Nchini Ireland, sheria ya ulinzi wa data inaweka majukumu makubwa kwa mashirika ambayo mchakato wa data ya kibinafsi. Wakati uvunjaji hutokea, shirika lazima litende haraka kutathmini hatari, liarifu mamlaka ya usimamizi, na, katika hali nyingi, kuwajulisha watu walioathirika. Kushindwa kufuata kunaweza kusababisha faini kubwa na madhara ya sifa. Kuelewa mahitaji ya udhibiti wa taarifa za uvunjaji wa data nchini Ireland ni muhimu kwa biashara yoyote, mwili wa umma, au mashirika yasiyo ya faida ambayo inashughulikia data ya kibinafsi.

Makala hii inashughulikia mfumo wa kisheria chini ya Udhibiti Mkuu wa Ulinzi wa Data (GDPR) na Sheria ya Ulinzi wa Takwimu ya Ireland 2018, majukumu maalum ya taarifa, vigezo vya kutathmini hatari, mahitaji ya nyaraka, hatua za vitendo za kufuata, adhabu, na masuala maalum ya sekta. mwongozo hapa unaonyesha mwenendo wa utekelezaji wa hivi karibuni na machapisho rasmi kutoka Tume ya Ulinzi ya Takwimu ya Ireland (DPC) na Bodi ya Ulinzi ya Takwimu ya Ulaya (EDPB).

Maelezo ya jumla ya Kanuni za Data Breach nchini Ireland

Sheria ya msingi inayosimamia uvunjaji wa data nchini Ireland ni GDPR[FLT: 1]] (Kanuni (EU) 2016/679), ambayo ina athari ya moja kwa moja katika nchi zote za wanachama wa EU.Katika Ireland, GDPR inaongezewa na Sheria ya Ulinzi wa Data 2018], ambayo hutoa sheria za ziada juu ya utekelezaji, makosa, na mamlaka ya DPC. Pamoja, sheria hizi zinaunda utawala kamili kwa taarifa na usimamizi wa ukiukaji wa data binafsi.

uvunjaji wa data ya kibinafsi[FLT: 1]] hufafanuliwa chini ya Kifungu cha 4 (12) cha GDPR kama uvunjaji wa usalama unaosababisha uharibifu wa ajali au kinyume cha sheria, upotevu, mabadiliko, ufunuo usioidhinishwa wa, au ufikiaji wa data ya kibinafsi iliyosafirishwa, kuhifadhiwa, au vinginevyo kusindika. Hii inajumuisha matukio kama vile vifaa vilivyopotea au kuibiwa, mashambulizi ya ukombozi, taarifa za barua pepe za ajali, na wizi wa data ya ndani.

DPC ni mamlaka ya usimamizi wa kujitegemea inayohusika na kutekeleza sheria ya ulinzi wa data nchini Ireland. Imechapisha mwongozo wa kina juu ya taarifa ya uvunjaji, ambayo mashirika yanapaswa kushauriana pamoja na maandishi ya GDPR. EDPB pia imetoa Mwongozo wa Taarifa za kibinafsi za Breach [FLT: 1] ambayo inafafanua ufafanuzi wa vifungu vya 33 na 34.

Mahitaji muhimu ya taarifa ya Breach

Taarifa kwa Tume ya Ulinzi wa Data

Chini ya Kifungu cha 33 cha GDPR, mtawala lazima aarifu DPC ya uvunjaji wa data binafsi bila kuchelewa kwa kutosha na, ikiwezekana, si baadaye kuliko masaa ya]72[FLT: 1]] baada ya kuwa na ufahamu wa hiyo. Saa huanza kutoka wakati mtawala anapokuwa anajua uvunjaji.Ufahamu kwa ujumla unachukuliwa kuwa wakati mtawala ana kiwango cha busara cha hakika kwamba uvunjaji umefanyika, hata kama kiwango kamili bado haijulikani.

