Este aceasta o breșă de date și trebuie să o raportez?

În calitate de antreprenor, sunteți responsabil pentru datele cu caracter personal ale clienților și angajaților dumneavoastră. În GDPR sunteți numit operator. Aici aflați când un incident este o breșă de date, când trebuie să îl notificați și ce faceți imediat. Aceasta este o explicație generală și nu reprezintă consultanță juridică. Dacă aveți îndoieli, consultați site-ul Autorității olandeze pentru protecția datelor (AP) sau adresați-vă unui jurist.

Ce este o breșă de date?

Potrivit GDPR, legea europeană privind protecția datelor, este o încălcare a securității care duce la pierderea, distrugerea sau modificarea datelor cu caracter personal ori la ajungerea lor la cineva care nu are dreptul de acces (articolul 4 punctul 12). Datele cu caracter personal sunt informații despre o persoană identificabilă, cum ar fi un nume, o adresă de e-mail, o adresă poștală sau un istoric de comenzi. Așadar, nu este vorba doar despre hackeri. Exemple:

• un e-mail sau un atașament cu date cu caracter personal trimis destinatarului greșit;
• un laptop, un telefon sau un stick USB pierdut sau furat, cu date cu caracter personal necriptate;
• o căsuță de e-mail compromisă care conține facturi, oferte sau scrisori de intenție;
• un site web sau un magazin online din care au fost furate datele clienților;
• un atac ransomware din cauza căruia nu mai aveți acces la evidența clienților, chiar dacă nu a fost copiat nimic.

Primii pași

1. Opriți breșa. Rugați destinatarul greșit să șteargă e-mailul și să confirme acest lucru. Schimbați parola unei căsuțe de e-mail compromise de pe un dispozitiv în care aveți încredere (consultați Parole sigure și ce faceți în cazul unei parole compromise).
2. Stabiliți ce s-a întâmplat. Care este cauza, când a început, despre ce date este vorba, câte persoane sunt afectate, cine are acces la ele și dacă datele erau criptate? Notați totul, cu data și ora.
3. Evaluați riscul pentru persoanele ale căror date sunt implicate (vedeți mai jos).
4. Notificați AP, dacă este necesar, în termen de 72 de ore.
5. Informați persoanele vizate dacă riscul pentru acestea este ridicat.
6. Înregistrați incidentul în registrul breșelor de date. Acest lucru îl faceți întotdeauna.

Trebuie să notific Autoritatea olandeză pentru protecția datelor?

Notificați o breșă de date fără întârzieri nejustificate și, dacă este posibil, în termen de 72 de ore de la momentul în care ați descoperit-o. Nu este necesar dacă este puțin probabil ca breșa să genereze un risc pentru persoanele ale căror date sunt implicate (articolul 33 GDPR).

• Termenul începe să curgă din momentul în care aflați, nu din momentul producerii breșei. Weekendul se ia în calcul: dacă o descoperiți vineri la 16:40, notificați cel târziu luni la 16:40.
• Notificarea incompletă este permisă. Dacă după 72 de ore încă nu știți totul, notificați cu informațiile pe care le aveți și completați notificarea ulterior.
• Doar online. Notificați prin formularul de notificare al AP, nu prin telefon, e-mail sau poștă. Cu ajutorul chestionarului AP vă pregătiți notificarea.
• Aveți îndoieli? În acest caz, AP recomandă să notificați totuși.

Aceste întrebări vă ajută în evaluare:

Un exemplu: dacă este furat un laptop bine criptat, probabil nu există niciun risc. În acest caz nu este necesar să notificați, dar înregistrați totuși incidentul în registru. Pe un laptop necriptat, cel care îl găsește poate citi totul; atunci există de regulă un risc.

Când informați persoanele vizate?

Dacă breșa este susceptibilă să genereze un risc ridicat pentru persoanele ale căror date sunt implicate, le informați fără întârziere (articolul 34 GDPR). Explicați într-un limbaj simplu ce s-a întâmplat, care pot fi consecințele, ce faceți dumneavoastră și ce pot face ele, de exemplu să își schimbe parola sau să fie mai atente la mesajele de phishing trimise în numele dumneavoastră.

Acest lucru nu este necesar dacă datele erau ilizibile datorită unei criptări bune sau dacă ulterior ați luat măsuri prin care riscul ridicat nu mai este probabil. Dacă informarea fiecărei persoane ar necesita un efort disproporționat, faceți o comunicare publică.

Registrul breșelor de date: întotdeauna actualizat

Fiecare breșă de date o înregistrați, chiar dacă nu o notificați (articolul 33 alineatul (5)). Notați faptele, consecințele, măsurile luate și evaluarea dumneavoastră: de ce ați notificat sau nu și de ce ați informat sau nu persoanele vizate. AP pune la dispoziție un model de registru al breșelor de date.

Și dacă breșa se află la un furnizor?

Furnizorul dumneavoastră de hosting, programul de contabilitate în cloud sau serviciul de newsletter este, potrivit GDPR, o persoană împuternicită de operator: o parte care prelucrează date cu caracter personal în numele dumneavoastră. O persoană împuternicită trebuie să vă informeze fără întârzieri nejustificate dacă descoperă o breșă de date (articolul 33 alineatul (2)). Apoi dumneavoastră evaluați dacă trebuie să notificați și, în principiu, notificați tot dumneavoastră.

Acest lucru este valabil și atunci când WebOké este persoana împuternicită de dumneavoastră. Înțelegerile în acest sens sunt prevăzute în acordul nostru de prelucrare a datelor, consultați Acordul de prelucrare a datelor: unde îl găsesc? Credeți că breșa se află la noi, de exemplu pe serverele noastre? Contactați-ne imediat printr-un tichet în Centrul de suport, precizând ce ați observat și când.

Lecturi suplimentare

• WebOké Backups: vizualizarea, restaurarea sau descărcarea unui backup
• Autoritatea olandeză pentru protecția datelor: notificați sau nu
• Autoritatea olandeză pentru protecția datelor: cum notificați o breșă de date
• Autoritatea olandeză pentru protecția datelor: chestionarul formularului de notificare
• Autoritatea olandeză pentru protecția datelor: model de registru al breșelor de date
• GDPR, articolele 4, 33 și 34 (EUR-Lex)

Doriți să aflați mai multe? Urmați cursul gratuit Siguranță online pentru antreprenori, lecția 8.2 Breșele de date și obligația de notificare.