Duomenų saugumo pažeidimo pranešimas
Duomenų saugumo pažeidimo pranešimas yra teisinis reikalavimas informuoti priežiūros institucijas ir kai kuriais atvejais paveiktus asmenis, kai asmeniniai duomenys buvo pažeisti dėl saugumo pažeidimo. Pagal BDAR valdytojai privalo pranešti savo priežiūros institucijai per 72 valandas nuo sužinojimo apie pažeidimą, keliantį riziką žmonių teisėms ir laisvėms, ir tiesiogiai pranešti paveiktiems asmenims, jei pažeidimas kelia didelę riziką.
Teisinis pagrindas
„Įvykus asmens duomenų saugumo pažeidimui, valdytojas nedelsiant ir, jei įmanoma, ne vėliau kaip per 72 valandas nuo sužinojimo apie jį, praneša apie asmens duomenų saugumo pažeidimą priežiūros institucijai, kuriai suteikti įgaliojimai pagal 55 straipsnį, nebent asmens duomenų saugumo pažeidimas vargu ar sukels riziką fizinių asmenų teisėms ir laisvėms."
— 33 straipsnio 1 dalis, Reglamentas (ES) 2016/679 (BDAR)
„Kai asmens duomenų saugumo pažeidimas gali sukelti didelę riziką fizinių asmenų teisėms ir laisvėms, valdytojas nedelsiant praneša duomenų subjektui apie asmens duomenų saugumo pažeidimą."
— 34 straipsnio 1 dalis, Reglamentas (ES) 2016/679 (BDAR)
Kodėl tai svarbu
Duomenų saugumo pažeidimo pranešimo pareigos taikomos bet kuriai organizacijai, kuri tvarko asmeninius duomenis politinės reklamos paslaugų kontekste. Rėmėjams, leidėjams ir politinės reklamos paslaugų teikėjams pagal Reglamentą 2024/900 tai reiškia, kad bet koks neteisėtas prieiga prie asmeninių duomenų, naudojamų tikslinimui ar skelbimų pristatymui, jų praradimas ar pakeitimas turi būti nedelsdamas praneštas atitinkamai duomenų apsaugos institucijai.
72 valandų pranešimo terminas yra griežtas ir prasideda nuo tada, kai organizacija sužino apie pažeidimą, o ne nuo tada, kai ji baigia jį tirti. Organizacijos privalo turėti vidines procedūras, skirtas greitai aptikti, ištirti ir pranešti apie pažeidimus. Nepranešimas gali būti baudžiamas baudomis iki 10 milijonų eurų arba 2 % metinių pasaulinių pajamų pagal BDAR.
Konkrečiai politinės reklamos atveju pažeidimai, susiję su tikslinimo duomenimis, rinkėjų profiliais ar politinėmis nuostatomis, yra ypač jautrūs. Šie pažeidimai gali paveikti asmenis manipuliacijomis, diskriminacija ar atsakomosiomis priemonėmis, todėl savalaikis pranešimas yra labai svarbus apsaugant demokratinius procesus ir individualias teises.
Pagrindiniai aspektai
- Valdytojai privalo pranešti savo priežiūros institucijai per 72 valandas nuo sužinojimo apie pažeidimą, nebent pažeidimas vargu ar kels riziką asmenų teisėms ir laisvėms
- Jei pažeidimas kelia didelę riziką asmenims, jiems turi būti pranešta tiesiogiai nedelsiant
- Pranešimuose turi būti aprašyta pažeidimo pobūdis, paveiktų asmenų ir įrašų kategorijos bei apytikris skaičius bei priemonės, imtos spręsti problemą
- Tvarkytojai privalo nedelsdami pranešti valdytojams apie pažeidimą, kai tik jį aptinka, kad valdytojai galėtų laikytis savo pranešimo terminų
- Organizacijos turėtų tvarkyti visų pažeidimų dokumentaciją, įskaitant tuos, apie kuriuos nepranešta, siekdamos įrodyti atitiktį
- Baudos už nepranešimą gali siekti 10 milijonų eurų arba 2 % metinių pasaulinių pajamų, atsižvelgiant į tai, kuri suma didesnė
Duomenų saugumo pažeidimo pranešimas ir skaidrumo pranešimas
Nors abu apima atskleidimo pareigas, duomenų saugumo pažeidimo pranešimas ir skaidrumo pranešimai tarnauja skirtingiems tikslams. Duomenų saugumo pažeidimo pranešimas yra reaktyvus, incidentu grindžiamas reikalavimas, sukeliamas, kai pažeidžiamas asmeninių duomenų saugumas. Jis turi būti pateiktas priežiūros institucijoms per 72 valandas ir paveiktiems asmenims, kai egzistuoja didelė rizika.
Skaidrumo pranešimas (pvz., privatumo pranešimas, reikalaujamas pagal BDAR 13–14 straipsnius, arba skaidrumo pranešimas politinei reklamai pagal Reglamentą 2024/900) yra aktyvi, nuolatinė pareiga informuoti asmenis apie tai, kaip tvarkomi jų duomenys prieš rinkimą arba rinkimo metu. Skaidrumo pranešimai yra prevenciniai ir informatyvūs; pažeidimo pranešimai yra kompensuojamieji ir skubūs.
| Aspektas | Duomenų saugumo pažeidimo pranešimas | Skaidrumo pranešimas |
|---|---|---|
| Sukėlėjas | Saugumo incidentas | Duomenų rinkimas/tvarkymas |
| Laikas | 72 valandos (institucijai) | Prieš/renkant |
| Auditorija | Institucija + paveikti asmenys | Visi duomenų subjektai |
| Tikslas | Reakcija į incidentą | Nuolatinis skaidrumas |
Susiję terminai
- Asmens duomenys
- Duomenų apsaugos institucija
- Valdytojas
- Tvarkytojas
- BDAR atitiktis
- Tikslinimo metodai
- Saugumo priemonės
- Priežiūros institucija
- Privatumo pranešimas
- Duomenų subjekto teisės