Нарушението на GDPR е забавеното с месеци докладване на нарушение на сигурността
Норвежкият орган за защита на данните наложи глоба от 2,5 милиона норвежки крони на американската компания Argon Medical Devices за нарушаване на Регламента относно защита на личните данни (GDPR/ОРЗД).
През юли 2021 г. Argon откри пробив в сигурността, който засегна личните данни на всички техни европейски служители, включително в Норвегия.
Argon изпрати уведомление до Datatilsynet едва през септември 2021 г., много след 72-часовия краен срок за докладване на нарушение съгласно член 33 на регламента. Пробивът в сигурността засяга лични данни, които могат да бъдат използвани за измами и кражба на самоличност.
Ето какво пише в решението:
На 24 септември 2021 г. Argon Medical Devices, Inc. („Argon“) изпрати уведомление за нарушение на сигурността на личните данни до Datatilsynet съгласно член 33, параграф 1 от GDPR.
Такова уведомление се отнася до инцидент с киберсигурността, който Argon претърпя между 21 май и 14 юни 2021 г., който засегна личните данни на всички европейски служители на Argon, включително един служител в Норвегия.
Аргон смята, че не е необходимо да докладват за пробива в сигурността, докато не направят пълен преглед на инцидента и всичките му последствия. Това е отправната точка за забавянето, смята надзорният орган.
72-часов срок за докладване на нарушения
Норвежкият орган за защита на данните не се съгласява с оценката на Argon. Регламентът за защита на личните данни гласи, че 72-часовият срок за изпращане на уведомление започва да тече, когато администраторът разбере, че е настъпил пробив в сигурността на личните данни. С други думи, човек не може да чака да изпрати такова съобщение, докато не бъдат изяснени всички обстоятелства на нарушението.
В оценката надзорния орган за защита на данните се подчертава, че администраторът не може да чака до края на разследвания, преди да изпрати уведомление до орган за защита на данните. Datatilsynet също подчерта, че Argon е голяма международна група, която трябва да има добри практики за поверителност.
Този случай е важно напомняне, че администраторите на данни – включително тези, установени извън ЕИП – трябва да разполагат с подходящи мерки, за да могат незабавно да определят дали е извършено нарушение на сигурността на личните данни и незабавно да уведомят надзорния орган.
Глобата от 2,5 милиона норвежки крони е приблизително 2,5% от максималната за такива нарушения на GDPR и 0,1% от оборота на Argon.
Случаят се присъединява към редица подобни в Европа, отбелязва надзорният орган.
Аргон може да обжалва решението в триседмичен срок от получаването му.