Ali gre za uhajanje podatkov in ali ga moram prijaviti?
Kot podjetnik ste odgovorni za osebne podatke svojih strank in zaposlenih. GDPR Vas v tem primeru imenuje upravljavec. Tukaj preberete, kdaj gre za kršitev varstva osebnih podatkov, kdaj jo morate prijaviti in kaj storite takoj. To je splošna razlaga in ne pravni nasvet; če ste v dvomih, preverite spletno stran nizozemskega nadzornega organa Autoriteit Persoonsgegevens (AP) ali se posvetujte s pravnikom.
Kaj je kršitev varstva osebnih podatkov?
Po GDPR, evropski uredbi o varstvu podatkov, je to kršitev varnosti, zaradi katere se osebni podatki izgubijo, uničijo ali spremenijo ali pa pridejo do nekoga, ki do njih nima pravice dostopa (člen 4, točka 12). Osebni podatki so podatki o osebi, ki jo je mogoče prepoznati, na primer ime, e-poštni naslov, naslov ali zgodovina naročil. Torej ne gre le za hekerje. Primeri:
- e-poštno sporočilo ali priponka z osebnimi podatki, ki pride do napačnega prejemnika;
- izgubljen ali ukraden prenosnik, telefon ali USB-ključek z osebnimi podatki, ki niso bili šifrirani;
- vdrt poštni predal, v katerem so računi, ponudbe ali prošnje za zaposlitev;
- spletna stran ali spletna trgovina, iz katere so bili ukradeni podatki strank;
- izsiljevalska programska oprema (ransomware), zaradi katere ne morete več dostopati do evidence strank, tudi če ni bilo nič kopirano.
Prvi koraki
- Ustavite uhajanje. Napačnega prejemnika prosite, naj sporočilo izbriše in to potrdi. Geslo prevzetega poštnega predala spremenite z naprave, ki ji zaupate (glejte Varna gesla in kaj storiti, če je Vaše geslo ušlo v javnost).
- Ugotovite, kaj se je zgodilo. Kaj je vzrok, kdaj se je začelo, za katere podatke gre, koliko oseb je prizadetih, kdo ima dostop do njih in ali so bili podatki šifrirani? Vse zapišite, z datumom in uro.
- Ocenite tveganje za osebe, katerih podatki so prizadeti (glejte spodaj).
- Kršitev prijavite AP, če je to potrebno, v 72 urah.
- Obvestite posameznike, na katere se podatki nanašajo, če je tveganje zanje visoko.
- Kršitev vpišite v evidenco kršitev. To storite vedno.
Ali moram kršitev prijaviti Autoriteit Persoonsgegevens?
Kršitev prijavite brez nepotrebnega odlašanja in, če je mogoče, v 72 urah po tem, ko ste jo odkrili. To ni potrebno, če kršitev verjetno ne pomeni tveganja za osebe, katerih podatki so prizadeti (člen 33 GDPR).
- Rok začne teči, ko za kršitev izveste, in ne, ko se je zgodila. Vikend se šteje: če jo odkrijete v petek ob 16:40, jo prijavite najpozneje v ponedeljek ob 16:40.
- Nepopolna prijava je dovoljena. Če po 72 urah še ne veste vsega, prijavite to, kar veste, in prijavo pozneje dopolnite.
- Samo prek spleta. Prijavo oddate prek obrazca za prijavo AP, ne po telefonu, e-pošti ali pošti. Z vprašalnikom AP se na prijavo pripravite.
- Ste v dvomih? AP v tem primeru priporoča, da kršitev vseeno prijavite.
Ta vprašanja Vam pomagajo pri presoji:
| Vprašanje | Nižje tveganje | Višje tveganje |
|---|---|---|
| Kateri podatki? | Samo poslovni kontaktni podatki | Številka BSN, kopija osebnega dokumenta, bančni podatki, gesla, zdravstveni podatki, podatki otrok |
| Koliko oseb? | Ena ali nekaj | Veliko |
| Berljivo za tistega, ki ima podatke? | Dobro šifrirano, ključ ni ušel v javnost | Berljivo, ali pa je ušlo v javnost tudi geslo |
| Kdo ima podatke? | Znan prejemnik, ki potrdi, da jih je izbrisal | Neznanec, kriminalec ali javno na internetu |
Primer: če je ukraden dobro šifriran prenosnik, verjetno ni tveganja. Prijava takrat ni potrebna, kršitev pa vseeno vpišete v evidenco. Na nešifriranem prenosniku lahko najditelj prebere vse; takrat tveganje običajno obstaja.
Kdaj obvestite posameznike, na katere se podatki nanašajo?
Če kršitev verjetno pomeni visoko tveganje za osebe, katerih podatki so prizadeti, jih obvestite brez odlašanja (člen 34 GDPR). V preprostem jeziku povejte, kaj se je zgodilo, kakšne so lahko posledice, kaj storite Vi in kaj lahko storijo sami, na primer spremenijo geslo ali so še posebej pozorni na lažna sporočila (phishing) v Vašem imenu.
To ni potrebno, če so bili podatki zaradi dobrega šifriranja neberljivi ali če ste pozneje sprejeli ukrepe, zaradi katerih visoko tveganje ni več verjetno. Če bi obveščanje vseh zahtevalo nesorazmerne napore, objavite javno obvestilo.
Evidenca kršitev: vedno jo vodite
Vsako kršitev zabeležite, tudi če je ne prijavite (člen 33, odstavek 5). Zapišite dejstva, posledice, ukrepe in svojo presojo: zakaj ste kršitev prijavili ali ne in zakaj ste posameznike obvestili ali ne. AP ima na voljo vzorec evidence kršitev.
Kaj pa, če je do kršitve prišlo pri dobavitelju?
Vaše gostiteljsko podjetje, Vaš računovodski program v oblaku ali Vaša storitev za e-novice je po GDPR obdelovalec: subjekt, ki osebne podatke obdeluje po Vašem naročilu. Obdelovalec Vas mora brez nepotrebnega odlašanja obvestiti, ko odkrije kršitev (člen 33, odstavek 2). Nato Vi presodite, ali jo morate prijaviti, in praviloma jo prijavite tudi sami.
To velja tudi, če je Vaš obdelovalec WebOké. Dogovori o tem so v naši pogodbi o obdelavi osebnih podatkov, glejte Pogodba o obdelavi osebnih podatkov: kje jo najdem? Menite, da je do kršitve prišlo pri nas, na primer na naših strežnikih? Takoj nas kontaktirajte z zahtevkom v Centru za podporo in navedite, kaj ste opazili in kdaj.
Več o tem
- WebOké Backups: ogled, obnovitev ali prenos varnostne kopije
- Autoriteit Persoonsgegevens: prijaviti ali ne
- Autoriteit Persoonsgegevens: kako prijavite kršitev
- Autoriteit Persoonsgegevens: vprašalnik obrazca za prijavo
- Autoriteit Persoonsgegevens: vzorec evidence kršitev
- GDPR, členi 4, 33 in 34 (EUR-Lex)
Želite izvedeti več? Obiščite brezplačni tečaj Varno na spletu za podjetnike, lekcija 8.2 Kršitve varstva osebnih podatkov in obveznost prijave.