ми е откраднат лаптоп с данни на клиентите, какво трябва да направя сега

Откраднат лаптоп с клиентски данни обикновено е нарушение на данните

Откраднат служебен лаптоп с клиентски данни в повечето случаи се счита за нарушение на сигурността на личните данни, както го определя член 4 на GDPR. Данните излизат извън контрола на организацията, и това е точно както определението го разглежда — няма значение дали лаптопът е откраден от кола, чанта или офис. Това, което точно е на лаптопът и дали информацията е криптирана или по друг начин защитена, влияят на оценката на тежестта, но самата кража е начало на оценката. По-подробно обяснение на това, което попада и не попада под определението, е в страницата в знаещата база за то, което точно е нарушение на данните.

От момента на открехването, две неща се случват едновременно: установяването на фактите (кои данни, на кого, колко лица и дали е имало криптиране) и въпросът дали това трябва да бъде докладувано — на регулатора и евентуално на самите засегнати лица. Двата въпроса зависят от риска, който откраднатите данни представляват за хората, и този риск е точно защо един празен или добре криптиран лаптоп се оценява различно от един лаптоп, пълен с некриптирани клиентски файлове. Как тежайния на докладване на регулатора работи, е обяснено на страницата за кога нарушение на данните трябва да бъде докладувано на Управата за защита на личните данни, и въпросът дали самите засегнати лица трябва също да получат съобщение на страницата за информиране на засегнатите лица при нарушение на данните.

На какво се основава това: член 4, член 32 и член 33 GDPR

Определението за нарушение е в член 4 на GDPR, задължението да се защитават данните надлежно — включително риска от загуба на оборудване — в член 32, и задължението да се докладва на регулатора в член 33. Тези три члена се прилагат пряко в целия ЕС, така че оценката дали откраднат лаптоп е нарушение на данните, което трябва да бъде докладувано, следва еднакви правила навсякъде. Това, което варира по държава, е регулаторът, на който се докладва: в Нидерландия това е Управата за защита на личните данни, в други държави членки — национальният регулатор на тази държава. Насоките на EDPB дават допълнителни обяснения за как тези членове се прилагат на практика, и Управата за защита на личните данни предлага на своята собствена страница за нарушения на данните холандското обяснение на еднакви правила.