Povreda ličnih podataka

Prema članu 4. tački 12. GDPR-a, povreda ličnih podataka postoji kada povreda sigurnosti dovede do slučajnog ili nezakonitog uništenja, gubitka ili izmjene ličnih podataka, ili do njihovog neovlaštenog otkrivanja odnosno pristupa. Primjeri su slanje e-maila pogrešnom primaocu, gubitak uređaja, napad ucjenjivačkim softverom ili pristup osobe koja za to nema ovlaštenje.

Povrede se najčešće razvrstavaju na povredu povjerljivosti, integriteta i dostupnosti. Otkrivanje podataka neovlaštenoj osobi odnosi se na povjerljivost, neovlaštena izmjena na integritet, a gubitak pristupa ili uništenje podataka na dostupnost. Zato svaki IT sigurnosni incident nije automatski i povreda ličnih podataka. Bitno je da su pogođeni lični podaci.

Nakon incidenta voditelj obrade treba brzo utvrditi koji su podaci i lica pogođeni, koje posljedice mogu nastati i koje zaštitne mjere postoje. Povredu treba dokumentovati. Ako će ona vjerovatno prouzrokovati rizik za prava i slobode fizičkih lica, nadzorni organ treba obavijestiti bez odlaganja i, kada je moguće, u roku od 72 sata. Ako postoji vjerovatan visok rizik, možda je potrebno obavijestiti i pogođena lica. Tema o povredama podataka i obavezama prijave, prva provjera povrede podataka i kontrolna lista za dokumentovanje povrede pomažu pri prvoj procjeni.