izgubil sem USB ključek s podatki o strankah, ali je to varnostni incident

Izgubljen USB-ključ je običajno kršitev podatkov

USB-ključ s podatki strank, ki je izgubljen, je v večini primerov kršitev podatkov v smislu GDPR. Opredelitev v 4. členu GDPR govori o kršitvi varnosti, ki vodi do izgube osebnih podatkov, in to je ravno tisto, kar se zgodi, ko ključ z imeni, naslovi ali drugimi podatki strank ne moremo več najti: podatki niso uničeni, vendar so izven nadzora podjetja. Ali padejo tudi v napačne roke, ni bistvo vprašanja — izguba nadzora je dovolj, da sodi pod opredelitev.

Kaj se zgodi naprej, je odvisno od tega, kaj je bilo na ključu in kako je bil zavarovan. Šifriran ključ z omejenim naborom podatkov daje drugačno sliko kot nezavarovan ključ s številnimi podatki strank ali občutljivimi informacijami. To razlikovanje je relevantno za vprašanje kdaj moram kršitev podatkov prijaviti Uradu za varstvo osebnih podatkov, in tudi za vprašanje, ali morajo stranke kaj slišati — to vprašanje je opisano na strani o ali moram osebe, na katere se nanašajo podatki, obvestiti pri kršitvi podatkov. Za razlikovanje med dogodkom in kršitvijo podatkov v širšem smislu je stran kaj natanko je kršitev podatkov logična začetna točka.

Kaj je to osnovano

Opredelitev kršitve je v 4. členu GDPR, 33. člen GDPR pa ureja prijavo nadzornemu organu, takoj ko so pogoji zanjo izpolnjeni. Urad za varstvo osebnih podatkov to razlaga naprej na svoji strani o prijavi kršitev podatkov, EDPB pa je objavil smernice s primeri vrst kršitev podatkov, vključno z izgubo nosilcev podatkov. Obveznost prijave velja povsod v EU na podlagi uredbe, vendar se mesto prijave razlikuje glede na državo: v Sloveniji je to Urad za varstvo osebnih podatkov, v drugih državah članicah pa nadzorni organ, ki je v tisti državi določen.