moj poslovni e-poštni račun je vdrl, moram to prijaviti

Vlamljena poštna skrinjica je v večini primerov varnostni incident, obveznost prijave pa je odvisna od posledic

Vlamljena poslovljena poštna skrinjica je v večini primerov kršitev v smislu GDPR: gre za nepooblaščeni dostop do osebnih podatkov, in ta dostop nastane skoraj vedno, takoj ko se nekdo od zunaj prijavi na račun s podatki strank ali kontaktnimi podatki. S tem je gotovo, da se je kaj zgodilo, kar spada pod definicijo iz kaj je pravzaprav varnostni incident? Vendar to avtomatično ne pomeni enake obveznosti za prijavo pri nadzornem organu.

O tem, ali je prijava nadzornemu organu potrebna, odloča tveganje, ki ga prinaša kršitev za ljudi, katerih podatki so bili v tej poštni skrinjici — pomislite na račune s podatki o naslovu, ponudbe z numerami social security ali korespondencijo s občutljivo vsebino. Poštna skrinjica samo s poslovnimi kontaktnimi podatki drugih podjetij prinaša drugačno tveganje kot poštna skrinjica, polna datotek strank ali medicinske korespondence. To presojo in korake, ki nanjo veljajo, najdete podrobno opisane na strani o kdaj moram varnostni incident prijaviti Uradu za varstvo osebnih podatkov?. Poleg prijave nadzornemu organu se pojavlja tudi vprašanje, ali morajo biti sami prizadeti obveščeni, kar ima svoj okvir za presojo.

Pravna podlaga v GDPR: definicija kršitve in obveznost prijave

Podlaga je v členu 4 GDPR, ki opredeljuje kršitev varnosti osebnih podatkov kot dostop, izgubo, spremembo ali uničenje podatkov, do katerih ne bi smelo priti — opredelitev, pod katero ponavadi spada vlamljena poštna skrinjica. Člen 33 GDPR na to veže pogoj za prijavo nadzornemu organu: obveznost prijave velja, kadar kršitev predstavlja tveganje za pravice in svoboščine prizadetih oseb, z izjemo, če je to tveganje verjetno odsotno. Smernice EDPB to razumevanje tveganja naprej razlagajo, Urad za varstvo osebnih podatkov pa na svoji strani o varnostnih incidentih nudi praktičen vodnik za to presojo. Kar je v vsi EU enako: definicija in test tveganja iz uredbe. Kar se razlikuje po državah: nadzorni organ, kamor gre prijava — v Nizozemski Urad za varstvo osebnih podatkov, v drugih državah članicah nadzorni organ te države.