Povrede osobnih podataka i obveza prijave

Modul 8: Kad nešto pođe po zlu · Vrijeme čitanja: 11 minuta

Cilj učenja: Nakon ove lekcije moći ćete prepoznati radi li se o povredi osobnih podataka, procijeniti morate li je prijaviti Agenciji za zaštitu osobnih podataka u roku od 72 sata, odrediti morate li obavijestiti pogođene osobe te je pravilno zabilježiti u evidenciju povreda.

Ključni pojmovi: osobni podaci, povreda osobnih podataka (povreda u vezi s osobnim podacima), voditelj obrade, izvršitelj obrade, GDPR članak 33. i 34., prijava povrede nadležnom tijelu, 72 sata, rizik i visok rizik, evidencija povreda

Što je povreda osobnih podataka?

Kod pojma "povreda osobnih podataka" ljudi obično pomisle na hakere koji kradu bazu podataka. To je samo jedan oblik. GDPR koristi širu definiciju: povreda u vezi s osobnim podacima je povreda sigurnosti koja dovodi, slučajno ili nezakonito, do uništenja, gubitka, izmjene, neovlaštenog otkrivanja ili neovlaštenog pristupa osobnim podacima (članak 4., točka 12.).

Osobni podaci su svi podaci o prepoznatljivoj osobi: ime, adresa e-pošte poput jan.jansen@..., telefonski broj, adresa, broj kupca s poviješću narudžbi, fotografija, IP adresa u kombinaciji s drugim podacima. Podaci o samoj tvrtki (OIB, opća adresa) to nisu, ali podaci o kontakt osobi jesu.

Zato su sve ovo primjeri povrede osobnih podataka:

• e-poruka s popisom kupaca koja ode na pogrešnu adresu primatelja;
• newsletter u kojem su svi primatelji vidljivi u polju Za ili CC;
• izgubljen USB stick ili prijenosno računalo s podacima zaposlenika, ako nisu bili šifrirani;
• ransomware koji šifrira evidenciju kupaca (podaci tada nisu dostupni, čak i ako ništa nije kopirano);
• preuzet sandučić e-pošte u kojem se nalaze računi s imenima i adresama;
• podijeljena poveznica na mapu s molbama za posao koja je otvorena za svakoga.

Izraz "povreda sigurnosti" pokazuje da se ne radi samo o povjerljivosti. Brojе se i gubitak (podaci su nestali) i izmjena (netko je promijenio brojeve računa).

Tko je odgovoran: Vi ili Vaš dobavljač?

GDPR razlikuje dvije uloge.

• Voditelj obrade određuje zašto i kako se osobni podaci obrađuju. Za podatke o Vašim kupcima i zaposlenicima to ste Vi, kao poduzetnik.
• Izvršitelj obrade obrađuje podatke po Vašem nalogu: Vaš pružatelj hostinga, Vaš računovodstveni program u oblaku, Vaša usluga za newsletter, Vaš IT dobavljač.

Dođe li do povrede kod izvršitelja obrade, on je mora prijaviti Vama bez nepotrebnog odgađanja (članak 33., stavak 2.). Vi tada procjenjujete morate li prijaviti AZOP-u i obavijestiti pogođene osobe, i u pravilu to i sami prijavljujete (osim ako je dogovoreno da to izvršitelj obrade čini u Vaše ime). Obveza dakle ostaje na Vama, čak i ako je greška nastala kod nekoga drugog. Zato se u ugovoru o obradi podataka navode dogovori o tome koliko brzo i na koji način Vas izvršitelj obrade obavještava (lekcija 7.2).

Sat od 72 sata

Članak 33. GDPR-a kaže da povredu osobnih podataka prijavljujete bez nepotrebnog odgađanja i, ako je moguće, u roku od 72 sata Agenciji za zaštitu osobnih podataka, nakon što ste za nju saznali. Iznimka: nije vjerojatno da će povreda prouzročiti rizik za prava i slobode osoba.

