Datu aizsardzības pārkāpumi un ziņošanas pienākums

8. modulis: Kad kaut kas noiet greizi · Lasīšanas laiks: 11 minūtes

Mērķis: Pēc šīs nodarbības Jūs varēsiet noteikt, vai kaut kas ir uzskatāms par datu aizsardzības pārkāpumu, vai tas 72 stundu laikā jāpiesaka Datu valsts inspekcijai (DVI) un vai par to jāinformē skartās personas, kā arī varēsiet to reģistrēt datu aizsardzības pārkāpumu reģistrā.

Pamatjēdzieni: personas dati, datu aizsardzības pārkāpums (personas datu aizsardzības pārkāpums), pārzinis, apstrādātājs, VDAR 33. un 34. pants, pārkāpumu paziņošanas forma, 72 stundas, risks un augsts risks, datu aizsardzības pārkāpumu reģistrs

Kas ir datu aizsardzības pārkāpums?

Dzirdot vārdus "datu aizsardzības pārkāpums", cilvēki iedomājas hakerus, kas nozog datubāzi. Tas ir viens no veidiem. VDAR lieto plašāku definīciju: personas datu aizsardzības pārkāpums ir drošības pārkāpums, kura rezultātā notiek nejauša vai nelikumīga personas datu iznīcināšana, nozaudēšana, pārveidošana, neatļauta izpaušana vai piekļuve tiem (4. panta 12. punkts).

Personas dati ir jebkādi dati par atpazīstamu personu: vārds un uzvārds, e-pasta adrese, piemēram, jan.jansen@..., tālruņa numurs, adrese, klienta numurs ar pasūtījumu vēsturi, fotogrāfija, IP adrese kopā ar citiem datiem. Dati par uzņēmumu kā tādu (reģistrācijas numurs, vispārēja adrese) tādi nav, taču dati par kontaktpersonu gan ir.

Tādējādi par datu aizsardzības pārkāpumiem uzskatāmi, piemēram, šādi gadījumi:

• e-pasts ar klientu sarakstu, kas nosūtīts nepareizam adresātam;
• jaunumu vēstule, kurā visi saņēmēji redzami laukā "Kam" vai "Kopija";
• pazaudēta USB atmiņa vai klēpjdators ar darbinieku datiem, ja tie nebija šifrēti;
• izspiedējvīruss, kas šifrē klientu datu bāzi (dati tad nav pieejami, arī ja neviens tos nav nokopējis);
• pārņemta e-pasta kastīte, kurā ir rēķini ar vārdiem un adresēm;
• koplietota saite uz mapi ar pieteikuma vēstulēm, kas pieejama ikvienam.

Vārdi "drošības pārkāpums" rāda, ka runa nav tikai par konfidencialitāti. Nozīme ir arī nozaudēšanai (dati ir pazuduši) un pārveidošanai (kāds ir mainījis konta numurus).

Kurš ir atbildīgs: Jūs vai Jūsu piegādātājs?

VDAR paredz divas lomas.

• Pārzinis nosaka, kāpēc un kā personas dati tiek apstrādāti. Par Jūsu klientu un darbinieku datiem atbildīgs esat Jūs, kā uzņēmējs.
• Apstrādātājs apstrādā datus Jūsu uzdevumā: Jūsu mitināšanas (hostinga) uzņēmums, grāmatvedības programma mākonī, jaunumu vēstuļu pakalpojums, IT piegādātājs.

Ja pārkāpums notiek pie apstrādātāja, tam Jūs par to jāinformē bez nepamatotas kavēšanās (33. panta 2. punkts). Jūs tad izvērtējat, vai jāziņo DVI un skartajām personām, un parasti ziņojat arī pats (ja vien neesat vienojušies, ka to Jūsu vārdā dara apstrādātājs). Tātad pienākums paliek pie Jums, arī ja kļūda bija kāda cita. Tāpēc apstrādes līgumā jāiekļauj vienošanās par to, cik ātri un kā apstrādātājs Jūs informē (4.2. nodarbība).

72 stundu termiņš

VDAR 33. pants nosaka, ka par datu aizsardzības pārkāpumu Jums bez nepamatotas kavēšanās un, ja iespējams, 72 stundu laikā jāpaziņo Datu valsts inspekcijai (DVI) pēc tam, kad par to esat uzzinājis. Izņēmums: ja nav ticams, ka pārkāpums rada risku cilvēku tiesībām un brīvībām.

