dumneavoastră este să anunțați în aceeași zi.