Vai tas ir datu noplūde un vai man tas jāpaziņo?
Kā uzņēmējam Jums ir atbildība par Jūsu klientu un darbinieku personas datiem. VDAR jeb Vispārīgajā datu aizsardzības regulā Jūs tad tiekat saukts par pārzini. Šeit Jūs varat izlasīt, kad kaut kas ir datu aizsardzības pārkāpums, kad tas ir jāpaziņo un ko darīt nekavējoties. Šis ir vispārīgs skaidrojums, nevis juridiskas konsultācijas; ja šaubāties, apmeklējiet Autoriteit Persoonsgegevens (AP, Nīderlandes Datu aizsardzības iestādes) tīmekļa vietni vai konsultējieties ar juristu.
Kas ir datu aizsardzības pārkāpums?
Saskaņā ar VDAR, Eiropas privātuma likumu, tas ir drošības pārkāpums, kura rezultātā personas dati tiek zaudēti, iznīcināti vai mainīti, vai nonāk pie kāda, kam tiem nav jābūt pieejamiem (4. panta 12. punkts). Personas dati ir dati par atpazīstamu personu, piemēram, vārds, e-pasta adrese, adrese vai pasūtījumu vēsture. Tātad tas neattiecas tikai uz hakeriem. Piemēri:
- e-pasts vai pielikums ar personas datiem, kas nosūtīts nepareizam saņēmējam;
- pazaudēts vai nozagts klēpjdators, telefons vai USB atmiņa ar nešifrētiem personas datiem;
- uzlauzta pasta kastīte, kurā ir rēķini, piedāvājumi vai pieteikuma vēstules;
- tīmekļa vietne vai interneta veikals, no kura ir nozagti klientu dati;
- izspiedējvīruss, kura dēļ Jums vairs nav pieejama klientu administrācija, pat ja nekas nav kopēts.
Pirmie soļi
- Apturiet pārkāpumu. Lūdziet nepareizajam saņēmējam izdzēst e-pastu un to apstiprināt. Mainiet pārņemtās pasta kastītes paroli, izmantojot ierīci, kurai Jūs uzticaties (skatiet Drošas paroles un ko darīt, ja parole ir noplūdusi).
- Noskaidrojiet, kas notika. Kāds ir cēlonis, kad tas sākās, kādi dati tas ir, cik daudz cilvēku skar, kam ir piekļuve un vai dati bija šifrēti? Pierakstiet visu ar datumu un laiku.
- Novērtējiet risku cilvēkiem, kuru dati tika skarti (skatiet zemāk).
- Paziņojiet AP, ja tas ir nepieciešams, 72 stundu laikā.
- Informējiet skartās personas, ja risks viņiem ir augsts.
- Ierakstiet to savā datu aizsardzības pārkāpumu reģistrā. Tas jādara vienmēr.
Vai man jāziņo Autoriteit Persoonsgegevens?
Jūs ziņojat par datu aizsardzības pārkāpumu bez nepamatotas kavēšanās un, ja iespējams, 72 stundu laikā pēc tam, kad esat to atklājis. Tas nav nepieciešams, ja tas, visticamāk, nerada risku cilvēkiem, kuru dati tika skarti (VDAR 33. pants).
- Laiks sākas, kad Jūs par to uzzināt, nevis kad pārkāpums notika. Nedēļas nogale tiek ieskaitīta: ja atklājat to piektdien pulksten 16:40, Jums jāpaziņo vēlākais pirmdien pulksten 16:40.
- Nepilnīgs ziņojums ir pieļaujams. Ja pēc 72 stundām vēl nezināt visu, ziņojiet ar to, ko zināt, un vēlāk papildiniet ziņojumu.
- Tikai tiešsaistē. Jūs ziņojat, izmantojot AP ziņošanas veidlapu, nevis pa tālruni, e-pastu vai pastu. Ar AP anketu Jūs sagatavojat ziņojumu.
