Je li ovo povreda podataka i moram li je prijaviti?
Kao poduzetnik odgovorni ste za osobne podatke svojih klijenata i zaposlenika. Prema GDPR-u tada se nazivate voditeljem obrade. Ovdje možete pročitati kada je nešto povreda osobnih podataka, kada je potrebno prijaviti je i što trebate odmah učiniti. Ovo je opće objašnjenje, a ne pravni savjet; ako niste sigurni, pogledajte internetsku stranicu nizozemskog nadzornog tijela za zaštitu podataka, Autoriteit Persoonsgegevens (AP), ili se obratite pravniku.
Što je povreda osobnih podataka?
Prema GDPR-u, europskom zakonu o zaštiti privatnosti, riječ je o povredi sigurnosti zbog koje se osobni podaci izgube, unište ili izmijene, ili dospiju do osobe koja nema pravo na uvid u njih (članak 4., točka 12.). Osobni podaci su podaci o prepoznatljivoj osobi, poput imena, adrese e-pošte, adrese stanovanja ili povijesti narudžbi. Dakle, ne radi se samo o hakerima. Primjeri:
- e-poruka ili privitak s osobnim podacima koji je poslan pogrešnom primatelju;
- izgubljeno ili ukradeno prijenosno računalo, telefon ili USB stick s osobnim podacima koji nisu bili šifrirani;
- hakirani poštanski sandučić u kojem se nalaze računi, ponude ili prijave za posao;
- web-mjesto ili internetska trgovina iz koje su ukradeni podaci klijenata;
- ransomware zbog kojeg više nemate pristup administraciji klijenata, čak i ako ništa nije kopirano.
Prvi koraci
- Zaustavite povredu. Zamolite pogrešnog primatelja da izbriše e-poruku i to potvrdi. Promijenite lozinku preuzetog poštanskog sandučića s uređaja kojem vjerujete (pogledajte Sigurne lozinke i što učiniti ako je lozinka procurila).
- Utvrdite što se dogodilo. Koji je uzrok, kada je počelo, o kojim je podacima riječ, koliko je osoba pogođeno, tko ima pristup i jesu li podaci bili šifrirani? Sve zapišite, s datumom i vremenom.
- Procijenite rizik za osobe čiji su podaci u pitanju (pogledajte u nastavku).
- Prijavite povredu AP-u ako je to potrebno, u roku od 72 sata.
- Obavijestite ispitanike ako je rizik za njih visok.
- Unesite povredu u svoj registar povreda osobnih podataka. To činite uvijek.
Moram li prijaviti povredu Autoriteit Persoonsgegevens?
Povredu osobnih podataka prijavljujete bez nepotrebnog odgađanja, i ako je moguće, u roku od 72 sata nakon što ste je otkrili. To nije potrebno ako povreda vjerojatno ne predstavlja rizik za osobe čiji su podaci u pitanju (članak 33. GDPR-a).
- Rok počinje teći kada saznate za povredu, a ne kada se povreda dogodila. Vikend se također računa: ako je otkrijete u petak u 16:40, prijavu morate podnijeti najkasnije u ponedjeljak u 16:40.
- Dopuštena je i nepotpuna prijava. Ako nakon 72 sata još uvijek ne znate sve, prijavite ono što znate, a prijavu dopunite kasnije.
- Samo online. Prijavu podnosite putem obrasca za prijavu AP-a, a ne telefonom, e-poštom ili poštom. Prijavu možete pripremiti pomoću upitnika AP-a.
- Niste sigurni? AP preporučuje da u tom slučaju ipak podnesete prijavu.
Sljedeća pitanja pomažu pri procjeni:
| Pitanje | Niži rizik | Viši rizik |
|---|---|---|
| Koji podaci? | Samo poslovni kontakt podaci | OIB, preslika osobne iskaznice, bankovni podaci, lozinke, medicinski podaci, podaci o djeci |
| Koliko osoba? | Jedna ili nekoliko | Mnogo |
| Čitljivo za onoga tko ih ima? | Dobro šifrirano, ključ nije procurio | Čitljivo, ili je lozinka također procurila |
| Tko ih ima? | Poznati primatelj koji potvrđuje da ih je izbrisao | Nepoznata osoba, kriminalac, ili su javno dostupni na internetu |
Primjer: ako je ukradeno dobro šifrirano prijenosno računalo, vjerojatno nema rizika. Prijava tada nije potrebna, ali povredu ipak unosite u registar. Na nešifriranom prijenosnom računalu nalaznik može pročitati sve; u tom slučaju rizik obično postoji.
Kada obavještavate ispitanike?
Ako povreda vjerojatno predstavlja visok rizik za osobe čiji su podaci u pitanju, obavijestite ih bez odgode (članak 34. GDPR-a). Jednostavnim jezikom objasnite što se dogodilo, koje bi mogle biti posljedice, što Vi poduzimate i što oni sami mogu učiniti, primjerice promijeniti lozinku ili obratiti dodatnu pozornost na phishing poruke poslane navodno u Vaše ime.
To nije potrebno ako su podaci zbog dobrog šifriranja bili nečitljivi, ili ako ste naknadno poduzeli mjere zbog kojih visoki rizik više nije vjerojatan. Ako bi obavještavanje svih osoba zahtijevalo nerazmjeran napor, objavite javnu obavijest.
Registar povreda osobnih podataka: uvijek ga vodite
Svaku povredu osobnih podataka bilježite, čak i ako je ne prijavite (članak 33. stavak 5.). Zabilježite činjenice, posljedice, poduzete mjere i svoju procjenu: zašto jeste ili niste prijavili povredu i zašto jeste ili niste obavijestili ispitanike. AP ima primjer registra povreda osobnih podataka.
A što ako se povreda dogodila kod dobavljača?
Vaša hosting tvrtka, Vaš knjigovodstveni program u oblaku ili Vaša usluga za newsletter prema GDPR-u je izvršitelj obrade: strana koja obrađuje osobne podatke po Vašem nalogu. Izvršitelj obrade mora Vas bez nepotrebnog odgađanja obavijestiti ako otkrije povredu osobnih podataka (članak 33. stavak 2.). Nakon toga Vi procjenjujete trebate li prijaviti povredu, a u pravilu to i sami činite.
To vrijedi i kada je WebOké Vaš izvršitelj obrade. Mislite li da se povreda dogodila kod nas, primjerice na našim poslužiteljima? Odmah nas kontaktirajte putem tiketa u Centru za podršku, uz opis onoga što ste primijetili i kada.
Više informacija
- WebOké sigurnosne kopije: pregled, vraćanje ili preuzimanje sigurnosne kopije
- Autoriteit Persoonsgegevens: prijaviti ili ne prijaviti
- Autoriteit Persoonsgegevens: kako prijaviti povredu osobnih podataka
- Autoriteit Persoonsgegevens: upitnik obrasca za prijavu
- Autoriteit Persoonsgegevens: primjer registra povreda osobnih podataka
- GDPR, članci 4., 33. i 34. (EUR-Lex)