Kršitve varstva podatkov in obveznost prijave

Modul 8: Kadar gre kaj narobe · Čas branja: 11 minut

Cilj učenja: Po tej lekciji boste znali presoditi, ali gre za kršitev varstva podatkov, ali jo morate v 72 urah prijaviti Informacijskemu pooblaščencu in ali morate o njej obvestiti posameznike, na katere se nanaša, ter jo boste znali zabeležiti v register kršitev.

Ključni pojmi: osebni podatki, kršitev varstva osebnih podatkov (kršitev v zvezi z osebnimi podatki), upravljavec, obdelovalec, 33. in 34. člen GDPR, prijavno mesto za kršitve, 72 ur, tveganje in visoko tveganje, register kršitev

Kaj je kršitev varstva podatkov?

Ob besedni zvezi "kršitev varstva podatkov" ljudje pomislijo na hekerje, ki ukradejo bazo podatkov. To je ena od oblik. GDPR uporablja širšo opredelitev: kršitev varstva osebnih podatkov je kršitev varnosti, ki povzroči nenamerno ali nezakonito uničenje, izgubo, spremembo, nepooblaščeno razkritje ali dostop do osebnih podatkov (4. člen, točka 12).

Osebni podatki so vsi podatki o prepoznavni osebi: ime, e naslov kot jan.jansen@..., telefonska številka, naslov, številka stranke z zgodovino naročil, fotografija, IP naslov v povezavi z drugimi podatki. Podatki o podjetju kot takem (matična številka, splošni naslov) to niso, podatki o kontaktni osebi pa so.

Torej so vse to kršitve varstva podatkov:

• e-sporočilo s seznamom strank, ki gre do napačnega prejemnika;
• novičnik, v katerem so vsi prejemniki vidni v polju Za ali Kp;
• izgubljen USB ključ ali prenosnik s podatki o zaposlenih, če ni bil šifriran;
• izsiljevalsko programje, ki zašifrira administracijo strank (podatki takrat niso na voljo, tudi če ni bilo nič kopirano);
• prevzet poštni predal, v katerem so računi z imeni in naslovi;
• deljena povezava do mape s prošnjami za zaposlitev, ki je odprta za vse.

Besedna zveza "kršitev varnosti" pokaže, da ne gre le za zaupnost. Šteje tudi izguba (podatki so izginili) in sprememba (nekdo je spremenil številke računov).

Kdo je odgovoren: Vi ali Vaš dobavitelj?

GDPR pozna dve vlogi.

• Upravljavec določa, zakaj in kako se obdelujejo osebni podatki. Za podatke Vaših strank in zaposlenih ste to Vi kot podjetnik.
• Obdelovalec obdeluje podatke po Vašem naročilu: Vaš ponudnik gostovanja, Vaš računovodski program v oblaku, Vaša storitev za novičnike, Vaš dobavitelj IT storitev.

Če pride do kršitve pri obdelovalcu, Vas mora o tem obvestiti brez nepotrebnega odlašanja (33. člen, 2. odstavek). Vi nato presodite, ali morate prijaviti Informacijskemu pooblaščencu in obvestiti posameznike, na katere se nanaša, in praviloma prijavo opravite Vi sami (razen če ste se dogovorili, da to v Vašem imenu stori obdelovalec). Obveznost torej ostane na Vas, tudi če je napaka nastala pri nekom drugem. Zato so v pogodbi o obdelavi podatkov dogovori o tem, kako hitro in na kakšen način Vas obdelovalec obvesti (lekcija 7.2).

Ura 72 ur

33. člen GDPR določa, da kršitev varstva podatkov prijavite Informacijskemu pooblaščencu brez nepotrebnega odlašanja in po možnosti v 72 urah, odkar ste se z njo seznanili. Izjema: ni verjetno, da bo kršitev povzročila tveganje za pravice in svoboščine ljudi.

