Când o companie pierde controlul asupra datelor cu caracter personal, cronometrul începe să ticăie rapid. Conform GDPR din Regatul Unit și UE, regulile GDPR privind încălcarea datelor în 72 de ore stabilesc un termen ferm pentru a informa autoritățile de reglementare despre ceea ce s-a întâmplat. Pentru persoanele ale căror date au fost expuse, aceste reguli contează de asemenea, pentru că ele modelează ce auzi, când auzi și ce ar trebui să faci în continuare.

Acest ghid explică procesul într-un limbaj simplu, atât din perspectiva companiei, cât și din a ta.

Când începe cronometrul de 72 de ore

Fereastra de 72 de ore este construită în jurul unei singure idei: conștientizarea. Conform Articolului 33 din GDPR, un operator de date trebuie să notifice o încălcare a datelor cu caracter personal către autoritatea de supraveghere relevantă în termen de 72 de ore de la momentul în care ia cunoștință de aceasta. În Regatul Unit, această autoritate este Information Commissioner's Office (ICO). În UE, este autoritatea de protecție a datelor din statul membru relevant.

Două aspecte creează adesea confuzie:

  • Cronometrul începe la momentul conștientizării, nu al atacului. O încălcare poate să fi avut loc cu zile sau săptămâni înainte. Termenul curge din momentul în care organizația are un grad rezonabil de certitudine că datele cu caracter personal au fost compromise.
  • Termenul nu este o pauză pentru investigație. Organizațiile sunt așteptate să acționeze rapid. Atunci când detaliile complete nu sunt încă disponibile, abordarea obișnuită este să raportezi ceea ce se știe și să furnizezi informații suplimentare în etape.

Ratarea termenului fără o justificare rezonabilă poate fi în sine o încălcare a Articolului 33, ceea ce expune operatorul la acțiuni de executare, potrivit comentariilor juridice privind regula.

O notă practică: cele 72 de ore includ weekendurile și sărbătorile legale. Încălcările nu așteaptă orele de program, așa că un plan de răspuns la incidente testat contează mai mult decât o bună intenție.

Ce trebuie să comunice companiile către ICO și persoanelor afectate

Notificarea autorității de reglementare și notificarea persoanelor sunt două obligații separate cu declanșatoare diferite.

Informarea ICO. Un raport este în general necesar, cu excepția cazului în care încălcarea este puțin probabil să genereze un risc pentru drepturile și libertățile persoanelor. Notificarea ar trebui să descrie natura încălcării, categoriile și numărul aproximativ de persoane și înregistrări afectate, consecințele probabile și măsurile luate sau propuse pentru a o aborda. Ar trebui să includă, de asemenea, datele de contact ale persoanei responsabile cu protecția datelor din cadrul organizației.

Informarea persoanelor. Atunci când o încălcare este probabil să genereze un risc ridicat pentru persoane, organizația trebuie să informeze și persoanele afectate fără întârziere nejustificată. Acest mesaj ar trebui să fie scris într-un limbaj clar și să explice ce s-a întâmplat, care sunt consecințele probabile și ce măsuri pot lua persoanele pentru a se proteja.

Pragul pentru contactarea persoanelor este mai ridicat decât pragul pentru contactarea autorității de reglementare. Scanările de pașapoarte furate, dosarele medicale sau detaliile financiare tind să se situeze confortabil peste acest prag. Cazuri precum scurgerea de date cu pașapoarte ale LT Group prin ransomware Deadlock arată cum documentele de identitate pot ajunge în mâinile infractorilor, ceea ce este exact tipul de expunere care indică un risc ridicat.

Organizațiile sunt, de asemenea, așteptate să păstreze o evidență internă a fiecărei încălcări, inclusiv a celor pe care decid să nu le raporteze, împreună cu raționamentul.

Ce ar trebui să faci dacă datele tale sunt expuse

O notificare de încălcare poate părea abstractă. Iată o listă concretă pe care o poți parcurge în aceeași zi.

