Теч на лични данни — какво да направите в първите 72 часа

Уведомлението за нарушение на сигурността на лични данни е задължителна процедура по чл. 33 от GDPR, при която администраторът трябва да уведоми надзорния орган (КЗЛД) в срок до 72 часа след узнаването на теча. При висок риск за правата на засегнатите лица се изисква и уведомяване на субектите на данни по чл. 34. Неспазването на тези срокове може да доведе до глоби до 10 милиона евро.

Какво е теч на лични данни по смисъла на GDPR?

Директен отговор: Теч на лични данни е нарушение на сигурността, което води до случайно или неправомерно унищожаване, загуба, промяна, неразрешено разкриване или достъп до лични данни (чл. 4, т. 12 GDPR). Обхваща не само хакерски атаки, а и имейл до грешен получател, изгубен лаптоп, ransomware и неоторизирана промяна на записи.

Съгласно чл. 4, т. 12 от Регламент (ЕС) 2016/679 (GDPR), „нарушение на сигурността на лични данни" означава нарушение на сигурността, което води до случайно или неправомерно унищожаване, загуба, промяна, неразрешено разкриване или достъп до лични данни, които се предават, съхраняват или обработват по друг начин.

Определението обхваща значително повече ситуации от тези, които обикновено се асоциират с теч на данни. Теч на данни не е само хакерска атака. Той включва:

Какво трябва да направите в първите 72 часа?

Директен отговор: Срокът по чл. 33, пар. 1 GDPR е до 72 часа и тече от момента, в който администраторът разбере за нарушението, а не от настъпването му. В час 0 се ограничава инцидентът, в първите 4 часа се оценяват обхватът и рискът, до 24-ия час се събира информацията за уведомлението, а до 72-ия час то се подава — при нужда поетапно (чл. 33, пар. 4).

Съгласно чл. 33, пар. 1 от GDPR, администраторът на лични данни е длъжен да уведоми надзорния орган (в България — КЗЛД) без ненужно забавяне и когато това е осъществимо — не по-късно от 72 часа след като е разбрал за нарушението. Действията в рамките на този срок се разпределят, както следва:

1. 0h
   Час 0 — Откриване на инцидента

   Незабавни действия за ограничаване

   72-часовият срок започва да тече от момента, в който разберете за нарушението — не от момента, в който е настъпило. Съгласно Насоки 9/2022 на ЕКЗД, администраторът се счита за „узнал", когато с достатъчна увереност може да се приеме, че е настъпил инцидент, засягащ лични данни, засягащ лични данни.

   • Изолирайте засегнатите системи (не ги изключвайте — запазете доказателствата)
   • Активирайте екипа за реакция при инциденти
   • Започнете да документирате всичко от този момент
2. 4h
   Часове 1–4 — Първоначална оценка

   Определете обхвата и риска

   Отговорете на следните ключови въпроси:

   • Какъв тип данни са засегнати? (Обикновени или специални категории по чл. 9 — здравни, биометрични, генетични?)
   • Колко физически лица са засегнати?
   • Какъв е вероятният риск за правата и свободите на тези лица?
   • Инцидентът продължава ли или е овладян?
3. 24h
   Часове 4–24 — Подготовка на уведомлението

   Съберете информацията за КЗЛД

   Съгласно чл. 33, пар. 3 от GDPR, уведомлението до надзорния орган трябва да съдържа минимум:

   • (а) Естество на нарушението — категории и приблизителен брой засегнати лица и записи
   • (б) Данни за контакт на DPO или друго лице за контакт
   • (в) Описание на вероятните последици от нарушението
   • (г) Описание на предприетите или предложени мерки за справяне с нарушението
4. 72h
   Часове 24–72 — Краен срок

   Подайте уведомлението до КЗЛД

   Подайте уведомлението до КЗЛД в срок. Ако към този момент не разполагате с цялата информация, GDPR позволява поетапно уведомяване (чл. 33, пар. 4) — подайте каквото имате и допълнете впоследствие.

   • Вземете решение дали да уведомите и засегнатите лица (чл. 34)
   • Уведомете обработващите лични данни, ако инцидентът ги засяга
   • Продължете разследването и документирането

Как се уведомява КЗЛД при теч на лични данни?

Директен отговор: Уведомлението се подава до КЗЛД по електронна поща с квалифициран електронен подпис, през портала за електронни услуги, на хартия на адреса на Комисията или по пощата с обратна разписка. То съдържа естеството на нарушението, категориите и приблизителния брой засегнати лица и записи, контакт на DPO, вероятните последици и предприетите мерки (чл. 33, пар. 3 GDPR).

В България уведомяването се извършва до Комисията за защита на личните данни (КЗЛД). Процедурата е следната:

1. Онлайн — чрез електронна поща на kzld@cpdp.bg (с квалифициран електронен подпис) или чрез портала за електронни услуги
2. На хартия — на адрес: гр. София 1592, бул. „Проф. Цветан Лазаров" № 2
3. По пощата — с обратна разписка за доказване на спазения срок

Ако обработващ лични данни (напр. IT доставчик, облачна платформа) открие нарушението, той е длъжен без ненужно забавяне да уведоми администратора (чл. 33, пар. 2 от GDPR). Важно: 72-часовият срок тече от момента, в който администраторът узнае, не обработващият.

Кога трябва да уведомите засегнатите лица?

