Forstå kravene til dataovertredelse i Irland

Varsel til berørte personer

Artikkel 34 i GDPR pålegger et annet, separat ansvar: Hvis bruddet sannsynligvis vil resultere i en høy risiko til fysiske personers rettigheter og friheter, må den behandlingsansvarlige gi det til de berørte registrerte uten unødig forsinkelse. Denne kommunikasjonen må være på klart og tydelig språk og beskrive arten av bruddet, de sannsynlige konsekvensene og de tiltak som er truffet eller foreslått for å adressere det. Kommunikasjonen bør også omfatte råd om trinn enkeltpersoner kan ta for å beskytte seg selv, som endring av passord eller overvåkingsregnskap.

Høy risiko vurderes basert på alvorligheten av den potensielle virkningen, som avhenger av faktorer som den aktuelle typen data (spesialkategorier, finansielle data, stedsdata), identifikasjonssensen, behandlingskonteksten og eksistensen av sikkerhetstiltak (f.eks. kryptering). Den behandlingsansvarlige må utføre en dokumentert risikovurdering for hvert brudd.

Det er tre lovbestemte unntak der det ikke kreves kommunikasjon til enkeltpersoner:

1. Den som har implementert passende tekniske og organisatoriske beskyttelsestiltak, som kryptering, som gjør dataene uidentifiserte for uautoriserte personer.
2. Den som har tatt etterfølgende tiltak som sikrer at den høye risikoen ikke lenger vil materialiseres.
3. Det vil innebære uforholdsmessig innsats. I slike tilfeller må det være offentlig kommunikasjon eller lignende alternative tiltak som effektivt informerer de registrerte.

Selv om et av disse unntakene gjelder, må den styrende likevel dokumentere resonnementet og, hvis senere utfordret, kunne vise at unntaket var riktig påført.

Dokumentasjon og opptaksbevaring

Artikkel 33 nr. 5 krever at dataansvarlige dokumenterer ethvert personopplysningers brudd, uten hensyn til om det ble varslet til DPC. Dokumentasjonen må inneholde fakta om bruddet, virkningene og den utbedrende handlingen som ble truffet. Dette internregisteret tjener som bevis for overholdelse og kan bli inspisert av DPC under en undersøkelse.

DPC forventer at organisasjoner beholder en bruddlogg som minst inkluderer:

• Dato og tidspunkt for oppdagelse og varsling (om noen).
• Beskrivelse av bruddet og kategoriene av de berørte data og de registrerte.
• Vurdering av risiko og rasjonalitet for vedtak om å varsle eller ikke.
• Tiltak som treffes for å inneholde og lindre.
• Oppfølgingstiltak for å hindre gjentaking.

Korrekt dokumentasjon er ikke bare et juridisk krav, men også et kritisk verktøy for å vise ansvarlighet. I tilfelle en revisjon eller klage, kan et godt vedlikeholdt brudd register redusere risikoen for håndhevelse.

Risikovurderingskriterier

Avgjør om et brudd utgjør en risiko eller en høy risiko krever en strukturert og dokumentert vurdering. EDPB-retningslinjene anbefaler å vurdere følgende faktorer:

• Type brudd: konfidensialitet, integritet eller tilgjengelighet brudd.
• Naturen til personopplysningene: spesielle kategorier, strafferettslige overbevisninger data, finansiell informasjon, identifikatorer, etc.
• Ease av identifikasjon: om dataene er pseudonymisert, anonymisert eller i vanlig tekst.
• Sværhet av konsekvenser: potensial for identitetstyveri, svindel, diskriminering, omdømmeskade, økonomisk tap eller fysisk skade.
• Spesifikke egenskaper hos de registrerte: barn, sårbare voksne, ansatte, etc.
• Antall berørte datapersoner.]
• Eksistens av tekniske og organisatoriske tiltak som reduserer risikoen (f.eks. sterk kryptering med nøkler lagret separat).

Vurderingen skal utføres i tilfelle. DPC har angitt at den forventer at kontrollere skal feile på siden av forsiktighet: dersom det er tvil om bruddet sannsynligvis vil føre til risiko, bør det gis melding til DPC, og det interne resonnement dokumentert.

