Пробив в сигурността: какво означава „Data Breach“ и защо засяга всички?

0:18↗всички да се съберат и можем да

0:21↗започнем.

0:29↗Междувременно това, което мога да

0:30↗отбележа е, че докато изчакваме всички

0:33↗да се съберат, е, че Q&A секцията ще се

0:36↗проведе в Слайдо, където можете да

0:38↗влезете в стаята през аа с #г а семиinar

0:44↗или да сканирате QR кода. Така че

0:49↗а влезте, задавайте смело въпросите си.

0:51↗Ще се радвам на изключително много

0:52↗въпроси или дори да се образува някаква

0:55↗дискусия. Апелирам към това. Така стават

0:57↗най-интересните семинари.

1:00↗Аа и всъщност на края на презентацията

1:03↗аа ще се спрем на тях и ще ги

1:05↗разгледаме.

1:11↗Така.

1:13↗Надявам се, че презентацията се вижда и

1:14↗всичко окей технически. А, казвам се

1:18↗Виктория Велева. Старшият адвокат съм в

1:20↗адвокатско дружество Димитров Петров и

1:21↗Ко. А част съм от екипа по технологии и

1:24↗данни. А и всъщност съм така един от

1:28↗основните двигатели на нашия екип

1:31↗реагиране при инциденти, който ние сме

1:33↗сформирали в рамките на нашия екип, а с

1:37↗което всъщност подкрепяме и съдействаме

1:40↗на нашите клиенти, когато при тях се

1:43↗случи пробив в сигурността. Така че

1:45↗изключително много се надявам, че освен

1:48↗теорията, която ще чуете, която по-скоро

1:51↗съм гледала да огранича, а ще чуете така

1:53↗и интересни примери, дали от практиката,

1:56↗а или просто други нагледни примери,

1:59↗които ще обрисуват всъщност теорията в

2:04↗малко повече яснота.

2:07↗А, така че

2:10↗без да се забавяме повече, ще преминем

2:13↗по същество и надявам се, че в края на

2:16↗лекцията всъщност ще ви убедя, че а един

2:20↗детабридж или нарушение на сигурността

2:22↗на данните не е проблем само и

2:24↗единствено на администратора, а също

2:27↗така следва да се отбележи, че доста

2:29↗често самите администратори на лични

2:30↗данни също сами по себе си пренебрегват

2:33↗тази тема, а която дългосрочно може да

2:36↗им изиграем доста лоша шега, а

2:39↗включително и чрез санкции, както и

2:41↗чисто репутационните рискове също винаги

2:43↗ги има. Аа но надявам се, че ще се

2:47↗убедим и че това е изключително важно и

2:49↗трябва да сме доста сенситивни към това

2:51↗и в ролята си на субекти и на личните

2:53↗данни, които всички от всички ние в една

2:56↗или друга позиция сме субекти на

2:59↗данните.

3:00↗А и също така ще ви дам няколко примера,

3:03↗при които се надявам да ви убедя, че

3:05↗всъщност инцидентите не се случват само

3:08↗при администратора, но всъщност на

3:09↗практика доста по-често се случват при

3:12↗различните обработващи надолу по

3:14↗веригата. И нахвърлях ви така доста

3:16↗термини в пространството, които за

3:20↗хората, които всъщност не са с

3:23↗юридическо образование или не са се

3:25↗запознавали с дефинициите, които има по

3:26↗общия регламент за защита на личните

3:28↗данни или още известен като GDPR. А

3:30↗горе-долу да ви обрисувам една много

3:32↗бърза картинка на дефинициите.

3:34↗Аа по принцип личните данни изключително

3:37↗голям е обхвата на дефиницията. не са,

3:40↗както повечето смятат, да кажем, имена,

3:43↗адреси, ЕГН. Напротив, може да да

3:46↗обхваща всякакви преки или косвени

3:48↗идентификатори. Давам ви пример за

3:50↗косвени идентификатори, например

3:52↗бисквитките. А така че дори чрез

3:54↗бисквитките, макар да не знаем името на

3:58↗а лицето, което стои и навигира онлайн,

4:01↗отново можем да изградим толкова

4:03↗детайлен профил и а персонализираните

4:06↗преференции на човека чрез тях всъщност

4:08↗да изградим а изключително детайлен

4:10↗профил за интересите на едно лице, за

4:13↗местоположението му и така нататък.

