Duomenų saugumo pažeidimai ir pareiga pranešti

8 modulis: Kai nutinka incidentas · Skaitymo trukmė: 11 min.

Mokymosi tikslas: Baigę šią pamoką galėsite nustatyti, ar įvykis yra duomenų saugumo pažeidimas, ar per 72 valandas apie jį reikia pranešti Valstybinei duomenų apsaugos inspekcijai (VDAI), ar reikia informuoti duomenų subjektus, ir galėsite tai užfiksuoti duomenų saugumo pažeidimų registre.

Pagrindinės sąvokos: asmens duomenys, duomenų saugumo pažeidimas (su asmens duomenimis susijęs pažeidimas), duomenų valdytojas, duomenų tvarkytojas, BDAR 33 ir 34 straipsniai, pranešimas apie duomenų saugumo pažeidimą, 72 valandos, rizika ir didelė rizika, duomenų saugumo pažeidimų registras

Kas yra duomenų saugumo pažeidimas?

Girdėdami žodžius „duomenų saugumo pažeidimas“, žmonės dažniausiai įsivaizduoja įsilaužėlius, pavogusius duomenų bazę. Tai tik viena iš formų. BDAR vartoja platesnę sąvoką: su asmens duomenimis susijęs pažeidimas yra saugumo pažeidimas, dėl kurio netyčia arba neteisėtai sunaikinami, prarandami, pakeičiami, be leidimo atskleidžiami persiųsti asmens duomenys arba prie jų be leidimo gaunama prieiga (4 straipsnio 12 punktas).

Asmens duomenys yra visa informacija apie atpažįstamą asmenį: vardas ir pavardė, el. pašto adresas, pavyzdžiui, jan.jansen@..., telefono numeris, adresas, kliento numeris su užsakymų istorija, nuotrauka, IP adresas kartu su kita informacija. Duomenys apie pačią įmonę (įmonės kodas, bendras adresas) tokie nėra, tačiau duomenys apie kontaktinį asmenį yra.

Taigi visi šie atvejai yra duomenų saugumo pažeidimai:

• laiškas su klientų sąrašu, nusiųstas ne tam gavėjui;
• naujienlaiškis, kuriame visi gavėjai matomi lauke „Kam“ arba „CC“;
• pamesta USB atmintinė ar nešiojamas kompiuteris su darbuotojų duomenimis, jei jie nebuvo užšifruoti;
• išpirkos reikalaujanti programa, užšifravusi klientų duomenų bazę (duomenys tampa neprieinami, net jei niekas jų nenukopijavo);
• perimta pašto dėžutė, kurioje yra sąskaitos su vardais ir adresais;
• bendrinama nuoroda į aplanką su motyvaciniais laiškais, kuri yra prieinama visiems.

Žodžiai „saugumo pažeidimas“ rodo, kad kalbama ne tik apie konfidencialumą. Taip pat svarbu praradimas (duomenys dingo) ir pakeitimas (kažkas pakeitė sąskaitų numerius).

Kas atsako: Jūs ar Jūsų tiekėjas?

BDAR numato du vaidmenis.

• Duomenų valdytojas nusprendžia, kodėl ir kaip tvarkomi asmens duomenys. Jūsų klientų ir darbuotojų duomenų atveju tai esate Jūs, kaip verslininkas.
• Duomenų tvarkytojas tvarko duomenis Jūsų pavedimu: Jūsų talpinimo paslaugų teikėjas, buhalterijos programa debesijoje, naujienlaiškių paslauga, IT tiekėjas.

Jei pažeidimas įvyksta pas duomenų tvarkytoją, jis privalo Jus informuoti be nepagrįsto delsimo (33 straipsnio 2 dalis). Tuomet Jūs įvertinate, ar reikia pranešti VDAI ir duomenų subjektams, ir iš esmės pranešimą teikiate Jūs pats (nebent sutarta, kad tai Jūsų vardu atlieka duomenų tvarkytojas). Taigi pareiga lieka Jums, net jei klaida padaryta kito asmens. Todėl duomenų tvarkymo sutartyje turėtų būti numatyta, kaip greitai ir kaip duomenų tvarkytojas Jus informuoja (4 pamoka iš 7.2).

72 valandų laikrodis

BDAR 33 straipsnis nurodo, kad apie duomenų saugumo pažeidimą turite pranešti Valstybinei duomenų apsaugos inspekcijai (VDAI) be nepagrįsto delsimo ir, jei įmanoma, per 72 valandas nuo tada, kai apie jį sužinojote. Išimtis: jei nėra tikėtina, kad pažeidimas kels pavojų žmonių teisėms ir laisvėms.

