Bresele de securitate a datelor cu caracter personal. Obligatiile operatorilor

Conform art. 5 din Regulament unul din principiile de baza care guverneaza prelucrarea datelor cu caracter personal este acela ca datele trebuie sa fie prelucrate intr-un mod care asigura securitatea adecvata a acestora.
Garantiile legale ale acestui principiu se regasesc in principal in art. 32-34 din Regulament.
Operatorii sunt obligati sa implementeze masuri tehnice si organizatorice adecvate in vederea asigurarii unui nivel de securitate corespunzator (art. 32 din Regulament). AStfel, acestia trebuie sa stabileasca masurile necesare si suficiente pentru a asigura securitatea datelor.
Totodata, chiar daca art. 33 din Regulament nu o prevede in mod expres, operatorii trebuie sa implementeze masuri tehnice si organizatorice care, in cazul aparitiei unei brese de securitate, asigura componenta reactiva a politicilor interne privind securitatea datelor.
Aceste masuri trebuie sa ajute operatorul:
a) sa stabileasca imediat daca s-a produs o bresa de securitate (preambul, pct. 87 din Regulament);
b) daca este cazul, sa notifice autoritatea de supraveghere a prelucrarii datelor cu caracter personal (art. 33 din Regulament);
c) dupa caz, sa informeze persoana sau persoanele vizate afectate de aparitia bresei de securitate (art. 34 din Regulament).
Nu in ultimul rand, incidentele de securitate trebuie documentate conform art. 33 alin. (5) din Regulament.
Art. 4 alin. (12) din Regulament defineste bresa de securitate: �o incalcare a securitatii care duce, in mod accidental sau ilegal, la distrugerea, pierderea, modificarea sau divulgarea neautorizata a datelor cu caracter personal (...) sau la accesul neautorizat la acestea�.
In Ghidul privind notificarea incalcarii securitatii datelor, A29 GL explica notiunile de �distrugere�, �pierdere�, �modificare� si �divulgare neautorizata�:
a) �distrugerea� se refera la situatia in care datele nu mai exista ori nu mai exista intr-o forma care sa le faca utilizabile de catre operatori;
b) �pierderea� are in vedere situatia in care datele pot sa existe, insa operatorul a pierdut controlul sau accesul la date;
c) �modificarea� desemneaza situatia in care datele sunt corupte sau modificate in alt mod, astfel incat ele nu mai sunt complete;
d) in fine, �divulgarea neautorizata� are in vedere situatia in care datele au fost transmise catre ori accesate de catre persoane neautorizate sa primeasca sau sa acceseze datele personale.
Privind notiunea de bresa de securitate prin prisma celor trei elemente ale securitatii datelor (disponibilitate, integritate, confidentialitate), rezulta ca exista o bresa de securitate atunci cand:
a) datele devin indisponibile ca urmare a (i) distrugerii ori (ii) pierderii accesului; si/sau
b) este afectata integritatea datelor prin modificarea acestora; si/sau
c) este compromisa confidentialitatea datelor prin (i) divulgarea neautorizata sau (ii) accesul neautorizat la date.
Exista diferite exemple de brese de securitate: atacuri informatice tip ransomware, pierderea cheii de criptare a datelor, nefunctionarea sistemelor informatice, pierderea unor documente, transmiterea unei corespondente la adresa gresita etc.).
Bresele de securitate pot avea cauze diferite: de la nefunctionarea sau functionarea necorespunzatoare a sistemelor informatice pana la erori umane.

Sursa: GHID DE BUNE PRACTICI privind principalele obligatii ale operatorilor conform Regulamentului General privind Protectia Datelor (GDPR)