Порушення (в законі зване «порушенням безпеки персональних даних») — це порушення безпеки, що призводить до випадкового чи незаконного знищення, втрати, зміни, несанкціонованого розкриття або доступу до персональних даних (стаття 4, пункт 12). Враховуються і випадкові помилки, і атаки.
Приклади
- лист зі списками зарплат надіслано не тому отримувачу
- ноутбук чи телефон із даними клієнтів загублено або викрадено
- фішинговий лист дав комусь доступ до поштової скриньки
- працівник переглядав медичні картки чи картки клієнтів без службової потреби
- базу даних налаштовано хибно, і вона відкрита в інтернеті
- програма-вимагач зашифрувала файли з персональними даними
- паперові папки викинули у звичайне сміття
- резервну копію видалено, і ні в кого немає її копії
Три типи порушень:
- конфіденційності: доступ отримує сторонній
- цілісності: дані змінено без дозволу
- доступності: дані втрачені або недоступні
Ваш обов’язок: повідомити негайно
Як працівник, ви маєте повідомити внутрішньо, щойно виявите порушення або підозрюватимете його. Користуйтеся процедурою організації, наприклад повідомленням про порушення, ІТ-підтримкою чи відповідальною особою із захисту даних. Ви не маєте самі судити, чи воно «достатньо велике». Це вирішують відповідальні. Не видаляйте доказів, не намагайтеся приховати помилку й не пробуйте прибрати наслідки самотужки.
Запишіть, що ви знаєте: що сталося, коли, які дані й кого може стосуватися.
Обов’язок організації повідомити Datatilsynet
Згідно зі статтею 33 контролер має повідомити про порушення Datatilsynet без невиправданої затримки і, якщо можливо, не пізніше ніж за 72 години після того, як дізнався про нього. Це не стосується випадку, коли порушення навряд чи призведе до ризику для прав і свобод осіб. Якщо повідомлення подано пізніше ніж через 72 години, затримку треба пояснити.
Строк рахується в годинах і йде також у вихідні та святкові дні. Тому кожна година, яку ви витрачаєте до повідомлення, має значення.
Повідомлення має, зокрема, описувати:
- характер порушення, приблизну кількість осіб і даних, яких воно стосується
- контактну особу для додаткової інформації
- ймовірні наслідки
- вжиті або запропоновані заходи
Інформацію можна надавати поетапно, якщо не все готове одразу.
Обробники
Обробник, який виявив порушення, має повідомити контролера без невиправданої затримки (стаття 33, пункт 2). Строк у 72 години стосується контролера.
Повідомлення постраждалих осіб
Якщо порушення ймовірно спричинить високий ризик для осіб, наприклад фінансове шахрайство, крадіжку особистих даних чи розкриття даних про здоров’я, організація має також повідомити їх безпосередньо та зрозумілою мовою (стаття 34). Від цього можна відмовитися, якщо дані були належно зашифровані або ризик усунуто.
Усі порушення треба документувати
Навіть ті, про які не повідомляють Datatilsynet, слід задокументувати всередині організації (стаття 33, пункт 5): факти, наслідки й заходи. Datatilsynet може попросити показати документацію.
Що буде потім?
Організація оцінює ризик, закриває прогалину, за потреби повідомляє й удосконалює процедури. Мета — навчання, а не пошук цапів-відбувайлів. Працівники, які повідомляють швидко й чесно, виконують свою роботу.