Trinn for å sikre overholdelse

Å bygge et robust rammeverk for reaksjonsrespons er den mest effektive måten å oppfylle 72-timers fristen og treffe beslutninger om å avslå varsling. Organisasjoner bør gjennomføre følgende tiltak:

Opprette en incident responsplan

En hendelsesresponsplan bør definere roller og ansvar, kommunikasjonsprotokoller, eskaleringsstier og en trinnvise prosess for å identifisere, inneholde, vurdere og rapportere brudd. Planen må testes gjennom regelmessige tabletop-øvelser og oppdateres i lys av lærdommer.

Utforme en databeskyttelsesansvarlig (DPO)

I henhold til artikkel 37 i GDPR, mange organisasjoner i Irland er pålagt å utpeke en DPO. Selv om det ikke er obligatorisk, har en DPO eller en dedikert personvernperson forbedrer kraftig brudd responsfunksjon. DPO fungerer som kontaktpunkt for DPC og registrerede og sikrer at brudd håndteres i henhold til juridiske krav.

Foretrekke personalet trening

Ansatte må trenes til å gjenkjenne potensielle brudd og vite hvordan man skal rapportere dem internt. Mange brudd eskalerer fordi personalet forsinkelser rapportering eller prøver å løse problemet selv. Årlig opplæring, forsterket ved phishing simuleringer og bevissthetskampanjer, reduserer tiden til deteksjon.

Oppbevar et oppfinnelsessted

Å vite hvilke personopplysninger du har, hvor den lagres, og som har tilgang til den, er avgjørende for å vurdere omfanget av et brudd raskt. En oppdatert datainventar hjelper til å estimere antall berørte poster og identifisere hvilke kategorier av data som kan kompromitteres.

Tekniske garantier

Kryptering i ro og i transitt, sterk tilgangskontroll, multi-faktor-autentisering og regelmessig patching reduserer sannsynligheten for et brudd og kan også senke risikonivået hvis et brudd oppstår. For eksempel, hvis stjålet data er kryptert med en sterk algoritme og krypteringsnøkkelen ikke er kompromittert, kan bruddet anses som usannsynlig å resultere i en risiko for enkeltpersoner, potensielt unngå behovet for varsling til registrerede.

Gjennomføre regelmessige revisjoner og penetrasjonstest

Proaktiv sikkerhetstest identifiserer sårbarheter før angriperne kan utnytte dem. Det genererer også bevis på overholdelse av artikkel 32 (sikkerhet i behandlingen), som DPC kan vurdere under en etterforskning. Den irske DPC har i økende grad blitt fokusert på proaktiv ansvarlighet i stedet for reaktiv håndhevelse.

Gjennomgang og oppdatering av prosedyrer for bruddvarsel

Loven og beste praksis utvikles. Organisasjoner bør gjennomgå sine bruddsvarsprosedyrer minst årlig eller etter noen betydelig hendelse, for å innlemme ny veiledning fra DPC og EDPB, endringer i teknologi og erfaringer fra håndhevelsestiltak.

Straffe for ikke-komplikasjon

GDPR gir to nivåer av administrative bøter. Det lavere nivået, opp til 10 millioner euro eller 2% av den årlige globale omsetningen (som er høyere), gjelder for overtredelser av forpliktelser knyttet til bruddsvarsling (Artikler 33 og 34) mellom andre. Det øvre nivået, opp til 20 millioner euro eller 4% av den årlige globale omsetningen, gjelder kjerneprinsippene og rettigheter for datavern. I Irland har DPC makt til å pålegge bøter, utstede reprimanter, ordre midlertidige eller permanente forbud mot behandling, og krever rettelse eller sletting av data.

DPC har vist en vilje til å pålegge betydelige bøter for brudd på varslingsfeil. Nylige håndhevelsessaker viser at selv om det underliggende bruddet ikke var den kontrollerendes feil, kan manglende varsles i tide resultere i en betydelig straff. For eksempel i 2022, DPC bøte et multinasjonalt selskap for utidlig varsling av et brudd som skjedde i 2019. Boten gjenspeilet både forsinkelsen og mangelen på tilstrekkelige bruddshåndteringsprosedyrer.

Overholdelse av manglende overholdelse av personvernerklæringen utsetter også organisasjoner for rettssaker som kan søke erstatning for materielle eller ikke-materielle skader i henhold til artikkel 82 i GDPR.

Nylig håndhevet og veiledning