Утечка данных в компании: что нужно сделать в первые 72 часа

Это случается быстрее, чем кажется: письмо с данными клиентов уходит не тому адресату, ноутбук крадут в поезде, сотрудник нажимает на ссылку в поддельном письме – и вдруг все данные зашифрованы. С момента, когда вы об этом узнали, идёт срок 72 часа.

Что такое утечка данных?

Имеется в виду любое нарушение защиты персональных данных (Art. 4 Nr. 12 DSGVO): данные без разрешения раскрыты, утеряны, изменены или стали недоступны. Типичные примеры:

• письмо или электронное сообщение с персональными данными не тому адресату,
• открытая рассылка, где все получатели видят адреса друг друга,
• потерянный или украденный телефон, ноутбук или флешка без шифрования,
• хакерская атака, вредоносная программа или вирус-шифровальщик,
• документы с данными клиентов в макулатуре.

Срок 72 часа

Об утечке нужно сообщить в компетентный надзорный орган незамедлительно и по возможности в течение 72 часов после того, как она стала вам известна (Art. 33 Abs. 1 DSGVO). Срок идёт и в выходные, и в праздники. Для компаний в Гессене это Уполномоченный по защите данных и свободе информации земли Гессен (HBDI), у которого есть для этого онлайн-форма.

Если вы ещё не знаете всех подробностей, всё равно сообщите вовремя и дополните информацию позже. Если вы сообщаете позже 72 часов, задержку нужно обосновать.

Когда сообщение не нужно?

Сообщение не требуется, если утечка, скорее всего, не создаёт риска для прав и свобод пострадавших. Так может быть, например, если потерянный ноутбук был полностью зашифрован. Но эту оценку нужно обосновать и задокументировать. В сомнительных случаях лучше сообщить.

Когда нужно уведомить пострадавших?

Если, скорее всего, есть высокий риск – например, при утечке данных о здоровье, банковских данных, паролей или копий удостоверений личности, – нужно дополнительно незамедлительно уведомить пострадавших (Art. 34 DSGVO) – понятным и простым языком, с рекомендациями, что они могут сделать сами, например сменить пароли.

Шаг за шагом: первые 72 часа

1. Ограничьте ущерб: отключите затронутые устройства от сети, смените пароли, попросите ошибочного получателя удалить данные, заблокируйте доступы.
2. Зафиксируйте обстоятельства: что произошло, когда, какие данные, сколько людей затронуто?
3. Оцените риск: насколько чувствительны данные? Могут ли пострадавшие понести ущерб, например от мошенничества или огласки?
4. Сообщите: в течение 72 часов в надзорный орган, если риск нельзя исключить.
5. Уведомите пострадавших, если риск высокий.
6. Задокументируйте: каждая утечка должна быть во внутренней документации – даже та, о которой вы не сообщаете (Art. 33 Abs. 5 DSGVO).
7. Предотвратите повторение: устраните причину, обучите сотрудников, улучшите технические меры.

Что будет, если не сообщить?

Отсутствие или несвоевременность сообщения – само по себе нарушение DSGVO, за которое может быть назначен штраф (Art. 83 Abs. 4 DSGVO). К этому добавляются возможные требования пострадавших о возмещении ущерба. Своевременное и деловое сообщение, напротив, учитывается в вашу пользу.

Подрядчики и обработчики данных

Если утечка произошла у подрядчика, который обрабатывает данные для вас, – например, у облачного сервиса или бухгалтерии по расчёту зарплаты, – он обязан незамедлительно сообщить вам (Art. 33 Abs. 2 DSGVO). Но обязанность сообщить в надзорный орган лежит на вас как ответственном лице.

Совет: будьте готовы заранее

Уже сейчас определите, кто в компании отвечает за утечку данных, кто принимает решения и кто сообщает в надзорный орган. Простой план действий в экстренной ситуации сэкономит самые ценные часы.

Статья содержит общую информацию о правовом положении и не заменяет индивидуальную юридическую консультацию. Чтобы получить оценку вашей ситуации, свяжитесь с нами.