O încălcare a securității datelor cu caracter personal (personal data breach) este o încălcare a securității care duce la distrugerea, pierderea, modificarea, divulgarea neautorizată a datelor personale sau accesul neautorizat la acestea, accidentale sau ilegale (articolul 4). Noțiunea este mai largă decât hackingul.
Exemple
- Un e-mail trimis persoanei greșite sau cu atașamentul greșit.
- Un laptop, telefon, stick USB sau dosar pe hârtie pierdut ori furat.
- Cineva care consultă înregistrări pe care nu are motiv să le vadă.
- Un atac de phishing care dă unui infractor parola dumneavoastră.
- Ransomware care blochează înregistrările, astfel încât personalul nu le mai poate accesa.
- Documente aruncate într-un coș obișnuit sau scrisori trimise la o adresă greșită.
- Date dezvăluite prin telefon unei persoane care nu avea dreptul la ele.
- Un angajat care șterge sau modifică din greșeală înregistrări.
Pierderea disponibilității contează. Dacă datele sunt pierdute sau blocate și nimeni nu le poate folosi, și aceasta poate fi o încălcare.
Prima dumneavoastră obligație: raportați imediat
Spuneți managerului sau persoanei numite în procedură imediat. Nu așteptați să vedeți dacă contează. Nu încercați să remediați pe tăcute. Nu vă învinovățiți și nu ascundeți. Greșelile se întâmplă. Ceea ce face rău cu adevărat este tăcerea.
Când raportați, spuneți:
- ce s-a întâmplat și când;
- ce date sunt implicate și ale cui;
- cine le-ar fi putut vedea;
- ce ați făcut deja (de exemplu, ați cerut unui destinatar greșit să șteargă e-mailul).
Nu ștergeți dovezile. Păstrați e-mailurile, mesajele și documentele.
De ce contează viteza
Operatorul trebuie să raporteze anumite încălcări către ICO. Termenul este în 72 de ore de la luarea la cunoștință a încălcării, atunci când este posibil (articolul 33). Termenul curge din momentul în care organizația află, iar o întârziere lungă a personalului consumă timpul de care organizația are nevoie. Dacă cele 72 de ore sunt depășite, operatorul trebuie să explice motivele întârzierii.
Cine decide dacă se raportează
Angajatorul sau responsabilul său cu protecția datelor decide, nu dumneavoastră. Ei evaluează riscul pentru oameni.
- Risc improbabil. Încălcarea nu se raportează la ICO, dar trebuie înregistrată. Organizațiile trebuie să țină o evidență a tuturor încălcărilor, cu faptele, efectele și măsurile luate.
- Risc probabil. Operatorul trebuie să notifice ICO, etapizat, dacă nu se cunosc încă toate detaliile.
- Risc ridicat. Operatorul trebuie să informeze și persoanele afectate, direct și fără întârzieri nejustificate, ca să se poată proteja, de exemplu schimbându-și parolele sau urmărindu-și conturile.
Riscul depinde de lucruri precum cât de sensibile sunt datele, câte persoane sunt implicate și dacă datele sunt criptate. Datele de sănătate trimise unei persoane greșite sunt mai grave decât o invitație la o ședință.
Persoane împuternicite
O persoană împuternicită, precum un furnizor de cloud, trebuie să informeze operatorul fără întârzieri nejustificate când ia cunoștință de o încălcare. Contractele ar trebui să prevadă aceasta.
Consecințe
Nenotificarea atunci când este cerută poate duce la o amendă de până la 8,7 milioane £ sau 2% din cifra de afaceri anuală la nivel mondial, oricare este mai mare. ICO examinează dacă organizația avea măsuri adecvate, și-a instruit personalul și a reacționat rapid. Angajații care raportează prompt ajută la dovedirea faptului că organizația a procedat corect.
Învățăminte de tras
O organizație bună tratează o încălcare ca pe o ocazie de a îmbunătăți procedurile și instruirea. Raportarea unui incident evitat la limită (near miss), când ceva aproape a mers prost, ajută la prevenirea unei încălcări reale mai târziu.