загубих USB stick с данни на клиентите — това ли е нарушение на данните

Загубена USB флашка обикновено е нарушение на данните

USB флашка с клиентски данни, която е загубена, в повечето случаи представлява нарушение на данните в смисъла на GDPR. Определението в член 4 на GDPR говори за нарушение на сигурността, което води до загуба на личните данни, и това е точно това, което се случва, когато флашка с имена, адреси или други клиентски данни не може да бъде намерена: данните не са унищожени, но са извън контрола на предприятието. Дали попадат и в неправилни ръце, не е същината на въпроса — загубата на контрол вече е достатъчна, за да попаднат под определението.

Какво се случва след това, зависи от това какво е било на флашката и как е била защитена. Криптирана флашка с ограничен набор от данни представя различна картина от незащитена флашка с много клиентски данни или чувствителна информация. Това разграничение е релевантно за въпроса кога трябва да докладвам нарушение на данните на органа по защита на даннитеи също така за въпроса дали самите клиенти трябва да узнаят нещо — този въпрос е описан на страницата относно трябва ли да информирам засегнатите лица при нарушение на данните. За разграничението между инцидент и нарушение на данните в по-широк смисъл, страницата какво точно е нарушението на данните е логична отправна точка.

На какво се основава това

Определението на нарушението е в член 4 на GDPR, а член 33 на GDPR регулира докладването на надзорния орган при спазване на условията за това. Органът по защита на данните развива това по-нататък на своята страница относно докладването на нарушения на данните, а EDPB е публикувала насоки с примери на видове нарушения на данните, включително загуба на носители на данни. Задължението за докладване се прилага навсякъде в ЕС съгласно регламента, но местото, където се докладва, се различава по страни: в Нидерландия е органът по защита на данните, в други държави-членки — надзорният орган, определен там.