Keturi dalykai dažnai suprantami klaidingai:

1. Laikas prasideda nuo to momento, kai sužinote, o ne nuo to momento, kai pažeidimas įvyko. „Sužinoti“ reiškia: esate pagrįstai įsitikinę, kad įvyko pažeidimas, susijęs su asmens duomenimis. Trumpas pirminis įvertinimas yra leistinas, tačiau tas, kuris sąmoningai delsia patikrinti, laiko neperkelia.
2. 72 valandos yra 72 valandos, taip pat savaitgaliais ir švenčių dienomis. Jei pažeidimą aptinkate penktadienį 16:40, galutinis terminas yra pirmadienį 16:40.
3. Neišsamus pranešimas yra leidžiamas. Jei po 72 valandų dar ne visko žinote, pranešate tai, ką žinote, ir papildote vėliau. Jei pranešate vėliau nei per 72 valandas, turite paaiškinti kodėl; VDAI tai priima tik išimtiniais atvejais.
4. Svarbu rizika žmonėms, o ne nuostoliai Jūsų įmonei.

Aptikta:  penktadienis   16:40   -> laikas pradedamas skaičiuoti
          šeštadienis            (skaičiuojama)
          sekmadienis            (skaičiuojama)
Vėliausiai pirmadienį   16:40   -> pranešimas VDAI (galimai neišsamus)

Pranešimą teikiate paprastai tik per VDAI interneto svetainėje esantį pranešimo apie duomenų saugumo pažeidimą internetinę formą; skambinti, siųsti el. laišką ar laišką paštu dažniausiai negalima. VDAI turi klausimyną, kuris padeda iš anksto pasiruošti pranešimui. Jame nurodote, be kita ko, kas įvyko, kada, kokie ir kiek duomenų bei asmenų susiję, kokios gali būti pasekmės ir kokių priemonių ėmėtės. Čia atsiperka 8.1 pamokoje minėtas žurnalas.

Kada pranešti, o kada ne: rizikos vertinimas

Jūs įvertinate, kokia tikėtina ir kokia rimta gali būti pasekmė duomenų subjektams. Pagalvokite apie: tapatybės vagystę, finansinę žalą, diskriminaciją, žalą reputacijai ar duomenų kontrolės praradimą. Klausimai, padedantys įvertinti:

Du pavyzdžiai, pasitaikantys dažniausiai:

• Pavogtas užšifruotas nešiojamas kompiuteris, stiprus slaptažodis, raktas nenutekėjo, yra naujausia atsarginė kopija: rizikos greičiausiai nėra. Nereikia pranešti VDAI, tačiau būtina užfiksuoti registre.
• Nulaužta internetinė parduotuvė, užpuolikas gavo el. pašto adresus ir silpnai saugomus slaptažodžius: rizika yra, taigi reikia pranešti. Ir kadangi žmonės dažnai pakartotinai naudoja tą patį slaptažodį (1.4 pamoka), rizika yra didelė: reikia informuoti duomenų subjektus.

Abejojate? Tuomet saugiausias pasirinkimas paprastai yra pranešti. Taip pat ir VDAI pataria abejonių atveju pranešti. Naują informaciją pateikiate vėliau papildomu pranešimu.

Duomenų subjektų informavimas: esant didelei rizikai

34 straipsnis reglamentuoja asmenis, kurių duomenys yra susiję su pažeidimu. Jei pažeidimas greičiausiai kelia didelę riziką, informuojate juos nedelsiant: kaip galima greičiau, atsižvelgiant į aplinkybes. Tam netaikomas 72 valandų terminas, tačiau laukti, kol viskas bus iki galo išsiaiškinta, taip pat nėra tikslas.

Pranešime aiškia kalba nurodoma, kas įvyko, kokios yra tikėtinos pasekmės, ką darote Jūs ir ką gali padaryti jie patys (pavyzdžiui, pakeisti slaptažodį kitur, būti atidiems dėl sukčiavimo bandymų Jūsų vardu, įspėti savo banką), taip pat nurodomas kontaktinis asmuo.

Informuoti nebūtina, jei buvote ėmęsi tinkamų priemonių, dėl kurių duomenys tapo neįskaitomi (pavyzdžiui, gero šifravimo), jei vėliau ėmėtės priemonių, dėl kurių didelė rizika nebėra tikėtina, arba jei tai pareikalautų neproporcingų pastangų: tuomet paskelbiate viešą pranešimą (34 straipsnio 3 dalis).

Atkreipkite dėmesį: po duomenų saugumo pažeidimo dažnai seka sukčiavimo (phishing) bandymai. Nusikaltėliai tuomet žino, kas yra Jūsų klientai, ir siunčia laišką tariamai „nuo Jūsų“. Įspėkite savo klientus ir apie tai.

