Ketika sebuah perusahaan kehilangan kendali atas data pribadi, jam mulai berdetak dengan cepat. Di bawah GDPR Inggris dan UE, aturan 72 jam kebocoran data GDPR menetapkan tenggat waktu yang tegas untuk memberi tahu regulator tentang apa yang terjadi. Bagi orang-orang yang datanya terekspos, aturan tersebut juga penting, karena aturan itu membentuk apa yang Anda dengar, kapan Anda mendengarnya, dan apa yang harus Anda lakukan selanjutnya.

Panduan ini menjelaskan prosesnya dengan bahasa yang sederhana, dari sisi perusahaan dan dari sisi Anda.

Kapan jam 72 jam dimulai

Jendela 72 jam dibangun di sekitar satu gagasan: kesadaran. Di bawah Pasal 33 GDPR, pengendali data harus melaporkan kebocoran data pribadi kepada otoritas pengawas yang relevan dalam waktu 72 jam sejak menyadarinya. Di Inggris, otoritas tersebut adalah Information Commissioner's Office (ICO). Di UE, otoritas tersebut adalah otoritas perlindungan data dari negara anggota yang relevan.

Dua hal sering menimbulkan kebingungan:

  • Jam dimulai saat kesadaran, bukan saat serangan. Kebocoran mungkin terjadi beberapa hari atau minggu sebelumnya. Tenggat waktu berjalan sejak organisasi memiliki tingkat kepastian yang wajar bahwa data pribadi telah dikompromikan.
  • Tenggat waktu bukanlah jeda untuk investigasi. Organisasi diharapkan bertindak cepat. Jika detail lengkap belum tersedia, pendekatan yang biasa dilakukan adalah melaporkan apa yang diketahui dan memberikan informasi lebih lanjut secara bertahap.

Melewatkan tenggat waktu tanpa justifikasi yang wajar dapat menjadi pelanggaran Pasal 33 itu sendiri, yang membuat pengendali rentan terhadap tindakan penegakan hukum, menurut komentar hukum tentang aturan tersebut.

Catatan praktis: 72 jam tersebut termasuk akhir pekan dan hari libur umum. Kebocoran tidak menunggu jam kantor, jadi rencana respons insiden yang teruji lebih penting daripada niat baik.

Apa yang harus diberitahukan perusahaan kepada ICO dan orang-orang yang terdampak

Memberi tahu regulator dan memberi tahu individu adalah dua kewajiban terpisah dengan pemicu yang berbeda.

Memberi tahu ICO. Laporan umumnya diperlukan kecuali kebocoran tersebut kemungkinan besar tidak akan mengakibatkan risiko terhadap hak dan kebebasan orang. Notifikasi harus menjelaskan sifat kebocoran, kategori dan perkiraan jumlah orang dan catatan yang terdampak, konsekuensi yang mungkin terjadi, dan langkah-langkah yang diambil atau diusulkan untuk menanganinya. Notifikasi juga harus menyertakan detail kontak untuk kontak perlindungan data organisasi.

Memberi tahu individu. Ketika kebocoran kemungkinan besar mengakibatkan risiko tinggi bagi orang, organisasi juga harus memberi tahu mereka yang terdampak tanpa penundaan yang tidak semestinya. Pesan tersebut harus ditulis dengan bahasa yang jelas dan menjelaskan apa yang terjadi, apa konsekuensi yang mungkin terjadi, dan langkah apa yang dapat diambil orang untuk melindungi diri mereka sendiri.

Ambang batas untuk menghubungi individu lebih tinggi daripada ambang batas untuk menghubungi regulator. Pindaian paspor yang dicuri, catatan kesehatan, atau detail keuangan cenderung berada jauh di atasnya. Kasus seperti kebocoran ransomware Deadlock atas data paspor LT Group menunjukkan bagaimana dokumen identitas dapat berakhir di tangan penjahat, yang justru merupakan jenis eksposur yang mengindikasikan risiko tinggi.

Organisasi juga diharapkan menyimpan catatan internal setiap kebocoran, termasuk yang mereka putuskan untuk tidak dilaporkan, beserta alasannya.

Apa yang harus Anda lakukan jika data Anda terekspos

Pemberitahuan kebocoran bisa terasa abstrak. Berikut adalah daftar periksa konkret yang dapat Anda lakukan pada hari yang sama.

