Išsiuntėme duomenis ne tam žmogui — ar reikia pranešti?
Trumpas atsakymas
Taip, tai yra saugumo pažeidimas, net jei tai buvo viena klaidinga el. pašto eilutė. Klausimas tik kam ir per kiek laiko.
Kas šiame puslapyje
Tai pažeidimas
Neteisingas gavėjas yra neteisėtas atskleidimas. Pažeidimas nėra vien įsilaužimas: pamestas dokumentas, atviras adresatų sąrašas ar laiškas ne tam žmogui patenka į tą pačią kategoriją.
Praktikoje tai yra dažniausias incidento tipas mažose ir vidutinėse organizacijose. Todėl jį verta turėti aprašytą iš anksto, o ne spręsti iš naujo kiekvieną kartą.
Trys atskiri sprendimai, ir jie nesutampa
Fiksuoti vidaus registre reikia visada. Pranešti Valstybinei duomenų apsaugos inspekcijai reikia tada, kai yra rizika asmens teisėms. Pranešti pačiam asmeniui reikia tada, kai rizika yra didelė.
Šie trys sprendimai priimami atskirai ir užrašomi atskirai. Dažna klaida — iš to, kad institucijai pranešti nereikėjo, daryti išvadą, kad ir registre fiksuoti nereikia.
| Ką reikia padaryti | Kada | Terminas |
|---|---|---|
| Įrašyti į vidaus pažeidimų registrą | Visada | Iš karto, tą pačią dieną |
| Pranešti VDAI | Jei yra rizika asmens teisėms | Per 72 valandas nuo sužinojimo |
| Pranešti pačiam asmeniui | Jei rizika didelė | Nedelsiant |
Ką daryti per pirmą valandą
Paprašykite gavėjo ištrinti laišką ir patvirtinti tai raštu. Užfiksuokite, kas išsiuntė, kam, kada ir kokie duomenys pateko į laišką.
Tada įvertinkite, ar duomenys jautrūs. Šis atsakymas nulemia abu likusius sprendimus, todėl jį reikia gauti pirmą valandą, o ne kitą savaitę.
Kada asmeniui pranešti reikia beveik visada
Sveikatos duomenys, atlyginimas, asmens kodas, asmens dokumento kopija. Kai į netinkamas rankas patenka bent vienas iš šių dalykų, rizika laikoma didele.
Pranešimas žmogui rašomas paprasta kalba: kas nutiko, kokie jo duomenys pateko, ką jau padarėte ir ką jam patariate daryti. Teisinių formuluočių čia nereikia.
Patvirtinimas, kad ištrynė, pažeidimo nepanaikina
Gavėjo patvirtinimas, kad laišką ištrynė, sumažina riziką ir dažnai lemia sprendimą nepranešti. Bet pats pažeidimas lieka — registre jis fiksuojamas vis tiek.
Kartu užrašykite vieną pakeitimą, kuris mažina pasikartojimą: adresatų tikrinimas prieš siunčiant, siuntimo atidėjimas minutei, slaptos kopijos laukas masiniams laiškams.
Platesnė incidentų tvarka — atskirame atsakyme apie duomenų saugumo pažeidimus.
Oficialus teisės akto tekstas
Reglamento nuostatų čia neperpasakojame. Oficialus BDAR tekstas lietuvių kalba yra vienoje vietoje ir yra tikslesnis už bet kokį atpasakojimą.