Încălcarea securității datelor: ce faceți în 72 de ore și cum notificați ANSPDCP

Ce este o încălcare a securității datelor?

O încălcare a securității datelor cu caracter personal este, conform art. 4 pct. 12 din GDPR, o încălcare a securității care duce, în mod accidental sau ilegal, la distrugerea, pierderea, modificarea, divulgarea neautorizată sau accesul neautorizat la date personale transmise, stocate sau prelucrate în alt mod. Nu contează dacă a fost un atac sau o greșeală umană.

Încălcările se împart, după efect, în trei tipuri:

Un incident poate fi simultan de mai multe tipuri. Un atac ransomware, de exemplu, blochează accesul la date și poate implica și copierea lor de către atacatori.

Ce faceți, pas cu pas, când descoperiți un incident?

Ordinea de mai jos urmează obligațiile din art. 33 și 34 și asigură respectarea termenului de 72 de ore:

1. Opriți sau limitați incidentul. Deconectați echipamentul infectat de la rețea, schimbați parolele compromise, cereți destinatarului greșit să șteargă e-mailul, blocați accesul la documentul publicat din eroare.
2. Anunțați imediat persoana desemnată intern. Angajatul care observă incidentul anunță conducerea și DPO sau persoana responsabilă. Dacă incidentul apare la un furnizor, acesta trebuie să vă anunțe fără întârzieri nejustificate (art. 33 alin. 2).
3. Stabiliți și notați momentul în care ați luat cunoștință. De aici curg cele 72 de ore. Notați data și ora.
4. Strângeți faptele. Ce s-a întâmplat, când, ce date au fost afectate, câte persoane și câte înregistrări, aproximativ, ce categorii de persoane (angajați, cetățeni, pacienți, elevi).
5. Evaluați riscul pentru persoane. Luați în calcul tipul datelor (CNP, date medicale, date bancare), volumul, posibilitatea de identificare, consecințele (fraudă, furt de identitate, discriminare, prejudiciu de imagine) și dacă datele erau criptate.
6. Decideți asupra notificării către ANSPDCP. Dacă încălcarea poate genera un risc pentru persoane, notificați autoritatea fără întârzieri nejustificate și, dacă este posibil, în cel mult 72 de ore (art. 33 alin. 1).
7. Informați persoanele afectate, dacă riscul este ridicat. Comunicarea se face fără întârzieri nejustificate, într-un limbaj clar și simplu (art. 34).
8. Consemnați incidentul în registrul intern. Orice încălcare, inclusiv cele nenotificate, se documentează cu faptele, efectele și măsurile luate (art. 33 alin. 5).
9. Remediați cauza și revizuiți măsurile de securitate. Actualizați măsurile din art. 32, instruiți din nou personalul implicat și, dacă este cazul, sesizați organele de urmărire penală.

Când începe să curgă termenul de 72 de ore?

Termenul curge de la momentul în care operatorul a luat cunoștință de încălcare. Orientările europene privind notificarea încălcărilor explică faptul că operatorul „ia cunoștință” atunci când are un grad rezonabil de certitudine că a avut loc un incident de securitate care a afectat date personale.

Câteva precizări practice:

• o scurtă verificare inițială, pentru a confirma dacă este un incident real, este acceptată, dar nu poate fi folosită pentru a amâna momentul;
• termenul este exprimat în ore, nu în zile lucrătoare, deci include weekendul și sărbătorile legale;
• dacă notificați după 72 de ore, notificarea trebuie însoțită de motivele întârzierii (art. 33 alin. 1);
• dacă nu aveți toate informațiile, notificați cu ce aveți și completați ulterior, în etape (art. 33 alin. 4).

Ce trebuie să conțină notificarea către ANSPDCP?

Notificarea trebuie să cuprindă cel puțin elementele prevăzute la art. 33 alin. (3):

ANSPDCP pune la dispoziție un formular de notificare a încălcărilor securității datelor, accesibil de pe site-ul oficial dataprotection.ro. Pregătiți informațiile de mai sus înainte de a începe completarea, pentru a nu pierde timp în ultimele ore ale termenului.

Când trebuie informate persoanele afectate?

