Порушення безпеки персональних даних (стаття 4, п. 12) — це порушення безпеки, що призводить до випадкового чи незаконного знищення, втрати, зміни, несанкціонованого розкриття персональних даних або несанкціонованого доступу до них. Це може статися з будь-ким.
Приклади
- Лист із даними клієнтів надіслано не тій людині.
- Зникає ноутбук, телефон чи USB-флешка з персональними даними.
- Хтось обманом виманює у працівника пароль, і заходить стороння особа.
- Працівник заглядає в медичні картки чи реєстри, хоча це не пов’язано з роботою.
- Файл із персональними даними викладено відкрито в інтернеті.
- Атака програми-вимагача шифрує дані так, що до них немає доступу.
- Папери з персональними даними викинуто у звичайне сміття.
Якщо дані втрачено або вони стали недоступними, це теж порушення, а не лише тоді, коли хтось читає їх без дозволу.
Ваше перше завдання: повідомте негайно
Вам не потрібно оцінювати, наскільки це серйозно. Ваше завдання — швидко повідомити керівнику, ІТ-безпеці або підрозділу, який призначив роботодавець. Важить кожна година, адже в роботодавця короткий строк.
- Повідомляйте й тоді, коли думаєте, що самі помилилися. Краще повідомити зайвий раз.
- Не видаляйте доказів. Не намагайтеся потай «прибрати».
- Запишіть, що сталося, коли і яких даних це стосується.
- Дотримуйтеся отриманих інструкцій. Не просіть одержувачів помилково надісланого повідомлення поширювати його далі.
Обов’язки роботодавця
Повідомлення до IMY
Згідно зі статтею 33 контролер має повідомити про порушення IMY без невиправданої затримки і, якщо можливо, протягом 72 годин після того, як дізнався про нього. Виняток діє, якщо малоймовірно, що порушення створить ризик для прав і свобод людей. Повідомлення подають на imy.se. Якщо повідомлення надходить пізніше ніж через 72 години, слід вказати причини затримки.
72 години відлічують безперервно, година за годиною, тобто й у вихідні та святкові дні. Відлік починається, коли організація дізналася, а іноді це момент, коли порушення помітив працівник. Тому ваше швидке повідомлення — вирішальне.
У повідомленні має бути, зокрема, описано, що сталося, яких даних і скількох людей це стосується, ймовірні наслідки та які заходи вжила організація. Якщо ще не все відомо, інформацію можна надавати частинами.
Інформування суб’єктів даних
Якщо порушення імовірно створює високий ризик для прав і свобод людей, потрібно без невиправданої затримки повідомити й тих, кого це стосується (стаття 34). Це стосується, наприклад, випадків, коли дані облікових записів, відомості про здоров’я чи персональні номери потрапили в чужі руки.
Документація
Усі порушення слід документувати, також і ті, про які не повідомляють IMY (стаття 33 (5)). IMY може вимагати показати документацію.
Обробники
Обробник має повідомити контролера без невиправданої затримки після того, як дізнався про порушення (стаття 33 (2)). Тоді починаються 72 години контролера.
Після порушення
Організація вчиться на тому, що сталося: як це могло статися і що треба змінити? Мета — не знайти винного, а не допустити повторення.