ħna ttaffajna minn ransomware – hu automatikament break ta' data

Ir-ransomware normalment inhu breach ta' dejta, imma mhux awtomatikament

Attakk ta' ransomware normalment inhu breach ta' dejta skont ir-RGPD, imma il-link bejn "mistraba minn ransomware" u "allura nnotifika" ma jmurx awtomatikament. L-Artikolu 4 tar-RGPD jiddefinixxix inbreaker bħala kwalunkwe distruzzjoni, telf, modifika jew divulgazzjoni mhux awtorizzata ta' dejta personali. Fil-każ tar-ransomware, il-fajls huma enkrittati jew ma jkunux aċċessibbli, u dan jaqa' taħt "telf tal-availabilità" — anki jekk id-dejta ma tkun ġiet viżwalizzata jew kopjata. B'dan il-mod, id-definizzjoni ta' inbreaker normalment tissodisfa, li min-naħa tagħha inhu xi ħaġa differenti mill-mistoqsija what exactly is a data breach li tfisser għall-obbligu tal-notifika f'każ konkret.

Jekk il-fajls enkrittati hawnhekk inkludew dejta personali, u jekk hemm riskju attwali għall-persuni li d-dejta tagħhom tikkonċerna, jibqa' mistoqsija separata. Attakk ta' ransomware fuq server mingħajr dejta personali mhuwiex breach ta' dejta skont ir-RGPD. Attakk fejn id-dejta ġie tistraba, imma hemm backup li jaħdem tajjeb u ripristinu mhux ilu possibbli, jista' jipproduċi riskju aktar baxx minn attakk fejn id-dejta ġiet ukoll rubat (double extortion). Din l-evalwazzjoni tar-riskju tiddetermina mbagħad meta datalek irid jiġi rrappurtat lill-Awtorità tal-Persuni Legali, u jekk il-persuni stess li d-dejta tagħhom tikkonċerna jridu jigu nnotifikati.

Where this is based on

Id-definizzjoni ta' inbreaker fl-Artikolu 4 tar-RGPD hija l-punt tal-bidu; l-Artikolu 33 tar-RGPD jirregola n-notifika lill-awtorità tal-kontroll non appena jkun hemm inbreaker, u l-Artikolu 32 tar-RGPD jittratta l-mistoqsija jekk il-protezzjoni kienet għandha kont ordnata qabel l-attakk. Il-Linji Gwida tal-EDPB jaħdmu l-eżempji esplicitament bl-istess ransomware, inklużjoni tad-distinzjoni bejn enkrizzjoni mingħajr exfiltrazzjoni u attakki fejn id-dejta ġiet ukoll mistraba. L-obbligu li tevalwa inbreaker u eventwalment tinotifika ghalija fl-UE b'mod identiku, għaliex ir-RGPD jaħdem direttament; liema awtorità tal-kontroll tirċievi n-notifika jvarja skond l-istat membru — f'Malta hu Uffiċċju tal-Protezzjoni tad-Dejta Personali, f'pajjiżi oħra hu l-awtorità tal-kontroll ta' dak l-istat membru. Meta vendor ta' IT jew host partner tkun mistraba minn ransomware, il-mistoqsija jiġi arifa ukoll jekk notifika minn vendor tinduċi wkoll obbligu ta' notifika proprju.