am fost afectat de ransomware este aceasta automat o încălcare a datelor

Ransomware este de obicei o încălcare, dar nu automat

Un atac de ransomware este de obicei o încălcare în sensul RGPD, dar legătura dintre "afectat de ransomware" și "prin urmare notificare" nu merge automat. Articolul 4 RGPD defineşte o încălcare ca orice distrugere, pierdere, modificare sau divulgare neautorizată a datelor cu caracter personal. În cazul ransomware, fişierele sunt criptate sau deveniți inaccesibile, iar aceasta se încadrează în "pierderea disponibilității" — chiar dacă datele nu au fost vizualizate sau copiate. Cu aceasta este de obicei satisfăcută definiția unei încălcări, ceea ce este, de altfel, ceva diferit de întrebarea ce este exact o încălcare a datelor ce înseamnă pentru obligația de notificare într-o situație concretă.

Dacă datele cu caracter personal se aflau în acele fişiere criptate și dacă există într-adevăr risc pentru persoanele ale căror date sunt în cauză, rămâne o întrebare separată. Un atac de ransomware pe un server fără date cu caracter personal nu este o încălcare în sensul RGPD. Un atac în care datele au fost afectate, dar există o copie de rezervă funcțională și recuperarea rapidă este posibilă, poate implica un risc mai mic decât un atac în care datele au fost și furate (extorcare dublă). Acea evaluare a riscului determină apoi când o încălcare a securității datelor trebuie raportată către Autoritatea pentru Protecția Datelor, și dacă persoanele interesate trebuie să fie și ele informate.

Pe ce se bazează aceasta

Definiția unei încălcări din articolul 4 RGPD este punctul de plecare; articolul 33 RGPD reglementează notificarea autorității de supraveghere de îndată ce apare o încălcare, iar articolul 32 RGPD abordează întrebarea dacă securitatea era asigurată înainte ca atacul să aibă loc. Orientările EDPB elaborează în mod explicit exemple cu ransomware, inclusiv distincția dintre criptare fără exfiltrare și atacuri în care datele au fost și furate. Obligația de a evalua o încălcare și de a o notifica dacă este cazul se aplică în întreaga UE în același mod, deoarece RGPD se aplică direct; autoritatea de supraveghere care primește notificarea variază în funcție de statul membru — în Țările de Jos este Autoritatea pentru protecția datelor, în alte țări este autoritatea de supraveghere a acelui stat membru. Atunci când un furnizor de IT sau o parte responsabilă de găzduire este afectată de ransomware, se pune și întrebarea dacă o notificare de la un furnizor declanşează și o obligație de notificare proprie.