Je to únik údajov a mám ho nahlásiť?
Pri podnikaní zodpovedáte za osobné údaje svojich zákazníkov a zamestnancov. V GDPR sa takáto strana nazýva prevádzkovateľ. Tu sa dočítate, kedy ide o únik údajov, kedy ho musíte nahlásiť a čo treba urobiť hneď. Ide o všeobecné vysvetlenie, nie o právne poradenstvo. Ak si nie ste istí, pozrite si webovú stránku holandského dozorného orgánu Autoriteit Persoonsgegevens (AP) alebo sa obráťte na právnika.
Čo je únik údajov?
Podľa GDPR, európskeho nariadenia o ochrane osobných údajov, ide o porušenie bezpečnosti, ktoré vedie k strate, zničeniu alebo zmene osobných údajov, prípadne k ich sprístupneniu niekomu, kto k nim nemá mať prístup (článok 4 bod 12). Osobné údaje sú údaje o identifikovateľnej osobe, napríklad meno, e-mailová adresa, adresa alebo história objednávok. Nejde teda len o hackerov. Príklady:
- e-mail alebo príloha s osobnými údajmi, ktoré sa dostanú k nesprávnemu príjemcovi;
- stratený alebo ukradnutý notebook, telefón alebo USB kľúč s osobnými údajmi, ktoré neboli zašifrované;
- napadnutá e-mailová schránka, v ktorej sú faktúry, cenové ponuky alebo žiadosti o zamestnanie;
- webová stránka alebo e-shop, z ktorých boli ukradnuté údaje zákazníkov;
- ransomware, kvôli ktorému sa už nedostanete k evidencii zákazníkov, aj keď sa nič neskopírovalo.
Prvé kroky
- Zastavte únik. Požiadajte nesprávneho príjemcu, aby e-mail vymazal a potvrdil vám to. Heslo k napadnutej e-mailovej schránke zmeňte zo zariadenia, ktorému dôverujete (pozrite si Bezpečné heslá a čo robiť pri uniknutom hesle).
- Zmapujte, čo sa stalo. Čo je príčinou, kedy to začalo, o aké údaje ide, koľkých ľudí sa to týka, kto k nim má prístup a boli údaje zašifrované? Všetko si zapíšte aj s dátumom a časom.
- Posúďte riziko pre ľudí, ktorých sa údaje týkajú (pozri nižšie).
- Nahláste to AP, ak je to potrebné, do 72 hodín.
- Informujte dotknuté osoby, ak je pre ne riziko vysoké.
- Zapíšte to do evidencie únikov údajov. To robíte vždy.
Musím to nahlásiť Autoriteit Persoonsgegevens?
Únik údajov nahlasujete bez zbytočného odkladu a podľa možnosti do 72 hodín od chvíle, keď ste ho zistili. Nie je to potrebné, ak pravdepodobne nepredstavuje riziko pre ľudí, ktorých sa údaje týkajú (článok 33 GDPR).
- Lehota začína plynúť, keď sa o tom dozviete, nie keď k úniku došlo. Víkend sa započítava: ak to zistíte v piatok o 16:40, nahlásite to najneskôr v pondelok o 16:40.
- Neúplné hlásenie je povolené. Ak po 72 hodinách ešte nepoznáte všetky podrobnosti, nahláste to, čo viete, a hlásenie neskôr doplňte.
- Len online. Hlásenie podávate cez formulár AP, nie telefonicky, e-mailom ani poštou. Pomocou dotazníka AP si hlásenie pripravíte.
- Nie ste si istí? AP odporúča v takom prípade únik predsa nahlásiť.
Pri posudzovaní vám pomôžu tieto otázky:
| Otázka | Nižšie riziko | Vyššie riziko |
|---|---|---|
| Aké údaje? | Len pracovné kontaktné údaje | BSN (holandské osobné identifikačné číslo), kópia dokladu totožnosti, bankové údaje, heslá, zdravotné údaje, údaje o deťoch |
| Koľko ľudí? | Jeden alebo niekoľko | Veľa |
| Čitateľné pre toho, kto ich má? | Dobre zašifrované, kľúč neunikol | Čitateľné, alebo uniklo aj heslo |
| Kto ich má? | Známy príjemca, ktorý potvrdí, že ich vymazal | Neznáma osoba, zločinec, alebo sú verejne na internete |
Príklad: ak niekto ukradne dobre zašifrovaný notebook, pravdepodobne nejde o žiadne riziko. Nahlasovať to vtedy netreba, ale do evidencie to zapíšete. Na nezašifrovanom notebooku si nálezca môže všetko prečítať, vtedy riziko zvyčajne existuje.
Kedy informovať dotknuté osoby?
Ak únik pravdepodobne predstavuje vysoké riziko pre ľudí, ktorých sa údaje týkajú, informujete ich bez zbytočného odkladu (článok 34 GDPR). Jednoduchým jazykom im vysvetlite, čo sa stalo, aké môžu byť následky, čo robíte vy a čo môžu urobiť oni sami, napríklad zmeniť heslo alebo dávať zvýšený pozor na phishing vo vašom mene.
Nie je to potrebné, ak boli údaje vďaka kvalitnému šifrovaniu nečitateľné, alebo ak ste následne prijali opatrenia, vďaka ktorým už vysoké riziko nie je pravdepodobné. Ak by oslovenie všetkých vyžadovalo neprimerané úsilie, zverejníte verejné oznámenie.
Evidencia únikov údajov: viesť vždy
Každý únik údajov zaznamenáte, aj keď ho nenahlásite (článok 33 ods. 5). Zapíšte si fakty, následky, opatrenia a svoje posúdenie: prečo ste únik nahlásili alebo nenahlásili a prečo ste dotknuté osoby informovali alebo neinformovali. AP má k dispozícii vzorovú evidenciu únikov údajov.
A ak je únik u dodávateľa?
Váš poskytovateľ hostingu, účtovný softvér v cloude alebo služba na rozosielanie newslettrov je podľa GDPR sprostredkovateľ: strana, ktorá spracúva osobné údaje vo vašom mene. Sprostredkovateľ vás musí bez zbytočného odkladu informovať, ak zistí únik údajov (článok 33 ods. 2). Potom posúdite vy, či ho treba nahlásiť, a v zásade ho nahlasujete tiež vy.
To platí aj vtedy, keď je vaším sprostredkovateľom WebOké. Dohody o tom nájdete v našej zmluve o spracúvaní osobných údajov, pozrite si Zmluva o spracúvaní osobných údajov: kde ju nájdem? Myslíte si, že únik je u nás, napríklad na našich serveroch? Okamžite nás kontaktujte cez tiket v Centre podpory a uveďte, čo ste zistili a kedy.
Ďalšie čítanie
- WebOké Backups: zobrazenie, obnovenie alebo stiahnutie zálohy
- Autoriteit Persoonsgegevens: nahlásiť alebo nenahlásiť
- Autoriteit Persoonsgegevens: ako nahlásiť únik údajov
- Autoriteit Persoonsgegevens: dotazník k formuláru hlásenia
- Autoriteit Persoonsgegevens: vzorová evidencia únikov údajov
- GDPR, články 4, 33 a 34 (EUR-Lex)
Chcete sa dozvedieť viac? Absolvujte bezplatný kurz Bezpečne online pre podnikateľov, lekcia 8.2 Úniky údajov a ohlasovacia povinnosť.