Persoanele vizate trebuie informate fără întârzieri nejustificate atunci când încălcarea este susceptibilă să genereze un risc ridicat pentru drepturile și libertățile lor (art. 34 alin. 1). Pragul este mai sus decât pentru notificarea autorității: pentru ANSPDCP ajunge un risc, pentru persoane este nevoie de un risc ridicat.

Comunicarea descrie, într-un limbaj clar și simplu, natura încălcării și cuprinde cel puțin datele de contact ale DPO, consecințele probabile și măsurile luate sau propuse (art. 34 alin. 2). Este util să includeți și recomandări concrete: schimbarea parolei, atenția la mesaje suspecte, blocarea unui card.

Comunicarea nu este necesară în trei situații (art. 34 alin. 3):

1. datele erau protejate prin măsuri care le fac neinteligibile pentru persoane neautorizate, cum ar fi criptarea;
2. ați luat ulterior măsuri care fac improbabilă materializarea riscului ridicat;
3. informarea individuală ar necesita un efort disproporționat, caz în care se face o informare publică sau o măsură similară, la fel de eficace.

ANSPDCP poate cere informarea persoanelor dacă apreciază că riscul este ridicat (art. 34 alin. 4).

Cum decideți în funcție de nivelul de risc?

Un exemplu orientativ: un e-mail cu o listă de nume trimis greșit unui coleg din aceeași instituție, care confirmă ștergerea, poate fi încadrat ca improbabil să genereze un risc. Aceeași listă, cu CNP-uri și date medicale, trimisă unei persoane din afară, se încadrează de regulă la risc ridicat. Încadrarea trebuie justificată în scris în registru.

Ce obligații are persoana împuternicită?

Persoana împuternicită, de exemplu firma de contabilitate, furnizorul de programe informatice sau de găzduire, trebuie să îl anunțe pe operator fără întârzieri nejustificate după ce ia cunoștință de încălcare (art. 33 alin. 2). Ea trebuie, de asemenea, să îl asiste pe operator în respectarea obligațiilor din art. 32–36 (art. 28 alin. 3 lit. f).

Notificarea către ANSPDCP și informarea persoanelor rămân în sarcina operatorului. De aceea contractul cu furnizorul trebuie să prevadă un termen scurt de anunțare și informațiile pe care acesta trebuie să vi le transmită.

Ce riscați dacă nu notificați?

Nerespectarea art. 33 și 34 se încadrează în plafonul de amendă de până la 10 milioane de euro sau 2% din cifra de afaceri (art. 83 alin. 4). Printre criteriile de stabilire a amenzii se află expres modul în care autoritatea a aflat de încălcare, în special dacă operatorul a notificat-o (art. 83 alin. 2 lit. h). Un incident ascuns care ajunge la ANSPDCP printr-o plângere este tratat mai sever decât unul notificat corect. Detalii în ghidul despre amenzile GDPR și sancțiunile ANSPDCP.

Cum vă pregătiți înainte de un incident?

Termenul de 72 de ore se respectă greu dacă pregătirea începe în ziua incidentului. Aveți nevoie, dinainte, de:

• o procedură scrisă de gestionare a incidentelor, cu roluri și numere de telefon;
• un registru al incidentelor, parte din documentele GDPR obligatorii;
• contracte cu furnizorii care prevăd obligația de anunțare rapidă;
• copii de siguranță testate și criptarea laptopurilor și a dispozitivelor mobile;
• personal instruit să recunoască și să raporteze un incident, prin instruire GDPR pentru angajați;
• o analiză a riscurilor care identifică unde sunt datele sensibile, realizată prin serviciul de analiză a riscurilor GDPR.

Cum vă putem ajuta

KRASP DPO S.R.L. asistă operatorii în gestionarea incidentelor: evaluarea riscului, redactarea notificării către ANSPDCP și a comunicării către persoane, consemnarea în registru și stabilirea măsurilor de remediere. Prin serviciul de DPO extern, procedura și registrul incidentelor sunt pregătite dinainte, iar în momentul incidentului aveți un interlocutor care cunoaște deja organizația. Lucrăm din 2018 cu primării, agenții județene și firme private. Pentru o situație urgentă, sunați la 0735 77 66 73 sau folosiți pagina de contact.