Ikiwa taarifa hiyo haijafanywa ndani ya masaa ya 72, mtawala lazima atoe sababu ya kuchelewesha. Hii ni tarehe ya mwisho kali, na DPC imeonyesha uvumilivu mdogo kwa taarifa za marehemu bila sababu nzuri.

Hata hivyo, taarifa haihitajiki ikiwa uvunjaji ni bila uwezekano wa kusababisha hatari kwa haki na uhuru wa watu wa asili[FLT: 1] mtawala lazima hati sababu nyuma ya uamuzi huo katika yake ya ndani ya uvunjaji kujiandikisha.

Taarifa kwa DPC lazima iwe na, kwa kiwango cha chini:

  • Maelezo ya asili ya uvunjaji ikiwa ni pamoja na, ikiwezekana, makundi na takriban idadi ya masomo ya data na kumbukumbu za data binafsi zinazohusika.
  • Jina na maelezo ya mawasiliano ya Afisa wa Ulinzi wa Data (DPO) au hatua nyingine ya kuwasiliana.
  • Maelezo ya uwezekano wa matokeo ya uharibifu.
  • Maelezo ya hatua zilizochukuliwa au mapendekezo ya kushughulikia uvunjaji, ikiwa ni pamoja na hatua za kupunguza athari zake mbaya.

DPC hutoa fomu ya taarifa ya [FLT: 0breach] kwenye tovuti yake, ambayo wadhibiti wanahimizwa kutumia. Fomu inauliza habari muundo na inaruhusu mtawala kuongeza maelezo baadaye kama uchunguzi unaendelea.

Taarifa kwa watu walioathirika

Kifungu cha 34 cha GDPR kinaweka wajibu wa pili, tofauti: ikiwa uvunjaji huo unaweza kusababisha hatari kubwa][FLT: 1]] kwa haki na uhuru wa watu wa asili, mtawala lazima aiwasiliane na masomo ya data yaliyoathirika bila kuchelewa. Mawasiliano haya lazima yawe katika lugha wazi na wazi na kuelezea asili ya uvunjaji, matokeo yanayowezekana, na hatua zilizochukuliwa au mapendekezo ya kushughulikia. Mawasiliano lazima pia ni pamoja na ushauri juu ya hatua kwa watu binafsi wanaweza kuchukua ili kujilinda, kama vile kubadilisha nywila au kufuatilia akaunti za kifedha.

Hatari kubwa inapimwa kulingana na ukali wa athari inayowezekana, ambayo inategemea mambo kama vile aina ya data inayohusika (makundi maalum, data ya kifedha, data ya eneo), urahisi wa kitambulisho, mazingira ya usindikaji, na kuwepo kwa ulinzi (kwa mfano, encryption). mtawala lazima afanye tathmini ya hatari ya kumbukumbu kwa kila uvunjaji.

Kuna tofauti tatu za kisheria ambapo mawasiliano kwa watu binafsi hayahitajika:

  1. Mtawala ametekeleza hatua zinazofaa za kiufundi na za shirika, kama vile encryption, ambayo hutoa data isiyoeleweka kwa watu wasioidhinishwa.
  2. Mtawala amechukua hatua za baadaye ambazo zinahakikisha hatari kubwa haipo tena ya vifaa.
  3. Katika kesi hiyo, lazima kuwe na mawasiliano ya umma au kipimo mbadala sawa ambacho kinaarifu masomo ya data kwa ufanisi.

Hata kama moja ya isipokuwa hizi inatumika, mtawala lazima bado hati ya hoja na, kama baadaye changamoto, kuwa na uwezo wa kuonyesha kwamba ubaguzi ilikuwa vizuri ombi.

Ufuatiliaji na Ufuatiliaji wa Kumbukumbu

Kifungu cha 33(5) kinawataka wadhibiti kurekodi uvunjaji wowote wa data ya kibinafsi, ] bila kujali kama iliarifiwa[FLT: 1]] kwa DPC. nyaraka lazima zijumuishe ukweli unaohusiana na uvunjaji, madhara yake, na hatua ya marekebisho kuchukuliwa. Usajili huu wa ndani hutumika kama ushahidi wa kufuata na unaweza kuchunguzwa na DPC wakati wa uchunguzi.

