Ar tai yra duomenų saugumo pažeidimas ir ar turiu apie tai pranešti?
Kaip verslininkas, Jūs esate atsakingas už savo klientų ir darbuotojų asmens duomenis. BDAR pagal tai vadinama duomenų valdytoju. Čia sužinosite, kada kažkas yra duomenų saugumo pažeidimas, kada apie jį reikia pranešti ir ką reikia daryti nedelsiant. Tai bendras paaiškinimas, o ne teisinė konsultacija: jei abejojate, apsilankykite Valstybinės duomenų apsaugos inspekcijos (VDAI) svetainėje arba kreipkitės į teisininką.
Kas yra duomenų saugumo pažeidimas?
Pagal BDAR, Europos privatumo įstatymą, tai saugumo pažeidimas, dėl kurio asmens duomenys prarandami, sunaikinami, pakeičiami arba patenka asmeniui, kuris neturėtų jų gauti (4 straipsnio 12 punktas). Asmens duomenys yra duomenys apie atpažįstamą asmenį, pavyzdžiui, vardas, pavardė, el. pašto adresas, adresas ar užsakymų istorija. Tai nereiškia, kad kalbama tik apie įsilaužėlius. Pavyzdžiai:
- laiškas arba priedas su asmens duomenimis, išsiųstas netinkamam gavėjui;
- pamestas arba pavogtas nešiojamasis kompiuteris, telefonas ar USB raktas su neužšifruotais asmens duomenimis;
- nulaužta pašto dėžutė, kurioje yra sąskaitos, pasiūlymai ar paraiškos dėl darbo;
- svetainė ar internetinė parduotuvė, iš kurios pavogti klientų duomenys;
- išpirkos reikalaujanti programinė įranga (ransomware), dėl kurios nebegalite pasiekti klientų duomenų bazės, net jei niekas nebuvo nukopijuota.
Pirmieji žingsniai
- Sustabdykite pažeidimą. Paprašykite netinkamo gavėjo ištrinti laišką ir tai patvirtinti. Pakeiskite perimtos pašto dėžutės slaptažodį iš įrenginio, kuriuo pasitikite (žr. Saugūs slaptažodžiai ir ką daryti, jei slaptažodis nutekėjo).
- Nustatykite, kas atsitiko. Kokia priežastis, kada tai prasidėjo, kokie tai duomenys, kiek žmonių jie liečia, kas gali juos pasiekti ir ar duomenys buvo užšifruoti? Viską užsirašykite, nurodydami datą ir laiką.
- Įvertinkite riziką asmenims, kurių duomenys yra paveikti (žr. žemiau).
- Praneškite VDAI, jei tai būtina, per 72 valandas.
- Informuokite susijusius asmenis, jei jiems kyla didelė rizika.
- Užregistruokite tai duomenų saugumo pažeidimų registre. Tai darote visada.
Ar turiu pranešti Valstybinei duomenų apsaugos inspekcijai?
Apie duomenų saugumo pažeidimą pranešate be nepagrįsto delsimo ir, jei įmanoma, per 72 valandas nuo jo aptikimo. To daryti nereikia, jei pažeidimas greičiausiai nekelia rizikos asmenims, kurių duomenys yra paveikti (BDAR 33 straipsnis).
- Laikas skaičiuojamas nuo tada, kai sužinote, o ne nuo tada, kai įvyko pažeidimas. Savaitgalis taip pat įskaičiuojamas: jei pažeidimą aptinkate penktadienį 16:40 val., praneimą turite pateikti ne vėliau kaip pirmadienį 16:40 val.
- Nepilnas pranešimas yra leidžiamas. Jei po 72 valandų dar nežinote visko, praneškite tai, ką žinote, ir vėliau papildykite pranešimą.
- Tik internetu. Pranešimą teikiate naudodami VDAI pranešimo formą, o ne telefonu, el. paštu ar paštu. VDAI klausimyną galite naudoti pranešimui parengti.
- Abejojate? VDAI rekomenduoja tokiu atveju vis tiek pranešti.
