Ez adatvédelmi incidensnek minősül, és be kell jelentenem?

Vállalkozóként Ön felel ügyfelei és munkatársai személyes adataiért. A GDPR szerint Ön ilyenkor adatkezelő. Ebben a cikkben megtudhatja, mikor beszélünk adatvédelmi incidensről, mikor kell azt bejelenteni, és mit kell azonnal tennie. Ez általános tájékoztatás, nem jogi tanácsadás. Kétség esetén tájékozódjon a holland adatvédelmi hatóság, az Autoriteit Persoonsgegevens (AP) weboldalán, vagy forduljon jogászhoz.

Mi az adatvédelmi incidens?

A GDPR, az európai adatvédelmi rendelet szerint ez a biztonság olyan sérülése, amelynek következtében személyes adatok elvesznek, megsemmisülnek vagy megváltoznak, illetve illetéktelen személyhez kerülnek (4. cikk, 12. pont). Személyes adat minden azonosítható személyre vonatkozó adat, például név, e-mail-cím, lakcím vagy rendelési előzmények. Tehát nem csak hackerekről van szó. Példák:

• személyes adatokat tartalmazó e-mail vagy melléklet, amely rossz címzetthez kerül;
• elveszett vagy ellopott laptop, telefon vagy USB-kulcs, amelyen titkosítatlan személyes adatok voltak;
• feltört postafiók, amelyben számlák, árajánlatok vagy pályázati levelek találhatók;
• weboldal vagy webáruház, amelyből ügyféladatokat loptak el;
• zsarolóvírus (ransomware), amely miatt nem fér hozzá ügyfélnyilvántartásához, akkor is, ha semmit sem másoltak le.

Az első lépések

1. Állítsa meg az incidenst. Kérje meg a téves címzettet, hogy törölje az e-mailt, és ezt erősítse is meg. Egy átvett postafiók jelszavát egy megbízható eszközről módosítsa (lásd: Biztonságos jelszavak, és mi a teendő kiszivárgott jelszó esetén).
2. Mérje fel, mi történt. Mi az ok, mikor kezdődött, milyen adatokról van szó, hány ember érintett, ki férhet hozzájuk, és titkosítva voltak-e az adatok? Mindent jegyezzen fel dátummal és időponttal.
3. Mérje fel a kockázatot azok számára, akiknek az adatairól szó van (lásd alább).
4. Jelentse be az AP-nak, ha szükséges, 72 órán belül.
5. Tájékoztassa az érintetteket, ha számukra magas a kockázat.
6. Rögzítse az incidensnyilvántartásában. Ezt minden esetben meg kell tennie.

Be kell jelentenem az Autoriteit Persoonsgegevens felé?

Az adatvédelmi incidenst indokolatlan késedelem nélkül, és lehetőség szerint legkésőbb 72 órával azután kell bejelentenie, hogy tudomást szerzett róla. Erre nincs szükség, ha az incidens valószínűleg nem jár kockázattal azokra nézve, akiknek az adatairól szó van (GDPR 33. cikk).

• Az óra akkor indul, amikor Ön tudomást szerez róla, nem akkor, amikor az incidens történt. A hétvége is beleszámít: ha pénteken 16:40-kor fedezi fel, legkésőbb hétfőn 16:40-ig kell bejelentenie.
• Hiányos bejelentés is megengedett. Ha 72 óra elteltével még nem tud mindent, jelentse be azt, amit tud, és később egészítse ki a bejelentést.
• Csak online. A bejelentés az AP bejelentő űrlapján történik, nem telefonon, e-mailben vagy postán. Az AP kérdőívével előkészítheti a bejelentést.
• Bizonytalan? Az AP ilyenkor is a bejelentést javasolja.

Az alábbi kérdések segítenek a mérlegelésben:

Egy példa: ha egy megfelelően titkosított laptopot lopnak el, valószínűleg nincs kockázat. Ilyenkor nem kell bejelenteni, de a nyilvántartásban rögzítenie kell. Egy titkosítatlan laptopon a megtaláló mindent elolvashat, ilyenkor általában van kockázat.

Mikor kell tájékoztatni az érintetteket?

Ha az incidens valószínűleg magas kockázattal jár azokra nézve, akiknek az adatairól szó van, haladéktalanul tájékoztatnia kell őket (GDPR 34. cikk). Közérthetően írja le, mi történt, milyen következményei lehetnek, mit tesz Ön, és mit tehetnek ők maguk, például jelszót változtathatnak, vagy fokozottan figyelhetnek az Ön nevében küldött adathalász üzenetekre.

Erre nincs szükség, ha az adatok megfelelő titkosítás miatt olvashatatlanok voltak, vagy ha Ön utólag olyan intézkedéseket tett, amelyek nyomán a magas kockázat már nem valószínű. Ha aránytalan erőfeszítést igényelne mindenkit elérni, nyilvános közleményt kell közzétennie.

Az incidensnyilvántartás: mindig vezesse

Minden adatvédelmi incidenst rögzítenie kell, akkor is, ha nem jelenti be (33. cikk (5) bekezdés). Jegyezze fel a tényeket, a következményeket, az intézkedéseket és a mérlegelését: miért jelentette be vagy miért nem, és miért tájékoztatta vagy miért nem tájékoztatta az érintetteket. Az AP egy minta incidensnyilvántartást is kínál.

És ha az incidens egy szolgáltatónál történt?

Tárhelyszolgáltatója, felhőalapú könyvelőprogramja vagy hírlevélszolgáltatása a GDPR szerint adatfeldolgozó: olyan fél, amely az Ön megbízásából kezel személyes adatokat. Az adatfeldolgozónak indokolatlan késedelem nélkül tájékoztatnia kell Önt, ha adatvédelmi incidenst észlel (33. cikk (2) bekezdés). Ezután Ön dönti el, hogy be kell-e jelenteni, és főszabály szerint a bejelentést is Ön teszi meg.

Ez akkor is érvényes, ha a WebOké az Ön adatfeldolgozója. Az erre vonatkozó megállapodások adatfeldolgozási szerződésünkben találhatók, lásd: Adatfeldolgozási szerződés: hol találom? Úgy gondolja, hogy az incidens nálunk történt, például a szervereinken? Akkor haladéktalanul vegye fel velünk a kapcsolatot egy jeggyel a Támogatási központban, és írja meg, mit észlelt és mikor.

További olvasnivaló

• WebOké Backups: biztonsági mentés megtekintése, visszaállítása vagy letöltése
• Autoriteit Persoonsgegevens: bejelenteni vagy sem
• Autoriteit Persoonsgegevens: hogyan jelentsen be adatvédelmi incidenst
• Autoriteit Persoonsgegevens: a bejelentő űrlap kérdőíve
• Autoriteit Persoonsgegevens: minta incidensnyilvántartás
• A GDPR 4., 33. és 34. cikke (EUR-Lex)

Szeretne többet megtudni? Végezze el ingyenes, Biztonságosan online vállalkozóknak című tanfolyamunkat, ezen belül a 8.2 Adatvédelmi incidensek és a bejelentési kötelezettség leckét.