Порушення безпеки персональних даних (personal data breach) — це порушення безпеки, що призводить до випадкового чи незаконного знищення, втрати, зміни, несанкціонованого розкриття персональних даних або доступу до них (стаття 4). Це ширше, ніж хакерська атака.
Приклади
- Електронний лист, надісланий не тій людині або з не тим вкладенням.
- Загублений чи вкрадений ноутбук, телефон, флешка або паперова тека.
- Хтось дивиться записи, які йому не потрібні для роботи.
- Фішингова атака, що дає зловмисникові ваш пароль.
- Програма-вимагач, що блокує записи, тож працівники не мають до них доступу.
- Документи, викинуті у звичайний смітник, або листи, надіслані не за тією адресою.
- Дані, повідомлені телефоном людині, яка не мала на них права.
- Працівник, який помилково видаляє чи змінює записи.
Втрата доступності теж враховується. Якщо дані втрачено або заблоковано й ніхто не може ними користуватися, це також може бути порушенням.
Ваш перший обов’язок: повідомити негайно
Скажіть своєму керівникові або особі, названій у процедурі, одразу. Не чекайте, щоб побачити, чи це має значення. Не намагайтеся виправити все потай. Не звинувачуйте себе й не приховуйте. Помилки трапляються. Справжню шкоду завдає мовчання.
Повідомляючи, скажіть:
- що сталося і коли;
- які дані задіяні й чиї;
- хто міг їх побачити;
- що ви вже зробили (наприклад, попросили помилкового отримувача видалити лист).
Не знищуйте доказів. Зберігайте листи, повідомлення й документи.
Чому важлива швидкість
Контролер має повідомляти про деякі порушення ICO. Строк — протягом 72 годин після того, як стало відомо про порушення, якщо це можливо (стаття 33). Відлік іде з моменту, коли організація дізналася, а тривала затримка з боку працівників з’їдає час, потрібний організації. Якщо 72 години минули, контролер має пояснити причини затримки.
Хто вирішує, чи повідомляти
Вирішує роботодавець або його відповідальна особа із захисту даних, а не ви. Вони оцінюють ризик для людей.
- Ризик малоймовірний. Про порушення не повідомляють ICO, але його треба зафіксувати. Організації мають вести облік усіх порушень із фактами, наслідками й вжитими заходами.
- Ризик імовірний. Контролер має повідомити ICO, поетапно, якщо ще не відомі всі подробиці.
- Високий ризик. Контролер має також повідомити постраждалих людей, безпосередньо й без невиправданої затримки, щоб вони могли захиститися, наприклад змінити паролі чи стежити за своїми рахунками.
Ризик залежить від таких речей, як чутливість даних, кількість людей і чи дані зашифровані. Медичні дані, надіслані не тій людині, — серйозніша справа, ніж запрошення на зустріч.
Обробники
Обробник, наприклад постачальник хмарних послуг, має повідомити контролера без невиправданої затримки, щойно дізнається про порушення. Договори мають це передбачати.
Наслідки
Неповідомлення, коли це вимагається, може призвести до штрафу до 8,7 млн £ або 2 % світового річного обороту, залежно від того, що більше. ICO дивиться, чи мала організація належні заходи, чи навчила персонал і чи швидко відреагувала. Працівники, які повідомляють швидко, допомагають показати, що організація діяла правильно.
Уроки на майбутнє
Хороша організація вважає порушення нагодою вдосконалити процедури й навчання. Повідомлення про випадок, що ледь не став порушенням (near miss), допомагає запобігти справжньому порушенню пізніше.