Витік персональних даних – це порушення безпеки, що призводить до випадкового або незаконного знищення, втрати, зміни, несанкціонованого розголошення персональних даних або доступу до них. Не про кожен інцидент потрібно повідомляти, але ви повинні мати змогу продемонструвати, як ви дійшли такого висновку.
Правова основа
Визначення міститься у статті 4(12) GDPR. Стаття 33 вимагає від контролера повідомити Орган захисту даних Нідерландів без невиправданої затримки та не пізніше 72 годин після того, як йому стало відомо про порушення, окрім випадків, коли це навряд чи призведе до ризику для прав і свобод осіб. Стаття 34 додає обов'язок інформувати самих осіб про високий ризик. Обробники повідомляють не регулятора, а контролера, і повинні робити це без затримки. Стаття 33(5) вимагає ведення реєстру всіх порушень, включаючи ті, про які не було повідомлено.
Як це працює на практиці
72 години починаються з моменту наявності достатніх підстав для впевненості в тому, що стався інцидент безпеки, пов’язаний з персональними даними, а не після завершення розслідування. Тому повідомлення може здійснюватися поетапно: спочатку те, що вам відомо, потім доповнення. Оцінка залежить від наслідків для особи: чи стосується це даних спеціальної категорії, комбінацій, що уможливлюють шахрайство з особистими даними, великої кількості осіб або людей у вразливому становищі? Втрачений ноутбук із зашифрованим диском зазвичай не підлягає повідомленню; помилково адресоване листування, що містить дані про здоров’я, майже завжди підлягає повідомленню.
Де щось пішло не так
Більшість правозастосовчих заходів стосується наслідків, а не самого порушення. Організації повідомляють із запізненням, оскільки спочатку хочуть встановити внутрішньо, хто винен, або ж вони не інформують осіб, боячись шкоди для репутації, навіть якщо ризик був достатньо високим. Третя пастка — це відсутність внутрішнього реєстру: без нього ви не можете обґрунтувати, чому про інцидент не було повідомлено, і ваша оцінка просто не враховується.
Пов'язані терміни
Порушення безпосередньо пов'язане з угодою про обробку даних , в якій має бути зазначено термін звітності вашого постачальника, а також із Законом Нідерландів про кібербезпеку , який встановлює власний коротший термін для певних секторів.
Не знаєте, чи потрібно повідомляти про інцидент? Наші фахівці з ІТ-права оцінять його разом з вами, зокрема протягом 72 годин.