4:16↗Точно тези косвени идентификатори,

4:18↗тъй като те помагат за изграждането на

4:20↗профил на човек и в комбинация те могат

4:23↗да спомогнат за идентифицирането на едно

4:25↗лице, а това всъщност също означават

4:28↗лични данни. Така че третирайте

4:31↗дефиницията за лични данни изключително

4:32↗изключително общо и об и аа може да бъде

4:36↗всяко нещо, всяка всяка информация,

4:38↗която може да идентифицира дадено лице

4:41↗или го идентифицира.

4:43↗Относно администратор на личните данни,

4:45↗този, който по принцип носи

4:47↗отговорността, той е тази организация

4:50↗или структура или лице, която определя

4:53↗целите и средствата за обработването.

4:55↗Какво означава това на практика? Това

4:57↗означава а че това лице решава а данните

5:03↗на кои субекти ще обработва, колко ще

5:05↗обработва, в какъв обем, за какви

5:07↗срокове, аа за какви цели, какво а към

5:10↗кого ще превъзлага обработването и така

5:13↗нататък. Така че всички тези решения,

5:16↗този deciisъion makйкинг го прави

5:18↗администраторът на личните данни. А що

5:21↗се отнася до обработващия, той по-скоро

5:24↗обработва по възлагане. Това означава,

5:27↗че той няма собствено правно основание

5:30↗да обработва, а го осъществява от името

5:34↗на администратора. Това означава, че

5:36↗един администратор възлага на

5:38↗обработващия в даден обхват да обработва

5:41↗данни. Съответно и затова е толкова

5:43↗важно да се уредят отношенията писмено и

5:46↗то това е задължително съгласно JDPR, за

5:48↗да може именно да се опишат в детайли

5:50↗тези отношения.

5:53↗Аа и субектът на данни, който всъщност

5:56↗ни е изключително основополагащ при

5:58↗нарушенията и аа всъщност това, което е

6:01↗ключово винаги е м при нарушението

6:04↗определящо е риска. Как определяме

6:06↗риска? Риска го определяме на базата на

6:09↗това доколко са засегнати правата на

6:11↗субектите на данни. А така че затова

6:14↗субектът на данни данните ни е толкова

6:17↗ключов а персонаж в лекцията. А субектът

6:20↗на данни е именно лицето, чиито данни се

6:23↗обработват,

6:26↗аа което в различен контекст могат да

6:29↗бъдат много различни лица. дали ще бъдат

6:31↗кандидати за работа, дали ще бъдат

6:32↗служители, дали ще бъдат физически лица

6:35↗на граждански договори, дали ще бъде в

6:37↗онлайн среда, а потребителна платформа и

6:39↗така нататък. Така че надявам се, че с

6:41↗това много бързо ви обрисувах основните

6:43↗дефиниции, с които ние всъщност ще

6:45↗боравим по време на самата лекция.

6:48↗А нещо, което е изключително важно за

6:52↗DAB и изобщо да да разберем концепцията

6:55↗и защо си говорим за това, поради

6:58↗простата причина, че едно от

6:59↗изискванията на на GDPR е всъщност с

7:02↗помощта на подходящи технически и

7:04↗организационни мерки а личните данни да

7:07↗се обработват по такъв начин, че да се

7:10↗осигурява подходящо ниво на сигурност на

7:13↗личните данни аа включително и защита а

7:17↗от неразрешено или незаконосъобразно

7:20↗обработване, а срещу загуба,

7:23↗унищожаване, повреждане и така нататък.

7:26↗А

7:28↗и всъщност,

7:30↗когато започнем да обработваме лични

7:32↗данни, преди да започнем даденото

7:34↗обработване, това, което ние трябва да

7:36↗направим е един своеобразен риск assessм

7:39↗и това трябва да бъде винаги заложено

7:41↗при нашите процеси, а за да осигурим

7:44↗правя си by default и by design. А това

7:47↗означава, че из да представете си

7:49↗примерно имплементирате даден нов

7:50↗процес. Първото нещо, което трябва да

7:52↗направите, е даден риск асесмнт или

7:55↗оценка на риска, за да прецените а

7:58↗евентуално по какъв начин и до каква

8:01↗степен ще бъдат засегнати правата и

8:02↗свободите на субектите на данни. На

8:05↗базата на тази оценка вече и когато си

8:09↗набележите рисковете, които са асоцирани

8:12↗с това обработване, чак тогава вие вече

8:15↗можете да прецените кои всъщност са

8:17↗наистина подходящите и адекватните

8:20↗технически организационни мерки, за да

8:22↗ги имплементирате и да осигурите

8:24↗защитата на личните данни.

