Czym dokładnie jest naruszenie bezpieczeństwa danych?

Naruszenie danych to każde naruszenie bezpieczeństwa, w wyniku którego dane osobowe zostały ujawnione, utracone lub zmienione

Naruszenie danych to, krótko mówiąc, zdarzenie, w wyniku którego dane osobowe nie są już bezpieczne: zostały utracone, dostały się w niewłaściwe ręce lub zostały zmienione bądź zniszczone bez zgody. Nie chodzi więc tylko o włamania. Wiadomość e-mail wysłana na niewłaściwy adres z załącznikiem zawierającym bazę klientów, skradziony laptop bez szyfrowania, pendrive znaleziony na ulicy, atak phishingowy, w wyniku którego ujawniono dane logowania, lub błąd systemu powodujący nieumyślne ujawnienie danych — wszystko to spada pod tę samą definicję, o ile zaangażowane są dane osobowe.

W praktyce rozróżnia się trzy rodzaje naruszeń: naruszenie dostępności (dane są utracone lub niedostępne, na przykład w wyniku ataku ransomware'u lub uszkodzenia kopii zapasowej), naruszenie integralności (dane zostały niechcący zmienione) i naruszenie poufności (dane zostały przeglądnięte lub udostępnione przez osobę, która nie powinna tego robić). Jedno zdarzenie może jednocześnie podlegać wielu tym kategoriom. To, czy zdarzenie jest naruszeniem danych, jest niezależne od pytania, czy należy je zgłosić — to ostatnie zależy od ryzyka, któremu w wyniku tego narażeni są osoby, których dane dotyczą, i stanowi odrębny etap następujący po stwierdzeniu naruszenia.

Skąd to wynika: artykuł 4 RODO

Definicja naruszenia danych pochodzi bezpośrednio z artykułu 4 RODO, gdzie "naruszenie bezpieczeństwa danych osobowych" jest opisane jako naruszenie bezpieczeństwa prowadzące niezamierzenie lub w wyniku bezprawnego działania do zniszczenia, utraty, zmiany, nieuprawionego ujawnienia lub dostępu do przesyłanych, przechowywanych lub w inny sposób przetwarzanych danych. Definicja ta obowiązuje bezpośrednio w każdym państwie członkowskim, bez zmian krajowych. Urząd Ochrony Danych Osobowych rozwinął tę definicję na swojej stronie dotyczącej naruszeń danych poprzez podział na naruszenia dostępności, integralności i poufności, a także poprzez przykłady z praktyki.