Personas datu aizsardzības pārkāpuma gadījumā pārzinim jāpieņem divi atšķirīgi lēmumi: vai jāziņo uzraudzības iestādei un vai jāinformē skartie cilvēki. Saskaņā ar VDAR 33. pantu iestādei paziņo bez nepamatotas kavēšanās un, ja iespējams, ne vēlāk kā 72 stundu laikā pēc tam, kad pārkāpums kļuvis zināms, izņemot, ja tas, visticamāk, nerada risku cilvēku tiesībām un brīvībām. Vēlākam paziņojumam pievieno kavēšanās iemeslus.
Savukārt 34. pants paredz cilvēku informēšanu bez nepamatotas kavēšanās, ja pārkāpums, visticamāk, rada augstu risku. Šim lēmumam ir savi nosacījumi un izņēmumi. Visi personas datu aizsardzības pārkāpumi jādokumentē arī tad, ja paziņošana nav vajadzīga. Šajā rakstā aplūkota paziņošanas izlemšana un izpilde Latvijā; plašāku ikdienas darba organizāciju var veidot, izmantojot pārkāpumu pārvaldības procedūru un reģistru.
Kas ir personas datu aizsardzības pārkāpums?
VDAR 4. panta 12. punktā ietverta nejauša vai nelikumīga personas datu iznīcināšana, nozaudēšana, pārveidošana, neatļauta izpaušana vai piekļuve drošības pārkāpuma rezultātā. Tas var skart konfidencialitāti, integritāti vai pieejamību. Tādēļ vērtē ne tikai datu noplūdi internetā, bet arī kļūdaini pārrakstītus ierakstus vai datu nepieejamību, kas ietekmē cilvēkus. Papīra dokumenta nozaudēšana var būt tikpat nozīmīga kā elektroniskas datubāzes incidents.
Ne katrs tehnisks traucējums ir personas datu aizsardzības pārkāpums. Bloķēts uzbrukuma mēģinājums bez datu apdraudējuma vai kļūme sistēmā, kurā nav personas datu, jāizvērtē pēc faktiskajiem apstākļiem. VDAR 33. panta 5. punkta pienākums aptver visus personas datu aizsardzības pārkāpumus, nevis automātiski katru tehnisku notikumu. Drošības notikumu uzskaite var būt plašāka, taču tajā jābūt saprotamai saiknei ar juridisko kvalifikāciju.
Piemēram, kļūdaini nosūtīts rēķins ar personas datiem rada neatļautas izpaušanas jautājumu pat tad, ja adresāts ziņo par kļūdu un apsola pielikumu dzēst. Šis solījums ir viens no riska vērtēšanas apstākļiem, nevis pierādījums, ka pārkāpuma nekad nav bijis. Savukārt bojāta saite uz publisku, bezpersonisku cenrādi pati par sevi nav personas datu pārkāpums. Sākotnējā pārbaudē jānoskaidro, kādi dati un cilvēki patiešām skarti.
No kura brīža sāk skaitīt 72 stundas
Termiņš saistīts ar brīdi, kad pārzinim pārkāpums kļuvis zināms. EDAK paziņošanas vadlīnijas to saista ar pietiekamu pārliecību, ka noticis drošības incidents, kura rezultātā apdraudēti personas dati. Tas nav obligāti pats uzbrukuma sākums, bet nav arī brīdis, kad vadība pēc vairākām dienām apstiprina galīgo izmeklēšanas ziņojumu. Sākotnējās aizdomas jāizmeklē nekavējoties un mērķtiecīgi.
Saglabā pirmā signāla laiku, tā saturu, sākotnējās pārbaudes darbības un brīdi, kad kļuva pietiekami skaidrs personas datu apdraudējums. Laika josla un precīzs pulksteņa laiks ir svarīgi, ja informāciju saņem dažādās valstīs. Nedēļas nogales un svētku dienas nepārvērš 72 stundas par trim darba dienām. Organizācijai jābūt saziņas kārtībai, kas ļauj pieņemt steidzamus lēmumus arī ārpus parastā darba laika.
Pieņemsim, ka piektdien pulksten 16.00 pārzinis saņem ticamus pierādījumus par klientu datu neatļautu izpaušanu. Ja ar tiem pietiek pārkāpuma konstatēšanai, 72 stundas beidzas pirmdien pulksten 16.00. Tomēr tas nav ieteikums gaidīt līdz pirmdienai: jāpaziņo bez nepamatotas kavēšanās. Ja pierādījumi sākumā ir neskaidri, dokumentē īso sākotnējo pārbaudi, nevis patvaļīgi izvēlas sev izdevīgāku sākuma datumu.
