O încălcare a securității datelor cu caracter personal (articolul 4 punctul 12) este o încălcare a securității care duce la distrugerea, pierderea, modificarea, divulgarea neautorizată sau accesul neautorizat la date personale, accidental sau ilegal. Poate păți oricine.
Exemple
- Un e-mail cu datele unor clienți este trimis unei persoane greșite.
- Un laptop, un telefon sau un stick USB cu date personale dispare.
- Cineva păcălește un angajat să dea o parolă, iar o persoană neautorizată se conectează.
- Un angajat se uită în fișe medicale sau registre fără ca aceasta să țină de muncă.
- Un fișier cu date personale este pus deschis pe internet.
- Un atac ransomware criptează datele astfel încât nu mai pot fi accesate.
- Hârtii cu date personale sunt aruncate la gunoiul obișnuit.
Faptul că datele se pierd sau devin inaccesibile este de asemenea o încălcare a securității datelor, nu doar atunci când cineva le citește fără drept.
Prima dumneavoastră sarcină: raportați imediat
Nu trebuie să hotărâți cât de grav este. Sarcina dumneavoastră este să anunțați repede șeful, securitatea IT sau funcția desemnată de angajator. Fiecare oră contează, deoarece angajatorul are un termen scurt.
- Raportați și când credeți că ați greșit chiar dumneavoastră. Este mai bine să raportați în plus.
- Nu ștergeți dovezi. Nu încercați să „faceți ordine” pe ascuns.
- Notați ce s-a întâmplat, când și ce date sunt afectate.
- Urmați instrucțiunile primite. Nu cereți destinatarului unui mesaj trimis greșit să îl transmită mai departe.
Obligațiile angajatorului
Notificarea către IMY
Potrivit articolului 33, operatorul trebuie să notifice o încălcare a securității datelor la IMY fără întârzieri nejustificate și, dacă este posibil, în 72 de ore de când a luat cunoștință de ea. Există o excepție dacă este improbabil ca încălcarea să prezinte un risc pentru drepturile și libertățile persoanelor. Notificarea se face pe imy.se. Dacă notificarea are loc după mai mult de 72 de ore, trebuie indicate motivele întârzierii.
Cele 72 de ore se calculează în ore consecutive, deci inclusiv în weekenduri și în zilele de sărbătoare. Termenul începe când organizația a luat cunoștință, iar uneori aceasta este momentul în care un angajat a observat încălcarea. De aceea raportul dumneavoastră rapid este decisiv.
Notificarea trebuie să descrie, printre altele, ce s-a întâmplat, ce date și câte persoane sunt vizate, consecințele probabile și ce măsuri a luat organizația. Dacă nu se știe încă totul, informațiile pot fi furnizate în etape.
Informarea persoanelor vizate
Dacă încălcarea duce probabil la un risc ridicat pentru drepturile și libertățile persoanelor, trebuie informate fără întârzieri nejustificate și persoanele afectate (articolul 34). Aceasta se aplică, de exemplu, când datele unui cont, datele privind sănătatea sau numerele personale de identificare au ajuns în mâini nepotrivite.
Documentare
Toate încălcările trebuie documentate, inclusiv cele care nu sunt notificate la IMY (articolul 33 alineatul 5). IMY poate cere să vadă documentația.
Persoane împuternicite de operator
O persoană împuternicită trebuie să informeze operatorul fără întârzieri nejustificate după ce a luat cunoștință de o încălcare a securității datelor (articolul 33 alineatul 2). Apoi încep cele 72 de ore ale operatorului.
După încălcare
Organizația învață din ce s-a întâmplat: cum a fost posibil și ce trebuie schimbat? Scopul nu este să se arate un vinovat, ci să se prevină repetarea.