Παραβιάσεις δεδομένων και η υποχρέωση γνωστοποίησης

Ενότητα 8: Όταν κάτι πάει στραβά · Χρόνος ανάγνωσης: 11 λεπτά

Στόχος μαθήματος: Μετά από αυτό το μάθημα μπορείτε να κρίνετε αν κάτι αποτελεί παραβίαση δεδομένων, αν πρέπει να το γνωστοποιήσετε εντός 72 ωρών στην Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (ΑΠΔΠΧ) και αν πρέπει να ενημερώσετε τα υποκείμενα των δεδομένων, και μπορείτε να το καταγράψετε σε μητρώο παραβιάσεων.

Βασικές έννοιες: δεδομένα προσωπικού χαρακτήρα, παραβίαση δεδομένων (παραβίαση σε σχέση με δεδομένα προσωπικού χαρακτήρα), υπεύθυνος επεξεργασίας, εκτελών την επεξεργασία, άρθρα 33 και 34 του GDPR (ΓΚΠΔ), γνωστοποίηση παραβίασης στην ΑΠΔΠΧ, 72 ώρες, κίνδυνος και υψηλός κίνδυνος, μητρώο παραβιάσεων

Τι είναι μια παραβίαση δεδομένων;

Στη λέξη «παραβίαση δεδομένων» οι περισσότεροι σκέφτονται χάκερ που κλέβουν μια βάση δεδομένων. Αυτή είναι μία μόνο μορφή. Ο GDPR (ΓΚΠΔ) χρησιμοποιεί έναν ευρύτερο ορισμό: μια παραβίαση σε σχέση με δεδομένα προσωπικού χαρακτήρα είναι μια παραβίαση της ασφάλειας που οδηγεί, τυχαία ή αθέμιτα, σε καταστροφή, απώλεια, μεταβολή, μη εξουσιοδοτημένη κοινολόγηση ή πρόσβαση σε δεδομένα προσωπικού χαρακτήρα (άρθρο 4, σημείο 12).

Δεδομένα προσωπικού χαρακτήρα είναι κάθε πληροφορία σχετικά με αναγνωρίσιμο πρόσωπο: ένα όνομα, ένα email όπως jan.jansen@..., ένας αριθμός τηλεφώνου, μια διεύθυνση, ένας αριθμός πελάτη με ιστορικό παραγγελιών, μια φωτογραφία, μια διεύθυνση IP σε συνδυασμό με άλλα δεδομένα. Δεδομένα για μια επιχείρηση αυτή καθαυτή (αριθμός ΓΕΜΗ, γενική διεύθυνση) δεν είναι, αλλά τα δεδομένα για το πρόσωπο επικοινωνίας είναι.

Με αυτή τη λογική, όλα τα παρακάτω αποτελούν παραβιάσεις δεδομένων:

• ένα email με λίστα πελατών που στέλνεται σε λάθος παραλήπτη·
• ένα newsletter όπου όλοι οι παραλήπτες εμφανίζονται ορατοί στο πεδίο Προς ή CC·
• ένα χαμένο USB stick ή laptop με δεδομένα προσωπικού σε περίπτωση που δεν ήταν κρυπτογραφημένο·
• ransomware που κρυπτογραφεί το σύστημα διαχείρισης πελατών (τα δεδομένα δεν είναι τότε διαθέσιμα, ακόμα κι αν δεν αντιγράφηκε τίποτα)·
• ένα mailbox στο οποίο κάποιος απέκτησε πρόσβαση και περιέχει τιμολόγια με ονόματα και διευθύνσεις·
• ένας κοινόχρηστος σύνδεσμος προς φάκελο με αιτήσεις εργασίας που είναι ανοιχτός σε όλους.

Η έκφραση «παραβίαση της ασφάλειας» δείχνει ότι δεν πρόκειται μόνο για εμπιστευτικότητα. Μετράει επίσης η απώλεια (τα δεδομένα χάθηκαν) και η μεταβολή (κάποιος άλλαξε αριθμούς λογαριασμού).

Ποιος είναι υπεύθυνος: εσείς ή ο προμηθευτής σας;

Ο GDPR (ΓΚΠΔ) διακρίνει δύο ρόλους.

• Ο υπεύθυνος επεξεργασίας καθορίζει γιατί και πώς υφίστανται επεξεργασία τα δεδομένα προσωπικού χαρακτήρα. Για τα δεδομένα πελατών και προσωπικού σας, αυτός είστε εσείς, ως επιχειρηματίας.
• Ένας εκτελών την επεξεργασία επεξεργάζεται δεδομένα για λογαριασμό σας: η εταιρεία hosting σας, το λογιστικό σας πρόγραμμα στο cloud, η υπηρεσία newsletter σας, ο προμηθευτής πληροφορικής σας.