Директен отговор: Уведомяване на засегнатите лица се дължи без ненужно забавяне, когато нарушението може да породи висок риск за правата и свободите им — например изтичане на финансови или здравни данни, ЕГН и копия на лични документи (чл. 34, пар. 1 GDPR). Задължението отпада при криптирани данни, при мерки, изключващи високия риск, или при непропорционално усилие (чл. 34, пар. 3).

Съгласно чл. 34, пар. 1 от GDPR, когато нарушението може да породи висок риск за правата и свободите на физическите лица, администраторът е длъжен да ги уведоми без ненужно забавяне. Уведомлението до лицата трябва да е на ясен и разбираем език.

Кога рискът е „висок"? Съгласно Насоки 9/2022 на ЕКЗД, висок риск е налице при:

• Изтичане на финансови данни (банкови сметки, кредитни карти)
• Разкриване на ЕГН, копия на лични документи
• Изтичане на здравни данни, данни за съдимост, сексуална ориентация
• Данни, които могат да доведат до кражба на самоличност
• Данни на уязвими лица (деца, пациенти, служители)

Не е необходимо уведомяване на лицата (чл. 34, пар. 3), ако:

• (а) Данните са били криптирани или направени неразбираеми за неоторизирани лица
• (б) Администраторът е предприел мерки, които изключват висок риск
• (в) Уведомяването би изисквало непропорционално усилие — в такъв случай се прави публично съобщение

Какво сте длъжни да документирате при всяко нарушение?

Директен отговор: Чл. 33, пар. 5 GDPR изисква да документирате всяко нарушение — фактите, последиците и предприетите мерки — дори когато не уведомявате КЗЛД. Вътрешният регистър съдържа датата и часа на откриване, естеството на нарушението, броя засегнати лица и записи, вероятните последици, коригиращите мерки и мотивите за уведомяване или неуведомяване.

Дори ако решите, че нарушението не изисква уведомяване на КЗЛД, чл. 33, пар. 5 от GDPR изисква да документирате всяко нарушение — фактите, последиците и предприетите мерки. Тази документация трябва да позволи на КЗЛД да провери спазването на задълженията ви.

Вътрешният регистър на нарушенията трябва да съдържа:

• Дата и час на откриване на нарушението
• Описание на естеството на нарушението
• Категории и брой на засегнатите лица и записи
• Вероятни последици
• Предприети коригиращи мерки
• Решение за уведомяване/неуведомяване на КЗЛД (с мотиви)
• Решение за уведомяване/неуведомяване на засегнатите лица (с мотиви)
• Хронология на действията (кой, какво, кога)

Какви глоби и санкции са възможни при теч на данни?

Директен отговор: Нарушение на чл. 33 и чл. 34 GDPR се санкционира с глоба до 10 000 000 евро или 2% от годишния оборот (чл. 83, пар. 4), а при нарушени основни принципи по чл. 5 и чл. 6 — до 20 000 000 евро или 4%. В България са налагани 5,1 млн. лв. (≈2,61 млн EUR) на НАП (впоследствие отменена/намалена от ВАС) и 1 000 000 лв. (≈511 000 EUR) на Банка ДСК.

Санкциите за неспазване на задълженията при теч на данни са сред най-сериозните в GDPR. Нарушение на чл. 33 и чл. 34 може да доведе до глоба до 10 000 000 евро или 2% от годишния оборот (чл. 83, пар. 4 от GDPR). Ако нарушението е свързано с основните принципи за обработване (чл. 5, чл. 6), глобата може да достигне 20 000 000 евро или 4% от оборота.

Ето какво се е случило в България:

Факторите, които КЗЛД и съдилищата вземат предвид при определяне на глобата (чл. 83, пар. 2 от GDPR), включват:

• Естеството и тежестта на нарушението — колко хора са засегнати, какъв тип данни
• Умишлен или небрежен характер — дали организацията е знаела за рисковете
• Предприетите мерки за смекчаване на последиците
• Степен на сътрудничество с надзорния орган
• Начинът на узнаване — самостоятелно уведомяване работи в полза на администратора
• Предходни нарушения и наложени мерки

Как да се подготвите предварително за теч на данни?

Директен отговор: Организациите с план за реакция ограничават щетите средно с 54% (IBM Cost of a Data Breach Report 2024). Четирите стъпки са: писмен и тестван план с определен екип и роли, редовен GDPR одит, криптиране на чувствителните данни и обучение на служителите — човешкият фактор стои зад около 68-74% от нарушенията.

Най-ефективната защита срещу тежки последици от теч на данни е подготовката преди инцидента. Организациите, които имат план за реакция, ограничават щетите средно с 54% спрямо тези без план (IBM Cost of a Data Breach Report 2024).

Ако нямате вътрешен капацитет за изготвяне на план за реакция при инциденти, нашият екип може да ви помогне — от оценка на рисковете до пълна документация и обучение.

Адв. Десислава Димитрова & Адв. Йордан Чолаков

Dimitrova, Cholakov & Partners · Innovires

Адв. Димитрова е CIPP/E сертифициран специалист по защита на лични данни с дългогодишен опит в правото на ЕС. Адв. Чолаков е експерт по GDPR съответствие, международни трансфери на данни и whistleblowing. Заедно консултират над 90 компании за пълно GDPR съответствие.