Riska izvērtēšana paziņošanai DVI
Lēmums attiecas uz risku cilvēku tiesībām un brīvībām, nevis tikai organizācijas reputācijai vai finansiālajiem zaudējumiem. Jāņem vērā datu raksturs, apjoms, identificēšanas iespējas, saņēmēji, skarto cilvēku situācija un iespējamo seku smagums. Veselības dati, piekļuves dati, finanšu informācija vai informācija par bērniem var radīt būtiskas sekas, bet arī šķietami parasta kontaktinformācija noteiktā kontekstā var būt sensitīva.
Piemēram, e-pasta adrešu saraksta izpaušana var atklāt dalību noteiktā atbalsta grupā, lai gan failā nav diagnozes. Savukārt ierīces nozaudēšana ar pienācīgi šifrētiem datiem un droši saglabātu atslēgu var radīt mazāku izpaušanas risku. Tomēr jāvērtē arī pieejamība: ja šajā ierīcē atradās vienīgā ārstēšanai nepieciešamā kopija, šifrēšana neatrisina datu zuduma sekas. Novērtējumam jāaptver visi skartie drošības aspekti.
Paziņošanu var neizdarīt, ja pārkāpums, visticamāk, nerada risku. Šis secinājums jāpamato ar faktiem, nevis ar to, ka pagaidām neviens nav sūdzējies. Nav jāgaida faktisks kaitējums. Ja informācija ir nepilnīga, nosauc nezināmo un turpini vērtēt situāciju; neziņu nedrīkst automātiski pielīdzināt riska neesībai. Iepriekš sagatavots ietekmes novērtējums var palīdzēt, taču neaizstāj konkrētā pārkāpuma apstākļu analīzi.
Paziņojuma saturs (33. panta 3. punkts)
Paziņojumā apraksta pārkāpuma raksturu un, ja iespējams, skarto cilvēku kategorijas un aptuveno skaitu, kā arī personas datu ierakstu kategorijas un aptuveno skaitu. Cilvēku skaits un ierakstu skaits nav viens lielums: vienam cilvēkam var būt vairāki ieraksti. Ja skaits ir aplēse, to skaidri norāda un paskaidro aplēses pamatu. Nevajag izdomāt precīzu skaitli tikai tādēļ, lai forma izskatītos pabeigta.
Norāda datu aizsardzības speciālista vai cita kontaktpunkta vārdu un kontaktinformāciju, iespējamās sekas un veiktos vai plānotos novēršanas un seku mazināšanas pasākumus. Pasākumus apraksta konkrēti: piemēram, slēgta neatļautā piekļuve, nomainīti attiecīgie akreditācijas dati vai sākta atjaunošana no pārbaudītas kopijas. Frāze “drošība ir pastiprināta” neļauj saprast, kas tieši izdarīts un kas vēl nav pabeigts.
Paziņojumā nodala konstatētos faktus, ticamas aplēses un vēl pārbaudāmus pieņēmumus. Ja izmeklēšana vēl nav pabeigta, paskaidro, ko plānots noskaidrot. Informācijas sniegšana nav jāatliek līdz pilnīgai tehniskai skaidrībai, ja paziņošanas pienākums jau pastāv. Savukārt nejauši pievienot visu skarto personu datubāzi nav nepieciešams: pielikumiem jābūt atbilstošiem paziņojuma izskatīšanai un droši nododamiem kompetentajai iestādei.
Kā iesniegt paziņojumu Latvijā
DVI publicē pārkāpuma paziņojuma iesniegšanas norādes pārziņiem un saiti uz tiešsaistes formu. Pašreizējā lapas galvenā saite ved uz pazinojums.dvi.gov.lv. Tiešsaistes forma nav vienīgais atļautais veids: DVI norāda arī elektroniski parakstītas formas nosūtīšanu uz e-adresi vai oficiālo e-pastu un papīra formas iesniegšanu pa pastu vai klātienē. Jāievēro izvēlētā kanāla aktuālās iesniegšanas prasības. Paziņojumu iesniedz pārzinis vai pilnvarots pārstāvis. Pirms incidenta ir lietderīgi pārbaudīt, kurš organizācijā varēs autentificēties un iesniegt informāciju, lai steidzamā situācijā nebūtu jāmeklē cilvēks ar vajadzīgo pārstāvības iespēju.