DPC inatarajia mashirika kudumisha logi ya uvunjaji ambayo ni pamoja na angalau:

  • Tarehe na wakati wa ugunduzi na taarifa (ikiwa ipo).
  • Maelezo ya uvunjaji na makundi ya data na data masomo wanaohusika.
  • Tathmini ya hatari na mantiki kwa uamuzi wa kutoa taarifa au la.
  • Hatua zilizochukuliwa ili kurejesha na kurejesha.
  • Hatua za kufuata ili kuzuia kurudi nyuma.

Nyaraka sahihi sio tu mahitaji ya kisheria lakini pia chombo muhimu cha kuonyesha uwajibikaji. Katika tukio la ukaguzi au malalamiko, kujiandikisha kwa uvunjaji vizuri kunaweza kupunguza hatari ya utekelezaji.

Uchambuzi wa Hatari

Kuamua kama uvunjaji husababisha hatari au hatari kubwa inahitaji tathmini ya muundo, kumbukumbu. Miongozo ya EDPB inapendekeza kuzingatia mambo yafuatayo:

  • [TD="width: 456"] [FONT=&](2)[/FONT][FONT=&]Bila kuathiri masharti ya kifungu kidogo (1) cha kifungu hiki, Tume itakuwa na mamlaka ya kuajiri mtaalamu yeyote kwa ajili ya shughuli maalumu au kwa muda mfupi.[/FONT] [FONT=&](3)[/FONT][FONT=&]Tume itawalipa mishahara na posho wafanyakazi wake kadri itakavyoamua mara kwa mara. [/FONT][/TD]
  • Makundi maalum, data ya makosa ya jinai, habari za kifedha, vitambulisho, nk.
  • [TD="width: 456"] [FONT=&](2)[/FONT][FONT=&]Bila kuathiri masharti ya kifungu kidogo (1) cha kifungu hiki, Tume itakuwa na mamlaka ya kuajiri mtaalamu yeyote kwa ajili ya shughuli maalumu au kwa muda mfupi.[/FONT] [FONT=&](3)[/FONT][FONT=&]Tume itawalipa mishahara na posho wafanyakazi wake kadri itakavyoamua mara kwa mara. [/FONT][/TD]
  • [TD="width: 456"] [FONT=&](2)[/FONT][FONT=&]Bila kuathiri masharti ya kifungu kidogo (1) cha kifungu hiki, Tume itakuwa na mamlaka ya kuajiri mtaalamu yeyote kwa ajili ya shughuli maalumu au kwa muda mfupi.[/FONT] [FONT=&](3)[/FONT][FONT=&]Tume itawalipa mishahara na posho wafanyakazi wake kadri itakavyoamua mara kwa mara. [/FONT][/TD]
  • [TD="width: 456"] [FONT=&](2)[/FONT][FONT=&]Bila kuathiri masharti ya kifungu kidogo (1) cha kifungu hiki, Tume itakuwa na mamlaka ya kuajiri mtaalamu yeyote kwa ajili ya shughuli maalumu au kwa muda mfupi.[/FONT] [FONT=&](3)[/FONT][FONT=&]Tume itawalipa mishahara na posho wafanyakazi wake kadri itakavyoamua mara kwa mara. [/FONT][/TD]
  • [TD="width: 456"] [FONT=&](2)[/FONT][FONT=&]Bila kuathiri masharti ya kifungu kidogo (1) cha kifungu hiki, Tume itakuwa na mamlaka ya kuajiri mtaalamu yeyote kwa ajili ya shughuli maalumu au kwa muda mfupi.[/FONT] [FONT=&](3)[/FONT][FONT=&]Tume itawalipa mishahara na posho wafanyakazi wake kadri itakavyoamua mara kwa mara. [/FONT][/TD]
  • [TD="width: 456"] [FONT=&](2)[/FONT][FONT=&]Bila kuathiri masharti ya kifungu kidogo (1) cha kifungu hiki, Tume itakuwa na mamlaka ya kuajiri mtaalamu yeyote kwa ajili ya shughuli maalumu au kwa muda mfupi.[/FONT] [FONT=&](3)[/FONT][FONT=&]Tume itawalipa mishahara na posho wafanyakazi wake kadri itakavyoamua mara kwa mara. [/FONT][/TD]

