Παραβιάσεις δεδομένων

Οι παραβιάσεις δεδομένων μπορεί να έχουν αρνητικές επιπτώσεις για τον οργανισμό σας∙ από την οικονομική απώλεια, τα πρόστιμα μέχρι και τη μείωση της εμπιστοσύνης των πελατών σας, ο αντίκτυπος των παραβιάσεων δεδομένων μπορεί να είναι τεράστιος. Αυτός είναι ο λόγος για τον οποίο είναι σημαντικό να εφαρμοστούν ορθές πρακτικές και διαδικασίες στον τομέα της κυβερνοασφάλειας για την πρόληψη συμβάντων ασφάλειας. Παρ’ όλα αυτά, υπάρχει πάντα το ενδεχόμενο να υποστείτε περιστατικό παραβίασης δεδομένων το οποίο να πρέπει να γνωστοποιήσετε στην αντίστοιχη αρχή προστασίας δεδομένων της χώρας σας (ΑΠΔ) ή στα θιγόμενα άτομα.

Ως παραβίαση προσωπικών δεδομένων νοείται «η παραβίαση της ασφάλειας που οδηγεί σε τυχαία ή παράνομη καταστροφή, απώλεια, μεταβολή, άνευ άδειας κοινολόγηση ή πρόσβαση δεδομένων προσωπικού χαρακτήρα».

Με άλλα λόγια, αυτό περιλαμβάνει καταστάσεις όπως όταν κάποιος αποκτά πρόσβαση σε προσωπικά δεδομένα ή τα κοινοποιεί χωρίς την κατάλληλη εξουσιοδότηση ή όταν τα προσωπικά δεδομένα καθίστανται μη διαθέσιμα λόγω κρυπτογράφησης από κακόβουλο λογισμικό, ή καταστάσεις τυχαίας απώλειας ή καταστροφής. Ενώ όλες οι παραβιάσεις προσωπικών δεδομένων είναι περιστατικά ασφαλείας, δεν είναι όλα απαραιτήτως τα περιστατικά ασφαλείας παραβιάσεις προσωπικών δεδομένων (δεδομένου ότι ενδέχεται να μην υπάρχουν προσωπικά δεδομένα σε ένα συγκεκριμένο περιστατικό ασφάλειας).

Εάν η ΜΜΕ σας ενεργεί ως υπεύθυνος επεξεργασίας δεδομένων, υπάρχουν τρεις βασικές αρχές σχετικά με τις παραβιάσεις δεδομένων:

Είναι εξαιρετικά σημαντικό οι υπεύθυνοι επεξεργασίας δεδομένων να κατανοούν και να συμμορφώνονται με αυτές τις υποχρεώσεις και να εφαρμόζουν εκ των προτέρων τις κατάλληλες διαδικασίες που θα τους επιτρέψουν να καθορίσουν αντικειμενικά σε εύθετο χρόνο εάν απαιτείται οποιαδήποτε από τις προαναφερθείσες γνωστοποιήσεις.

Εν πάση περιπτώσει, για όλες τις παραβιάσεις –ακόμη και για τις παραβιάσεις που δεν γνωστοποιούνται σε ΑΠΔ, με το σκεπτικό ότι οι παραβιάσεις αυτές πιθανώς να μην ενέχουν κίνδυνο– ο υπεύθυνος επεξεργασίας πρέπει να καταγράφει τουλάχιστον τα βασικά στοιχεία της παραβίασης, την αξιολόγησή της, τις συνέπειές της και τα διορθωτικά μέτρα που ελήφθησαν, όπως απαιτείται από το άρθρο 33 παράγραφος 5 του ΓΚΠΔ.

Γνωστοποίηση παραβίασης δεδομένων στην οικεία ΑΠΔ

Σύμφωνα με το άρθρο 33 παράγραφος 1 του ΓΚΠΔ, όλες οι παραβιάσεις δεδομένων θα πρέπει να γνωστοποιούνται στην οικεία ΑΠΔ, εκτός από εκείνες που δεν είναι πιθανό να παρουσιάσουν κίνδυνο για τα άτομα. Για να καταστεί ευκολότερη αυτή η γνωστοποίηση, οι ΑΠΔ έχουν εφαρμόσει διαδικασίες ή ηλεκτρονικά έντυπα που θα σας καθοδηγήσουν βήμα προς βήμα ώστε να διασφαλίσετε ότι παρέχετε όλες τις απαιτούμενες πληροφορίες.

