Asmens duomenų saugumo pažeidimas: 5 praktiniai patarimai (dar ne)įvykus incidentui
Asmens duomenų saugumo pažeidimas gali sukelti ne tik teisinių, bet ir reputacinių bei organizacinių pasekmių. Įmonėms svarbu ne tik tinkamai reaguoti į jau įvykusį incidentą, bet ir iš anksto pasirengti galimiems duomenų saugumo pažeidimams.
Šiame straipsnyje aptariame 5 praktinius veiksmus, kuriuos verta atlikti dar prieš įvykstant incidentui, kad organizacija galėtų greičiau įvertinti situaciją, tinkamai reaguoti ir sumažinti galimą riziką.
Kas yra asmens duomenų saugumo pažeidimas?
Asmens duomenų saugumo pažeidimas (ADSP) – saugumo pažeidimas, dėl kurio netyčia arba neteisėtai sunaikinami, prarandami, pakeičiami, be leidimo atskleidžiami asmens duomenys arba prie jų gaunama neteisėta prieiga. ADSP apibrėžimas apima asmens duomenų konfidencialumo, vientisumo ir prieinamumo pažeidimus.
Pagal Bendrąjį duomenų apsaugos reglamentą (BDAR), nustačius asmens duomenų saugumo pažeidimą, duomenų valdytojas turi įvertinti, ar dėl jo kyla pavojus fizinių asmenų teisėms ir laisvėms. Kai toks pavojus tikėtinas, apie pažeidimą nepagrįstai nedelsiant ir, jei įmanoma, ne vėliau kaip per 72 valandas nuo tada, kai apie jį sužinojo, turi būti pranešta priežiūros institucijai.
Kai dėl pažeidimo kyla didelis pavojus fizinių asmenų teisėms ir laisvėms, tam tikrais atvejais apie jį taip pat turi būti informuojami paveikti duomenų subjektai. Be to, duomenų valdytojas privalo dokumentuoti visus asmens duomenų saugumo pažeidimus, įskaitant su pažeidimu susijusius faktus, jo poveikį ir taisomuosius veiksmus.
Asmens duomenų saugumo pažeidimų rūšys
Konfidencialumo pažeidimas
Konfidencialumo pažeidimas įvyksta, kai asmens duomenys netyčia arba neteisėtai atskleidžiami, perduodami ar prie jų suteikiama prieiga asmenims, kurie neturi teisės jų matyti. Pavyzdžiui, darbuotojas gali netyčia išsiųsti klientų duomenis netinkamam gavėjui arba dėl kibernetinio incidento tretieji asmenys gali gauti prieigą prie duomenų.
Vientisumo pažeidimas
Vientisumo pažeidimas įvyksta, kai asmens duomenys netyčia arba neteisėtai pakeičiami, iškraipomi ar kitaip pakeičiamas jų turinys. Pavyzdžiui, dėl techninės klaidos ar neteisėto prisijungimo gali būti pakeisti klientų, darbuotojų ar kitų duomenų subjektų duomenys.
Prieinamumo pažeidimas
Prieinamumo pažeidimas įvyksta, kai dėl netyčinių ar neteisėtų veiksmų prarandama prieiga prie asmens duomenų arba jie sunaikinami taip, kad duomenų nebegalima tinkamai naudoti. Pavyzdžiui, duomenys gali tapti nepasiekiami dėl išpirkos reikalaujančios programinės įrangos, serverio gedimo ar kitokio kibernetinio incidento.
5 praktiniai patarimai, kaip pasiruošti asmens duomenų saugumo pažeidimui
1 patarimas: Iš anksto nustatykite reagavimo į incidentus procesą
Organizacija turėtų iš anksto nustatyti aiškų procesą, kaip nustatomi, įvertinami ir valdomi asmens duomenų saugumo pažeidimai. Svarbu apibrėžti, kas atsakingas už incidento nustatymą, rizikos vertinimą, sprendimą dėl pranešimo priežiūros institucijai ir kitus būtinus veiksmus. Iš anksto parengta procedūra padeda greičiau ir nuosekliau reaguoti į incidentą.
2 patarimas: Apmokykite darbuotojus ir didinkite jų sąmoningumą
Darbuotojų klaidos yra viena dažniausių asmens duomenų saugumo pažeidimų priežasčių. Todėl svarbu reguliariai mokyti darbuotojus atpažinti galimas grėsmes, saugiai tvarkyti asmens duomenis ir žinoti, kaip elgtis pastebėjus incidentą. Praktiniai mokymai ir aiškios vidinės procedūros padeda sumažinti klaidų tikimybę ir užtikrinti greitesnį reagavimą į pažeidimus.
3 patarimas: Aiškiai paskirstykite atsakomybes ir pasiruoškite 72 valandų terminui
Organizacijoje turėtų būti aiškiai nustatyta, kas atsakingas už asmens duomenų saugumo pažeidimo įvertinimą, sprendimą dėl pranešimo priežiūros institucijai ir kitų veiksmų koordinavimą. Jeigu dėl pažeidimo kyla pavojus fizinių asmenų teisėms ir laisvėms, apie jį priežiūros institucijai turi būti pranešta nepagrįstai nedelsiant ir, jei įmanoma, ne vėliau kaip per 72 valandas nuo tada, kai apie pažeidimą sužinota. Todėl verta iš anksto pasiruošti vidinę sprendimų priėmimo ir informavimo tvarką.
4 patarimas: Pasiruoškite informuoti duomenų subjektus
Jeigu dėl asmens duomenų saugumo pažeidimo kyla didelis pavojus fizinių asmenų teisėms ir laisvėms, tam tikrais atvejais apie pažeidimą turi būti informuojami ir paveikti duomenų subjektai. Todėl organizacija turėtų iš anksto pasiruošti tokio pranešimo tvarką, nustatyti atsakingus asmenis ir turėti aiškius kriterijus, pagal kuriuos būtų vertinama, ar toks informavimas yra būtinas.
5 patarimas: Dokumentuokite pažeidimus ir tvarkykite pažeidimų registrą
Visi asmens duomenų saugumo pažeidimai turi būti tinkamai dokumentuojami, nepriklausomai nuo to, ar apie juos buvo pranešta priežiūros institucijai. Pažeidimų registre rekomenduojama fiksuoti svarbiausias aplinkybes, pažeidimo poveikį, atliktą rizikos vertinimą, priimtus sprendimus ir taikytas taisomąsias priemones. Tinkama dokumentacija padeda ne tik valdyti incidentą, bet ir įrodyti, kad organizacija laikėsi BDAR reikalavimų.
Ką daryti įvykus asmens duomenų saugumo pažeidimui?
Įvykus asmens duomenų saugumo pažeidimui svarbu veikti greitai ir nuosekliai. Pirmiausia reikia nustatyti, kas įvyko, kokie asmens duomenys buvo paveikti, kiek duomenų subjektų galėjo būti paveikta ir kokios galimos pasekmės jų teisėms ir laisvėms.
Atlikus pirminį vertinimą, reikia nustatyti, ar apie pažeidimą būtina pranešti priežiūros institucijai ir, kai taikoma, informuoti paveiktus duomenų subjektus. Taip pat būtina dokumentuoti pažeidimą, atliktą rizikos vertinimą, priimtus sprendimus ir veiksmus, kurių buvo imtasi siekiant pašalinti pažeidimo pasekmes bei užkirsti kelią jo pasikartojimui.
Reikia teisinės pagalbos dėl asmens duomenų apsaugos ar BDAR?
Daugiau apie mūsų teikiamas paslaugas asmens duomenų apsaugos srityje →