Όταν μια εταιρεία χάνει τον έλεγχο προσωπικών δεδομένων, το ρολόι αρχίζει να μετρά γρήγορα. Βάσει του GDPR του Ηνωμένου Βασιλείου και της ΕΕ, οι κανόνες 72 ωρών του GDPR για παραβίαση δεδομένων θέτουν μια σταθερή προθεσμία για την ενημέρωση των ρυθμιστικών αρχών σχετικά με το τι συνέβη. Για τα άτομα των οποίων τα δεδομένα εκτέθηκαν, αυτοί οι κανόνες έχουν επίσης σημασία, επειδή διαμορφώνουν τι ακούτε, πότε το ακούτε και τι πρέπει να κάνετε στη συνέχεια.
Αυτός ο οδηγός εξηγεί τη διαδικασία με απλή γλώσσα, από την πλευρά της εταιρείας και από τη δική σας.
Πότε ξεκινά το ρολόι των 72 ωρών
Το παράθυρο των 72 ωρών είναι χτισμένο γύρω από μια μοναδική ιδέα: τη γνώση. Σύμφωνα με το Άρθρο 33 του GDPR, ένας υπεύθυνος επεξεργασίας δεδομένων πρέπει να αναφέρει μια παραβίαση προσωπικών δεδομένων στην αρμόδια εποπτική αρχή εντός 72 ωρών από τη στιγμή που λαμβάνει γνώση της. Στο Ηνωμένο Βασίλειο, η αρχή αυτή είναι το Γραφείο του Επιτρόπου Πληροφοριών (ICO). Στην ΕΕ, είναι η αρχή προστασίας δεδομένων του σχετικού κράτους μέλους.
Δύο σημεία συχνά προκαλούν σύγχυση:
- Το ρολόι ξεκινά από τη γνώση, όχι από την επίθεση. Μια παραβίαση μπορεί να συνέβη ημέρες ή εβδομάδες νωρίτερα. Η προθεσμία μετρά από τη στιγμή που ο οργανισμός έχει εύλογο βαθμό βεβαιότητας ότι προσωπικά δεδομένα παραβιάστηκαν.
- Η προθεσμία δεν είναι παύση για έρευνα. Οι οργανισμοί αναμένεται να δράσουν γρήγορα. Όταν δεν είναι ακόμη διαθέσιμες πλήρεις λεπτομέρειες, η συνήθης προσέγγιση είναι να αναφέρεται ό,τι είναι γνωστό και να παρέχονται περαιτέρω πληροφορίες σταδιακά.
Η μη τήρηση της προθεσμίας χωρίς εύλογη αιτιολόγηση μπορεί η ίδια να αποτελεί παραβίαση του Άρθρου 33, γεγονός που εκθέτει τον υπεύθυνο επεξεργασίας σε μέτρα επιβολής, σύμφωνα με νομικό σχολιασμό του κανόνα.
Μια πρακτική σημείωση: οι 72 ώρες περιλαμβάνουν Σαββατοκύριακα και αργίες. Οι παραβιάσεις δεν περιμένουν ώρες γραφείου, επομένως ένα δοκιμασμένο σχέδιο αντιμετώπισης περιστατικών έχει μεγαλύτερη σημασία από μια καλή πρόθεση.
Τι πρέπει να αναφέρουν οι εταιρείες στον ICO και στα επηρεαζόμενα άτομα
Η ειδοποίηση της ρυθμιστικής αρχής και η ειδοποίηση των ατόμων είναι δύο ξεχωριστά καθήκοντα με διαφορετικές προϋποθέσεις.
Ενημέρωση του ICO. Μια αναφορά απαιτείται γενικά εκτός εάν η παραβίαση είναι απίθανο να οδηγήσει σε κίνδυνο για τα δικαιώματα και τις ελευθερίες των ατόμων. Η κοινοποίηση πρέπει να περιγράφει τη φύση της παραβίασης, τις κατηγορίες και τους κατά προσέγγιση αριθμούς ατόμων και αρχείων που επηρεάστηκαν, τις πιθανές συνέπειες και τα μέτρα που ελήφθησαν ή προτείνονται για την αντιμετώπισή της. Πρέπει επίσης να περιλαμβάνει στοιχεία επικοινωνίας για τον υπεύθυνο επικοινωνίας προστασίας δεδομένων του οργανισμού.
Ενημέρωση των ατόμων. Όταν μια παραβίαση είναι πιθανό να οδηγήσει σε υψηλό κίνδυνο για τα άτομα, ο οργανισμός πρέπει επίσης να ενημερώσει τους επηρεαζόμενους χωρίς αδικαιολόγητη καθυστέρηση. Το μήνυμα αυτό πρέπει να είναι γραμμένο σε σαφή γλώσσα και να εξηγεί τι συνέβη, ποιες είναι οι πιθανές συνέπειες και ποια βήματα μπορούν να κάνουν τα άτομα για να προστατευτούν.
