zahvatili smo nas ransomware je li to automatski povrada podataka

Ransomware je obično kršenje podataka, ali ne automatski

Napad ransomwarom je obično kršenje podataka u smislu GDPR-a, ali veza između "zahvaćeni ransomwarom" i "dakle prijaviti" ne slijedi automatski. Članak 4 GDPR-a definiše kršenje kao svako uništavanje, gubitak, izmenu ili neovlašćeno otkrivanje ostalih podataka. Kod ransomwarea datoteke se šifriraju ili postaju nedostupne, što spada pod "gubitak dostupnosti" — čak i ako podaci nisu pregledani ili kopirani. Time je definicija kršenja obično ispunjena, što je inače nešto drugo od pitanja što je podatkovni incident zapravo što znači za obaveza prijave u konkretnom slučaju.

Da li su osalni podaci bili u tim šifriranim datotekama i da li postoji zaista rizik za ljude čiji su podaci u pitanju ostaje odvojeno pitanje. Napad ransomwarom na server bez ličnih podataka nije kršenje u smislu GDPR-a. Napad pri kojem su podaci zaista zahvaćeni, ali postoji dobro funkcionalna rezervna kopija i brz oporavak je moguć, može rezultirati nižim rizikom od napada pri kojem su podaci i ekstrahirani (dvostruka ucjena). Ta procjena rizika zatim određuje kada je potrebno prijaviti kršenje podataka Autornosti za zaštitu podataka, i da li i sami zahvaćeni trebaju nešto čuti.

Na čemu se ovo temelji

Definicija kršenja u članu 4 GDPR-a je početna točka; članak 33 GDPR-a regulira prijavu regulatornom tijelu čim se kršenje pojavi, a članak 32 GDPR-a dopire do pitanja je li zaštita bila u redu prije nego što se napad dogodio. Smjernice EDPB-a izričito razvijaju primjere s ransomwarom, uključujući razliku između šifriranja bez eksfiltracije i napada u kojima su podaci i ukradeni. Obaveza procjene kršenja i eventualne prijave vrijedi u cijeloj EU na isti način jer GDPR izravno djeluje; koji regulatorno tijelo prima prijavu razlikuje se po državi članici — u Nizozemskoj je to Autoriteit Persoonsgegevens, u drugim zemljama regulatorno tijelo te zemlje članice. Kada je IT-dobavljač ili hosting partner zahvaćen ransomwarom, pojavljuje se dodatno pitanje da li prijava dobavljača također aktivira vlastitu obavezu prijave.