Нарушение защиты персональных данных

Что это значит

Нарушение защиты персональных данных - это не только атака извне. По GDPR им считается любой сбой безопасности, приводящий к уничтожению, утрате, изменению или неправомерному раскрытию данных: и потерянный ноутбук, и зарплатная ведомость, ушедшая не тому адресату.

Последствия бывают трёх видов: утрата конфиденциальности, нарушение целостности и потеря доступности данных. Потерянный зашифрованный диск остаётся инцидентом, но риск для людей невелик, а именно от уровня риска зависят дальнейшие шаги компании.

Не всякое нарушение GDPR является нарушением защиты данных в этом смысле. Обработка без правового основания или хранение данных дольше необходимого незаконны, но это не инцидент безопасности, и его не сообщают в срок, установленный для инцидентов. Решают это иначе, например удалением данных и исправлением процедур.

Как это работает на практике

Контролёр оценивает риск и при вероятном риске для прав людей уведомляет Управление по защите персональных данных СР без неоправданной задержки, как правило в течение 72 часов с момента обнаружения. При высоком риске сообщают и самим субъектам данных.

Каждое нарушение заносят во внутренний журнал инцидентов, даже когда его не сообщают регулятору, - так же как ведут реестр операций обработки. Если данные обрабатывает подрядчик, он сообщает об инциденте контролёру по договору об обработке, но оценку делает контролёр.

Когда расчётный листок попадает не к тому человеку, первые шаги практические: попросить получателя удалить его и подтвердить это, сменить пароли, отозвать доступы, которых уже не должно быть, и всё записать с указанием времени. Только по этой записи можно разумно оценить риск и решить, уведомлять ли об инциденте.

На что обратить внимание

Дороже всего обходится не сама оплошность, а молчание о ней. Зарплатную ведомость, ушедшую постороннему, объявляют внутренним делом и никуда не записывают, а когда работник жалуется регулятору, санкция приходит за отсутствие записи и пропущенное уведомление, а не за письмо.

Без журнала аудита компания не может сказать, к каким данным добрался злоумышленник, и должна исходить из худшего возможного объёма. Вместо уведомления об одном почтовом ящике она извещает всех клиентов, что стоит времени, доверия и денег, хотя реальная утечка могла быть небольшой.