Így értékeljük az adatvédelmi incidenseket – példákkal

Megosztás Tetszik

Az általános adatvédelmi rendelet (GDPR) az adatvédelmi incidens kezelésére szigorú szabályokat fogalmaz meg. Ezek értelmezéséhez segítséget nyújthat az Európai Adatvédelmi Testület 1/2021. számú adatvédelmi incidensekre vonatkozó példasora. Az alábbiakban ennek fontosabb elemeit mutatjuk be.

Ezt tekintjük adatvédelmi incidensnek és ezek a kötelezettségek

Az adatvédelmi incidens a GDPR (2016/679. számú általános adatvédelmi rendelet) 4. cikkében foglalt definíció szerint a biztonság olyan sérülése, amely a továbbított, tárolt vagy más módon kezelt személyes adatok véletlen vagy jogellenes megsemmisítését, elvesztését, megváltoztatását, jogosulatlan közlését vagy az azokhoz való jogosulatlan hozzáférést eredményezi. A leggyakoribb adatvédelmi incidens az adathordozó (pl. pendrive, laptop) elvesztése, a küldemény téves címzettnek történő megküldése vagy átadása, illetve az informatikai rendszerhez történő jogosulatlan hozzáférés (hackertámadás).

Adatvédelmi incidens esetén az adatkezelőnek többrétegű kötelezettségei vannak. Az első lépés az adatvédelmi incidens kivizsgálása, illetve az eredmények (incidens bekövetkezésének és észlelésének időpontja, érintett személyek és személyes adatok megjelölése, az incidens pontos leírása, az incidens okának és hatásainak megjelölése, illetve a kiküszöbölésre tett prevenciós intézkedések megnevezése) adatvédelmiincidens-nyilvántartásban történő rögzítése. Nyilvántartásba vétel tehát minden adatvédelmi incidens esetében szükséges. Amennyiben az adatvédelmi incidens kockázattal jár, abban az esetben azt a felügyeleti hatóságnak be is kell jelenteni. A kockázat szinte valamennyi incidens vonatkozásában előáll, így a mentesség kivételként értékelendő. Magas kockázatú adatvédelmi incidens esetében pedig az incidensről az érintettet is tájékoztatni szükséges. Magas kockázatú az incidens például abban az esetben, ha az különleges vagy érzékeny személyes adatokat érint, az érintettet kiszolgáltatott helyzetbe hozza, fennáll a pénzügyi veszteség, reputációs kockázat, hátrányos megkülönböztetés veszélye, illetve az személyazonossággal való visszaéléshez vezethet. Az alábbiakban az értékelés módját mutatjuk be példákon keresztül.

Olvassa tovább cikkünket, hogy konkrét példákon keresztül megtudja, mi a teendő adatvédelmi incidens esetén, mikor kell jelenteni azt az adatvédelmi hatóságnak, illetve milyen kötelezettségei vannak az adatkezelőnek egy ilyen esetben!