Gestionarea încălcărilor

GDPR în practică: conformitate și amenzi

Mamnoon Hadi

Head of Analytics & Insights at Readdle

Studiu de caz: încălcarea GDPR de către Marriott

Descoperirea încălcării: în septembrie 2018, Marriott International a descoperit că accesul neautorizat la baza de date de rezervări Starwood avea loc din 2014

Date compromise: încălcarea a expus datele personale a aproximativ 500 de milioane de clienți, inclusiv nume, adrese, numere de telefon, e-mail, numere de pașaport, date de naștere, gen și date ale cardurilor de plată

Notificare întârziată: Marriott nu a notificat Biroul Comisarului pentru Informații (ICO) în termenul de 72 de ore impus de GDPR, ceea ce a atras un control de reglementare semnificativ și o amendă substanțială

¹ ico.org.uk

Articolul 33: Notificarea autorității de supraveghere

Cerință principală:
- Organizațiile trebuie să notifice autoritatea de supraveghere fără întârzieri nejustificate și în termen de 72 de ore de la constatarea unei încălcări de date cu caracter personal
Informații de furnizat:
- Natura încălcării – ce s-a întâmplat și cum a fost descoperită
- Categoriile de persoane vizate afectate (ex. clienți, angajați)
- Tipurile de date cu caracter personal afectate
- Posibilele consecințe
- Măsurile luate sau planificate – pași pentru atenuarea încălcării și prevenirea incidentelor viitoare

Articolul 34: Comunicarea către persoanele vizate

Când este necesară notificarea persoanelor vizate:
- Dacă încălcarea poate genera un risc ridicat pentru drepturile și libertățile persoanelor, acestea trebuie informate fără întârzieri nejustificate
Conținutul notificării:
- Natura încălcării – o explicație clară, în limbaj accesibil
- Consecințele potențiale – ex. fraudă, furt de identitate
- Măsurile luate de organizație pentru limitarea încălcării
- Sfaturi pentru persoanele afectate – acțiuni recomandate (ex. schimbarea parolelor, monitorizarea conturilor bancare)
- Date de contact – un punct de contact desemnat pentru asistență suplimentară

Studiu de caz: impactul încălcării Marriott

Sancțiune financiară:

În octombrie 2020, ICO din Marea Britanie a amendat Marriott International cu 18,4 milioane de lire sterline

Prejudiciu reputațional:

Aceste încălcări afectează reputația, iar nerespectarea procedurilor GDPR amplifică și mai mult pierderea încrederii și deteriorarea imaginii de marcă

Impact și costuri operaționale:

Marriott a suportat aproape 30 de milioane de dolari în cheltuieli de remediere, inclusiv investigarea încălcării, notificarea clienților afectați, furnizarea unui an de acces la software de monitorizare a securității și înființarea unui centru internațional de asistență telefonică

Bune practici pentru gestionarea încălcărilor de date

Implementați planuri robuste de răspuns la incidente: elaborați planuri pentru acțiuni rapide în caz de încălcare

Instruiți angajații: educați personalul privind protecția datelor și procedurile de raportare

Mențineți canale clare de comunicare: asigurați comunicarea promptă și transparentă cu autoritățile și persoanele afectate

Revizuiți periodic măsurile de securitate: evaluați și îmbunătățiți continuu protocoalele de securitate

Analiza cauzelor și documentare: identificați problemele de fond și păstrați înregistrări detaliate

Să exersăm!

GDPR în practică: conformitate și amenzi