căsuța mea de e-mail de afaceri a fost hacuită trebuie să raportez asta

O cutie de e-mail hacuită este de obicei o încălcare a datelor, iar raportarea depinde de consecințe

O cutie de e-mail comercială hacuită constituie în cele mai multe cazuri o încălcare în sensul RGPD: există acces neautorizat la date cu caracter personal, iar acest acces apare aproape întotdeauna imediat ce cineva din afară se conectează la un cont care conține date despre clienți sau contacte. Prin urmare, se stabilește cu certitudine că a avut loc ceva ce se încadrează sub definiția din ce este exact o încălcare a datelor? . Cu toate acestea, aceasta nu echivalează automat cu o obligație de raportare către autoritatea de supraveghere.

Dacă raportarea către autoritatea de supraveghere este necesară depinde de riscul pe care îl prezintă încălcarea pentru persoanele ale căror date se aflau în acea cutie de e-mail — gândiți-vă la facturi cu date de adresă, oferte cu CNP-uri, sau corespondență cu conținut sensibil. O cutie de e-mail cu doar date de contact comerciale ale companiilor colege prezintă un risc diferit decât o cutie de e-mail plină cu dosare de clienți sau corespondență medicală. Această evaluare și pașii care o însoțesc sunt detaliate pe pagina cu privire la când trebuie să raportez o încălcare a datelor Autorității Naționale de Supraveghere pentru Prelucrarea Datelor cu Caracter Personal?. În afară de raportarea către autoritatea de supraveghere, se pune și întrebarea dacă persoanele vizate trebuie să fie informate, ceea ce are un cadru de evaluare separat.

Temei în RGPD: definiția încălcării și obligația de raportare

Baza se află în articolul 4 al RGPD, care defineşte încălcarea securităţii datelor cu caracter personal ca acces la, sau pierdere, modificare sau ştergere de date care nu ar fi trebuit să se întâmple — o definiție sub care se încadrează de obicei o cutie de e-mail hacuită. Articolul 33 al RGPD leagă de aceasta condiția pentru raportarea către autoritatea de supraveghere: obligația de raportare se aplică atunci când încălcarea prezintă un risc pentru drepturile și libertățile persoanelor vizate, cu o excepție dacă acel risc este în mod rezonabil absent. Liniile directoare ale EDPB dezvoltă în continuare acest concept de risc, iar Autoritatea Națională de Supraveghere pentru Prelucrarea Datelor cu Caracter Personal oferă pe pagina sa dedicată încălcărilor de date un ghid practic pentru această evaluare. Ceea ce este egal în întreaga UE: definiția și testul de risc din regulament. Ceea ce diferă de la o țară la alta este autoritatea de supraveghere cărei îi este transmis raportul — în Olanda Autoritatea Națională de Supraveghere pentru Prelucrarea Datelor cu Caracter Personal, în alte state membre autoritatea de supraveghere din acea țară.