Навіть за хороших звичок щось іде не так. Тоді важливо швидко реагувати. Правила містяться в статтях 33 і 34 Загального регламенту із захисту даних.
Що таке порушення?
Порушення безпеки персональних даних — це порушення безпеки, що призводить до випадкового чи незаконного знищення, втрати, зміни, несанкціонованого розкриття або доступу до персональних даних (стаття 4, пункт 12). Воно може вразити три речі:
- Конфіденційність: сторонні отримують доступ. Приклад: лист зі списками зарплат надіслано не тому отримувачу.
- Цілісність: дані змінено без дозволу або помилково.
- Доступність: дані втрачено або їх не можна використати. Приклад: програма-вимагач шифрує файли або немає резервної копії.
Ще приклади: загублений ноутбук чи телефон із даними, хакерська атака, папери у відкритому контейнері, таблиця, до якої відкрито доступ надто багатьом, працівник, який заглядає в систему без робочої потреби, і неправильно адресований лист, що потрапляє комусь іншому.
Ваша відповідальність: скажіть про це негайно
Як працівник ви маєте:
- Негайно повідомити про подію контактній особі або в систему, яку визначила компанія. Не чекайте, чи виявиться це серйозним.
- Розповісти, що ви знаєте: що сталося, коли, і яких даних та скількох людей це може стосуватися.
- Спробувати обмежити шкоду, якщо можете, наприклад попросивши помилкового отримувача видалити лист. Робіть це, однак, лише за домовленістю й самі не видаляйте доказів.
- Не приховувати помилку й не виправляти її потайки.
Саме компанія, а не ви, оцінює, чи треба повідомляти про подію орган.
Обов’язки компанії
- Повідомлення Datatilsynet (стаття 33, частина 1): коли контролер дізнається про порушення, він мусить повідомити про нього Datatilsynet без невиправданої затримки і, якщо можливо, протягом 72 годин. Виняток — якщо порушення навряд чи спричинить ризик для прав і свобод людей. Повідомлення подають цифровим способом через бланк Datatilsynet на virk.dk. Якщо воно подане пізніше ніж за 72 години, слід вказати причину затримки. Відомості можна надавати поетапно.
- Повідомлення постраждалих (стаття 34): якщо порушення імовірно спричиняє високий ризик для людей, їх теж слід повідомити без невиправданої затримки ясною й простою мовою.
- Обробники мусять повідомити контролера без невиправданої затримки (стаття 33, частина 2).
- Документація (стаття 33, частина 5): компанія мусить вести перелік усіх порушень, також тих, про які не повідомляє, з фактами, наслідками й вжитими заходами. Datatilsynet може попросити його показати.
Строк у 72 години рахується від моменту, коли компанія дізнається про порушення, і враховує вихідні. Це один із найважливіших аргументів повідомляти швидко всередині компанії: кожна година, яку ви чекаєте, віднімає час у компанії.
Після порушення
Компанії слід винести уроки з події: що пішло не так і як запобігти цьому наступного разу? Помилка, про яку повідомлено відкрито, — це можливість покращити процедури.
Пам’ятайте: 72 години. Ваше швидке повідомлення — перша ланка в строку компанії.