Порушення безпеки персональних даних — це порушення безпеки, що призводить до випадкового чи незаконного знищення, втрати, зміни, несанкціонованого розкриття персональних даних або доступу до них (стаття 4(12)). Це ширше, ніж злам.
Приклади
- Лист із персональними даними надіслано не тій людині.
- Загублений чи викрадений ноутбук, телефон або паперова справа.
- Атака програми-вимагача, що блокує записи.
- Хтось отримує доступ до записів, яких не мав би бачити, зокрема працівник.
- Лист покладено не в той конверт.
- Персональні дані, залишені в принтері, або папери, викинуті у звичайний смітник.
- Дані, помилково надіслані обробником, як-от зарплатною компанією.
Порушення стосується й доступності. Втрата доступу до даних, від яких залежать люди, наприклад до записів лікарні, може бути порушенням, навіть якщо ніхто цих даних не бачив.
Ваш перший обов’язок: негайно повідомити всередині організації
Коли ви помітили порушення або підозрюєте його:
- Діяйте швидко. Спробуйте обмежити шкоду, якщо можете, наприклад попросіть помилкового отримувача не відкривати лист і видалити його.
- Негайно повідомте керівника, ІТ або DPO у спосіб, зазначений у процедурі роботодавця щодо порушень. Не чекайте певності.
- Запишіть, що сталося, коли ви дізналися й що ви зробили.
- Не приховуйте і не намагайтеся виправити непомітно. Не видаляйте доказів.
Більшість порушень — дрібні людські помилки. Роботодавці хочуть знати про них одразу, бо годинник уже цокає.
Правило 72 годин
Контролер мусить повідомити Data Protection Commission про порушення без невиправданої затримки і, якщо це можливо, протягом 72 годин після того, як стало відомо про порушення (стаття 33). До 72 годин входять вихідні. Єдиний виняток: коли порушення навряд чи створює ризик для прав і свобод людей. Якщо повідомлення пізніше за 72 години, контролер мусить пояснити причини.
Повідомлення до DPC містить, що сталося, приблизно скількох людей і записів це стосується, ймовірні наслідки, вжиті заходи та контактну особу, як-от DPO. Організації звітують через онлайн-форму DPC для повідомлень про порушення. Інформацію можна подавати поетапно, якщо не все ще відомо.
Обробник мусить повідомити контролера без невиправданої затримки після того, як дізнався про порушення (стаття 33(2)).
Повідомлення постраждалих людей
Якщо порушення, ймовірно, створює високий ризик для людей, як-от небезпеку шахрайства, крадіжки особистості, дискримінації чи шкоди здоров’ю, контролер мусить також повідомити осіб, яких це стосується, без невиправданої затримки й зрозумілою мовою (стаття 34). Він не мусить цього робити, якщо дані були належним чином зашифровані, якщо подальші кроки усунули ризик або якщо це вимагало б непропорційних зусиль, а достатньо публічного оголошення.
Кожне порушення фіксується
Стаття 33(5) вимагає від контролера документувати кожне порушення, незалежно від того, чи повідомлено про нього DPC: факти, наслідки та вжиті дії. DPC може попросити показати цей реєстр. Це частина підзвітності.
Чому важлива ваша швидкість
Припустімо, працівник у п’ятницю о 17:00 надсилає таблицю з даними пацієнтів не на ту адресу й мовчить до середи. Тоді в контролера може лишитися мало часу або й жодного в межах 72 годин. Якщо працівник скаже DPO о 17:10, той матиме повні три дні, щоб оцінити ризик і, за потреби, повідомити.
Навчання на порушеннях
Порушення використовують, щоб поліпшувати навчання, процедури й системи. Підхід без пошуку винних заохочує повідомляти. Приховування порушення — серйозніша справа, ніж первісна помилка.
Що запам’ятати
- Порушення — це будь-яка втрата, пошкодження, зміна, розкриття чи доступ, яких не мало бути.
- Негайно повідомте роботодавця. Не чекайте.
- Контролер повідомляє DPC протягом 72 годин, хіба що порушення навряд чи створює ризик для когось.
- Якщо ризик для людей високий, їх теж треба повідомити.