Ar tai duomenų nutekėjimas ir ar turiu apie jį pranešti?
Kaip verslininkas, Jūs atsakote už savo klientų ir darbuotojų asmens duomenis. BDAR Jūs vadinamas duomenų valdytoju. Čia sužinosite, kada įvykis yra duomenų saugumo pažeidimas, kada apie jį reikia pranešti ir ką daryti nedelsiant. Tai bendro pobūdžio paaiškinimas, o ne teisinė konsultacija. Jei abejojate, apsilankykite Nyderlandų duomenų apsaugos priežiūros institucijos Autoriteit Persoonsgegevens (AP) svetainėje arba kreipkitės į teisininką.
Kas yra duomenų saugumo pažeidimas?
Pagal BDAR, Europos privatumo įstatymą, tai saugumo pažeidimas, dėl kurio asmens duomenys prarandami, sunaikinami ar pakeičiami arba patenka asmeniui, kuris neturi teisės jų matyti (4 straipsnio 12 punktas). Asmens duomenys yra informacija apie atpažįstamą asmenį, pavyzdžiui, vardas, el. pašto adresas, adresas ar užsakymų istorija. Taigi kalbama ne tik apie įsilaužėlius. Pavyzdžiai:
- laiškas ar priedas su asmens duomenimis, išsiųstas ne tam gavėjui;
- pamestas ar pavogtas nešiojamasis kompiuteris, telefonas ar USB atmintinė su nešifruotais asmens duomenimis;
- nulaužta pašto dėžutė, kurioje yra sąskaitos faktūros, komerciniai pasiūlymai ar motyvaciniai laiškai;
- svetainė ar internetinė parduotuvė, iš kurios pavogti klientų duomenys;
- išpirkos reikalaujanti programa (ransomware), dėl kurios nebegalite pasiekti savo klientų duomenų, net jei niekas nebuvo nukopijuota.
Pirmieji žingsniai
- Sustabdykite nutekėjimą. Paprašykite klaidingo gavėjo ištrinti laišką ir tai patvirtinti. Perimtos pašto dėžutės slaptažodį pakeiskite iš įrenginio, kuriuo pasitikite (žr. Saugūs slaptažodžiai ir ką daryti nutekėjus slaptažodžiui).
- Išsiaiškinkite, kas nutiko. Kokia priežastis, kada tai prasidėjo, kokie tai duomenys, kiek žmonių jie liečia, kas juos gali pasiekti ir ar duomenys buvo šifruoti? Viską užsirašykite, nurodydami datą ir laiką.
- Įvertinkite riziką žmonėms, kurių duomenys nutekėjo (žr. toliau).
- Praneškite AP, jei to reikia, per 72 valandas.
- Informuokite duomenų subjektus, jei jiems kyla didelė rizika.
- Įrašykite įvykį į savo duomenų saugumo pažeidimų registrą. Tai darote visada.
Ar turiu pranešti Autoriteit Persoonsgegevens?
Apie duomenų saugumo pažeidimą pranešate be nepagrįsto delsimo ir, jei įmanoma, per 72 valandas nuo tada, kai apie jį sužinojote. To daryti nereikia, jei pažeidimas greičiausiai nekelia rizikos žmonėms, kurių duomenys nutekėjo (BDAR 33 straipsnis).
- Laikas skaičiuojamas nuo tada, kai sužinote, o ne nuo pažeidimo momento. Savaitgalis taip pat įskaičiuojamas: jei sužinojote penktadienį 16:40, pranešti turite ne vėliau kaip pirmadienį 16:40.
- Galima pranešti ir nepilnai. Jei po 72 valandų dar ne viską žinote, praneškite tai, ką žinote, o pranešimą papildykite vėliau.
- Tik internetu. Pranešate per AP pranešimo formą, o ne telefonu, el. paštu ar paštu. Pranešimą galite pasirengti naudodamiesi AP klausimynu.
- Abejojate? AP rekomenduoja tokiu atveju vis tiek pranešti.