Αν συμβεί παραβίαση σε έναν εκτελούντα την επεξεργασία, εκείνος οφείλει να σας ενημερώσει χωρίς αδικαιολόγητη καθυστέρηση (άρθρο 33 παράγραφος 2). Εσείς κρίνετε τότε αν πρέπει να γνωστοποιήσετε στην ΑΠΔΠΧ και στα υποκείμενα των δεδομένων, και κατά κανόνα γνωστοποιείτε κι εσείς οι ίδιοι (εκτός αν έχετε συμφωνήσει ότι ο εκτελών την επεξεργασία το κάνει εξ ονόματός σας). Η υποχρέωση παραμένει επομένως σε εσάς, ακόμα κι αν το λάθος έγινε από κάποιον άλλο. Γι' αυτό σε μια σύμβαση επεξεργασίας δεδομένων καταγράφονται συμφωνίες σχετικά με το πόσο γρήγορα και με ποιον τρόπο ένας εκτελών την επεξεργασία σας ενημερώνει (μάθημα 7.2).

Το ρολόι των 72 ωρών

Το άρθρο 33 του GDPR (ΓΚΠΔ) ορίζει ότι γνωστοποιείτε μια παραβίαση δεδομένων χωρίς αδικαιολόγητη καθυστέρηση και, όπου είναι δυνατόν, εντός 72 ωρών στην Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, αφότου λάβετε γνώση αυτής. Η εξαίρεση: δεν είναι πιθανό η παραβίαση να επιφέρει κίνδυνο για τα δικαιώματα και τις ελευθερίες των ατόμων.

Τέσσερα σημεία παρερμηνεύονται συχνά:

1. Το ρολόι ξεκινά όταν το μαθαίνετε, όχι όταν συνέβη η παραβίαση. «Να το γνωρίζετε» σημαίνει: είστε ευλόγως βέβαιοι ότι υπάρχει παραβίαση που αφορά δεδομένα προσωπικού χαρακτήρα. Μια σύντομη πρώτη αξιολόγηση επιτρέπεται, αλλά όποιος σκόπιμα δεν κοιτάζει, δεν μετατοπίζει το ρολόι.
2. 72 ώρες είναι 72 ώρες, ακόμα και το Σαββατοκύριακο και τις αργίες. Αν ανακαλύψετε μια παραβίαση την Παρασκευή στις 16:40, η καταληκτική προθεσμία είναι η Δευτέρα στις 16:40.
3. Επιτρέπεται ελλιπής γνωστοποίηση. Αν μετά τις 72 ώρες δεν γνωρίζετε ακόμα τα πάντα, γνωστοποιείτε ό,τι γνωρίζετε και συμπληρώνετε αργότερα. Αν γνωστοποιήσετε αργότερα από τις 72 ώρες, πρέπει να εξηγήσετε γιατί· η ΑΠΔΠΧ το δέχεται μόνο σε εξαιρετικές περιπτώσεις.
4. Το ζήτημα είναι ο κίνδυνος για τα άτομα, όχι η ζημία για την επιχείρησή σας.

Ανακαλύφθηκε:  Παρασκευή   16:40   -> το ρολόι ξεκινά
          Σάββατο            (προσμετράται)
          Κυριακή            (προσμετράται)
Το αργότερο Δευτέρα   16:40   -> γνωστοποίηση στην ΑΠΔΠΧ (ενδεχομένως ελλιπής)

Η γνωστοποίηση γίνεται μόνο μέσω του ηλεκτρονικού εντύπου στον ιστότοπο της ΑΠΔΠΧ· δεν είναι δυνατή τηλεφωνικά, μέσω email ή με επιστολή. Η ΑΠΔΠΧ διαθέτει ερωτηματολόγιο με το οποίο μπορείτε να προετοιμάσετε εκ των προτέρων τη γνωστοποίηση. Συμπληρώνετε, μεταξύ άλλων, τι συνέβη, πότε, ποια και πόσα δεδομένα και άτομα αφορά, ποιες μπορεί να είναι οι συνέπειες και ποια μέτρα λάβατε. Εδώ αποδίδει το αρχείο καταγραφής από το μάθημα 8.1.

