处理数据泄露

GDPR 实务：合规与罚款

Mamnoon Hadi

Head of Analytics & Insights at Readdle

案例研究：万豪 GDPR 违规

 

泄露发现：2018 年 9 月，万豪国际发现自 2014 年起，其 Starwood 住客预订数据库存在未授权访问

泄露数据：约 5 亿名住客的个人信息被曝光，包括姓名、地址、电话、电子邮箱、护照号、出生日期、性别和支付卡信息

延迟通报：万豪未在 GDPR 要求的 72 小时内通知信息专员办公室（ICO），导致严格监管审查及高额罚款

1 ico.org.uk
GDPR 实务：合规与罚款

第 33 条：向监管机构通报

  • 关键要求：

    • 组织在获悉个人数据泄露后，须不无故拖延并在 72 小时内通知监管机构

  • 需提供的信息：

    • 泄露性质——发生了什么及如何被发现
    • 受影响数据主体类别（如客户、员工）
    • 受影响的个人数据类型
    • 可能后果
    • 已采取或计划的措施——减轻影响并防止复发的步骤
GDPR 实务：合规与罚款

第 34 条：与数据主体沟通

  • 何时需通知数据主体：

    • 若泄露可能对个人的权利与自由造成高风险，应不无故拖延地通知受影响个人

  • 通知内容：

    • 泄露性质——清晰、通俗的说明
    • 潜在后果——如欺诈、身份盗用
    • 组织为遏制泄露所采取的措施
    • 对受影响个人的建议——应采取的行动（如改密、监控银行账户）
    • 联系方式——指定联络点以便获取帮助
GDPR 实务：合规与罚款

案例研究：影响——万豪违规

罚款：

  • 2020 年 10 月，英国 ICO 对万豪国际罚款 1840 万英镑

声誉损害：

  • 泄露事件伤害品牌；未按 GDPR 标准流程合规会进一步削弱信任与声誉

运营影响与成本：

  • 万豪为恢复支出近 3000 万美元，包括调查、通知受影响客户、提供一年安全监控软件，以及建立国际呼叫中心等费用
GDPR 实务：合规与罚款

数据泄露管理的最佳实践

计划与流程

GDPR 实务：合规与罚款

数据泄露管理的最佳实践

实施健全的事件响应计划：制定计划以在泄露时迅速处置

培训员工：就数据保护原则和泄露上报流程进行培训

保持清晰沟通渠道：及时、透明地与监管机构和受影响个人沟通

定期审查安全措施：持续评估并强化安全策略

响应流程

根因分析与文档化：识别根本问题并留存详细记录

GDPR 实务：合规与罚款

Vamos praticar!

GDPR 实务：合规与罚款

Preparing Video For Download...