DVI skaidri nošķir šo pārziņa paziņojumu no fiziskas personas sūdzības par savu datu apstrādi. Klientu, kurš vēlas sūdzēties par organizācijas rīcību, nevajag novirzīt uz pārziņiem paredzēto incidenta formu. Pārzinim savukārt pēc iesniegšanas jāsaglabā paziņojuma kopija, iesniegšanas apstiprinājums un turpmākās saziņas atsauce. Tas ļauj sasaistīt vēlākos precizējumus ar sākotnējo lietu un pierādīt faktisko iesniegšanas laiku.
Pārrobežu apstrādē jāpārbauda kompetentā uzraudzības iestāde un attiecīgā gadījumā vadošās iestādes mehānisms. DVI nav automātiski vienīgais adresāts katram incidentam, kurā skarts Latvijas iedzīvotājs. Izšķiroša ir organizācijas un apstrādes situācija, ne tikai cietušā dzīvesvieta. Savlaicīgi uzturēts apstrādes darbību reģistrs palīdz noskaidrot iesaistītās vienības, datu plūsmas un atbildīgos, kuriem jāpiedalās šajā izvērtējumā.
Nepilnīga informācija un kavēšanās
VDAR 33. panta 4. punkts pieļauj informācijas sniegšanu pa daļām, ja visu nav iespējams iesniegt vienlaikus. Pārējo informāciju sniedz bez turpmākas nepamatotas kavēšanās. Pirmajā paziņojumā ietver jau zināmo un izskaidro, kas vēl tiek noskaidrots. Piemēram, var būt skaidrs neatļautas piekļuves fakts, bet vēl nebūt pilnīga skarto kontu saraksta. Šāda situācija neprasa gaidīt visu kontu analīzes pabeigšanu.
Ja paziņojums nav iesniegts 72 stundu laikā, pievieno kavēšanās iemeslus un iesniedz to bez turpmākas nepamatotas kavēšanās. Paskaidrojuma pievienošana pati par sevi neattaisno jebkuru nokavējumu. Jāspēj izskaidrot faktiskos šķēršļus un veiktos soļus. Organizācijas iekšēja prasība sagaidīt vairākus vadības parakstus nedrīkst kļūt par standarta iemeslu nokavēt paziņošanu. Pilnvarojumus un aizvietošanu vajag sakārtot iepriekš.
Arī pēc sākotnējās iesniegšanas turpina pārskatīt risku. Ja kļūst zināms, ka skarti veselības dati vai ievērojami vairāk cilvēku, papildina paziņojumu un atkārtoti vērtē vajadzību informēt personas. Ja sākotnējā aplēse bijusi pārāk plaša, paskaidro precizējumu. Sākotnēji piesardzīgs novērtējums nav jāslēpj; svarīgi, lai lietas hronoloģija ļautu saprast, kā informācija un lēmumi attīstījušies izmeklēšanas gaitā.
Paziņošana datu subjektiem (34. pants)
Ja pārkāpums, visticamāk, rada augstu risku, skartos cilvēkus informē bez nepamatotas kavēšanās. Tas ir atsevišķs pienākums ar savu mērķi: ļaut cilvēkiem saprast apdraudējumu un pasargāt sevi. Nav vispārīga noteikuma gaidīt DVI atļauju vai iestādes atbildi pirms šādas saziņas. Tāpat 72 stundas nav universāls termiņš cilvēku informēšanai; nepieciešamā steidzamība jāvērtē pēc riska un aizsardzības iespējām.
Skaidrā un vienkāršā valodā apraksta pārkāpuma raksturu, kontaktpunktu, iespējamās sekas un veiktos vai plānotos pasākumus. Praktiski noder atbilstoši ieteikumi, piemēram, uzmanība pret konkrēta veida krāpnieciskām vēstulēm vai noteiktu piekļuves datu nomaiņa. Ieteikumiem jāatbilst incidentam; vispārīga prasība mainīt visas paroles bez sakara ar skartajiem datiem var novērst uzmanību no būtiskā un radīt nevajadzīgu slogu.
Paziņojumu nevajag paslēpt reklāmas vēstulē vai formulēt tā, ka cilvēks nesaprot notikušo. Norāda, kas ir zināms un kas vēl tiek pārbaudīts, izvairoties no nepamatota solījuma, ka kaitējums nav iespējams. Kontaktkanālam jāspēj apstrādāt papildu jautājumus. Ja cilvēks prasa arī savu datu kopiju, tas ir atsevišķi pārvaldāms piekļuves tiesību pieprasījums; incidenta paziņojums šo tiesību izpildi neaizstāj.
