Витік даних у компанії: що потрібно зробити в перші 72 години

Це стається швидше, ніж здається: лист із даними клієнтів іде не тому адресатові, ноутбук крадуть у поїзді, працівник натискає на посилання в підробленому листі – і раптом дані зашифровано. З моменту, коли ви про це дізналися, триває строк 72 години.

Що таке витік даних?

Ідеться про будь-яке порушення захисту персональних даних (Art. 4 Nr. 12 DSGVO): дані без дозволу розкрито, втрачено, змінено або вони стали недоступними. Типові приклади:

• лист або електронне повідомлення з персональними даними не тому адресатові,
• відкрита розсилка, де всі одержувачі бачать адреси одне одного,
• загублений або вкрадений телефон, ноутбук чи флешка без шифрування,
• хакерська атака, шкідлива програма або вірус-шифрувальник,
• документи з даними клієнтів у макулатурі.

Строк 72 години

Про витік потрібно повідомити компетентний наглядовий орган невідкладно і за можливості протягом 72 годин після того, як він став вам відомий (Art. 33 Abs. 1 DSGVO). Строк спливає і у вихідні, і у святкові дні. Для компаній у Гессені це Уповноважений із захисту даних і свободи інформації землі Гессен (HBDI), який має для цього онлайн-форму.

Якщо ви ще не знаєте всіх подробиць, усе одно повідомте вчасно й доповніть інформацію пізніше. Якщо ви повідомляєте пізніше ніж через 72 години, затримку потрібно обґрунтувати.

Коли повідомлення не потрібне?

Повідомлення не вимагається, якщо витік, найімовірніше, не створює ризику для прав і свобод постраждалих. Так може бути, наприклад, якщо загублений ноутбук був повністю зашифрований. Але цю оцінку потрібно обґрунтувати й задокументувати. У сумнівних випадках краще повідомити.

Коли потрібно проінформувати постраждалих?

Якщо, найімовірніше, є високий ризик – наприклад, у разі витоку даних про здоров’я, банківських даних, паролів або копій посвідчень особи, – потрібно додатково невідкладно проінформувати постраждалих (Art. 34 DSGVO) – зрозумілою і простою мовою, з порадами, що вони можуть зробити самі, наприклад змінити паролі.

Крок за кроком: перші 72 години

1. Обмежте шкоду: від’єднайте уражені пристрої від мережі, змініть паролі, попросіть помилкового одержувача видалити дані, заблокуйте доступи.
2. Зафіксуйте обставини: що сталося, коли, які дані, скільки людей зачеплено?
3. Оцініть ризик: наскільки чутливі дані? Чи можуть постраждалі зазнати шкоди, наприклад від шахрайства чи розголосу?
4. Повідомте: протягом 72 годин наглядовий орган, якщо ризик не можна виключити.
5. Проінформуйте постраждалих, якщо ризик високий.
6. Задокументуйте: кожен витік має бути у внутрішній документації – навіть той, про який ви не повідомляєте (Art. 33 Abs. 5 DSGVO).
7. Запобіжіть повторенню: усуньте причину, навчіть працівників, удоскональте технічні заходи.

Що буде, якщо не повідомити?

Відсутність або несвоєчасність повідомлення – саме по собі порушення DSGVO, за яке може бути накладено штраф (Art. 83 Abs. 4 DSGVO). До цього додаються можливі вимоги постраждалих про відшкодування збитків. Своєчасне й ділове повідомлення, навпаки, враховується на вашу користь.

Підрядники та обробники даних

Якщо витік стався в підрядника, який обробляє дані для вас, – наприклад, у хмарного сервісу чи бухгалтерії з розрахунку заробітної плати, – він зобов’язаний невідкладно повідомити вас (Art. 33 Abs. 2 DSGVO). Але обов’язок повідомити наглядовий орган лежить на вас як на відповідальній особі.

Порада: будьте готові заздалегідь

Уже зараз визначте, хто в компанії відповідає за витоки даних, хто ухвалює рішення і хто повідомляє наглядовий орган. Простий план дій на випадок надзвичайної ситуації заощадить найцінніші години.

Стаття містить загальну інформацію про правове становище і не замінює індивідуальної юридичної консультації. Щоб отримати оцінку вашої ситуації, зв’яжіться з нами.