Gdy firma traci kontrolę nad danymi osobowymi, zegar zaczyna tykać szybko. Zgodnie z RODO w Wielkiej Brytanii i UE zasada 72 godzin w przypadku naruszenia ochrony danych wyznacza sztywny termin powiadomienia regulatorów o tym, co się stało. Dla osób, których dane zostały ujawnione, te przepisy również mają znaczenie, ponieważ kształtują to, co usłyszysz, kiedy to usłyszysz i co powinieneś zrobić dalej.

Ten przewodnik wyjaśnia ten proces prostym językiem — zarówno z perspektywy firmy, jak i Twojej.

Kiedy zaczyna biec zegar 72 godzin

Okno 72 godzin opiera się na jednej idei: świadomości. Zgodnie z artykułem 33 RODO administrator danych musi zgłosić naruszenie ochrony danych osobowych właściwemu organowi nadzorczemu w ciągu 72 godzin od powzięcia o nim wiedzy. W Wielkiej Brytanii tym organem jest Information Commissioner's Office (ICO). W UE jest to organ ochrony danych odpowiedniego państwa członkowskiego.

Dwa punkty często powodują zamieszanie:

  • Zegar zaczyna biec w momencie powzięcia wiedzy, a nie w momencie ataku. Naruszenie mogło mieć miejsce dni lub tygodnie wcześniej. Termin liczy się od momentu, gdy organizacja ma rozsądny stopień pewności, że doszło do naruszenia danych osobowych.
  • Termin nie jest pauzą na prowadzenie dochodzenia. Organizacje powinny działać szybko. Gdy pełne szczegóły nie są jeszcze dostępne, zwykle zaleca się zgłoszenie tego, co jest znane, i dostarczanie dalszych informacji etapami.

Przekroczenie terminu bez rozsądnego uzasadnienia samo w sobie może stanowić naruszenie artykułu 33, co naraża administratora na działania egzekucyjne — wynika z komentarzy prawnych do tego przepisu.

Uwaga praktyczna: 72 godziny obejmują weekendy i święta państwowe. Naruszenia nie czekają na godziny biurowe, więc przetestowany plan reagowania na incydenty ma większe znaczenie niż dobre intencje.

Co firmy muszą przekazać ICO i poszkodowanym osobom

Powiadomienie regulatora i powiadomienie osób fizycznych to dwa odrębne obowiązki o różnych przesłankach.

Powiadomienie ICO. Zgłoszenie jest co do zasady wymagane, chyba że naruszenie prawdopodobnie nie spowoduje ryzyka dla praw i wolności osób. Powiadomienie powinno opisywać charakter naruszenia, kategorie i przybliżoną liczbę poszkodowanych osób i rekordów, prawdopodobne konsekwencje oraz środki podjęte lub proponowane w celu zaradzenia sytuacji. Powinno również zawierać dane kontaktowe osoby odpowiedzialnej za ochronę danych w organizacji.

Powiadomienie osób fizycznych. Gdy naruszenie prawdopodobnie spowoduje wysokie ryzyko dla osób, organizacja musi również powiadomić poszkodowanych bez zbędnej zwłoki. Komunikat ten powinien być napisany jasnym językiem i wyjaśniać, co się stało, jakie są prawdopodobne konsekwencje i jakie kroki osoby mogą podjąć, aby się chronić.

Próg dla powiadomienia osób fizycznych jest wyższy niż próg dla powiadomienia regulatora. Skanowane paszporty, dokumentacja medyczna lub dane finansowe zazwyczaj znacznie go przekraczają. Przypadki takie jak wyciek danych paszportowych LT Group w wyniku ataku ransomware Deadlock pokazują, jak dokumenty tożsamości mogą trafić w ręce przestępców, co jest dokładnie tym rodzajem ekspozycji, który wskazuje na wysokie ryzyko.

Organizacje powinny również prowadzić wewnętrzny rejestr każdego naruszenia, w tym tych, których zdecydują się nie zgłaszać, wraz z uzasadnieniem.

Co powinieneś zrobić, jeśli Twoje dane zostały ujawnione

Powiadomienie o naruszeniu może wydawać się abstrakcyjne. Oto konkretna lista kontrolna, którą możesz przejść tego samego dnia.

