Kada tvrtka izgubi kontrolu nad osobnim podacima, sat počinje brzo kucati. Prema UK i EU GDPR-u, GDPR pravilo o povredi podataka u roku od 72 sata postavlja čvrst rok za obavještavanje regulatora o tome što se dogodilo. Za ljude čiji su podaci izloženi, ta pravila su također važna jer oblikuju što ćete čuti, kada ćete to čuti i što biste trebali učiniti sljedeće.

Ovaj vodič objašnjava proces jednostavnim jezikom, sa strane tvrtke i s vaše strane.

Kada počinje teći rok od 72 sata

Rok od 72 sata izgrađen je oko jedne ideje: svjesnosti. Prema članku 33. GDPR-a, voditelj obrade mora prijaviti povredu osobnih podataka relevantnom nadzornom tijelu u roku od 72 sata od saznanja o njoj. U Ujedinjenom Kraljevstvu to je tijelo Informacijski povjerenik (ICO). U EU-u to je tijelo za zaštitu podataka relevantne države članice.

Dvije točke često izazivaju zabunu:

  • Sat počinje teći od saznanja, a ne od napada. Povreda se mogla dogoditi danima ili tjednima ranije. Rok teče od trenutka kada organizacija ima razuman stupanj sigurnosti da su osobni podaci kompromitirani.
  • Rok nije pauza za istragu. Od organizacija se očekuje da djeluju brzo. Kada potpuni detalji još nisu dostupni, uobičajeni pristup je prijaviti ono što je poznato i pružiti dodatne informacije u fazama.

Propuštanje roka bez razumnog opravdanja samo po sebi može biti kršenje članka 33, što voditelja obrade izlaže provedbenim mjerama, prema pravnom komentaru tog pravila.

Praktična napomena: 72 sata uključuju vikende i državne praznike. Povrede ne čekaju radno vrijeme, pa je ispitan plan odgovora na incidente važniji od dobrih namjera.

Što tvrtke moraju reći ICO-u i pogođenim osobama

Obavještavanje regulatora i obavještavanje pojedinaca dvije su odvojene obveze s različitim okidačima.

Obavještavanje ICO-a. Prijava je općenito potrebna osim ako povreda vjerojatno neće rezultirati rizikom za prava i slobode ljudi. Prijava treba opisati prirodu povrede, kategorije i približne brojeve pogođenih osoba i zapisa, vjerojatne posljedice te mjere poduzete ili predložene za rješavanje. Također treba uključivati podatke za kontakt osobe za zaštitu podataka u organizaciji.

Obavještavanje pojedinaca. Kada povreda vjerojatno rezultira visokim rizikom za ljude, organizacija mora također obavijestiti pogođene bez nepotrebnog odgađanja. Ta poruka treba biti napisana jasnim jezikom i objasniti što se dogodilo, koje su vjerojatne posljedice i koje korake ljudi mogu poduzeti da se zaštite.

Prag za kontaktiranje pojedinaca viši je od praga za kontaktiranje regulatora. Ukradeni skenovi putovnica, zdravstveni zapisi ili financijski podaci obično se udobno nalaze iznad njega. Slučajevi poput Deadlock ransomware curenja podataka iz putovnica LT Group pokazuju kako identifikacijski dokumenti mogu završiti u rukama kriminalaca, što je upravo vrsta izloženosti koja upućuje na visok rizik.

Od organizacija se također očekuje da vode internu evidenciju svake povrede, uključujući one koje odluče ne prijaviti, zajedno s obrazloženjem.

Što biste trebali učiniti ako su vaši podaci izloženi

Obavijest o povredi može se činiti apstraktnom. Evo konkretnog popisa koji možete proći istog dana.

