Что считается инцидентом по грузинскому законодательству
Реагирование на утечку данных в Грузии опирается на нормы закона «О защите персональных данных», и первый вопрос, на который нужно знать ответ, — определение инцидента. Соответствующий подпункт статьи 3 закона определяет инцидент как нарушение безопасности данных, которое влечёт неправомерное или случайное повреждение, утрату данных, а также несанкционированное раскрытие, уничтожение, изменение, доступ к ним, их сбор или иную несанкционированную обработку. Это определение широко: оно не ограничивается хакерской атакой и охватывает такие случаи, как случайное удаление, файл, отправленный не тому адресату, или несанкционированный доступ к базе.
Когда такое событие происходит, закон предписывает ответственному за обработку лицу чёткую последовательность действий: база мер безопасности, фиксация инцидента, уведомление Службы государственного аудита и при необходимости информирование субъектов данных. Каждый из этих этапов подробно рассмотрен ниже.
Меры безопасности как исходная позиция
Реагирование на инцидент оценивается в контексте мер, которые организация имеет по статье 27 закона. Ответственное лицо и уполномоченное лицо обязаны принимать организационные и технические меры, соответствующие возможным и сопутствующим рискам, — включая псевдонимизацию данных, учёт доступа и механизмы информационной безопасности, — которые обеспечивают защиту от утраты и незаконной обработки. Эффективность мер периодически оценивается.
Статья 27 требует также учёта каждого действия, совершённого в отношении данных в электронной форме, — сведений об инцидентах, сборе, изменении, доступе, раскрытии, соединении и удалении. Когда инцидент происходит, именно этот учёт становится источником доказательств, на которые опираются уведомление и внутренний анализ.
Уведомление Службы государственного аудита: срок и содержание
Согласно первому пункту статьи 29, ответственное лицо обязано зафиксировать инцидент, его последствие и принятые меры, а также уведомить Службу государственного аудита письменно или в электронной форме не позднее 72 часов с момента обнаружения инцидента. Исключение — случай, когда маловероятно, что инцидент причинит значительный ущерб или создаст значительную угрозу основным правам и свободам человека.
Содержание уведомления определено законом: обстоятельства, характер и время инцидента; предположительные категории и объём повреждённых, раскрытых или утраченных данных и предположительный круг затронутых субъектов; предположительный ущерб и осуществлённые или запланированные мероприятия; намерение об информировании субъектов; контактные данные. Если предоставление информации одновременно и полностью невозможно, она может представляться поэтапно по согласованию со Службой государственного аудита. Если обработка ведётся через уполномоченное лицо, последнее обязано немедленно уведомить ответственное лицо об инциденте.
Следует отметить и аспект публичности: если ответственное лицо не информирует субъектов, Служба государственного аудита вправе обнародовать информацию об инциденте — кроме случаев, когда разглашение создаст угрозу государственной безопасности, кибербезопасности, расследованию или иным охраняемым законом интересам либо когда учреждение требует неразглашения на законном основании.
Информирование субъектов данных
Согласно первому пункту статьи 30, если инцидент с высокой вероятностью причинит значительный ущерб или создаст значительную угрозу основным правам и свободам человека, ответственное лицо обязано при первой возможности после обнаружения, без неоправданной задержки, уведомить субъекта данных об инциденте и предоставить простым языком информацию: общее описание инцидента и связанных обстоятельств, предположительный ущерб и осуществлённые или запланированные мероприятия, а также контактное лицо.
Обязанность информирования не возникает в двух случаях: когда информирование создаст угрозу государственной тайне, безопасности, расследованию или иным перечисленным интересам, и когда ответственное лицо приняло такие меры безопасности, что значительная угроза нарушения прав была предотвращена. Если информирование каждого субъекта по отдельности связано с непропорциональными расходами, информация распространяется публично или в иной форме, дающей субъектам реальную возможность её получить.
Учёт и документация
Сведения об инцидентах — часть учёта, связанного с обработкой. Соответствующий подпункт первого пункта статьи 28 прямо включает в этот учёт сведения об инцидентах, если они существуют. Согласно третьему пункту той же статьи, учтённая информация должна предоставляться Службе государственного аудита немедленно по запросу, но не позднее 3 рабочих дней.
Важны и критерии инцидента, содержащего значительную угрозу: они, как и порядок уведомления Службы государственного аудита, устанавливаются нормативным актом генерального аудитора. Поэтому процедура реагирования должна быть сверена с этими актами.
Часто задаваемые вопросы
Что считается инцидентом защиты данных?
Нарушение безопасности данных, влекущее неправомерное или случайное повреждение либо утрату данных, а также несанкционированное раскрытие, уничтожение, изменение, доступ к ним, их сбор/получение или иную несанкционированную обработку.
Кого и как уведомляют об инциденте?
Службу государственного аудита — письменно или электронно, не позднее 72 часов с момента обнаружения инцидента; субъекта данных — при первой возможности, без неоправданной задержки, простым и понятным языком.
Что должно содержать уведомление?
Для Службы аудита — характер инцидента; для субъекта — общее описание инцидента и связанных обстоятельств, предполагаемый/наступивший ущерб, принятые или планируемые меры и контактные данные.
Как мы помогаем на Legal.ge
Практическая последовательность такова: фиксация инцидента и оценка ущерба; активация мер безопасности для остановки распространения; ведение учёта; при необходимости — получение немедленной информации от уполномоченного лица; подготовка и отправка уведомления в Службу государственного аудита в течение 72 часов; информирование субъектов при значительной угрозе; документирование установленных последствий и мер. Команда Legal.ge поможет пройти этот процесс и дать правовую оценку инциденту, чтобы сроки и формальности были соблюдены точно.