Co přesně je porušení ochrany údajů?

Únik dat je jakýkoliv bezpečnostní incident, při kterém dojde k vystavení, ztrátě nebo změně osobních údajů

Únik dat je ve zkratce jakákoliv událost, při které již nejsou osobní údaje bezpečné: jsou ztracené, dostaly se do nesprávných rukou, nebo byly bez souhlasu změněny nebo zničeny. Nejde tedy pouze o hackerské útoky. Nesprávně adresovaný e-mail s databází zákazníků v příloze, ukradený notebook bez šifrování, USB flash disk ležící na ulici, phishingový útok, při kterém jsou vycizeny přihlašovací údaje, nebo systémová chyba, která způsobí nežádoucí zpřístupnění dat — vše spadá pod stejnou definici, jakmile jde o osobní údaje.

V praxi se rozlišují tři druhy bezpečnostních incidentů: incident týkající se dostupnosti (údaje jsou ztracené nebo nedostupné, například v důsledku ransomwaru nebo nefunkční zálohy), incident týkající se integrity (údaje jsou nežádoucím způsobem změněny) a incident týkající se důvěrnosti (údaje byly zobrazeny nebo sdíleny osobou, která k tomu neměla oprávnění). Jeden incident se může týkat více druhů najednou. To, zda je daná událost únikem dat, je nezávislé na otázce, zda musí být ohlášena — to závisí na riziku, kterému jsou dotčené osoby vystaveny, a jedná se o samostatný krok, který následuje po zjištění úniku.

Zdroj: článek 4 GDPR

Definice úniku dat vychází přímo z článku 4 GDPR, kde se bezpečnostní incident týkající se osobních údajů popisuje jako incident na bezpečnosti, který náhodně nebo protiprávně vede ke zničení, ztrátě, změně nebo neoprávněnému sdělení nebo přístupu k údajům, které jsou přenášeny, ukládány nebo jsou jinak zpracovávány. Tato definice se přímo uplatňuje v každém členském státě bez národních variací. Úřad pro ochranu osobních údajů tuto definici na své stránce o únicích dat rozšiřuje dělením na incidenty týkající se dostupnosti, integrity a důvěrnosti, včetně praktických příkladů.