Vai šī ir datu noplūde, un vai man par to ir jāziņo?
Kā uzņēmējs Jūs esat atbildīgs par savu klientu un darbinieku personas datiem. VDAR Jūs tad saucat par pārzini. Šeit varat uzzināt, kad notikušais ir datu noplūde, kad par to jāziņo un kas jādara nekavējoties. Šis ir vispārīgs skaidrojums, nevis juridiska konsultācija. Ja rodas šaubas, apmeklējiet Nīderlandes datu aizsardzības uzraudzības iestādes Autoriteit Persoonsgegevens (AP) tīmekļa vietni vai konsultējieties ar juristu.
Kas ir datu noplūde?
Saskaņā ar VDAR, Eiropas privātuma regulu, tas ir drošības pārkāpums, kura rezultātā personas dati tiek pazaudēti, iznīcināti vai pārveidoti vai nonāk pie kāda, kam nav tiesību tiem piekļūt (4. panta 12. punkts). Personas dati ir dati par identificējamu personu, piemēram, vārds, e-pasta adrese, adrese vai pasūtījumu vēsture. Tātad runa nav tikai par hakeriem. Piemēri:
- e-pasta vēstule vai pielikums ar personas datiem, kas nosūtīts nepareizam saņēmējam;
- pazaudēts vai nozagts klēpjdators, tālrunis vai USB zibatmiņa ar personas datiem, kas nebija šifrēti;
- uzlauzta pastkaste, kurā ir rēķini, piedāvājumi vai pieteikuma vēstules;
- tīmekļa vietne vai interneta veikals, no kura nozagti klientu dati;
- izspiedējvīruss, kura dēļ Jūs vairs nevarat piekļūt savai klientu uzskaitei, pat ja nekas nav nokopēts.
Pirmie soļi
- Apturiet noplūdi. Palūdziet nepareizajam saņēmējam izdzēst e-pasta vēstuli un to apstiprināt. Nomainiet pārņemtās pastkastes paroli no ierīces, kurai uzticaties (skatiet Drošas paroles un kā rīkoties, ja parole ir nopludināta).
- Noskaidrojiet, kas notika. Kāds ir cēlonis, kad tas sākās, kādi dati tie ir, cik cilvēku tas skar, kas tiem var piekļūt un vai dati bija šifrēti? Pierakstiet visu, norādot datumu un laiku.
- Novērtējiet risku cilvēkiem, kuru dati tie ir (skatiet zemāk).
- Ziņojiet AP, ja tas nepieciešams, 72 stundu laikā.
- Informējiet datu subjektus, ja risks viņiem ir augsts.
- Ierakstiet to savā datu noplūžu reģistrā. To dariet vienmēr.
Vai man jāziņo Autoriteit Persoonsgegevens?
Par datu noplūdi Jūs ziņojat bez nepamatotas kavēšanās un, ja iespējams, 72 stundu laikā pēc tās atklāšanas. Tas nav jādara, ja noplūde, visticamāk, nerada risku cilvēkiem, kuru dati tie ir (VDAR 33. pants).
- Laiks sāk ritēt, kad Jūs par to uzzināt, nevis kad noplūde notika. Brīvdienas tiek ieskaitītas: ja to atklājat piektdien plkst. 16:40, Jums jāziņo ne vēlāk kā pirmdien plkst. 16:40.
- Ziņot var arī nepilnīgi. Ja pēc 72 stundām Jums vēl nav zināms viss, ziņojiet to, ko zināt, un vēlāk papildiniet ziņojumu.
- Tikai tiešsaistē. Jūs ziņojat, izmantojot AP ziņošanas veidlapu, nevis pa tālruni, e-pastu vai pastu. Ar AP anketas palīdzību varat sagatavot ziņojumu.
- Vai Jums ir šaubas? AP iesaka tādā gadījumā tomēr ziņot.
