Čo je to presne únik údajov?

Únik údajov je akýkoľvek bezpečnostný incident, pri ktorom boli osobné údaje vystavené, stratené alebo zmenené

Únik údajov je, stručne povedané, udalosť, pri ktorej sú osobné údaje už bezpečné: sú stratené, dostali sa do nesprávnych rúk, alebo boli bez súhlasu upravené alebo zničené. Nejde teda len o hackerské útoky. Nesprávne adresovaný e-mail s databázou zákazníkov v prílohe, ukradnutý notebook bez šifrovania, USB kľúč ležiaci na ulici, phishingový útok, pri ktorom sa získajú prihlasovacie údaje, alebo systémová chyba, ktorá spôsobí, že údaje budú nechcene verejné — všetko to spadá pod rovnakú definíciu, ak sú v hre osobné údaje.

V praxi sa rozlišuje medzi tromi druhmi bezpečnostných incidentov: incident dostupnosti (údaje sú stratené alebo nedostupné, napríklad v dôsledku útoku ransomvéru alebo defektnej zálohy), incident integrity (údaje boli nežiaduce zmenené) a incident dôvernosti (údaje boli videné alebo zdieľané osobou, ktorá to nemala právo urobiť). Jeden incident môže spadať pod viacero z týchto kategórií súčasne. To, či je daná udalosť únikom údajov, je nezávislé od otázky, či musí byť hlásená — to závisí od rizika, ktorému sú tieto osoby vystavené, a je to samostatný krok, ktorý nasleduje po zistení incidentu.

Odkiaľ to pochádza: článok 4 GDPR

Definícia úniku údajov pochádza priamo z článku 4 GDPR, kde je "bezpečnostný incident týkajúci sa osobných údajov" definovaný ako porušenie bezpečnosti, ktoré buď náhodne alebo ilegálne vedie k zničeniu, strate, zmene alebo neoprávnenému zverejneniu alebo prístupu k prenosiovaným, uloženým alebo inak spracúvaným údajom. Táto definícia platí priamo v každom členskom štáte bez národných odlišností. Úrad pre ochranu osobných údajov ďalej rozpracúva túto definíciu na svojej stránke o únikoch údajov rozdelením na bezpečnostné incidenty dostupnosti, integrity a dôvernosti, spolu s praktickými príkladmi.