Sajnos gyakran előfordul, hogy elveszítjük vagy ellopják hordozható eszközeinket, például a telefonunkat vagy laptopunkat. Ilyenkor az adatkezelőnek figyelembe kell venni az adatok védelmének biztosítása érdekében az adatfeldolgozási tevékenység körülményeit, például az eszközön tárolt adatok típusát, a kiegészítő eszközöket, a jogsértés előtt megtett intézkedéseket. Ezek az elemek befolyásolják az incidens lehetséges hatásait. A kockázatértékelés elvégzése nehézkes lehet, mert a hordozható eszköz a lopás vagy elveszítés következtében már nem lesz számunkra hozzáférhető. Az ilyen jellegű jogsértések mindig a bizalmas jelleg megsértésének minősíthetőek. Ha azonban az ellopott adatbázisról nincs biztonsági másolat, akkor a jogsértés típusa lehet az integritás, valamint korlátozott tárolhatóság elvének megszegése is.
Az Európai Adatvédelmi Testület a 01/2021-es Iránymutatásában példa eseteket hoz fel és elemez abból a szempontból, hogy a fent említett körülmények hogyan befolyásolják az adatbiztonság megszegésének valószínűségét és súlyosságát. (Guidelines 01/2021 on Examples regarding Data Breach Notification, https://edpb.europa.eu/sites/default/files/consultation/edpb_guidelines_202101_databreachnotificationexamples_v1_en.pdf ). Cikkünkben az Iránymutatás példa jogeseteiből szemezgetünk.
1. Titkosított személyes adatokat tároló eszköz ellopása (Az Iránymutatás 5.1. pontja)
Tényállás
Egy óvodában betörés történt, amely során két tabletet elloptak. A táblagépeken olyan alkalmazás volt telepítve, amelyek személyes adatokat tároltak az óvodába járó gyermekekről. Név, születési dátum, valamint a gyerekek oktatásával kapcsolatos személyes adatok voltak érintettek a jogsértésben. A táblagépek a betöréskor kikapcsolt állapotban voltak, valamint a rajtuk lévő alkalmazást is erős jelszó védte. Miután az óvoda nem sokkal később tudomást szerzett a betörésről, távoli hozzáféréssel törölte a táblagépeken lévő adatokat.
Megelőző intézkedések és kockázatok értékelése
Ebben a konkrét esetben az adatkezelő megfelelő intézkedéseket tett az esetleges adatvédelmi jogsértés következményeinek megelőzésére és enyhítésére az eszközök titkosításával, a megfelelő jelszóvédelem bevezetésével és a táblagépeken tárolt adatok biztonsági mentésének elkészítésével.
A jogsértés tudomására jutása után az adatkezelőnek értékelnie kell a kockázat forrását, az adatkezelést elősegítő rendszereket, az érintett személyes adatok típusát és az adatszegésnek az érintett személyekre gyakorolt lehetséges hatásait. A fent leírt jogsértéssel az érintett adatok titkossága, elérhetősége és integritása sérülhetett volna, azonban az adatkezelő megfelelő intézkedései miatt ezek nem következtek be.
Enyhítő tényezők és kötelezettségek
A táblagépeken, illetve az alkalmazáson használt erős jelszóvédelem következtében nem sérült az eszközökön tárolt adatok bizalmas jellege. A táblagépeket úgy állították be, hogy a jelszó beállításával az eszközökön lévő adatok is titkosítva legyenek. Ezt tovább erősítette az adatkezelő azon célját, hogy megpróbáljon mindent távvezérléssel kitörölni az ellopott eszközökről.
A megtett intézkedések miatt az adatok bizalmas jellege is érintetlen maradt. Ezenkívül a biztonsági mentés biztosította a személyes adatok folyamatos hozzáférhetőségét, ezért nem keletkezhetett potenciális negatív hatás.
Ezen tények miatt a fent leírt adatvédelmi jogsértés valószínűtlen, hogy veszélyeztetné az érintettek jogait és szabadságait, ezért nem kellett bejelenteni azt az adatvédelmi hatóságnak vagy az érintetteket tájékoztatni. Ezt az jogsértést azonban a 33. cikk (5) bekezdésével összhangban is dokumentálni kell.
A megállapított kockázat alapján szükséges intézkedések a következőek:
- belső dokumentáció készítése,
- adatvédelmi hatóság értesítése nem szükséges,
- érintettek értesítése nem szükséges.