Šie jautājumi palīdz izvērtēt situāciju:
| Jautājums | Zemāks risks | Augstāks risks |
|---|---|---|
| Kādi dati? | Tikai darba kontaktinformācija | Personas kods (BSN), personu apliecinoša dokumenta kopija, bankas dati, paroles, medicīniskie dati, bērnu dati |
| Cik cilvēku? | Viens vai daži | Daudzi |
| Vai tie ir lasāmi tam, kura rīcībā tie ir? | Labi šifrēti, atslēga nav nopludināta | Lasāmi, vai arī ir nopludināta arī parole |
| Kura rīcībā tie ir? | Zināms saņēmējs, kas apstiprina datu dzēšanu | Nezināma persona, noziedznieks vai publiski pieejami internetā |
Piemērs: ja tiek nozagts labi šifrēts klēpjdators, risks, visticamāk, nepastāv. Tad ziņot nav nepieciešams, taču Jūs to tomēr ierakstāt savā reģistrā. Nešifrētā klēpjdatorā atradējs var izlasīt visu, tāpēc parasti risks pastāv.
Kad jāinformē datu subjekti?
Ja noplūde, visticamāk, rada augstu risku cilvēkiem, kuru dati tie ir, Jūs viņus informējat nekavējoties (VDAR 34. pants). Vienkāršā valodā izskaidrojiet, kas notika, kādas var būt sekas, ko darāt Jūs un ko viņi paši var darīt, piemēram, nomainīt paroli vai īpaši uzmanīties no pikšķerēšanas Jūsu vārdā.
Tas nav jādara, ja dati labas šifrēšanas dēļ bija nelasāmi vai ja pēc tam esat veicis pasākumus, kuru dēļ augsts risks vairs nav ticams. Ja sazināšanās ar katru personu prasītu nesamērīgas pūles, Jūs sniedzat publisku paziņojumu.
Datu noplūžu reģistrs: vienmēr jāuztur
Katru datu noplūdi Jūs reģistrējat, pat ja par to neziņojat (33. panta 5. punkts). Pierakstiet faktus, sekas, veiktos pasākumus un savu izvērtējumu: kāpēc ziņojāt vai neziņojāt un kāpēc informējāt vai neinformējāt datu subjektus. AP ir pieejams datu noplūžu reģistra paraugs.
Ko darīt, ja noplūde notikusi pie piegādātāja?
Jūsu hostinga uzņēmums, Jūsu grāmatvedības programma mākonī vai Jūsu jaunumu vēstuļu pakalpojums saskaņā ar VDAR ir apstrādātājs: puse, kas apstrādā personas datus Jūsu uzdevumā. Apstrādātājam bez nepamatotas kavēšanās jāinformē Jūs, ja tas atklāj datu noplūdi (33. panta 2. punkts). Pēc tam Jūs izvērtējat, vai jāziņo, un principā ziņojat arī paši.
Tas attiecas arī uz gadījumiem, kad WebOké ir Jūsu apstrādātājs. Vienošanās par to ir iekļautas mūsu datu apstrādes līgumā, skatiet Datu apstrādes līgums: kur to atrast? Vai domājat, ka noplūde notikusi pie mums, piemēram, mūsu serveros? Tad nekavējoties sazinieties ar mums, izveidojot pieteikumu Atbalsta centrā, un aprakstiet, ko pamanījāt un kad.
Papildu informācija
- WebOké Backups: rezerves kopijas apskate, atjaunošana vai lejupielāde
- Autoriteit Persoonsgegevens: ziņot vai neziņot
- Autoriteit Persoonsgegevens: kā ziņot par datu noplūdi
- Autoriteit Persoonsgegevens: ziņošanas veidlapas anketa
- Autoriteit Persoonsgegevens: datu noplūžu reģistra paraugs
- VDAR, 4., 33. un 34. pants (EUR-Lex)
Vēlaties uzzināt vairāk? Apgūstiet bezmaksas kursu “Droši tiešsaistē uzņēmējiem”, nodarbību 8.2 Datu noplūdes un ziņošanas pienākums.