Četri punkti bieži tiek nepareizi saprasti:

1. Laika atskaite sākas, kad Jūs par to uzzināt, nevis brīdī, kad pārkāpums noticis. "Uzzināt" nozīmē: Jūs esat saprātīgi pārliecināts, ka ir noticis pārkāpums, kurā iesaistīti personas dati. Īsu sākotnējo izvērtējumu drīkst veikt, taču, ja apzināti nepārbaudāt, laika atskaite tāpēc tālāk nebīdās.
2. 72 stundas ir 72 stundas, arī nedēļas nogalē un svētku dienās. Ja pārkāpumu atklājat piektdien pulksten 16:40, galējais termiņš ir pirmdien pulksten 16:40.
3. Nepilnīgu paziņojumu drīkst iesniegt. Ja pēc 72 stundām vēl ne visu zināt, paziņojat ar to, ko zināt, un vēlāk papildināt. Ja paziņojat vēlāk par 72 stundām, kavēšanās jāpamato (VDAR 33. pants).
4. Runa ir par risku cilvēkiem, nevis par kaitējumu Jūsu uzņēmumam.

Atklāts:  piektdien   16:40   -> laika atskaite sākas
          sestdiena            (tiek ieskaitīta)
          svētdiena            (tiek ieskaitīta)
Vēlākais pirmdien   16:40   -> paziņojums DVI (iespējams, nepilnīgs)

Paziņojumu parasti iesniedz, izmantojot DVI tīmekļa vietnē pieejamo tiešsaistes paziņošanas veidlapu par datu aizsardzības pārkāpumu. Paziņojumu varat sagatavot jau iepriekš. Tajā citstarp norādāt, kas notika, kad, kādi un cik dati un personas ir skartas, kādas var būt sekas un kādus pasākumus esat veicis. Šeit noderēs 4.1. nodarbībā minētais žurnāls.

Kad ziņot un kad nē: riska izvērtēšana

Jūs izvērtējat, cik ticamas un cik smagas sekas var būt skartajām personām. Jāņem vērā: identitātes zādzība, finansiāls kaitējums, diskriminācija, reputācijas kaitējums vai kontroles zaudēšana pār saviem datiem. Noderīgi jautājumi:

Divi bieži sastopami piemēri:

• Nozagts šifrēts klēpjdators ar spēcīgu paroli, atslēga nav noplūdusi, pieejama nesena rezerves kopija: risks, visticamāk, nav. DVI nav jāziņo, taču tas jāreģistrē Jūsu reģistrā.
• Uzlauzts interneta veikals, uzbrucējs ieguvis e-pasta adreses un vāji glabātas paroles: pastāv risks, tātad jāziņo. Un tā kā cilvēki bieži atkārtoti izmanto vienu paroli (1.4. nodarbība), risks ir augsts: jāinformē skartās personas.

Ja šaubāties, drošākā izvēle parasti ir ziņot. Arī DVI iesaka šaubu gadījumā ziņot. Jaunu informāciju vēlāk sniedzat ar papildu paziņojumu.

Skarto personu informēšana: augsta riska gadījumā

34. pants attiecas uz personām, kuru dati ir skarti. Ja pārkāpums, visticamāk, rada augstu risku, Jums tās jāinformē nekavējoties: cik ātri vien saprātīgi iespējams. Šeit nav noteikts 72 stundu termiņš, taču gaidīšana, līdz viss tiek noskaidrots, arī nav paredzēta.

Paziņojumā skaidrā valodā jānorāda, kas notika, kādas ir iespējamās sekas, ko Jūs darāt un ko skartās personas var darīt pašas (piemēram, nomainīt paroli citur, būt modriem attiecībā uz pikšķerēšanu Jūsu vārdā, brīdināt savu banku), kā arī jānorāda kontaktpersona.

Informēšana nav nepieciešama, ja esat veicis atbilstošus pasākumus, kas padara datus nelasāmus (piemēram, laba šifrēšana), ja vēlāk esat veicis pasākumus, kuru rezultātā augsts risks vairs nav ticams, vai ja tas prasītu nesamērīgu piepūli: tad veicat publisku paziņojumu (34. panta 3. punkts).

Ņemiet vērā: pikšķerēšana bieži seko datu aizsardzības pārkāpumam. Noziedznieki tad zina, kas ir Jūsu klienti, un sūta e-pastu "no Jums". Brīdiniet par to arī savus klientus.

