Πρόκειται για παραβίαση δεδομένων και πρέπει να την αναφέρετε;

Ως επιχειρηματίας είστε υπεύθυνοι για τα προσωπικά δεδομένα των πελατών και των εργαζομένων σας. Σύμφωνα με τον ΓΚΠΔ, ονομάζεστε τότε υπεύθυνος επεξεργασίας. Εδώ θα διαβάσετε πότε κάτι αποτελεί παραβίαση δεδομένων, πότε πρέπει να την αναφέρετε και τι πρέπει να κάνετε αμέσως. Αυτή είναι μια γενική εξήγηση και όχι νομική συμβουλή: σε περίπτωση αμφιβολίας, συμβουλευτείτε τον ιστότοπο της Ολλανδικής Αρχής Προστασίας Δεδομένων (Autoriteit Persoonsgegevens, AP) ή ζητήστε τη γνώμη νομικού.

Τι είναι μια παραβίαση δεδομένων;

Σύμφωνα με τον ΓΚΠΔ, τον ευρωπαϊκό νόμο περί απορρήτου, πρόκειται για παραβίαση ασφαλείας λόγω της οποίας προσωπικά δεδομένα χάνονται, καταστρέφονται ή τροποποιούνται, ή περιέρχονται σε κάποιον που δεν έχει δικαίωμα πρόσβασης σε αυτά (άρθρο 4, σημείο 12). Ως προσωπικά δεδομένα νοούνται δεδομένα που αφορούν ένα αναγνωρίσιμο πρόσωπο, όπως όνομα, διεύθυνση email, διεύθυνση κατοικίας ή ιστορικό παραγγελιών. Δεν πρόκειται λοιπόν μόνο για χάκερ. Παραδείγματα:

• ένα email ή συνημμένο με προσωπικά δεδομένα που αποστέλλεται σε λάθος παραλήπτη,
• ένα χαμένο ή κλεμμένο laptop, τηλέφωνο ή usb stick με προσωπικά δεδομένα που δεν ήταν κρυπτογραφημένα,
• ένα παραβιασμένο γραμματοκιβώτιο email που περιέχει τιμολόγια, προσφορές ή συνοδευτικές επιστολές αιτήσεων εργασίας,
• έναν ιστότοπο ή ηλεκτρονικό κατάστημα από το οποίο έχουν κλαπεί δεδομένα πελατών,
• ransomware εξαιτίας του οποίου δεν έχετε πλέον πρόσβαση στη διαχείριση πελατών σας, ακόμη και αν δεν έχει αντιγραφεί τίποτα.

Τα πρώτα βήματα

1. Σταματήστε τη διαρροή. Ζητήστε από τον λανθασμένο παραλήπτη να διαγράψει το email και να το επιβεβαιώσει. Αλλάξτε τον κωδικό πρόσβασης ενός γραμματοκιβωτίου email που έχει παραβιαστεί, από μια συσκευή που εμπιστεύεστε (δείτε Ασφαλείς κωδικοί πρόσβασης και τι κάνετε σε περίπτωση διαρροής κωδικού πρόσβασης).
2. Καταγράψτε τι συνέβη. Ποια είναι η αιτία, πότε ξεκίνησε, ποια δεδομένα αφορά, πόσα άτομα επηρεάζονται, ποιος έχει πρόσβαση και ήταν τα δεδομένα κρυπτογραφημένα; Σημειώστε τα πάντα, με ημερομηνία και ώρα.
3. Εκτιμήστε τον κίνδυνο για τα άτομα στα οποία ανήκουν τα δεδομένα (δείτε παρακάτω).
4. Αναφέρετέ το στην AP εφόσον χρειάζεται, εντός 72 ωρών.
5. Ενημερώστε τα εμπλεκόμενα άτομα αν ο κίνδυνος για αυτά είναι υψηλός.
6. Καταχωρίστε το στο μητρώο παραβιάσεων δεδομένων σας. Αυτό το κάνετε πάντα.

Πρέπει να αναφέρω στην Αρχή Προστασίας Δεδομένων;

Αναφέρετε μια παραβίαση δεδομένων χωρίς αδικαιολόγητη καθυστέρηση και, αν είναι δυνατόν, εντός 72 ωρών αφότου τη διαπιστώσετε. Αυτό δεν είναι απαραίτητο αν δεν ενέχει πιθανό κίνδυνο για τα άτομα στα οποία ανήκουν τα δεδομένα (άρθρο 33 ΓΚΠΔ).