Štiri stvari ljudje pogosto razumejo narobe:

1. Ura začne teči, ko se s kršitvijo seznanite, ne ko se je zgodila. "Seznanitev" pomeni: razumno ste prepričani, da gre za kršitev, pri kateri so vpleteni osebni podatki. Kratka prva presoja je dovoljena, vendar tisti, ki zavestno ne preveri, ure s tem ne premakne.
2. 72 ur je 72 ur, tudi med vikendom in na praznike. Če kršitev odkrijete v petek ob 16.40, je skrajni rok ponedeljek ob 16.40.
3. Nepopolna prijava je dovoljena. Če po 72 urah še ne veste vsega, prijavite, kar veste, in pozneje dopolnite. Če prijavite pozneje kot v 72 urah, morate pojasniti razlog; Informacijski pooblaščenec to sprejme le v izjemnih primerih.
4. Pomembno je tveganje za ljudi, ne škoda za Vaše podjetje.

Odkrito:  petek     16:40   -> ura začne teči
          sobota              (šteje se)
          nedelja             (šteje se)
Najpozneje v ponedeljek 16:40 -> prijava Informacijskemu pooblaščencu (po potrebi nepopolna)

Prijavo oddate praviloma le prek uradnega obrazca za prijavo kršitev na spletni strani pristojnega nacionalnega organa; klic ali e-sporočilo ne zadostujeta. Pristojni organ ima vprašalnik, s katerim lahko prijavo vnaprej pripravite. Med drugim vnesete, kaj se je zgodilo, kdaj, kateri in koliko podatkov ter oseb je prizadetih, kakšne so lahko posledice in kakšne ukrepe ste sprejeli. Tu se obrestuje dnevnik iz lekcije 8.1.

Kdaj prijaviti in kdaj ne: presoja tveganja

Presodite, kako verjetne in kako resne so posledice za posameznike, na katere se podatki nanašajo. Pomislite na: krajo identitete, finančno škodo, diskriminacijo, škodo za ugled ali izgubo nadzora nad njihovimi podatki. Vprašanja, ki Vam pomagajo:

Dva primera, ki se pogosto pojavljata:

• Ukraden šifriran prenosnik, močno geslo, ključ ni bil razkrit, nedavna varnostna kopija: verjetno ni tveganja. Ni treba prijaviti Informacijskemu pooblaščencu, je pa treba zabeležiti v register.
• Hekerski vdor v spletno trgovino, napadalec je pridobil e-naslove in slabo shranjena gesla: tveganje obstaja, zato je treba prijaviti. In ker ljudje gesla pogosto uporabljajo večkrat (lekcija 1.4), gre za visoko tveganje: obvestiti je treba posameznike, na katere se nanaša.

Niste prepričani? Takrat je prijava običajno varnejša izbira. Tudi pristojni organ svetuje, da ob dvomu prijavite. Nove informacije pozneje posredujete z dopolnilno prijavo.

Obveščanje posameznikov: pri visokem tveganju

34. člen govori o ljudeh, na katere se podatki nanašajo. Če kršitev verjetno povzroči visoko tveganje, jih obvestite nemudoma: tako hitro, kot je razumno mogoče. Za to ne velja rok 72 ur, vendar čakanje, da se vse razišče, tudi ni namen.

V sporočilu z jasnim jezikom navedete, kaj se je zgodilo, kakšne so verjetne posledice, kaj Vi storite in kaj lahko storijo sami (na primer spremenijo geslo drugje, so pozorni na lažna sporočila v Vašem imenu, obvestijo svojo banko), ter kontaktno osebo.

Obveščanje ni potrebno, če ste sprejeli ustrezne ukrepe, zaradi katerih so podatki neberljivi (na primer dobro šifriranje), če ste naknadno sprejeli ukrepe, zaradi katerih visoko tveganje ni več verjetno, ali če bi to zahtevalo nesorazmeren napor: takrat objavite javno obvestilo (34. člen, 3. odstavek).

Pozor: po kršitvi varstva podatkov pogosto sledi lažno predstavljanje. Kriminalci tedaj vedo, kdo so Vaše stranke, in jim pošljejo sporočilo "v Vašem imenu". Na to opozorite tudi svoje stranke.

