Ce este exact o încălcare de date?

O breşă de date este orice încălcare în care datele cu caracter personal au fost expuse, pierdute sau modificate

O breşă de date este, pe scurt, un eveniment în care datele cu caracter personal nu mai sunt sigure: sunt pierdute, au ajuns în mâini greşite, sau au fost modificate sau distruse fără consimţământ. Nu este vorba doar despre hackeri. Un e-mail adresat greşit cu o bază de date de clienţi în anexă, un laptop furat fără criptare, o memorie USB găsită pe stradă, un atac de phishing prin care sunt furate datele de autentificare, sau o eroare de sistem care face ca datele să fie dezvăluite accidental — toate acestea se încadrează în aceeaşi definiţie, de îndată ce sunt implicate date cu caracter personal.

În practică, se face o distincţie între trei tipuri de încălcări: o încălcare a disponibilităţii (datele sunt pierdute sau inaccesibile, de exemplu din cauza unui atac de ransomware sau a unei copii de siguranţă defecte), o încălcare a integrităţii (datele au fost modificate fără autorizare) şi o încălcare a confidenţialităţii (datele au fost vizualizate sau partajate de cineva care nu ar fi trebuit să o facă). Un singur incident poate cădea sub mai multe dintre aceste tipuri simultan. Faptul că un eveniment este sau nu o breşă de date este separat de întrebarea dacă trebuie sau nu raportată — acesta din urmă depinde de riscul la care sunt expuşi titularii datelor, şi este un pas separat care vine după constatarea breşei.

De unde rezultă acest lucru: articolul 4 GDPR

Definiţia unei breşe de date provine direct din articolul 4 al GDPR, unde o "încălcare în legătură cu datele cu caracter personal" este descrisă ca o încălcare a securităţii care duce, din greşeală sau în mod ilegal, la distrugerea, pierderea, modificarea, sau dezvăluirea sau accesul neautorizat la datele transmise, stocate sau altfel prelucrate. Această definiţie se aplică direct în fiecare stat membru, fără variaţie naţională. Autoritatea Română de Supraveghere a Prelucrării Datelor cu Caracter Personal detaliază această definiţie pe pagina sa privind breşele de date, cu o clasificare în încălcări ale disponibilităţii, integrităţii şi confidenţialităţii, şi cu exemple din practică.