mano verslo el. pašto dėžutė buvo nulaužta — ar turiu tai pranešti

Įsilaužta pašto dėžutė dažniausiai yra duomenų saugos pažeidimas, pranešimas priklauso nuo pasekmių

Įsilaužta verslo pašto dėžutė daugeliu atvejų yra pažeidimas Reglamento (EU) 2016/679 prasme: yra neteisėtas prieigimas prie asmeninių duomenų, ir toks prieigimas beveik visada atsiranda, kai kas nors iš išorės prisijungia prie paskyros, kurioje yra kliento arba kontaktiniai duomenys. Taip patvirtinama, kad įvyko kas nors, kas atitinka apibrėžtį kas tiksliai yra duomenų saugos pažeidimas? Tačiau tai automatiškai nėra tas pats kaip pranešimo pareiga priežiūros institucijai.

Ar pranešimas priežiūros institucijai yra būtinas, priklauso nuo rizikos, kurią sukelia pažeidimas asmenims, kurių duomenys buvo toje pašto dėžutėje — pagalvokite apie sąskaitas su adreso duomenimis, pasiūlymus su asmens kodais arba susirašinėjimą su jautria turinį. Pašto dėžutė, kurioje yra tik verslo partnerių kontaktiniai duomenys, kelia kitą riziką nei pašto dėžutė, pilna kliento failų arba medicininės korespondenso. Šis vertinimas ir susijusios priemonės yra išsamiai aprašytos puslapyje apie kada turiu pranešti apie duomenų saugos pažeidimą Duomenų apsaugos institucijai?Be pranešimo priežiūros institucijai, taip pat kyla klausimas, ar suinteresuotieji asmenys turėtų ką nors sužinoti, o tai turi atskirą vertinimo pagrindą.

Pagrindas Reglamentą (EU) 2016/679: pažeidimo apibrėžimas ir pranešimo pareiga

Pagrindas yra Reglamento (EU) 2016/679 4 straipsnis, kuriame asmeninių duomenų saugumo pažeidimas apibrėžiamas kaip prieiga prie duomenų arba jų praradimas, pakeitimas ar sunaikinimas, dėl kurio nebuvo galima — aprašymas, kuriam įsilaužta pašto dėžutė paprastai atitinka. Reglamento (EU) 2016/679 33 straipsnis prie to prideda pranešimo priežiūros institucijai sąlygą: pranešimo pareiga galioja, kai pažeidimas sukelia riziką suinteresuotiesiems asmenims priklausantiems teisėms ir laisvėms, išskyrus atvejus, kai ta rizika pagrįstai laikoma nesanti. EDPB gairės toliau plėtoja šią rizikos sampratą, o Duomenų apsaugos institucija savo duomenų saugos pažeidimų puslapyje pateikia praktinę tą vertinimą padėsiančią gairę. Kas visoje ES yra vienoda: apibrėžimas ir rizikos testas iš reglamento. Kas skiriasi pagal šalį: priežiūros institucija, kuriai turi būti pranešta — Nyderlanduose tai Duomenų apsaugos institucija, kitose valstybėse narėse — tos šalies priežiūros institucija.