Уведомление об утечках и DPIA

Утечка персональных данных — это инцидент безопасности, приводящий к случайному или незаконному уничтожению, утрате, изменению, раскрытию или несанкционированному доступу к персональным данным.

Это понятие шире, чем взлом. Потерянный ноутбук, письмо, отправленное не тому адресату, программа-вымогатель, которая шифрует персональные данные (лишая их доступности), или открытый контейнер объектного хранилища — всё это считается утечкой.

Утечки соответствуют трем основам безопасности:

• Утечка конфиденциальности: несанкционированное раскрытие или доступ
• Утечка целостности: несанкционированное изменение
• Утечка доступности: утрата или уничтожение (например, в результате работы программы-вымогателя)

Неспособность распознать, что потеря доступности также является утечкой, о которой необходимо сообщать, — распространенная ошибка.

Согласно GDPR контролер обязан уведомить надзорный орган о подлежащей уведомлению утечке без неоправданной задержки и, когда это возможно, в течение 72 часов с момента, когда ему стало о ней известно.

KVKK требует уведомить Совет KVKK как можно скорее (Совет установил короткие сроки). Отсчёт начинается, когда становится известно об утечке, поэтому скорость обнаружения и первичной оценки критически важна.

Не о каждой утечке необходимо сообщать регулятору. GDPR связывает это с риском для физических лиц:

• Уведомляйте надзорный орган, если только маловероятно, что утечка приведёт к риску для прав и свобод физических лиц
• Уведомляйте субъектов данных, если утечка, вероятно, приведёт к высокому риску

Надлежащее шифрование раскрытых данных может снизить риск и избавить от обязанности уведомлять физических лиц.

В уведомлении об утечке для регулятора следует описать:

• Характер утечки, а также категории и приблизительное количество затронутых лиц и записей
• Вероятные последствия
• Принятые или предлагаемые меры для устранения последствий и уменьшения вреда
• Контактное лицо (DPO или эквивалентная должность)

Если полная информация ещё недоступна, предоставьте её поэтапно, вместо того чтобы пропустить срок.

Эффективный процесс реагирования на утечки должен быть отработан заранее:

• Обнаружить и локализовать
• Оценить масштаб и риск для физических лиц
• Уведомить регулятора и, при высоком риске, субъектов данных
• Устранить первопричину
• Задокументировать всё в реестре утечек

Даже об утечках, не подлежащих уведомлению, необходимо вести внутреннюю запись в соответствии с принципом подотчётности GDPR.

Когда необходимо уведомить физических лиц, сообщение должно быть составлено на ясном и понятном языке: что произошло, какие данные затронуты, каковы вероятные последствия, что вы делаете и какие действия им следует предпринять (например, сменить пароли или остерегаться фишинга).

Не преуменьшайте серьезность инцидента. Прозрачное и своевременное уведомление сохраняет доверие; сокрытие инцидента многократно увеличивает регуляторный и репутационный ущерб.

Оценка воздействия на защиту данных (DPIA) — это структурированный процесс выявления и снижения рисков для конфиденциальности до начала обработки с высоким риском.

Это переносит защиту частной жизни на ранние этапы: вместо реагирования на утечки вы оцениваете и снижаете риск на этапе проектирования. KVKK содержит аналогичное требование по оценке рисков.

GDPR требует проведения DPIA, если обработка, вероятно, сопряжена с высоким риском, особенно в следующих случаях:

• Систематическое и масштабное профилирование со значительными последствиями
• Масштабная обработка данных специальных категорий
• Систематический мониторинг общественного места
• Новые технологии с неясными последствиями (например, искусственный интеллект и биометрия)

DPIA обычно включает:

• Описание обработки и её цели
• Оценку необходимости и соразмерности
• Выявление рисков для физических лиц
• Определение мер по снижению рисков (минимизация, шифрование, контроль доступа)

Если после применения мер по снижению рисков остаётся высокий остаточный риск, контролер обязан проконсультироваться с надзорным органом до начала обработки.

Если обработчик сталкивается с нарушением безопасности, он должен без неоправданной задержки уведомить контролёра, поскольку только контролёр сообщает об инциденте надзорному органу и отвечает за отсчёт 72 часов.

В договорах (DPA) необходимо предусмотреть быстрое уведомление о нарушении безопасности со стороны обработчиков. Медленный поставщик может израсходовать всё отведённое контролёру время для уведомления, поэтому мониторинг и договорные соглашения об уровне обслуживания имеют значение.

Вы завершили изучение реагирования на нарушения безопасности и оценки рисков:

• нарушение безопасности включает потерю конфиденциальности, целостности или доступности
• отсчёт 72 часов по GDPR начинается с момента, когда о нарушении стало известно
• Уведомляйте физических лиц при высоком риске; шифрование может уменьшить объём обязательств
• Выполняйте отработанный рабочий процесс обнаружить-сдержать-оценить-уведомить-устранить-задокументировать
• оценки воздействия на защиту данных позволяют оценить риски обработки и снизить их до её начала

Теперь Вы можете реагировать на инциденты и упреждающе управлять рисками нарушения конфиденциальности.