O încălcare a securității datelor cu caracter personal (data breach) este o încălcare a securității care duce, în mod accidental sau ilegal, la distrugerea, pierderea, modificarea, divulgarea neautorizată sau la accesul la datele personale (art. 4 punctul 12 GDPR). Nu este nevoie de un atac informatic: este suficientă o greșeală.
Trei tipuri de încălcări
- De confidențialitate: datele ajung la cine nu trebuia să le aibă. Exemplu: un e-mail cu date medicale trimis destinatarului greșit.
- De integritate: datele sunt modificate fără autorizare sau din greșeală.
- De disponibilitate: datele se pierd sau nu mai sunt accesibile. Exemplu: un atac ransomware care criptează fișierele sau o arhivă pe hârtie distrusă de o inundație.
Exemple
- Un laptop sau un stick USB neprotejat este pierdut sau furat.
- Un fișier cu datele clienților este atașat din greșeală la un e-mail extern.
- O scrisoare cu date medicale este pusă în cutia poștală greșită.
- Un coleg folosește datele de acces ale altuia și consultă dosare care nu sunt ale lui.
- Cineva dă clic pe un link de phishing și contul lui este preluat.
Cele 72 de ore
Operatorul trebuie să notifice încălcarea către Garante în cel mult 72 de ore de la data la care a luat cunoștință de ea, cu excepția cazului în care este improbabil să genereze un risc pentru drepturile și libertățile persoanelor (art. 33 GDPR). După cele 72 de ore notificarea se poate face, dar trebuie să explice întârzierea. Garante are o procedură online pe propriul site.
Persoana împuternicită de operator trebuie să informeze operatorul fără întârzieri nejustificate după ce a luat cunoștință de încălcare.
Dacă riscul pentru persoane este ridicat, operatorul trebuie să le anunțe și pe persoanele vizate, în cuvinte simple, indicând ce s-a întâmplat și ce pot face (art. 34). Dacă datele erau criptate în mod eficient, de exemplu, anunțul poate să nu fie necesar.
Operatorul înregistrează orice încălcare, chiar și pe cele nenotificate, într-un registru al încălcărilor (art. 33 alin. 5).
De ce contează semnalarea dumneavoastră
Termenul de 72 de ore privește operatorul, dar pentru a-l respecta firma trebuie să afle imediat ce s-a întâmplat. Dacă așteptați trei zile ca să spuneți că ați trimis fișierul la o adresă greșită, timpul de reacție a trecut deja. Unele încălcări mai pot fi remediate dacă se acționează devreme: se cere destinatarului să șteargă mesajul, se blochează un cont, se schimbă o parolă, se dezactivează un dispozitiv.
Ce faceți dacă se întâmplă
- Opriți-vă și nu încercați să „aranjați" singur ștergând mesaje sau fișiere: ar putea fi necesare pentru a înțelege ce s-a întâmplat.
- Anunțați imediat persoana indicată de firmă (departamentul de informatică, persoana de contact pentru confidențialitate, DPO sau responsabilul dumneavoastră). Dacă nu știți cine este, anunțați responsabilul dumneavoastră: nu așteptați.
- Relatați faptele: ce s-a întâmplat, când, ce date, câte persoane, cine le-ar fi putut vedea.
- Urmați instrucțiunile firmei. Nu informați pe cont propriu clienți, jurnaliști sau rețele sociale și nu contactați autoritatea: evaluarea și eventuala notificare revin operatorului.
- Dacă ați dat deja clic pe un link sau ați introdus o parolă, schimbați parola de pe un canal sigur și spuneți acest lucru.
Un climat fără frică
Cine semnalează devreme o greșeală trebuie ascultat, nu pedepsit pentru că a vorbit. Firmele care ascund incidentele își asumă riscuri mult mai mari. O încălcare nenotificată când era necesar poate fi sancționată de Garante (art. 83 alin. 4 GDPR: sancțiuni de până la 10 milioane de euro sau 2 % din cifra de afaceri).