Duomenų saugumo pažeidimas: kada pranešti VDAI ir žmonėms

Kiekvienas asmens duomenų saugumo pažeidimas turi būti įrašytas į Jūsų pažeidimų žurnalą. Valstybinei duomenų apsaugos inspekcijai (VDAI) pranešama nepagrįstai nedelsiant ir, jei įmanoma, ne vėliau kaip per 72 valandas nuo sužinojimo, nebent pažeidimas neturėtų kelti pavojaus žmonių teisėms ir laisvėms. Patiems žmonėms pranešama tik tada, kai pavojus didelis. Tai trys atskiri sprendimai, ir kiekvieną verta užrašyti su motyvais. Per klaidą ne tam gavėjui išsiųstas laiškas taip pat yra pažeidimas.

Trumpą atsakymą, ar apie kiekvieną pažeidimą reikia pranešti, jau pateikėme BDAR audito paslaugos dažnų klausimų skiltyje. Pirmųjų valandų veiksmų sąrašą rasite Privacio atsakyme „Ką daryti įvykus duomenų saugumo pažeidimui?“. Čia aiškiname visą teisinį sprendimą: nuo kada skaičiuojamas terminas, kam pranešti, ką užrašyti ir kas gali nueiti ne taip.

Kas yra pažeidimas

BDAR 4 straipsnio 12 punktas (BDAR 4 str. 12 p.) pažeidimą apibrėžia plačiai: tai saugumo pažeidimas, dėl kurio duomenys netyčia arba neteisėtai sunaikinami, prarandami, pakeičiami, be leidimo atskleidžiami arba prie jų be leidimo gaunama prieiga. Apibrėžimas neapsiriboja kibernetinėmis atakomis: į jį patenka ir klaidingu adresu išsiųstas laiškas, visiems gavėjams matomi adresai, pamestas nešiojamas kompiuteris ar duomenys, ištrinti neturint atsarginės kopijos.

Europos duomenų apsaugos valdybos (EDAV) Gairės Nr. 9/2022 pažeidimus skirsto į tris rūšis: konfidencialumo (duomenys atskleisti), vientisumo (duomenys pakeisti) ir prieinamumo (prieiga prarasta arba duomenys sunaikinti). Vienas incidentas gali būti visų trijų rūšių iš karto.

Nuo kada skaičiuojamos 72 valandos

BDAR 33 straipsnio 1 dalis (BDAR 33 str. 1 d.) reikalauja pranešti „nepagrįstai nedelsdamas ir, jei įmanoma“, praėjus ne daugiau kaip 72 valandoms. 72 valandos yra viršutinė riba, ne tikslas. Jeigu viskas aišku po kelių valandų, laukti trijų parų nėra pagrindo.

Terminas skaičiuojamas nuo sužinojimo. EDAV gairėse nurodyta, kad valdytojas laikomas sužinojusiu, kai pakankamai patikimai įsitikina, kad įvyko saugumo incidentas, dėl kurio kilo pavojus asmens duomenims. Tai nereiškia, kad galima neskubėti tirti. Tos pačios gairės reikalauja imtis skubių veiksmų, kad būtų nustatyta, ar pažeidimas iš tiesų įvyko.

Jeigu per 72 valandas nepranešėte, pranešime reikia nurodyti vėlavimo priežastis (BDAR 33 str. 1 d.). Jeigu dar ne viskas žinoma, informaciją galima teikti etapais (BDAR 33 str. 4 d.). Pranešime turi būti bent keturi dalykai: pažeidimo pobūdis ir, jei įmanoma, apytikslis žmonių ir įrašų skaičius; pareigūno ar kito kontaktinio asmens duomenys; tikėtinos pasekmės; priemonės, kurių imtasi ar ketinama imtis (BDAR 33 str. 3 d.).

Kai pažeidimas įvyksta pas paslaugų teikėją

Paslaugų teikėjas, tvarkantis duomenis Jūsų vardu, sužinojęs apie pažeidimą, nepagrįstai nedelsdamas praneša Jums (BDAR 33 str. 2 d.). Pranešimą VDAI teikiate Jūs, kaip duomenų valdytojas. EDAV gairės paaiškina dvi svarbias detales. Tvarkytojas neprivalo pats vertinti pavojaus prieš pranešdamas Jums. O Jūs iš esmės laikomi sužinojusiu tada, kai tvarkytojas Jums praneša. Todėl paprastai Jūsų 72 valandos pradedamos skaičiuoti nuo jo pranešimo.

