A.smens duomenų saugumo pažeidimas (ADSP) – saugumo pažeidimas, dėl kurio netyčia arba neteisėtai sunaikinami, prarandami, pakeičiami, be leidimo atskleidžiami, persiųsti, saugomi arba kitaip tvarkomi asmens duomenys arba prie jų be leidimo gaunama prieiga. Bendrasis duomenų apsaugos reglamentas (BDAR) reikalauja apie asmens duomenų saugumo pažeidimą pranešti Valstybinei duomenų apsaugos inspekcijai. Tam tikrais atvejais apie tai reikia pranešti ir asmenims, kurių asmens duomenys buvo paveikti pažeidimo (duomenų subjektams).
Asmens duomenų saugumo pažeidimas pagal savo pobūdį gali būti konfidencialumo, vientisumo ir prieinamumo pažeidimas. Konfidencialumo pažeidimas – neleistinas arba netyčinis asmens duomenų atskleidimas arba prieigos prie asmens duomenų suteikimas. Vientisumo pažeidimas – neleistinas arba netyčinis asmens duomenų pakeitimas. Prieinamumo pažeidimas – netyčinis arba neleistinas prieigos prie asmens duomenų praradimas arba asmens duomenų sunaikinimas.
Tinkamai nepranešus apie pažeidimą duomenų subjektui arba priežiūros institucijai, pagal BDAR 83 straipsnį duomenų valdytojui gali būti taikomos piniginės sankcijos. Todėl labai svarbu užtikrinti, kad organizacija būtų pasiruošusi laiku identifikuoti asmens duomenų saugumo pažeidimus bei tinkamai į juos reaguoti. Toliau pateikiame kelis praktinius patarimus, kurie padės geriau pasiruošti galimam ADSP.
1 PATARIMAS
Rekomenduojama iš anksto planuoti ir įdiegti procesus, kurie leistų operatyviai aptikti incidentą, įsivertinti, ar jis laikytinas ADSP. Nustačius, kad tai ADSP – jį tinkamai suvaldyti. Ne mažiau svarbu, kad organizacija turėtų procedūras ir tvarkas, kurios leistų įvertinti dėl ADSP kylančią riziką duomenų subjektų teisėms ir laisvėms, o tada nustatyti, ar būtina apie tai pranešti Valstybinei duomenų apsaugos inspekcijai ir prireikus duomenų subjektams.
2 PATARIMAS
Tinkamų žinių neturintis darbuotojas, net pastebėjęs ADSP, jį gali palaikyti nereikšmingu ir apie jį neinformuoti atsakingo asmens. Vien tai, kad incidento galimas poveikis yra nedidelis, pavyzdžiui, tik vienam duomenų subjektui, arba pažeidimas nekelia pavojaus asmenų teisėms ir laisvėms, dar nereiškia, kad apie tokį ADSP nereikia pranešti Valstybinei duomenų apsaugos inspekcijai.
Todėl organizacijoje nepakanka turėti tinkamai parengtus procesus ar taisykles, kuriuose būtų aprašyta tvarka, kaip elgtis ADSP atveju. Svarbu užtikrinti, kad personalas su atitinkamomis tvarkomis būtų tinkamai supažindintas. Rekomenduojama įsitikinti, kad pateiktą informaciją darbuotojai suprato ir žino, kaip elgtis pastebėjus ADSP. Personalo žinios gali būti gerinamos organizuojant praktinius mokymus, kurių metu analizuojamos įvairios ADSP situacijos. Mokymų pabaigoje gali būti patikrinamos dalyvių žinios.
3 PATARIMAS
ADSP atveju duomenų valdytojas nepagrįstai nedelsdamas ir, jei įmanoma, praėjus ne daugiau kaip 72 valandoms nuo tada, kai jis sužino apie ADSP, apie tai praneša Valstybinei duomenų apsaugos inspekcijai. Pranešti apie ADSP nereikia, jeigu jis nekelia pavojaus fizinių asmenų teisėms ir laisvėms.
Kadangi terminas per kurį apie ADSP reikia informuoti Valstybinę duomenų apsaugos inspekciją yra pakankamai trumpas, labai svarbu, kad organizacijoje būtų paskirstytos organizacijos personalo atsakomybės įvykus incidentui tam, kad į incidentą būtų galima reaguoti operatyviai ir esant poreikiui informuoti priežiūros instituciją, nepraleidžiant BDAR nustatyto termino. Pavyzdžiui, rekomenduojama aiškiai nustatyti, kam organizacijoje reikia pranešti apie pastebėtą incidentą, kas yra atsakingas už incidento tyrimą ir jo valdymą, galimo poveikio duomenų subjektų teisėms ir laisvės nustatymą, bei, esant poreikiui, Valstybinės duomenų apsaugos inspekcijos ir duomenų subjektų informavimą ir pan.
4 PATARIMAS
Kai dėl ADSP pobūdžio ir rizikos rimtumo kyla didelis pavojus fizinių asmenų teisėms ir laisvėms, duomenų valdytojas apie ADSP privalo pranešti ir duomenų subjektui. Teikiant pranešimą duomenų subjektams, rekomenduojama informaciją pateikti aiškia ir paprasta kalba, kad duomenų subjektas galėtų suprasti jam pateiktą informaciją apie įvykusį ADSP.
Jeigu nusprendžiama, kad nėra didelio pavojaus duomenų subjektų teisėms ir laisvėms, ir duomenų subjektai apie ADSP nebus informuojami, svarbu tokį sprendimą ir jį pagrindžiančius argumentus tinkamai dokumentuoti tam, kad iškilus poreikiui šią informaciją būti galima pateikti Valstybinei duomenų apsaugos inspekcijai.
Kita vertus, jeigu duomenų subjektai yra informuojami būtina išsaugoti informavimo faktą patvirtinančius įrodymus.
5 PATARIMAS
Dažnai praktikoje duomenų valdytojai nedokumentuoja arba netinkamai dokumentuoja įvykusį ADSP, nors pagal BDAR 33 straipsnį duomenų valdytojas turi pareigą dokumentuoti kiekvieną ADSP.
Rekomenduojama organizacijoje turėti saugumo pažeidimų registrą, kuriame būti dokumentuojami visi incidentai, įskaitant su incidentu susijusius faktus, jo poveikį ir taisomuosius veiksmus, kurių buvo imtasi.
Turite klausimų? Susisiekite su mumis. Mūsų komanda konsultuoja visais asmens duomenų tvarkymo klausimais. Asmens duomenų tvarkymo klausimais su mumis galite susisiekti telefonu +370 659 48656 arba el. paštu: tadas.kuzminskas@getlex.lt