Încălcări de securitate a datelor și obligația de notificare

Modulul 8: Când lucrurile merg prost · Timp de citire: 11 minute

Obiectivul lecției: După această lecție veți putea stabili dacă ceva constituie o încălcare a securității datelor, dacă trebuie să o notificați în termen de 72 de ore către autoritatea de supraveghere a protecției datelor și dacă trebuie să informați persoanele vizate, și veți putea să o înregistrați într-un registru al încălcărilor de securitate a datelor.

Noțiuni cheie: date cu caracter personal, încălcarea securității datelor cu caracter personal, operator, persoană împuternicită, GDPR articolul 33 și 34, formular de notificare a încălcărilor de securitate a datelor, 72 de ore, risc și risc ridicat, registru al încălcărilor de securitate a datelor

Ce este o încălcare a securității datelor?

Când auzim "încălcare a securității datelor", ne gândim la hackeri care fură o bază de date. Aceasta este o singură formă. GDPR folosește o descriere mai largă: o încălcare a securității datelor cu caracter personal este o încălcare de securitate care duce, în mod accidental sau ilegal, la distrugerea, pierderea, modificarea, divulgarea neautorizată sau accesul neautorizat la date cu caracter personal (articolul 4, punctul 12).

Datele cu caracter personal sunt toate datele referitoare la o persoană identificabilă: un nume, o adresă de e-mail precum jan.jansen@..., un număr de telefon, o adresă, un număr de client cu istoricul comenzilor, o fotografie, o adresă IP în combinație cu alte date. Datele despre o companie ca atare (numărul de înregistrare, adresa generală) nu sunt date cu caracter personal, dar datele despre persoana de contact sunt.

Astfel, toate acestea sunt încălcări ale securității datelor:

• un e-mail cu o listă de clienți trimis destinatarului greșit;
• un buletin informativ în care toți destinatarii sunt vizibili în câmpul Către sau CC;
• un stick USB sau un laptop pierdut cu date despre personal, dacă nu era criptat;
• un ransomware care criptează evidența clienților (datele nu mai sunt disponibile, chiar dacă nimic nu a fost copiat);
• o căsuță de e-mail compromisă în care se află facturi cu nume și adrese;
• un link partajat către un folder cu scrisori de intenție care este accesibil oricui.

Expresia "încălcare de securitate" arată că nu este vorba doar despre confidențialitate. Contează și pierderea (datele au dispărut) și modificarea (cineva a schimbat numere de cont).

Cine este responsabil: dumneavoastră sau furnizorul dumneavoastră?

GDPR recunoaște două roluri.

• Operatorul stabilește de ce și cum sunt prelucrate datele cu caracter personal. Pentru datele clienților și ale personalului dumneavoastră, acesta sunteți dumneavoastră, ca antreprenor.
• O persoană împuternicită prelucrează date în numele dumneavoastră: compania de găzduire, aplicația de contabilitate din cloud, serviciul de newsletter, furnizorul dumneavoastră IT.

Dacă are loc o scurgere la o persoană împuternicită, aceasta trebuie să vă notifice fără întârzieri nejustificate (articolul 33 alineatul 2). Dumneavoastră evaluați apoi dacă trebuie să notificați autoritatea de supraveghere și persoanele vizate, și, în principiu, notificați tot dumneavoastră (cu excepția cazului în care ați convenit ca persoana împuternicită să facă acest lucru în numele dumneavoastră). Obligația rămâne deci la dumneavoastră, chiar dacă eroarea a fost a altcuiva. De aceea, un acord de prelucrare a datelor conține prevederi despre cât de repede și cum vă informează persoana împuternicită (lecția 7.2).

Ceasul celor 72 de ore

Articolul 33 din GDPR prevede că trebuie să notificați o încălcare a securității datelor fără întârzieri nejustificate și, dacă este posibil, în termen de 72 de ore către autoritatea de supraveghere a protecției datelor, după ce ați luat cunoștință de aceasta. Excepția: nu este probabil ca încălcarea să genereze un risc pentru drepturile și libertățile persoanelor.