Šie klausimai padės įvertinti situaciją:
| Klausimas | Mažesnė rizika | Didesnė rizika |
|---|---|---|
| Kokie duomenys? | Tik verslo kontaktiniai duomenys | Asmens kodas, asmens dokumento kopija, banko duomenys, slaptažodžiai, sveikatos duomenys, vaikų duomenys |
| Kiek žmonių? | Vienas ar keli | Daug |
| Ar juos gali perskaityti tas, kas juos turi? | Patikimai užšifruoti, raktas nenutekėjo | Perskaitomi arba nutekėjo ir slaptažodis |
| Kas juos turi? | Žinomas gavėjas, kuris patvirtina, kad juos ištrynė | Nežinomas asmuo, nusikaltėlis arba duomenys viešai paskelbti internete |
Pavyzdys: jei pavagiamas patikimai užšifruotas nešiojamasis kompiuteris, rizikos greičiausiai nėra. Tada pranešti nereikia, tačiau įvykį vis tiek įrašote į registrą. Nešifruotame kompiuteryje radėjas gali perskaityti viską, tad tokiu atveju rizika paprastai yra.
Kada informuoti duomenų subjektus?
Jei pažeidimas greičiausiai kelia didelę riziką žmonėms, kurių duomenys nutekėjo, juos informuojate nedelsdami (BDAR 34 straipsnis). Paprasta kalba papasakokite, kas nutiko, kokios gali būti pasekmės, ką darote Jūs ir ką jie gali padaryti patys, pavyzdžiui, pakeisti slaptažodį ar būti ypač budrūs dėl sukčiavimo laiškų Jūsų vardu.
To daryti nereikia, jei dėl patikimo šifravimo duomenys buvo neperskaitomi arba jei vėliau ėmėtės priemonių, dėl kurių didelė rizika nebėra tikėtina. Jei susisiekti su visais pareikalautų neproporcingų pastangų, paskelbiate viešą pranešimą.
Duomenų saugumo pažeidimų registras: pildykite visada
Kiekvieną duomenų saugumo pažeidimą užregistruojate, net jei apie jį nepranešate (33 straipsnio 5 dalis). Užrašykite faktus, pasekmes, priemones ir savo vertinimą: kodėl pranešėte ar nepranešėte ir kodėl informavote ar neinformavote duomenų subjektų. AP turi duomenų saugumo pažeidimų registro pavyzdį.
O jei pažeidimas įvyko pas tiekėją?
Jūsų prieglobos paslaugų teikėjas, debesijos buhalterinės apskaitos programa ar naujienlaiškių paslauga pagal BDAR yra duomenų tvarkytojas: šalis, kuri tvarko asmens duomenis Jūsų pavedimu. Duomenų tvarkytojas, sužinojęs apie duomenų saugumo pažeidimą, turi Jus informuoti be nepagrįsto delsimo (33 straipsnio 2 dalis). Tada Jūs įvertinate, ar reikia pranešti, ir iš principo pranešate patys.
Tai galioja ir tuo atveju, kai Jūsų duomenų tvarkytojas yra WebOké. Susiję susitarimai išdėstyti mūsų duomenų tvarkymo sutartyje, žr. Duomenų tvarkymo sutartis: kur ją rasti? Manote, kad pažeidimas įvyko pas mus, pavyzdžiui, mūsų serveriuose? Tuomet nedelsdami susisiekite su mumis pateikdami užklausą Pagalbos centre ir nurodykite, ką pastebėjote ir kada.
Skaitykite toliau
- WebOké Backups: atsarginės kopijos peržiūra, atkūrimas ar atsisiuntimas
- Autoriteit Persoonsgegevens: pranešti ar nepranešti
- Autoriteit Persoonsgegevens: kaip pranešti apie duomenų saugumo pažeidimą
- Autoriteit Persoonsgegevens: pranešimo formos klausimynas
- Autoriteit Persoonsgegevens: duomenų saugumo pažeidimų registro pavyzdys
- BDAR, 4, 33 ir 34 straipsniai (EUR-Lex)
Norite sužinoti daugiau? Išklausykite nemokamą kursą „Saugiai internete verslininkams“, pamoką 8.2 Duomenų saugumo pažeidimai ir pareiga pranešti.