個資外洩 GDPR 個資保護 歐盟

看懂個資侵害通報規定 GDPR重點深度解析

2018-05-02
GDPR執法即將上路,歐盟資料保護工作小組於今年2月6日修正通過「個人資料侵害通報指引」個資侵害之定義、對監管機關之通報、與個資當事人之溝通、風險及高風險評估、當責與紀錄保存及其他法律文件所規定之通報義務等,均設有詳盡說明與事例。本文針對個資侵害定義、通報監管機關之程序等重點內容,擇要析述。
因應歐盟「通用資料保護規則」(The General Data Protection Regulation,或有譯為一般資料保護規則,下簡稱GDPR)執法即將上路,針對個人資料侵害之通報義務,歐盟資料保護工作小組(Article 29 Data Protection Working Party,WP29)特於本(2018)年2月6日修正通過「個人資料侵害通報指引」(Guidelines on Personal data breach notification under Regulation 2016/679),其中就GDPR所規範個資侵害之定義、對監管機關之通報、與個資當事人之溝通、風險及高風險評估、當責與紀錄保存及其他法律文件所規定之通報義務等,均設有詳盡說明與事例。惟囿於篇幅,本文茲先就個資侵害定義、通報監管機關之程序等重點內容,擇要析述。

個資侵害定義與種類

依據GDPR第4條(12)之定義,個資侵害係指:「個人資料因安全性之侵害所導致意外或非法之毀損、喪失、修改、未經授權之揭露、存取、個資傳輸、儲存或其他處理。」舉例來說,個人資料之喪失包括含有控制者(Controller,或有譯為控管者、管理人)顧客資料庫的備份設備之遺失或遭竊取。另一例子則為整份個資的唯一檔案遭勒索軟體加密,或經控制者加密,但其金鑰已滅失。

歐盟資料保護工作小組,依據資訊安全三原則,將個資侵害之種類區分為:

1.機密性侵害(Confidentiality Breach):未經授權、意外揭露或獲取個人資料。

2.完整性侵害(Integrity Breach):未經授權或意外竄改個人資料。

3.可用性侵害(Availability Breach):在意外或未經授權之情況下,遺失個人資料存取權限或資料遭銷燬。

又前開個資侵害事件種類,不以來自組織外部攻擊者為限,因組織內部處理行為致違反安全原則,亦屬之。

知悉通報限72小時內執行

依按GDPR第33條(1)之規定,當個資侵害發生時,在如果可行之情況下,控制者應即時(不得無故拖延)於知悉侵害時起72小時內,依第55條之規定,將個資侵害情事通報監管機關。但個資侵害不會對自然人之權利和自由造成風險者,不在此限。倘未能於72小時內通報監管機關者,應敘明遲延之事由。

但是控制者「知悉」時點之判斷標準又該如何界定?歐盟資料保護工作小組認為,當控制者對發生導致個人資料侵害的安全事件達「合理確信的程度」(reasonable degree of certainty)時,即應視為其已知悉。以具體事例而言,下列情況均屬所謂「知悉」:

1. 在未加密個人資料的情況下遺失USB密鑰(USB Key),通常無法確定是否有未經授權者將獲致存取資料權限。即使控制者可能無法確定是否發生機密性侵害情事,惟仍應為通知,因發生可用性侵害之情事,且已達合理確信的程度。職是,應以控制者意識到該密鑰遺失時起為其「知悉」時點。

2. 第三人通知控制者其意外地收到控制者的客戶個人資料,並提供該揭露係未經授權之證據。當侵害保密性之明確證據提交控制者時,毫無疑問地即為其「知悉」時點。如誤寄之電子郵件,經非原定收件人通知寄件者之情形。

3. 當控制者檢測到其網路恐遭入侵,並針對其系統進行檢測以確認個人資料是否遭洩漏,嗣後復經證實情況屬實,此際即屬「知悉」。

4. 網路犯罪者在駭入系統後,聯繫控制者以索要贖金。在這種情況下,控制者經檢測系統並確認受攻擊後,亦屬「知悉」。


▲歐盟一般資料保護規則上路倒數計時,事先了解規畫相關配套才能避免高額罰款。

值得注意的是,在經個人、媒體組織、其他來源或控制者自我檢測後,控制者或將進行短暫調查,以確定是否發生侵害之事實。於此調查期間內所發現之最新侵害情況,控制者將不會被視為「知悉」。然而,控制者應儘速開展初步調查,以形成是否發生侵害事故之合理確信,隨後可另進行更詳盡之調查。


追蹤我們Featrue us

本站使用cookie及相關技術分析來改善使用者體驗。瞭解更多

我知道了!