Това изтичане на данни ли е и трябва ли да го съобщя?
Като предприемач Вие носите отговорност за личните данни на Вашите клиенти и служители. Според ОРЗД Вие сте администратор на лични данни. Тук ще прочетете кога става въпрос за изтичане на данни, кога трябва да го съобщите и какво да направите веднага. Това е общо обяснение, а не правен съвет. При съмнение проверете уебсайта на нидерландския надзорен орган Autoriteit Persoonsgegevens (AP) или се обърнете към юрист.
Какво е изтичане на данни?
Според ОРЗД, европейския закон за защита на личните данни, това е нарушение на сигурността, при което лични данни се загубват, унищожават или променят или попадат у лице, което няма право на достъп до тях (член 4, точка 12). Лични данни са данни за лице, което може да бъде идентифицирано, като име, имейл адрес, адрес или история на поръчките. Следователно не става въпрос само за хакери. Примери:
- имейл или прикачен файл с лични данни, изпратен до грешен получател;
- изгубен или откраднат лаптоп, телефон или USB памет с лични данни, които не са били криптирани;
- хакната пощенска кутия, в която има фактури, оферти или мотивационни писма;
- уебсайт или онлайн магазин, от който са откраднати данни на клиенти;
- ransomware, поради което вече нямате достъп до клиентската си администрация, дори ако нищо не е копирано.
Първите стъпки
- Спрете изтичането. Помолете грешния получател да изтрие имейла и да потвърди това. Сменете паролата на компрометирана пощенска кутия от устройство, на което имате доверие (вижте Сигурни пароли и какво да направите при изтекла парола).
- Установете какво се е случило. Каква е причината, кога е започнало, какви са данните, на колко души са, кой има достъп до тях и били ли са данните криптирани? Запишете всичко, с дата и час.
- Оценете риска за хората, на които са данните (вижте по-долу).
- Съобщете на AP, ако е необходимо, в рамките на 72 часа.
- Информирайте засегнатите лица, ако рискът за тях е висок.
- Впишете случая в регистъра на нарушенията. Това правите винаги.
Трябва ли да съобщя на Autoriteit Persoonsgegevens?
Съобщавате за изтичане на данни без ненужно забавяне и по възможност в рамките на 72 часа, след като сте го установили. Това не е необходимо, ако е малко вероятно то да породи риск за хората, на които са данните (член 33 от ОРЗД).
- Срокът започва да тече, когато узнаете, а не когато е станало изтичането. Почивните дни също се броят: ако го установите в петък в 16:40, съобщавате най-късно в понеделник в 16:40.
- Непълното уведомление е допустимо. Ако след 72 часа все още не знаете всичко, съобщете това, което знаете, и допълнете уведомлението по-късно.
- Само онлайн. Съобщавате чрез формуляра за уведомяване на AP, а не по телефон, имейл или поща. С въпросника на AP подготвяте уведомлението.
- Имате ли съмнения? AP препоръчва в такъв случай все пак да съобщите.
Тези въпроси помагат при преценката:
| Въпрос | По-нисък риск | По-висок риск |
|---|---|---|
| Какви данни? | Само служебни данни за контакт | BSN (граждански номер), копие от документ за самоличност, банкови данни, пароли, медицински данни, данни на деца |
| Колко души? | Един или няколко | Много |
| Четими ли са за този, който ги притежава? | Добре криптирани, ключът не е изтекъл | Четими, или паролата също е изтекла |
| У кого са? | Известен получател, който потвърждава, че ги е изтрил | Непознат, престъпник или публично достъпни в интернет |
Пример: ако бъде откраднат добре криптиран лаптоп, вероятно няма риск. Тогава не е необходимо да съобщавате, но все пак вписвате случая в регистъра си. При некриптиран лаптоп намерилият го може да прочете всичко. Тогава обикновено има риск.
Кога информирате засегнатите лица?
Ако изтичането вероятно поражда висок риск за хората, на които са данните, Вие ги информирате незабавно (член 34 от ОРЗД). Обяснете на ясен език какво се е случило, какви могат да бъдат последиците, какво правите Вие и какво могат да направят те самите, например да сменят парола или да внимават особено за phishing от Ваше име.
Това не е необходимо, ако данните са били нечетими благодарение на добро криптиране или ако след това сте взели мерки, поради които високият риск вече не е вероятен. Ако достигането до всеки поотделно изисква несъразмерни усилия, направете публично съобщение.
Регистърът на нарушенията: поддържайте го винаги
Всяко изтичане на данни се документира, дори ако не го съобщавате (член 33, параграф 5). Запишете фактите, последиците, мерките и Вашата преценка: защо сте съобщили или не и защо сте информирали засегнатите лица или не. AP предлага примерен регистър на нарушенията.
Ами ако изтичането е при доставчик?
Вашата хостинг компания, Вашият счетоводен софтуер в облака или Вашата услуга за бюлетини е според ОРЗД обработващ лични данни: страна, която обработва лични данни по Ваше възлагане. Обработващият трябва да Ви уведоми без ненужно забавяне, ако установи изтичане на данни (член 33, параграф 2). След това Вие преценявате дали трябва да съобщите и по принцип Вие сами подавате уведомлението.
Това важи и когато WebOké е Ваш обработващ лични данни. Договореностите за това са в нашето споразумение за обработване на лични данни, вижте Споразумение за обработване на лични данни: къде мога да го намеря? Смятате ли, че изтичането е при нас, например на нашите сървъри? Тогава се свържете с нас веднага чрез тикет в Центъра за поддръжка, като посочите какво сте видели и кога.
Допълнително четене
- WebOké Backups: преглед, възстановяване или изтегляне на backup
- Autoriteit Persoonsgegevens: да съобщите или не
- Autoriteit Persoonsgegevens: как да съобщите за изтичане на данни
- Autoriteit Persoonsgegevens: въпросник към формуляра за уведомяване
- Autoriteit Persoonsgegevens: примерен регистър на нарушенията
- ОРЗД, членове 4, 33 и 34 (EUR-Lex)
Искате да научите повече? Запишете се в безплатния курс Безопасност онлайн за предприемачи, урок 8.2 Изтичане на данни и задължението за уведомяване.