Πρόκειται για παραβίαση δεδομένων και πρέπει να τη γνωστοποιήσω;
Ως επιχειρηματίας είστε υπεύθυνοι για τα δεδομένα προσωπικού χαρακτήρα των πελατών και των εργαζομένων σας. Στον ΓΚΠΔ ονομάζεστε τότε υπεύθυνος επεξεργασίας. Εδώ θα διαβάσετε πότε κάτι αποτελεί παραβίαση δεδομένων, πότε πρέπει να τη γνωστοποιήσετε και τι κάνετε αμέσως. Πρόκειται για γενική επεξήγηση και όχι για νομική συμβουλή. Αν έχετε αμφιβολίες, ανατρέξτε στον ιστότοπο της ολλανδικής αρχής προστασίας δεδομένων Autoriteit Persoonsgegevens (AP) ή απευθυνθείτε σε νομικό.
Τι είναι η παραβίαση δεδομένων;
Σύμφωνα με τον ΓΚΠΔ, τον ευρωπαϊκό νόμο για την προστασία της ιδιωτικότητας, είναι μια παραβίαση της ασφάλειας που οδηγεί σε απώλεια, καταστροφή ή αλλοίωση δεδομένων προσωπικού χαρακτήρα ή στο να καταλήξουν σε κάποιον που δεν έχει δικαίωμα πρόσβασης σε αυτά (άρθρο 4, σημείο 12). Δεδομένα προσωπικού χαρακτήρα είναι πληροφορίες για ένα αναγνωρίσιμο πρόσωπο, όπως όνομα, διεύθυνση email, ταχυδρομική διεύθυνση ή ιστορικό παραγγελιών. Επομένως δεν αφορά μόνο τους hackers. Παραδείγματα:
- ένα email ή συνημμένο με δεδομένα προσωπικού χαρακτήρα που στέλνεται σε λάθος παραλήπτη·
- ένας χαμένος ή κλεμμένος φορητός υπολογιστής, τηλέφωνο ή USB stick με δεδομένα προσωπικού χαρακτήρα που δεν ήταν κρυπτογραφημένα·
- ένα παραβιασμένο γραμματοκιβώτιο που περιέχει τιμολόγια, προσφορές ή συνοδευτικές επιστολές αιτήσεων εργασίας·
- ένας ιστότοπος ή ένα ηλεκτρονικό κατάστημα από το οποίο κλάπηκαν στοιχεία πελατών·
- ransomware που σας εμποδίζει να έχετε πρόσβαση στο αρχείο πελατών σας, ακόμη και αν δεν αντιγράφηκε τίποτα.
Τα πρώτα βήματα
- Σταματήστε τη διαρροή. Ζητήστε από τον λάθος παραλήπτη να διαγράψει το email και να το επιβεβαιώσει. Αλλάξτε τον κωδικό πρόσβασης ενός γραμματοκιβωτίου που έχει παραβιαστεί από μια συσκευή που εμπιστεύεστε (δείτε Ασφαλείς κωδικοί πρόσβασης και τι να κάνετε όταν διαρρεύσει ένας κωδικός).
- Καταγράψτε τι συνέβη. Ποια είναι η αιτία, πότε ξεκίνησε, ποια δεδομένα αφορά, πόσα άτομα, ποιος έχει πρόσβαση σε αυτά και αν τα δεδομένα ήταν κρυπτογραφημένα; Σημειώστε τα πάντα, με ημερομηνία και ώρα.
- Εκτιμήστε τον κίνδυνο για τα πρόσωπα στα οποία ανήκουν τα δεδομένα (δείτε παρακάτω).
- Γνωστοποιήστε την παραβίαση στην AP, εφόσον χρειάζεται, εντός 72 ωρών.
- Ενημερώστε τα υποκείμενα των δεδομένων, αν ο κίνδυνος για αυτά είναι υψηλός.
- Καταχωρίστε την παραβίαση στο μητρώο παραβιάσεων δεδομένων σας. Αυτό το κάνετε πάντα.
Πρέπει να γνωστοποιήσω την παραβίαση στην Autoriteit Persoonsgegevens;
Γνωστοποιείτε μια παραβίαση δεδομένων χωρίς αδικαιολόγητη καθυστέρηση και, ει δυνατόν, εντός 72 ωρών από τη στιγμή που την αντιληφθήκατε. Αυτό δεν είναι απαραίτητο αν η παραβίαση πιθανότατα δεν ενέχει κίνδυνο για τα πρόσωπα στα οποία ανήκουν τα δεδομένα (άρθρο 33 ΓΚΠΔ).
- Η προθεσμία ξεκινά από τη στιγμή που το μαθαίνετε, όχι από τη στιγμή που συνέβη η παραβίαση. Το Σαββατοκύριακο μετράει: αν το ανακαλύψετε την Παρασκευή στις 16:40, κάνετε τη γνωστοποίηση το αργότερο τη Δευτέρα στις 16:40.
- Επιτρέπεται η ελλιπής γνωστοποίηση. Αν μετά από 72 ώρες δεν γνωρίζετε ακόμη τα πάντα, γνωστοποιήστε όσα γνωρίζετε και συμπληρώστε τη γνωστοποίηση αργότερα.
- Μόνο ηλεκτρονικά. Η γνωστοποίηση γίνεται μέσω της φόρμας γνωστοποίησης της AP, όχι τηλεφωνικά, μέσω email ή ταχυδρομικά. Με το ερωτηματολόγιο της AP προετοιμάζετε τη γνωστοποίηση.
- Έχετε αμφιβολίες; Η AP συνιστά σε αυτή την περίπτωση να κάνετε τη γνωστοποίηση.
