Засегнахме се от ransomware — това е автоматично нарушение на данни?

Ransomware обикновено е нарушение на данни, но не автоматично

Нападение с ransomware обикновено е нарушение на данни в смисъла на GDPR, но връзката между "пострадал от ransomware" и "следователно да докладам" не е автоматична. Член 4 от GDPR определя нарушението като всяко унищожаване, загуба, изменение или неоторизирано разкриване на лични данни. При ransomware файловете се криптират или стават недостъпни, което попада под "загуба на достъпност" — дори и ако данните не са били разгледани или копирани. Това означава, че определението за нарушение обикновено е изпълнено, което впрочем е нещо различно от въпроса какво точно е нарушението на данните означава за задължението за докладване в конкретния случай.

Дали в тези криптирани файлове има лични данни и дали действително има риск за хората, чиито данни се намират там, остава отделен въпрос. Нападение с ransomware на сървър без лични данни не е нарушение на данни в смисъла на GDPR. Атака, при която данните са засегнати, но има добре работещ backup и бързо възстановяване е възможно, може да представлява по-нисък риск от атака, при която данните също са отхвърлени (двойна разправа). Тази оценка на риска определя впоследствие кога нарушение на данните трябва да бъде докладувано на Управата за защита на личните данни, и дали заинтересованите лица трябва да узнаят нещо.

На какво се основава това

Определението за нарушение в член 4 от GDPR е начална точка; член 33 от GDPR регулира докладването до органа по надзор, когато възникне нарушение, и член 32 от GDPR се отнася до въпроса дали защитата е била в ред преди нападението. Указанията на EDPB изработват изрично примери с ransomware, включително разграничението между криптиране без exfiltration и атаки, при които данните са също откраднати. Задължението да се преценява нарушението и да се докладва, ако е необходимо, важи в целия ЕС по един и същ начин, тъй като GDPR действа директно; кой орган по надзор получава докладването, варира по членови държави — в Нидерландия е това Данни защита Служба, в други страни органът по надзор на тази член държава. Когато IT доставчик или хостинг партньор е засегнат от ransomware, възникват и въпросът дали докладване от доставчик също активира отделно задължение за докладване.