Нарушения на сигурността на данните и задължението за уведомяване

Модул 8: Когато нещо се обърка · Време за четене: 11 минути

Учебна цел: След този урок ще можете да определите дали нещо е нарушение на сигурността на данните, дали трябва да го уведомите в срок от 72 часа пред компетентния орган за защита на личните данни и дали трябва да информирате засегнатите лица, и ще можете да го документирате в регистър на нарушенията.

Основни понятия: лични данни, нарушение на сигурността на данните (пробив, свързан с лични данни), администратор на лични данни, обработващ лични данни, GDPR член 33 и 34, формуляр за уведомяване за нарушение, 72 часа, риск и висок риск, регистър на нарушенията

Какво е нарушение на сигурността на данните?

При думите „нарушение на сигурността на данните“ хората се сещат за хакери, които крадат база данни. Това е една от формите. GDPR използва по-широко определение: нарушение, свързано с лични данни, е нарушение на сигурността, което случайно или неправомерно води до унищожаване, загуба, промяна, неразрешено разкриване или неразрешен достъп до лични данни (член 4, точка 12).

Лични данни са всички данни за разпознаваемо лице: име, имейл адрес като ivan.ivanov@..., телефонен номер, адрес, клиентски номер с история на поръчките, снимка, IP адрес в комбинация с други данни. Данните за дадено дружество само по себе си (ЕИК номер, общ адрес) не са лични данни, но данните за лицето за контакт са.

Затова всичко това са нарушения на сигурността на данните:

• имейл с клиентски списък, изпратен до грешен получател;
• бюлетин, в който всички получатели са видими в полето „До“ или „Копие до“;
• изгубена USB памет или лаптоп с данни за персонала, ако не е бил шифрован;
• ransomware, която шифрова клиентската администрация (данните тогава не са достъпни, дори ако нищо не е копирано);
• превзета пощенска кутия, в която има фактури с имена и адреси;
• споделена връзка към папка с мотивационни писма, която е отворена за всеки.

Думата „нарушение на сигурността“ показва, че не става дума само за поверителност. Също и загуба (данните са изчезнали) и промяна (някой е променил номера на банкови сметки) се броят.

Кой носи отговорност: Вие или Вашият доставчик?

GDPR разпознава две роли.

• Администраторът на лични данни определя защо и как се обработват личните данни. За данните на Вашите клиенти и персонал това сте Вие, като предприемач.
• Обработващият лични данни обработва данни по Ваше възлагане: Вашият хостинг доставчик, Вашият счетоводен софтуер в облака, Вашата услуга за бюлетини, Вашият ИТ доставчик.

Ако изтичане на данни се случи при обработващ лични данни, той трябва да Ви уведоми без неоправдано забавяне (член 33, параграф 2). Тогава Вие преценявате дали трябва да уведомите компетентния орган и засегнатите лица и по принцип Вие самите подавате уведомлението (освен ако сте се договорили обработващият лични данни да прави това от Ваше име). Задължението остава Ваше, дори ако грешката е била на друг. Затова в договора за обработка на данни се записват договорки за това колко бързо и как обработващият лични данни Ви информира (урок 7.2).

Часовникът от 72 часа

Член 33 от GDPR гласи, че трябва да уведомите компетентния орган за защита на личните данни за нарушение на сигурността на данните без неоправдано забавяне и когато е възможно в срок от 72 часа, след като сте узнали за него. Изключението: малко вероятно е нарушението да породи риск за правата и свободите на хората.

Четири точки често се разбират погрешно:

1. Часовникът започва да тече, когато узнаете за нарушението, не когато то се е случило. „Да узнаете“ означава: разумно сте сигурни, че има нарушение, свързано с лични данни. Кратка първоначална проверка е позволена, но който съзнателно не проверява, не отлага началото на срока.
2. 72 часа си остават 72 часа, включително през уикенда и празничните дни. Ако откриете нарушение в петък в 16:40, крайният срок е понеделник в 16:40.
3. Непълно уведомяване е допустимо. Ако след 72 часа все още не знаете всичко, уведомявате с наличната информация и допълвате по-късно. Ако уведомите след изтичане на 72-те часа, трябва да обосновете забавянето (член 33 от GDPR).
4. Става дума за риск за хората, не за щетите за Вашия бизнес.

Открито:  петък     16:40   -> часовникът започва
          събота              (брои се)
          неделя              (брои се)
Най-късно понеделник 16:40   -> уведомление до компетентния орган (евентуално непълно)

Уведомяването се извършва, в общия случай, чрез онлайн формуляра за уведомяване на нарушения на компетентния орган за защита на личните данни. Можете да подготвите уведомлението предварително. Попълвате, наред с другото, какво се е случило, кога, какви и колко данни и лица засяга, какви могат да бъдат последствията и какви мерки сте предприели. Тук журналът от урок 8.1 си заслужава усилията.

Кога да уведомите и кога не: преценка на риска

Преценявате колко вероятни и колко сериозни са последствията за засегнатите лица. Мислете за: кражба на самоличност, финансова загуба, дискриминация, увреждане на репутацията или загуба на контрол върху данните им. Въпроси, които помагат:

Два примера, които често се срещат:

• Откраднат напълно шифрован лаптоп, силна парола, ключът не е изтекъл, скорошно резервно копие: вероятно няма риск. Не се уведомява компетентният орган, но се документира в регистъра.
• Хакнат онлайн магазин, нападателят има имейл адреси и слабо съхранени пароли: има риск, следователно се уведомява. И тъй като хората често използват повторно паролите си (урок 1.4), има висок риск: засегнатите лица се информират.

