Порушення безпеки персональних даних (data breach) — це порушення безпеки, що призводить до випадкового чи незаконного знищення, втрати, зміни, несанкціонованого розкриття персональних даних або доступу до них (ст. 4 п. 12 GDPR). Не обов’язково потрібна кібератака: досить помилки.
Три типи порушень
- Конфіденційності: дані потрапляють до тих, кому їх мати не слід. Приклад: лист із даними про здоров’я, надісланий не тому адресатові.
- Цілісності: дані змінено без дозволу або помилково.
- Доступності: дані втрачено або вони більше недоступні. Приклад: атака ransomware, яка шифрує файли, або паперовий архів, знищений потопом.
Приклади
- Незахищений ноутбук чи флешку втрачено або викрадено.
- Файл із даними клієнтів помилково додано до зовнішнього листа.
- Лист із медичними даними кинуто не в ту поштову скриньку.
- Колега використовує чужі облікові дані й переглядає справи, які не його.
- Хтось клікає на фішингове посилання, і його обліковий запис захоплюють.
72 години
Контролер має повідомити про порушення Garante протягом 72 годин після того, як йому стало про нього відомо, якщо тільки малоймовірно, що воно створює ризик для прав і свобод людей (ст. 33 GDPR). Після 72 годин повідомлення ще можна подати, але в ньому треба пояснити затримку. На сайті Garante є онлайн-процедура.
Обробник має повідомити контролера без невиправданої затримки, дізнавшись про порушення.
Якщо ризик для людей високий, контролер має повідомити також суб’єктів даних простими словами, вказавши, що сталося й що вони можуть зробити (ст. 34). Якщо дані були ефективно зашифровані, повідомлення може, наприклад, не знадобитися.
Контролер фіксує кожне порушення, навіть неповідомлене, у реєстрі порушень (ст. 33 п. 5).
Чому ваше повідомлення важливе
Строк 72 години стосується контролера, але щоб його дотриматися, компанія має знати одразу, що сталося. Якщо ви чекатимете три дні, перш ніж сказати, що надіслали файл не на ту адресу, час на реакцію вже минув. Деякі порушення ще можна виправити, якщо діяти рано: попросити адресата видалити лист, заблокувати обліковий запис, змінити пароль, вимкнути пристрій.
Що робити, якщо це сталося
- Зупиніться і не намагайтеся «виправити» самі, видаляючи листи чи файли: вони можуть знадобитися, щоб зрозуміти, що сталося.
- Одразу повідомте контакт, указаний компанією (ІТ-відділ, відповідальну особу з питань конфіденційності, DPO чи свого керівника). Якщо не знаєте, хто це, повідомте керівника: не чекайте.
- Розкажіть факти: що сталося, коли, які дані, скільки людей, хто міг їх бачити.
- Виконуйте вказівки компанії. Не інформуйте за власним рішенням клієнтів, журналістів чи соцмережі й не звертайтеся до органу: оцінка й можливе повідомлення — справа контролера.
- Якщо ви вже клікнули посилання чи ввели пароль, змініть пароль із безпечного каналу й скажіть про це.
Атмосфера без страху
Того, хто рано повідомляє про помилку, треба вислухати, а не карати за те, що він заговорив. Компанії, які приховують інциденти, ризикують значно більше. Порушення, про яке не повідомили, коли слід було, може бути покарано Garante (ст. 83 п. 4 GDPR: штрафи до 10 мільйонів євро або 2 % обороту).