Četiri se stvari često pogrešno shvaćaju:

1. Sat počinje kad saznate, a ne kad se povreda dogodila. "Saznati" znači: razumno ste sigurni da postoji povreda koja uključuje osobne podatke. Kratka prva procjena je dopuštena, ali tko svjesno ne provjerava, ne pomiče time sat.
2. 72 sata su 72 sata, i vikendom i za praznike. Otkrijete li povredu u petak u 16:40, krajnji je rok ponedjeljak u 16:40.
3. Nepotpuna prijava je dopuštena. Ako nakon 72 sata još ne znate sve, prijavite ono što znate i kasnije dopunite. Prijavite li kasnije od 72 sata, morate objasniti zašto; nadležno tijelo to prihvaća samo u iznimnim slučajevima.
4. Riječ je o riziku za ljude, a ne o šteti za Vašu tvrtku.

Otkriveno:  petak     16:40   -> sat počinje
            subota              (broji se)
            nedjelja            (broji se)
Najkasnije ponedjeljak 16:40   -> prijava AZOP-u (eventualno nepotpuna)

Prijavu podnosite u pravilu isključivo putem online obrasca za izvješćivanje o povredi na stranici nadležnog tijela (AZOP); telefonski poziv, e-pošta ili pismo nisu dovoljni. Nadležno tijelo obično ima upitnik kojim možete unaprijed pripremiti prijavu. Unosite, među ostalim, što se dogodilo, kada, koji podaci i koliko osoba je zahvaćeno, kakve su moguće posljedice i koje ste mjere poduzeli. Ovdje Vam se isplati dnevnik iz lekcije 8.1.

Kada prijaviti, a kada ne: procjena rizika

Procjenjujete koliko su vjerojatne i koliko ozbiljne posljedice za pogođene osobe. Razmislite o: krađi identiteta, financijskoj šteti, diskriminaciji, šteti za ugled ili gubitku kontrole nad podacima. Pitanja koja pomažu:

Dva primjera koja se često pojavljuju:

• Ukradeno šifrirano prijenosno računalo, jaka lozinka, ključ nije procurio, nedavna sigurnosna kopija: vjerojatno nema rizika. Ne prijavljuje se AZOP-u, ali se bilježi u evidenciju.
• Hakirana web trgovina, napadač je dobio adrese e-pošte i slabo pohranjene lozinke: postoji rizik, dakle treba prijaviti. A budući da ljudi često ponovno koriste istu lozinku (lekcija 1.4), rizik je visok: pogođene osobe treba obavijestiti.

Sumnjate li? Prijava je obično sigurniji izbor. I nadležno tijelo savjetuje prijavu u slučaju sumnje. Nove informacije kasnije dostavljate dopunskom prijavom.

Obavještavanje pogođenih osoba: kod visokog rizika

Članak 34. odnosi se na osobe čiji su podaci u pitanju. Ako povreda vjerojatno predstavlja visok rizik, obavještavate ih bez odgađanja: čim razumno možete. Za to ne vrijedi rok od 72 sata, ali čekanje dok se sve ne razjasni također nije svrha.

U obavijesti jasnim jezikom opišite što se dogodilo, koje su vjerojatne posljedice, što Vi poduzimate i što pogođene osobe same mogu učiniti (primjerice promijeniti lozinku drugdje, biti oprezne zbog phishinga u Vaše ime, upozoriti svoju banku), uz kontakt osobu.

Obavještavanje nije potrebno ako ste poduzeli primjerene mjere koje čine podatke nečitljivima (poput dobrog šifriranja), ako ste naknadno poduzeli mjere zbog kojih visok rizik više nije vjerojatan, ili ako bi to zahtijevalo nerazmjeran napor: tada objavljujete javno priopćenje (članak 34., stavak 3.).

Pazite: phishing često slijedi nakon povrede osobnih podataka. Kriminalci tada znaju tko su Vaši kupci i šalju e-poruku "u Vaše ime". Upozorite na to i svoje kupce.