  1. Ganti kata sandi yang terdampak dan kata sandi lain yang digunakan ulang. Jika kata sandi yang sama melindungi akun lain, ganti juga. Gunakan kata sandi unik untuk setiap layanan, idealnya disimpan di pengelola kata sandi.
  2. Aktifkan autentikasi multi-faktor. Utamakan aplikasi autentikator atau kunci perangkat keras daripada pesan teks jika memungkinkan.
  3. Baca pemberitahuan dengan cermat. Catat jenis data apa yang terlibat: detail kontak, dokumen identitas, informasi kesehatan atau keuangan. Ini memberi tahu Anda risiko mana yang harus diprioritaskan.
  4. Pantau akun Anda. Periksa rekening bank dan tagihan kartu serta pertimbangkan layanan pemantauan kredit jika data keuangan atau dokumen identitas terlibat.
  5. Bersikap skeptis terhadap kontak tak terduga. Email, pesan teks, atau panggilan yang menyebut kebocoran mungkin asli, atau mungkin penipuan yang menggunakannya sebagai umpan.
  6. Ajukan permintaan akses subjek. Di bawah GDPR Inggris dan UE, Anda dapat menanyakan kepada organisasi data pribadi apa yang mereka simpan tentang Anda, dan dalam banyak kasus bagaimana data itu digunakan. Ini membantu Anda memahami eksposur nyata Anda dan membuat jejak dokumentasi.
  7. Ketahui jalur pengaduan Anda. Jika Anda merasa perusahaan menangani insiden dengan buruk, Anda dapat mengangkatnya ke ICO di Inggris atau otoritas perlindungan data nasional Anda di UE.

Mengapa data curian memicu penipuan lanjutan

Kebocoran awal sering kali hanya tahap pertama. Data curian memiliki nilai jual kembali dan pemerasan, dan penyerang semakin sering menggunakannya untuk menekan individu secara langsung.

Liputan tentang serangan ransomware AnMed dan penipuan pemerasan pasien menunjukkan bagaimana ini bekerja: laporan menunjukkan penyerang mungkin telah menggunakan data pasien curian untuk menjalankan upaya pemerasan yang dipersonalisasi terhadap orang-orang yang memiliki data tersebut. Detail pribadi membuat ancaman terasa kredibel, itulah sebabnya pesan-pesan ini bisa sangat efektif.

Kebocoran juga bisa bersifat publik. Dalam kasus ShinyHunters membocorkan 8,8TB data curian One Medical, data dipublikasikan setelah tekanan pemerasan, yang berarti siapa pun berpotensi mengaksesnya. Setelah informasi tersebar, informasi itu dapat digunakan untuk phishing, penyamaran, dan penipuan bertarget jauh setelah insiden awal terlupakan.

Inilah sebabnya pemberitahuan yang cepat itu penting. Semakin cepat orang tahu, semakin cepat mereka dapat mengunci akun dan mengenali penipuan apa adanya. Organisasi kecil juga tidak dikecualikan, seperti yang diilustrasikan kasus ransomware Jaipur: ransomware tidak membeda-bedakan ukuran perusahaan, dan tim tanpa staf keamanan khusus tetap memerlukan rencana respons.

Apa Artinya Bagi Anda

Hukum memberi Anda harapan yang wajar bahwa perusahaan akan memberi tahu regulator dalam waktu 72 jam sejak menyadari kebocoran, dan memberi tahu Anda secara langsung jika risikonya tinggi bagi Anda. Hukum tidak menjamin data Anda tetap aman, dan tidak dapat membatalkan kebocoran. Respons Anda sendiri adalah yang membatasi kerusakan.

Jika Anda menjalankan bisnis, perlakukan 72 jam sebagai batasan perencanaan: ketahui siapa yang memutuskan apakah suatu kebocoran wajib dilaporkan, siapa yang menghubungi ICO, dan bagaimana Anda akan menjangkau pelanggan yang terdampak dengan cepat.

Poin-poin penting

  • Periode 72 jam dimulai ketika organisasi menyadari kebocoran, bukan ketika kebocoran itu dimulai.
  • ICO atau otoritas UE harus diberi tahu kecuali risiko bagi orang tidak mungkin terjadi; individu harus diberi tahu ketika risikonya tinggi.
  • Ganti kata sandi, aktifkan autentikasi multi-faktor, dan pantau akun Anda segera setelah Anda menerima pemberitahuan.
  • Perlakukan setiap pesan yang menyebut kebocoran dengan hati-hati, karena penjahat menggunakan kembali data curian untuk pemerasan dan phishing.
  • Gunakan hak Anda untuk meminta data Anda untuk melihat apa yang disimpan oleh suatu organisasi.

Memahami aturan 72 jam kebocoran data GDPR membantu Anda menilai apakah suatu perusahaan bertindak dengan benar, tetapi perlindungan terbaik Anda adalah bertindak cepat sendiri. Amankan akun Anda hari ini, tetap waspada terhadap penipuan lanjutan, dan baca liputan AnMed dan ShinyHunters di atas untuk melihat bagaimana data yang bocor disalahgunakan dalam praktik.