Securitatea datelor și incidentele

Ce este o încălcare a securității datelor

Legea definește încălcarea securității datelor cu caracter personal ca orice încălcare a securității care duce, accidental sau ilegal, la distrugerea, pierderea, modificarea sau divulgarea neautorizată a datelor ori la accesul neautorizat la ele art. 4. Nu este vorba doar de atacuri informatice: de exemplu, un dosar pierdut sau un e-mail trimis unui destinatar greșit pot intra, de asemenea, în această definiție.

Securitatea prelucrării

Operatorul și persoana împuternicită de operator pun în aplicare măsuri tehnice și organizatorice adecvate pentru un nivel de securitate corespunzător riscului. Ele țin cont de stadiul tehnologiei, de costuri, de natura și scopurile prelucrării și de riscurile pentru persoane art. 32 alin. (1). Legea dă, după caz, exemple de astfel de măsuri: pseudonimizarea și criptarea art. 32 alin. (1) lit. a), asigurarea confidențialității, integrității, disponibilității și rezilienței sistemelor art. 32 alin. (1) lit. b), restabilirea accesului la date după un incident art. 32 alin. (1) lit. c) și testarea periodică a eficacității măsurilor art. 32 alin. (1) lit. d).

La aprecierea nivelului de securitate se iau în considerare, în special, riscurile de distrugere, pierdere, modificare, divulgare neautorizată sau acces neautorizat art. 32 alin. (2). Operatorul și persoana împuternicită iau măsuri pentru ca persoanele care acționează sub autoritatea lor și au acces la date să le prelucreze numai pe baza instrucțiunilor operatorului art. 32 alin. (4). Aderarea la un cod de conduită sau la un mecanism de certificare aprobat poate fi folosită ca un element care demonstrează îndeplinirea acestor cerințe art. 32 alin. (3).

Notificarea Centrului

În cazul unei încălcări a securității datelor, operatorul notifică Centrul Național pentru Protecția Datelor cu Caracter Personal fără întârzieri nejustificate și, dacă este posibil, în cel mult 72 de ore de la data la care a luat cunoștință de ea. Notificarea nu este necesară dacă încălcarea este puțin susceptibilă să genereze un risc pentru drepturile și libertățile persoanelor fizice. O notificare făcută după 72 de ore este însoțită de o explicație motivată a întârzierii art. 33 alin. (1).

Persoana împuternicită de operator notifică operatorul fără întârzieri nejustificate după ce ia cunoștință de încălcare art. 33 alin. (2). Conținutul minim al notificării este stabilit de lege art. 33 alin. (3), iar informațiile pot fi furnizate în etape dacă nu sunt disponibile toate odată art. 33 alin. (4).

Indiferent dacă notifică sau nu, operatorul documentează toate încălcările securității datelor, astfel încât Centrul să poată verifica respectarea legii art. 33 alin. (5).

Informarea persoanelor vizate

Când încălcarea este susceptibilă să genereze un risc ridicat pentru drepturile și libertățile persoanelor fizice, operatorul informează persoanele vizate fără întârzieri nejustificate art. 34 alin. (1), într-un limbaj clar și simplu art. 34 alin. (2).

Informarea nu este necesară dacă operatorul aplicase măsuri care fac datele neinteligibile pentru persoanele neautorizate, cum ar fi criptarea, dacă a luat ulterior măsuri prin care riscul ridicat nu mai este susceptibil să se materializeze sau dacă informarea ar necesita un efort disproporționat; în ultimul caz se face o informare publică sau o măsură la fel de eficace art. 34 alin. (3). Centrul poate cere operatorului să informeze persoanele vizate sau poate decide că una dintre aceste condiții este îndeplinită art. 34 alin. (4).

De ce contează

Obligațiile de securitate și de notificare sunt sancționabile cu amenzi de până la 1 000 000 de lei sau, pentru o întreprindere, de până la 1% din cifra totală de afaceri realizată în anul anterior sancționării, luându-se în calcul cea mai mare valoare art. 88 alin. (1) lit. a). Modul în care încălcarea a ajuns la cunoștința Centrului, inclusiv dacă a fost notificată, se ia în considerare la stabilirea amenzii art. 87 alin. (2) lit. h).