Porušenie ochrany osobných údajov

Čo to znamená

Porušenie ochrany osobných údajov nie je len útok zvonku. Podľa GDPR je ním každé narušenie bezpečnosti, ktoré vedie k zničeniu, strate, zmene alebo neoprávnenému sprístupneniu údajov: aj stratený notebook, aj mzdová listina poslaná nesprávnemu adresátovi.

Rozlišujú sa tri následky: strata dôvernosti, narušenie integrity a strata dostupnosti údajov. Zašifrovaný disk, ktorý sa stratí, je stále incident, no riziko pre ľudí je nízke, a práve od miery rizika závisí, čo musí firma urobiť ďalej.

Nie každé porušenie GDPR je porušením ochrany údajov v tomto zmysle. Spracúvanie bez právneho základu alebo uchovávanie údajov dlhšie, než je potrebné, je nezákonné, ale nejde o bezpečnostný incident a neoznamuje sa v lehote pre incidenty. Rieši sa inak, napríklad výmazom a nápravou postupov.

Ako to funguje v praxi

Prevádzkovateľ posúdi riziko a pri pravdepodobnom riziku pre práva dotknutých osôb oznámi porušenie Úradu na ochranu osobných údajov SR bez zbytočného odkladu, spravidla do 72 hodín od zistenia. Pri vysokom riziku informuje aj samotných ľudí.

Každé porušenie sa zapisuje do internej evidencie incidentov aj vtedy, keď sa neoznamuje, podobne ako sa vedie záznam o spracovateľských činnostiach. Ak údaje spracúva dodávateľ, hlási incident prevádzkovateľovi podľa spracovateľskej zmluvy, posúdenie však robí prevádzkovateľ.

Keď sa výplatná páska dostane k nesprávnemu človeku, prvé kroky sú praktické: požiadať príjemcu o vymazanie a potvrdenie, zmeniť heslá, odobrať prístupy, ktoré už nemajú existovať, a všetko zapísať s časom. Až z tohto zápisu sa dá rozumne posúdiť riziko a rozhodnúť, či sa incident oznamuje.

Na čo si dať pozor

Najdrahšie nebýva samotné pochybenie, ale mlčanie o ňom. Mzdová listina poslaná cudziemu človeku sa vyhlási za internú vec, nikam sa nezapíše a keď sa zamestnanec sťažuje úradu, sankcia prichádza za chýbajúci záznam a zmeškané oznámenie, nie za ten e-mail.

Bez audit logu firma nevie povedať, ku ktorým údajom sa útočník dostal, a musí vychádzať z najhoršieho možného rozsahu. Namiesto oznámenia o jednej schránke tak informuje všetkých zákazníkov, čo stojí čas, dôveru aj peniaze, hoci skutočný únik mohol byť malý.