Brot á gögnum
Brot á gögnum geta haft skaðleg áhrif á fyrirtækið þitt. Frá fjárhagstjóni, til sekta, til lækkunar á trausti viðskiptavina, geta áhrif brot á gögnum verið gríðarlegt. Þess vegna er mikilvægt að innleiða góðar starfsvenjur og verklagsreglur á Netinu til að koma í veg fyrir öryggisatvik. Þrátt fyrir þetta gætir þú samt orðið fyrir broti á gögnum sem þú gætir þurft að tilkynna viðkomandi gagnaverndaryfirvöldum (DPA) eða tilkynna viðkomandi einstaklingum.
Hvað er "persónulegt brot á gögnum"
Brot á meðferð persónuupplýsinga merkir "brot á öryggi sem leiðir til óviljandi eða ólögmætrar eyðingar persónuupplýsinga, glatast, breytist, þær eru birtar í leyfisleysi eða aðgangur að þeim".
Fyrirtæki/stofnanir ættu að vera meðvitaðir um að öryggisbrestur við meðferð persónuupplýsinga getur náð yfir miklu meira en að "tapa" persónuupplýsingum. Það felur í sér atvik sem hafa áhrif á trúnað, heilleika eða tiltækileika persónuupplýsinga. Mikilvægt er að brot er varða persónuupplýsingar fela í sér öryggisatvik sem eru afleiðing beggja slysa (svo sem að senda tölvupóst til rangs viðtakanda, tapa USB-lykli sem inniheldur gögn viðskiptavina, eða eyða fyrir slysni læknisfræðilegum gögnum þar sem engin öryggisafrit eru tiltæk), sem og vísvitandi aðgerðir (s.s. vefveiðaárásir til að fá aðgang að gögnum viðskiptavina).
Með öðrum orðum, þetta felur í sér aðstæður eins og þegar einhver nálgast persónuupplýsingar eða sendir þær á án viðeigandi heimildar, eða þar sem persónuupplýsingar eru gerðar óaðgengilegar með dulkóðun með ransomware, eða óviljandi tapi eða eyðileggingu. Þótt öll brot er varða persónuupplýsingar séu öryggisatvik eru ekki öll öryggisatvik endilega brot á persónuupplýsingum (þar sem ekki er víst að um sé að ræða neinar persónuupplýsingar sem tengjast tilteknu öryggisatviki).
Skyldur ábyrgðaraðila gagna
Ef lítið eða meðalstórt fyrirtæki þitt starfar sem ábyrgðaraðili gagna eru þrjár meginreglur um brot á gögnum
- gögn um brot er varða persónuupplýsingar
- tilkynning um brot er varðar persónuupplýsingar til viðkomandi gagnaverndaryfirvalds (DPA) innan 72 klukkustunda nema ólíklegt sé að það leiði til áhættu fyrir einstaklinga, og
- tilkynningar um brotið til einstaklinga án ótilhlýðilegrar tafar ef líklegt er að brotið leiði til mikillar áhættu fyrir einstaklinga.
Afar mikilvægt er að ábyrgðaraðilar gagna skilji og uppfylli þessar skyldur og framkvæmi fyrir fram viðeigandi verklagsreglur sem gera þeim kleift að ákvarða á hlutlægan hátt í tæka tíð hvort þörf sé á einhverjum af framangreindum tilkynningum.
Hvað sem öðru líður, að því er varðar öll brot — jafnvel þau sem ekki eru tilkynnt til persónuverndaryfirvalds, á grundvelli þess að ólíklegt sé að þau leiði til áhættu — verður ábyrgðaraðili gagna að skrá a.m.k. grunnupplýsingar um brotið, mat á því, áhrif þess og þær ráðstafanir sem gerðar hafa verið til að bregðast við, eins og krafist er í 5. mgr. 33. gr. GDPR.
Hvað á að gera og hvernig á að grípa til aðgerða?
Tilkynning um gagnabrot til viðkomandi persónuverndaryfirvalds
Samkvæmt grein 33.1 í GDPR ætti að tilkynna viðkomandi persónuverndaryfirvöldum um öll brot á gögnum, að undanskildum þeim sem ólíklegt er að hafi í för með sér áhættu fyrir einstaklinga. Til að auðvelda þessa tilkynningu hafa persónuverndaryfirvöld innleitt verklagsreglur eða eyðublöð á Netinu sem munu leiðbeina þér skref fyrir skref til að tryggja að þú veitir allar nauðsynlegar upplýsingar.
Ef brotið á sér stað í tengslum við vinnslu og tilkynningar yfir landamæri þarf ábyrgðaraðili gagna, ef hann hefur staðfestu á Evrópska efnahagssvæðinu, að tilkynna aðal persónuverndaryfirvaldinu um það. Þegar ábyrgðaraðili gagna gerir drög að viðbragðsáætlun sinni um brot ætti hann þegar að gera mat á því hver gagnaverndaryfirvöld eru leiðandi persónuverndaryfirvöld sem þeir þurfa að tilkynna um. Ef ábyrgðaraðili gagna hefur efasemdir um deili á aðal persónuverndaryfirvaldinu ætti hann a.m.k. að tilkynna það til staðbundins gagnaverndaryfirvalds þar sem brotið hefur átt sér stað.
Ef tilkynningar er krafist skal það gert eins fljótt og auðið er og innan 72 klukkustunda frá því að tilkynnt hefur verið um brotið. Ef það er ekki mögulegt er þörf á rökstuðningi fyrir töfinni. Líta ætti svo á að fyrirtæki/stofnun hafi orðið „meðvitaður“þegar fyrir hendi er nægileg viss um að váatvik hafi átt sér stað og persónuupplýsingum verið stefnt í hættu.
