Duomenų saugumo pažeidimo pranešimas – tai teisinė prievolė pranešti Valstybinei duomenų apsaugos inspekcijai (VDAI), o tam tikrais atvejais ir patiems duomenų subjektams, apie asmens duomenų saugumo pažeidimą. Pagal Bendrojo duomenų apsaugos reglamento (BDAR) 33 straipsnį valdytojas privalo pranešti VDAI nedelsdamas ir, jei įmanoma, ne vėliau kaip per 72 valandas nuo sužinojimo apie pažeidimą. Jei pažeidimas gali sukelti didelę riziką asmenų teisėms ir laisvėms, pagal 34 straipsnį apie jį reikia nedelsiant pranešti ir patiems duomenų subjektams. 72 valandų terminas skaičiuojamas nuo momento, kai organizacija pagrįstai įsitikina, kad pažeidimas įvyko – ne nuo tyrimo pabaigos.
Pranešimo prievolė galioja net tada, kai visos aplinkybės dar neaiškios: BDAR leidžia pranešti etapais (33 str. 4 d.). Šiame straipsnyje paaiškinu, kada pranešti VDAI, kada – subjektams, ką nurodyti pranešime ir kaip pasirengti iš anksto. Praktinę seką rasite atskiroje duomenų pažeidimų valdymo procedūroje.
Kada pranešti VDAI
Pranešti VDAI privaloma, išskyrus atvejus, kai pažeidimas greičiausiai nesukels rizikos fizinių asmenų teisėms ir laisvėms (33 str. 1 d.). Taigi numatytoji taisyklė yra pranešti; nepranešimas turi būti pagrįstas ir dokumentuotas. Terminas – 72 valandos nuo sužinojimo. Jei pranešama vėliau nei per 72 valandas, prie pranešimo pridedamos vėlavimo priežastys.
„Sužinojimo" momentas yra kritinis. Organizacija laikoma sužinojusia, kai ji pagrįstai įsitikina, kad įvyko saugumo incidentas, dėl kurio kilo pavojus asmens duomenims. Trumpas patikrinimo etapas, ar incidentas tikrai įvyko, leidžiamas, tačiau jis turi būti operatyvus. Būtent todėl svarbu turėti aiškią vidinę pažeidimų valdymo procedūrą ir registrą.
Kas yra asmens duomenų saugumo pažeidimas
Pažeidimas (BDAR 4 str. 12 p.) – tai saugumo pažeidimas, dėl kurio netyčia arba neteisėtai sunaikinami, prarandami, pakeičiami, be leidimo atskleidžiami perduoti, saugomi ar kitaip tvarkomi asmens duomenys arba prie jų be leidimo gaunama prieiga. Tai apima ne tik įsilaužimus, bet ir prarastą nešiojamąjį kompiuterį, klaidingai išsiųstą el. laišką, netyčia ištrintą duomenų bazę ar prarastą prieigos raktą. Pažeidimai skirstomi į konfidencialumo, vientisumo ir prieinamumo kategorijas.
Kada pranešti duomenų subjektams
34 straipsnis reikalauja pranešti patiems subjektams, kai pažeidimas gali sukelti didelę riziką jų teisėms ir laisvėms. Pranešimas subjektams turi būti aiškus ir suprantamas, pateiktas nedelsiant. Jame nurodoma pažeidimo pobūdis, DAP arba kito kontaktinio asmens duomenys, tikėtinos pasekmės ir priemonės, kurių imtasi ar rekomenduojama imtis.
34 straipsnio 3 dalis numato tris atvejus, kai pranešti subjektams nereikia: (a) jei duomenys buvo apsaugoti priemonėmis, dėl kurių tapo nesuprantami (pavyzdžiui, šifravimu); (b) jei valdytojas ėmėsi priemonių, užtikrinančių, kad didelė rizika greičiausiai nekils; arba © jei tai pareikalautų neproporcingų pastangų – tuomet skelbiamas viešas pranešimas.