- Vai šaubāties? AP iesaka tomēr ziņot.
Šie jautājumi palīdz izsvērt situāciju:
| Jautājums | Zemāks risks | Augstāks risks |
|---|---|---|
| Kādi dati? | Tikai darījumu kontaktinformācija | Personas kods, personu apliecinoša dokumenta kopija, bankas dati, paroles, medicīniskie dati, bērnu dati |
| Cik daudz cilvēku? | Viens vai daži | Daudz |
| Lasāms kam, kam tas ir? | Labi šifrēts, atslēga nav noplūdusi | Lasāms, vai arī parole ir arī noplūdusi |
| Kam tas ir? | Zināms saņēmējs, kurš apstiprina, ka to ir izdzēsis | Nezināma persona, noziedznieks, vai publiski pieejams internetā |
Piemērs: ja tiek nozagts labi šifrēts klēpjdators, risks, visticamāk, nepastāv. Tad ziņošana nav nepieciešama, bet Jūs to tomēr ierakstāt savā reģistrā. Nešifrētā klēpjdatorā atradējs var visu izlasīt; tad parasti risks pastāv.
Kad informēt skartās personas?
Ja pārkāpums, visticamāk, rada augstu risku cilvēkiem, kuru dati tika skarti, Jums viņi jāinformē nekavējoties (VDAR 34. pants). Vienkāršā valodā izklāstiet, kas notika, kādas var būt sekas, ko Jūs darāt un ko viņi paši var darīt, piemēram, nomainīt paroli vai pievērst papildu uzmanību pikšķerēšanai Jūsu vārdā.
Tas nav nepieciešams, ja dati labas šifrēšanas dēļ bija nelasāmi, vai ja pēc tam esat veicis pasākumus, kuru rezultātā augsts risks vairs nav ticams. Ja sasniegt visus prasītu nesamērīgas pūles, Jūs varat sniegt publisku paziņojumu.
Datu aizsardzības pārkāpumu reģistrs: vienmēr jāuztur
Katru datu aizsardzības pārkāpumu Jūs reģistrējat, pat ja par to neziņojat (33. panta 5. punkts). Pierakstiet faktus, sekas, veiktos pasākumus un savu izsvēršanu: kāpēc Jūs ziņojāt vai neziņojāt un kāpēc informējāt vai neinformējāt skartās personas. AP piedāvā parauga datu aizsardzības pārkāpumu reģistru.
Ja pārkāpums ir noticis pie piegādātāja?
Jūsu hostinga uzņēmums, Jūsu grāmatvedības programma mākonī vai Jūsu jaunumu vēstuļu pakalpojums saskaņā ar VDAR ir apstrādātājs: puse, kas apstrādā personas datus Jūsu uzdevumā. Apstrādātājam ir jāinformē Jūs bez nepamatotas kavēšanās, ja tas atklāj datu aizsardzības pārkāpumu (33. panta 2. punkts). Pēc tam Jūs izvērtējat, vai Jums ir jāziņo, un parasti ziņojat arī pats.
Tas attiecas arī uz gadījumu, ja WebOké ir Jūsu apstrādātājs. Vai domājat, ka pārkāpums ir noticis pie mums, piemēram, mūsu serveros? Sazinieties ar mums nekavējoties, izveidojot pieteikumu Atbalsta centrā, norādot, ko esat pamanījis un kad.
Lasīt tālāk
- WebOké rezerves kopijas: rezerves kopijas skatīšana, atjaunošana vai lejupielāde
- Autoriteit Persoonsgegevens: ziņot vai neziņot
- Autoriteit Persoonsgegevens: kā ziņot par datu aizsardzības pārkāpumu
- Autoriteit Persoonsgegevens: ziņošanas veidlapas anketa
- Autoriteit Persoonsgegevens: parauga datu aizsardzības pārkāpumu reģistrs
- VDAR, 4., 33. un 34. pants (EUR-Lex)