2. Nem titkosított adatokat tartalmazó eszköz ellopása (az Iránymutatás 5.2. pontja)
Tényállás
Egy szolgáltató cég alkalmazottjának notebook gépét ellopták. Az ellopott notebook több, mint 100.000 ügyfél nevét, vezetéknevét, nemét, címét és születési idejét tartalmazta. Az ellopott eszköz elérhetetlensége miatt nem sikerült azonosítani, hogy a személyes adatok egyéb kategóriái is érintettek lettek-e az incidenssel. A notebook merevlemezéhez való hozzáférést semmilyen jelszó nem védte. A személyes adatok visszaállíthatók voltak a rendelkezésre álló napi biztonsági mentésekből.
Megelőző intézkedések és kockázatok értékelése
Az adatkezelő semmilyen előzetes biztonsági intézkedést nem tett, ezért az ellopott notebook-ban tárolt személyes adatok könnyen hozzáférhetőek voltak a tolvaj vagy bármely más számára, akinek az eszköz birtokába került.
Ez a jogsértés az ellopott eszközön tárolt adatok bizalmas jellegét érinti. A személyes adatokat tartalmazó notebook ebben az esetben támadható volt, mert nem rendelkezett jelszóval vagy titkosítással. Az alapvető biztonsági intézkedések hiánya növeli az érintettek kockázati szintjét. Továbbá az érintettek azonosítása szintén problematikus, ami ismételten növeli a jogsértés súlyosságát. Az érintett személyek jelentős száma növeli a kockázatot, azonban különleges adatok nem sérültek a jogsértés során.
A kockázatértékelés során az adatkezelőnek figyelembe kell vennie a bizalmas jelleg megsértésének lehetséges következményeit és káros hatásait. A jogsértés következtében az érintettek személyazonosság-lopást szenvedhetnek el az ellopott eszközön rendelkezésre álló adatok segítségével, ezért a kockázat magasnak tekinthető.
Enyhítő tényezők és kötelezettségek
Az eszköz titkosítása és a tárolt adatbázis erős jelszóval történő védelme megakadályozhatta volna a jogsértést, amely az érintettek jogait és szabadságait veszélyeztette. Ezen körülmények miatt szükség van az eset adatvédelmi hatóság számára való bejelentésére, valamint az érintettek értesítésére is.
A megállapított kockázat alapján szükséges intézkedések a következőek:
- belső dokumentáció készítése,
- adatvédelmi hatóság értesítése,
- érintettek értesítése.
3. Különleges adatot tartalmazó papír alapú dokumentumok ellopása (az Iránymutatás 5.3. pontja)
Tényállás
Egy kábítószerfüggők számára kialakított rehabilitációs intézményből elloptak egy papír alapú naplót. A napló a rehabilitációs intézetbe felvett betegek alapvető személyi és egészségügyi adatait tartalmazta. Az adatokat csak papíron tárolták, és a betegeket kezelő orvosok számára nem állt rendelkezésre biztonsági másolat. A naplót nem tárolták bezárt fiókban vagy szobában, az adatkezelőnek nem volt sem hozzáférés-ellenőrzési rendszere, sem egyéb biztonsági védőintézkedése a papíralapú dokumentáció számára.
Megelőző intézkedések és kockázatok értékelése
Az adatkezelő nem tett előzetes biztonsági intézkedéseket, ezért a naplóban tárolt személyes adatok könnyen hozzáférhetőek voltak azok számára, akik azt megtalálták. Ezenkívül a könyvben tárolt személyes adatok jellege miatt a biztonsági adatok hiánya nagyon súlyos rizikó faktorú.
Ez az eset példaként szolgál a magas kockázatú adatvédelmi jogsértésekre vonatkozóan. A megfelelő biztonsági óvintézkedések elmulasztása miatt a GDPR 9. cikkének (1) bekezdése szerinti érzékeny egészségügyi adatok elvesztek. Mivel ebben az esetben különleges személyes adatokról van szó, az érintettekkel szembeni lehetséges kockázatok komolyabbak, amelyet a kockázatok értékelésénél az adatkezelőnek is figyelembe kell vennie. Ez a jogsértés az érintett személyes adatok titkosságára, elérhetőségére és integritására is kiterjedt. Sérült az orvosi titoktartási kötelezettség, illetéktelen harmadik személyek férhettek hozzá a betegek személyes orvosi információihoz, ami súlyos hatással lehet a páciensek magánéletére. A bizalmas jelleg megsértése a betegek kezelésének folyamatosságát is megzavarhatja. A napló tartalmának módosítása vagy törlése nem zárható ki, a személyes adatok integritása is sérülhetett.
