Зачем нужен план реагирования на утечку данных
План реагирования на утечку данных — это заранее подготовленный документ, определяющий, кто, когда, в какие сроки и с каким содержанием реагирует на инцидент. В отличие от живого реагирования, которое представляет собой управление уже случившимся фактом, план — экс-анте инструмент: он создаётся, когда ничего не произошло, чтобы решения в кризис не были результатом импровизации. Закон Грузии «О защите персональных данных» не требует существования плана отдельно, но каждый его элемент опирается на установленные законом обязанности — и именно нарушение этих обязанностей влечёт санкции, от которых план защищает.
Правовая основа плана стоит на двух опорах. Первая — обязанность безопасности: согласно второму пункту статьи 27 закона, ответственное лицо и уполномоченное лицо обязаны принимать организационные и технические меры, соответствующие возможным и сопутствующим рискам, включая псевдонимизацию, учёт доступа и механизмы информационной безопасности. Вторая — обязанности фиксации инцидента и уведомления по статьям 29 и 30.
Что план должен отражать из базового уровня безопасности
План начинается с перечня мер, установленных статьёй 27, которые активируются при инциденте: псевдонимизация данных, учёт доступа, механизмы конфиденциальности, целостности и доступности. Третий пункт той же статьи требует периодической оценки эффективности этих мер — в плане это отражается графиком оценки.
Отдельный акцент — на учёт. Согласно четвёртому пункту статьи 27, каждое действие в отношении данных в электронной форме, включая сведения об инцидентах, фиксируется. План определяет, кто ведёт учёт во время инцидента и где фиксируются наступившее последствие и принятые меры — ведь именно эта запись становится основанием уведомления.
Уведомление в течение 72 часов и его содержание
Центральный временной параметр плана — 72 часа: согласно первому пункту статьи 29, ответственное лицо обязано письменно или в электронной форме уведомить Службу государственного аудита об инциденте не позднее 72 часов с момента обнаружения, кроме случая, когда значительный ущерб или угроза основным правам маловероятны. Фиксация момента обнаружения инцидента — поэтому отдельная процедура плана.
План заранее формирует шаблон уведомления с содержанием, требуемым третьим пунктом статьи 29: обстоятельства, характер и время инцидента; предположительные категории и объём повреждённых или раскрытых данных и предположительный круг затронутых субъектов; предположительный ущерб и осуществлённые или запланированные мероприятия; намерение об информировании субъектов; контактное лицо. Если предоставление информации одновременно невозможно, план предусматривает поэтапную передачу по согласованию со Службой государственного аудита.
Если обработка ведётся через уполномоченное лицо, второй пункт статьи 29 требует от него немедленного уведомления — этот канал должен быть установлен в договоре как часть плана.
Процедура информирования субъектов
Согласно первому пункту статьи 30, если инцидент с высокой вероятностью причинит значительный ущерб или угрозу, субъект информируется при первой возможности после обнаружения, простым и понятным языком. План включает и шаблон этого уведомления: общее описание инцидента и обстоятельств, предположительный ущерб и меры, контактные данные.
План отражает и два исключения, предусмотренных третьим пунктом статьи 30: обязанность информирования не возникает, если оно создаст угрозу перечисленным охраняемым интересам или если меры безопасности предотвратили значительную угрозу. Согласно второму пункту, при непропорциональности индивидуального информирования информация распространяется публично или в иной эффективной форме.
Санкции, от которых план защищает
Статья 76 закона разрешает неисполнение обязанности безопасности так: предупреждение или штраф 2 000 лари для лиц с годовым оборотом до 500 000 лари и предупреждение или штраф 4 000 лари при более высоком обороте; при отягчающих обстоятельствах — 3 000 и 5 000 лари. Статья 78 касается неисполнения обязанности уведомления Службы государственного аудита: предупреждение или штраф 2 000 лари при обороте до 500 000 лари и предупреждение или штраф 3 000 лари при более высоком обороте; при отягчающих обстоятельствах — 3 000 и 5 000 лари.
Эти цифры — экономическое обоснование плана: подготовленные процедуры меняют не только скорость реагирования, но и риск нарушения сроков и формальностей. Команда Legal.ge поможет разработать план реагирования на утечку данных — и на уровне документа, и в выстраивании процесса его обновления и проверки.
Часто задаваемые вопросы
С реагированием на утечку данных чаще всего связаны именно эти вопросы.
Как быстро нужно уведомить Службу государственного аудита?
Не позднее 72 часов с момента обнаружения инцидента, письменно или в электронной форме — если маловероятно, что инцидент причинит значительный вред или создаст значительную угрозу основным правам.
Что должно содержать уведомление?
Обстоятельства, характер и время инцидента; предполагаемые категории и объёмы затронутых данных и субъектов; принятые или планируемые меры; планы информирования субъектов и сроки; контактные данные офицера по защите персональных данных или иного контактного лица. Если полная информация не может быть предоставлена сразу, она может передаваться поэтапно.
Когда информируются субъекты данных?
Если инцидент с высокой вероятностью причинит значительный вред или создаст угрозу основным правам, — при первой возможности, без неоправданной задержки, простым и понятным языком; при непропорциональных расходах — путём публичного распространения, а в определённых случаях обязанность не возникает вовсе.
Какие санкции установлены?
Неисполнение обязанности безопасности — предупреждение или штраф от 2 000 до 4 000 лари, при отягчающих обстоятельствах — от 3 000 до 5 000 лари; пропуск 72-часового уведомления наказывается в тех же рамках.
Как мы помогаем на Legal.ge
План реагирования на утечку — это способность, а не документ: заранее выстроенный 72-часовой календарь, шаблоны уведомлений, порядок информирования субъектов и карта санкций. Юристы Legal.ge составят план, соответствующий размеру и обороту вашей организации, и помогут в реальном инциденте. Заполните запрос на сайте.