Öryggisbrestir
Öryggisbrestir geta haft skaðleg áhrif á fyrirtækið þitt – allt frá fjárhagstjóni og sektum að minnkandi trausti viðskiptavina þinna – og áhrifin geta verið gríðarleg. Þess vegna er mikilvægt að innleiða netöryggi og góðar starfs- og verklagsreglur til að koma í veg fyrir öryggisatvik. Þrátt fyrir það gætir þú samt orðið fyrir öryggisbresti sem þú gætir þurft að tilkynna persónuverndarstofnun í þínu landi eða upplýsa þá einstaklinga sem verða fyrir áhrifum.
Hvað er „öryggisbrestur við meðferð persónuupplýsinga“?
Öryggisbrestur við meðferð persónuupplýsinga þýðir að brestur á öryggi verði sem leiðir til óviljandi eða ólögmætrar eyðingar persónuupplýsinga eða að þær glatist, breytist, verði birtar eða aðgangur veittur að þeim í leyfisleysi.
Fyrirtæki og stofnanir ættu að hafa í huga að öryggisbrestur tekur til mun fleiri atvika en þegar persónuupplýsingar „glatast“. Hann tekur jafnframt til atvika sem hafa áhrif á trúnað, áreiðanleika eða aðgengileika persónuupplýsinga. Mikilvægt er að hafa í huga að öryggisbrestir er varða persónuupplýsingar fela bæði í sér öryggisatvik sem verða fyrir slysni (svo sem þegar tölvupóstur er sendur til rangs viðtakanda, USB-lykill sem inniheldur gögn viðskiptavina glatast, eða þegar læknisfræðilegum gögnum er eytt fyrir slysni sem engin öryggisafrit eru til af), en einnig aðgerðir gerðar af yfirlögðu ráði (s.s. vefveiðaárásir (e. phishing attacks) í þeim tilgangi að komast yfir gögn viðskiptavina).
Með öðrum orðum felur þetta í sér aðstæður þar sem einhver fær aðgang að persónuupplýsingum eða miðlar þeim áfram án viðeigandi heimildar, þegar persónuupplýsingar eru gerðar óaðgengilegar réttmætum eiganda með dulkóðun og kröfu um lausnargjald eða þær glatast eða eyðileggjast fyrir slysni. Þótt allir öryggisbrestir er varða persónuupplýsingar séu öryggisatvik eru ekki öll öryggisatvik endilega öryggisbrestir (þar sem ekki er víst að persónuupplýsingar hafi verið undir í tilteknu öryggisatviki).
Skyldur ábyrgðaraðila
Ef fyrirtæki þitt er ábyrgðaraðili vinnslu persónuupplýsinga eru þrjú meginatriði sem þarf að hafa í huga varðandi öryggisbresti
- halda skal skrá um alla öryggisbresti
- tilkynna skal um alla öryggisbresti er varða persónuupplýsingar til persónuverndarstofnunar innan 72 klukkustunda nema ólíklegt sé að hann leiði til áhættu fyrir einstaklinga, og
- tilkynna skal viðkomandi einstaklingum um öryggisbrestinn án ótilhlýðilegrar tafar ef líklegt er að hann leiði til mikillar áhættu fyrir þá.
Afar mikilvægt er að ábyrgðaraðilar skilji og uppfylli þessar skyldur og innleiði fyrirfram viðeigandi verklagsreglur sem gerir þeim kleift að ákvarða á hlutlægan hátt í tæka tíð hvort þörf sé á að tilkynna atvikið líkt og að framan greinir.
Hvað sem öðru líður þarf ábyrgðaraðili að skrá öll öryggisatvik sem verða - líka þau sem ekki leiða til tilkynninga til persónuverndarstofnunar á grundvelli þess að ólíklegt sé að þau leiði til áhættu, a.m.k. hvað varðar grunnupplýsingar um öryggisatvikið, mat á því, áhrif þess og þær ráðstafanir sem gerðar hafa verið til að bregðast við, líkt og krafist er í 5. mgr. 33. gr. persónuverndarreglugerðarinnar.
Hvað á að gera og til hvaða aðgerða á að grípa?
Tilkynning um öryggisbrest til viðeigandi persónuverndarstofnunar
Samkvæmt 1. mgr. 33.gr. persónuverndarreglugerðarinnar á að tilkynna persónuverndaryfirvöldum um alla öryggisbresti, að undanskildum þeim sem ólíklegt er að hafi í för með sér áhættu fyrir einstaklinga. Til að auðvelda þér að tilkynna um öryggisbrest hafa persónuverndarstofnanir innleitt verklagsreglur eða eyðublöð á vefsíðum þeirra sem leiðbeina þér skref fyrir skref til að tryggja að þú veitir allar nauðsynlegar upplýsingar.
Ef öryggisbrestur á sér stað við meðferð persónuupplýsinga yfir landamæri þarf ábyrgðaraðili, hafi hann staðfestu á Evrópska efnahagssvæðinu, að tilkynna forystuyfirvaldinu um það. Þegar ábyrgðaraðili gerir drög að viðbragðsáætlun vegna öryggisbresta þarf hann að meta fyrirfram hver telst forystuyfirvaldið sem honum ber að tilkynna öryggisbresti til. Hafi ábyrgðaraðili efasemdir um hverjum honum beri að tilkynna um öryggisbrestinn skal hann a.m.k. tilkynna öryggisbrestinn til persónuverndarstofnunarinnar á því svæði þar sem öryggisbresturinn varð.
