Úniky osobných údajov a oznamovacia povinnosť

Modul 8: Keď sa niečo pokazí · Čas čítania: 11 minút

Cieľ lekcie: Po tejto lekcii dokážete posúdiť, či ide o únik osobných údajov, či ho musíte do 72 hodín oznámiť Úradu na ochranu osobných údajov a či musíte informovať dotknuté osoby, a dokážete to zaznamenať do evidencie únikov.

Kľúčové pojmy: osobné údaje, únik osobných údajov (porušenie ochrany osobných údajov), prevádzkovateľ, sprostredkovateľ, GDPR článok 33 a 34, formulár na oznámenie úniku, 72 hodín, riziko a vysoké riziko, evidencia únikov

Čo je únik osobných údajov?

Pri slove "únik osobných údajov" si ľudia predstavia hackerov, ktorí ukradnú databázu. To je jedna z foriem. GDPR používa širšie vymedzenie: porušenie ochrany osobných údajov je porušenie bezpečnosti, ktoré náhodne alebo protiprávne vedie k zničeniu, strate, zmene, neoprávnenému poskytnutiu alebo neoprávnenému prístupu k osobným údajom (článok 4 bod 12).

Osobné údaje sú všetky údaje o identifikovateľnej osobe: meno, e-mailová adresa ako jan.jansen@..., telefónne číslo, adresa, zákaznícke číslo s históriou objednávok, fotografia, IP adresa v kombinácii s ďalšími údajmi. Údaje o firme ako takej (IČO, všeobecná adresa) to nie sú, ale údaje o kontaktnej osobe áno.

Preto sú toto všetko úniky osobných údajov:

• e-mail so zoznamom zákazníkov odoslaný nesprávnemu príjemcovi;
• newsletter, v ktorom sú všetci príjemcovia viditeľní v poli Komu alebo Kópia;
• stratený USB kľúč alebo notebook s údajmi o zamestnancoch, ak nebol zašifrovaný;
• ransomvér, ktorý zašifruje evidenciu zákazníkov (údaje sú nedostupné, aj keď sa nič neskopírovalo);
• prevzatá e-mailová schránka, v ktorej sú faktúry s menami a adresami;
• zdieľaný odkaz na priečinok so žiadosťami o zamestnanie, ktorý je otvorený pre kohokoľvek.

Slovné spojenie "porušenie bezpečnosti" ukazuje, že nejde len o dôvernosť. Počíta sa aj strata (údaje sú preč) a zmena (niekto upravil čísla účtov).

Kto je zodpovedný: vy alebo váš dodávateľ?

GDPR pozná dve úlohy.

• Prevádzkovateľ určuje, prečo a ako sa osobné údaje spracúvajú. Pri vašich zákazníckych a personálnych údajoch ste to vy ako podnikateľ.
• Sprostredkovateľ spracúva údaje na váš pokyn: vaša hostingová firma, vaša cloudová účtovná aplikácia, vaša služba na rozosielanie newslettera, váš IT dodávateľ.

Ak dôjde k úniku u sprostredkovateľa, musí vám to oznámiť bez zbytočného odkladu (článok 33 ods. 2). Vy potom posúdite, či musíte oznámenie podať úradu a informovať dotknuté osoby, a v zásade to oznamujete vy sami (pokiaľ ste sa nedohodli, že to za vás urobí sprostredkovateľ). Povinnosť teda ostáva na vás, aj keď chyba vznikla u niekoho iného. Preto sa v zmluve o spracúvaní osobných údajov dohodne, ako rýchlo a akým spôsobom vás sprostredkovateľ informuje (lekcia 7.2).

72-hodinové hodiny

Článok 33 GDPR hovorí, že únik osobných údajov oznámite bez zbytočného odkladu a podľa možnosti do 72 hodín Úradu na ochranu osobných údajov po tom, čo ste sa o ňom dozvedeli. Výnimka: nie je pravdepodobné, že by únik predstavoval riziko pre práva a slobody osôb.

