Порушення захисту персональних даних

Що це означає

Порушення захисту персональних даних - це не лише атака ззовні. За GDPR ним вважають будь-який збій безпеки, що веде до знищення, втрати, зміни чи неправомірного розкриття даних: і загублений ноутбук, і зарплатну відомість, надіслану не тому адресатові.

Наслідки бувають трьох видів: втрата конфіденційності, порушення цілісності та втрата доступності даних. Загублений зашифрований диск лишається інцидентом, але ризик для людей невеликий, а саме від рівня ризику залежать подальші кроки компанії.

Не кожне порушення GDPR є порушенням захисту даних у цьому сенсі. Обробка без правової підстави чи зберігання даних довше, ніж потрібно, незаконні, але це не інцидент безпеки, і про нього не повідомляють у строк, установлений для інцидентів. Вирішують це інакше, наприклад видаленням даних і виправленням процедур.

Як це працює на практиці

Контролер оцінює ризик і за ймовірного ризику для прав людей повідомляє Управління із захисту персональних даних СР без невиправданої затримки, зазвичай протягом 72 годин від виявлення. За високого ризику сповіщають і самих суб’єктів даних.

Кожне порушення заносять до внутрішнього журналу інцидентів, навіть коли його не повідомляють регулятору, - так само як ведуть реєстр операцій обробки. Якщо дані обробляє підрядник, він повідомляє контролера за договором про обробку, але оцінку робить контролер.

Коли розрахунковий листок потрапляє не до тієї людини, перші кроки практичні: попросити отримувача видалити його і підтвердити це, змінити паролі, відкликати доступи, яких уже не має бути, і все записати із зазначенням часу. Лише за цим записом можна розумно оцінити ризик і вирішити, чи повідомляти про інцидент.

На що звернути увагу

Найдорожче коштує не сама похибка, а мовчання про неї. Зарплатну відомість, що пішла сторонній людині, оголошують внутрішньою справою і нікуди не записують, а коли працівник скаржиться регулятору, санкція приходить за відсутність запису і пропущене повідомлення, а не за лист.

Без журналу аудиту компанія не може сказати, до яких даних дістався зловмисник, і мусить виходити з найгіршого можливого обсягу. Замість повідомлення про одну поштову скриньку вона сповіщає всіх клієнтів, що коштує часу, довіри і грошей, хоча справжній витік міг бути невеликим.