Tathmini lazima ifanywe kwa msingi wa kesi na kesi. DPC imesema kuwa inatarajia wadhibiti kukosea upande wa tahadhari: ikiwa kuna shaka yoyote kuhusu ikiwa uvunjaji huo unaweza kusababisha hatari, taarifa inapaswa kufanywa kwa DPC, na hoja ya ndani iliyoandikwa.

Hatua za kuhakikisha utekelezaji

Kujenga mfumo imara wa kukabiliana na tukio ni njia bora ya kufikia tarehe ya mwisho ya saa 72 na kufanya maamuzi ya taarifa ya kukashifu. Mashirika yanapaswa kutekeleza hatua zifuatazo:

Kuandaa Mpango wa Majibu ya Tukio

Mpango wa majibu ya tukio unapaswa kufafanua majukumu na majukumu, itifaki za mawasiliano, njia za kuongeza kasi, na mchakato wa hatua kwa hatua wa kutambua, zenye, kutathmini, na kuripoti ukiukaji. Mpango lazima uthibitishwe kupitia mazoezi ya kawaida ya meza na updated kwa mwanga wa masomo yaliyojifunza.

Afisa wa Ulinzi wa Data (DPO)

Chini ya Kifungu cha 37 cha GDPR, mashirika mengi nchini Ireland yanatakiwa kuteua DPO. Hata ambapo sio lazima, kuwa na DPO au afisa wa faragha aliyejitolea inaboresha sana uwezo wa kukabiliana na uvunjaji. DPO hufanya kama hatua ya kuwasiliana na DPC na masomo ya data na kuhakikisha kuwa ukiukaji unashughulikiwa kwa mujibu wa mahitaji ya kisheria.

Kutoa mafunzo ya wafanyakazi

Wafanyakazi lazima wafundishwe kutambua uvunjaji wa uwezo na kujua jinsi ya kuripoti ndani. Wengi wa uvunjaji kuongezeka kwa sababu wafanyakazi kuchelewesha taarifa au kujaribu kurekebisha tatizo wenyewe. mafunzo ya kila mwaka, kuimarishwa na simulations phishing na kampeni za ufahamu, hupunguza wakati wa kutambua.

Kuendeleza Inventory ya Mali

Kujua ni data gani ya kibinafsi unayoshikilia, ambapo imehifadhiwa, na nani anayeweza kuipata ni muhimu kwa kuchunguza upeo wa uvunjaji haraka. hesabu ya data ya sasa husaidia kukadiria idadi ya rekodi zilizoathirika na kutambua ni makundi gani ya data yanaweza kuathiriwa.

Kusimamia usalama wa kiufundi

Kuficha wakati wa kupumzika na katika usafirishaji, udhibiti wa upatikanaji mkubwa, uthibitishaji wa sababu nyingi, na uzuiaji wa mara kwa mara hupunguza uwezekano wa uvunjaji na pia inaweza kupunguza kiwango cha hatari ikiwa uvunjaji hutokea. Kwa mfano, ikiwa data iliyoibiwa imefichwa na algorithm yenye nguvu na ufunguo wa encryption haujaathiriwa, uvunjaji unaweza kuchukuliwa kuwa uwezekano wa kusababisha hatari kwa watu binafsi, uwezekano wa kuepuka haja ya taarifa kwa masomo ya data.

