Adatvédelmi incidensek és a bejelentési kötelezettség

Modul 8: Ha mégis baj történik · Olvasási idő: 11 perc

Cél: Ennek a leckének a végén el tudja dönteni, hogy egy esemény adatvédelmi incidensnek számít-e, hogy 72 órán belül be kell-e jelentenie a Nemzeti Adatvédelmi és Információszabadság Hatóságnak (NAIH), hogy az érintetteket is tájékoztatnia kell-e, és rögzíteni tudja az esetet egy incidensnyilvántartásban.

Kulcsfogalmak: személyes adat, adatvédelmi incidens (a személyes adatokkal összefüggő jogsértés), adatkezelő, adatfeldolgozó, GDPR 33. és 34. cikk, a NAIH bejelentési felülete, 72 óra, kockázat és magas kockázat, incidensnyilvántartás

Mi számít adatvédelmi incidensnek?

Az "adatvédelmi incidens" kifejezésnél sokan hackerekre gondolnak, akik egy adatbázist ellopnak. Ez csak egy formája. A GDPR ennél tágabb meghatározást használ: a személyes adatokkal összefüggő jogsértés olyan biztonsági incidens, amely a véletlen vagy jogellenes megsemmisítést, elvesztést, megváltoztatást, jogosulatlan közlést vagy az azokhoz való jogosulatlan hozzáférést eredményezi (4. cikk, 12. pont).

Személyes adat minden olyan adat, amely egy felismerhető személyhez köthető: egy név, egy e-mail cím mint jan.jansen@..., egy telefonszám, egy cím, egy ügyfélszám a rendeléstörténettel, egy fénykép, egy IP-cím más adatokkal kombinálva. Egy vállalkozásra mint olyanra vonatkozó adatok (cégjegyzékszám, általános cím) nem ilyenek, de a kapcsolattartó személyre vonatkozó adatok igen.

Ennek megfelelően mindezek adatvédelmi incidensnek számítanak:

• egy ügyféllistát tartalmazó levél, amely rossz címzetthez kerül;
• egy hírlevél, amelyben az összes címzett látható a Címzett vagy a Másolatot kap mezőben;
• egy elveszett pendrive vagy laptop személyzeti adatokkal, ha az nem volt titkosítva;
• egy zsarolóvírus, amely titkosítja az ügyfél-nyilvántartást (az adatok ekkor nem elérhetők, akkor is, ha semmit nem másoltak le);
• egy átvett postafiók, amelyben nevekkel és címekkel ellátott számlák vannak;
• egy megosztott link egy pályázati leveleket tartalmazó mappára, amely bárki számára elérhető.

A "biztonsági incidens" kifejezés mutatja, hogy nem csak a bizalmasság a tét. Az elvesztés (az adatok eltűntek) és a megváltoztatás (valaki módosította a bankszámlaszámokat) is beletartozik.

Ki a felelős: Ön vagy a beszállítója?

A GDPR két szerepet különböztet meg.

• Az adatkezelő határozza meg, hogy miért és hogyan dolgozzák fel a személyes adatokat. Az ügyfél- és személyzeti adatai esetében ez Ön, mint vállalkozó.
• Egy adatfeldolgozó az Ön megbízásából dolgozza fel az adatokat: a tárhelyszolgáltatója, a felhőalapú könyvelési programja, a hírlevélküldő szolgáltatása, az informatikai beszállítója.

Ha az adatfeldolgozónál következik be a jogsértés, akkor azt indokolatlan késedelem nélkül jeleznie kell Önnek (33. cikk, 2. bekezdés). Ön ezután megítéli, hogy be kell-e jelentenie a NAIH-nak és tájékoztatnia kell-e az érintetteket, és elvileg Ön jelenti be (kivéve, ha megállapodtak, hogy az adatfeldolgozó teszi ezt az Ön nevében). A kötelezettség tehát Önnél marad, még akkor is, ha a hiba másnál történt. Ezért egy adatfeldolgozási szerződésben rögzítik, milyen gyorsan és hogyan tájékoztatja Önt az adatfeldolgozó (7.2. lecke).

A 72 órás óra

A GDPR 33. cikke szerint az adatvédelmi incidenst indokolatlan késedelem nélkül, és ha lehetséges, 72 órán belül be kell jelenteni a NAIH-nak, miután arról tudomást szerzett. A kivétel: nem valószínű, hogy az incidens kockázatot jelent az emberek jogaira és szabadságaira nézve.

