Chiar și cu măsuri bune, se fac greșeli. Ceea ce deosebește o firmă bună este rapiditatea cu care problema este descoperită și cu care se acționează. În această materie, GDPR stabilește reguli și termene strânse.
Ce este o încălcare a securității datelor cu caracter personal
O încălcare a securității datelor cu caracter personal este o încălcare a securității care duce, în mod accidental sau ilicit, la distrugerea, pierderea, modificarea, divulgarea neautorizată sau accesul neautorizat la date personale (art. 4 pct. 12 din GDPR). Cuprinde trei tipuri de probleme:
- confidențialitate: cineva fără permisiune vede sau primește datele;
- integritate: datele sunt modificate fără autorizare;
- disponibilitate: datele se pierd sau devin inaccesibile.
Exemple:
- un e-mail cu date ale clienților trimis destinatarului greșit;
- un laptop sau un telefon de serviciu pierdut sau furat;
- un atac informatic sau un ransomware care criptează fișierele;
- un document cu date personale lăsat într-un loc public;
- un cont de e-mail spart în urma unui phishing;
- un coleg care consultă fișiere fără nevoie.
Ce trebuie să facă angajatul
- Să anunțe imediat superiorul, DPO sau pe cine indică firma. Să nu aștepte să fie sigur.
- Să spună ce știe: ce s-a întâmplat, când, ce date sunt în cauză. Să nu șteargă și să nu modifice probe.
- Să urmeze instrucțiunile pentru a limita paguba, de exemplu schimbarea parolei sau deconectarea echipamentului de la rețea.
- Să nu ascundă incidentul, nici măcar ca să „protejeze” un coleg. Ascunderea întârzie reacția și agravează paguba.
Lei n.º 58/2019 (art. 11) îi dă DPO funcția de a sensibiliza cu privire la importanța depistării la timp a incidentelor și a informării fără întârziere a responsabilului cu securitatea.
Ce trebuie să facă angajatorul
- Să notifice CNPD fără întârzieri nejustificate și, dacă este posibil, în cel mult 72 de ore după ce a luat cunoștință de încălcare, cu excepția cazului în care încălcarea nu este susceptibilă să genereze un risc pentru drepturile și libertățile persoanelor (art. 33 alin. (1)). Dacă termenul nu este respectat, notificarea trebuie să indice motivele întârzierii.
- Notificarea descrie natura încălcării, categoriile și numărul aproximativ de persoane vizate și de înregistrări, datele de contact ale DPO, consecințele probabile și măsurile luate (alin. 3).
- Să comunice persoanelor vizate când încălcarea este susceptibilă să genereze un risc ridicat pentru ele, fără întârzieri nejustificate și în limbaj clar (art. 34).
- Să documenteze toate încălcările, chiar și pe cele care nu trebuie notificate, cu faptele, efectele și măsurile (art. 33 alin. (5)).
- Persoana împuternicită care ia cunoștință de o încălcare informează operatorul fără întârzieri nejustificate (art. 33 alin. (2)).
Nerespectarea obligațiilor din articolele 33 și 34 este contravenție gravă (art. 38 alin. (1) lit. j) și k) din Lei n.º 58/2019).
De ce contează graba
Un anunț în câteva minute permite recuperarea unui e-mail, blocarea unui cont sau schimbarea accesului înainte ca paguba să se extindă. Un anunț după câteva zile poate să fi lăsat deja să treacă termenul de 72 de ore. Firma vrea să afle, chiar și despre greșeala mică.
Exemple practice
- Ați trimis un fișier clientului greșit? Anunțați imediat. Poate fi posibil să-i cereți destinatarului să-l șteargă și să confirme.
- Ați pierdut telefonul de serviciu? Anunțați imediat. Firma poate bloca sau șterge aparatul la distanță.
- Ați dat clic pe un link suspect? Anunțați imediat, deconectați-vă de la rețea dacă vi se spune și nu mai folosiți calculatorul.
Rezumat: încălcarea securității datelor este orice pierdere, acces sau divulgare neautorizată. Datoria angajatului este să anunțe imediat. Notificarea către CNPD, în 72 de ore, revine angajatorului.