Īsi: Ja uzbrukuma laikā tiek pārkāpta personas datu aizsardzība, VDAR 33. pants prasa ziņot uzraudzības iestādei, iespējami 72 stundu laikā no brīža, kad kļuvis zināms, ja pastāv risks datu subjektiem. Augsta riska gadījumā saskaņā ar 34. pantu klāt nāk datu subjektu paziņošana. Neatkarīgi no tā katrs pārkāpums jādokumentē. Šī lapa ir vispārīga informācija, nevis juridiska konsultācija.
Nav juridiska konsultācija: vai un kad konkrētā gadījumā pastāv ziņošanas pienākums, novērtē jūsu datu aizsardzības speciālists vai jurists. Mēs sniedzam tehniskos faktus, uz kuriem šis vērtējums balstās.
Datu pārkāpums un ziņošana 72 stundās: ko regulē 33. pants
VDAR 33. pants attiecas uz „personas datu aizsardzības pārkāpumu“. Tas nozīmē jebkuru drošības pārkāpumu, kura rezultātā tiek iznīcināti, zaudēti, mainīti, neatļauti izpausti vai neatļauti pieejami personas dati. Kompromitēts tīmekļa serveris ar klientu datubāzi, kontaktu veidlapām vai pretendentu datiem var tam atbilst.
Ziņojumam uzraudzības iestādei jānotiek nekavējoties un iespējami 72 stundu laikā pēc tam, kad pārzinis par pārkāpumu uzzinājis. Tas atkrīt, ja pārkāpums, visticamāk, neradīs risku fizisku personu tiesībām un brīvībām. Kas ziņo vēlāk nekā pēc 72 stundām, tam kavēšanās jāpamato. Informāciju drīkst sniegt pa daļām.
Ko ziņojumam jāietver
VDAR 33. panta 3. punkts min minimālo saturu. Šos punktus vajadzētu sagatavot, arī ja vēl nav zināms viss:
- pārkāpuma veids, pēc iespējas ar kategorijām un aptuvenu skarto personu un datu ierakstu skaitu
- datu aizsardzības speciālista vai cita kontaktpunkta vārds un kontaktdati
- iespējamās pārkāpuma sekas
- veiktie vai ierosinātie pasākumi pārkāpuma novēršanai un iespējamo nelabvēlīgo seku mazināšanai
Tieši uzbrukumos tīmekļa serveriem sākumā apjoms bieži ir neskaidrs. Tad palīdz godīgs pirmais ziņojums ar zināmo stāvokli un paziņojumu par tālāku atziņu iesniegšanu vēlāk.
Kad pēc servera uzbrukuma sākas termiņš?
Termiņš ir saistīts ar zināšanu brīdi, nevis uzbrukuma brīdi. Praksē norobežojums bieži ir sarežģīts: ziņojums par ievainojamību, piemēram, PHP2Shell, vien vēl nerada zināšanas par datu aizsardzības pārkāpumu. Taču, ja atrodat konkrētas norādes uz ielaušanos, piemēram, webshell vai aizdomīgus datubāzes vaicājumus, situācija var izskatīties citādi.
Tāpēc jau no paša sākuma dokumentējiet ar laiku, kurš kad kādu informāciju saņēma un kādi soļi sekoja. Šī laika līnija palīdz juridiskajā vērtējumā un iestādes jautājumu gadījumā. Rūpīga tehniskā izmeklēšana, piemēram, ar IT forensiku, noskaidro, vai un kādi dati patiešām bija skarti.
Datu subjektu paziņošana saskaņā ar 34. pantu
Ja pārkāpums, visticamāk, rada augstu risku personu tiesībām un brīvībām, nekavējoties jāpaziņo arī skartajām personām. Tas var būt, piemēram, piekļuves datu, bankas rekvizītu vai veselības datu gadījumā. Paziņojumam skaidrā un vienkāršā valodā jāapraksta, kas noticis, un jānosauc vismaz kontaktpunkts, iespējamās sekas un veiktie pasākumi.
- pants paredz izņēmumus, piemēram, ja dati nepiederošām personām ir padarīti nepieejami, piemēram, ar šifrēšanu. Ja katras atsevišķas personas paziņošana prasītu nesamērīgas pūles, tās vietā var apsvērt publisku paziņojumu vai līdzvērtīgi efektīvu pasākumu. Vai izņēmums ir piemērojams, ir daļa no juridiskā vērtējuma. Kā klientus saprotami informēt, apraksta Krīzes komunikācija pēc uzbrukuma.
