Είστε στο γραφείο σας και μόλις ετοιμάσατε μια προσφορά για έναν πολύ σημαντικό πελάτη. Έχετε ήδη καθυστερήσει να την στείλετε, είναι αργά, κάνατε έναν τελευταίο έλεγχο και πατήσατε την “Αποστολή” και αμέσως μετά είδατε πως ο παραλήπτης που επιλέξατε είναι λάθος. Ναι, μόλις βρεθήκατε αντιμέτωποι με μια πιθανή παραβίαση προσωπικών δεδομένων.
Σαν περιστατικό είναι αρκετά πιο συχνό από ότι νομίζετε. Ένας συνεργάτης σας χάνει ένα usb stick με προσωπικά δεδομένα πελατών ή εργαζομένων, κάποιος άλλος ξεχνάει έναν υπολογιστή στο αεροδρόμιο ένας τρίτος στέλνει email σε λίστα συνεργατών με φανερή κοινοποίηση και πόσα άλλα παρόμοια περιστατικά καταγράφονται καθημερινά.
Σε ένα τέτοιο περιστατικό κάποιος που θέλει υπεύθυνα να αντιμετωπίσει το συμβάν θα σκεφτεί, και πολύ σωστά, αν πρέπει να το δηλώσει στην Αρχή Προστασίας Δεδομένων ως περιστατικό παραβίασης, όμως πριν φτάσουμε εκεί υπάρχουν μια σειρά από βήματα που πρέπει να γίνουν ώστε να αποφασίσουμε ποιο θα είναι το επόμενο βήμα.
Τι θεωρείται παραβίαση προσωπικών δεδομένων;
Παραβίαση δεν σημαίνει μόνο επίθεση από χάκερ. Μπορεί να είναι και ένα ανθρώπινο λάθος που οδηγεί σε μη εξουσιοδοτημένη πρόσβαση ή κοινοποίηση προσωπικών δεδομένων. Μπορεί επίσης να αφορά την απώλεια, αλλοίωση ή καταστροφή των δεδομένων, ασχέτως αν είναι σε ψηφιακή ή αναλογική μορφή.
Ένα email με στοιχεία πελάτη που στάλθηκε σε λάθος πρόσωπο είναι πιθανό περιστατικό παραβίασης. Το ίδιο ισχύει για έναν χαμένο φορητό που περιέχει αρχεία πελατών ή εργαζομένων, το ίδιο και η διαγραφή αρχείων χωρίς διαθέσιμο αντίγραφο ασφαλείας μπορεί να αποτελεί παραβίαση, επειδή τα δεδομένα δεν θα είναι πλέον διαθέσιμα όταν θα χρειαστούν.
Αυτό όμως δεν σημαίνει ότι όλα αυτά τα περιστατικά έχουν την ίδια σοβαρότητα ή ότι γνωστοποιούνται αυτομάτως στην Αρχή Προστασίας Δεδομένων.
Email σε λάθος παραλήπτη.
Στείλατε κατά λάθος σε άλλον πελάτη μια προσφορά που περιλαμβάνει όνομα, στοιχεία επικοινωνίας και τιμές. Πρώτα χρειάζεται να διαπιστώσετε ακριβώς τι στάλθηκε και σε ποιον. Διαφορετική είναι η περίπτωση ενός απλού μηνύματος και διαφορετική εκείνη ενός συνημμένου με οικονομικά στοιχεία, αριθμούς ταυτότητας ή δεδομένα υγείας.
Επικοινωνήστε άμεσα με τον παραλήπτη, ζητήστε να διαγράψει το μήνυμα και τυχόν αντίγραφά του και καταγράψτε την απάντησή του. Ελέγξτε επίσης αν το email είχε περισσότερους παραλήπτες ή αν κοινοποιήθηκε περαιτέρω. Η επιβεβαίωση ότι διαγράφηκε είναι χρήσιμο στοιχείο για την εκτίμηση του κινδύνου, αλλά δεν αρκεί από μόνη της για να θεωρήσετε το περιστατικό λήξαν.
Απώλεια εταιρικού φορητού υπολογιστή
Εδώ έχει σημασία τι δεδομένα υπήρχαν στη συσκευή και πώς ήταν προστατευμένα. Ήταν κρυπτογραφημένος ο δίσκος; Υπήρχε ενεργό ισχυρό συνθηματικό; Υπήρχαν αποθηκευμένα αρχεία με προσωπικά δεδομένα ή πρόσβαση σε εταιρικό email και εφαρμογές; Υπάρχει η δυνατότητα να κλειδώσετε απομακρυσμένα την συσκευή ή ακόμα και να διαγράψετε τα δεδομένα της; Υπάρχει αντίγραφο ασφαλείας των αρχείων;
Ποιες πρέπει να είναι οι πρώτες κινήσεις μας όταν αντιληφθούμε το περιστατικό.