Duomenų tvarkymo sutartyje turi būti nustatyta, kad tvarkytojas padeda Jums vykdyti 32–36 straipsnių prievoles (BDAR 28 str. 3 d. f p.). Verta patikrinti, ar sutartyje nurodyta, per kiek laiko ir kam jis praneša. Jeigu to nėra, 72 valandų laikrodis gali pradėti eiti pas žmogų, kuris net nežino, ką su tuo laišku daryti. Kada duomenų tvarkymo sutartis privaloma, rašome straipsnyje Duomenų tvarkymo sutartis: kada privaloma ir kas gresia be jos.

Kada pranešti žmonėms

Žmonėms pranešama tik tada, kai dėl pažeidimo gali kilti didelis pavojus jų teisėms ir laisvėms (BDAR 34 str. 1 d.). Pranešimas rašomas aiškia ir paprasta kalba, jame nurodoma pažeidimo esmė, kontaktinis asmuo, tikėtinos pasekmės ir priemonės (BDAR 34 str. 2 d.).

Pranešti nereikia trimis atvejais (BDAR 34 str. 3 d.): duomenys buvo apsaugoti taip, kad pašaliniam asmeniui jie nesuprantami, pavyzdžiui, užšifruoti; po pažeidimo imtasi priemonių, dėl kurių didelis pavojus nebegali kilti; arba informuoti kiekvieną atskirai reikėtų neproporcingai daug pastangų. Paskutiniu atveju vietoj asmeninių pranešimų skelbiama viešai. Net jeigu nusprendėte nepranešti, VDAI gali pareikalauti, kad žmones informuotumėte (BDAR 34 str. 4 d.). Ko reikalauja saugumo pareiga, rašome straipsnyje BDAR saugumo priemonės: ko iš tikrųjų reikalauja 32 straipsnis.

Laiškas ne tam gavėjui

Ar reikia pranešti žmogui, kai jo duomenys per klaidą išsiųsti kitam adresatui? Ne visada. Žmogui pranešti privaloma tik esant dideliam pavojui (BDAR 34 str. 1 d.). VDAI pranešti nereikia, jeigu pažeidimas neturėtų kelti pavojaus (BDAR 33 str. 1 d.). Pavienis laiškas su nejautriais duomenimis, kurį gavėjas ištrynė, gali ir nekelti pavojaus, bet tai reikia įvertinti kiekvienu atveju. Bet į pažeidimų žurnalą jį įrašyti reikia visada.

EDAV Gairėse 01/2021 yra du atvejai, kurie gerai parodo ribą. Viename kursų dalyvių sąrašas su vardais, el. pašto adresais ir dviejų žmonių mitybos pageidavimais per klaidą išsiųstas penkiolikai buvusių dalyvių. Valdytojas klaidą pastebėjo iš karto ir paprašė ištrinti. Išvada: pranešti nei VDAI, nei žmonėms nereikėjo, bet pažeidimą būtina dokumentuoti. Atkreipkite dėmesį: mitybos pageidavimai čia buvo sveikatos duomenys, o pranešti vis tiek nereikėjo. Sveikatos duomenys savaime nereiškia didelio pavojaus, sprendžia pavojaus vertinimas. Kitame atvejyje prie laiško per klaidą prisegtas daugiau nei 60 000 žmonių sąrašas su socialinio draudimo numeriais. Išvada: reikia visų trijų veiksmų, t. y. dokumentuoti, pranešti VDAI ir pranešti žmonėms.

Net jei gavėjas patvirtina, kad laišką ištrynė, pavojus tik sumažėja: pažeidimas vis tiek įvyko. Gairės primena, kad valdytojas negali priversti gavėjų ištrinti laiško, todėl negali būti visiškai tikras, kad jie tai padarys. Praktinius žingsnius šiam atvejui aprašo Privacio atsakymas „Išsiuntėme duomenis ne tam žmogui — ar reikia pranešti?“.

