Ide o únik dát a musíte to nahlásiť?
Ako podnikateľ ste zodpovední za osobné údaje vašich zákazníkov a zamestnancov. V GDPR sa to volá prevádzkovateľ. Tu sa dozviete, kedy ide o únik údajov, kedy ho musíte nahlásiť a čo máte urobiť hneď. Toto je všeobecné vysvetlenie a nie právne poradenstvo; v prípade pochybností si pozrite webovú stránku Úradu na ochranu osobných údajov (AP) alebo sa poraďte s právnikom.
Čo je únik údajov?
Podľa GDPR, európskeho zákona o ochrane súkromia, ide o porušenie zabezpečenia, v dôsledku ktorého dôjde k strate, zničeniu alebo zmene osobných údajov, prípadne sa dostanú k niekomu, kto k nim nemá mať prístup (článok 4, bod 12). Osobné údaje sú údaje o identifikovateľnej osobe, ako meno, e-mailová adresa, adresa alebo história objednávok. Nejde teda len o hackerov. Príklady:
- e-mail alebo príloha s osobnými údajmi, ktorá bola odoslaná nesprávnemu príjemcovi;
- stratený alebo ukradnutý notebook, telefón alebo usb kľúč s nešifrovanými osobnými údajmi;
- napadnutá e-mailová schránka, v ktorej sú faktúry, cenové ponuky alebo žiadosti o zamestnanie;
- webová stránka alebo internetový obchod, z ktorých boli ukradnuté údaje o zákazníkoch;
- ransomware, kvôli ktorému sa nedostanete k administrácii zákazníkov, aj keď nič nebolo skopírované.
Prvé kroky
- Zastavte únik. Požiadajte nesprávneho príjemcu, aby e-mail odstránil a potvrdil to. Zmeňte heslo napadnutej e-mailovej schránky zo zariadenia, ktorému dôverujete (pozrite Bezpečné heslá a čo robiť pri úniku hesla).
- Zmapujte, čo sa stalo. Aká je príčina, kedy sa to začalo, o aké údaje ide, koľkých ľudí sa to týka, kto má k nim prístup a boli údaje šifrované? Všetko si zapíšte, vrátane dátumu a času.
- Odhadnite riziko pre osoby, ktorých sa údaje týkajú (pozrite nižšie).
- Nahláste to na AP, ak je to potrebné, do 72 hodín.
- Informujte dotknuté osoby, ak je pre nich riziko vysoké.
- Zaznamenajte to do registra únikov údajov. To robíte vždy.
Musím to nahlásiť Úradu na ochranu osobných údajov?
Únik údajov nahlasujete bez zbytočného odkladu a podľa možnosti do 72 hodín od okamihu, keď ste sa o ňom dozvedeli. Nemusíte tak urobiť, ak je nepravdepodobné, že predstavuje riziko pre osoby, ktorých sa údaje týkajú (článok 33 GDPR).
- Lehota začína plynúť od okamihu, keď sa o tom dozviete, nie od okamihu, keď k úniku došlo. Víkend sa počíta: ak to zistíte v piatok o 16:40, nahlásiť musíte najneskôr v pondelok o 16:40.
- Neúplné nahlásenie je v poriadku. Ak po 72 hodinách ešte nemáte všetky informácie, nahláste to, čo viete, a hlásenie neskôr doplňte.
- Len online. Nahlasujete prostredníctvom formulára na hlásenie AP, nie telefonicky, e-mailom ani poštou. Pomocou dotazníka AP si hlásenie pripravíte.
- Pochybujete? AP odporúča v takom prípade radšej nahlásiť.
Pri posúdení vám pomôžu tieto otázky:
| Otázka | Nižšie riziko | Vyššie riziko |
|---|---|---|
| Aké údaje? | Len obchodné kontaktné údaje | Rodné číslo, kópia dokladu totožnosti, bankové údaje, heslá, zdravotné údaje, údaje o deťoch |
| Koľko ľudí? | Jeden alebo niekoľko | Veľa |
| Čitateľné pre toho, kto to má? | Dobre šifrované, kľúč neunikol | Čitateľné, prípadne uniklo aj heslo |
| Kto to má? | Známy príjemca, ktorý potvrdí, že to odstránil | Neznáma osoba, kriminálnik, alebo je to verejne dostupné na internete |
Príklad: ak ukradnú dobre šifrovaný notebook, pravdepodobne nejde o riziko. Nahlásenie teda nie je potrebné, ale do registra to aj tak zaznamenáte. Na nešifrovanom notebooku si nálezca môže prečítať všetko; vtedy zvyčajne o riziko ide.
Kedy informujete dotknuté osoby?
Ak únik pravdepodobne predstavuje vysoké riziko pre osoby, ktorých sa údaje týkajú, informujete ich bez zbytočného odkladu (článok 34 GDPR). Vysvetlite bežným jazykom, čo sa stalo, aké môžu byť dôsledky, čo robíte vy a čo môžu urobiť oni sami, napríklad zmeniť heslo alebo si dávať väčší pozor na phishing vo vašom mene.
Nemusíte to robiť, ak boli údaje vďaka dobrému šifrovaniu nečitateľné, alebo ak ste následne prijali opatrenia, vďaka ktorým vysoké riziko už nie je pravdepodobné. Ak by oslovenie všetkých vyžadovalo neprimerané úsilie, urobíte verejné oznámenie.
Register únikov údajov: vždy veďte záznamy
Každý únik údajov zaznamenávate, aj keď ho nenahlasujete (článok 33 odsek 5). Zapíšte si fakty, dôsledky, prijaté opatrenia a vaše posúdenie: prečo ste sa rozhodli nahlásiť alebo nenahlásiť a prečo ste informovali alebo neinformovali dotknuté osoby. AP má k dispozícii vzorový register únikov údajov.
A čo ak je únik u dodávateľa?
Vaša hostingová spoločnosť, cloudový účtovný softvér alebo služba pre rozosielanie newslettera je podľa GDPR sprostredkovateľ: strana, ktorá spracúva osobné údaje z vášho poverenia. Sprostredkovateľ vás musí bez zbytočného odkladu informovať, ak zistí únik údajov (článok 33 odsek 2). Následne posúdite vy sami, či musíte podať hlásenie, a v zásade to nahlasujete aj vy sami.
To platí aj v prípade, že je vaším sprostredkovateľom WebOké. Myslíte si, že únik je u nás, napríklad na našich serveroch? Kontaktujte nás okamžite prostredníctvom tiketu v Centre podpory, s informáciou, čo ste zistili a kedy.
Ďalšie čítanie
- WebOké Zálohy: zobrazenie, obnovenie alebo stiahnutie zálohy
- Úrad na ochranu osobných údajov: nahlásiť alebo nie
- Úrad na ochranu osobných údajov: ako nahlásiť únik údajov
- Úrad na ochranu osobných údajov: dotazník k hlásiacemu formuláru
- Úrad na ochranu osobných údajov: vzorový register únikov údajov
- GDPR, články 4, 33 a 34 (EUR-Lex)