- Περιορίζουμε το περιστατικό. Ανακαλούμε προσβάσεις όπου χρειάζεται, αλλάζουμε κωδικούς, κλειδώνουμε τη συσκευή ή επικοινωνούμε με τον λάθος παραλήπτη.
- Ενημερώνουμε αμέσως τους αρμόδιους. Ο υπεύθυνος της επιχείρησης, η ομάδα IT και, όπου υπάρχει, ο υπεύθυνος προστασίας δεδομένων πρέπει να μάθουν τι συνέβη χωρίς καθυστέρηση.
- Συγκεντρώνουμε τα γεγονότα. Πότε εντοπίστηκε το περιστατικό; Ποια δεδομένα και πόσα πρόσωπα αφορά; Ποιος μπορεί να απέκτησε πρόσβαση; Τι ενέργειες έχουν ήδη γίνει;
- Εκτιμούμε τον κίνδυνο για τα πρόσωπα. Μπορεί το περιστατικό να οδηγήσει, για παράδειγμα, σε οικονομική ζημιά, υποκλοπή ταυτότητας ή αποκάλυψη ευαίσθητων πληροφοριών;
- Καταγράφουμε την απόφαση και τις ενέργειές μας. Η καταγραφή απαιτείται ακόμη και όταν, μετά την αξιολόγηση, δεν χρειάζεται γνωστοποίηση στην Αρχή.
Πότε ενημερώνεται η Αρχή και πότε τα επηρεαζόμενα πρόσωπα;
Όταν η παραβίαση ενδέχεται να προκαλέσει κίνδυνο για τα δικαιώματα και τις ελευθερίες των προσώπων, ο υπεύθυνος επεξεργασίας οφείλει να τη γνωστοποιήσει στην αρμόδια Αρχή χωρίς αδικαιολόγητη καθυστέρηση και, εφόσον είναι δυνατό, εντός 72 ωρών από τότε που έλαβε γνώση της παραβίασης. Ακόμα και αν δεν έχει όλα τα στοιχεία στα χέρια του και το περιστατικό είναι υπό διερεύνηση, πρέπει να κάνει την αρχική γνωστοποίηση και σε δεύτερο χρόνο να την συμπληρώσει με επιπλέον στοιχεία. Αν η παραβίαση ενδέχεται να προκαλέσει υψηλό κίνδυνο για τα επηρεαζόμενα πρόσωπα, πρέπει κατά κανόνα να ενημερωθούν και τα ίδια χωρίς αδικαιολόγητη καθυστέρηση, ώστε να μπορέσουν να προστατευτούν. Πρόκειται για ξεχωριστή υποχρέωση από τη γνωστοποίηση στην Αρχή. Αν, αντίθετα, η αξιολόγηση δείξει ότι δεν είναι πιθανό να προκληθεί κίνδυνος, δεν απαιτείται γνωστοποίηση στην Αρχή. Το περιστατικό και η αιτιολόγηση της απόφασης καταγράφονται πάντως στο εσωτερικό αρχείο περιστατικών της επιχείρησης.
Αν η εταιρεία σας επεξεργάζεται δεδομένα για λογαριασμό άλλης επιχείρησης, όπως μπορεί να συμβαίνει σε ένα λογιστικό γραφείο για παράδειγμα, πρέπει να ενημερώσετε τον πελάτη που είναι υπεύθυνος επεξεργασίας χωρίς αδικαιολόγητη καθυστέρηση, ώστε να μπορέσει να αξιολογήσει τις δικές του υποχρεώσεις.
Η καλύτερη στιγμή για προετοιμασία είναι πριν από το περιστατικό
Όταν μιλάμε για διαχείριση δεδομένων το ανθρώπινο λάθος είναι αναμενόμενο. Αυτό που μπορεί να κάνει μια επιχείρηση είναι να προσπαθήσει να περιορίσει τις συνέπειες ενός τέτοιου λάθους, λαμβάνοντας τεχνικά και οργανωτικά μέτρα, όπως κρυπτογράφηση φορητών συσκευών, αντίγραφα ασφαλείας, ελεγχόμενες προσβάσεις και σαφή οδηγία προς το προσωπικό μέσω των πολιτικών της επιχείρησης για το πού να αναφέρει κάποιος αμέσως μια λάθος αποστολή email ή μια χαμένη συσκευή.
Οι ερωτήσεις που κάνουμε πάντα είναι ποια προσωπικά δεδομένα επηρεάστηκαν, τι κίνδυνο διατρέχουν οι άνθρωποι και πόσο γρήγορα μπορούμε να αντιδράσουμε.
Στην Be Advised βοηθάμε τις επιχειρήσεις να οργανώσουν την ασφάλεια των συστημάτων και τη διαδικασία διαχείρισης περιστατικών, ώστε όταν συμβεί ένα λάθος να γνωρίζουν ποιος είναι αρμόδιος να αναλάβει δράση και ποιοι έλεγχοι πρέπει να γίνουν.