Czy atak ransomware trzeba zgłosić na podstawie RODO?

Często tak, jeśli dotyczył danych osobowych, nawet gdy nic nie zostało skradzione. RODORODO: ogólne rozporządzenie o ochronie danych. Unijne prawo o ochronie danych osobowych (rozporządzenie (UE) 2016/679). w art. 4 pkt 12 definiuje naruszenie ochrony danych osobowych jako naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych. Zaszyfrowanie przez ransomware czyni dane niedostępnymi, co jest naruszeniem dostępności, a atakujący często kopiują dane przed szyfrowaniem. Zgodnie z art. 33 administrator zgłasza naruszenie organowi nadzorczemu bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od stwierdzenia, chyba że jest mało prawdopodobne, by skutkowało ryzykiem dla osób, na przykład gdy świeża kopia zapasowa szybko wszystko odtworzyła, a nic nie opuściło sieci. Uzasadnienie trzeba udokumentować w obu przypadkach. NetSenX może pokazać, czy przed szyfrowaniem z monitorowanych urządzeń wychodziły nietypowe wysyłki, co ma znaczenie dla tej oceny.

Informacja ogólna, nie porada prawna. Przepisy krajowe mogą uzupełniać cytowane tu akty UE, na przykład o terminy, formularze czy kanały zgłoszeń: sprawdź przepisy swojego kraju.

← Wszystkie pytania (35): Terminy zgłaszania incydentówWszystkie tematy