Уведомление об утечке по GDPR: когда нужно сообщить в течение 72 часов

Утечка персональных данных — это нарушение безопасности, ведущее к случайному или незаконному уничтожению, утрате, изменению, несанкционированному раскрытию персональных данных или доступу к ним. Сюда относится как электронное письмо, отправленное не тому адресату, так и кибератака.

Сообщите надзорному органу в течение 72 часов, если только утечка не создаёт риска

Статья 33 обязывает контролёра данных уведомить надзорный орган без неоправданной задержки и, по возможности, в течение 72 часов с момента, когда ему стало известно об утечке, если только она вряд ли создаст риск для прав и свобод физических лиц. Если Вы уведомляете позже, Вы должны объяснить причину задержки.

Обработчики данных должны уведомить своего контролёра без неоправданной задержки после того, как им стало известно об утечке (ст. 33(2)).

Что содержит уведомление

Если у Вас ещё нет всей информации, Вы можете предоставлять её поэтапно (ст. 33(4)).

• характер утечки, включая категории и приблизительное число затронутых физических лиц и записей;
• имя и контактные данные инспектора по защите данных или иного контактного лица;
• вероятные последствия утечки;
• принятые или предлагаемые меры по устранению утечки и смягчению её последствий.

Сообщите физическим лицам, если риск высок

Если утечка может повлечь высокий риск для физических лиц, Вы также должны сообщить им об этом без неоправданной задержки, ясным и простым языком (ст. 34). Этого не требуется, если данные были зашифрованы и непонятны для получателя, если последующие меры устранили высокий риск или если индивидуальное уведомление потребовало бы несоразмерных усилий — в этом случае вместо него используется публичное сообщение.

Регистрируйте каждую утечку

Статья 33(5) обязывает Вас документировать каждую утечку, включая те, о которых Вы решили не сообщать: факты, последствия и принятые меры по исправлению. Реестр показывает надзорному органу, что Вы оценили каждый случай.

В Эстонии об утечках сообщают в Инспекцию по защите данных (AKI). Наш комплект по GDPR включает порядок действий при утечке с 72-часовым сроком, форму уведомления и реестр утечек.