Политика за реагиране при нарушения на сигурността

ЗА РЕАГИРАНЕ ПРИ НАРУШЕНИЯ НА СИГУРНОСТТА НА ЛИЧНИТЕ ДАННИ

I. ВЪВЕДЕНИЕ И ОБХВАТ

1.1. Настоящата процедура урежда вътрешния ред за идентифициране, анализ, управление и докладване на нарушения на сигурността на личните данни в рамките на дружествената структура на …………………………, ЕИК …………………., със седалище и адрес на управление: ………………………………………………………………………… (наричано за краткост по-долу „bky solutions”).

1.2. Процедурата е разработена в съответствие с Регламент (ЕС) 2016/679 и е приведена в пълно съответствие с приетата Политика за защита на личните данни и извършената Оценка на въздействието върху защитата на данните (DPIA). Тя отразява принципите на законосъобразност, отчетност, минимизация на данните и защита на личните данни на етапа на проектиране и по подразбиране.

1.3. Настоящият документ се прилага за всички инциденти, които водят или могат да доведат до нарушаване на сигурността на лични данни, независимо от това дали дружествата действат като администратори или обработващи.

II. ОПРЕДЕЛЕНИЯ И КЛАСИФИКАЦИЯ НА НАРУШЕНИЯТА

2.1. За целите на тази процедура „нарушение на сигурността на личните данни“ следва да се разбира всяко събитие, водещо до случайно или неправомерно унищожаване, загуба, изменение, неразрешено разкриване или достъп до лични данни.

2.2. В съответствие с приетата рамка за управление на риска и анализа в Оценката за въздействие върху защита на данните (DPIA), нарушенията се класифицират съгласно тяхното въздействие върху трите основни измерения на информационната сигурност — конфиденциалност, цялостност и наличност. Едно нарушение може да засегне едновременно повече от едно от тези измерения, като това има пряко значение за оценката на риска и последващите действия.

2.3. Особено внимание се обръща на случаи, при които се обработват специални категории данни, финансова информация или данни, позволяващи директна идентификация на физическите лица, тъй като те увеличават вероятността от настъпване на съществено неблагоприятно въздействие.

III. УСТАНОВЯВАНЕ И ПЪРВОНАЧАЛНА РЕАКЦИЯ

3.1. Всеки служител, който установи или има основание да предполага наличие на инцидент, е длъжен незабавно да го ескалира към прекия си ръководител и/или към длъжностното лице по защита на данните (ако такова е назначено). Това задължение произтича от принципа на отчетност и е ключов елемент от организационните мерки, предвидени в Оценката за въздействие върху защита на данните (DPIA).

3.2. След получаване на сигнал, се задейства вътрешният механизъм за управление на инциденти, който включва технически и организационни действия за ограничаване на въздействието. Тези действия могат да включват изолиране на засегнати системи, ограничаване на достъпа, активиране на резервни копия и започване на форензично разследване.

3.3. Още на този етап се извършва предварителна оценка дали инцидентът засяга лични данни и дали съществува вероятност за риск за правата и свободите на физическите лица.

IV. ОЦЕНКА НА РИСКА И ВЗЕМАНЕ НА РЕШЕНИЕ

4.1. Оценката на риска се извършва в съответствие с методологията, заложена в Оценката за въздействие върху защита на данните (DPIA), при която рискът се разглежда като функция от вероятността за настъпване на вреда и тежестта на последиците.

4.2. При анализа се вземат предвид естеството на данните, контекстът на обработване, обемът на засегнатите записи, възможността за идентификация на субектите и потенциалните последствия за тях. Особено значение има дали нарушението може да доведе до дискриминация, кражба на самоличност, финансови загуби или увреждане на репутацията.

4.3. На базата на тази оценка се определя дали е налице риск или висок риск, което съответно активира задълженията за уведомяване на надзорния орган и/или засегнатите лица.

V. УВЕДОМЛЕНИЕ ДО КОМИСИЯТА ЗА ЗАЩИТА НА ЛИЧНИТЕ ДАННИ

5.1. Когато се установи, че нарушението е вероятно да доведе до риск за правата и свободите на физическите лица, bky solutions подава уведомление до Комисията за защита на личните данни без ненужно забавяне и, когато е възможно, в срок до 72 часа от узнаването.

5.2. Процесът на уведомяване е съобразен с принципа на прозрачност и може да бъде осъществен поетапно, когато не е налична пълна информация към момента на първоначалното уведомление. В такива случаи се предоставя наличната информация, като последствие тя се допълва.

5.3. Съдържанието на уведомлението включва описание на естеството на нарушението, категориите и приблизителния брой засегнати лица и данни, вероятните последици и предприетите или планирани мерки за ограничаване на риска.

VI. УВЕДОМЛЕНИЕ ДО СУБЕКТИТЕ НА ДАННИ

6.1. Когато анализът покаже наличие на висок риск за правата и свободите на физическите лица, bky solutions предприема действия за директно уведомяване на засегнатите лица без ненужно забавяне.

6.2. Комуникацията се извършва по ясен, разбираем и отделен от други съобщения начин, като съдържа информация за естеството на нарушението, възможните последствия и препоръчителни мерки за защита. Подходът е съобразен с принципа на добросъвестност и целта е да се даде възможност на лицата да предприемат информирани действия.

6.3. В случаите, когато директното уведомяване би изисквало непропорционални усилия, се прилага публично уведомление, което гарантира равностойна ефективност.

VII. РОЛЯ НА ОБРАБОТВАЩИТЕ И ТРЕТИ ЛИЦА

7.1.Когато bky solutions действа в качеството си на обработващ лични данни, същото е длъжно да уведоми съответния администратор без ненужно забавяне след установяване на нарушение. Тези задължения са изрично уредени в Общите условия за ползване на услугата и Политиката за защита на личните данни на bky solutions и са в съответствие с изискванията на чл. 28 от ОРЗД (GDPR).

7.2. Международните трансфери и използването на облачни доставчици се управляват чрез договорни механизми и допълнителни оценки на риска, което гарантира, че нарушенията, свързани с такива операции, се обработват с повишено внимание.

VIII. ДОКУМЕНТИРАНЕ И ОТЧЕТНОСТ

8.1. Всички инциденти, независимо дали водят до задължение за уведомяване, се документират в централен регистър на нарушенията. Този регистър съдържа информация за обстоятелствата на инцидента, взетите решения, извършените действия и оценката на риска.

8.2. Поддържането на този регистър е ключов елемент от принципа на отчетност и позволява на bky solutions да демонстрира съответствие с нормативните изисквания, както и да извлича поуки за подобряване на сигурността.

IX. НЕПРЕКЪСНАТО ПОДОБРЕНИЕ

9.1. Процедурата се актуализира периодично в съответствие с резултатите от извършените оценки на въздействието, технологичните промени и нововъзникващите рискове. Всеки инцидент се разглежда и като възможност за подобрение на техническите и организационните мерки.

9.2. Обучението на персонала и повишаването на осведомеността са съществен елемент от този процес и се разглеждат като ключова гаранция за ефективното прилагане на процедурата.

X. ЗАКЛЮЧЕНИЕ

10.1. Настоящата процедура осигурява интегриран и систематичен подход към управлението на нарушения на сигурността на личните данни, който е напълно съгласуван с вътрешната политика за защита на личните данни и извършената Оценката за въздействие върху защита на данните (DPIA).

10.1. Чрез прилагането ѝ се гарантира, че всяко нарушение се обработва своевременно, прозрачно и в съответствие с изискванията на GDPR, като се поставя приоритет върху защитата на правата и свободите на физическите лица.