Trumpai: Jei per ataką pažeidžiama asmens duomenų apsauga, BDAR 33 straipsnis reikalauja pranešti priežiūros institucijai, jei įmanoma, per 72 valandas nuo sužinojimo, jeigu susijusiems asmenims kyla rizika. Esant didelei rizikai, pagal 34 straipsnį prisideda ir susijusių asmenų informavimas. Nepriklausomai nuo to, turite dokumentuoti kiekvieną pažeidimą. Šis puslapis yra bendra informacija, o ne teisinė konsultacija.
Ne teisinė konsultacija: ar konkrečiu atveju yra pranešimo pareiga ir kada, vertina jūsų duomenų apsaugos pareigūnas arba advokatas. Mes pateikiame technines aplinkybes, kuriomis šis vertinimas remiasi.
Duomenų pažeidimas ir pranešimas per 72 valandas: ką reglamentuoja 33 straipsnis
BDAR 33 straipsnis liečia „asmens duomenų saugumo pažeidimą“. Turimas omenyje kiekvienas saugumo pažeidimas, dėl kurio asmens duomenys sunaikinami, prarandami, pakeičiami, neteisėtai atskleidžiami arba prie jų neteisėtai prieinama. Kompromituotas žiniatinklio serveris su klientų duomenų baze, kontaktų formomis ar kandidatų duomenimis gali patekti į šią sritį.
Pranešimas priežiūros institucijai turi būti pateiktas nepagrįstai nedelsiant ir, jei įmanoma, per 72 valandas nuo tada, kai duomenų valdytojas apie pažeidimą sužinojo. Jo nereikia, jei pažeidimas tikriausiai nesukels pavojaus fizinių asmenų teisėms ir laisvėms. Kas praneša vėliau nei po 72 valandų, turi pagrįsti uždelsimą. Informaciją galima teikti etapais.
Ką turi apimti pranešimas
BDAR 33 straipsnio 3 dalyje nurodytas būtinasis turinys. Šiuos punktus parengti turėtumėte, net jei dar ne viskas aišku:
- pažeidimo pobūdis, jei įmanoma, nurodant kategorijas ir apytikslį susijusių asmenų bei duomenų įrašų skaičių
- duomenų apsaugos pareigūno ar kito kontaktinio asmens vardas ir kontaktiniai duomenys
- tikėtinos pažeidimo pasekmės
- priemonės, kurių imtasi ar kurias siūloma imtis pažeidimui pašalinti ir galimoms neigiamoms pasekmėms sušvelninti
Būtent per atakas prieš žiniatinklio serverius apimtis pradžioje dažnai neaiški. Tuomet padeda sąžiningas pirminis pranešimas su žinoma būsena ir pažadu vėliau pateikti papildomų žinių.
Kada po serverio atakos prasideda terminas?
Terminas siejamas su sužinojimu, o ne su atakos momentu. Praktikoje atribojimas dažnai sudėtingas: pranešimas apie saugumo spragą, kaip PHP2Shell, pats savaime dar nereiškia, kad sužinota apie duomenų apsaugos pažeidimą. Tačiau jei randate konkrečių įsilaužimo požymių, pavyzdžiui, webshell ar įtartinas duomenų bazės užklausas, padėtis gali atrodyti kitaip.
Todėl nuo pat pradžios su laiku dokumentuokite, kas kada kokią informaciją gavo ir kokie žingsniai sekė. Ši laiko juosta padeda teisiniam vertinimui ir institucijos klausimų atveju. Kruopštus techninis tyrimas, pavyzdžiui, per IT forensiką, išaiškina, ar ir kokie duomenys iš tikrųjų paveikti.
Susijusių asmenų informavimas pagal 34 straipsnį
Jei pažeidimas tikėtinai sukelia didelę riziką asmens teisėms ir laisvėms, nedelsiant turi būti informuojami ir susiję asmenys. Taip gali būti, pavyzdžiui, su prisijungimo duomenimis, banko rekvizitais ar sveikatos duomenimis. Pranešime aiškia ir paprasta kalba turi būti aprašyta, kas įvyko, ir bent nurodytas kontaktinis punktas, tikėtinos pasekmės ir ėmusi priemonės.