Evidencija povreda: uvijek

Članak 33., stavak 5. obvezuje Vas da zabilježite svaku povredu osobnih podataka, čak i ako je ne prijavljujete. Zabilježite: činjenice, posljedice, poduzete mjere i Vašu procjenu (zašto jeste ili niste prijavili, zašto jeste ili niste obavijestili pogođene osobe). Oblik možete sami odabrati; nadležno tijelo obično ima primjer evidencije povreda. Jednostavna tablica je dovoljna:

Br. | Otkriveno (datum/vrijeme) | Što se dogodilo | Koji podaci, koliko osoba
    | Posljedice | Poduzete mjere | Prijavljeno AZOP-u? (da/ne + zašto, datum)
    | Pogođene osobe obaviještene? (da/ne + zašto) | Riješeno (datum)

Evidencija Vam pomaže i samima: vidite li tri puta godišnje "e-pošta na pogrešnu adresu", znate gdje trebate poboljšati postupak (primjerice odgoda prije slanja, ili više ne koristiti popise kupaca kao privitak, lekcija 7.3).

Povreda osobnih podataka i Zakon o kibernetičkoj sigurnosti: dvije različite prijave

Ako Vaša organizacija spada pod Zakon o kibernetičkoj sigurnosti (NIS2, lekcija 9.1), uz to vrijedi i obveza prijave značajnih incidenata: prvo upozorenje u roku od 24 sata, prijava u roku od 72 sata i završno izvješće u roku od mjesec dana, putem nadležnog tijela. To je druga vrsta prijave, s drugom svrhom (kontinuitet usluga) i kod druge institucije. Napad ransomwarea može, dakle, spadati u obje kategorije. Većina malih poduzeća ne spada pod Zakon o kibernetičkoj sigurnosti; obveza prijave prema GDPR-u vrijedi za sve.

Ova lekcija daje opće informacije i ne predstavlja pravni savjet. U slučaju sumnje obratite se nadležnom tijelu ili pravnom stručnjaku.

Sažetak

• Povreda osobnih podataka je svaka povreda zbog koje osobni podaci nestanu, promijene se ili dospiju do nekoga tko ne bi smio imati pristup; i e-poruka na pogrešnu adresu ili izgubljeno nešifrirano prijenosno računalo spadaju u to.
• Prijava nadležnom tijelu: bez nepotrebnog odgađanja i, ako je moguće, u roku od 72 sata od otkrivanja, i vikendom, osim ako vjerojatno nema rizika. Nepotpuna prijava je dopuštena.
• Obavještavanje pogođenih osoba: bez odgađanja, ako postoji vjerojatan visok rizik.
• Dođe li do povrede kod izvršitelja obrade, on Vas mora obavijestiti; odluka o prijavi je na Vama.
• Svaku povredu zabilježite u svojoj evidenciji povreda, zajedno sa svojom procjenom.

Kviz

Zadatak

Zadatak A8.2: Izračunajte rok. Dobivate četiri trenutka otkrića. Za svaki trenutak unesite krajnji datum i vrijeme za prijavu nadležnom tijelu. Program to provjerava.

Zadatak A8.2b: Prijaviti ili ne? Dobivate osam kratkih slučajeva. Za svaki slučaj odaberite treba li prijaviti nadležnom tijelu, treba li obavijestiti pogođene osobe i treba li ga unijeti u evidenciju povreda. Program provjerava i daje objašnjenje za svaki slučaj.

Dodatno štivo

Koraci u WebOké člancima vrijede za okruženje WebOké; kod drugih pružatelja usluga postupak je sličan.

• Upomoć! Moja web stranica je hakirana. Kako to riješiti ili spriječiti?
• Agencija za zaštitu osobnih podataka, Primjer evidencije povreda: https://azop.hr/
• Agencija za zaštitu osobnih podataka, Obveza prijave povrede osobnih podataka: https://azop.hr/
• Agencija za zaštitu osobnih podataka, Upitnik za obrazac prijave povrede: https://azop.hr/
• GDPR (Uredba (EU) 2016/679), članci 4., 33. i 34.: https://eur-lex.europa.eu/eli/reg/2016/679/oj
• Nacionalni CERT, Prijava incidenata: https://www.cert.hr/