ali je vdor programa za šifriranje izven rešetk avtomatično varnostni incident

Programska oprema za izsiljevanje je običajno kršitev podatkov, vendar ne avtomatično

Napad s programsko opremo za izsiljevanje je običajno kršitev podatkov v smislu GDPR, vendar povezava med »prizadeti z izsiljevanjem« in »zato obvestiti« ni samodejno. Člen 4 GDPR definira kršitev kot katero koli uničenje, izgubo, spremembo ali nepooblaščeno razkritje osebnih podatkov. Pri izsiljevanju so datoteke šifrirane ali nedostopne, kar spada pod »izgubo razpoložljivosti« — tudi če podatkov ni bilo ogledano ali kopiranih. S tem je definicija kršitve običajno izpolnjena, kar je sicer nekaj drugega od vprašanja kaj natanko je kršitev podatkov kar pomeni za obveščanje v konkretnem primeru.

Ali so bili osebni podatki v teh šifriranih datotekah in ali obstaja dejansko tveganje za ljudi, katerih podatki so vključeni, ostaja ločeno vprašanje. Napad s programsko opremo za izsiljevanje na strežnik brez osebnih podatkov ni kršitev podatkov v smislu GDPR. Napad, pri katerem so podatki dejansko prizadeti, vendar obstaja dobro delujočo varnostno kopijo in možna je hitra obnova, lahko predstavlja nižje tveganje kot napad, pri katerem so bili podatki tudi odtujeni (dvojno izsiljevanje). Ta ocena tveganja nato določi kdaj mora biti vdor v podatke prijavljen Uradu za varstvo osebnih podatkov, in ali morajo biti obveščeni tudi sami prizadeti.

Kaj je to osnovano

Definicija kršitve v členu 4 GDPR je izhodišče; člen 33 GDPR ureja obveščanje nadzornega organa, takoj ko pride do kršitve, in člen 32 GDPR se dotika vprašanja, ali je bila varnost v redu pred napadom. Smernice EDPB izrecno obdelajo primere z izsiljevanjem, vključno z razliko med šifriranjem brez eksfiltracije in napadi, pri katerih so bili podatki tudi ukradeni. Obveznost oceniti kršitev in jo po potrebi obvestiti velja v celotni EU na enak način, ker se GDPR uporablja neposredno; kateri nadzorni organ prejme obvestilo, se razlikuje glede na članico — v Kaliforniji je to Agencija za zaščito podatkov, v drugih državah nadzorni organ te članice. Kadar je IT-dobavitelj ali gostna storitev prizadeti z izsiljevanjem, se pojavlja tudi vprašanje ali obveščanje dobavitelja tudi sprosti lastno obveznost obveščanja.