Το κριτήριο για την επικοινωνία με τα άτομα είναι υψηλότερο από το κριτήριο για την επικοινωνία με τη ρυθμιστική αρχή. Κλεμμένα σαρωμένα διαβατήρια, ιατρικά αρχεία ή οικονομικά στοιχεία τείνουν να βρίσκονται άνετα πάνω από αυτό. Περιπτώσεις όπως η διαρροή δεδομένων διαβατηρίων της LT Group από το ransomware Deadlock δείχνουν πώς έγγραφα ταυτότητας μπορούν να καταλήξουν στα χέρια εγκληματιών, που είναι ακριβώς το είδος έκθεσης που υποδεικνύει υψηλό κίνδυνο.
Οι οργανισμοί αναμένεται επίσης να τηρούν εσωτερικό αρχείο κάθε παραβίασης, συμπεριλαμβανομένων εκείνων που αποφασίζουν να μην αναφέρουν, μαζί με το σκεπτικό.
Τι πρέπει να κάνετε εάν τα δεδομένα σας εκτεθούν
Μια ειδοποίηση παραβίασης μπορεί να φαίνεται αφηρημένη. Ακολουθεί μια συγκεκριμένη λίστα ελέγχου που μπορείτε να ακολουθήσετε την ίδια ημέρα.
- Αλλάξτε τον επηρεαζόμενο κωδικό πρόσβασης και τυχόν επαναχρησιμοποιημένους. Εάν ο ίδιος κωδικός πρόσβασης προστατεύει άλλους λογαριασμούς, αλλάξτε και εκείνους. Χρησιμοποιήστε μοναδικό κωδικό πρόσβασης για κάθε υπηρεσία, ιδανικά αποθηκευμένο σε διαχειριστή κωδικών πρόσβασης.
- Ενεργοποιήστε τον έλεγχο ταυτότητας πολλαπλών παραγόντων. Προτιμήστε μια εφαρμογή ελέγχου ταυτότητας ή ένα κλειδί υλικού αντί για γραπτά μηνύματα όπου είναι δυνατόν.
- Διαβάστε προσεκτικά την ειδοποίηση. Σημειώστε ποιοι τύποι δεδομένων εμπλέκονταν: στοιχεία επικοινωνίας, έγγραφα ταυτότητας, πληροφορίες υγείας ή οικονομικές πληροφορίες. Αυτό σας λέει ποιους κινδύνους να δώσετε προτεραιότητα.
- Παρακολουθήστε τους λογαριασμούς σας. Ελέγξτε τις τραπεζικές καταστάσεις και τις καταστάσεις καρτών και εξετάστε το ενδεχόμενο μιας υπηρεσίας παρακολούθησης πίστωσης εάν εμπλέκονταν οικονομικά δεδομένα ή έγγραφα ταυτότητας.
- Να είστε επιφυλακτικοί με απροσδόκητες επικοινωνίες. Email, μηνύματα ή κλήσεις που αναφέρονται στην παραβίαση μπορεί να είναι γνήσια, ή μπορεί να είναι απάτες που τη χρησιμοποιούν ως δόλωμα.
- Υποβάλετε αίτημα πρόσβασης υποκειμένου. Βάσει του GDPR του Ηνωμένου Βασιλείου και της ΕΕ μπορείτε να ζητήσετε από έναν οργανισμό ποια προσωπικά δεδομένα τηρεί για εσάς και, σε πολλές περιπτώσεις, πώς χρησιμοποιούνται. Αυτό σας βοηθά να κατανοήσετε την πραγματική σας έκθεση και δημιουργεί ίχνος τεκμηρίωσης.
- Γνωρίστε τη διαδρομή καταγγελίας σας. Εάν αισθάνεστε ότι η εταιρεία χειρίστηκε άσχημα το περιστατικό, μπορείτε να το αναφέρετε στον ICO στο Ηνωμένο Βασίλειο ή στην εθνική αρχή προστασίας δεδομένων σας στην ΕΕ.
Γιατί τα κλεμμένα δεδομένα τροφοδοτούν επακόλουθες απάτες
Η αρχική παραβίαση είναι συχνά μόνο το πρώτο στάδιο. Τα κλεμμένα δεδομένα έχουν αξία μεταπώλησης και εκβιασμού, και οι επιτιθέμενοι τα χρησιμοποιούν όλο και περισσότερο για να ασκήσουν πίεση σε άτομα άμεσα.