Προκειμένου να είναι σε θέση να αποδείξουν στην οικεία ΑΠΔ πότε και πώς έλαβαν γνώση παραβίασης προσωπικών δεδομένων, συνιστάται σε όλους τους οργανισμούς, στο πλαίσιο των εσωτερικών διαδικασιών τους για παραβιάσεις προσωπικών δεδομένων, να διαθέτουν σύστημα για την καταγραφή του τρόπου και του χρόνου κατά τον οποίο λαμβάνουν γνώση των παραβιάσεων προσωπικών δεδομένων και του τρόπου με τον οποίο αξιολόγησαν τον δυνητικό κίνδυνο που ενέχει η παραβίαση.

Όταν δεν είναι δυνατόν να παρασχεθούν όλες οι σχετικές πληροφορίες στην ΑΠΔ εντός της περιόδου των 72 ωρών, η γνωστοποίηση θα πρέπει να γίνεται σε διάφορα στάδια. Θα πρέπει να υποβάλλεται η αρχική γνωστοποίηση και σταδιακά να παρέχονται περαιτέρω πληροφορίες.

Ομοίως, σύμφωνα με το άρθρο 33 παράγραφος 2 του ΓΚΠΔ, εάν η ΜΜΕ σας είναι εκτελών την επεξεργασία και επεξεργάζεται προσωπικά δεδομένα για λογαριασμό άλλου οργανισμού, πρέπει να ενημερώσετε τον υπεύθυνο επεξεργασίας για τυχόν παραβίαση προσωπικών δεδομένων χωρίς αδικαιολόγητη καθυστέρηση. Αυτό έχει καίρια σημασία προκειμένου ο υπεύθυνος επεξεργασίας να είναι σε θέση να συμμορφωθεί με τις υποχρεώσεις γνωστοποίησης που υπέχει σε εύθετο χρόνο. Οι απαιτήσεις σχετικά με την αναφορά παραβιάσεων θα πρέπει επίσης να περιγράφονται λεπτομερώς στη σύμβαση μεταξύ του υπευθύνου επεξεργασίας και του εκτελούντος την επεξεργασία, όπως απαιτείται βάσει του άρθρου 28 του ΓΚΠΔ.

Η γνωστοποίηση παραβίασης προσωπικών δεδομένων στην οικεία ΑΠΔ πρέπει κατ’ ελάχιστον:

Ανακοίνωση της παραβίασης αυτής στα θιγόμενα άτομα

Επιπλέον, ορισμένες παραβιάσεις δεδομένων πρέπει να ανακοινώνονται χωρίς αδικαιολόγητη καθυστέρηση στα θιγόμενα άτομα. Αυτό συμβαίνει όταν η παραβίαση προσωπικών δεδομένων ενδέχεται να οδηγήσει σε υψηλό κίνδυνο για τα δικαιώματα και τις ελευθερίες του φυσικού προσώπου.

Υπάρχουν περιπτώσεις στις οποίες οι υπεύθυνοι επεξεργασίας δεδομένων δεν θα υποχρεούνται να ενημερώνουν τα φυσικά πρόσωπα, π.χ. όταν:

• ο υπεύθυνος επεξεργασίας δεδομένων είχε κρυπτογραφήσει τα δεδομένα και δεν διακυβεύτηκαν τα κλειδιά κρυπτογράφησης·
• ο υπεύθυνος επεξεργασίας έχει λάβει στη συνέχεια μέτρα που διασφαλίζουν ότι ο υψηλός κίνδυνος για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων δεν είναι πλέον πιθανό να υλοποιηθεί·

ή

• θα συνεπαγόταν δυσανάλογη προσπάθεια. Σε μια τέτοια περίπτωση, ωστόσο, ο υπεύθυνος επεξεργασίας πρέπει να διασφαλίζει, μέσω δημόσιας ανακοίνωσης ή παρόμοιου μέτρου, ότι τα φυσικά πρόσωπα ενημερώνονται με εξίσου αποτελεσματικό τρόπο.
   

Η εν λόγω ανακοίνωση προς το άτομο θα πρέπει να περιγράφει με σαφή και απλή γλώσσα τη φύση της παραβίασης προσωπικών δεδομένων και θα πρέπει να περιλαμβάνει τουλάχιστον τις ακόλουθες πληροφορίες:

Οι υπεύθυνοι επεξεργασίας δεδομένων και οι εκτελούντες την επεξεργασία ενθαρρύνονται να σχεδιάζουν εκ των προτέρων και να θέτουν σε εφαρμογή διαδικασίες ώστε να είναι σε θέση να εντοπίζουν και να περιορίζουν άμεσα μια παραβίαση, να αξιολογούν τον κίνδυνο για τα φυσικά πρόσωπα και, στη συνέχεια, να προσδιορίζουν κατά πόσον είναι αναγκαίο να γνωστοποιήσουν την παραβίαση στην αρμόδια ΑΠΔ και να την ανακοινώσουν στα επηρεαζόμενα άτομα, όταν είναι απαραίτητο.