Οι παρακάτω ερωτήσεις σας βοηθούν στη στάθμιση:
| Ερώτηση | Χαμηλότερος κίνδυνος | Υψηλότερος κίνδυνος |
|---|---|---|
| Ποια δεδομένα; | Μόνο επαγγελματικά στοιχεία επικοινωνίας | Αριθμός κοινωνικής ασφάλισης (BSN), αντίγραφο εγγράφου ταυτότητας, τραπεζικά στοιχεία, κωδικοί πρόσβασης, ιατρικά δεδομένα, δεδομένα παιδιών |
| Πόσα άτομα; | Ένα ή λίγα | Πολλά |
| Αναγνώσιμα για όποιον τα έχει; | Καλά κρυπτογραφημένα, το κλειδί δεν έχει διαρρεύσει | Αναγνώσιμα, ή έχει διαρρεύσει και ο κωδικός πρόσβασης |
| Ποιος τα έχει; | Ένας γνωστός παραλήπτης που επιβεβαιώνει ότι τα έχει διαγράψει | Ένας άγνωστος, ένας εγκληματίας, ή είναι δημόσια στο διαδίκτυο |
Ένα παράδειγμα: αν κλαπεί ένας καλά κρυπτογραφημένος φορητός υπολογιστής, πιθανότατα δεν υπάρχει κίνδυνος. Τότε δεν χρειάζεται γνωστοποίηση, αλλά την καταχωρίζετε στο μητρώο σας. Σε έναν μη κρυπτογραφημένο φορητό υπολογιστή, όποιος τον βρει μπορεί να διαβάσει τα πάντα· τότε συνήθως υπάρχει κίνδυνος.
Πότε ενημερώνετε τα υποκείμενα των δεδομένων;
Αν η παραβίαση πιθανότατα ενέχει υψηλό κίνδυνο για τα πρόσωπα στα οποία ανήκουν τα δεδομένα, τα ενημερώνετε αμελλητί (άρθρο 34 ΓΚΠΔ). Εξηγήστε σε απλή γλώσσα τι συνέβη, ποιες μπορεί να είναι οι συνέπειες, τι κάνετε εσείς και τι μπορούν να κάνουν τα ίδια, όπως να αλλάξουν έναν κωδικό πρόσβασης ή να προσέχουν ιδιαίτερα για phishing στο όνομά σας.
Αυτό δεν είναι απαραίτητο αν τα δεδομένα ήταν μη αναγνώσιμα χάρη σε καλή κρυπτογράφηση ή αν στη συνέχεια λάβατε μέτρα ώστε ο υψηλός κίνδυνος να μην είναι πλέον πιθανός. Αν η προσέγγιση όλων απαιτεί δυσανάλογη προσπάθεια, κάνετε δημόσια ανακοίνωση.
Το μητρώο παραβιάσεων δεδομένων: τηρείτε το πάντα
Καταγράφετε κάθε παραβίαση δεδομένων, ακόμη και αν δεν τη γνωστοποιείτε (άρθρο 33 παράγραφος 5). Σημειώστε τα γεγονότα, τις συνέπειες, τα μέτρα και τη στάθμισή σας: γιατί κάνατε ή δεν κάνατε γνωστοποίηση και γιατί ενημερώσατε ή δεν ενημερώσατε τα υποκείμενα των δεδομένων. Η AP διαθέτει υπόδειγμα μητρώου παραβιάσεων δεδομένων.
Και αν η παραβίαση έγινε σε έναν προμηθευτή;
Η εταιρεία hosting σας, το λογιστικό σας πρόγραμμα στο cloud ή η υπηρεσία newsletter σας είναι σύμφωνα με τον ΓΚΠΔ εκτελών την επεξεργασία: ένας φορέας που επεξεργάζεται δεδομένα προσωπικού χαρακτήρα για λογαριασμό σας. Ο εκτελών την επεξεργασία πρέπει να σας ενημερώσει χωρίς αδικαιολόγητη καθυστέρηση αν ανακαλύψει παραβίαση δεδομένων (άρθρο 33 παράγραφος 2). Στη συνέχεια εσείς αξιολογείτε αν πρέπει να γίνει γνωστοποίηση, και κατά κανόνα την κάνετε επίσης εσείς.
Αυτό ισχύει και όταν η WebOké είναι ο εκτελών την επεξεργασία για εσάς. Οι σχετικές συμφωνίες περιλαμβάνονται στη σύμβαση επεξεργασίας δεδομένων μας, δείτε Σύμβαση επεξεργασίας δεδομένων: πού θα τη βρω; Πιστεύετε ότι η παραβίαση προέρχεται από εμάς, για παράδειγμα από τους servers μας; Επικοινωνήστε αμέσως μαζί μας μέσω ενός ticket στο Κέντρο υποστήριξης, αναφέροντας τι είδατε και πότε.
Περαιτέρω ανάγνωση
- WebOké Backups: προβολή, επαναφορά ή λήψη ενός backup
- Autoriteit Persoonsgegevens: γνωστοποίηση ή όχι
- Autoriteit Persoonsgegevens: πώς γνωστοποιείτε μια παραβίαση δεδομένων
- Autoriteit Persoonsgegevens: ερωτηματολόγιο της φόρμας γνωστοποίησης
- Autoriteit Persoonsgegevens: υπόδειγμα μητρώου παραβιάσεων δεδομένων
- Ο ΓΚΠΔ, άρθρα 4, 33 και 34 (EUR-Lex)
Θέλετε να μάθετε περισσότερα; Παρακολουθήστε το δωρεάν μάθημα Ασφάλεια στο διαδίκτυο για επιχειρηματίες, ενότητα 8.2 Παραβιάσεις δεδομένων και η υποχρέωση γνωστοποίησης.