Duomenų saugumo pažeidimų registras: visada

33 straipsnio 5 dalis įpareigoja Jus užfiksuoti kiekvieną duomenų saugumo pažeidimą, net jei apie jį nepranešate. Užfiksuokite: faktus, pasekmes, priemones ir savo vertinimą (kodėl pranešėte ar nepranešėte, kodėl informavote ar neinformavote). Formą galite pasirinkti patys; VDAI turi pavyzdinį duomenų saugumo pažeidimų registrą. Pakanka paprastos lentelės:

Nr | Aptikta (data/laikas) | Kas įvyko | Kokie duomenys, kiek asmenų
   | Pasekmės | Priemonės | Pranešta VDAI? (taip/ne + kodėl, data)
   | Duomenų subjektai informuoti? (taip/ne + kodėl) | Užbaigta (data)

Registras padeda ir Jums patiems: jei pastebite, kad tris kartus per metus kartojasi „laiškas nusiųstas ne tam gavėjui“, žinosite, ką reikia tobulinti (pavyzdžiui, įvesti siuntimo vėlinimą arba daugiau nebepridėti klientų sąrašų kaip priedų, 7.3 pamoka).

Duomenų saugumo pažeidimas ir Kibernetinio saugumo įstatymas (NIS2 perkėlimas): du skirtingi pranešimai

Jei Jūsų organizacijai taikomas Kibernetinio saugumo įstatymas (NIS2 perkėlimas) (9.1 pamoka), papildomai galioja pareiga pranešti apie reikšmingus incidentus: pirminis įspėjimas per 24 valandas, pranešimas per 72 valandas ir galutinė ataskaita per mėnesį, registruojant per NKSC. Tai yra kitoks pranešimas, su kitu tikslu (paslaugų tęstinumas) ir teikiamas kitai institucijai. Taigi išpirkos reikalaujančios programos ataka gali reikšti pareigą teikti abu pranešimus. Dauguma mažų įmonių nepatenka į Kibernetinio saugumo įstatymo (NIS2 perkėlimas) taikymo sritį; tačiau BDAR nustatyta pareiga pranešti galioja visiems.

Ši pamoka pateikia bendro pobūdžio paaiškinimą ir nėra teisinė konsultacija. Abejonių atveju kreipkitės į VDAI interneto svetainę arba teisininką.

Santrauka

• Duomenų saugumo pažeidimas yra bet koks pažeidimas, dėl kurio asmens duomenys prarandami, pakeičiami arba patenka tiems, kurie neturėtų jų gauti; tai taip pat ir laiškas, nusiųstas ne tam gavėjui, arba pamestas neužšifruotas nešiojamas kompiuteris.
• Pranešimas VDAI: be nepagrįsto delsimo ir, jei įmanoma, per 72 valandas nuo aptikimo, taip pat savaitgaliais, nebent nėra tikėtina, kad kyla rizika. Neišsamus pranešimas yra leidžiamas.
• Duomenų subjektų informavimas: nedelsiant, jei greičiausiai kyla didelė rizika.
• Jei pažeidimas įvyksta pas Jūsų duomenų tvarkytoją, jis privalo Jus informuoti; sprendimą dėl pranešimo priimate Jūs.
• Kiekvieną duomenų saugumo pažeidimą užfiksuokite savo registre kartu su savo vertinimu.

Testas (quiz)

Užduotis

Užduotis A8.2: Apskaičiuokite terminą. Pateikiami keturi aptikimo momentai. Prie kiekvieno momento įrašykite galutinę pranešimo VDAI datą ir laiką. Programa patikrins atsakymus.

Užduotis A8.2b: Pranešti ar ne? Pateikiami aštuoni trumpi atvejai. Prie kiekvieno atvejo pasirinkite, ar reikia pranešti VDAI, ar reikia informuoti duomenų subjektus ir ar tai reikia įrašyti į duomenų saugumo pažeidimų registrą. Programa patikrins atsakymus ir pateiks paaiškinimą prie kiekvieno atvejo.

Papildomai paskaitykite

WebOké straipsniuose aprašyti veiksmai galioja WebOké aplinkai; pas kitus paslaugų teikėjus procesas yra panašus.

• Pagalba! Mano svetainė nulaužta. Kaip tai išspręsti ir užkirsti kelią?
• Valstybinė duomenų apsaugos inspekcija (VDAI), pavyzdinis duomenų saugumo pažeidimų registras: https://www.autoriteitpersoonsgegevens.nl/documenten/voorbeeld-datalekregister
• Valstybinė duomenų apsaugos inspekcija (VDAI), pareiga pranešti apie duomenų saugumo pažeidimus: https://www.autoriteitpersoonsgegevens.nl/nl/onderwerpen/beveiliging/meldplicht-datalekken
• Valstybinė duomenų apsaugos inspekcija (VDAI), klausimynas pranešimo apie duomenų saugumo pažeidimą formai: https://www.autoriteitpersoonsgegevens.nl/documenten/vragenlijst-meldformulier-datalekken
• BDAR (Reglamentas (ES) 2016/679), 4, 33 ir 34 straipsniai: https://eur-lex.europa.eu/eli/reg/2016/679/oj
• Nyderlandų NKSC, pranešimas apie duomenų saugumo pažeidimą: https://www.ncsc.nl/wet-en-regelgeving/melden-van-een-datalek