Порушення безпеки персональних даних (англ. data breach) — це порушення, що призводить до випадкового чи протиправного знищення, втрати, зміни, несанкціонованого розкриття або доступу до персональних даних (стаття 4 пункт 12 GDPR). Це не обов’язково хакерська атака.
Приклади з роботи
- лист з персональними даними, надісланий не тому адресатові
- загублений чи вкрадений ноутбук, телефон, USB-диск
- працівник, який без дозволу зазирає до чужих записів
- фішинг, після якого зловмисник отримав доступ до облікового запису
- викинуті чи загублені документи з персональними даними
- напад програми-вимагача, коли дані зашифровано і вони недоступні
- помилкове оприлюднення даних на сайті чи в соціальній мережі
Порушенням є й втрата доступності даних, а не лише їх витік.
Що мусить зробити контролер
- Повідомити про порушення Управління із захисту персональних даних без невиправданої затримки, за можливості протягом 72 годин після того, як дізнався про нього (стаття 33). Виняток — випадок, коли малоймовірно, що порушення спричинить ризик для прав і свобод людей. Запізніле повідомлення треба обґрунтувати.
- Якщо порушення ймовірно означає високий ризик, повідомити про нього й тих, кого воно стосується, зрозуміло й без невиправданої затримки (стаття 34). Обов’язок відпадає, наприклад, коли дані були ефективно зашифровані.
- Документувати кожне порушення, також те, про яке не повідомляють (стаття 33 частина 5).
Обробник повідомляє про порушення контролера без невиправданої затримки (стаття 33 частина 2). Для повідомлення Управлінню на uoou.gov.cz є форма.
Що містить повідомлення
Згідно зі статтею 33 частиною 3 повідомлення Управлінню описує зокрема:
- характер порушення, категорії та приблизну кількість людей і записів, яких воно стосується
- ім’я та контакт відповідальної особи із захисту даних або іншого контактного пункту
- ймовірні наслідки порушення
- заходи, які контролер вжив або пропонує, щоб усунути порушення й пом’якшити його наслідки
Якщо контролер не має всієї інформації одразу, він може надавати її поетапно (стаття 33 частина 4). Тому не чекають, поки все стане ясно. Саме ваші нотатки про те, коли, що і з ким сталося, — підстава для повідомлення.
Часу мало
Строк у 72 години короткий. Якщо ви виявите порушення й нічого не скажете, компанія втрачає час і може пропустити повідомлення, а тоді мусить обґрунтувати затримку перед Управлінням. Тому повідомляйте про все негайно.
Що робити, коли ви виявили проблему
- Не панікуйте й нічого не замітайте під килим. Своєчасне повідомлення важливіше за те, хто припустився помилки.
- Негайно повідомте керівника, відповідальну особу із захисту даних чи особу, визначену внутрішніми правилами. Не кажіть «потім» чи «якось уладнається».
- Якщо можете, запобігайте подальшій шкоді: відключіть пристрій, зателефонуйте отримувачеві помилкового листа з проханням його видалити, змініть пароль.
- Запишіть, що сталося: коли, що, кому і які дані постраждали.
- Не видаляйте доказів і на власний розсуд не зв’язуйтеся з постраждалими людьми, якщо вам цього ніхто не доручив.
- Дотримуйтеся вказівок. Про повідомлення Управлінню вирішує контролер.
Оцінка ризику
Контролер оцінює, чи ризик імовірний і наскільки високий. Він зважає на вид даних (здоров’я, документи, фінанси), кількість людей, легкість ідентифікації, наслідки та те, чи дані були зашифровані. Один лист із розкладом, помилково надісланий колезі, ризику практично не несе. Список діагнозів, надісланий сторонній людині, несе високий.
Що запам’ятати
- Порушення безпеки даних — це не лише хакерська атака. Досить помилково надісланого листа.
- Контролер повідомляє Управління протягом 72 годин після того, як дізнався про порушення.
- Ви мусите сказати йому негайно, щоб не скоротити йому строк.
- Документують кожне порушення.