Реагування на витік даних за GDPR

Що таке Реагування на витік даних за GDPR?

Стаття 33 дає організації 72 години, щоб повідомити наглядовий орган, відколи їй стало відомо про порушення захисту персональних даних. Ви самі його спричиняєте: надсилаєте записи клієнтів не на ту адресу електронної пошти. Ви розпізнаєте помилково надісланий лист як порушення, повідомляєте про нього через внутрішній портал, а не сподіваєтеся, що ніхто не помітить, і складаєте точну хронологію для відповідальної особи з питань захисту персональних даних, яка вирішує, чи треба повідомляти наглядовий орган і клієнтів.

Що ви дізнаєтесь у Реагування на витік даних за GDPR

• Розумійте, що лист із персональними даними, надісланий не на ту адресу, — це порушення за статтею 4(12) GDPR
• Негайно повідомляйте про порушення всередині компанії та надавайте DPO потрібні відомості: про які записи йдеться, які категорії даних зачеплено і що вже зроблено для локалізації
• Пояснюйте, у яких випадках про порушення повідомляють наглядовий орган і коли високий ризик означає, що треба повідомити також самих осіб
• Пояснюйте, чому 72-годинний відлік іде з моменту, коли стало відомо про порушення, а не від завершення розслідування
• Складайте точну хронологію інциденту, яка підтверджує виконання організацією обов'язку підзвітності

Реагування на витік даних за GDPR — Кроки навчання

1. Вступ

   Сьогодні ви дізнаєтеся, які вимоги GDPR ставить до повідомлення про порушення захисту персональних даних. Це одне з найважливіших зобов'язань, яке має розуміти кожна організація, що обробляє персональні дані.

2. Звичайний експорт даних

   Аліса готує регулярний експорт даних клієнтів для VendorPartner Inc. — справжнього стороннього партнера з інтеграції. В електронній таблиці 847 записів про клієнтів: прізвища та імена, адреси електронної пошти, номери телефонів і поштові адреси. Це стандартне щотижневе завдання, яке Аліса виконувала вже десятки разів. Вона відкриває поштовий клієнт, щоб надіслати файл Джону Сміту з VendorPartner.

3. Помилка

   Аліса дописує лист і надсилає його. Хвилин за дві вона зазирає в папку «Надіслані» й помічає, що щось не так. Лист пішов на адресу john.smith847@gmail.com замість правильної — john.smith@vendorpartner.com. Автозаповнення підказало схожу особисту адресу Gmail, і Аліса вибрала її, не перевіривши уважно. Записи про 847 клієнтів тепер у руках невідомої людини.

4. Ключове рішення

   В Аліси все обривається всередині. Перша думка — сподіватися, що ніхто нічого не помітить: може, одержувач просто видалить лист? Може, зробити вигляд, що нічого не сталося? Але Аліса пам'ятає навчання з GDPR. Порушенням захисту персональних даних вважають і «випадкове або незаконне розкриття персональних даних», а лист із записами клієнтів, надісланий не на ту адресу, однозначно під це підпадає. Згідно зі статтею 33 GDPR, компанія має повідомити наглядовий орган без необґрунтованої затримки і, якщо це можливо, не пізніше ніж через 72 години після того, як їй стало «відомо» про порушення. Відлік іде вже зараз, а не з моменту, коли завершиться розслідування.

5. Вхід на портал інцидентів

   Аліса вирішує вчинити правильно й одразу повідомити про інцидент. Вона відкриває внутрішню систему компанії для повідомлень про інциденти. У DataGuard Solutions є окремий портал для повідомлень про витоки, який напряму пов'язаний із відповідальною особою з питань захисту персональних даних (DPO) та командою реагування на інциденти.

6. Подання звіту про витік даних

   Аліса заповнює форму звіту про інцидент, докладно описуючи лист, що пішов не за адресою. Важливі ретельність і чесність: DPO потрібна точна інформація, щоб оцінити, наскільки серйозне порушення, і визначити, які повідомлення потрібні.

7. Відповідь DPO

   За кілька хвилин після подання звіту Алісі телефонує Сара Чен, відповідальна особа з питань захисту персональних даних у компанії. Пані Чен дякує Алісі за негайне повідомлення і пояснює, як за GDPR оцінюють порушення.

8. Правило 72 годин

   Пані Чен пояснює ключові вимоги GDPR: Стаття 33 GDPR : контролери мають повідомити наглядовий орган без необґрунтованої затримки і, якщо це можливо, не пізніше ніж через 72 години після того, як їм стало «відомо» про порушення Відлік почався, коли Аліса зрозуміла, що лист пішов не на ту адресу, а не тоді, коли завершиться розслідування Вихідні й свята строк не подовжують. Запізніле повідомлення не скасовує обов'язку, але в ньому доведеться пояснити причини запізнення За неповідомлення можуть призначити штраф до 10 млн євро або 2% загального річного обороту Тепер DPO оцінить, чи це порушення, імовірно, призведе до ризику для прав і свобод фізичних осіб. Якщо так, наглядовий орган обов'язково треба повідомити.

9. Заходи з локалізації

   Команда реагування на інциденти вже почала вживати заходів із локалізації: Лист спробували відкликати, хоча відкликання не може повернути повідомлення із зовнішньої скриньки Gmail Служба ІТ-безпеки аналізує журнали серверів Юридичний відділ поінформовано До невідомого одержувача на Gmail звернулися з проханням видалити лист Пані Чен пояснює, що навіть попри ці заходи витік даних усе одно потрібно задокументувати й, можливо, повідомити про нього. Головне питання — чи створює він ризик для постраждалих осіб.

10. Опис інциденту

    Навіть якщо повідомлення наглядового органу не потрібне, GDPR вимагає документувати всередині компанії всі порушення. Алісу просять надати додаткову документацію про інцидент, зокрема точну хронологію та будь-які докази, які в неї є.