Kufanya ukaguzi wa mara kwa mara na upimaji wa mapato

Uchunguzi wa usalama usio na nguvu hutambua udhaifu kabla ya washambuliaji wanaweza kuwatumia. Pia hutoa ushahidi wa kufuata Kifungu cha 32 (usalama wa usindikaji), ambacho DPC inaweza kuzingatia wakati wa uchunguzi. DPC ya Ireland imekuwa ikizingatia uwajibikaji wa utendaji badala ya utekelezaji wa vitendo.

Kuchambua na kuboresha taratibu za utambuzi wa Breach

Sheria na mazoea bora yanabadilika. Mashirika yanapaswa kukagua taratibu zao za taarifa za uvunjaji angalau kila mwaka, au baada ya tukio lolote muhimu, kuingiza mwongozo mpya kutoka kwa DPC na EDPB, mabadiliko ya teknolojia, na masomo kutoka kwa vitendo vya utekelezaji.

Adhabu kwa wasio na utekelezaji

GDPR hutoa tiers mbili za faini za kiutawala. Kiwango cha chini, hadi € 10 milioni au 2% ya mauzo ya kila mwaka ya kimataifa (kwa vyovyote vile ni juu), inatumika kwa ukiukaji wa majukumu yanayohusiana na taarifa ya uvunjaji (Mambo ya 33 na 34) kati ya wengine.Kifungu cha juu, hadi € 20 milioni au 4% ya mauzo ya kila mwaka ya kimataifa, inatumika kwa kanuni za msingi za ulinzi wa data na haki.Katika Ireland, DPC ina uwezo wa kulazimisha faini, kutoa malipo, amri, amri ya muda au marufuku ya kudumu, na inahitaji kurekebisha data ya data, na kufuta data.

DPC imeonyesha nia ya kuweka faini kubwa kwa kushindwa kwa taarifa ya uvunjaji. kesi za utekelezaji wa hivi karibuni zinaonyesha kwamba hata kama uvunjaji wa msingi haukuwa kosa la mtawala, kushindwa kutoa taarifa kwa wakati kunaweza kusababisha adhabu kubwa. Kwa mfano, katika 2022, DPC ilipiga faini kampuni ya kimataifa kwa taarifa isiyo ya haraka ya uvunjaji ambayo ilitokea katika 2019.

Mashirika yasiyo ya ushindani pia yanafunua mashirika ya madai na masomo ya data ambao wanaweza kutafuta fidia kwa uharibifu wa vifaa au usio wa vifaa chini ya Kifungu cha 82 cha GDPR. Mashtaka ya hatua ya darasa kuhusiana na uvunjaji wa data ni kuwa ya kawaida zaidi nchini Ireland, na kuongeza hatari ya kifedha na sifa zaidi ya faini ya udhibiti.

Mwongozo wa hivi karibuni na wa haraka

DPC inachapisha sasisho za habari za kawaida na vitendo vya utekelezaji kwenye tovuti yake. Kufuatia ukurasa wa taarifa ya uvunjaji wa DPC[FLT: 1] inaweza kusaidia mashirika kubaki na habari kuhusu matarajio ya hivi karibuni. Kwa kuongeza, miongozo ya EDPB hutoa mbinu iliyounganishwa katika EU, lakini DPC inaweza kutoa mwongozo wake wa ziada kwenye sekta maalum au juu ya tafsiri ya "hatari kubwa" katika muktadha wa Ireland.

Kwa kweli, DPC imesisitiza umuhimu wa wakati wa taarifa[FLT: 1]].Hata kuchelewa kwa masaa machache zaidi ya masaa 72, bila sababu nzuri, kunaweza kusababisha utekelezaji. DPC pia inatarajia kwamba taarifa ya awali, hata ikiwa haijakamilika, inafanywa haraka iwezekanavyo na kwamba habari zinazohitajika hutolewa kwa awamu, badala ya kusubiri uchunguzi kamili kabla ya kuwasiliana na DPC.

