ransomware támadás ért minket — az automatikusan adatvédelmi incidens

A ransomware-támadás általában adatbiztonságot érintő incidens, de nem automatikusan

A ransomware-támadás általában adatbiztonságot érintő incidens az GDPR értelmében, de a "ransomware-támadás által érintett" és a "tehát bejelentendő" közötti kapcsolat nem automatikus. A GDPR 4. cikke az incidenst a személyes adatok bármilyen megsemmisítésének, elvesztésének, módosításának vagy jogosulatlan közlésének határozza meg. A ransomware esetében a fájlok titkosítása vagy elérhetetlenné válása következik be, amely az "elérhetőség elvesztése" alá esik — akkor is, ha az adatokat nem tekintették meg vagy nem másolták. Ezzel általában teljesül az incidens definíciója, amely azonban más kérdés, mint az mit jelent pontosan egy adatvédelmi incidens az adatvédelmi incidens bejelentési kötelezettsége egy konkrét eset során jelent.

Az, hogy az adott titkosított fájlokban személyes adatok voltak-e, és hogy valóban fennáll-e kockázat az érintett személyek számára, külön kérdés marad. Egy ransomware-támadás egy személyes adatokat nem tartalmazó szerverre nem jelent GDPR szerinti adatbiztonságot érintő incidenst. Egy olyan támadás, ahol az adatok érintett voltak, de létezik megfelelően működő biztonsági mentés, és gyors helyreállítás lehetséges, alacsonyabb kockázatot jelenthet, mint egy támadás, ahol az adatokat is ellopták (kettős zsarolás). Ez a kockázatbecslés határozza meg ezt követően az az oldalon, hogy amikor egy adatvédelmi incidenst be kell jelenteni az Autoriteit Persoonsgegevens-nekés azt, hogy az érintett személyeknek maguknak is hallaniuk kell-e valamit.

Ennek alapja

Az incidens definíciója a GDPR 4. cikkében a kiindulópont; a GDPR 33. cikke az incidensnek a felügyeleti hatóságnak való bejelentését szabályozza, és a GDPR 32. cikke az azt a kérdést érinti, hogy a biztonsági intézkedések rendben voltak-e a támadás előtt. Az EDPB iránymutatásai kifejezetten ransomware-példákat dolgoznak ki, beleértve a titkosítás nélküli exfiltrációval és az adatok ellopásával járó támadások közötti különbségtételt. Az incidens értékelésének és szükség esetén bejelentésének kötelezettsége az egész EU-ban ugyanúgy érvényes, mivel a GDPR közvetlenül alkalmazandó; mely felügyeleti hatóság fogadja a bejelentést, tagállatonként eltérő — Hollandiában ez a Személyes Adatok Hatósága, más országokban az adott tagállam felügyeleti hatósága. Ha egy IT-szolgáltató vagy tárhelyszolgáltató a ransomware által érintett, további kérdés merül fel: hogy egy szolgáltatótó bejelentés saját bejelentési kötelezettséget hoz-e létre.