Patru aspecte sunt deseori interpretate greșit:

1. Ceasul începe din momentul în care aflați, nu din momentul în care s-a produs scurgerea. "A afla" înseamnă: aveți certitudine rezonabilă că există o încălcare care implică date cu caracter personal. O scurtă evaluare preliminară este permisă, dar cine evită în mod deliberat să verifice nu amână ceasul.
2. 72 de ore înseamnă 72 de ore, inclusiv în weekend și de sărbători. Dacă descoperiți o scurgere vineri la 16:40, termenul limită este luni la 16:40.
3. O notificare incompletă este permisă. Dacă după 72 de ore nu știți încă totul, notificați cu ce știți și completați ulterior. Dacă notificați mai târziu de 72 de ore, trebuie să explicați de ce; autoritatea de supraveghere acceptă acest lucru doar în cazuri excepționale.
4. Contează riscul pentru persoane, nu prejudiciul pentru compania dumneavoastră.

Descoperit: vineri   16:40   -> ceasul pornește
          sâmbătă            (se ia în calcul)
          duminică            (se ia în calcul)
Cel târziu luni   16:40   -> notificare către autoritatea de supraveghere (eventual incompletă)

Notificarea se face, de regulă, prin formularul online al autorității de supraveghere; detaliile sunt indicate pe site-ul autorității. Autoritatea de supraveghere are un chestionar cu ajutorul căruia puteți pregăti notificarea în prealabil. Completați, printre altele, ce s-a întâmplat, când, ce date și câte persoane sunt vizate, care pot fi consecințele și ce măsuri ați luat. Aici se dovedește util jurnalul din lecția 8.1.

Când se notifică și când nu: evaluarea riscului

Evaluați cât de probabile și cât de grave sunt consecințele pentru persoanele vizate. Gândiți-vă la: fraudă de identitate, prejudiciu financiar, discriminare, prejudiciu de reputație sau pierderea controlului asupra propriilor date. Întrebări care ajută:

Două exemple care apar frecvent:

• Laptop criptat furat, parolă puternică, cheia nu a fost compromisă, copie de siguranță recentă: probabil fără risc. Nu se notifică autoritatea de supraveghere, dar se înregistrează în registrul dumneavoastră.
• Magazin online spart, atacatorul a obținut adrese de e-mail și parole stocate slab: există risc, deci se notifică. Și deoarece oamenii reutilizează adesea parolele (lecția 1.4), există un risc ridicat: se informează persoanele vizate.

Aveți dubii? Atunci notificarea este, de regulă, alegerea sigură. Și autoritatea de supraveghere recomandă notificarea în caz de dubiu. Informațiile noi se transmit ulterior printr-o notificare de completare.

Informarea persoanelor vizate: în caz de risc ridicat

Articolul 34 se referă la persoanele ale căror date sunt vizate. Dacă încălcarea generează probabil un risc ridicat, le informați fără întârziere: cât mai curând posibil în mod rezonabil. Pentru aceasta nu există un termen de 72 de ore, dar a aștepta până când totul este clarificat nu este nici aceasta intenția.

În mesaj se precizează, în limbaj clar, ce s-a întâmplat, care sunt consecințele probabile, ce faceți dumneavoastră și ce pot face ei înșiși (de exemplu să își schimbe parola în alte locuri, să fie atenți la phishing în numele dumneavoastră, să își avertizeze banca), plus o persoană de contact.

Informarea nu este necesară dacă ați luat măsuri adecvate care fac datele ilizibile (precum o criptare bună), dacă ați luat ulterior măsuri prin care riscul ridicat nu mai este probabil, sau dacă ar necesita un efort disproporționat: în acest caz faceți o comunicare publică (articolul 34 alineatul 3).

Atenție: phishingul urmează adesea unei încălcări a securității datelor. Infractorii știu atunci cine sunt clienții dumneavoastră și trimit un e-mail "din partea dumneavoastră". Avertizați-vă clienții și cu privire la acest aspect.

