Нарушение безопасности данных

Что требует закон

1. 01Уведомление Центра в срок. Оператор без необоснованных задержек уведомляет Национальный центр по защите персональных данных, по мере возможности не позднее 72 часов с момента, когда ему стало известно о нарушении, за исключением случая, когда вероятность того, что нарушение повлечет риск для прав и свобод физических лиц, крайне мала. Уведомление, направленное позже 72 часов, сопровождается мотивированным обоснованием задержки. ст. 33
2. 02Минимальное содержание уведомления. В уведомлении описываются характер нарушения, в том числе, по мере возможности, категории и приблизительное количество затронутых субъектов персональных данных и записей, указываются контактные данные лица, ответственного за защиту данных, или иного контактного пункта, а также описываются возможные последствия нарушения и принятые или предлагаемые меры по его устранению. Если всю информацию невозможно предоставить одновременно, ее можно предоставлять в несколько этапов без необоснованной задержки. ст. 33
3. 03Информирование субъектов данных при высоком риске. Если нарушение может повлечь высокий риск для их прав и свобод, субъектов персональных данных информируют без необоснованных задержек. Информирование не требуется в предусмотренных законом случаях, например если затронутые данные были защищены мерами, делающими их непонятными для посторонних, такими как шифрование. ст. 34
4. 04Документирование каждого случая. Оператор хранит документы обо всех нарушениях безопасности данных, в том числе о тех, о которых он не уведомляет, с описанием фактической ситуации, последствий и принятых мер, чтобы Центр мог проверить соблюдение этих требований. ст. 33
5. 05Уведомление от лица, действующего по поручению оператора. Если нарушение произошло у лица, действующего по поручению оператора, например у IT-поставщика или бухгалтерской фирмы, оно уведомляет вас без необоснованной задержки после того, как ему стало о нем известно. ст. 33