Kad individuāla informēšana nav nepieciešama
- panta 3. punkts paredz konkrētus izņēmumus. Viens attiecas uz piemērotiem aizsardzības pasākumiem, kas faktiski piemēroti skartajiem datiem un padara tos nesaprotamus nepilnvarotai personai, piemēram, atbilstošu šifrēšanu. Ar apgalvojumu, ka organizācija parasti izmanto šifrēšanu, nepietiek. Jāpārbauda, vai tā aizsargāja tieši skarto informāciju un vai uzbrucējam nebija pieejamas arī atslēgas vai jau atšifrēta datu kopija.
Otrs izņēmums attiecas uz vēlāk veiktiem pasākumiem, kas nodrošina, ka augstais risks vairs nevarētu materializēties. Šeit vajadzīgs konkrēts pamatojums, nevis tikai cerība. Trešais gadījums ir nesamērīgas pūles individuālai informēšanai; tad nepieciešams publisks paziņojums vai līdzīgi pasākumi, kas cilvēkus informē vienlīdz efektīvi. Tas nav atbrīvojums no jebkādas komunikācijas. Maz apmeklēta lapa pati par sevi var nesasniegt skartos cilvēkus.
Izņēmumu piemērošanu dokumentē, un tā neatceļ atsevišķo lēmumu par ziņošanu iestādei. DVI pēc riska izvērtējuma var pieprasīt cilvēku informēšanu vai konstatēt, ka izņēmuma nosacījumi izpildīti. Atbildīgajiem jāizprot, kāpēc konkrētais lēmums pieņemts, lai jaunas informācijas gadījumā to varētu pārskatīt. Vecs ieraksts “personas neinformējam” bez pierādījumiem nav pietiekams, ja vēlāk atklājas būtiski atšķirīgi apstākļi.
Apstrādātāja pienākums (33. panta 2. punkts)
Apstrādātājs pēc pārkāpuma konstatēšanas bez nepamatotas kavēšanās informē pārzini. Viņam nav vispārīgu 72 stundu, kuras drīkst pilnībā izmantot pirms ziņas nosūtīšanas klientam. Tāpat nav vispirms jāizlemj, vai risks sasniedz iestādes paziņošanas slieksni: šo lēmumu pieņem pārzinis. Sākotnēja operatīva ziņa ar vēl nepilnīgu informāciju var būt vajadzīga, lai pārzinis paspētu pildīt savus pienākumus un organizēt aizsardzību.
Palīdzības un saziņas kārtību paredz 28. panta līgumā vai citā pārzinim un apstrādātājam saistošā Savienības vai dalībvalsts tiesību aktā, rakstiski, arī elektroniskā formā. Līgumā var noteikt konkrētus operatīvos termiņus, kontaktus un papildinājumu kārtību, bet tie nedrīkst pārvērst pienākumu rīkoties bez nepamatotas kavēšanās par atļauju vienmēr nogaidīt. Jāaptver arī informācijas saņemšana no iesaistītiem apakšapstrādātājiem.
Pārzinis var pilnvarot apstrādātāju iesniegt paziņojumu tā vārdā, tomēr atbildība par pārziņa pienākuma izpildi paliek pārzinim. Tādēļ apgalvojums, ka apstrādātājs nekad nevar iesniegt paziņojumu iestādei, būtu pārāk kategorisks. Ja piegādātājs apkalpo vairākus klientus, viņam jāsniedz katram atbilstoša informācija, nepieļaujot citu klientu datu lieku izpaušanu. Viena vispārīga publiska ziņa ne vienmēr dod katram pārzinim pietiekamus faktus lēmuma pieņemšanai.
Visi pārkāpumi jādokumentē (33. panta 5. punkts)
Dokumentācijā ietver pārkāpuma faktus, sekas un veiktos labošanas pasākumus. Praktiski pievieno hronoloģiju, riska novērtējumu, paziņošanas lēmumus un to pamatojumu. Ja DVI vai cilvēki nav informēti, skaidri norāda, kāpēc. Reģistram jāļauj pārbaudīt atbilstību, taču tas nedrīkst kļūt par nekontrolētu visu noplūdušo datu kopiju krātuvi. Pierādījumus glabā atbilstoši nepieciešamībai, ar ierobežotu piekļuvi un pamatotu termiņu.
Pēc incidenta slēgšanas pārbauda, vai īstenoti solītie pasākumi un novērsts cēlonis. Piemēram, kļūdaina saņēmēju izvēle var prasīt izmaiņas nosūtīšanas procesā, nevis tikai vēl vienu vispārīgu darbinieku apmācību. Integrēta datu aizsardzība palīdz pārvērst konstatēto trūkumu tehniskā vai organizatoriskā uzlabojumā. Paziņojuma iesniegšana noslēdz vienu pienākumu, bet neatceļ drošības un riska mazināšanas darbu.