Ką nurodyti pranešime VDAI
33 straipsnio 3 dalis nustato minimalų pranešimo turinį:
- Pažeidimo pobūdis, įskaitant, jei įmanoma, duomenų subjektų ir įrašų kategorijas bei apytikslį skaičių.
- Duomenų apsaugos pareigūno arba kito kontaktinio asmens duomenys.
- Tikėtinos pažeidimo pasekmės.
- Priemonės, kurių imtasi ar siūloma imtis pažeidimui pašalinti ir jo neigiamiems padariniams sumažinti.
Pranešimą VDAI galima pateikti per jos elektroninę sistemą. Jei informacijos iš karto neįmanoma pateikti visos, ji teikiama etapais be nepagrįsto delsimo (33 str. 4 d.).
Vidaus registras yra privalomas
33 straipsnio 5 dalis reikalauja dokumentuoti visus pažeidimus, įskaitant tuos, apie kuriuos VDAI nepranešta. Registre fiksuojami faktai, poveikis ir priemonės. Šis registras leidžia VDAI patikrinti, ar prievolės laikomasi, todėl jis privalomas net ir mažos rizikos incidentams. Registro pavyzdį rasite pažeidimų valdymo procedūroje.
VDAI baudų praktika
Lietuvos praktika rodo, kad tiek pats saugumo pažeidimas, tiek nepranešimas laiku yra baudžiami. Dar 2019 m. VDAI skyrė 61 500 eurų baudą UAB „MisterTango" – be kita ko, už tai, kad bendrovė nepranešė apie duomenų pažeidimą per 72 valandas (33 str.), kai internete atsidūrė tūkstančiai mokėjimų ekrano nuotraukų. Vėliau VDAI skyrė 450 000 eurų baudą UAB „InMedica" už saugumo priemonių trūkumus (32 str.) – pažeidimas kilo dėl to, kad pacientų informacinei sistemai užteko tik prisijungimo vardo ir slaptažodžio, be daugiaveiksnės autentifikacijos (MFA), o užpuolikas pasinaudojo tamsiajame internete rastais darbuotojo prisijungimo duomenimis. Šie atvejai rodo, kad pasirengimas – aiški procedūra, saugumo priemonės ir greitas pranešimas – yra esminis.
Dažnos klaidos
- 72 valandų termino skaičiavimas nuo tyrimo pabaigos. Terminas pradedamas skaičiuoti nuo pagrįsto įsitikinimo, kad pažeidimas įvyko, o ne nuo visų aplinkybių nustatymo.
- Nepranešimas „mažų" incidentų registre. Visi pažeidimai dokumentuojami (33 str. 5 d.), net jei VDAI nepranešta.
- Subjektų neinformavimas esant didelei rizikai. 34 straipsnis reikalauja pranešti asmenims, kai kyla didelė rizika, aiškia kalba.
- Tvarkytojo termino nenustatymas. Jei duomenis tvarko tvarkytojas, sutartyje nustatykite trumpą jo pranešimo terminą, kad spėtumėte per 72 valandas.
Tipinės pažeidimų situacijos
Praktikoje pažeidimai retai atrodo kaip kino įsilaužimas. Dažniausios situacijos yra kasdienės. Konfidencialumo pažeidimai: klaidingai išsiųstas el. laiškas su gavėjų sąrašu matomame lauke, prarastas ar pavogtas nešiojamasis kompiuteris be šifravimo, per plati prieiga prie bendrinamo aplanko. Prieinamumo pažeidimai: šifruojanti kenkėjiška programa (ransomware), netyčia ištrinta duomenų bazė be veikiančios atsarginės kopijos, sistemos gedimas. Vientisumo pažeidimai: neteisėtas duomenų pakeitimas arba sistemų sujungimo klaida, dėl kurios sumaišomi asmenų įrašai.