Register kršitev: vedno

33. člen, 5. odstavek Vas zavezuje, da zabeležite vsako kršitev varstva podatkov, tudi če je ne prijavite. Zabeležite: dejstva, posledice, ukrepe in Vašo presojo (zakaj ste prijavili ali ne, zakaj ste obvestili posameznike ali ne). Obliko lahko izberete sami; pristojni organ ima vzorčni register kršitev. Zadostuje preprosta razpredelnica:

Št. | Odkrito (datum/čas) | Kaj se je zgodilo | Kateri podatki, koliko ljudi
    | Posledice | Ukrepi | Prijavljeno Informacijskemu pooblaščencu? (da/ne + zakaj, datum)
    | Obveščeni posamezniki? (da/ne + zakaj) | Zaključeno (datum)

Register Vam koristi tudi samim: če trikrat na leto opazite "e-sporočilo napačnemu prejemniku", veste, kje morate izboljšati postopek (na primer zamik pri pošiljanju ali odprava seznamov strank kot priloge, lekcija 7.3).

Kršitev varstva podatkov in zakon o informacijski varnosti: dve ločeni prijavi

Če Vaša organizacija spada pod Zakon o informacijski varnosti (ZInfV-1, prenos NIS2, lekcija 9.1), potem poleg tega velja obveznost prijave za pomembne incidente: prvo opozorilo v 24 urah, prijava v 72 urah in končno poročilo v mesecu dni, prek pristojnega nacionalnega organa. To je druga prijava, z drugim namenom (neprekinjenost storitev) in pri drugem organu. Napad z izsiljevalskim programjem lahko torej spada pod oboje. Večina majhnih podjetij ne spada pod ta zakon; obveznost prijave po GDPR pa velja za vse.

Ta lekcija podaja splošna pojasnila in ni pravni nasvet. Ob dvomu se obrnite na spletno stran Informacijskega pooblaščenca ali na pravnika.

Povzetek

• Kršitev varstva podatkov je vsaka kršitev, zaradi katere se osebni podatki izgubijo, spremenijo ali pridejo v roke nekomu, ki do njih ne bi smel imeti dostopa; tudi e-sporočilo napačnemu prejemniku ali izgubljen nešifriran prenosnik.
• Prijava Informacijskemu pooblaščencu: brez nepotrebnega odlašanja in po možnosti v 72 urah po odkritju, tudi med vikendom, razen če verjetno ni tveganja. Nepopolna prijava je dovoljena.
• Obveščanje posameznikov: nemudoma, če obstaja verjetnost visokega tveganja.
• Če pride do kršitve pri Vašem obdelovalcu, Vas mora o tem obvestiti; odločitev o prijavi je na Vas.
• Vsako kršitev zabeležite v register kršitev, skupaj z Vašo presojo.

Kviz

Naloga

Naloga A8.2: Izračunajte rok. Dobite štiri trenutke odkritja. Za vsak trenutek vnesite skrajni datum in čas za prijavo Informacijskemu pooblaščencu. Program nalogo preveri.

Naloga A8.2b: Prijaviti ali ne? Dobite osem kratkih primerov. Za vsak primer izberite, ali morate prijaviti Informacijskemu pooblaščencu, ali morate obvestiti posameznike, na katere se nanaša, in ali to vnesete v register kršitev. Program nalogo preveri in za vsak primer poda razlago.

Za dodatno branje

Koraki v člankih WebOké veljajo za okolje WebOké; pri drugih ponudnikih deluje podobno.

• Pomoč! Moja spletna stran je bila vdrta. Kako to rešim oziroma preprečim?
• Informacijski pooblaščenec, informacije o prijavi kršitev varstva osebnih podatkov: https://www.ip-rs.si/
• Informacijski pooblaščenec, varstvo osebnih podatkov: https://www.ip-rs.si/
• Informacijski pooblaščenec, obrazci in vprašalniki za prijavo kršitev: https://www.ip-rs.si/
• GDPR (Uredba (EU) 2016/679), 4., 33. in 34. člen: https://eur-lex.europa.eu/eli/reg/2016/679/oj
• Nizozemski NCSC, prijava kršitve varstva podatkov (nizozemsko gradivo): https://www.ncsc.nl/wet-en-regelgeving/melden-van-een-datalek