Til að geta sýnt viðkomandi persónuverndaryfirvaldi fram á hvenær og hvernig það varð vart við brot á meðferð persónuupplýsinga er mælt með því að öll fyrirtæki/stofnanir, sem hluta af innri verklagsreglum sínum um brot er varða persónuupplýsingar, hafi yfir að ráða kerfi til að skrá hvernig og hvenær þau verða var við brot er varða persónuupplýsingar og hvernig þau meta hugsanlega áhættu sem stafar af brotinu.
Ef ekki er unnt að veita gagnaverndaryfirvöldum allar viðeigandi upplýsingar innan 72 klukkustunda tímabilsins ætti að senda tilkynninguna í nokkrum skrefum. Leggja skal fram upphaflegu tilkynninguna og veita má frekari upplýsingar í áföngum.
Á sama hátt, skv. 2. mgr. 33. gr. GDPR, ef lítið eða meðalstórt fyrirtæki þitt er vinnsluaðili, vinnur persónuupplýsingar fyrir hönd annars fyrirtækis, verður þú að tilkynna ábyrgðaraðila gagna um brot á persónuupplýsingum án ástæðulausrar tafar. Þetta skiptir höfuðmáli til að gera ábyrgðaraðila gagna kleift að uppfylla tilkynningarskyldu sína í tæka tíð. Kröfur um tilkynningar um brot ættu einnig að vera tilgreindar í samningi milli ábyrgðaraðila og vinnsluaðila, eins og krafist er skv. 28. gr. GDPR.
Tilkynning til viðkomandi persónuverndaryfirvalds um brot er varðar persónuupplýsingar skal a.m.k.:
- lýsa eðli öryggisbrests við meðferð persónuupplýsinga, þ.m.t., ef unnt er, flokkum og áætluðum fjölda viðkomandi einstaklinga og flokkum og áætluðum fjölda skráa um persónuupplýsingar sem um er að ræða,
- tilkynna nafn og samskiptaupplýsingar persónuverndarfulltrúa eða annars tengiliðar þar sem hægt er að fá frekari upplýsingar,
- lýsa líklegum afleiðingum öryggisbrests við meðferð persónuupplýsinga, og
- lýsa þeim ráðstöfunum sem lítið eða meðalstórt fyrirtæki gerir til að bregðast við broti á meðferð persónuupplýsinga, þ.m.t., eftir því sem við á, ráðstöfunum til að draga úr hugsanlegum skaðlegum áhrifum þess.
Tilkynning um brotið til einstaklinga sem hafa orðið fyrir áhrifum
Auk þess þarf að tilkynna um brot á gögnum án ótilhlýðilegrar tafar til þeirra einstaklinga sem verða fyrir áhrifum. Þetta á við þegar líklegt er að öryggisbrestur við meðferð persónuupplýsinga leiði til mikillar áhættu fyrir réttindi og frelsi einstaklingsins.
Tilgangur þessarar kröfu er að tryggja að viðkomandi einstaklingar geti gripið til nauðsynlegra varúðarráðstafana þegar atvik hafa átt sér stað sem líklegt er að hafi í för með sér mikla áhættu fyrir þá.
Slíkar tilkynningar til einstaklinga skulu sendar án tafar og, eftir því sem við á, í nánu samstarfi við viðkomandi persónuverndaryfirvöld. Í þeim tilvikum þar sem þörf er á að draga úr tafarlausri áhættu fyrir einstaklinga er þörf á skjótum samskiptum.
Það eru aðstæður þar sem ábyrgðaraðila gagna er ekki skylt að tilkynna einstaklingum, svo sem:
- ábyrgðaraðilinn hafði dulkóðað gögnin og dulkóðunarlyklunum var ekki stofnað í hættu,
- ábyrgðaraðilinn hefur gert síðari ráðstafanir sem tryggja að ekki sé lengur líklegt að mikil áhætta fyrir réttindi og frelsi einstaklinga komi til framkvæmda,
eða
- það myndi fela í sér óhóflega fyrirhöfn. Í slíku tilviki verður ábyrgðaraðilinn samt sem áður að tryggja, með opinberum samskiptum eða á svipaðan hátt, að einstaklingar séu upplýstir á jafn skilvirkan hátt.
Í þessari orðsendingu til einstaklingsins ætti að lýsa á skýru og einföldu máli eðli brotsins við meðferð persónuupplýsinga og ætti að innihalda a.m.k. eftirfarandi upplýsingar:
- nafn og samskiptaupplýsingar persónuverndarfulltrúa eða annars tengiliðar þar sem hægt er að fá frekari upplýsingar,
- lýsingu á líklegum afleiðingum öryggisbrests við meðferð persónuupplýsinga, og
- lýsing á þeim ráðstöfunum sem fyrirtækið/stofnunin hefur gert eða fyrirhugar að gera til að takast á við brot á meðferð persónuupplýsinga, þ.m.t., eftir því sem við á, ráðstafanir til að draga úr hugsanlegum skaðlegum áhrifum þess.
- Í orðsendingunni ætti einnig að lýsa ráðleggingum til viðkomandi einstaklinga til að draga úr hugsanlegum skaðlegum áhrifum brotsins.
Ábyrgðaraðilar gagna og vinnsluaðilar eru hvattir til að skipuleggja fyrir fram og koma á ferlum til að geta greint og falið í sér tafarlaust brot, metið áhættuna fyrir einstaklinga og síðan til að ákvarða hvort nauðsynlegt sé að tilkynna það til þar til bærs persónuverndaryfirvalds og að tilkynna viðkomandi einstaklingum um brotið þegar nauðsyn krefur.
Hvenær þarf að tilkynna um brot á gögnum?
