moj prenosnik s podatki o strankah je украden, kaj moram storiti

Ukradeni prenosni računalnik s podatki o strankah je običajno vdor v podatke

Ukradeni poslovni prenosni računalnik s podatki o strankah se v večini primerov šteje kot vdor v varnost osebnih podatkov, kot ga opredeljuje 4. člen GDPR. Podatki gredo izven nadzora organizacije, in to je natanko tisto, na kar se ta opredelitev osredotoča — pri tem ni pomembno, ali je prenosni računalnik ukraden iz avtomobila, torbice ali pisarne. To, kaj je natanko na tem prenosnem računalniku, in ali so te informacije šifrirane ali kako drugače zaščitene, sooblikuje, kako resno je to, vendar je sam kraja začetna točka ocene. Podrobnejši razloček tega, kaj sodi in kaj ne sodi pod to opredelitev, je dostopen na strani v znanju o tem, kaj je vdor v podatke natanko.

Od trenutka odkritja tečeta dve stvari sočasno: ugotavljanje dejstev (kateri podatki, od koga, koliko oseb, in ali je bilo šifriranje) in vprašanje, ali mora biti to prijavljeno — nadzornemu organu in morda samim prizadetim osebam. Obe vprašanji sta odvisni od tveganja, ki ga ukradeni podatki predstavljajo za ljudi, in to tveganje je natanko razlog, zakaj je prazen ali dobro šifriran prenosni računalnik ocenjen drugače kot prenosni računalnik poln nešifriranih datotek strank. Kako ta presoja deluje za prijavo nadzornemu organu, je razložena na strani o kdaj mora biti vdor v podatke prijavljen Uradu za varstvo osebnih podatkov, in vprašanje, ali morajo prejudniki tudi sami dobiti sporočilo na strani o obveščanje prizadetih oseb pri vdoru v podatke.

Kaj je to osnovano: 4. člen, 32. člen in 33. člen GDPR

Opredelitev vdora je v 4. členu GDPR, obveznost varovanja podatkov na ustrezn način — vključno s tveganjem izgube naprave — v 32. členu, in dolžnost prijave nadzornemu organu v 33. členu. Ti trije členi veljajo neposredno v celej EU, zato se ocena, ali je ukradeni prenosni računalnik vdor v podatke, ki ga je treba prijaviti, odvija povsod po istih pravilih. Kar se razlikuje glede na državo, je nadzorni organ, kamor pride prijava: v Nizozemski je to Urad za varstvo osebnih podatkov, v drugih državah članicah pa nacionalni nadzorni organ te države. Smernice EDPB dajejo dodatne razlage, kako se ti členi uporabljajo v praksi, in Urad za varstvo osebnih podatkov na svoji lastni strani o vdorih v podatke ponuja nizozemski razloček istih pravil.