Dokumentēšanas pienākums saskaņā ar 33. panta 5. punktu
Neatkarīgi no ziņošanas pienākuma VDAR 33. panta 5. punkts prasa dokumentēt katru pārkāpumu: faktus, sekas un veiktos korektīvos pasākumus. Šai dokumentācijai jāļauj uzraudzības iestādei veikt pārbaudi. Tas attiecas arī tad, ja pēc izvērtēšanas nonākat pie secinājuma, ka ziņot nav vajadzības.
Tīmekļa serveriem tas praktiski nozīmē: saglabāt žurnālus, pirms tie tiek rotēti, atradumus fiksēt ar laiku, pierakstīt lēmumus un to pamatojumu. PHP2Shell gadījumā speciālistu prese iesaka servera žurnālus glabāt no 2026. gada 20. oktobra. Ielāps turklāt nenoņem jau ievadītu ļaunprātīgu programmatūru un nepierāda, ka iepriekš nekas nav noticis.
Praktiskā secība pirmajās stundās
- Aizdomas iekšēji ziņot noteiktai personai un iesaistīt datu aizsardzības speciālistu.
- Nodrošināt pierādījumus: žurnālus, failu sarakstus, datubāzes izrakstus, pirms kaut kas tiek dzēsts vai uzstādīts no jauna.
- Tehniski noskaidrot, vai var būt skarti personas dati.
- Juridiski novērtēt ziņošanas un paziņošanas pienākumu, vajadzības gadījumā kopā ar juristu un apdrošinātāju.
- Ziņot ar kompetentās uzraudzības iestādes veidlapu, papildinājumus iesniegt, parādoties jaunām atziņām.
Sagatavots IT ārkārtas plāns šos soļus ievērojami saīsina.
Kā PHP SOS palīdz konkrēti?
- Mēs saglabājam žurnālus un sistēmu stāvokļus tā, lai tie vērtēšanai un vēlākai pārbaudei paliktu izmantojami.
- Mēs tehniski noskaidrojam, vai un kādi dati bija sasniedzami, un sniedzam saprotamu kopsavilkumu datu aizsardzības speciālistiem un juristiem.
- Mēs vedam tehnisko atziņu laika līniju, ko varat izmantot ziņojumam un dokumentēšanai.
- Apstiprinātas ielaušanās gadījumā mēs uzņemamies Incident Response un tīrīšanu.
Biežāk uzdotie jautājumi
No kura brīža sākas 72 stundas?
Saskaņā ar VDAR 33. pantu no brīža, kad pārzinis ir uzzinājis par pārkāpumu. Kad to konkrētā gadījumā pieņemt, ir juridisks vērtējums. Tāpēc precīzi dokumentējiet, kad kurš kādu informāciju saņēma.
Vai par katru drošības ievainojamību jāziņo?
Nē. Ievainojamība vien vēl nav personas datu aizsardzības pārkāpums. Ziņošanas pienākums var rasties, ja ir norādes, ka nepiederošas personas ir piekļuvušas šādiem datiem vai varēja piekļūt, un no tā izriet risks datu subjektiem.
Ko darīt, ja pēc 72 stundām vēl visu nezinu?
VDAR 33. panta 4. punkts ļauj informāciju sniegt pa daļām, ja to nevar sniegt vienlaikus. Kavēšanās ar ziņojumu jāpamato. Gaidīšana uz pilnīgu skaidrību tāpēc parasti nav iemesls ļaut termiņam paiet.
Kurš ziņo, ja skarts bijis hostinga sniedzējs?
Ziņot ir pienākums pārzinim, tātad parasti uzņēmumam, kas darbina vietni. Datu apstrādātājam, piemēram, hostinga sniedzējam, saskaņā ar VDAR 33. panta 2. punktu pārzinis ir jāinformē nekavējoties.
Kur ziņot par datu pārkāpumu?
Kompetentajai datu aizsardzības uzraudzības iestādei; uzņēmumiem tā parasti ir federālās zemes iestāde, kurā atrodas to juridiskā adrese. Lielākā daļa iestāžu šim nolūkam piedāvā tiešsaistes veidlapas.