mūs skāra programmatūra, kas šifrē datus, vai tā automātiski ir datu pārkāpums

Programmatūra, kas ļaunprātīgi šifrē datus, parasti ir datu noplūde, bet ne automātiski

Uzbrukums ar ļaunprātīgu datu šifrēšanas programmatūru parasti ir datu noplūde VDAR izpratnē, taču saikne starp "skarti ar ļaunprātīgu programmatūru" un "tātad jāziņo" nav automātiska. VDAR 4. pants datu noplūdi definē kā jebkuru datu iznīcināšanu, zaudēšanu, izmaiņu vai neatļautu izpaušanu. Ļaunprātīgas programmatūras gadījumā faili tiek šifrēti vai padarīti nepieejami, kas ietilpst "pieejamības zudumā" — pat ja dati nav skatīti vai nokopēti. Tādējādi lielākajā daļā gadījumu ir izpildīta datu noplūdes definīcija, kas savukārt atšķiras no jautājuma kas tieši ir datu noplūde kas nozīmē ziņošanas pienākumam konkrētā gadījumā.

Tas, vai šifrētos failos atradās personas dati un vai patiešām pastāv risks personām, kuru dati ir iesaistīti, paliek atsevišķs jautājums. Ļaunprātīga uzbrukuma programmatūra serverim bez personas datiem nav datu noplūde VDAR izpratnē. Uzbrukums, kurā dati tiešām ir skārti, taču pastāv labi funkcionējoša rezerve un ātrs atjaunošana ir iespējama, var radīt mazāku risku nekā uzbrukums, kurā dati arī ir nozagti (dubultā izspiešana). Šis risku novērtējums pēc tam nosaka kad datu pārkāpums ir jāpaziņo Datu valsts inspekcijaiun vai paši cilvēki, kuru dati ir iesaistīti, arī kaut ko jāuzzina.

Uz ko tas ir balstīts

Datu noplūdes definīcija VDAR 4. pantā ir sākumpunkts; VDAR 33. pants regulē ziņošanu uzraudzības iestādei, tiklīdz rodas datu noplūde, un VDAR 32. pants skar jautājumu, vai drošiba bija kārtībā pirms uzbrukuma. EDPB pamatnostājas tieši izstrādā piemērus ar ļaunprātīgu programmatūru, tostarp atšķirību starp šifrēšanu bez datu nozagšanas un uzbrukumiem, kuros dati arī ir nozagti. Pienākums novērtēt datu noplūdi un iespējams ziņot par to ir spēkā visā ES vienādi, jo VDAR tieši darbojas; tas, kurā uzraudzības iestāde saņem ziņojumu, atšķiras atkarībā no dalībvalsts — Nīderlandē tā ir Datu aizsardzības iestāde, citos países — attiecīgās dalībvalsts uzraudzības iestāde. Gadījumā, kad IT pakalpojumu sniedzēju vai mitināšanas pakalpojuma sniedzēju ir skāris ļaunprātīga programmatūra, rodas arī jautājums vai sniedzēja ziņojums arī atsaucina neatkarīgu ziņošanas pienākumu.