üzleti postafiókjaimat feltörték — be kell-e jelentenem

Egy feltört postafiók általában adatsértés, a bejelentés a következménytől függ

Egy feltört üzleti postafiók az esetek túlnyomó többségében a GDPR szerinti adatsértésnek minősül: jogosulatlan hozzáférés történt a személyes adatokhoz, és ez a hozzáférés szinte mindig azonnal létrejön, amint valaki kívülről bejelentkezik egy ügyfél- vagy kapcsolattartási adatokat tartalmazó fiókba. Ezzel tehát megállapított, hogy létrejött valami, ami az mi is pontosan az adatsértés? definíciójára vonatkozik. Ez azonban nem azonos automatikusan a felügyeleti hatóságnak való bejelentési kötelezettséggel.

Az, hogy szükséges-e a felügyeleti hatóságnak való bejelentés, az adatsértés által az e-mail postafiókban szereplő személyekre jelentett kockázattól függ — gondoljon a címadatokat tartalmazó számlákra, személyazonosító számot tartalmazó ajánlatokra vagy bizalmas tartalmú levelezésre. Az csak üzleti kapcsolattartási adatokat tartalmazó postafiók más kockázatot jelent, mint egy ügyfél-dossziékat vagy orvosi levelezést tartalmazó postafiók. Ez az értékelés és a kapcsolódó lépések a Mikor kell adatsértést bejelenteni a Személyadat-védelmi Hatóságnak?oldalon érhetők el. A felügyeleti hatóságnak való bejelentésen túl az is kérdés, hogy az érintetteknek maguknak kell-e megtudniuk valamit, amit egy külön értékelési keret szabályoz.

Jogalap az GDPR-ban: az adatsértés és a bejelentési kötelezettség meghatározása

Az alapja a GDPR 4. cikke, amely a személyes adatok biztonsági megsértését olyan hozzáféréseként, valamint olyan adatok elvesztéséként, megváltoztatásaként vagy megsemmisítéseként határozza meg, amely nem lett volna szabad, hogy megtörténjen — olyan leírás, amelyre a feltört postafiók általában vonatkozik. A GDPR 33. cikke ehhez a feltételhez köti a felügyeleti hatóságnak való bejelentési kötelezettséget: a bejelentési kötelezettség akkor áll fenn, ha az adatsértés kockázatot jelent az érintett jogai és szabadságai számára, azzal a kivétellel, ha ez a kockázat valószínűleg nincs jelen. Az EDPB iránymutatásai tovább fejtik ki ezt a kockázat-fogalmat, és a Személyadat-védelmi Hatóság adatsértésekről szóló oldalán gyakorlati útmutatót nyújt ennek az értékelésnek. Mi egyenlő az egész EU-ban: a verordényből származó meghatározás és kockázati teszt. Az, ami országonként eltér, az a felügyeleti hatóság, ahová a bejelentés érkezik — Hollandiában a Személyadat-védelmi Hatóság, más tagállamokban az adott ország felügyeleti hatósága.