  1. Schimbă parola afectată și orice parole reutilizate. Dacă aceeași parolă protejează și alte conturi, schimbă-le și pe acelea. Folosește o parolă unică pentru fiecare serviciu, ideal stocată într-un manager de parole.
  2. Activează autentificarea multi-factor. Preferă o aplicație de autentificare sau o cheie hardware în locul mesajelor text, acolo unde este posibil.
  3. Citește cu atenție notificarea. Notează ce tipuri de date au fost implicate: date de contact, documente de identitate, informații medicale sau financiare. Aceasta îți indică ce riscuri să prioritizezi.
  4. Urmărește-ți conturile. Verifică extrasele bancare și de card și ia în considerare un serviciu de monitorizare a creditului dacă au fost implicate date financiare sau documente de identitate.
  5. Fii sceptic față de contactele neașteptate. Emailurile, mesajele text sau apelurile care fac referire la încălcare pot fi autentice sau pot fi escrocherii care o folosesc ca momeală.
  6. Fă o cerere de acces la date. Conform GDPR din Regatul Unit și UE, poți cere unei organizații ce date cu caracter personal deține despre tine și, în multe cazuri, cum sunt utilizate. Acest lucru te ajută să înțelegi expunerea ta reală și creează o urmă documentară.
  7. Cunoaște-ți calea de reclamație. Dacă simți că compania a gestionat incidentul prost, poți sesiza ICO în Regatul Unit sau autoritatea națională de protecție a datelor din UE.

De ce datele furate alimentează escrocheriile ulterioare

Încălcarea inițială este adesea doar prima etapă. Datele furate au valoare de revânzare și de extorcare, iar atacatorii le folosesc din ce în ce mai mult pentru a presa direct persoanele.

Relatările despre atacul ransomware AnMed și escrocheria de extorcare a pacienților arată cum funcționează acest lucru: rapoartele sugerau că atacatorii ar fi putut folosi datele furate ale pacienților pentru a desfășura tentative de extorcare personalizate împotriva persoanelor cărora le aparțineau. Detaliile personale fac o amenințare să pară credibilă, motiv pentru care aceste mesaje pot fi atât de eficiente.

Scurgerile pot fi și publice. În cazul ShinyHunters care a scurs 8,8TB de date furate de la One Medical, datele au fost publicate după presiunea de extorcare, ceea ce înseamnă că oricine le putea accesa potențial. Odată ce informațiile sunt afară, ele pot fi folosite pentru phishing, uzurpare de identitate și fraudă țintită mult timp după ce incidentul original este uitat.

De aceea notificarea promptă contează. Cu cât oamenii află mai repede, cu atât pot bloca mai repede conturile și pot recunoaște o escrocherie pentru ceea ce este. Nici organizațiile mici nu sunt scutite, după cum ilustrează cazul ransomware Jaipur: ransomware-ul nu face discriminare după dimensiunea companiei, iar o echipă fără personal dedicat de securitate are totuși nevoie de un plan de răspuns.

Ce înseamnă acest lucru pentru tine

Legea îți oferă o așteptare rezonabilă că o companie va informa autoritatea de reglementare în termen de 72 de ore de la momentul în care ia cunoștință de o încălcare și te va informa direct dacă riscul pentru tine este ridicat. Nu garantează că datele tale rămân în siguranță și nu poate anula o scurgere. Propriul tău răspuns este ceea ce limitează daunele.

Dacă conduci o afacere, tratează cele 72 de ore ca pe o constrângere de planificare: știi cine decide dacă o încălcare este raportabilă, cine contactează ICO și cum ai ajunge rapid la clienții afectați.

Concluzii cheie

  • Perioada de 72 de ore începe atunci când o organizație ia cunoștință de o încălcare, nu atunci când aceasta a început.
  • ICO sau autoritatea din UE trebuie informată cu excepția cazului în care riscul pentru persoane este puțin probabil; persoanele trebuie informate atunci când riscul este ridicat.
  • Schimbă parolele, activează autentificarea multi-factor și monitorizează-ți conturile imediat ce primești o notificare.
  • Tratează cu prudență orice mesaj care menționează o încălcare, deoarece infractorii refolosesc datele furate pentru extorcare și phishing.
  • Folosește-ți dreptul de a solicita datele pentru a vedea ce deține o organizație.

Înțelegerea regulilor GDPR privind încălcarea datelor în 72 de ore te ajută să judeci dacă o companie acționează corect, dar cea mai bună protecție a ta este să acționezi rapid tu însuți. Securizează-ți conturile astăzi, rămâi vigilent față de escrocheriile ulterioare și citește relatările despre AnMed și ShinyHunters de mai sus pentru a vedea cum datele compromise sunt folosite abuziv în practică.