Навіть за добрих заходів трапляються помилки. Добру компанію відрізняє швидкість, з якою вона виявляє проблему й діє. У цій сфері GDPR встановлює правила й стислі строки.
Що таке порушення безпеки персональних даних
Порушення безпеки персональних даних — це порушення безпеки, що призводить до випадкового чи незаконного знищення, втрати, зміни, несанкціонованого розкриття або доступу до персональних даних (стаття 4 пункт 12 GDPR). Воно охоплює три типи проблем:
- конфіденційність: хтось без дозволу бачить дані або отримує їх;
- цілісність: дані змінюють без дозволу;
- доступність: дані втрачено або вони стали недоступними.
Приклади:
- лист із даними клієнтів, надісланий не тому одержувачу;
- робочий ноутбук чи телефон, загублений або викрадений;
- кібератака чи програма-вимагач, що шифрує файли;
- документ із персональними даними, залишений у громадському місці;
- обліковий запис пошти, зламаний після фішингу;
- колега, який переглядає файли без потреби.
Що має зробити працівник
- Негайно повідомити керівника, DPO або того, кого вкаже компанія. Не чекайте, доки матимете певність.
- Сказати, що вам відомо: що сталося, коли, яких даних стосується. Не видаляйте й не змінюйте докази.
- Виконувати інструкції, щоб обмежити шкоду, наприклад змінити пароль або від’єднати пристрій від мережі.
- Не приховувати інцидент, навіть щоб «захистити» колегу. Приховування затримує реакцію й збільшує шкоду.
Закон Lei n.º 58/2019 (стаття 11) покладає на DPO завдання роз’яснювати важливість вчасного виявлення інцидентів і негайного інформування особи, відповідальної за безпеку.
Що має зробити роботодавець
- Повідомити CNPD без невиправданої затримки і, якщо можливо, протягом 72 годин після того, як стало відомо про порушення, якщо тільки порушення навряд чи створить ризик для прав і свобод людей (стаття 33 пункт 1). Якщо строк не дотримано, у повідомленні мають бути вказані причини затримки.
- Повідомлення описує характер порушення, категорії та приблизну кількість суб’єктів даних і записів, контакти DPO, ймовірні наслідки та вжиті заходи (пункт 3).
- Повідомити суб’єктів даних, коли порушення може створити для них високий ризик, без невиправданої затримки й зрозумілою мовою (стаття 34).
- Фіксувати всі порушення, навіть ті, про які не треба повідомляти, з фактами, наслідками та заходами (стаття 33 пункт 5).
- Обробник, який дізнався про порушення, інформує контролера без невиправданої затримки (стаття 33 пункт 2).
Невиконання обов’язків зі статей 33 і 34 є тяжким адміністративним правопорушенням (стаття 38 пункт 1 літери j) і k) закону Lei n.º 58/2019).
Чому поспіх має значення
Повідомлення за хвилини дає змогу відкликати лист, заблокувати обліковий запис чи змінити доступи, поки шкода не поширилася. Повідомлення через кілька днів може вже не вкластися в 72 години. Компанія хоче знати, навіть про дрібну помилку.
Практичні приклади
- Надіслали файл не тому клієнтові? Повідомте негайно. Можливо, вдасться попросити одержувача видалити його й підтвердити.
- Загубили робочий телефон? Повідомте негайно. Компанія, можливо, зможе дистанційно заблокувати чи стерти пристрій.
- Клацнули на підозрілому посиланні? Повідомте негайно, від’єднайтеся від мережі, якщо так скажуть, і більше не користуйтеся комп’ютером.
Підсумок: порушення безпеки даних — це будь-яка неправомірна втрата, доступ чи розкриття. Негайно повідомити — обов’язок працівника. Повідомити CNPD протягом 72 годин — справа роботодавця.