czy atak ransomware to automatycznie naruszenie bezpieczeństwa danych

Ransomware to zwykle naruszenie bezpieczeństwa danych, ale nie automatycznie

Atak ransomware'u to zwykle naruszenie bezpieczeństwa danych w rozumieniu RODO, ale związek pomiędzy "padnięciem ofiarą ransomware'u" a "należy zatem powiadomić" nie wynika automatycznie. Artykuł 4 RODO definiuje naruszenie jako zniszczenie, utratę, modyfikację lub nieuprawnioną ujawnienie danych osobowych. W przypadku ransomware'u pliki są szyfrowane lub stają się niedostępne, co mieści się w "utracie dostępności" — nawet jeśli dane nie zostały przeglądnięte ani skopiowane. To zwykle spełnia definicję naruszenia, co oczywiście jest czymś innym niż pytanie czym dokładnie jest naruszenie danych oznacza dla obowiązku powiadomienia w konkretnym przypadku.

To, czy dane osobowe znajdowały się w tych zaszyfrowanych plikach, i czy rzeczywiście istnieje ryzyko dla osób, których dane dotyczą, pozostaje osobnym pytaniem. Atak ransomware'u na serwer bez danych osobowych nie stanowi naruszenia bezpieczeństwa danych w rozumieniu RODO. Atak, w którym dane zostały rzeczywiście dotknięte, ale istnieje sprawnie działająca kopia zapasowa i możliwe jest szybkie przywrócenie, może stwarzać mniejsze ryzyko niż atak, w którym dane również zostały wyniesione (podwójna ekstorsja). Ta ocena ryzyka określa następnie kiedy naruszenie ochrony danych musi być zgłoszone Urzędowi Ochrony Danych Osobowych, i czy również osoby, których dane dotyczą, muszą coś wiedzieć.

Na czym to się opiera

Definicja naruszenia w artykule 4 RODO jest punktem wyjścia; artykuł 33 RODO reguluje powiadomienie organowi nadzoru, gdy dojdzie do naruszenia, a artykuł 32 RODO odnosi się do pytania, czy bezpieczeństwo było prawidłowe przed atakiem. Wytyczne EUWG wyraźnie opracowują przykłady obejmujące ransomware, w tym rozróżnienie między szyfrowaniem bez eksfiltracji a atakami, w których dane również zostały skradzione. Obowiązek oceny naruszenia i ewentualnego powiadomienia obowiązuje w całej UE w ten sam sposób, ponieważ RODO ma bezpośrednie zastosowanie; organ nadzoru, który otrzymuje powiadomienie, różni się w zależności od państwa członkowskiego — w Holandii jest to Urząd Ochrony Danych Osobowych, w innych krajach organ nadzoru danego państwa członkowskiego. Gdy dostawca IT lub partner hostingowy padnie ofiarą ransomware'u, pojawia się również pytanie czy powiadomienie od dostawcy prowokuje również niezależny obowiązek powiadomienia.