boli sme zasiahnutí ransomvérom, je to automaticky únik údajov

Ransomware je zvyčajne únik údajov, ale nie automaticky

Útok ransomwarom je zvyčajne únik údajov v zmysle GDPR, ale spojenie medzi "postihnutým ransomwarom" a "teda ohlásiť" nie je automatické. Článok 4 GDPR opisuje porušenie ako akúkoľvek zničenie, stratu, zmenu alebo neoprávnené poskytnutie osobných údajov. Pri ransomware sú súbory zašifrované alebo nedostupné, čo spadá pod "stratu dostupnosti" — aj keď údaje neboli prezerané alebo skopírované. Tým je definícia porušenia zvyčajne spĺňaná, čo je inak niečo iné ako otázka čo je únik údajov presne znamená pre povinnosť oznámiť v konkrétnom prípade.

Či sa v týchto zašifrovaných súboroch nachádzajú osobné údaje a či naozaj existuje riziko pre osoby, ktorých údaje ide, zostáva samostatnou otázkou. Útok ransomwarom na server bez osobných údajov nie je únik údajov v zmysle GDPR. Útok, pri ktorom boli údaje postihnuté, ale existuje kvalitná záloha a je možné rýchle obnovenie, môže predstavovať nižšie riziko ako útok, pri ktorom boli údaje aj ukraté (dvojitá vydieranie). Toto posúdenie rizika následne určuje tom, kedy musí byť porušenie ochrany údajov nahlásené Úradu na ochranu osobných údajov, a či musia byť samotní dotknutí jednotlivci niečo vedieť.

Na čom sa to zakladá

Definícia porušenia v článku 4 GDPR je východzím bodom; článok 33 GDPR upravuje oznámenie orgánu dozoru, akonáhle dôjde k porušeniu, a článok 32 GDPR sa týka otázky, či bola bezpečnosť v poriadku pred útokom. Usmernenia EDPB výslovne spracúvajú príklady s ransomwarom vrátane rozdielu medzi šifrovaním bez exfiltrácie a útokmi, pri ktorých boli údaje tiež ukradnuté. Povinnosť posúdiť porušenie a prípadne ho oznámiť platí v celej EÚ rovnakým spôsobom, pretože GDPR pôsobí priamo; ktorý orgán dozoru oznámenie prijme, sa líši podľa členského štátu — v Holandsku je to Autoriteit Persoonsgegevens, v iných krajinách orgán dozoru daného členského štátu. Keď je poskytovateľ IT alebo hostingový partner postihnutý ransomwarom, vystáva sa tiež otázka či oznámenie od poskytovateľa tiež vyvolá vlastnú povinnosť oznámiť.