Kada turiu pranešti apie duomenų saugos pažeidimą Duomenų apsaugos inspekcijai?

Pranešimas yra pagrindinis taisyklė, nebent rizika būtų mažai tikėtina

Duomenų saugumo pažeidimą pranešite priežiūros institucijai, kai tikėtina, kad pažeidimas kelia riziką asmenų, kurių duomenys buvo paveikti, teisėms ir laisvėms. Tai yra BDAR 33 straipsnio esmė: pranešimas yra pradinis principas, o tik tada, kai pagrįstai galima manyti, kad rizika nekils, tas pranešimas lieka pateiktas. Praktikoje tai reiškia, kad dauguma duomenų saugumo pažeidimų — klaidingai išsiųstas el. laiškas su kliento duomenimis, pavogtas nešiojamasis kompiuteris, sulaužyta duomenų bazė — patenka į pranešimo pareigą, o pažeidimas, kuris akivaizdžiai niekaip negali nieks paveikti (pavyzdžiui, nes duomenys buvo šifruoti ir šifro raktas nebuvo iš leista), gali likti išimtas.

Dėl tos įvertinimo atliekate analizę dėl to, kas tiksliai įvyko, kokie duomenys yra dalyje ir kas jais gali būti paveiktas. Specialiosios kategorijos duomenys, finansiniai duomenys arba vaikų duomenys turi didesnę reikšmę nei vienas el. pašto adresas. 72 valandų laikmatis iš BDAR 33 straipsnio pradeda bėgti nuo momento, kai sužinote apie pažeidimą, ne nuo momento, kai jis atsirado — šie du momentai kartais yra skyryje kelias savaites. Sprendimų medis, kuris šią svertą žingsnis po žingsnio atliko, niekada nėra pakeitimas jūsų nuodugniam sprendimui dėl konkretaus pažeidimo, tačiau jis padeda struktūruotai atsakyti į klausimą "ar pareiga pranešti, ar ne".

Iš kurio BDAR 33 straipsnio ir EDPB gairių tai išplaukia

Pati pranešimo pareiga yra nustatyta BDAR 33 straipsnyje; sąvokų, tokių kaip "rizika" ir "neatidėliotinai", interpretacija kyla iš EDPB gairių dėl duomenų saugumo pažeidimų pranešimų, o Tarybos Duomenų apsaugos tarnybos tai paaiškina Lietuvos praktikai. BDAR tiesiogiai galioja kiekvienoje valstybėje narėje, tačiau tai, kokiai institucijai pranešate, skiriasi: Lietuvoje tai yra Valstybinė duomenų apsaugos inspekcija, vienintelė priežiūros institucija visai šaliai. Vokietijoje pranešate priežiūros institucijai tos federalinės žemės, kurioje yra jūsų padalinys, nes ten šešiolika federalinių žemių priežiūros institucijų veikia šalia federalinės priežiūros institucijos.