Datu aizsardzības pārkāpumu reģistrs: vienmēr

33. panta 5. punkts uzliek pienākumu reģistrēt katru datu aizsardzības pārkāpumu, arī ja par to neziņojat. Reģistrējiet: faktus, sekas, veiktos pasākumus un savu izvērtējumu (kāpēc ziņojāt vai neziņojāt, kāpēc informējāt vai neinformējāt). Formu varat izvēlēties pats; DVI piedāvā paraugu. Pietiek ar vienkāršu tabulu:

Nr. | Atklāts (datums/laiks) | Kas notika | Kādi dati, cik personu
    | Sekas | Pasākumi | Ziņots DVI? (jā/nē + kāpēc, datums)
    | Skartās personas informētas? (jā/nē + kāpēc) | Izskatīts (datums)

Reģistrs noder arī Jums pašam: ja redzat, ka trīs reizes gadā atkārtojas "e-pasts nosūtīts nepareizam adresātam", Jūs zināt, kur jāuzlabo process (piemēram, jāievieš sūtīšanas aizture, vai vairs nepievienot klientu sarakstus kā pielikumu, 7.3. nodarbība).

Datu aizsardzības pārkāpums un Nacionālais kiberdrošības likums: divi atšķirīgi paziņojumi

Ja Jūsu organizācija ietilpst Nacionālā kiberdrošības likuma (NIS2 pārņemšana, 9.1. nodarbība) darbības jomā, papildus pastāv ziņošanas pienākums par nozīmīgiem incidentiem: sākotnējais brīdinājums 24 stundu laikā, paziņojums 72 stundu laikā un gala ziņojums mēneša laikā, izmantojot reģistrāciju Nacionālajā kiberdrošības centrā (NKC), https://www.cyber.gov.lv/. Tas ir cits paziņojums, ar citu mērķi (pakalpojumu nepārtrauktība) un citai iestādei. Tātad izspiedējvīrusa uzbrukums var attiekties uz abiem. Lielākā daļa mazo uzņēmumu neietilpst Nacionālā kiberdrošības likuma darbības jomā; VDAR ziņošanas pienākums gan attiecas uz visiem.

Šī nodarbība sniedz vispārēju skaidrojumu un nav juridisks padoms. Šaubu gadījumā konsultējieties ar DVI tīmekļa vietni vai juristu.

Kopsavilkums

• Datu aizsardzības pārkāpums ir jebkurš pārkāpums, kura rezultātā personas dati tiek zaudēti, mainīti vai nonāk pie kāda, kam tiem nebūtu jāpiekļūst; arī e-pasts, kas nosūtīts nepareizam adresātam, vai pazudis nešifrēts klēpjdators.
• Ziņošana DVI: bez nepamatotas kavēšanās un, ja iespējams, 72 stundu laikā pēc atklāšanas, arī nedēļas nogalē, ja vien nav ticams, ka risks nepastāv. Nepilnīgu paziņojumu drīkst iesniegt.
• Skarto personu informēšana: nekavējoties, ja ir ticams, ka pastāv augsts risks.
• Ja pārkāpums notiek pie Jūsu apstrādātāja, tam Jūs ir jāinformē; lēmums par ziņošanu paliek pie Jums.
• Reģistrējiet katru datu aizsardzības pārkāpumu savā reģistrā kopā ar savu izvērtējumu.

Tests

Uzdevums

Uzdevums A8.2: Aprēķiniet termiņu. Jūs saņemat četrus atklāšanas brīžus. Katram brīdim ievadiet galējo datumu un laiku paziņojuma iesniegšanai DVI. Programma to pārbaudīs.

Uzdevums A8.2b: Ziņot vai nē? Jūs saņemat astoņus īsus gadījumus. Katram gadījumam izvēlieties, vai jāziņo DVI, vai jāinformē skartās personas un vai tas jāreģistrē datu aizsardzības pārkāpumu reģistrā. Programma to pārbaudīs un sniegs skaidrojumu katram gadījumam.

Papildu lasāmviela

Soļi WebOké rakstos attiecas uz WebOké vidi; citiem pakalpojumu sniedzējiem process ir līdzīgs.

• Palīdzība! Mana vietne ir uzlauzta. Kā to novērst un kā no tā izvairīties?
• Datu valsts inspekcija, Datu aizsardzības pārkāpumu reģistra paraugs: https://www.dvi.gov.lv/
• Datu valsts inspekcija, Ziņošanas pienākums par datu aizsardzības pārkāpumiem: https://www.dvi.gov.lv/
• Datu valsts inspekcija, Datu aizsardzības pārkāpumu paziņošanas veidlapas jautājumu saraksts: https://www.dvi.gov.lv/
• VDAR (Regula (ES) 2016/679), 4., 33. un 34. pants: https://eur-lex.europa.eu/eli/reg/2016/679/oj
• Nīderlandes NCSC, Datu aizsardzības pārkāpuma paziņošana: https://www.ncsc.nl/wet-en-regelgeving/melden-van-een-datalek