34 straipsnis numato išimtis, pavyzdžiui, kai duomenys pašaliniams asmenims padaryti neprieinami, pavyzdžiui, šifravimu. Jei kiekvieno asmens informavimas pareikalautų neproporcingų pastangų, vietoj to gali būti svarstomas viešas paskelbimas ar panašiai veiksminga priemonė. Ar išimtis taikoma, priklauso teisiniam vertinimui. Kaip suprantamai informuoti klientus, aprašo Krizių komunikacija po atakos.
Dokumentavimo pareiga pagal 33 straipsnio 5 dalį
Nepriklausomai nuo pranešimo pareigos, BDAR 33 straipsnio 5 dalis reikalauja dokumentuoti kiekvieną pažeidimą: faktus, poveikį ir imtas taisomąsias priemones. Ši dokumentacija turi leisti priežiūros institucijai patikrinti. Tai galioja ir tada, kai po patikros prieinate išvados, kad pranešti nereikia.
Žiniatinklio serveriams tai praktiškai reiškia: išsaugoti žurnalus, kol jie nebuvo pakeisti naujais, užfiksuoti radinius su laiku, užrašyti sprendimus ir jų pagrindimą. Dėl PHP2Shell specializuota spauda rekomenduoja saugoti serverio žurnalus nuo 2026-10-20. Pataisa taip pat nepašalina jau įterptos kenkėjiškos programinės įrangos ir neįrodo, kad anksčiau nieko neįvyko.
Praktinė eiga pirmosiomis valandomis
- Įtarimą pranešti vidiniam nustatytam asmeniui ir įtraukti duomenų apsaugos pareigūną.
- Išsaugoti įrodymus: žurnalus, failų sąrašus, duomenų bazės ištraukas, prieš ką nors ištrinant ar diegiant iš naujo.
- Techniškai išsiaiškinti, ar gali būti paveikti asmens duomenys.
- Teisiškai įvertinti pranešimo ir informavimo pareigas, prireikus kartu su advokatu ir draudiku.
- Pranešti per kompetentingos priežiūros institucijos formą, o atsiradus naujų žinių pateikti papildymus.
Parengtas IT avarinis planas šiuos žingsnius gerokai sutrumpina.
Kaip PHP SOS padeda konkrečiai?
- Išsaugome žurnalus ir sistemų būsenas taip, kad jie vertinimui ir vėlesnei patikrai liktų panaudojami.
- Techniškai išsiaiškiname, ar ir kokie duomenys buvo pasiekiami, ir pateikiame suprantamą santrauką duomenų apsaugos pareigūnams ir advokatams.
- Vedame techninių išvadų laiko juostą, kurią galite naudoti pranešimui ir dokumentavimui.
- Patvirtinus įsilaužimą perimame incidentų valdymą ir išvalymą.
Dažni klausimai
Nuo kada skaičiuojamos 72 valandos?
Pagal BDAR 33 straipsnį nuo momento, kai duomenų valdytojas sužinojo apie pažeidimą. Kada tai laikytina įvykus konkrečiu atveju, yra teisinis vertinimas. Todėl tiksliai dokumentuokite, kada kas kokią informaciją turėjo.
Ar apie kiekvieną saugumo spragą reikia pranešti?
Ne. Vien spraga dar nėra asmens duomenų saugumo pažeidimas. Pranešimo pareiga gali atsirasti, jei yra požymių, kad pašaliniai asmenys turėjo ar galėjo turėti prieigą prie tokių duomenų ir dėl to kyla rizika susijusiems asmenims.
Ką daryti, jei po 72 valandų dar viską nežinau?
BDAR 33 straipsnio 4 dalis leidžia informaciją teikti etapais, jei jos neįmanoma pateikti vienu metu. Pavėluotą pranešimą reikia pagrįsti. Laukti visiško aiškumo todėl paprastai nėra priežastis leisti terminui pasibaigti.
Kas praneša, jei buvo paveiktas hostingo teikėjas?
Pranešti privalo duomenų valdytojas, t. y. paprastai įmonė, kuri eksploatuoja svetainę. Duomenų tvarkytojas, pavyzdžiui, hostingo teikėjas, pagal BDAR 33 straipsnio 2 dalį turi nedelsdamas informuoti duomenų valdytoją.
Kur pranešti apie duomenų pažeidimą?
Kompetentingai duomenų apsaugos priežiūros institucijai, įmonėms dažniausiai tos federalinės žemės institucijai, kurioje jos turi buveinę. Dauguma institucijų tam siūlo internetines formas.