byli jsme postiženi ransomwarem – jde automaticky o porušení bezpečnosti údajů

Ransomware je obvykle únikem dat, ale ne automaticky

Útok ransomwarem je obvykle únikem dat ve smyslu GDPR, ale vazba mezi "postižením ransomwarem" a "tedy hlášením" neexistuje automaticky. Článek 4 GDPR definuje porušení jako jakékoli zničení, ztrátu, změnu nebo neoprávněné zpřístupnění osobních údajů. Při ransomwaru jsou soubory zašifrovány nebo nedostupné, což spadá pod "ztrátu dostupnosti" — i když údaje nebyly zobrazeny nebo kopírovány. Tím je definice porušení obvykle splněna, což je mimochodem něco jiného než otázka co je přesně únik dat znamená pro povinnost hlášení v konkrétním případě.

Zda se u těchto šifrovaných souborů nacházela osobní data a zda skutečně existuje riziko pro osoby, jejichž data se týkají, zůstává samostatnou otázkou. Útok ransomware na server bez osobních dat není porušením ochrany dat podle GDPR. Útok, kdy jsou data zasažena, ale existuje funkční zálohování a je možné rychlé obnovení, může představovat nižší riziko než útok, kdy byla data také odcizena (dvojitá vydírání). Toto posouzení rizika následně určuje kdy musí být porušení zabezpečení hlášeno Úřadu pro ochranu osobních údajůa zda se o tom musí dozvědět také samotné osoby, kterých se to týká.

Na čem je to založeno

Definice porušení v článku 4 GDPR je výchozím bodem; článek 33 GDPR upravuje oznamování dohledu jakmile k porušení dojde, a článek 32 GDPR se týká otázky, zda byla bezpečnost v pořádku předtím, než k útoku došlo. Pokyny EDPB konkrétně vypracovávají příklady s ransomwarem, včetně rozlišení mezi šifrováním bez exfiltraci a útoky, při kterých byla data také ukradena. Povinnost zhodnotit porušení a případně jej nahlásit platí v celé EU stejným způsobem, protože GDPR působí přímo; které autoritas dohledu oznámení obdrží, se liší podle členského státu — v Nizozemsku to je Úřad pro ochranu osobních údajů, v ostatních zemích příslušná autoritas tohoto členského státu. Pokud byl poskytovatel IT služeb nebo hostingový partner ransomwarem zasažen, navíc vyvstává otázka zda oznámení od poskytovatele služeb také vyvolá vlastní povinnost hlášení.