Un incident (în lege numit „încălcare a securității datelor cu caracter personal") este o încălcare care duce, în mod accidental sau ilegal, la distrugerea, pierderea, modificarea, divulgarea neautorizată a datelor personale sau accesul neautorizat la acestea (articolul 4 pct. 12). Contează atât accidentele, cât și atacurile.
Exemple
- un e-mail cu liste de salarii trimis la destinatarul greșit
- un laptop sau un telefon cu date ale clienților pierdut sau furat
- un e-mail de phishing a dat cuiva acces la un cont de e-mail
- un angajat a consultat dosare medicale sau fișe de clienți fără motiv de serviciu
- o bază de date configurată greșit și deschisă pe internet
- un ransomware a criptat fișiere cu date personale
- dosare pe hârtie aruncate în gunoiul obișnuit
- o copie de siguranță ștearsă fără ca cineva să aibă o copie
Trei tipuri de încălcări:
- confidențialitate: o persoană neautorizată obține acces
- integritate: datele sunt modificate fără permisiune
- disponibilitate: datele sunt pierdute sau inaccesibile
Obligația dumneavoastră: anunțați imediat
Ca angajat, trebuie să anunțați intern îndată ce descoperiți sau bănuiți un incident. Folosiți procedura întreprinderii, de exemplu un raport de incident, suportul IT sau responsabilul cu protecția datelor. Nu trebuie să evaluați singur dacă este „suficient de mare". Aceasta o decid cei care răspund. Nu ștergeți dovezi, nu încercați să ascundeți greșeala și nu încercați să reparați totul singur.
Notați ce știți: ce s-a întâmplat, când, ce date și cine poate fi afectat.
Obligația întreprinderii de a notifica Datatilsynet
Potrivit articolului 33, operatorul trebuie să notifice încălcarea către Datatilsynet fără întârzieri nejustificate și, dacă este posibil, cel târziu în 72 de ore de la momentul în care a luat cunoștință de ea. Aceasta nu se aplică dacă încălcarea nu este susceptibilă să genereze un risc pentru drepturile și libertățile persoanelor. Dacă notificarea are loc după mai mult de 72 de ore, întârzierea trebuie motivată.
Termenul se calculează în ore și curge și în weekenduri și în zilele de sărbătoare. De aceea contează fiecare oră pe care o petreceți înainte de a anunța.
Notificarea trebuie să descrie, printre altele:
- natura încălcării și aproximativ câte persoane și câte date sunt afectate
- un punct de contact pentru informații suplimentare
- consecințele probabile
- măsurile luate sau propuse
Informațiile pot fi furnizate în etape dacă nu totul este clar de la început.
Persoanele împuternicite
O persoană împuternicită care descoperă o încălcare trebuie să informeze operatorul fără întârzieri nejustificate (articolul 33 alin. 2). Termenul de 72 de ore se aplică operatorului.
Informarea persoanelor afectate
Dacă este probabil ca încălcarea să genereze un risc ridicat pentru persoane, de exemplu fraudă financiară, furt de identitate sau dezvăluirea datelor privind sănătatea, întreprinderea trebuie să le informeze și direct, într-un limbaj clar (articolul 34). Se poate face excepție dacă datele erau criptate corespunzător sau riscul a fost înlăturat.
Toate incidentele trebuie documentate
Chiar și cele care nu sunt notificate către Datatilsynet trebuie documentate intern (articolul 33 alin. 5): faptele, efectele și măsurile. Datatilsynet poate cere să vadă documentația.
Ce se întâmplă după aceea?
Întreprinderea evaluează riscul, închide breșa, notifică dacă este necesar și îmbunătățește procedurile. Scopul este învățarea, nu găsirea unui țap ispășitor. Angajații care anunță rapid și sincer își fac datoria.