Πότε γνωστοποιείτε και πότε όχι: η στάθμιση του κινδύνου

Αξιολογείτε πόσο πιθανές και πόσο σοβαρές είναι οι συνέπειες για τα υποκείμενα των δεδομένων. Σκεφτείτε: κλοπή ταυτότητας, οικονομική ζημία, διάκριση, βλάβη στη φήμη ή απώλεια ελέγχου των δεδομένων τους. Ερωτήσεις που βοηθούν:

Δύο παραδείγματα που επανέρχονται συχνά:

• Κλεμμένο κρυπτογραφημένο laptop, ισχυρός κωδικός πρόσβασης, το κλειδί δεν διέρρευσε, πρόσφατο αντίγραφο ασφαλείας: πιθανότατα δεν υπάρχει κίνδυνος. Δεν γνωστοποιείτε στην ΑΠΔΠΧ, αλλά το καταγράφετε στο μητρώο σας.
• Παραβίαση ηλεκτρονικού καταστήματος, ο επιτιθέμενος απέκτησε διευθύνσεις email και αδύναμα αποθηκευμένους κωδικούς πρόσβασης: υπάρχει κίνδυνος, άρα γνωστοποιείτε. Και επειδή οι άνθρωποι συχνά επαναχρησιμοποιούν τον κωδικό πρόσβασής τους (μάθημα 1.4), υπάρχει υψηλός κίνδυνος: ενημερώνετε τα υποκείμενα των δεδομένων.

Έχετε αμφιβολίες; Τότε η γνωστοποίηση είναι συνήθως η ασφαλέστερη επιλογή. Και η ΑΠΔΠΧ συμβουλεύει να γνωστοποιείτε σε περίπτωση αμφιβολίας. Νέες πληροφορίες τις διαβιβάζετε αργότερα με συμπληρωματική γνωστοποίηση.

Ενημέρωση των υποκειμένων των δεδομένων: σε περίπτωση υψηλού κινδύνου

Το άρθρο 34 αφορά τα άτομα στα οποία ανήκουν τα δεδομένα. Αν η παραβίαση είναι πιθανό να επιφέρει υψηλό κίνδυνο, τότε τους ενημερώνετε χωρίς καθυστέρηση: όσο το δυνατόν πιο γρήγορα, εύλογα. Δεν ισχύει εδώ προθεσμία 72 ωρών, αλλά η αναμονή μέχρι να διερευνηθούν όλα δεν είναι επίσης η πρόθεση.

Στο μήνυμα αναφέρεται με σαφή γλώσσα τι συνέβη, ποιες είναι οι πιθανές συνέπειες, τι κάνετε εσείς και τι μπορούν να κάνουν οι ίδιοι (για παράδειγμα να αλλάξουν τον κωδικό πρόσβασής τους αλλού, να είναι προσεκτικοί σε phishing στο όνομά σας, να ειδοποιήσουν την τράπεζά τους), καθώς και ένα πρόσωπο επικοινωνίας.

Η ενημέρωση δεν είναι απαραίτητη αν είχατε λάβει κατάλληλα μέτρα που καθιστούν τα δεδομένα μη αναγνώσιμα (όπως καλή κρυπτογράφηση), αν λάβατε εκ των υστέρων μέτρα που καθιστούν τον υψηλό κίνδυνο μη πλέον πιθανό, ή αν απαιτεί δυσανάλογη προσπάθεια: τότε κάνετε δημόσια ανακοίνωση (άρθρο 34 παράγραφος 3).

Προσοχή: το phishing συχνά ακολουθεί μια παραβίαση δεδομένων. Οι εγκληματίες γνωρίζουν τότε ποιοι είναι οι πελάτες σας και στέλνουν email «από εσάς». Προειδοποιήστε τους πελάτες σας και γι' αυτό.

Το μητρώο παραβιάσεων: πάντα

Το άρθρο 33 παράγραφος 5 σας υποχρεώνει να καταγράφετε κάθε παραβίαση δεδομένων, ακόμα κι αν δεν τη γνωστοποιείτε. Καταγράψτε: τα γεγονότα, τις συνέπειες, τα μέτρα και τη στάθμισή σας (γιατί γνωστοποιήσατε ή όχι, γιατί ενημερώσατε ή όχι). Τη μορφή μπορείτε να την επιλέξετε εσείς· η ΑΠΔΠΧ διαθέτει υπόδειγμα μητρώου παραβιάσεων. Ένας απλός πίνακας αρκεί:

Αρ | Ανακαλύφθηκε (ημερομηνία/ώρα) | Τι συνέβη | Ποια δεδομένα, πόσα άτομα
   | Συνέπειες | Μέτρα | Γνωστοποιήθηκε στην ΑΠΔΠΧ; (ναι/όχι + γιατί, ημερομηνία)
   | Ενημερώθηκαν τα υποκείμενα; (ναι/όχι + γιατί) | Περατώθηκε (ημερομηνία)

Το μητρώο σας βοηθάει και εσάς τους ίδιους: αν βλέπετε τρεις φορές τον χρόνο «email σε λάθος παραλήπτη», τότε ξέρετε πού πρέπει να βελτιωθείτε (για παράδειγμα μια καθυστέρηση στην αποστολή, ή να μη χρησιμοποιείτε πλέον λίστες πελατών ως συνημμένο, μάθημα 7.3).

