Что происходит после утечки данных и как в таких ситуациях нужно действовать? Поясняет Государственная инспекция данных.
Об утечке данных должно быть сообщено
При получении от организации сообщения об утечке Государственная инспекция данных (ГИД) в первую очередь выясняет:
- что произошло;
- каковы обстоятельства нарушения;
- какие меры приняты для устранения или уменьшения его последствий.
Организация обязана сообщать в ГИД об утечке персональных данных, если это может создать риск для прав и свобод физических лиц.
Полученное от организации сообщение оценивается по существу. Для полноценного понимания произошедшего ГИД запрашивает у организации дополнительную информацию об обстоятельствах инцидента, его причинах и принятых мерах безопасности. ГИД оценивает, например, как возникло нарушение, какие технические и организационные меры безопасности были введены в организации, какие риски были выявлены и как организация ими распоряжалась.
Важно понимать, что сам факт нарушения защиты персональных данных автоматически не означает, что организация не соблюдала требования к защите данных. Инциденты могут произойти и в том случае, если организацией введены соответствующие технические и организационные мероприятия.
Поэтому ГИД оценивает не только то, что произошло, но и то, почему это произошло, могла ли организация предвидеть соответствующий риск и принимала ли она соразмерные меры для предотвращения инцидента или уменьшения его возможности и последствий.
Как действовать человеку
Если ГИД о конкретном нарушении защиты личных данных уже известно и оно оценивается, не требуется подавать жалобу только для того, чтобы повторно информировать ГИД о самом факте инцидента.
Обращаться в ГИД может быть целесообразно, если в распоряжении лица имеется новая информация, которая до сих пор не была известна и может быть существенной для оценки инцидента.
Если в жалобе указываются обстоятельства, которые ГИД уже оценивает в связи с конкретным инцидентом, полученные по этому инциденту жалобы могут быть обобщены и оценены в общей связи в рамках единой проверки без оценки индивидуальных жалоб.
ГИД не принимает решения о выплате компенсации в связи с нарушением защиты личных данных подателю жалобы. Вопрос о возмещении вреда решается в гражданско-процессуальном порядке путем обращения в суд и представления доказательств причиненного вреда.
Если лицо узнает, что в организации, в распоряжении которой имеются ее личные данные, произошла утечка, сначала необходимо ознакомиться с предоставленной организацией информацией. В нем должны быть указаны известные организации масштабы инцидента, затронутые личные данные, возможные последствия и принятые или планируемые меры по минимизации рисков. Если организация уже предоставила всю имеющуюся у нее информацию, обратившись к ней отдельно, более подробную информацию об инциденте не всегда можно будет получить. Если же после ознакомления с сообщением остаются конкретные вопросы по персональным данным, нужно обратиться в организацию, чтобы их уточнить.