Štyri body, ktoré sa často nesprávne chápu:

1. Hodiny začínajú plynúť vtedy, keď sa o úniku dozviete, nie vtedy, keď sa stal. "Dozvedieť sa" znamená: máte primeranú istotu, že došlo k porušeniu, pri ktorom boli dotknuté osobné údaje. Krátke prvotné posúdenie je v poriadku, ale kto vedome nekoná, hodiny tým neposunie.
2. 72 hodín je 72 hodín, aj cez víkend a počas sviatkov. Ak únik zistíte v piatok o 16:40, konečný termín je pondelok 16:40.
3. Neúplné oznámenie je v poriadku. Ak po 72 hodinách ešte nemáte všetky informácie, oznámite to, čo viete, a neskôr doplníte. Ak oznámite neskôr ako po 72 hodinách, musíte oneskorenie zdôvodniť (článok 33 GDPR).
4. Ide o riziko pre ľudí, nie o škodu pre vašu firmu.

Zistené:   piatok     16:40   -> začína plynúť lehota
           sobota             (počíta sa)
           nedeľa             (počíta sa)
Najneskôr pondelok 16:40 -> oznámenie úradu (aj neúplné)

Oznámenie podávate v zásade prostredníctvom online formulára Úradu na ochranu osobných údajov SR. Oznámenie si môžete vopred pripraviť. Vyplníte okrem iného, čo sa stalo, kedy, ktoré a koľko údajov a osôb sa to týka, aké môžu byť následky a aké opatrenia ste prijali. Tu sa oplatí denník z lekcie 8.1.

Kedy oznamovať a kedy nie: posúdenie rizika

Posudzujete, aké pravdepodobné a aké závažné sú následky pre dotknuté osoby. Myslite na: krádež identity, finančnú škodu, diskrimináciu, poškodenie dobrého mena, alebo stratu kontroly nad ich údajmi. Pomôžu tieto otázky:

Dva príklady, ktoré sa často opakujú:

• Ukradnutý zašifrovaný notebook, silné heslo, kľúč neunikol, nedávna záloha: pravdepodobne žiadne riziko. Úradu neoznamovať, ale zaznamenať do evidencie.
• Hacknutý internetový obchod, útočník získal e-mailové adresy a slabo uložené heslá: riziko, teda oznámiť. A keďže ľudia často používajú rovnaké heslo na viacerých miestach (lekcia 1.4), ide o vysoké riziko: treba informovať dotknuté osoby.

Máte pochybnosti? Potom je oznámenie väčšinou bezpečnejšou voľbou. Aj úrad odporúča pri pochybnostiach oznámiť. Nové informácie doplníte neskôr formou následného oznámenia.

Informovanie dotknutých osôb: pri vysokom riziku

Článok 34 sa týka osôb, ktorých údaje ide. Ak únik pravdepodobne predstavuje vysoké riziko, informujete ich bez zbytočného odkladu: čo najskôr, ako to je primerane možné. Neplatí tu lehota 72 hodín, ale čakať, kým sa všetko vyšetrí, tiež nie je zámer.

V správe zrozumiteľným jazykom uvediete, čo sa stalo, aké sú pravdepodobné následky, čo robíte vy a čo môžu urobiť oni sami (napríklad zmeniť si heslo inde, dávať si pozor na phishing vo vašom mene, upozorniť svoju banku), plus kontaktnú osobu.

Informovanie nie je potrebné, ak ste prijali vhodné opatrenia, ktoré robia údaje nečitateľnými (napríklad kvalitné šifrovanie), ak ste následne prijali opatrenia, vďaka ktorým vysoké riziko už nie je pravdepodobné, alebo ak by to vyžadovalo neprimerané úsilie: vtedy urobíte verejné oznámenie (článok 34 ods. 3).

Pozor: po úniku osobných údajov často nasleduje phishing. Páchatelia vtedy vedia, kto sú vaši zákazníci, a posielajú e-mail "od vás". Upozornite na to aj svojich zákazníkov.

