Това инцидент на изтичане на данни ли е и трябва ли да го съобщя?
Като предприемач Вие носите отговорност за личните данни на Вашите клиенти и служители. Съгласно ОРЗД (Общия регламент за защита на данните) Вие се наричате администратор на данни. Тук ще прочетете кога нещо е пробив в сигурността на данните, кога трябва да го докладвате и какво да направите веднага. Това е общо обяснение, а не правен съвет: при съмнение проверете уебсайта на Autoriteit Persoonsgegevens (AP, нидерландският надзорен орган за защита на данните) или се консултирайте с юрист.
Какво е пробив в сигурността на данните?
Съгласно ОРЗД, европейския закон за защита на личните данни, това е нарушение на сигурността, при което личните данни се губят, унищожават или променят, или попадат при някой, който няма право на достъп до тях (член 4, точка 12). Лични данни са данни за разпознаваемо лице, като име, имейл адрес, адрес или история на поръчките. Следователно не става въпрос само за хакери. Примери:
- имейл или прикачен файл с лични данни, изпратен до грешен получател;
- изгубен или откраднат лаптоп, телефон или USB устройство с лични данни, които не са били криптирани;
- хакната пощенска кутия, в която се съдържат фактури, оферти или писма за кандидатстване за работа;
- уебсайт или онлайн магазин, от който са откраднати клиентски данни;
- ransomware, заради което нямате достъп до администрацията на клиентите си, дори ако нищо не е копирано.
Първите стъпки
- Спрете пробива. Помолете грешния получател да изтрие имейла и да потвърди това. Променете паролата на компрометирана пощенска кутия от устройство, на което имате доверие (вижте Сигурни пароли и какво да направите при изтекла парола).
- Направете преглед на случилото се. Каква е причината, кога е започнало, какви данни са засегнати, на колко хора, кой има достъп и дали данните са били криптирани? Запишете всичко, с дата и час.
- Оценете риска за хората, чиито данни са засегнати (вижте по-долу).
- Докладвайте на AP, ако е необходимо, в рамките на 72 часа.
- Информирайте засегнатите лица, ако рискът за тях е висок.
- Впишете случая в регистъра си на пробиви в сигурността на данните. Това правите винаги.
Трябва ли да докладвам на Autoriteit Persoonsgegevens?
Докладвате пробив в сигурността на данните без неразумно забавяне и по възможност в рамките на 72 часа след откриването му. Това не е необходимо, ако е малко вероятно да представлява риск за хората, чиито данни са засегнати (член 33 от ОРЗД).
- Часовникът започва да тече от момента, в който узнаете, а не от момента на самия пробив. Уикендът се брои: ако откриете пробива в петък в 16:40 ч., трябва да докладвате най-късно в понеделник в 16:40 ч.
- Непълно докладване е разрешено. Ако след 72 часа все още не знаете всичко, докладвайте с наличната информация и допълнете доклада по-късно.
- Само онлайн. Докладвате чрез формуляра за докладване на AP, не по телефон, имейл или поща. С въпросника на AP подготвяте доклада.
- Имате съмнения? AP препоръчва в такъв случай все пак да докладвате.
Следните въпроси помагат при оценката:
| Въпрос | По-нисък риск | По-висок риск |
|---|---|---|
| Какви данни? | Само служебни данни за контакт | Национален идентификационен номер, копие на документ за самоличност, банкови данни, пароли, медицински данни, данни за деца |
| Колко хора? | Едно или няколко лица | Много |
| Четими ли са данните за този, който ги притежава? | Добре криптирани, ключът не е изтекъл | Четими, или паролата също е изтекла |
| Кой ги притежава? | Познат получател, който потвърждава, че ги е изтрил | Непознато лице, престъпник, или публично публикувани в интернет |
Пример: ако бъде откраднат добре криптиран лаптоп, вероятно няма риск. В такъв случай докладване не е необходимо, но все пак вписвате случая в регистъра си. При некриптиран лаптоп намиращият го може да прочете всичко, тогава обикновено има риск.
Кога информирате засегнатите лица?
Ако пробивът вероятно представлява висок риск за хората, чиито данни са засегнати, Вие ги информирате незабавно (член 34 от ОРЗД). Обяснете на ясен език какво се е случило, какви могат да бъдат последствията, какво правите Вие и какво могат да направят те самите, като например да сменят парола или да бъдат по-внимателни към фишинг от Ваше име.
Това не е необходимо, ако данните са били нечетими благодарение на добро криптиране, или ако впоследствие сте предприели мерки, поради които високият риск вече не е вероятен. Ако достигането до всички изисква непропорционално усилие, можете да направите публично съобщение.
Регистърът на пробиви в сигурността на данните: винаги водете документация
Всеки пробив в сигурността на данните документирате, дори ако не го докладвате (член 33, параграф 5). Запишете фактите, последствията, предприетите мерки и Вашата оценка: защо сте докладвали или не, и защо сте информирали или не сте информирали засегнатите лица. AP разполага с примерен регистър на пробиви в сигурността на данните.
А ако пробивът е при доставчик?
Вашата хостинг компания, облачният Ви счетоводен софтуер или услугата Ви за бюлетини е съгласно ОРЗД обработващ лични данни: страна, която обработва лични данни по Ваша поръчка. Обработващият лични данни трябва да Ви информира без неразумно забавяне, ако открие пробив в сигурността на данните (член 33, параграф 2). След това Вие преценявате дали трябва да докладвате, и по принцип Вие самите също докладвате.
Това важи и ако WebOké е Вашият обработващ лични данни. Смятате ли, че пробивът е възникнал при нас, например на нашите сървъри? Свържете се с нас незабавно чрез тикет в Центъра за поддръжка, с информация за това какво сте забелязали и кога.
Допълнителна информация
- WebOké Backups: преглед, възстановяване или изтегляне на резервно копие
- Autoriteit Persoonsgegevens: да докладвате или не
- Autoriteit Persoonsgegevens: как да докладвате пробив в сигурността на данните
- Autoriteit Persoonsgegevens: въпросник на формуляра за докладване
- Autoriteit Persoonsgegevens: примерен регистър на пробиви в сигурността на данните
- ОРЗД, членове 4, 33 и 34 (EUR-Lex)