Утечка персональных данных может принимать совершенно обыденные формы: ноутбук с файлом клиентов, украденный из машины, письмо, по ошибке отправленное не тому списку получателей, неправильно настроенный плагин WordPress, из-за которого база данных становится общедоступной. В каждом из этих случаев общий регламент по защите данных устанавливает чёткие обязательства с жёсткими сроками, о которых многие малые предприятия узнают лишь в момент самого инцидента.

Что GDPR называет утечкой

Утечка данных по смыслу статьи 33 GDPR означает любой инцидент безопасности, приводящий случайно или незаконно к уничтожению, потере, изменению, несанкционированному раскрытию или несанкционированному доступу к персональным данным. Это широкое определение охватывает как кибератаку, так и простую человеческую ошибку, например письмо рассылки, отправленное с получателями, видимыми в открытой копии, а не в скрытой, что раскрывает адреса всех получателей друг другу.

Отсчёт 72 часов

Если утечка может повлечь риск для прав и свобод затронутых лиц, компания, ответственная за обработку данных, должна уведомить об инциденте надзорный орган без неоправданной задержки и, по возможности, в течение семидесяти двух часов с момента, когда она об этом узнала. Этот срок начинается не с момента технического инцидента, а с момента, когда компания получает достаточно достоверное знание о нём, что может создавать неоднозначность, если само обнаружение происходит постепенно. Уведомление может подаваться поэтапно: первоначальное заявление в течение семидесяти двух часов, даже неполное, с последующим дополнением информации по мере продвижения расследования, вместо ожидания исчерпывающего анализа перед любым заявлением.

Не все утечки обрабатываются одинаково

Ожидаемая реакция зависит от оценённого уровня риска для затронутых лиц. Утечка, признанная не несущей правдоподобного риска для людей, например потерянный зашифрованный файл без доступного ключа расшифровки, должна просто фиксироваться во внутреннем реестре утечек без уведомления надзорного органа. Утечка, представляющая риск, должна дополнительно уведомляться в срок семьдесят два часа. Утечка, представляющая высокий риск, например раскрытие банковских данных или данных о здоровье, дополнительно требует индивидуального информирования каждого затронутого лица без неоправданной задержки.

Что должно содержать уведомление

Уведомление надзорному органу, подаваемое через специальный онлайн-сервис, должно описывать характер утечки, категории и примерное число затронутых лиц, вероятные последствия инцидента, а также уже принятые или планируемые меры для устранения проблемы и ограничения её последствий. Запоздалое уведомление всё ещё возможно, но должно сопровождаться обоснованием причин задержки, что не отменяет обязательства, но потенциально может смягчить последствия, если задержка оправдана.

Почему малый бизнес особенно уязвим

Небольшие структуры составляют значительную долю ежегодно регистрируемых во Франции утечек, часто потому что располагают более ограниченными средствами защиты, чем крупная компания, не будучи при этом освобождёнными от тех же правовых обязательств. Сайт на WordPress с устаревшим плагином, слабый пароль администратора или внешний подрядчик, плохо связанный договорными обязательствами, — частые точки входа для подобных инцидентов у фрилансеров и малых предприятий.

Подготовка до наступления инцидента

Ведение актуального реестра обработки данных, документирование действующих мер безопасности и заблаговременная подготовка шаблона уведомления позволяют реагировать быстрее в день, когда инцидент действительно происходит, вместо того чтобы в срочном порядке разбираться с процедурой. Для малого бизнеса без собственного ответственного за защиту данных заблаговременное определение юридического или технического контакта, способного сопровождать этот процесс, позволяет не терять драгоценное время при сроке, исчисляемом часами, а не днями.

Что стоит проверить перед публикацией: подтвердить, что срок семьдесят два часа и три описанных в статье уровня риска по-прежнему соответствуют действующей редакции статей 33 и 34 GDPR на момент публикации, и проверить, что адрес онлайн-сервиса уведомлений надзорного органа остаётся точным и доступным.