O încălcare a securității datelor cu caracter personal este o încălcare a securității care duce, în mod accidental sau ilegal, la distrugerea, pierderea, modificarea, divulgarea neautorizată sau accesul neautorizat la date personale (articolul 4 punctul 12). Este mai mult decât un atac informatic.
Exemple
- Un e-mail cu date personale trimis persoanei greșite.
- Un laptop, un telefon sau un dosar pe hârtie pierdut ori furat.
- Un atac ransomware care blochează evidențele.
- O persoană, inclusiv un angajat, care ajunge la înregistrări pe care nu are voie să le vadă.
- O scrisoare pusă în plicul greșit.
- Date personale uitate la imprimantă sau hârtii aruncate într-un coș obișnuit.
- Date trimise din greșeală de o persoană împuternicită, de exemplu o firmă de salarizare.
O încălcare privește și disponibilitatea. Pierderea accesului la date de care oamenii depind, de exemplu evidențele unui spital, poate fi o încălcare chiar dacă nimeni nu a văzut datele.
Prima obligație: raportați în interiorul organizației, imediat
Când observați o încălcare sau bănuiți una:
- Acționați repede. Încercați să limitați paguba, dacă puteți, de exemplu cerând destinatarului greșit să nu deschidă e-mailul și să-l șteargă.
- Raportați imediat managerului, departamentului IT sau responsabilului cu protecția datelor, în modul prevăzut de procedura angajatorului pentru încălcări. Nu așteptați să fiți siguri.
- Notați ce s-a întâmplat, când ați aflat și ce ați făcut.
- Nu ascundeți și nu încercați să remediați pe tăcute. Nu ștergeți dovezile.
Cele mai multe încălcări sunt mici greșeli omenești. Angajatorii vor să afle despre ele imediat, pentru că termenul curge deja.
Regula celor 72 de ore
Operatorul trebuie să notifice Data Protection Commission despre o încălcare fără întârzieri nejustificate și, dacă este posibil, în cel mult 72 de ore de la luarea la cunoștință (articolul 33). Cele 72 de ore includ și weekendul. Singura excepție: atunci când este improbabil ca încălcarea să genereze un risc pentru drepturile și libertățile persoanelor. Dacă notificarea se face după 72 de ore, operatorul trebuie să explice motivele.
O notificare către DPC spune ce s-a întâmplat, aproximativ câte persoane și câte înregistrări sunt afectate, consecințele probabile, măsurile luate și un punct de contact, de exemplu responsabilul cu protecția datelor. Organizațiile raportează prin formularul online de notificare a încălcărilor al DPC. Informațiile pot fi furnizate etapizat, dacă nu se cunosc încă toate.
O persoană împuternicită trebuie să informeze operatorul fără întârzieri nejustificate după ce ia cunoștință de o încălcare (articolul 33 alineatul 2).
Informarea persoanelor afectate
Dacă este probabil ca încălcarea să genereze un risc ridicat pentru persoane, de exemplu pericol de fraudă, furt de identitate, discriminare sau vătămare a sănătății, operatorul trebuie să informeze și persoanele în cauză, fără întârzieri nejustificate, într-un limbaj clar (articolul 34). Nu este obligat să o facă dacă datele erau criptate corespunzător, dacă măsuri ulterioare elimină riscul sau dacă ar necesita un efort disproporționat și un anunț public are același efect.
Fiecare încălcare se consemnează
Articolul 33 alineatul 5 cere operatorului să documenteze fiecare încălcare, indiferent dacă este raportată sau nu către DPC: faptele, efectele și măsurile luate. DPC poate cere să vadă această evidență. Face parte din responsabilitate.
De ce contează viteza dumneavoastră
Să presupunem că un angajat trimite vineri la ora 17 o foaie de calcul cu datele pacienților la o adresă greșită și nu spune nimic până miercuri. Până atunci, operatorului poate să-i mai rămână puțin timp sau deloc din cele 72 de ore. Dacă angajatul îi spune responsabilului cu protecția datelor la 17:10, acesta are la dispoziție trei zile întregi pentru a evalua riscul și, dacă e nevoie, pentru a raporta.
Învățarea din încălcări
Încălcările sunt folosite pentru a îmbunătăți instruirea, procedurile și sistemele. O abordare fără învinuiri încurajează raportarea. A ascunde o încălcare este mai grav decât greșeala inițială.
Ce să rețineți
- O încălcare este orice pierdere, deteriorare, modificare, dezvăluire sau acces care nu ar fi trebuit să aibă loc.
- Raportați imediat angajatorului. Nu așteptați.
- Operatorul raportează la DPC în 72 de ore, cu excepția cazului în care este improbabil ca încălcarea să pună pe cineva în pericol.
- Dacă riscul pentru persoane este ridicat, trebuie informate și ele.