Négy pontot gyakran félreértenek:

1. Az óra akkor indul el, amikor Ön tudomást szerez róla, nem akkor, amikor az incidens történt. A "tudomást szerez róla" azt jelenti: ésszerűen biztos abban, hogy olyan jogsértés történt, amely személyes adatokat érint. Egy rövid első felmérés megengedett, de aki tudatosan nem néz utána, az nem tolja ki az órát.
2. A 72 óra 72 óra, hétvégén és ünnepnapokon is. Ha pénteken 16:40-kor fedez fel egy incidenst, a végső határidő hétfő 16:40.
3. A hiányos bejelentés megengedett. Ha 72 óra elteltével még nem tud mindent, bejelenti azt, amit tud, és később kiegészíti. Ha 72 óránál később jelent be, meg kell magyaráznia, miért; a NAIH ezt csak kivételes esetekben fogadja el.
4. Az emberekre jelentett kockázat számít, nem a vállalkozásának okozott kár.

Felfedezve:  péntek   16:40   -> az óra elindul
          szombat             (beleszámít)
          vasárnap            (beleszámít)
Legkésőbb hétfő   16:40   -> bejelentés a NAIH-nak (akár hiányosan is)

A bejelentést csak a NAIH weboldalán található, a bejelentési felületen keresztül, online formanyomtatvánnyal lehet megtenni; telefonon, e-mailben vagy levélben nem. A NAIH-nak van egy kérdőíve, amellyel előre elő tudja készíteni a bejelentést. Egyebek mellett megadja, hogy mi történt, mikor, milyen és mennyi adatot és hány személyt érint, mik lehetnek a következmények, és milyen intézkedéseket tett. Itt térül meg a 8.1. leckében említett naplózás.

Mikor kell és mikor nem kell bejelenteni: a kockázatmérlegelés

Önnek kell megítélnie, mennyire valószínűek és mennyire súlyosak az érintettekre nézve a következmények. Gondoljon a következőkre: személyazonosság-lopás, pénzügyi kár, hátrányos megkülönböztetés, hírnévkár, vagy az adatok feletti kontroll elvesztése. Segítő kérdések:

Két gyakran előforduló példa:

• Ellopott titkosított laptop, erős jelszóval, a kulcs nem szivárgott ki, friss biztonsági mentés: valószínűleg nincs kockázat. Nem kell bejelenteni a NAIH-nak, de rögzíteni kell a nyilvántartásban.
• Feltört webáruház, a támadó e-mail címeket és gyengén tárolt jelszavakat szerzett meg: kockázat áll fenn, tehát be kell jelenteni. És mivel az emberek gyakran újra felhasználják a jelszavukat (1.4. lecke), magas a kockázat: az érintetteket tájékoztatni kell.

Kételkedik? Ilyenkor a bejelentés a biztonságosabb választás. A NAIH is azt ajánlja, hogy kétség esetén jelentse be. Az új információkat később, kiegészítő bejelentéssel adhatja meg.

Az érintettek tájékoztatása: magas kockázat esetén

A 34. cikk azokról az emberekről szól, akiknek az adatairól szó van. Ha az incidens valószínűleg magas kockázatot jelent, akkor haladéktalanul tájékoztatnia kell őket: amilyen gyorsan ésszerűen lehetséges. Erre nem vonatkozik a 72 órás határidő, de a teljes kivizsgálás végéig várni sem a cél.

Az üzenetben érthető nyelven szerepeljen, hogy mi történt, mik a valószínű következmények, mit tesz Ön, és mit tehetnek ők maguk (például módosíthatják a jelszavukat máshol is, figyelhetnek az Ön nevében küldött adathalász kísérletekre, értesíthetik a bankjukat), valamint egy kapcsolattartó neve.

A tájékoztatás elmaradhat, ha olyan megfelelő intézkedéseket tett, amelyek az adatokat olvashatatlanná teszik (például megfelelő titkosítás), ha utólag olyan intézkedéseket tett, amelyek miatt a magas kockázat már nem valószínű, vagy ha ez aránytalan erőfeszítést igényelne: ilyenkor nyilvános közleményt tesz közzé (34. cikk, 3. bekezdés).

Figyelem: az adathalászat gyakran követ egy adatvédelmi incidenst. A bűnözők ekkor tudják, kik az Ön ügyfelei, és az Ön nevében küldenek levelet. Erre is figyelmeztesse az ügyfeleit.