Evidencia únikov: vždy

Článok 33 ods. 5 vám ukladá povinnosť zaznamenať každý únik, aj keď ho neoznamujete. Zaznamenajte: fakty, následky, prijaté opatrenia a vaše posúdenie (prečo ste oznámili alebo neoznámili, prečo ste informovali alebo neinformovali). Formu si môžete zvoliť sami; úrad má vzorovú evidenciu únikov. Postačí jednoduchá tabuľka:

Č. | Zistené (dátum/čas) | Čo sa stalo | Aké údaje, koľko ľudí
   | Následky | Opatrenia | Oznámené úradu? (áno/nie + prečo, dátum)
   | Dotknuté osoby informované? (áno/nie + prečo) | Uzavreté (dátum)

Evidencia pomôže aj vám samotným: ak uvidíte trikrát do roka "e-mail nesprávnemu príjemcovi", viete, kde treba niečo zlepšiť (napríklad oneskorenie pri odosielaní, alebo už žiadne zoznamy zákazníkov ako príloha, lekcia 7.3).

Únik osobných údajov a zákon o kybernetickej bezpečnosti: dve rôzne oznámenia

Ak sa na vašu organizáciu vzťahuje zákon o kybernetickej bezpečnosti (NIS2, lekcia 9.1), platí popri tom aj oznamovacia povinnosť pri závažných incidentoch: prvé varovanie do 24 hodín, oznámenie do 72 hodín a záverečná správa do mesiaca, prostredníctvom registrácie na NBÚ. Ide o iné oznámenie, s iným cieľom (kontinuita služieb) a inému orgánu. Ransomvérový útok teda môže patriť do oboch kategórií. Väčšina malých firiem nespadá pod zákon o kybernetickej bezpečnosti; oznamovacia povinnosť podľa GDPR však platí pre všetkých.

Táto lekcia poskytuje všeobecné vysvetlenie a nie je právnym poradenstvom. V prípade pochybností sa obráťte na webovú stránku úradu alebo na právnika.

Zhrnutie

• Únik osobných údajov je každé porušenie, pri ktorom osobné údaje zaniknú, zmenia sa, alebo sa dostanú k niekomu, kto k nim nemá mať prístup; aj e-mail odoslaný nesprávnemu príjemcovi alebo stratený nezašifrovaný notebook.
• Oznámenie úradu: bez zbytočného odkladu a podľa možnosti do 72 hodín od zistenia, aj cez víkend, pokiaľ pravdepodobne nejde o riziko. Neúplné oznámenie je v poriadku.
• Informovanie dotknutých osôb: bez zbytočného odkladu, ak pravdepodobne hrozí vysoké riziko.
• Ak k úniku dôjde u vášho sprostredkovateľa, musí vás o tom informovať; rozhodnutie o oznámení je na vás.
• Každý únik zaznamenajte do svojej evidencie únikov, aj so svojím posúdením.

Kvíz

Úloha

Úloha A8.2: Vypočítajte lehotu. Dostanete štyri momenty zistenia. Pri každom momente vyplňte konečný dátum a čas na oznámenie úradu. Program to skontroluje.

Úloha A8.2b: Oznámiť alebo nie? Dostanete osem krátkych prípadov. Pri každom vyberte, či treba oznámiť úradu, či treba informovať dotknuté osoby, a či to zapíšete do evidencie únikov. Program to skontroluje a pri každom prípade uvedie vysvetlenie.

Ďalšie čítanie

Kroky v článkoch WebOké platia pre prostredie WebOké; u iných poskytovateľov to funguje podobne.

• Pomoc! Moja stránka bola napadnutá hackermi. Ako to vyriešiť a ako tomu predísť?
• Úrad na ochranu osobných údajov SR, informácie o oznamovaní porušenia ochrany osobných údajov: https://dataprotection.gov.sk/
• Európska komisia o GDPR: https://eur-lex.europa.eu/eli/reg/2016/679/oj
• Európski dozorní úradníci pre ochranu osobných údajov (EDPB): https://www.edpb.europa.eu/about-edpb/about-edpb/members_en
• GDPR (Nariadenie (EÚ) 2016/679), články 4, 33 a 34: https://eur-lex.europa.eu/eli/reg/2016/679/oj
• Holandské NCSC, Oznamovanie úniku osobných údajov (holandský zdroj): https://www.ncsc.nl/wet-en-regelgeving/melden-van-een-datalek
• Je to únik údajov a mám ho nahlásiť?