Enyhítő tényezők és kötelezettségek
Az adatkezelő semmilyen előzetes biztonsági intézkedést nem tett, ezért a naplóban tárolt személyes adatok könnyen hozzáférhetőek voltak azok számára, akik azt megtalálták. Ezenkívül a védőintézkedések értékelése során a tárolt személyes adatok jellege mellett figyelembe kell venni a mellékintézkedéseket is. Mivel a betegnapló fizikai dokumentum volt, annak megőrzését másképp kellett volna megszervezni, mint egy elektronikus eszközét. A betegek nevének álnevesítése, a könyv őrzött helyiségben, zárt fiókban vagy helyiségben való tárolása, valamint a megfelelő hozzáférés-ellenőrzés megakadályozhatta volna az adatvédelmi jogsértést, amely súlyosan érinthette az érintetteket. Ezen tényezők miatt az adatvédelmi hatóság számára való bejelentés, valamint az érintettek értesítése a jogsértés tényéről kötelező.
A megállapított kockázat alapján szükséges intézkedések a következőek:
- belső dokumentáció készítése,
- adatvédelmi hatóság értesítése,
- érintettek értesítése.
4. Javasolt belső, technikai intézkedések, amelyek megakadályozhatják vagy enyhíthetik az elhagyott vagy ellopott eszközökön tárolt adatok védelmének sérülését
Az alábbiakban említett intézkedések vegyítése – az esetek egyedi jellegétől függően – hozzájárulhat ahhoz, hogy csökkenjen a hasonló jogsértések előfordulásának esélye. A következő javasolt intézkedések felsorolása korántsem kizárólagos vagy átfogó. A cél inkább a megelőzési, kezelési ötletek nyújtása. Minden adatfeldolgozási tevékenység más és más, ezért az adatkezelőnek meg kell határoznia, hogy mely intézkedések illeszkednek legjobban az adott helyzethez.
- az eszköz titkosításának bekapcsolása (például Bitlocker, Veracrypt vagy DM-Crypt)
- Jelszó vagy jelkód használata minden eszközön. Az összes mobil elektronikus eszköz titkosítása olyan módon, hogy a visszafejtéshez szükséges legyen egy komplex jelszó megadása.
- Használjon többlépcsős hitelesítést.
- Kapcsolja be a mobileszközök azon funkcióit, amelyek lehetővé teszik az eszközök tartózkodási helyének meghatározását, ha elvesznek vagy ellopják azokat.
- Használja az MDM (Mobile Devices Management) szoftvert vagy alkalmazást és lokalizációt. Használjon fényvisszaverődést megakadályozó szűrőket. Zároljon minden felügyelet nélküli eszközt.
- Ha lehetséges és megfelelő a kérdéses adatkezeléshez, a személyes adatokat ne mobileszközön, hanem egy központi háttérszerveren mentse.
- Ha a munkaállomás csatlakozik a vállalati LAN-hoz, végezzen automatikus biztonsági mentést a munkavégzéshez használt mappákról, feltéve, hogy elkerülhetetlen a személyes adatok tárolása.
- Használjon biztonságos VPN-t (pl. amelyhez külön második tényezős hitelesítési kulcs szükséges) a mobileszközök háttérszerverekhez való csatlakoztatásához. ∙
- Biztosítson fizikai zárakat az alkalmazottak számára annak érdekében, hogy fizikailag biztonságba helyezhessék mobileszközeiket, amíg felügyelet nélkül maradnak azok.
- A vállalaton kívüli eszközhasználat megfelelő szabályozása.
- Az eszközhasználat megfelelő szabályozása a vállalaton belül.
- Használja az MDM (Mobile Devices Management) szoftvert / alkalmazást, és engedélyezze a távoli törlés funkciót.
- Használja a központosított eszközkezelést, minimális jogok biztosításával a végfelhasználók számára a szoftver telepítéséhez.
- Telepítsen fizikai hozzáférés-vezérlőket.
- Kerülje a különleges adatok mobileszközökön vagy merevlemezeken történő tárolását. Ha szükség van a vállalat belső rendszeréhez való hozzáférésre, biztonságos csatornákat kell használni, amelyek korábban említésre kerültek.