Уведомяване за нарушение на сигурността на данните

Уведомяването за нарушение на сигурността на данните е законово изискване за информиране на надзорните органи и, в някои случаи, на засегнатите лица, когато личните данни са били компрометирани в резултат на нарушение на сигурността. Съгласно ОРЗД администраторите трябва да уведомят своя надзорен орган в рамките на 72 часа след като узнаят за нарушение, което представлява риск за правата и свободите на хората, и да уведомят пряко засегнатите лица, ако нарушението представлява висок риск.

Правно основание

„В случай на нарушение на сигурността на личните данни администраторът уведомява без неоправдано забавяне и, когато е възможно, не по-късно от 72 часа след като е узнал за него, за нарушението на сигурността на личните данни компетентния надзорен орган в съответствие с член 55, освен ако нарушението на сигурността на личните данни не е вероятно да породи риск за правата и свободите на физическите лица."

— Член 33, параграф 1, Регламент (ЕС) 2016/679 (ОРЗД)

„Когато нарушението на сигурността на личните данни е вероятно да породи висок риск за правата и свободите на физическите лица, администраторът уведомява субекта на данните за нарушението на сигурността на личните данни без неоправдано забавяне."

— Член 34, параграф 1, Регламент (ЕС) 2016/679 (ОРЗД)

Защо е важно

Задълженията за уведомяване за нарушение на сигурността на данните засягат всяка организация, която обработва лични данни в контекста на услуги за политическа реклама. За спонсорите, издателите и доставчиците на услуги за политическа реклама съгласно Регламент 2024/900 (TTPA) това означава, че всеки неоторизиран достъп до, загуба на или изменение на лични данни, използвани за насочване или доставка на реклами, трябва своевременно да бъде докладван на съответния орган за защита на данните.

72-часовият прозорец за уведомяване е стриктен и започва от момента, в който организацията узнае за нарушението, а не когато приключи разследването му. Организациите трябва да имат вътрешни процеси за откриване, разследване и докладване на нарушения бързо. Неуведомяването може да доведе до глоби до 10 милиона евро или 2% от глобалния годишен оборот съгласно ОРЗД.

По отношение на политическата реклама по-специално, нарушенията, включващи данни за насочване, профили на избиратели или политически предпочитания, са особено чувствителни. Тези нарушения могат да изложат лица на манипулация, дискриминация или ответни вреди, което прави своевременното уведомяване критично за защитата на демократичните процеси и индивидуалните права.

Ключови точки

• Администраторите трябва да уведомят своя надзорен орган в рамките на 72 часа след като узнаят за нарушение, освен ако нарушението не е вероятно да застраши правата и свободите на лицата
• Ако нарушението представлява висок риск за лицата, те трябва да бъдат уведомени пряко без неоправдано забавяне
• Уведомленията трябва да описват естеството на нарушението, категориите и приблизителния брой на засегнатите лица и записи, както и мерките, предприети за справяне с него
• Обработващите лични данни трябва да уведомят администраторите незабавно след откриване на нарушение, за да могат администраторите да спазят своите собствени срокове за уведомяване
• Организациите следва да поддържат документация на всички нарушения, включително тези, които не са докладвани, за да демонстрират съответствие
• Санкциите за неуведомяване могат да достигнат 10 милиона евро или 2% от глобалния годишен оборот, което от двете е по-високо

Уведомяване за нарушение на сигурността на данните срещу уведомление за прозрачност

Въпреки че и двете включват задължения за оповестяване, уведомяването за нарушение на сигурността на данните и уведомленията за прозрачност служат за различни цели. Уведомяването за нарушение на сигурността на данните е реактивно, задействано от инцидент изискване, което се активира, когато сигурността на личните данни е компрометирана. То трябва да бъде доставено на надзорните органи в рамките на 72 часа и на засегнатите лица, когато съществува висок риск.

Уведомлението за прозрачност (като уведомлението за поверителност, изисквано съгласно членове 13-14 от ОРЗД, или уведомлението за прозрачност за политическа реклама съгласно Регламент 2024/900 (TTPA)) е проактивно, текущо задължение да се информират лицата как техните данни се обработват преди или в момента на събирането. Уведомленията за прозрачност са превантивни и информационни; уведомленията за нарушения са коригиращи и спешни.

Свързани термини

• Лични данни
• Орган за защита на данните
• Администратор
• Обработващ лични данни
• Съответствие с ОРЗД
• Техники за насочване
• Мерки за сигурност
• Надзорен орган
• Уведомление за поверителност
• Права на субектите на данни