Kaj je natančno kršitev varnosti podatkov?

Varnostni incident je vsaka kršitev, pri kateri so osebni podatki izpostavljeni, izgubljeni ali spremenjeni

Varnostni incident je, na kratko, dogodek, pri katerem osebni podatki niso več varni: so izgubljeni, so prišli v napačne roke ali so brez soglasja spremenjeni ali izbrisani. Torej ne gre le za hekerske napade. Napačno naslavljeno e-pošto s seznamom strank v prilogi, ukradeni prenosni računalnik brez šifriranja, USB-ključ, ki leži na cesti, napad s prevaro, pri katerem se pridobijo podatki za prijavo, ali sistemska napaka, pri kateri so podatki nenamerno javni — vse to se šteje za isto definicijo, takoj ko so vpleti osebni podatki.

V praksi se pravi razlika med tremi vrstami kršitev: kršitev razpoložljivosti (podatki so izgubljeni ali nedostopni, na primer zaradi napada s programsko opremo za vымаганье ali okvarjene varnostne kopije), kršitev celovitosti (podatki so neželjeno spremenjeni) in kršitev zaupnosti (podatki so pregledani ali deljeni s strani osebe, ki to ni smela storiti). En incident lahko spada hkrati pod več takšnih vrst. Ali je dogodek varnostni incident, je neodvisno od vprašanja, ali ga je treba tudi prijaviti — slednje je odvisno od tveganja, ki ga ta dogodek predstavlja za vpletene osebe, in je ločen korak, ki sledi ugotovitvi incidenta.

Kjer to izhaja: člen 4 GDPR

Definicija varnostnega incidenta izhaja neposredno iz člena 4 Uredbe (EU) 2016/679, kjer je "kršitev varnosti osebnih podatkov" opredeljena kot kršitev varnosti, ki slučajno ali nezakonito vodi do uničenja, izgube, spremembe ali nepooblaščenega razkritja ali dostopa do podatkov, ki so bili poslani, shranjeni ali kako drugače obdelani. Ta definicija velja neposredno v vsaki državi članici brez nacionalnih sprememb. Urad za varstvo podatkov (Slovenija) to definicijo dodatno pojasni na svoji strani o varnostnih incidentih s podelom na kršitve razpoložljivosti, celovitosti in zaupnosti ter s primeri iz prakse.