Утечка данных и обязанность уведомления

Коротко: Утечка данных — нарушение безопасности, ведущее к потере, изменению или несанкционированному доступу к персональным данным. О ней, возможно, нужно сообщить в течение 72 часов.

Подробнее: Контролёр сообщает о нарушении надзорному органу, если маловероятно, что оно приведёт к риску для субъектов данных. При высоком риске нужно также информировать субъектов данных.

Подробности

• Примеры: украденный ноутбук, ошибочно адресованное письмо с данными, взломанная база данных, программа-вымогатель, открытая в интернете резервная копия.
• Процесс: выявить, локализовать, оценить, сообщить, проинформировать пострадавших, устранить причины, задокументировать.
• Документирование: Каждое нарушение должно быть задокументировано, даже если о нём не сообщено.
• Подготовка: план действий в чрезвычайной ситуации, контактные лица, журналы (наблюдаемость), резервные копии (правило 3-2-1).
• Штрафы: За позднее или отсутствующее сообщение грозят высокие штрафы.

См. также: Программы-вымогатели, Закон о BSI