Registrul încălcărilor de securitate a datelor: întotdeauna

Articolul 33 alineatul 5 vă obligă să înregistrați fiecare încălcare a securității datelor, chiar dacă nu o notificați. Înregistrați: faptele, consecințele, măsurile și evaluarea dumneavoastră (de ce ați notificat sau nu, de ce ați informat sau nu). Puteți alege singuri forma; autoritatea de supraveghere pune la dispoziție un model de registru al încălcărilor de securitate a datelor. Un tabel simplu este suficient:

Nr | Descoperit (data/ora) | Ce s-a întâmplat | Ce date, câte persoane
   | Consecințe | Măsuri | Notificat autorității de supraveghere? (da/nu + de ce, data)
   | Persoane vizate informate? (da/nu + de ce) | Soluționat (data)

Registrul vă ajută și pe dumneavoastră: dacă vedeți de trei ori pe an "e-mail trimis destinatarului greșit", știți unde trebuie să îmbunătățiți ceva (de exemplu o întârziere la trimitere, sau să nu mai folosiți liste de clienți ca atașament, lecția 7.3).

Încălcare a securității datelor și transpunerea NIS2: două notificări diferite

Dacă organizația dumneavoastră intră sub incidența transpunerii NIS2 (OUG nr. 155/2024, lecția 9.1), se aplică suplimentar o obligație de notificare pentru incidentele semnificative: o avertizare inițială în termen de 24 de ore, o notificare în termen de 72 de ore și un raport final în termen de o lună, prin intermediul autorității naționale de securitate cibernetică. Aceasta este o notificare diferită, cu un scop diferit (continuitatea serviciilor) și către o instituție diferită. Un atac cu ransomware poate deci necesita ambele notificări. Majoritatea întreprinderilor mici nu intră sub incidența acestei legi; obligația de notificare din GDPR se aplică însă tuturor.

Această lecție oferă explicații generale și nu constituie consultanță juridică. În caz de dubiu, consultați site-ul autorității de supraveghere sau un jurist.

Rezumat

• O încălcare a securității datelor este orice încălcare prin care date cu caracter personal se pierd, se modifică sau ajung la o persoană care nu ar trebui să le aibă acces; inclusiv un e-mail trimis destinatarului greșit sau un laptop necriptat pierdut.
• Notificarea autorității de supraveghere: fără întârzieri nejustificate și, dacă este posibil, în termen de 72 de ore de la descoperire, inclusiv în weekend, cu excepția cazului în care probabil nu există risc. O notificare incompletă este permisă.
• Informarea persoanelor vizate: fără întârziere, dacă există probabil un risc ridicat.
• Dacă scurgerea are loc la persoana dumneavoastră împuternicită, aceasta trebuie să vă informeze; decizia privind notificarea vă aparține dumneavoastră.
• Înregistrați fiecare încălcare a securității datelor în registrul dumneavoastră, împreună cu evaluarea dumneavoastră.

Test

Exercițiu

Exercițiul A8.2: Calculați termenul. Primiți patru momente de descoperire. Completați pentru fiecare moment data și ora limită pentru notificarea autorității de supraveghere. Programul verifică.

Exercițiul A8.2b: Se notifică sau nu? Primiți opt scurte studii de caz. Alegeți pentru fiecare caz dacă trebuie să notificați autoritatea de supraveghere, dacă trebuie să informați persoanele vizate și dacă îl treceți în registrul dumneavoastră al încălcărilor de securitate a datelor. Programul verifică și oferă explicația pentru fiecare caz.

Lectură suplimentară

Pașii din articolele WebOké se aplică mediului WebOké; la alți furnizori procedura este similară.

• Ajutor! Site-ul meu a fost spart. Cum pot rezolva sau preveni acest lucru?
• Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), model de registru al încălcărilor de securitate a datelor: https://www.dataprotection.ro/
• Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP): https://www.dataprotection.ro/
• Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), Chestionar formular de notificare a încălcărilor de securitate a datelor: https://www.dataprotection.ro/
• GDPR (Regulamentul (UE) 2016/679), articolele 4, 33 și 34: https://eur-lex.europa.eu/eli/reg/2016/679/oj
• Autoritatea națională de securitate cibernetică, notificarea unei încălcări a securității datelor (sursă din Țările de Jos): https://www.ncsc.nl/wet-en-regelgeving/melden-van-een-datalek