mus atakavo šantažinė programa — ar tai automatiškai yra duomenų pažeidimas

Šifrinis kaitra yra paprastai duomenų saugumas, bet ne automatiškai

Šifrinės kaItro ataka paprastai yra duomenų saugumo pažeidimas AVG prasme, bet ryšys tarp "paveikto šifrine kaitra" ir "todėl praneš" nevyksta automatiškai. AVG 4 straipsnis apibrėžia pažeidimą kaip bet kokį asmeninių duomenų sunaikinimą, praradimą, pakeitimą ar neteisėtą atskleidimą. Šifrinio kaItro atakose failai yra šifruojami arba nepasiekiami, ir tai patenka po "prieinamumo praradimu" — net jei duomenys nebuvo žiūrimi ar kopijuoti. Tuo būdu paprastai tenkinamas pažeidimo apibrėžimas, nors tai yra kažkas kito nei klausimas kas tiksliai yra duomenų saugumo pažeidimas reiškia pranešimo pareigą konkrečiame atveju.

Ar šiuose šifruotuose failuose yra asmeninių duomenų, ir ar iš tikrųjų yra rizika žmonėms, kurių duomenys liečiami, lieka atskiru klausimu. Šifrinė ataka serveryje be asmeninių duomenų nėra AVG prasme duomenų saugumo pažeidimas. Ataka, kurioje duomenys iš tikrųjų buvo paveikti, bet yra gerai veikianti atsarginė kopija ir greitai galimas atkūrimas, gali sukelti mažesnę riziką nei ataka, kurioje duomenys taip pat buvo išvogti (dviguba šantažo ataka). Ši rizikos vertinimas vėliau nustato kada duomenų saugumo pažeidimas turi būti praneštas Duomenų apsaugos valdybai, ir ar patys dalykai turėtų kažką išgirsti.

Kuo tai yra paremta

AVG 4 straipsnio pažeidimo apibrėžimas yra atskaitos taškas; AVG 33 straipsnis reguliuoja pranešimą priežiūros organui kai tik kyla pažeidimas, o AVG 32 straipsnis liečia klausimą, ar sauga buvo tvarkoje prieš ataką. EDPB gairės aiškiai nustato pavyzdžius su šifrine kaitra, įskaitant skirtumą tarp šifravimo be duomenų ištraukimo ir atakų, kuriose duomenys taip pat buvo pavogti. Pareiga įvertinti pažeidimą ir gebendrais pranešti galioja visoje ES vienodai, nes AVG veikia tiesiogiai; kuris priežiūros organas gauna pranešimą, skiriasi pagal valstybę narę — Nyderlanduose tai yra Asmeninių duomenų institucija, kitose šalyse — tos valstybės narės priežiūros organas. Kai šifrine kaitra yra paveiktas IT tiekėjas arba apsaugos partneris, iškyla klausimas ar pranešimas iš tiekėjo taip pat sukelia nuosavą pranešimo pareigą.