  1. Zmień dotknięte hasło i wszystkie hasła, które były ponownie używane. Jeśli to samo hasło chroni inne konta, zmień je również. Używaj unikalnego hasła dla każdej usługi, najlepiej przechowywanego w menedżerze haseł.
  2. Włącz uwierzytelnianie wieloskładnikowe. Preferuj aplikację uwierzytelniającą lub klucz sprzętowy zamiast wiadomości tekstowych, jeśli to możliwe.
  3. Uważnie przeczytaj powiadomienie. Zwróć uwagę, jakiego rodzaju dane były zaangażowane: dane kontaktowe, dokumenty tożsamości, informacje zdrowotne lub finansowe. To powie Ci, którym ryzykom nadać priorytet.
  4. Obserwuj swoje konta. Sprawdzaj wyciągi bankowe i z kart kredytowych oraz rozważ usługę monitorowania kredytu, jeśli zaangażowane były dane finansowe lub dokumenty tożsamości.
  5. Bądź sceptyczny wobec nieoczekiwanego kontaktu. E-maile, SMS-y lub telefony odwołujące się do naruszenia mogą być prawdziwe albo mogą być oszustwami, które wykorzystują je jako haczyk.
  6. Złóż wniosek o dostęp do danych (subject access request). Zgodnie z RODO w Wielkiej Brytanii i UE możesz zapytać organizację, jakie dane osobowe przechowuje na Twój temat, a w wielu przypadkach — w jaki sposób są wykorzystywane. Pomaga to zrozumieć Twoją rzeczywistą ekspozycję i tworzy ślad dokumentacyjny.
  7. Znaj swoją ścieżkę skargi. Jeśli uważasz, że firma źle obsłużyła incydent, możesz zgłosić to do ICO w Wielkiej Brytanii lub do krajowego organu ochrony danych w UE.

Dlaczego skradzione dane napędzają kolejne oszustwa

Początkowe naruszenie jest często tylko pierwszym etapem. Skradzione dane mają wartość odsprzedażową i szantażową, a napastnicy coraz częściej wykorzystują je do bezpośredniego wywierania presji na osoby fizyczne.

Relacje o ataku ransomware na AnMed i oszustwie polegającym na szantażowaniu pacjentów pokazują, jak to działa: doniesienia sugerowały, że napastnicy mogli wykorzystać skradzione dane pacjentów do przeprowadzania spersonalizowanych prób szantażu wobec osób, do których te dane należały. Dane osobowe sprawiają, że groźba wydaje się wiarygodna, dlatego takie wiadomości mogą być tak skuteczne.

Wycieki mogą być również publiczne. W przypadku ShinyHunters publikujących 8,8 TB skradzionych danych One Medical dane zostały opublikowane po presji szantażowej, co oznacza, że każdy mógł potencjalnie uzyskać do nich dostęp. Gdy informacje wyciekną, mogą być wykorzystywane do phishingu, podszywania się i ukierunkowanych oszustw na długo po tym, jak pierwotny incydent zostanie zapomniany.

Dlatego szybkie powiadomienie ma znaczenie. Im szybciej ludzie się dowiedzą, tym szybciej mogą zabezpieczyć konta i rozpoznać oszustwo jako takie. Małe organizacje również nie są zwolnione — ilustruje to przypadek ransomware w Jaipur: ransomware nie dyskryminuje ze względu na wielkość firmy, a zespół bez dedykowanego personelu ds. bezpieczeństwa nadal potrzebuje planu reagowania.

Co to oznacza dla Ciebie

Prawo daje Ci uzasadnione oczekiwanie, że firma powiadomi regulatora w ciągu 72 godzin od powzięcia wiedzy o naruszeniu oraz powiadomi Cię bezpośrednio, jeśli ryzyko dla Ciebie jest wysokie. Nie gwarantuje jednak, że Twoje dane pozostaną bezpieczne i nie może cofnąć wycieku. Twoja własna reakcja jest tym, co ogranicza szkody.

Jeśli prowadzisz firmę, traktuj 72 godziny jako ograniczenie planistyczne: wiedz, kto decyduje, czy naruszenie podlega zgłoszeniu, kto kontaktuje się z ICO i w jaki sposób szybko dotrzesz do poszkodowanych klientów.

Najważniejsze wnioski

  • Okres 72 godzin zaczyna się, gdy organizacja poweźmie wiedzę o naruszeniu, a nie gdy się ono rozpoczęło.
  • Należy powiadomić ICO lub organ UE, chyba że ryzyko dla osób jest nieprawdopodobne; osoby fizyczne należy powiadomić, gdy ryzyko jest wysokie.
  • Zmień hasła, włącz uwierzytelnianie wieloskładnikowe i monitoruj swoje konta, gdy tylko otrzymasz powiadomienie.
  • Podchodź ostrożnie do każdej wiadomości, która wspomina o naruszeniu, ponieważ przestępcy wykorzystują skradzione dane do szantażu i phishingu.
  • Skorzystaj z prawa do żądania swoich danych, aby zobaczyć, jakie informacje przechowuje organizacja.

Zrozumienie zasady 72 godzin w przypadku naruszenia ochrony danych w RODO pomaga ocenić, czy firma działa właściwie, ale Twoją najlepszą ochroną jest szybkie działanie na własną rękę. Zabezpiecz swoje konta już dziś, bądź czujny na kolejne oszustwa i przeczytaj powyższe relacje o AnMed i ShinyHunters, aby zobaczyć, jak ujawnione dane są wykorzystywane w praktyce.