Je li ovo povreda osobnih podataka i moram li je prijaviti?
Kao poduzetnik odgovorni ste za osobne podatke Vaših klijenata i zaposlenika. U GDPR-u se tada nazivate voditeljem obrade. Ovdje možete pročitati kada je nešto povreda osobnih podataka, kada je morate prijaviti i što odmah trebate učiniti. Ovo je opće objašnjenje, a ne pravni savjet. U slučaju nedoumice provjerite web-stranicu nizozemskog nadzornog tijela Autoriteit Persoonsgegevens (AP) ili se obratite pravniku.
Što je povreda osobnih podataka?
Prema GDPR-u, europskom zakonu o zaštiti privatnosti, to je kršenje sigurnosti zbog kojeg se osobni podaci izgube, unište ili izmijene, ili dospiju do nekoga tko im ne smije pristupiti (članak 4. točka 12.). Osobni podaci su podaci o osobi koju je moguće identificirati, poput imena, adrese e-pošte, adrese ili povijesti narudžbi. Dakle, ne radi se samo o hakerima. Primjeri:
- e-poruka ili privitak s osobnim podacima koji je poslan pogrešnom primatelju;
- izgubljeno ili ukradeno prijenosno računalo, telefon ili USB stick s osobnim podacima koji nisu bili šifrirani;
- hakirani pretinac e-pošte u kojem se nalaze računi, ponude ili molbe za posao;
- web-stranica ili web-trgovina iz koje su ukradeni podaci o klijentima;
- ransomware zbog kojeg više ne možete pristupiti evidenciji klijenata, čak i ako ništa nije kopirano.
Prvi koraci
- Zaustavite curenje. Zamolite pogrešnog primatelja da izbriše e-poruku i to potvrdi. Promijenite lozinku preuzetog pretinca e-pošte s uređaja kojem vjerujete (pogledajte Sigurne lozinke i što učiniti kada Vam lozinka procuri).
- Utvrdite što se dogodilo. Koji je uzrok, kada je počelo, o kojim je podacima riječ, o koliko osoba, tko im može pristupiti i jesu li podaci bili šifrirani? Sve zapišite, s datumom i vremenom.
- Procijenite rizik za osobe čiji su to podaci (pogledajte u nastavku).
- Prijavite povredu AP-u ako je to potrebno, u roku od 72 sata.
- Obavijestite ispitanike ako je rizik za njih visok.
- Upišite povredu u Vašu evidenciju povreda podataka. To činite uvijek.
Moram li prijaviti povredu tijelu Autoriteit Persoonsgegevens?
Povredu osobnih podataka prijavljujete bez nepotrebnog odgađanja i, ako je moguće, u roku od 72 sata nakon što ste je otkrili. To nije potrebno ako povreda vjerojatno ne predstavlja rizik za osobe čiji su to podaci (članak 33. GDPR-a).
- Rok počinje teći kada saznate za povredu, a ne kada se ona dogodila. Vikend se računa: ako je otkrijete u petak u 16:40, prijavljujete je najkasnije u ponedjeljak u 16:40.
- Nepotpuna prijava je dopuštena. Ako nakon 72 sata još ne znate sve, prijavite ono što znate i kasnije dopunite prijavu.
- Samo online. Prijavu podnosite putem obrasca za prijavu AP-a, a ne telefonom, e-poštom ili poštom. Upitnikom AP-a možete pripremiti prijavu.
- Niste sigurni? AP savjetuje da u tom slučaju ipak podnesete prijavu.
Ova pitanja pomažu Vam pri procjeni:
| Pitanje | Niži rizik | Viši rizik |
|---|---|---|
| Koji podaci? | Samo poslovni kontakt podaci | BSN (nizozemski osobni identifikacijski broj), preslika identifikacijske isprave, bankovni podaci, lozinke, medicinski podaci, podaci o djeci |
| Koliko osoba? | Jedna ili nekoliko | Mnogo |
| Čitljivo onome tko ima podatke? | Dobro šifrirano, ključ nije procurio | Čitljivo, ili je procurila i lozinka |
| Tko ima podatke? | Poznati primatelj koji potvrđuje da ih je izbrisao | Nepoznata osoba, kriminalac ili javno dostupno na internetu |
Primjer: ako je ukradeno dobro šifrirano prijenosno računalo, vjerojatno nema rizika. Prijava tada nije potrebna, ali povredu ipak upisujete u Vašu evidenciju. Na nešifriranom prijenosnom računalu nalaznik može sve pročitati; tada rizik obično postoji.
Kada obavještavate ispitanike?
Ako povreda vjerojatno predstavlja visok rizik za osobe čiji su to podaci, obavještavate ih bez odgađanja (članak 34. GDPR-a). Jednostavnim jezikom objasnite što se dogodilo, kakve mogu biti posljedice, što Vi poduzimate i što oni sami mogu učiniti, primjerice promijeniti lozinku ili posebno paziti na phishing poruke u Vaše ime.
To nije potrebno ako su podaci zahvaljujući dobrom šifriranju bili nečitljivi ili ako ste nakon toga poduzeli mjere zbog kojih visok rizik više nije vjerojatan. Ako bi obavještavanje svih osoba zahtijevalo nerazmjeran napor, umjesto toga objavljujete javnu obavijest.
Evidencija povreda podataka: uvijek je vodite
Svaku povredu osobnih podataka evidentirate, čak i ako je ne prijavite (članak 33. stavak 5.). Zabilježite činjenice, posljedice, mjere i Vašu procjenu: zašto ste povredu prijavili ili niste te zašto ste ispitanike obavijestili ili niste. AP nudi primjer evidencije povreda podataka.
A ako je do povrede došlo kod dobavljača?
Vaš pružatelj hostinga, Vaš računovodstveni program u oblaku ili Vaša usluga za newsletter prema GDPR-u su izvršitelji obrade: strane koje obrađuju osobne podatke u Vaše ime. Izvršitelj obrade mora Vas bez nepotrebnog odgađanja obavijestiti ako otkrije povredu osobnih podataka (članak 33. stavak 2.). Nakon toga Vi procjenjujete morate li povredu prijaviti, a u načelu je prijavljujete i sami.
To vrijedi i ako je WebOké Vaš izvršitelj obrade. Dogovori o tome nalaze se u našem ugovoru o obradi podataka, pogledajte Ugovor o obradi podataka: gdje ga mogu pronaći? Mislite li da je do povrede došlo kod nas, primjerice na našim poslužiteljima? Odmah nas kontaktirajte putem ticketa u Centru za podršku i navedite što ste primijetili i kada.
Dodatno čitanje
- WebOké Backups: pregled, vraćanje ili preuzimanje sigurnosne kopije
- Autoriteit Persoonsgegevens: prijaviti ili ne
- Autoriteit Persoonsgegevens: kako prijaviti povredu osobnih podataka
- Autoriteit Persoonsgegevens: upitnik obrasca za prijavu
- Autoriteit Persoonsgegevens: primjer evidencije povreda podataka
- GDPR, članci 4., 33. i 34. (EUR-Lex)
Želite li naučiti više? Pohađajte besplatni tečaj Sigurno online za poduzetnike, lekcija 8.2 Povrede osobnih podataka i obveza prijave.