Incidente de securitate și notificarea încălcărilor (data breach) sunt orice acțiuni sau omisiuni care provoacă distrugerea, pierderea, modificarea sau divulgarea neautorizată a datelor personale. GDPR impune operatorilor notificarea ANSPDCP în 72 de ore dacă încălcarea prezintă risc pentru persoanele vizate, sub sancțiune de amenzi de până la 10 milioane EUR.
Definiție
Conform Art. 4(12) din Regulamentul (UE) 2016/679 (GDPR), o încălcare a securității datelor personale este orice incident care provoacă, în mod accidental sau ilicit, distrugerea, pierderea, modificarea, divulgarea neautorizată sau accesul neautorizat la date personale.
Forme ale încălcărilor de securitate
Breșele de securitate pot lua diverse forme:
- Atacuri cibernetice — hackeri care accesează baze de date cu informații despre clienți, angajați sau parteneri
- Dispozitive pierdute sau furate — laptop-uri, USB-uri sau telefoane care conțin date personale necriptate
- Erori umane — trimiterea unui email cu date personale către destinatari greșiți
- Acces neautorizat intern — angajați care accesează sau folosesc ilegal date personale fără autorizare
- Ransomware — criptarea datelor de către atacatori cu cereri de răscumpărare
- Divulgare accidentală — publicarea din greșeală de liste cu date personale
Obligații ale operatorului
Operatorul care conștientizează o încălcare trebuie să evalueze dacă aceasta prezintă risc pentru drepturile persoanelor vizate. Dacă riscul este real, trebuie să notifice ANSPDCP în termen de 72 de ore de la conștientizarea incidentului. Termenul se calculează din momentul în care organizația ar fi trebuit în mod rezonabil să descopere breșa, nu din momentul în care a avut loc incidentul.
În cazul încălcărilor cu risc ridicat, operatorul trebuie să notifice și persoanele vizate, furnizând informații despre natura incidentului și măsurile luate pentru a-i proteja. Un risc ridicat include compromiterea de date financiare, de sănătate, date ale copiilor sau orice alte date care ar putea duce la discriminare sau prejudicii grave.
Rol al procesorului
Atunci când incidentul este cauzat de un procesor, acesta are obligația de a notifica operatorul imediat, fără întârziere nejustificată. Responsabilitatea pentru notificarea ANSPDCP rămâne a operatorului. Contractul de prelucrare a datelor trebuie să prevadă în mod explicit această obligație și să fie aliniat cu cadrul legal.
Integrare în cadrul GDPR
Documentarea internă a tuturor incidentelor de securitate este obligatorie, indiferent de gravitate sau prezența unui risc. Aceasta ajută la evaluarea de impact asupra protecției datelor (DPIA) și la demonstrarea respectării principiilor fundamentale ale GDPR. Pentru mai multe informații despre răspunderile operatorilor și framework-ul complet de protecție a datelor, consultați glosarul GDPR.
Întrebări frecvente
1. Ce se consideră o încălcare a securității datelor sub GDPR?
Conform Art. 4(12) GDPR, o încălcare a securității datelor personale este orice incident care provoacă distrugerea, pierderea, modificarea, divulgarea neautorizată sau accesul neautorizat la date personale. Aceasta include atacuri cibernetice, dispozitive pierdute sau furate, erori umane, acces neautorizat intern și ransomware.
2. Care este termenul pentru notificarea ANSPDCP?
Operatorul trebuie să notifice ANSPDCP în termen de 72 de ore de la conștientizarea incidentului, dar doar dacă încălcarea prezintă risc pentru drepturile persoanelor vizate. Termenul se calculează din momentul conștientizării, nu din momentul în care a avut loc incidentul.
3. Cine este responsabil pentru notificare dacă procesorul a cauzat breșa?
Operatorul este întotdeauna responsabil pentru notificarea ANSPDCP, chiar dacă breșa a fost cauzată de procesor. Procesorul are obligația de a notifica operatorul imediat, dar contractul dintre aceștia trebuie să prevadă această obligație.