Þegar tilkynningar er krafist skal það gert eins fljótt og auðið er og innan 72 klukkustunda frá því að brestsins varð vart. Ef það er ekki mögulegt þarf að rökstyðja töfina. Líta ætti svo á að fyrirtæki hafi orðið áskynja um brestinn þegar fyrir hendi er nægileg vissa um að öryggisatvik hafi átt sér stað og persónuupplýsingum verið stefnt í hættu.
Til að geta sýnt eftirlitsyfirvaldinu fram á hvenær og hvernig fyrirtækið varð vart við öryggisbrestinn er mælst til þess að þau setji sér verklagsreglur og komi á kerfi fyrirfram þar sem skráð er hvernig og hvenær vart varð við öryggisbrestinn ásamt mati þeirra á hugsanlegri áhættu sem stafar af brestinum.
Ef ekki er unnt að veita eftirlitsyfirvaldinu allar viðeigandi upplýsingar innan 72 klukkustunda skal senda tilkynninguna í nokkrum skrefum. Tilkynna skal þá strax um öryggisatvikið og veita frekari upplýsingar í skrefum síðar.
Ef fyrirtækið þitt er vinnsluaðili sem vinnur persónuupplýsingar fyrir hönd annars fyrirtækis, ber þér, skv. 2. mgr. 33. gr. persónuverndarreglugerðarinnar, og án ótilhlýðilegrar tafar, að tilkynna ábyrgðaraðila vinnslunnar um öryggisbrestinn. Það er mikilvægt svo að ábyrgðaraðili geti uppfyllt tilkynningarskyldu sína í tæka tíð. Tilkynningarskylda vegna öryggisbresta ætti jafnframt að vera tilgreind í vinnslusamningi ábyrgðar- og vinnsluaðila, líkt og krafist er skv. 28. gr. persónuverndarreglugerðarinnar.
Í tilkynningu um öryggisbrest til viðkomandi persónuverndarstofnunar verða a.m.k. eftirfarandi upplýsingar að koma fram:
- lýsing á eðli öryggisbrestsins, þ.m.t., ef unnt er, flokkar persónuupplýsinga og áætlaður fjöldi einstaklinga sem bresturinn tekur til ásamt flokkum og áætluðum fjölda skráa sem undir eru í málinu,
- veita upplýsingar um nafn og tengiliðaupplýsingar persónuverndarfulltrúans (PVF) eða annars tengiliðar sem veitt getur frekari upplýsingar,
- lýsing á líklegum afleiðingum öryggisbrestsins og
- lýsing á þeim ráðstöfunum sem fyrirtækið hefur eða ætlar að grípa til, til að bregðast við, þ.m.t., eftir því sem við á, ráðstöfunum til að draga úr hugsanlegum skaðlegum áhrifum hans.
Tilkynning um öryggisbrestinn til einstaklinga sem orðið hafa fyrir áhrifum
Tilkynna þarf þeim einstaklingum sem verða fyrir áhrifum um suma öryggisbresti án ótilhlýðilegrar tafar. Það á við þegar líklegt er að öryggisbrestur leiði til mikillar áhættu fyrir réttindi og frelsi einstaklings.
Tilgangurinn með þessari tilkynningaskyldu er að tryggja að viðkomandi einstaklingar geti gripið til nauðsynlegra varúðarráðstafana þegar atvik hafa átt sér stað sem líklegt er að hafi í för með sér mikla áhættu fyrir þá.
Slíkar tilkynningar til einstaklinga skulu sendar án tafar og, eftir því sem við á, í nánu samstarfi við viðkomandi persónuverndaryfirvöld. Í þeim tilvikum þar sem þörf er á að draga úr tafarlausri áhættu fyrir einstaklinga er þörf á skjótum samskiptum.
Það eru aðstæður þar sem ábyrgðaraðila vinnslu er ekki skylt að tilkynna einstaklingum, svo sem:
- ábyrgðaraðilinn hafði dulkóðað gögnin og dulkóðunarlyklunum var ekki stofnað í hættu,
- ábyrgðaraðilinn hefur brugðist við og tryggt að ekki sé lengur líklegt að mikil áhætta raungerist fyrir réttindi og frelsi einstaklinga,
eða
- það myndi fela í sér óhóflega fyrirhöfn. Þegar þannig háttar til verður ábyrgðaraðilinn samt sem áður að tryggja, með opinberri tilkynningu eða á annan svipaðan hátt, að einstaklingar séu upplýstir með jafn skilvirkum hætti
Í tilkynningunni til einstaklingsins skal lýsa á skýru og einföldu máli eðli öryggisbrestsins auk a.m.k. eftirfarandi upplýsinga:
- nafns og tengiliðaupplýsinga persónuverndarfulltrúa eða annars tengiliðar þar sem hægt er að fá frekari upplýsingar,
- lýsingar á líklegum afleiðingum öryggisbrestsins, og
- lýsingar á þeim ráðstöfunum sem fyrirtækið hefur gripið til eða fyrirhugar að grípa til, til að bregðast við öryggisbrestinum, þ.m.t., eftir því sem við á, ráðstöfunum til að draga úr hugsanlegum skaðlegum áhrifum hans.
- Í tilkynningunni ættu einnig að koma fram ráðleggingar til að draga úr hugsanlegum skaðlegum áhrifum öryggisbrestsins sem einstaklingarnir geta gripið til.
Ábyrgðar- og vinnsluaðilar eru hvattir til að skipuleggja verklagið fyrirfram og koma á fót verkferlum til að geta greint og náð fljótt utan um öryggisbrestinn og metið áhættuna fyrir einstaklinga og ákvarðað hvort nauðsynlegt sé að tilkynna brestinn til eftirlitsyfirvaldsins og skráðra einstaklinga.
Hvenær þarf að tilkynna um öryggisbrest?
