Изтичане на лични данни: кога и как се уведомява КЗЛД

Общият регламент относно защитата на данните (GDPR) задължава администраторите на лични данни да реагират бързо при пробив. Сроковете са кратки, а пропуснатото уведомление е самостоятелно нарушение, за което могат да бъдат наложени санкции.

Нарушение на сигурността на личните данни

Нарушение е всеки инцидент, който води до случайно или неправомерно унищожаване, загуба, промяна, неразрешено разкриване или достъп до лични данни. Примери:

• открадната база данни с клиенти на онлайн магазин;
• имейл с лични данни, изпратен до грешен получател;
• изгубен лаптоп без криптиран диск;
• рансъмуер атака, при която данните са криптирани и недостъпни.

Уведомяване на КЗЛД

Администраторът уведомява Комисията за защита на личните данни (КЗЛД) без ненужно забавяне и когато е възможно до 72 часа, след като е разбрал за нарушението (чл. 33 от GDPR). Уведомление не се изисква само когато е малко вероятно нарушението да породи риск за правата и свободите на засегнатите лица. Към уведомление, подадено след 72 часа, се прилагат причините за забавянето.

Обработващият лични данни, например счетоводна фирма или хостинг доставчик, уведомява администратора без ненужно забавяне, след като разбере за нарушението.

Съдържание на уведомлението

• естеството на нарушението, категориите и приблизителният брой засегнати лица и записи;
• името и данните за контакт на длъжностното лице по защита на данните или на друго лице за контакт;
• вероятните последици от нарушението;
• предприетите или предлаганите мерки за справяне с нарушението и ограничаване на последиците.

Информацията може да се подаде на етапи, ако не е налична наведнъж. КЗЛД предлага незадължителна бланка за уведомление на сайта си (cpdp.bg). Уведомлението се подава от администратора или от изрично упълномощено лице по един от следните начини:

• лично в деловодството на КЗЛД: гр. София 1592, бул. „Проф. Цветан Лазаров“ № 2;
• по пощата на същия адрес;
• по имейл на [email protected], подписано с квалифициран електронен подпис;
• чрез Системата за сигурно електронно връчване.

Уведомяване на засегнатите лица

Когато нарушението вероятно води до висок риск за засегнатите лица, администраторът ги уведомява без ненужно забавяне (чл. 34 от GDPR). Уведомлението е на ясен език и описва какво се е случило и какво могат да направят хората, например да сменят парола или да внимават за фишинг писма. Уведомяването не се изисква, ако данните са били криптирани и ключът не е компрометиран.

Вътрешен регистър на нарушенията

Всяко нарушение се документира, включително тези, за които КЗЛД не е уведомявана: фактите, последиците и предприетите мерки (чл. 33, параграф 5 от GDPR). При проверка регистърът показва как фирмата е реагирала.

Първи стъпки при пробив

1. Ограничете инцидента: сменете паролите и изключете засегнатите системи.
2. Установете какви данни са засегнати и колко лица.
3. Запишете момента, в който фирмата е разбрала за нарушението. Оттогава тече срокът от 72 часа.
4. Оценете риска за засегнатите лица и подгответе уведомлението.

Източници: Регламент (ЕС) 2016/679, чл. 33 и 34; КЗЛД, „Действия на администраторите при нарушение на сигурността на личните данни“; Насоки 9/2022 на ЕКЗД.