Безопасность данных и инциденты

Что такое нарушение безопасности персональных данных

Закон определяет нарушение безопасности персональных данных как нарушение защищенности, которое случайно или незаконно привело к уничтожению, утрате, изменению или несанкционированному раскрытию персональных данных либо к несанкционированному доступу к ним ст. 4. Речь идет не только о кибератаках: например, под это определение может подпасть и потерянная папка с документами, и письмо, отправленное не тому получателю.

Безопасность обработки

Оператор и лицо, действующее по поручению оператора, принимают соответствующие технические и организационные меры, чтобы обеспечить уровень безопасности, соразмерный риску. При этом учитываются уровень технологий, затраты, характер и цели обработки и риски для людей ст. 32 ч. (1). Закон приводит примеры таких мер, применяемых по обстоятельствам: псевдонимизация и шифрование ст. 32 ч. (1) п. a), обеспечение конфиденциальности, целостности, доступности и устойчивости систем ст. 32 ч. (1) п. b), восстановление доступа к данным после инцидента ст. 32 ч. (1) п. c) и регулярная проверка эффективности мер ст. 32 ч. (1) п. d).

При оценке достаточности уровня безопасности особо учитываются риски уничтожения, утраты, изменения, несанкционированного раскрытия данных или несанкционированного доступа к ним ст. 32 ч. (2). Оператор и лицо, действующее по его поручению, принимают меры, чтобы лица, действующие с их санкции и имеющие доступ к данным, обрабатывали их только по инструкциям оператора ст. 32 ч. (4). Соблюдение утвержденного кодекса поведения или механизма сертификации может служить элементом, подтверждающим выполнение этих требований ст. 32 ч. (3).

Уведомление Центра

При нарушении безопасности персональных данных оператор уведомляет Национальный центр по защите персональных данных без необоснованной задержки и по мере возможности не позднее 72 часов с момента, когда ему стало об этом известно. Уведомление не требуется, только если вероятность того, что нарушение повлечет риск для прав и свобод физических лиц, крайне мала. Уведомление, направленное позже 72 часов, сопровождается мотивированным обоснованием задержки ст. 33 ч. (1).

Лицо, действующее по поручению оператора, без необоснованной задержки уведомляет оператора, как только узнает о нарушении ст. 33 ч. (2). Минимальное содержание уведомления установлено законом ст. 33 ч. (3), а информацию можно предоставлять поэтапно, если вся она недоступна сразу ст. 33 ч. (4).

Независимо от того, направлялось ли уведомление, оператор документирует все нарушения безопасности персональных данных, чтобы Центр мог проверить соблюдение закона ст. 33 ч. (5).

Информирование субъектов персональных данных

Если нарушение может повлечь высокий риск для прав и свобод физических лиц, оператор без необоснованной задержки информирует субъектов персональных данных ст. 34 ч. (1) простым и понятным языком ст. 34 ч. (2).

Информировать не требуется, если оператор применял меры, делающие данные непонятными для посторонних, например шифрование; если он впоследствии принял меры, при которых высокий риск больше не может реализоваться; или если информирование требует несоразмерных усилий — тогда проводится публичное информирование или принимается столь же эффективная мера ст. 34 ч. (3). Центр может потребовать от оператора проинформировать субъектов или решить, что одно из этих условий выполнено ст. 34 ч. (4).

Почему это важно

За нарушение обязанностей по безопасности и уведомлению предусмотрены штрафы до 1 000 000 леев, а для предприятия — до 1% общего оборота за год, предшествующий наложению санкции, в зависимости от того, какая сумма больше ст. 88 ч. (1) п. a). При определении штрафа учитывается, каким образом Центр узнал о нарушении, в том числе уведомил ли о нем оператор ст. 87 ч. (2) п. h).