Нито една буква в текста не показва съобразяване с GDPR
„На 23.01.2023 г. е установен технически проблем с част от информационните системи на Агенция по заетостта, както и с електронния сайт на институцията, до който временно няма достъп“. Това съобщение е от сайта на Министерството на труда и социалната политика и на нищо не прилича.
Ето и останалия текст: „Констатирани са отклонения от нормалното функциониране на някои от спомагателните системи, които институцията използва в своята ежедневна работа. Извършва се анализ на възникналото отклонение в съответствие с утвърдените процедури и стандарти в областта. Наличният технически потенциал на Агенция по заетостта и други експерти са ангажирани в процеса.
Бюрата по труда в страната не са прекъсвали своята работа с клиенти и продължават регистрацията на безработни лица.
След прецизиране и анализ ще бъдете своевременно уведомени.“
Не е ясно към кого е насочено съобщението – към хората, които неуспешно се мъчат да влязат в сайта на агенцията, към служителите на агенцията или към други национални и международните партньори на ведомството? Защото не отговаря на въпросите на тези публики.
Спешно в тези ведомства трябва да прочетат няколко наръчника и доклада, ако не искат сериозно да загазят. Защото тук не говорим само за жалби до българския надзорен орган за защита на данните.
Например този доклад на Агенция на Европейския съюз за мрежова и информационна сигурност (ENISA), Препоръки за методология за оценка на тежестта на нарушенията на сигурността на личните данни, https://www.enisa.europa.eu/publications/dbn-severity.
След това да прочетат Насоки за длъжностните лица по защита на данните в публичния сектор относно това как да осигурят спазване на Регламент (ЕС) 2016/679. Там почти всички нужни линкове, свързани с комуникация при нарушение на сигурността.
Накратко, ето основните принципи:
Общият регламент относно защитата на данните предвижда че администраторът документира всяко нарушение на сигурността на личните данни, включително фактите, свързани с нарушението на сигурността на личните данни, последиците от него и предприетите действия за справяне с него. Тази документация дава възможност на надзорния орган да провери дали е спазен настоящият член. (чл. 33, пар. 5). Следва да се отбележи, че последното изискване се отнася до всяко („което и да е”) нарушение на сигурността на личните данни: то не се ограничава до нарушения на сигурността на данни, за които трябва да бъде уведомен органът по защита на данните, т.е. записът трябва да включва и всяко нарушение на сигурността на данни, което (според мнението на администратора) „не съществува вероятност да породи риск за правата и свободите на физическите лица”. На практика, длъжностното лице по защита на данните ще трябва да бъде тясно и в дълбочина ангажирано с тези въпроси. Често е вероятно подозрението за нарушение първо да бъде съобщено в организацията (и/или на Директора по технологиите или на сигурността) – и тогава длъжностното лице по защита на данните трябва (по целесъобразно, с тези други директори) да направи първата, незабавна оценка поне на следните въпроси: – дали действително е имало нарушение на сигурността на личните данни, както е определено в Общия регламент относно защитата на данните (вж. определението в чл. 4, пар. 12) – и ако се установи, че е имало нарушение, или че е вероятно да е имало нарушение: – кои (категории) субекти на данни са били или може да са били засегнати от нарушението и кои (категории) лични данни може да са били загубени или засегнати по друг начин.
Следователно организацията трябва да гарантира, например, че: ● Длъжностното лице по защита на данните се приканва да участва редовно в срещи на висшето и средното ръководство. ● Неговото или нейното присъствие се препоръчва, когато се вземат решения, които имат отношение към защитата на данните. Цялата съответна информация трябва своевременно да бъде предадена на длъжностното лице по защита на данните, за да му позволи да предоставя адекватни съвети. ● Становището на длъжностното лице по защита на данните трябва винаги да бъде надлежно отчетено. В случай на несъгласие, Работната група по член 29 препоръчва, като добра практика, да се документират причините, поради които не е последван съветът на длъжностното лице по защита на данните.
- След като е възникнало нарушение на сигурността на данните или друг инцидент, трябва незабавно да се направи консултация с длъжностното лице по защита на данните. Когато е целесъобразно, администраторът или обработващият лични данни може да разработи насоки или програми за защита на данните, които посочват кога трябва да бъде извършена консултация с длъжностното лице по защита на данните.
Въпреки че Общият регламент относно защитата на данните въвежда задължението за уведомяване за нарушение, няма изискване то да се прави при всички обстоятелства: ● Необходимо е уведомяване на компетентния надзорен орган, освен ако няма вероятност нарушението да породи риск за правата и свободите на физическите лица. ● Съобщаването на нарушение на лицето се задейства, само когато е вероятно да породи висок риск за неговите права и свободи. Това означава, че веднага след узнаването за нарушение е жизнено важно администраторът не само да се стреми да ограничи инцидента, но и да оцени риска, който може да произтече от него. Има две важни причини за това: първо, познаването на вероятността и потенциалната сериозност на въздействието върху индивида ще помогне на администратора да предприеме ефективни стъпки за ограничаване и справяне с нарушението; второ, то ще му помогне да определи дали е необходимо уведомяване на надзорния орган и, ако е необходимо, на заинтересуваните лица. Както е обяснено по-горе, уведомяването за нарушение се изисква, освен ако няма вероятност то да породи риск за правата и свободите на физическите лица, а ключовият фактор, изискващ съобщаване на нарушение на субектите на данни, е когато има вероятност да породи висок риск за правата и свободите на физическите лица. Този риск съществува, когато нарушението може да доведе до физически, материални или нематериални вреди за лицата, сигурността на чиито данни е била нарушена.
Пример
Администратор е подложен на атака от рансъмуер, което води до криптиране на всички данни. Не са налични резервни копия и данните не могат да бъдат възстановени. При разследването става ясно, че единствената функционалност на рансъмуера е да криптира данните и че в системата няма друг зловреден софтуер
Да, съобщете на надзорния орган, ако има вероятни последици за хората, тъй като това е загуба на наличност.
Да, съобщете на физическите лица, в зависимост от естеството на засегнатите лични данни и възможния ефект от липсата на наличност на данни, както и други вероятни последици.
Ако има налично резервно копие и данните могат да бъдат възстановени своевременно, това не трябва да се докладва на надзорния орган или на лицата, тъй като няма да има постоянна загуба на наличност или поверителност. Ако обаче надзорният орган е разбрал за инцидента чрез други средства, той може да обмисли разследване, за да оцени спазването на по-широките изисквания за сигурност на чл. 32.