Piemērs: kļūdains pielikums klientam
Grāmatvedības darbinieks konstatē, ka klientam nosūtījis cita cilvēka rēķinu. Vispirms viņš ziņo atbildīgajai personai un saglabā informāciju par nosūtīto failu, adresātu un laiku. Organizācija noskaidro, vai pielikumā bijis tikai vārds un pirkuma summa vai arī sensitīvāks pakalpojuma apraksts, personas kods un cita informācija. Vienlaikus mēģina ierobežot izpaušanas sekas, piemēram, lūdz kļūdainajam adresātam failu dzēst un neizplatīt.
Novērtējums nedrīkst balstīties tikai uz kļūdas tehnisko vienkāršību. Ja rēķins atklāj ārstēšanu vai citu privātu situāciju, iespējamo seku vērtējums atšķiras no parasta nesensitīva pirkuma. Svarīgi arī tas, vai saņēmējs ir uzticams, vai apstiprinājis dzēšanu un vai ir pamats uzskatīt, ka informācija izplatīta tālāk. Katru šo apstākli dokumentē, nesajaucot faktu ar pieņēmumu. Pēc tam atsevišķi lemj par DVI un skartās personas informēšanu.
Ja organizācija secina, ka pārkāpums, visticamāk, nerada risku, tā saglabā šā secinājuma pamatojumu un dokumentē veikto novēršanu. Ja vēlāk saņem pierādījumus par faila tālāku izplatīšanu, vērtējumu atkārto un vajadzības gadījumā paziņo, skaidrojot hronoloģiju. Piemērs rāda, kāpēc lūgums saņēmējam dzēst failu ir tikai viena darbība plašākā izvērtējumā. Tas nav automātisks pamats aizvērt lietu bez riska analīzes un pierādījumiem.
Droša saziņa pēc sākotnējā paziņojuma
Pēc paziņojuma nosūtīšanas nosaka personu, kura koordinē papildu informāciju un atbildes iestādei. Ja tehnisko izmeklēšanu veic piegādātājs, jāvienojas, kā pārzinis saņems izmeklēšanas faktus sev saprotamā formā. Tehniskie žurnāli var būt vajadzīgs pierādījums, taču tie ne vienmēr paši izskaidro sekas cilvēkiem. Koordinators sasaista tehniskos secinājumus ar paziņojumā minētajām datu kategorijām, skarto personu loku un veiktajiem pasākumiem.
Arī paša paziņojuma sagatavošana jāorganizē droši. Darba dokumentus neizplata plašā adresātu lokā, ja tiem pievienoti sensitīvi dati vai detalizēta informācija par sistēmu ievainojamību. Sabiedrībai paredzēto tekstu nodala no izmeklēšanas materiāliem, saglabājot cilvēkiem nepieciešamo informāciju par risku. Ja organizācijai ir citas incidentu ziņošanas saistības, tās izvērtē atsevišķi: paziņojums citai iestādei pats par sevi neapliecina, ka izpildīts VDAR 33. pants.
Biežāk uzdotie jautājumi
Vai ziņo tikai par lielām noplūdēm?
Nē. Pat viena cilvēka dati var radīt būtisku risku atkarībā no satura un apstākļiem. Savukārt liels ierakstu skaits pats par sevi neaizstāj konkrētu seku izvērtējumu. Paziņošanas lēmumu pamato ar risku cilvēku tiesībām un brīvībām, ņemot vērā gan iespējamo seku smagumu, gan to iestāšanās iespējamību.
Vai atjaunota rezerves kopija atceļ paziņošanu?
Ne automātiski. Atjaunošana var samazināt pieejamības zaudējuma sekas, bet neatrisina iespējamu datu izpaušanu vai pārveidošanu. Jāpārbauda visi incidenta aspekti. Nav pareizi secināt, ka izspiedējvīrusa incidentam nav riska tikai tādēļ, ka sistēma atkal strādā; jāvērtē, kam bijusi piekļuve, kādi dati skarti un ko iespējams pamatot ar pierādījumiem.
Vai drīkst gaidīt pilnu izmeklēšanas ziņojumu?
Nē, ja paziņošanas pienākums jau iestājies un gaidīšana radītu nepamatotu kavēšanos. Informāciju var sniegt pa daļām saskaņā ar 33. panta 4. punktu. Sākotnēji iesniedz pieejamo, izskaidro nepilnības un papildina bez turpmākas nepamatotas kavēšanās. Ja 72 stundas pārsniegtas, norāda kavēšanās iemeslus, nevis atliek iesniegšanu vēl ilgāk.