Ką įrašyti į pažeidimų žurnalą

BDAR 33 straipsnio 5 dalis (BDAR 33 str. 5 d.) reikalauja dokumentuoti visus pažeidimus: faktus, poveikį ir taisomuosius veiksmus. Pagal šiuos dokumentus VDAI turi galėti patikrinti, ar laikėtės 33 straipsnio. Todėl žurnalas yra ne formalumas, o Jūsų įrodymas.

Minimaliai įrašykite:

• kada įvyko, kada sužinojote ir kada ištaisėte;
• kokie duomenys ir kiek žmonių paliesta;
• ką padarėte, pavyzdžiui, paprašėte gavėjo ištrinti, pakeitėte slaptažodžius;
• ar pranešėte VDAI ir žmonėms, o jei ne, kodėl;
• ką keisite, kad nepasikartotų.

Ketvirtas punktas yra svarbiausias. EDAV gairės rekomenduoja dokumentuoti sprendimų pagrindą, o jei apie pažeidimą nepranešama, užrašyti, kodėl manote, kad pavojaus nėra. Jeigu remiatės BDAR 34 str. 3 d. išimtimi, turėkite įrodymų, kad ji tikrai taikoma.

Kas gali nueiti ne taip

Pirma klaida: nuspręsta nepranešti, bet sprendimas neužrašytas. Po pusmečio žmogus pateikia skundą, ir organizacija negali parodyti, kodėl tada manė, kad pavojaus nėra. Kaip nagrinėjami skundai, rašėme straipsnyje „Skundas VDAI: kiek trunka ir kas būna toliau“.

Antra: laukiama visų faktų, ir 72 valandos praeina. Reglamentas leidžia pranešti etapais būtent tam, kad nereikėtų laukti.

Trečia: praleidžiamas žurnalo įrašas. Pareiga dokumentuoti taikoma visiems pažeidimams, net ir tiems, apie kuriuos VDAI nepranešama (BDAR 33 str. 5 d.).

Ketvirta: paslaugų teikėjas apie incidentą praneša po savaitės, nes sutartyje nieko nesutarta. Žmonės tą savaitę lieka neapsaugoti, o Jūs negalite parodyti, kad sutartimi užtikrinote tvarkytojo pagalbą (BDAR 28 str. 3 d. f p.).

Pasekmės nėra tik reputacinės. Valdytojo prievolės pagal BDAR 25–39 straipsnius, įskaitant pranešimą ir dokumentavimą, patenka į baudų intervalą iki 10 milijonų eurų arba, įmonės atveju, iki 2 % ankstesnių finansinių metų bendros metinės pasaulinės apyvartos, taikoma didesnė suma (BDAR 83 str. 4 d. a p.). Valdžios institucijoms ir įstaigoms ADTAĮ 33 str. 1 d. nustato mažesnę ribą: iki 0,5 % einamųjų metų biudžeto ir kitų praėjusiais metais gautų bendrųjų metinių pajamų dydžio, bet ne daugiau kaip trisdešimt tūkstančių eurų. Ši riba netaikoma, kai institucija vykdo ūkinę komercinę veiklą (ADTAĮ 33 str. 3 d.). Skirdama baudą ir nustatydama jos dydį, priežiūros institucija atsižvelgia ir į tai, kaip ji sužinojo apie pažeidimą, visų pirma ar valdytojas ar tvarkytojas apie jį pranešė ir kokiu mastu (BDAR 83 str. 2 d. h p.). Todėl pažeidimas, apie kurį VDAI sužino iš skundo, o ne iš Jūsų, gali būti vertinamas griežčiau.

Kada kreiptis į teisininką

• Paliesti specialių kategorijų duomenys, asmens kodai, asmens dokumentų kopijos ar finansiniai duomenys, ir reikia įvertinti, ar pavojus didelis.
• Paliesta daug žmonių arba duomenys jau paskelbti ar platinami.
• 72 valandos jau praėjo, ir reikia parengti pranešimą su vėlavimo priežastimis.
• Pažeidimas įvyko pas paslaugų teikėją, ir neaišku, kas yra valdytojas ir kas praneša.
• Po pranešimo gavote VDAI paklausimą. Apie tai rašome straipsnyje „VDAI raštas ar paklausimas: ką daryti“.