Az incidensnyilvántartás: mindig kötelező

A 33. cikk 5. bekezdése kötelezi Önt, hogy minden adatvédelmi incidenst rögzítsen, akkor is, ha nem jelenti be. Rögzítse: a tényeket, a következményeket, az intézkedéseket, és a mérlegelését (miért jelentette be vagy miért nem, miért tájékoztatta az érintetteket vagy miért nem). A formát Ön választhatja meg; a NAIH rendelkezésre bocsát egy mintanyilvántartást. Egy egyszerű táblázat is elegendő:

Sorsz. | Felfedezve (dátum/idő) | Mi történt | Milyen adatok, hány ember
   | Következmények | Intézkedések | NAIH-nak bejelentve? (igen/nem + miért, dátum)
   | Érintettek tájékoztatva? (igen/nem + miért) | Lezárva (dátum)

A nyilvántartás Önnek is segít: ha azt látja, hogy évente háromszor fordul elő "levél rossz címzetthez", akkor tudja, hol kell javítania (például egy késleltetés a küldésnél, vagy az ügyféllisták mellékletként való küldésének megszüntetése, 7.3. lecke).

Adatvédelmi incidens és a kiberbiztonsági törvény: két különböző bejelentés

Ha a szervezetére vonatkozik a kiberbiztonsági törvény (NIS2, 9.1. lecke), akkor emellett érvényes a jelentős incidensekre vonatkozó bejelentési kötelezettség is: egy első figyelmeztetés 24 órán belül, egy bejelentés 72 órán belül és egy végső jelentés egy hónapon belül, az SZTFH-nál történő regisztráción keresztül. Ez egy másik bejelentés, más céllal (a szolgáltatások folytonossága) és más hatóságnál. Egy zsarolóvírus-támadás tehát mindkettő alá tartozhat. A legtöbb kisvállalkozásra nem vonatkozik a kiberbiztonsági törvény; a GDPR szerinti bejelentési kötelezettség viszont mindenkire vonatkozik.

Ez a lecke általános tájékoztatást nyújt, nem minősül jogi tanácsadásnak. Kétség esetén tájékozódjon a NAIH weboldalán vagy forduljon jogászhoz.

Összefoglalás

• Adatvédelmi incidens minden olyan jogsértés, amely miatt személyes adatok elvesznek, megváltoznak, vagy olyan személyhez kerülnek, akinek ahhoz nincs joga; ideértve a rossz címzetthez küldött levelet vagy egy elveszett, titkosítatlan laptopot is.
• Bejelentés a NAIH-nak: indokolatlan késedelem nélkül, és ha lehetséges, 72 órán belül a felfedezéstől számítva, hétvégén is, kivéve ha valószínűleg nincs kockázat. A hiányos bejelentés megengedett.
• Az érintettek tájékoztatása: haladéktalanul, ha valószínűleg magas kockázat áll fenn.
• Ha az incidens az adatfeldolgozónál történik, neki Önt kell tájékoztatnia; a bejelentésről szóló döntés Önnél van.
• Minden adatvédelmi incidenst rögzítsen az incidensnyilvántartásában, a mérlegelésével együtt.

Kvíz

Feladat

A8.2 feladat: Számolja ki a határidőt. Négy felfedezési időpontot kap. Adja meg mindegyik esetében a bejelentés végső dátumát és időpontját a NAIH felé. A program ellenőrzi a megoldást.

A8.2b feladat: Bejelenteni vagy sem? Nyolc rövid esetleírást kap. Mindegyik esetnél döntse el, hogy be kell-e jelenteni a NAIH-nak, tájékoztatnia kell-e az érintetteket, és rögzítenie kell-e az incidensnyilvántartásban. A program kiértékeli a válaszokat, és esetenként ad magyarázatot.

További olvasnivaló

A WebOké tudásbázis cikkeiben leírt lépések a WebOké környezetére vonatkoznak; más szolgáltatóknál hasonlóan működik.

• Segítség! Feltörték a weboldalamat. Hogyan háríthatom el, és hogyan előzhetem meg?
• Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH): https://naih.hu/
• Az Európai Bizottság a NIS2-ről: https://digital-strategy.ec.europa.eu/en/policies/nis2-directive
• ENISA: https://www.enisa.europa.eu/
• GDPR (2016/679/EU rendelet), 4., 33. és 34. cikk: https://eur-lex.europa.eu/eli/reg/2016/679/oj
• Az Európai Adatvédelmi Testület (EDPB): https://www.edpb.europa.eu/about-edpb/about-edpb/members_en