  1. Promijenite pogođenu lozinku i sve ponovno korištene. Ako ista lozinka štiti druge račune, promijenite i njih. Koristite jedinstvenu lozinku za svaku uslugu, idealno pohranjenu u upravitelju lozinki.
  2. Uključite višefaktorsku autentifikaciju. Preferirajte aplikaciju za autentifikaciju ili hardverski ključ umjesto tekstualnih poruka gdje je to moguće.
  3. Pažljivo pročitajte obavijest. Zabilježite koje su vrste podataka bile uključene: podaci za kontakt, identifikacijski dokumenti, zdravstvene ili financijske informacije. To vam govori koje rizike treba prioritizirati.
  4. Pratite svoje račune. Provjerite bankovne izvode i izvode kartica te razmotrite uslugu praćenja kredita ako su bili uključeni financijski podaci ili identifikacijski dokumenti.
  5. Budite skeptični prema neočekivanim kontaktima. E-poruke, tekstualne poruke ili pozivi koji se pozivaju na povredu mogu biti stvarni ili mogu biti prijevare koje je koriste kao mamac.
  6. Podnesite zahtjev za pristup podacima. Prema UK i EU GDPR-u možete pitati organizaciju koje osobne podatke čuva o vama i u mnogim slučajevima kako se koriste. To vam pomaže razumjeti stvarnu izloženost i stvara pisani trag.
  7. Znajte svoj put za pritužbu. Ako smatrate da je tvrtka loše postupila s incidentom, možete to podići s ICO-om u Ujedinjenom Kraljevstvu ili svojim nacionalnim tijelom za zaštitu podataka u EU-u.

Zašto ukradeni podaci potiču naknadne prijevare

Početna povreda često je samo prva faza. Ukradeni podaci imaju vrijednost za preprodaju i iznudu, a napadači ih sve više koriste za izravan pritisak na pojedince.

Izvještavanje o AnMed ransomware napadu i prijevari s iznudom pacijenata pokazuje kako to funkcionira: izvješća su sugerirala da su napadači možda koristili ukradene podatke pacijenata za provođenje personaliziranih pokušaja iznude protiv ljudi kojima su pripadali. Osobni podaci čine prijetnju uvjerljivom, zbog čega te poruke mogu biti toliko učinkovite.

Curenja također mogu biti javna. U slučaju ShinyHunters koji su procurili 8,8TB ukradenih podataka One Medical, podaci su objavljeni nakon pritiska iznude, što znači da je svatko potencijalno mogao pristupiti im. Jednom kada informacije izađu, mogu se koristiti za phishing, lažno predstavljanje i ciljane prijevare dugo nakon što se izvorni incident zaboravi.

Zbog toga je pravovremena obavijest važna. Što prije ljudi znaju, prije mogu zaključati račune i prepoznati prijevaru kao takvu. Male organizacije također nisu izuzete, kao što ilustrira Jaipur ransomware slučaj: ransomware ne diskriminira prema veličini tvrtke, a tim bez namjenskog sigurnosnog osoblja i dalje treba plan odgovora.

Što to znači za vas

Zakon vam daje razumno očekivanje da će tvrtka obavijestiti regulatora u roku od 72 sata od saznanja o povredi i izravno vas obavijestiti ako je rizik za vas visok. Ne jamči da će vaši podaci ostati sigurni i ne može poništiti curenje. Vaš vlastiti odgovor je ono što ograničava štetu.

Ako vodite posao, tretirajte 72 sata kao plansko ograničenje: znajte tko odlučuje je li povreda prijavljiva, tko kontaktira ICO i kako biste brzo došli do pogođenih kupaca.

Ključni zaključci

  • Razdoblje od 72 sata počinje kada organizacija sazna za povredu, a ne kada je ona počela.
  • ICO ili EU tijelo moraju biti obaviješteni osim ako je rizik za ljude nevjerojatan; pojedinci moraju biti obaviješteni kada je rizik visok.
  • Promijenite lozinke, omogućite višefaktorsku autentifikaciju i pratite svoje račune čim primite obavijest.
  • S oprezom tretirajte svaku poruku koja spominje povredu, jer kriminalci ponovno koriste ukradene podatke za iznudu i phishing.
  • Iskoristite svoje pravo na zahtjev za podatke kako biste vidjeli što organizacija čuva.

Razumijevanje GDPR pravila o povredi podataka u roku od 72 sata pomaže vam procijeniti postupa li tvrtka ispravno, ali vaša najbolja zaštita je brzo djelovanje. Osigurajte svoje račune danas, ostanite na oprezu zbog naknadnih prijevara i pročitajte gore navedeno izvještavanje o AnMed i ShinyHunters kako biste vidjeli kako se kompromitirani podaci zloupotrebljavaju u praksi.