Навіть коли вживають запобіжних заходів, іноді щось іде не так. Тоді головне — діяти швидко й повідомити відповідну особу.
Що таке порушення безпеки персональних даних
Це будь-який інцидент безпеки, що спричиняє випадкове чи незаконне знищення, втрату або зміну персональних даних, або їх несанкціоноване розкриття чи доступ до них (стаття 4.12 GDPR). Воно може бути випадковим або навмисним. Приклади:
- лист із даними клієнтів, надісланий не тій людині
- втрата чи крадіжка ноутбука, телефону або флешки
- кібератака чи вірус, що шифрує файли (програма-вимагач)
- паперова папка, забута в потязі
- обліковий запис, яким користується той, кому не слід, наприклад після фішингу
- випадкове видалення бази даних без резервної копії
Не треба чекати, поки буде певність щодо шкоди. Достатньо сумніву, щоб повідомити.
Що ви маєте зробити
- Негайно повідомте особу чи відділ, яких вказала ваша компанія (ІТ, керівництво, відповідальна особа із захисту даних).
- Скажіть, що знаєте: що сталося, коли, які дані причетні й скількох людей це може стосуватися.
- Зробіть, що можете, щоб обмежити шкоду, якщо це можна без ризику: змініть пароль, відключіть пристрій від мережі, попросіть помилкового отримувача видалити лист.
- Не знищуйте доказів і не намагайтеся тихо виправити все самостійно.
- Не приховуйте. Проблему, про яку повідомили вчасно, зазвичай вдається взяти під контроль. Прихована проблема росте.
Строки за GDPR
- До наглядового органу (AEPD). Контролер має повідомити про порушення без невиправданої затримки й, якщо можливо, не пізніше ніж за 72 години після того, як йому стало відомо (стаття 33.1). Повідомляти не потрібно, якщо малоймовірно, що порушення створює ризик для прав і свобод людей. Якщо строк не дотримано, треба пояснити причини затримки.
- До постраждалих людей. Коли порушення створює високий ризик для їхніх прав і свобод, контролер повідомляє їх без невиправданої затримки, зрозумілою мовою (стаття 34). Приклад — витік банківських даних чи даних про здоров’я.
- Від обробника до контролера. Якщо порушення зазнає обробник, він має повідомити контролера без невиправданої затримки (стаття 33.2).
72 години рахують від моменту, коли компанії стало відомо, і це включає момент, коли дізналися ви. Якщо ви повідомляєте через три дні, строк майже вичерпано. Пізнє повідомлення може коштувати компанії штрафу.
Внутрішній облік
Окрім повідомлення, контролер має документувати всі порушення, також ті, про які не повідомляє: факти, наслідки та вжиті заходи (стаття 33.5). Так він може показати AEPD, як діяв. LOPDGDD вважає тяжким порушенням неповідомлення органу про порушення безпеки (стаття 73 літера r).
Що повідомляють до AEPD
Повідомлення описує характер порушення, категорії та приблизну кількість людей і записів, контактні дані відповідальної особи із захисту даних чи іншої особи, ймовірні наслідки та вжиті заходи. Його подають через електронний офіс AEPD (aepd.es).
Пам’ятайте: хто помітив проблему, не мусить ні розв’язувати її, ні оцінювати. Ваше завдання — повідомити того ж дня.