Имате съмнения? Тогава уведомяването обикновено е по-сигурният избор. Компетентният орган също препоръчва при съмнение да се уведомява. Нова информация се предоставя по-късно с последващо уведомление.

Информиране на засегнатите лица: при висок риск

Член 34 се отнася за хората, чиито данни са засегнати. Ако нарушението вероятно поражда висок риск, Вие ги информирате незабавно: възможно най-бързо, доколкото е разумно. За това не важи срок от 72 часа, но и изчакването, докато всичко бъде изяснено, не е целта.

В съобщението на ясен език се посочва какво се е случило, какви са вероятните последствия, какво правите Вие и какво могат да направят те самите (например да сменят паролата си другаде, да бъдат внимателни за фишинг от Ваше име, да предупредят банката си), плюс лице за контакт.

Информирането не е необходимо, ако сте взели подходящи мерки, които правят данните нечетливи (като добро шифроване), ако впоследствие сте взели мерки, поради които високият риск вече не е вероятен, или ако изисква непропорционално усилие: тогава правите публично съобщение (член 34, параграф 3).

Внимание: фишинг често следва нарушение на сигурността на данните. Престъпниците тогава знаят кои са Вашите клиенти и изпращат имейл „от Ваше име“. Предупредете клиентите си и за това.

Регистърът на нарушенията: винаги

Член 33, параграф 5 Ви задължава да документирате всяко нарушение на сигурността на данните, дори ако не го уведомявате. Документирайте: фактите, последствията, мерките и Вашата преценка (защо е уведомено или не, защо е информирано или не). Формата можете да изберете сами; компетентният орган предоставя примерен регистър на нарушенията. Проста таблица е достатъчна:

№ | Открито (дата/час) | Какво се е случило | Какви данни, колко хора
  | Последствия | Мерки | Уведомен ли е компетентният орган? (да/не + защо, дата)
  | Информирани ли са засегнатите лица? (да/не + защо) | Приключено (дата)

Регистърът Ви помага и самостоятелно: ако видите три пъти годишно „имейл до грешен получател“, знаете къде трябва да подобрите нещо (например забавяне при изпращане или спиране на клиентски списъци като прикачен файл, урок 7.3).

Нарушение на сигурността на данните и Закона за киберсигурност: две различни уведомления

Ако Вашата организация попада под Закона за киберсигурност (NIS2, урок 9.1), тогава важи и задължение за уведомяване при значими инциденти: първоначално предупреждение в срок от 24 часа, уведомление в срок от 72 часа и окончателен доклад в срок от един месец, чрез регистрация пред компетентния орган. Това е различно уведомление, с различна цел (непрекъснатостта на услугите) и пред различна институция. Атака с ransomware може следователно да попада и под двете. Повечето малки предприятия не попадат под Закона за киберсигурност; задължението за уведомяване по GDPR важи обаче за всички.

Този урок дава общо обяснение и не представлява правен съвет. При съмнение се консултирайте с уебсайта на компетентния орган или с юрист.

Обобщение

• Нарушение на сигурността на данните е всяко нарушение, при което лични данни се губят, променят или попадат при някой, който не би трябвало да има достъп до тях; също и имейл до грешен получател или изгубен нешифрован лаптоп.
• Уведомяване на компетентния орган: без неоправдано забавяне и когато е възможно в срок от 72 часа след откриването, включително през уикенда, освен ако вероятно няма риск. Непълно уведомяване е допустимо.
• Информиране на засегнатите лица: незабавно, ако вероятно има висок риск.
• Ако изтичане на данни се случи при обработващия лични данни, той трябва да Ви информира; решението за уведомяване е Ваше.
• Документирайте всяко нарушение на сигурността на данните в регистъра си, заедно с Вашата преценка.

Тест

Задача

Задача A8.2: Изчислете срока. Получавате четири момента на откриване. Попълнете за всеки момент крайната дата и час за уведомлението пред компетентния орган. Програмата проверява резултата.

Задача A8.2b: Да се уведоми или не? Получавате осем кратки казуса. Изберете за всеки казус дали трябва да уведомите компетентния орган, дали трябва да информирате засегнатите лица и дали го вписвате в регистъра на нарушенията. Програмата проверява и дава обяснение за всеки казус.

За допълнително четене

Стъпките в статиите на WebOké важат за средата на WebOké; при други доставчици работи по сходен начин.

• Помощ! Сайтът ми е хакнат. Как да го поправя и как да го предотвратя?
• Комисия за защита на личните данни (КЗЛД): примерен регистър на нарушенията на сигурността на данните (без линк)
• Комисия за защита на личните данни (КЗЛД): задължение за уведомяване при нарушение на сигурността на данните (без линк)
• Комисия за защита на личните данни (КЗЛД): въпросник за формуляра за уведомяване на нарушения (без линк)
• GDPR (Регламент (ЕС) 2016/679), членове 4, 33 и 34: https://eur-lex.europa.eu/eli/reg/2016/679/oj
• Нидерландският NCSC, Уведомяване за нарушение на сигурността на данните: https://www.ncsc.nl/wet-en-regelgeving/melden-van-een-datalek
• Това изтичане на данни ли е и трябва ли да го съобщя?