Ali gre za varnostno kršitev podatkov in ali jo moram prijaviti?
Kot podjetnik ste odgovorni za osebne podatke svojih strank in zaposlenih. V GDPR se to imenuje upravljavec. Tukaj lahko preberete, kdaj gre za kršitev varstva osebnih podatkov, kdaj jo morate prijaviti in kaj storiti takoj. To je splošna razlaga in ne pravni nasvet; v primeru dvoma si oglejte spletno stran nizozemskega nadzornega organa za varstvo podatkov (Autoriteit Persoonsgegevens, AP) ali se obrnite na pravnika.
Kaj je kršitev varstva osebnih podatkov?
Po GDPR, evropski zakonodaji o zasebnosti, gre za kršitev varnosti, zaradi katere pride do izgube, uničenja ali spremembe osebnih podatkov, ali do nepooblaščenega dostopa do njih (člen 4, točka 12). Osebni podatki so podatki o prepoznavni osebi, kot so ime, e poštni naslov, naslov ali zgodovina naročil. Ne gre torej samo za primere vdorov. Primeri:
- e pošta ali priloga z osebnimi podatki, poslana napačnemu prejemniku;
- izgubljen ali ukraden prenosnik, telefon ali USB ključ z nešifriranimi osebnimi podatki;
- vdrt poštni predal, v katerem so računi, ponudbe ali prošnje za zaposlitev;
- spletno mesto ali spletna trgovina, iz katere so bili ukradeni podatki strank;
- izsiljevalska programska oprema (ransomware), zaradi katere ne morete več dostopati do podatkov o strankah, tudi če ni bilo nič kopirano.
Prvi koraki
- Ustavite kršitev. Prosite napačnega prejemnika, naj e pošto izbriše in to potrdi. Spremenite geslo prevzetega poštnega predala z naprave, ki ji zaupate (glejte Varna gesla in kaj storiti ob uhajanju gesla).
- Ugotovite, kaj se je zgodilo. Kaj je vzrok, kdaj se je začelo, za katere podatke gre, koliko oseb je prizadetih, kdo ima dostop in ali so bili podatki šifrirani? Vse zapišite, z datumom in uro.
- Ocenite tveganje za osebe, na katere se podatki nanašajo (glejte spodaj).
- Po potrebi prijavite kršitev AP, v 72 urah.
- Obvestite posameznike, če je tveganje zanje visoko.
- Vnesite kršitev v register kršitev varstva osebnih podatkov. To storite vedno.
Ali moram prijaviti kršitev nizozemskemu nadzornemu organu (Autoriteit Persoonsgegevens)?
Kršitev varstva osebnih podatkov prijavite brez nepotrebnega odlašanja in, če je mogoče, v 72 urah po tem, ko ste jo odkrili. To ni potrebno, če verjetno ne pomeni tveganja za osebe, na katere se podatki nanašajo (člen 33 GDPR).
- Rok začne teči, ko izveste, ne ko se je kršitev zgodila. Konec tedna se šteje: če jo odkrijete v petek ob 16:40, jo morate prijaviti najpozneje v ponedeljek ob 16:40.
- Nepopolna prijava je dovoljena. Če po 72 urah še ne veste vsega, prijavite s tem, kar veste, in prijavo pozneje dopolnite.
- Samo prek spleta. Prijavo oddate prek prijavnega obrazca AP, ne po telefonu, e pošti ali pošti. Z vprašalnikom AP pripravite prijavo.
- Ste v dvomih? AP priporoča, da kršitev v tem primeru vseeno prijavite.
Pri presoji Vam pomagajo naslednja vprašanja:
| Vprašanje | Nižje tveganje | Višje tveganje |
|---|---|---|
| Kateri podatki? | Samo poslovni kontaktni podatki | Davčna/osebna identifikacijska številka, kopija osebnega dokumenta, bančni podatki, gesla, zdravstveni podatki, podatki otrok |
| Koliko oseb? | Ena ali nekaj | Veliko |
| Berljivost za tistega, ki jih ima? | Dobro šifrirani podatki, ključ ni bil razkrit | Berljivi podatki, ali je bilo razkrito tudi geslo |
| Kdo jih ima? | Znan prejemnik, ki potrdi, da jih je izbrisal | Neznana oseba, kriminalec, ali so javno dostopni na internetu |
Primer: če je ukraden dobro šifriran prenosnik, verjetno ni tveganja. Prijava v tem primeru ni potrebna, vendar kršitev vseeno vnesete v register. Pri nešifriranem prenosniku lahko najditelj prebere vse; v tem primeru praviloma obstaja tveganje.
Kdaj obvestite posameznike, na katere se nanašajo podatki?
Če kršitev verjetno pomeni visoko tveganje za osebe, na katere se podatki nanašajo, jih nemudoma obvestite (člen 34 GDPR). V razumljivem jeziku jim povejte, kaj se je zgodilo, kakšne so lahko posledice, kaj Vi storite in kaj lahko storijo sami, na primer spremenijo geslo ali so pozorni na poskuse lažnega predstavljanja (phishing) v Vašem imenu.
To ni potrebno, če so bili podatki zaradi dobrega šifriranja neberljivi, ali če ste pozneje sprejeli ukrepe, zaradi katerih visoko tveganje ni več verjetno. Če bi dosega vseh posameznikov zahtevala nesorazmeren napor, objavite javno sporočilo.
Register kršitev varstva osebnih podatkov: vedno vodite evidenco
Vsako kršitev varstva osebnih podatkov zabeležite, tudi če je ne prijavite (člen 33, odstavek 5). Zapišite dejstva, posledice, sprejete ukrepe in svojo presojo: zakaj ste kršitev prijavili ali ne in zakaj ste posameznike obvestili ali ne. AP ima na voljo vzorčni register kršitev.
Kaj pa, če je kršitev nastala pri ponudniku storitev?
Vaš ponudnik gostovanja, Vaš računovodski program v oblaku ali ponudnik e poštnih novic je po GDPR obdelovalec: stranka, ki po Vašem naročilu obdeluje osebne podatke. Obdelovalec Vas mora brez nepotrebnega odlašanja obvestiti, če odkrije kršitev varstva osebnih podatkov (člen 33, odstavek 2). Nato Vi presodite, ali morate prijaviti kršitev, in praviloma jo prijavite tudi sami.
To velja tudi, če je WebOké Vaš obdelovalec. Mislite, da je kršitev nastala pri nas, na primer na naših strežnikih? Takoj se obrnite na nas prek tiketa v Podpornem centru, z opisom tega, kar ste opazili, in časom dogodka.
Za več informacij
- WebOké varnostne kopije: ogled, obnovitev ali prenos varnostne kopije
- Autoriteit Persoonsgegevens: prijaviti ali ne prijaviti
- Autoriteit Persoonsgegevens: kako prijaviti kršitev varstva osebnih podatkov
- Autoriteit Persoonsgegevens: vprašalnik prijavnega obrazca
- Autoriteit Persoonsgegevens: vzorčni register kršitev varstva osebnih podatkov
- GDPR, členi 4, 33 in 34 (EUR Lex)