Η κάλυψη της επίθεσης ransomware της AnMed και της απάτης εκβιασμού ασθενών δείχνει πώς λειτουργεί αυτό: αναφορές υποδήλωναν ότι οι επιτιθέμενοι μπορεί να χρησιμοποίησαν κλεμμένα δεδομένα ασθενών για να πραγματοποιήσουν εξατομικευμένες απόπειρες εκβιασμού εναντίον των ατόμων στα οποία ανήκαν. Τα προσωπικά στοιχεία κάνουν μια απειλή να φαίνεται αξιόπιστη, γι' αυτό αυτά τα μηνύματα μπορούν να είναι τόσο αποτελεσματικά.
Οι διαρροές μπορεί επίσης να είναι δημόσιες. Στην περίπτωση της διαρροής 8,8TB κλεμμένων δεδομένων της One Medical από τους ShinyHunters, τα δεδομένα δημοσιεύτηκαν μετά από πίεση εκβιασμού, που σημαίνει ότι ο καθένας μπορούσε ενδεχομένως να έχει πρόσβαση σε αυτά. Μόλις οι πληροφορίες βγουν έξω, μπορούν να χρησιμοποιηθούν για phishing, πλαστοπροσωπία και στοχευμένη απάτη πολύ καιρό αφού το αρχικό περιστατικό ξεχαστεί.
Γι' αυτό η έγκαιρη ειδοποίηση έχει σημασία. Όσο sooner τα άτομα γνωρίζουν, τόσο sooner μπορούν να κλειδώσουν λογαριασμούς και να αναγνωρίσουν μια απάτη για αυτό που είναι. Οι μικροί οργανισμοί δεν εξαιρούνται επίσης, όπως δείχνει η περίπτωση ransomware της Jaipur: το ransomware δεν κάνει διακρίσεις με βάση το μέγεθος της εταιρείας, και μια ομάδα χωρίς αποκλειστικό προσωπικό ασφαλείας εξακολουθεί να χρειάζεται σχέδιο αντιμετώπισης.
Τι Σημαίνει Αυτό Για Εσάς
Ο νόμος σας δίνει μια εύλογη προσδοκία ότι μια εταιρεία θα ενημερώσει τη ρυθμιστική αρχή εντός 72 ωρών από τη στιγμή που λαμβάνει γνώση μιας παραβίασης, και θα σας ενημερώσει άμεσα εάν ο κίνδυνος για εσάς είναι υψηλός. Δεν εγγυάται ότι τα δεδομένα σας παραμένουν ασφαλή, και δεν μπορεί να αναιρέσει μια διαρροή. Η δική σας απάντηση είναι αυτό που περιορίζει τη ζημιά.
Εάν διευθύνετε μια επιχείρηση, αντιμετωπίστε τις 72 ώρες ως περιορισμό σχεδιασμού: γνωρίστε ποιος αποφασίζει εάν μια παραβίαση είναι αναφοράς, ποιος επικοινωνεί με τον ICO και πώς θα προσεγγίζατε γρήγορα τους επηρεαζόμενους πελάτες.
Βασικά συμπεράσματα
- Η περίοδος των 72 ωρών ξεκινά όταν ένας οργανισμός λαμβάνει γνώση μιας παραβίασης, όχι όταν ξεκίνησε.
- Ο ICO ή η αρχή της ΕΕ πρέπει να ενημερωθεί εκτός εάν ο κίνδυνος για τα άτομα είναι απίθανος· τα άτομα πρέπει να ενημερωθούν όταν ο κίνδυνος είναι υψηλός.
- Αλλάξτε κωδικούς πρόσβασης, ενεργοποιήστε τον έλεγχο ταυτότητας πολλαπλών παραγόντων και παρακολουθήστε τους λογαριασμούς σας μόλις λάβετε μια ειδοποίηση.
- Αντιμετωπίστε με προσοχή οποιοδήποτε μήνυμα αναφέρει παραβίαση, καθώς οι εγκληματίες επαναχρησιμοποιούν κλεμμένα δεδομένα για εκβιασμό και phishing.
- Χρησιμοποιήστε το δικαίωμά σας να ζητήσετε τα δεδομένα σας για να δείτε τι τηρεί ένας οργανισμός.
Η κατανόηση των κανόνων 72 ωρών του GDPR για παραβίαση δεδομένων σας βοηθά να κρίνετε εάν μια εταιρεία ενεργεί σωστά, αλλά η καλύτερη προστασία σας είναι να δράσετε γρήγορα εσείς οι ίδιοι. Ασφαλίστε τους λογαριασμούς σας σήμερα, μείνετε σε εγρήγορση για επακόλουθες απάτες και διαβάστε την κάλυψη της AnMed και των ShinyHunters παραπάνω για να δείτε πώς τα παραβιασμένα δεδομένα καταχρώνται στην πράξη.
