Ez adatszivárgásnak minősül, és be kell jelentenem?
Vállalkozóként Ön felelős az ügyfelei és munkatársai személyes adataiért. A GDPR szerint Ön ekkor adatkezelőnek minősül. Itt olvashatja, mikor beszélünk adatszivárgásról, mikor kell azt bejelenteni, és mit kell azonnal tenni. Ez általános tájékoztatás, nem jogi tanácsadás, kétség esetén érdemes a Holland Adatvédelmi Hatóság (Autoriteit Persoonsgegevens, AP) weboldalát megnézni, vagy jogászhoz fordulni.
Mi az adatszivárgás?
A GDPR, az európai adatvédelmi rendelet szerint adatszivárgásnak minősül minden olyan biztonsági incidens, amely során személyes adatok elvesznek, megsemmisülnek, megváltoznak, vagy olyan személyhez kerülnek, aki ahhoz nem lenne jogosult hozzáférni (4. cikk, 12. pont). A személyes adatok egy felismerhető személyre vonatkozó adatok, mint például egy név, e-mail cím, lakcím vagy rendeléstörténet. Tehát nem csak hackerekről van szó. Néhány példa:
- egy e-mail vagy melléklet, amely személyes adatokat tartalmaz, és rossz címzetthez kerül;
- egy elveszett vagy ellopott laptop, telefon vagy USB-kulcs, amelyen titkosítatlan személyes adatok vannak;
- egy feltört postafiók, amelyben számlák, árajánlatok vagy jelentkezési levelek találhatók;
- egy weboldal vagy webáruház, ahonnan ügyféladatokat loptak el;
- zsarolóvírus, amely miatt Ön nem fér hozzá az ügyféladatbázisához, még akkor is, ha semmit nem másoltak le.
Az első lépések
- Állítsa le a szivárgást. Kérje meg a hibás címzettet, hogy törölje az e-mailt, és ezt erősítse is meg. Egy feltört postafiók jelszavát egy megbízható eszközről módosítsa (lásd: Biztonságos jelszavak, és mit tegyen, ha a jelszava kiszivárgott).
- Mérje fel, mi történt. Mi az oka, mikor kezdődött, milyen adatokról van szó, hány embert érint, ki fér hozzá, és titkosítva voltak-e az adatok? Mindent írjon le, dátummal és időponttal.
- Mérje fel a kockázatot azok számára, akiknek az adatairól szó van (lásd lent).
- Jelentse be az AP-nál, ha szükséges, 72 órán belül.
- Tájékoztassa az érintetteket, ha számukra magas a kockázat.
- Rögzítse az adatszivárgási nyilvántartásban. Ezt mindig meg kell tenni.
Be kell jelentenem a Holland Adatvédelmi Hatóságnál?
Az adatszivárgást indokolatlan késedelem nélkül, és ha lehetséges, a felfedezéstől számított 72 órán belül kell bejelenteni. Erre nincs szükség, ha valószínűleg nem jelent kockázatot azok számára, akiknek az adatairól szó van (GDPR 33. cikk).
- Az óra akkor indul, amikor Ön tudomást szerez róla, nem akkor, amikor a szivárgás történt. A hétvége is beleszámít: ha pénteken 16:40-kor fedezi fel, akkor legkésőbb hétfőn 16:40-ig kell bejelentenie.
- Hiányos bejelentés is megengedett. Ha 72 óra elteltével még nem tud mindent, jelentse be azt, amit tud, és később egészítse ki a bejelentést.
- Csak online. A bejelentést az AP bejelentő űrlapján keresztül kell megtenni, nem telefonon, e-mailben vagy postai úton. Az AP kérdőíve segít a bejelentés előkészítésében.
- Bizonytalan? Az AP azt javasolja, hogy ilyen esetben is jelentse be.
Az alábbi kérdések segítenek a mérlegelésben:
| Kérdés | Alacsonyabb kockázat | Magasabb kockázat |
|---|---|---|
| Milyen adatok? | Csak üzleti kapcsolattartási adatok | Adóazonosító jel, személyazonosító igazolvány másolata, banki adatok, jelszavak, egészségügyi adatok, gyermekek adatai |
| Hány embert érint? | Egy vagy néhány | Sok |
| Olvasható-e annak, aki hozzáfért? | Jól titkosított, a kulcs nem szivárgott ki | Olvasható, vagy a jelszó is kiszivárgott |
| Kinél van az adat? | Egy ismert címzettnél, aki megerősíti, hogy törölte | Egy ismeretlennél, egy bűnözőnél, vagy nyilvánosan az interneten |
Egy példa: ha egy jól titkosított laptopot lopnak el, valószínűleg nincs kockázat. Ilyenkor nem kell bejelenteni, de a nyilvántartásba akkor is fel kell venni. Egy titkosítatlan laptop esetén a megtaláló mindent el tud olvasni, ekkor általában van kockázat.
Mikor tájékoztassa az érintetteket?
Ha a szivárgás valószínűleg magas kockázatot jelent azok számára, akiknek az adatairól szó van, akkor haladéktalanul tájékoztatnia kell őket (GDPR 34. cikk). Közérthető nyelven mondja el, mi történt, milyen következményei lehetnek, mit tesz Ön, és mit tehetnek ők maguk, például jelszót változtathatnak, vagy jobban figyelhetnek az Ön nevében érkező adathalász próbálkozásokra.
Erre nincs szükség, ha az adatok jó titkosítás miatt olvashatatlanok voltak, vagy ha utólag olyan intézkedéseket tett, amelyek miatt a magas kockázat már nem valószínű. Ha mindenki elérése aránytalan erőfeszítést igényelne, akkor nyilvános közleményt kell kiadni.
Az adatszivárgási nyilvántartás: mindig vezetni kell
Minden adatszivárgást rögzíteni kell, akkor is, ha nem jelenti be (33. cikk, 5. bekezdés). Jegyezze fel a tényeket, a következményeket, az intézkedéseket, és a mérlegelését: miért jelentette be vagy miért nem, és miért tájékoztatta az érintetteket vagy miért nem. Az AP rendelkezik egy minta adatszivárgási nyilvántartással.
És ha a szivárgás egy szolgáltatónál történik?
A tárhelyszolgáltatója, a felhőalapú könyvelőprogramja vagy a hírlevél szolgáltatása a GDPR szerint adatfeldolgozónak minősül: olyan félnek, aki az Ön megbízásából dolgoz fel személyes adatokat. Az adatfeldolgozónak indokolatlan késedelem nélkül tájékoztatnia kell Önt, ha adatszivárgást fedez fel (33. cikk, 2. bekezdés). Ezután Ön dönti el, hogy be kell-e jelenteni, és elvben a bejelentést is Ön teszi meg.
Ez akkor is érvényes, ha a WebOké az Ön adatfeldolgozója. Úgy gondolja, hogy a szivárgás nálunk történt, például a szervereinken? Ekkor azonnal vegye fel velünk a kapcsolatot egy jegy formájában a Támogatási Központban, megadva, hogy mit tapasztalt és mikor.
Továbbolvasás
- WebOké mentések: egy mentés megtekintése, visszaállítása vagy letöltése
- Autoriteit Persoonsgegevens: bejelenteni vagy nem
- Autoriteit Persoonsgegevens: hogyan jelentsen be egy adatszivárgást
- Autoriteit Persoonsgegevens: a bejelentő űrlap kérdőíve
- Autoriteit Persoonsgegevens: minta adatszivárgási nyilvántartás
- A GDPR, 4., 33. és 34. cikk (EUR-Lex)