Kiekvienu atveju vertinimo logika ta pati: nustatyti, ar tai asmens duomenų saugumo pažeidimas, kokius duomenis ir subjektus jis apima ir kokią riziką kelia. Šifruoto prarasto įrenginio atveju rizika dažnai maža (jei šifravimas patikimas ir raktas neprarastas), todėl subjektams pranešti gali nereikėti – tačiau incidentą vis tiek reikia įrašyti į pažeidimų registrą.
Ypatingas dėmesys – sveikatos, finansiniams ir kitiems jautriems duomenims. „InMedica" byla parodė, kad pacientų duomenų sistemos be daugiaveiksnės autentifikacijos yra ypač pažeidžiamos, o tokių duomenų atskleidimas beveik visada reiškia didelę riziką, taigi ir prievolę pranešti subjektams. Todėl jautrius duomenis tvarkančios organizacijos turėtų iš anksto laikyti, kad daugumos incidentų atveju pranešti reikės, ir atitinkamai pasirengti – tiek pritaikytosios apsaugos priemonėmis, tiek pranešimų šablonais.
Dažnai užduodami klausimai
Nuo kada skaičiuojamos 72 valandos?
Nuo momento, kai organizacija pagrįstai įsitikina, kad įvyko asmens duomenų saugumo pažeidimas. Trumpas patikrinimas, ar incidentas tikrai įvyko, leidžiamas, tačiau jis turi būti operatyvus. Terminas nepradedamas skaičiuoti nuo viso tyrimo pabaigos.
Ar apie kiekvieną pažeidimą reikia pranešti VDAI?
Ne. Pranešti nereikia, jei pažeidimas greičiausiai nesukels rizikos asmenų teisėms ir laisvėms (33 str. 1 d.). Tačiau šį sprendimą reikia pagrįsti ir įrašyti į vidaus pažeidimų registrą.
Kada reikia pranešti patiems asmenims?
Kai pažeidimas gali sukelti didelę riziką jų teisėms ir laisvėms (34 str.). Pranešti nereikia, jei duomenys buvo šifruoti, jei imtasi priemonių, dėl kurių didelė rizika nekils, arba jei pranešimas pareikalautų neproporcingų pastangų (tuomet skelbiamas viešas pranešimas).
Ar tvarkytojas turi pranešti VDAI?
Ne. Tvarkytojas apie pažeidimą praneša valdytojui nedelsdamas (33 str. 2 d.), o VDAI ir subjektus informuoja valdytojas. Todėl sutartyje svarbu nustatyti trumpą tvarkytojo pranešimo terminą.
Ką daryti, jei per 72 valandas dar neaišku, kiek asmenų paveikta?
Pranešti vis tiek reikia laiku, nurodant turimą informaciją, o trūkstamą pateikti vėliau etapais (BDAR 33 str. 4 d.). Vėlavimas surinkti visą informaciją nepateisina termino praleidimo – VDAI geriau informuoti iš dalies ir laiku, nei išsamiai, bet pavėluotai. Pradiniame pranešime galima nurodyti, kad tyrimas tęsiamas ir tikslesni duomenys bus pateikti netrukus.
Išvada
Duomenų saugumo pažeidimo pranešimas VDAI privalomas per 72 valandas nuo sužinojimo, nebent pažeidimas greičiausiai nesukels rizikos. Esant didelei rizikai, papildomai informuojami patys subjektai. Visi pažeidimai – net nepraneštieji – dokumentuojami vidaus registre. Lietuvos baudos „MisterTango" (61 500 eurų) ir „InMedica" (450 000 eurų) bylose rodo, kad ir saugumo trūkumai, ir vėlavimas pranešti kainuoja brangiai. Geriausia apsauga – iš anksto parengta pažeidimų valdymo procedūra, aiškūs vaidmenys ir trumpi tvarkytojų pranešimo terminai.
Teisinė informacija: BDAR 33–34 straipsniai (EUR-Lex) · Asmens duomenų teisinės apsaugos įstatymas (e-seimas) · VDAI.