• Το χρονόμετρο ξεκινά από τη στιγμή που το διαπιστώνετε, όχι από τη στιγμή που συνέβη η διαρροή. Το Σαββατοκύριακο προσμετράται: αν το διαπιστώσετε την Παρασκευή στις 16:40, τότε πρέπει να το αναφέρετε το αργότερο τη Δευτέρα στις 16:40.
• Επιτρέπεται η ελλιπής αναφορά. Αν μετά από 72 ώρες δεν γνωρίζετε ακόμη τα πάντα, αναφέρετε όσα γνωρίζετε και συμπληρώστε την αναφορά αργότερα.
• Μόνο ηλεκτρονικά. Η αναφορά γίνεται μέσω της φόρμας αναφοράς της AP, όχι τηλεφωνικά, μέσω email ή ταχυδρομείου. Με το ερωτηματολόγιο της AP προετοιμάζετε την αναφορά.
• Έχετε αμφιβολίες; Η AP συνιστά να προβείτε παρ' όλα αυτά σε αναφορά.

Αυτές οι ερωτήσεις βοηθούν στη στάθμιση:

Ένα παράδειγμα: αν κλαπεί ένα καλά κρυπτογραφημένο laptop, τότε πιθανότατα δεν υπάρχει κίνδυνος. Η αναφορά δεν είναι τότε απαραίτητη, αλλά το καταχωρίζετε στο μητρώο σας. Σε ένα μη κρυπτογραφημένο laptop, όποιος το βρει μπορεί να διαβάσει τα πάντα. Τότε συνήθως υπάρχει κίνδυνος.

Πότε ενημερώνετε τα εμπλεκόμενα άτομα;

Αν η διαρροή ενέχει πιθανότατα υψηλό κίνδυνο για τα άτομα στα οποία ανήκουν τα δεδομένα, τότε τα ενημερώνετε χωρίς καθυστέρηση (άρθρο 34 ΓΚΠΔ). Εξηγήστε σε απλή γλώσσα τι συνέβη, ποιες μπορεί να είναι οι συνέπειες, τι κάνετε εσείς και τι μπορούν να κάνουν τα ίδια, όπως να αλλάξουν έναν κωδικό πρόσβασης ή να προσέχουν ιδιαίτερα για phishing στο όνομά σας.

Αυτό δεν είναι απαραίτητο αν τα δεδομένα ήταν μη αναγνώσιμα λόγω καλής κρυπτογράφησης, ή αν έχετε λάβει στη συνέχεια μέτρα χάρη στα οποία ο υψηλός κίνδυνος δεν είναι πλέον πιθανός. Αν απαιτείται δυσανάλογη προσπάθεια για να ενημερωθούν όλοι, τότε προβαίνετε σε δημόσια ανακοίνωση.

Το μητρώο παραβιάσεων δεδομένων: τηρείτε το πάντα

Καταγράφετε κάθε παραβίαση δεδομένων, ακόμη και αν δεν την αναφέρετε (άρθρο 33 παράγραφος 5). Σημειώστε τα γεγονότα, τις συνέπειες, τα μέτρα και τη στάθμισή σας: γιατί αναφέρατε ή όχι, και γιατί ενημερώσατε ή όχι τα εμπλεκόμενα άτομα. Η AP διαθέτει ένα υπόδειγμα μητρώου παραβιάσεων δεδομένων.

Και αν η διαρροή βρίσκεται σε έναν προμηθευτή;

Η εταιρεία hosting σας, το λογιστικό πρόγραμμα cloud ή η υπηρεσία newsletter σας αποτελεί, σύμφωνα με τον ΓΚΠΔ, εκτελούντα την επεξεργασία: έναν φορέα που επεξεργάζεται προσωπικά δεδομένα για λογαριασμό σας. Ο εκτελών την επεξεργασία οφείλει να σας ενημερώσει χωρίς αδικαιολόγητη καθυστέρηση εφόσον διαπιστώσει παραβίαση δεδομένων (άρθρο 33 παράγραφος 2). Στη συνέχεια, εσείς αξιολογείτε αν πρέπει να προβείτε σε αναφορά, και κατ' αρχήν αναφέρετε και εσείς οι ίδιοι.

Αυτό ισχύει και αν η WebOké είναι ο εκτελών την επεξεργασία για εσάς. Πιστεύετε ότι η διαρροή βρίσκεται σε εμάς, για παράδειγμα στους διακομιστές μας; Επικοινωνήστε τότε αμέσως μαζί μας μέσω ενός ticket στο Κέντρο Υποστήριξης, αναφέροντας τι παρατηρήσατε και πότε.

Περαιτέρω ανάγνωση

• WebOké Backups: προβολή, επαναφορά ή λήψη ενός αντιγράφου ασφαλείας
• Autoriteit Persoonsgegevens: αναφορά ή όχι
• Autoriteit Persoonsgegevens: πώς αναφέρετε μια παραβίαση δεδομένων
• Autoriteit Persoonsgegevens: ερωτηματολόγιο της φόρμας αναφοράς
• Autoriteit Persoonsgegevens: υπόδειγμα μητρώου παραβιάσεων δεδομένων
• Ο ΓΚΠΔ, άρθρα 4, 33 και 34 (EUR-Lex)