Šie klausimai padės priimti sprendimą:
| Klausimas | Mažesnė rizika | Didesnė rizika |
|---|---|---|
| Kokie duomenys? | Tik verslo kontaktiniai duomenys | Asmens kodas, tapatybės dokumento kopija, banko duomenys, slaptažodžiai, medicininiai duomenys, vaikų duomenys |
| Kiek žmonių paveikta? | Vienas ar keli | Daug |
| Ar įskaitoma tam, kas turi duomenis? | Gerai užšifruota, raktas nenutekėjo | Įskaitoma, arba slaptažodis taip pat nutekėjo |
| Kas turi duomenis? | Žinomas gavėjas, kuris patvirtina, kad duomenis ištrynė | Nežinomas asmuo, nusikaltėlis arba duomenys viešai prieinami internete |
Pavyzdys: jei pavagiamas gerai užšifruotas nešiojamasis kompiuteris, rizikos greičiausiai nėra. Tokiu atveju pranešti nebūtina, tačiau vis tiek įrašykite tai į registrą. Jei kompiuteris neužšifruotas, radėjas gali perskaityti viską, todėl rizika paprastai yra.
Kada informuoti susijusius asmenis?
Jei pažeidimas greičiausiai kelia didelę riziką asmenims, kurių duomenys yra paveikti, informuokite juos nedelsiant (BDAR 34 straipsnis). Paprasta kalba paaiškinkite, kas atsitiko, kokios gali būti pasekmės, ką Jūs darote ir ką jie patys gali padaryti, pavyzdžiui, pakeisti slaptažodį arba atidžiau sekti apgaulingus (phishing) pranešimus, siunčiamus Jūsų vardu.
To daryti nereikia, jei duomenys dėl gero šifravimo buvo neįskaitomi, arba jei vėliau ėmėtės priemonių, dėl kurių didelė rizika nebėra tikėtina. Jei visiems susijusiems asmenims pranešti reikalautų neproporcingų pastangų, paskelbkite viešą pranešimą.
Duomenų saugumo pažeidimų registras: visada pildykite
Kiekvieną duomenų saugumo pažeidimą užregistruokite, net jei apie jį nepranešate (33 straipsnio 5 dalis). Užrašykite faktus, pasekmes, priemones ir savo vertinimą: kodėl pranešėte arba nepranešėte ir kodėl susijusius asmenis informavote arba neinformavote. VDAI turi pavyzdinį duomenų saugumo pažeidimų registrą.
O jei pažeidimas įvyko pas tiekėją?
Jūsų prieglobos paslaugų teikėjas, debesijoje veikianti apskaitos programa ar naujienlaiškio paslauga pagal BDAR yra duomenų tvarkytojas: šalis, kuri tvarko asmens duomenis Jūsų pavedimu. Duomenų tvarkytojas privalo informuoti Jus be nepagrįsto delsimo, kai aptinka duomenų saugumo pažeidimą (33 straipsnio 2 dalis). Po to Jūs įvertinate, ar reikia pranešti, ir iš principo patys pateikiate pranešimą.
Tai galioja ir tuo atveju, kai WebOké yra Jūsų duomenų tvarkytojas. Manote, kad pažeidimas įvyko pas mus, pavyzdžiui, mūsų serveriuose? Nedelsdami susisiekite su mumis sukurdami užklausą Pagalbos centre, nurodydami, ką pastebėjote ir kada.
Skaitykite daugiau
- WebOké atsarginės kopijos: atsarginės kopijos peržiūra, atkūrimas ar atsisiuntimas
- Valstybinė duomenų apsaugos inspekcija: pranešti ar ne
- Valstybinė duomenų apsaugos inspekcija: kaip pranešti apie duomenų saugumo pažeidimą
- Valstybinė duomenų apsaugos inspekcija: pranešimo formos klausimynas
- Valstybinė duomenų apsaugos inspekcija: pavyzdinis duomenų saugumo pažeidimų registras
- BDAR, 4, 33 ir 34 straipsniai (EUR-Lex)