Παραβίαση δεδομένων και νόμος 5160/2024: δύο διαφορετικές γνωστοποιήσεις

Αν η επιχείρησή σας εμπίπτει στον νόμο 5160/2024 (ενσωμάτωση της NIS2, μάθημα 9.1), τότε ισχύει επιπλέον υποχρέωση γνωστοποίησης για σημαντικά περιστατικά: μια πρώτη προειδοποίηση εντός 24 ωρών, μια γνωστοποίηση εντός 72 ωρών και μια τελική αναφορά εντός ενός μήνα, μέσω της πλατφόρμας της Εθνικής Αρχής Κυβερνοασφάλειας. Πρόκειται για διαφορετική γνωστοποίηση, με διαφορετικό σκοπό (τη συνέχεια των υπηρεσιών) και προς διαφορετική αρχή. Μια επίθεση ransomware μπορεί επομένως να εμπίπτει και στις δύο κατηγορίες. Οι περισσότερες μικρές επιχειρήσεις δεν εμπίπτουν στον νόμο 5160/2024· η υποχρέωση γνωστοποίησης βάσει του GDPR (ΓΚΠΔ) ισχύει όμως για όλους.

Αυτό το μάθημα παρέχει γενική εξήγηση και δεν αποτελεί νομική συμβουλή. Σε περίπτωση αμφιβολίας, συμβουλευτείτε τον ιστότοπο της ΑΠΔΠΧ ή έναν νομικό.

Σύνοψη

• Μια παραβίαση δεδομένων είναι κάθε παραβίαση λόγω της οποίας δεδομένα προσωπικού χαρακτήρα χάνονται, μεταβάλλονται, ή περιέρχονται σε κάποιον που δεν θα έπρεπε να έχει πρόσβαση· επίσης ένα email σε λάθος παραλήπτη ή ένα μη κρυπτογραφημένο laptop που χάθηκε.
• Γνωστοποίηση στην ΑΠΔΠΧ: χωρίς αδικαιολόγητη καθυστέρηση και, όπου είναι δυνατόν, εντός 72 ωρών από την ανακάλυψη, ακόμα και το Σαββατοκύριακο, εκτός αν πιθανότατα δεν υπάρχει κίνδυνος. Επιτρέπεται ελλιπής γνωστοποίηση.
• Ενημέρωση των υποκειμένων των δεδομένων: χωρίς καθυστέρηση, αν υπάρχει πιθανότητα υψηλού κινδύνου.
• Αν η παραβίαση συμβεί σε έναν εκτελούντα την επεξεργασία, εκείνος οφείλει να σας ενημερώσει· η απόφαση για τη γνωστοποίηση ανήκει σε εσάς.
• Καταγράψτε κάθε παραβίαση δεδομένων στο μητρώο παραβιάσεών σας, μαζί με τη στάθμισή σας.

Κουίζ

Άσκηση

Άσκηση A8.2: Υπολογίστε την προθεσμία. Λαμβάνετε τέσσερις στιγμές ανακάλυψης. Συμπληρώστε για κάθε στιγμή την καταληκτική ημερομηνία και ώρα για τη γνωστοποίηση στην ΑΠΔΠΧ. Το πρόγραμμα το ελέγχει.

Άσκηση A8.2b: Γνωστοποίηση ή όχι; Λαμβάνετε οκτώ σύντομες περιπτώσεις. Επιλέξτε για κάθε περίπτωση αν πρέπει να γνωστοποιήσετε στην ΑΠΔΠΧ, αν πρέπει να ενημερώσετε τα υποκείμενα των δεδομένων και αν το καταχωρίζετε στο μητρώο παραβιάσεών σας. Το πρόγραμμα το ελέγχει και δίνει την εξήγηση για κάθε περίπτωση.

Για περαιτέρω ανάγνωση

Τα βήματα στα άρθρα του WebOké ισχύουν για το περιβάλλον του WebOké· σε άλλους παρόχους η διαδικασία είναι παρόμοια.

• Βοήθεια! Η ιστοσελίδα μου παραβιάστηκε. Πώς μπορώ να το διορθώσω ή να το αποτρέψω;
• Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (ΑΠΔΠΧ), Γνωστοποίηση παραβίασης δεδομένων προσωπικού χαρακτήρα: https://www.dpa.gr/
• Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (ΑΠΔΠΧ), Πληροφορίες για υπεύθυνους επεξεργασίας: https://www.dpa.gr/
• Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων (EDPB): https://www.edpb.europa.eu/about-edpb/about-edpb/members_en
• GDPR (Κανονισμός (ΕΕ) 2016/679), άρθρα 4, 33 και 34: https://eur-lex.europa.eu/eli/reg/2016/679/oj
• Εθνική Αρχή Κυβερνοασφάλειας, γνωστοποίηση παραβίασης δεδομένων: https://cyber.gov.gr/