Витік персональних даних: що зробити в перші 72 години і яку роль має відповідальна особа

Бухгалтерка помилково надсилає зовнішньому постачальникові відомості про зарплату всіх працівників. У торгового представника з авто крадуть незашифрований ноутбук зі списком клієнтів. Інтернет-магазин уранці виявляє, що зловмисник завантажив базу даних клієнтів. У всіх трьох випадках ідеться про порушення захисту персональних даних, і в усіх трьох починає спливати строк, який GDPR дає контролеру на реакцію. Рішення, ухвалені в перші години, потім визначають, як на інцидент подивиться орган і ті, кого це стосується.

Що таке порушення захисту персональних даних

GDPR визначає його широко: це порушення безпеки, що призводить до випадкового або незаконного знищення, втрати, зміни чи неправомірного надання персональних даних або до неправомірного доступу до них (ст. 4 п. 12). Не обов’язково має йтися про хакерську атаку. Хибно адресований лист, загублений USB-носій чи помилково опублікований документ є порушенням так само, як і витік бази даних.

Повідомлення органу

Основний обов’язок звучить так:

У разі порушення захисту персональних даних контролер без невиправданої затримки і, за можливості, не пізніше ніж за 72 години після того, як він дізнався про цю обставину, повідомляє про порушення захисту персональних даних наглядовий орган, компетентний відповідно до статті 55, крім випадків, коли є малоймовірним, що порушення захисту персональних даних призведе до ризику для прав і свобод фізичних осіб. Якщо повідомлення не було подано наглядовому органу протягом 72 годин, до нього додається обґрунтування затримки.

— ст. 33 ч. 1 Регламенту (ЄС) 2016/679 (GDPR)

Для компанії, що діє лише у Словаччині, компетентним органом є Орган із захисту персональних даних Словацької Республіки. З тексту випливають три практичні речі. Перша — строк спливає від моменту, коли про порушення дізнався контролер, а не від його повного розслідування. Друга — повідомлення не потрібно подавати, якщо порушення ймовірно не призведе до ризику для людей; однак ця оцінка має бути обґрунтованою та записаною. Третя — повідомлення може надійти й поетапно, якщо вся інформація не доступна одразу (ст. 33 ч. 4).

Повідомлення містить насамперед опис характеру порушення, включно з категоріями та приблизною кількістю суб’єктів даних і записів, контакт відповідальної особи або іншого контактного пункту, опис ймовірних наслідків та вжитих чи запропонованих заходів (ст. 33 ч. 3). Кожне порушення, навіть те, про яке не повідомляють, контролер має задокументувати так, щоб орган міг пізніше перевірити, що він діяв правильно (ст. 33 ч. 5).

Якщо порушення стається в оператора, наприклад у постачальника хмарних послуг чи агенції з нарахування зарплати, оператор повинен повідомити контролера про порушення без невиправданої затримки (ст. 33 ч. 2). Оскільки строк контролера спливає лише від його обізнаності, варто в договорі з оператором домовитися про конкретний короткий строк і зміст повідомлення.

Інформування тих, кого це стосується

Якщо порушення ймовірно призведе до високого ризику для прав і свобод людей, контролер повідомляє про нього без невиправданої затримки також їх. Повідомлення чітко й просто описує характер порушення і містить щонайменше контакт відповідальної особи, ймовірні наслідки та вжиті чи запропоновані заходи (ст. 34 ч. 1 і 2). Обов’язок відпадає, якщо дані були захищені, наприклад шифруванням, якщо наступні заходи усунули високий ризик або якщо індивідуальне повідомлення вимагало б непропорційних зусиль; тоді настає інформування громадськості (ст. 34 ч. 3). Орган може також розпорядитися про інформування суб’єктів даних (ст. 34 ч. 4). Зашифрований ноутбук, отже, може означати лише запис до обліку інцидентів, а незашифрований зі списком клієнтів та їхніми особистими ідентифікаційними номерами (rodné číslo) може призвести до обов’язку поінформувати кожного з них.

Роль відповідальної особи

Якщо компанія має відповідальну особу, вона є природним координатором під час інциденту. Вона співпрацює з наглядовим органом і є його контактним пунктом (ст. 39 ч. 1 літ. d) і e)), її контакт зазначають безпосередньо в повідомленні, а суб’єкти даних можуть звертатися до неї з усіма питаннями опрацювання (ст. 38 ч. 4). Відповідальна особа оцінить ризик і підготує матеріали, а також текст повідомлення; однак рішення про повідомлення та відповідальність за нього залишаються за контролером. Компанія без відповідальної особи потребує наперед визначити, хто перебере цю роль у перші години.

Коли йдеться також про кіберінцидент

Оператор основної послуги відповідно до закону про кібербезпеку повідомляє про значний інцидент кібербезпеки окремою процедурою: раннє попередження щонайпізніше протягом 24 годин і повідомлення зазвичай щонайпізніше протягом 72 годин від його виявлення (§ 24 ч. 3 закону № 69/2018 Z. z.). Це повідомлення регулюється іншим приписом, і GDPR його не врегульовує, тож якщо інцидент зачепив також персональні дані, обидва обов’язки треба оцінити окремо. Порядок дій під час кібератаки описує відповідь кому і в який строк повідомляти про кіберінцидент, а зв’язки з договорами з IT-постачальниками — стаття NIS2 не закінчується реєстрацією.

Порядок дій стисло

1. Інцидент зупинити та забезпечити докази, без видалення записів.
2. Записати час, коли компанія дізналася про порушення, і почати вести запис про порядок дій.
3. Оцінити, яких даних і скількох людей це стосується і який ризик із цього для них випливає.
4. Вирішити про повідомлення органу, а за високого ризику також суб’єктам даних, і рішення обґрунтувати.
5. Вжити заходів для усунення недоліків і задокументувати їх.

Як орган обчислює штраф за порушення і чому саме́ обов’язкове повідомлення оцінюється нейтрально, пояснює відповідь за якими правилами орган розраховує штраф за GDPR. План реагування на інциденти, договори з операторами та зразки повідомлень ми підготуємо в межах послуги GDPR і захист персональних даних. Якщо ви хочете мати під час інциденту поруч когось, хто перебере координацію та комунікацію з органом, перегляньте послугу відповідальна особа (DPO) як послуга.