Este aceasta o breșă de date și trebuie să o raportez?
În calitate de antreprenor, dumneavoastră sunteți responsabil pentru datele cu caracter personal ale clienților și angajaților dumneavoastră. În RGPD sunteți numit operator de date. Aici puteți citi când este vorba despre o încălcare a securității datelor, când trebuie să o raportați și ce trebuie să faceți imediat. Aceasta este o explicație generală și nu constituie consultanță juridică; în caz de îndoială, consultați site-ul web al Autorității pentru Protecția Datelor (Autoriteit Persoonsgegevens, AP) sau adresați-vă unui jurist.
Ce este o încălcare a securității datelor?
Conform RGPD, legea europeană privind protecția datelor, aceasta reprezintă o încălcare a securității care are ca rezultat pierderea, distrugerea sau modificarea datelor cu caracter personal, sau accesul la acestea al unei persoane neautorizate (articolul 4 punctul 12). Datele cu caracter personal sunt date despre o persoană identificabilă, cum ar fi un nume, o adresă de e-mail, o adresă sau un istoric al comenzilor. Deci nu este vorba doar despre hackeri. Exemple:
- un e-mail sau un atașament cu date cu caracter personal trimis către destinatarul greșit;
- un laptop, telefon sau stick USB pierdut sau furat, care conține date cu caracter personal necriptate;
- o căsuță de e-mail piratată care conține facturi, oferte sau scrisori de intenție;
- un site web sau un magazin online din care au fost furate date ale clienților;
- un atac de tip ransomware din cauza căruia nu mai puteți accesa administrarea clienților, chiar dacă nu a fost copiat nimic.
Primii pași
- Opriți scurgerea de date. Rugați destinatarul greșit să șteargă e-mailul și să confirme acest lucru. Schimbați parola unei căsuțe de e-mail compromise de pe un dispozitiv de încredere (consultați Parole sigure și ce faceți atunci când o parolă a fost compromisă).
- Stabiliți ce s-a întâmplat. Care este cauza, când a început, despre ce date este vorba, de la câte persoane, cine are acces la ele și erau datele criptate? Notați totul, cu dată și oră.
- Evaluați riscul pentru persoanele ale căror date sunt vizate (a se vedea mai jos).
- Raportați incidentul la AP dacă este necesar, în termen de 72 de ore.
- Informați persoanele vizate dacă riscul pentru acestea este ridicat.
- Înregistrați incidentul în registrul dumneavoastră de încălcări ale securității datelor. Acest lucru trebuie făcut întotdeauna.
Trebuie să raportez la Autoritatea pentru Protecția Datelor?
Raportați o încălcare a securității datelor fără întârzieri nejustificate și, dacă este posibil, în termen de 72 de ore de la descoperirea acesteia. Acest lucru nu este necesar dacă este puțin probabil să genereze un risc pentru persoanele ale căror date sunt vizate (articolul 33 din RGPD).
- Cronometrul începe în momentul în care aflați, nu în momentul în care s-a produs incidentul. Weekendul se ia în calcul: dacă descoperiți incidentul vineri la ora 16:40, trebuie să raportați cel târziu luni la ora 16:40.
- Puteți raporta incomplet. Dacă după 72 de ore încă nu știți totul, raportați cu informațiile pe care le aveți și completați raportarea ulterior.
- Doar online. Raportați prin formularul de raportare al AP, nu prin telefon, e-mail sau poștă. Chestionarul AP vă ajută să pregătiți raportarea.
- Dacă aveți îndoieli? AP recomandă să raportați oricum.
Următoarele întrebări vă ajută în luarea deciziei:
| Întrebare | Risc mai scăzut | Risc mai ridicat |
|---|---|---|
| Ce date? | Doar date de contact profesionale | Cod numeric personal, copie act de identitate, date bancare, parole, date medicale, date ale copiilor |
| Câte persoane? | Una sau câteva | Multe |
| Lizibile pentru cine le deține? | Bine criptate, cheia nu a fost compromisă | Lizibile, sau parola a fost și ea compromisă |
| Cine le deține? | Un destinatar cunoscut care confirmă că le-a șters | O persoană necunoscută, un infractor, sau publicate pe internet |
Un exemplu: dacă este furat un laptop bine criptat, probabil nu există niciun risc. În acest caz, nu este necesar să raportați, dar îl veți înregistra totuși în registrul dumneavoastră. Pe un laptop necriptat, persoana care îl găsește poate citi totul; în acest caz, de obicei există un risc.
Când informați persoanele vizate?
Dacă încălcarea securității datelor este probabil să genereze un risc ridicat pentru persoanele ale căror date sunt vizate, le informați fără întârziere (articolul 34 din RGPD). Explicați în termeni simpli ce s-a întâmplat, care pot fi consecințele, ce faceți dumneavoastră și ce pot face ei înșiși, cum ar fi schimbarea unei parole sau atenție suplimentară la phishing în numele dumneavoastră.
Acest lucru nu este necesar dacă datele erau ilizibile datorită unei criptări adecvate, sau dacă ați luat ulterior măsuri care fac ca riscul ridicat să nu mai fie probabil. Dacă este nevoie de un efort disproporționat pentru a ajunge la toate persoanele, faceți o comunicare publică.
Registrul încălcărilor securității datelor: țineți-l mereu la zi
Fiecare încălcare a securității datelor trebuie înregistrată, chiar dacă nu o raportați (articolul 33 alineatul 5). Notați faptele, consecințele, măsurile și motivarea dumneavoastră: de ce ați raportat sau nu și de ce ați informat sau nu persoanele vizate. AP are un exemplu de registru al încălcărilor securității datelor.
Și dacă încălcarea se produce la un furnizor?
Furnizorul dumneavoastră de hosting, pachetul de contabilitate în cloud sau serviciul de newsletter este, conform RGPD, un persoană împuternicită de operator: o parte care prelucrează date cu caracter personal în numele dumneavoastră. O persoană împuternicită de operator trebuie să vă informeze fără întârzieri nejustificate atunci când descoperă o încălcare a securității datelor (articolul 33 alineatul 2). Ulterior, dumneavoastră evaluați dacă trebuie să raportați, și, în principiu, raportați dumneavoastră înșivă.
Acest lucru este valabil și atunci când WebOké este persoana dumneavoastră împuternicită de operator. Credeți că scurgerea de date s-a produs la noi, de exemplu pe serverele noastre? Contactați-ne imediat printr-un tichet la Centrul de Suport, cu detalii despre ce ați observat și când.
Lectură suplimentară
- Copii de siguranță WebOké: vizualizarea, restaurarea sau descărcarea unei copii de siguranță
- Autoritatea pentru Protecția Datelor: a raporta sau nu o încălcare a securității datelor
- Autoritatea pentru Protecția Datelor: cum se raportează o încălcare a securității datelor
- Autoritatea pentru Protecția Datelor: chestionarul formularului de raportare
- Autoritatea pentru Protecția Datelor: exemplu de registru al încălcărilor securității datelor
- RGPD, articolele 4, 33 și 34 (EUR-Lex)