Mada nyingine ya mara kwa mara katika utekelezaji wa DPC ni kushindwa kuandika sababu ya kutobainisha masomo ya data.Watawala mara nyingi wanadai kwamba hatari ilikuwa ya chini lakini hawawezi kutoa tathmini ya hatari ya wakati. DPC inaona hii kama uvunjaji wa kanuni ya uwajibikaji na inaweza kulazimisha faini hata kama uamuzi wa kutoarifu hatimaye ulikuwa sahihi.

Masuala ya Sekta

Huduma ya Afya Afya

Data ya afya ni kikundi maalum chini ya Kifungu cha 9 cha GDPR, na ulinzi wa ziada chini ya sheria ya Ireland. Breaches unaohusisha rekodi za matibabu mara zote huchukuliwa kuwa hatari kubwa kwa sababu ya unyeti wa data na uwezekano wa ubaguzi, unyanyapaa, au shida ya kihisia. watoa huduma za afya lazima wawe na taratibu imara na timu za faragha zilizojitolea. Mtendaji wa Huduma ya Afya (HSE) ana ofisi yake ya ulinzi wa data, na DPC imeshirikiana na Mamlaka ya Habari ya Afya na Ubora (HIQA) juu ya ukiukaji wa uchunguzi.

Huduma za kifedha

Benki, bima, na makampuni ya fintech kushughulikia kiasi kikubwa cha data za kifedha ambazo zinavutia kwa wahalifu. Benki Kuu ya Ireland pia inaweka mahitaji yake ya kuripoti tukio chini ya miongozo ya Mamlaka ya Benki ya Ulaya, ambayo inaendesha sambamba na taarifa ya GDPR. Mashirika katika sekta hii lazima kuhakikisha wanaweza kukutana na seti zote za tarehe za mwisho. DPC na Benki Kuu zinaweza kuratibu uchunguzi katika kesi mbaya.

Huduma za mawasiliano na huduma za intaneti

Maagizo ya ePrivacy (kama inavyotekelezwa na kanuni za Ireland) inahitaji watoa huduma za mawasiliano ya elektroniki ili kuarifu DPC ya tukio lolote la usalama linalohusisha data ya kibinafsi. Hii inaingiliana na lakini haifanani na taarifa ya uvunjaji wa GDPR. Makampuni ya mawasiliano ya Telecommunication lazima pia kuwajulisha wanachama ikiwa kuna hatari fulani ya uvunjaji. DPC inatarajia makampuni haya kuwa na timu maalum za kukabiliana na matukio ambayo yanaweza kushughulikia mahitaji ya udhibiti wa pande mbili.

Bodi ya Umma

Mamlaka ya umma na miili ni chini ya wajibu huo wa taarifa ya uvunjaji kama vyombo vya kibinafsi. Hata hivyo, wanaweza pia kuwa na majukumu chini ya Sheria ya Uhuru wa Habari na Sheria ya Siri rasmi. DPC ina kituo maalum cha ushiriki kwa vyombo vya sekta ya umma. Kituo cha Usalama wa Cyber cha Serikali ya Ireland (NCSC) hutoa mwongozo wa ziada na inaweza kuarifiwa kwa ukiukaji mkubwa unaoathiri huduma za umma.

Mwisho wa Mwisho

Kuelewa na kufuata mahitaji ya taarifa ya uvunjaji wa data ya Ireland chini ya GDPR na Sheria ya Ulinzi wa Takwimu 2018 sio tu zoezi la kufuata; ni sehemu ya msingi ya kulinda haki za faragha za watu. Dirisha la taarifa ya saa 72 kwa DPC, wajibu wa kuwajulisha masomo ya data wakati hatari kubwa ipo, na mahitaji ya kuandika kila uvunjaji wa madai ya utendaji na vizuri ya kujibu tukio. Mashirika ambayo yanawekeza katika sera wazi, mafunzo ya mara kwa mara, ulinzi wa data, na utamaduni wa uwajibikaji hautatimiza tu wajibu wao wa kisheria, lakini pia kujenga uaminifu kwa wateja na uwezo wa kutekeleza.