Утечка данных: что делать в первые 72 часа

Об утечке данных нужно сообщить в орган по защите данных в течение 72 часов с момента, когда о ней стало известно, если только она вряд ли создаёт риск для затронутых лиц. Каждую утечку нужно задокументировать, в том числе ту, о которой вы не сообщаете.

Утечки данных редко похожи на сцену из фильма. Обычно это письмо со списком клиентов, отправленное не по адресу, ноутбук, забытый в поезде, или почтовый ящик, захваченный через фишинг. Тогда важны холодная голова и чёткий порядок действий.

Что считается утечкой данных

GDPR говорит о «нарушении безопасности персональных данных»: персональные данные уничтожены, утрачены, изменены, раскрыты без разрешения или стали доступны тому, у кого не должно быть доступа, случайно или умышленно. Примеры:

• письмо с персональными данными, отправленное не тому адресату
• потерянный или украденный ноутбук или телефон с данными клиентов
• программа-вымогатель, шифрующая сервер
• учётная запись, захваченная через фишинг

Первые часы

1. Запишите, когда вы об этом узнали. С этого момента идут 72 часа.
2. Остановите утечку: смените пароли, заблокируйте доступы, отключите затронутые устройства, попросите ошибочного получателя удалить письмо.
3. Выясните, что произошло, какие данные затронуты и сколько людей.
4. Оцените риск для затронутых лиц: что с ними может из-за этого случиться?

Сообщать или нет?

Если утечка вряд ли создаёт риск для затронутых лиц, сообщать о ней не нужно, но задокументировать обязательно (ст. 33(5) GDPR). Типичный пример: потерян зашифрованный ноутбук, а ключа при нём не было. Во всех остальных случаях сообщите в орган по защите данных без неоправданной задержки и по возможности в течение 72 часов (ст. 33 GDPR). В Австрии Datenschutzbehörde предоставляет для этого форму на своём сайте. Если ещё не все факты известны, сообщите то, что знаете, и дополните остальное позже.

Когда нужно сообщить затронутым лицам

Если риск высокий, например при данных о здоровье, банковских данных или паролях, нужно также без неоправданной задержки сообщить затронутым лицам простым языком: что произошло, что вы предпринимаете и что они могут сделать сами, например сменить пароль (ст. 34 GDPR).

Если замешан подрядчик

Если утечка произошла у обработчика, например вашего IT-подрядчика или облачного сервиса, он обязан сообщить вам без неоправданной задержки (ст. 33(2) GDPR). Обязанность уведомить надзорный орган остаётся за вами как контролёром. Убедитесь, что это закреплено в ваших договорах об обработке данных.

Кто подготовлен, тот наполовину справился

Распечатайте наш чек-лист на случай утечки данных и заранее договоритесь, кто принимает решение и кто сообщает. Если это случится и понадобится помощь, напишите нам.