8:26↗Едно нарушение на сигурността на данните

8:29↗означава на практика, че тези технически

8:33↗организационни мерки, които вие сте

8:35↗предприели и сте счели за подходящи, в

8:38↗един или друг момент са се оказали, че

8:41↗не е точно така и и не са достатъчни. А

8:45↗оттам насетне администраторът на личните

8:47↗данни има много различни решения, които

8:49↗той трябва да вземе, за да може да а

8:53↗осигури, че а един настъпил детабридж ще

8:58↗има минимален импакт върху а личните

9:02↗данни на субектите.

9:04↗А

9:06↗така че

9:08↗на практика това, което честно казано аз

9:11↗забелязвам а при дета брийчовете

9:15↗ам е всъщност, че

9:19↗често хората смятат, че това трябва да

9:21↗означава една много агресивна и голяма

9:26↗ам

9:28↗агресивен и голям пробив на сигурността,

9:31↗аа да бъдат комплексни или сложни.

9:34↗кибератаки или злонамерени хакери, които

9:36↗да напада дадена система. А което макар

9:41↗че се случва, реалността показва, че на

9:44↗практика а причините, поради които

9:47↗настъпва едно нарушение на сигурността

9:49↗на данните, всъщност са а доста

9:51↗по-ежедневни

9:53↗и а понякога дори м доста неглижирани

9:57↗причини. А, а именно доста голям фактор

10:02↗всъщност е, както и винаги се случва,

10:05↗нали, когато човек е замесен, а може да

10:08↗се допусне дадена грешка, дали от

10:10↗невнимание, дали от бързина или нещо

10:12↗друго. А, така че човешката грешка е

10:15↗един от факторите, който доста често

10:17↗всъщност може да причини и да предизвика

10:19↗един детабрийдж. А другото нещо, което

10:22↗може да предизвика са технически

10:24↗пропуски, а да кажем пет от 10тте мерки

10:28↗да са на практика имплементирани в

10:30↗системата на администратора, за да

10:32↗осигури защитата на данните.

10:34↗Аа също така може да бъдат и погрешно

10:37↗изпратени имейли, а и загубени

10:40↗устройства и това, честно казано са

10:42↗най-честите причини за инциденти. А,

10:44↗смятам, че на всеки в един прекрасен

10:47↗момент му се случило дали в личен

10:49↗контекст или професионално, а да тръгне

10:52↗да изпраща грешен

10:54↗имейл към грешно лице и да се хване или

10:57↗пък дори да го изпрати, чак тогава да

10:59↗констатира, аз го изпратих на грешното

11:01↗лице или съм объркала една буква и така

11:03↗нататък. Така че, макар да звучат на

11:06↗практика нали леко несериозно, а

11:09↗истината е, че доста често това са

11:12↗първопричините всъщност.

11:15↗А и да си поговорим всъщност какво е

11:18↗нарушение на сигурността на данните

11:20↗чисто регулаторно. А дефиницията, която

11:24↗GDPR дава на нарушение на сигурността на

11:26↗данните е такова нарушение на

11:28↗сигурността, което води до случайно или

11:32↗неправомерно унищожаване, загуба,

11:35↗промяна, неразрешено разкриване или

11:37↗достъп до лични данни. Това, което искам

11:40↗само да отбележа, е, че

11:43↗а всяко нарушение на сигурността на

11:46↗личните данни е инцидент на сигурността

11:49↗от гледна точка на киберсигурност. Но не

11:52↗всеки инцидент на сигурността от гледна

11:54↗точка на киберсигурност е нарушение на

11:57↗сигурността на личните данни. За да

11:59↗можете всъщност вие да констатирате, че

12:02↗имате нарушение на сигурността на

12:03↗личните данни, всъщност трябва да са

12:05↗засегнати на практика лични данни. Както

12:08↗констатирахме, личните данни са

12:10↗изключително всеобхватни. Аа но затова

12:13↗ще се спрем след два слайда. Аа

12:18↗когато видите дефиницията, която съм

12:20↗дала отгоре, а виждате, че имате много

12:22↗различни хипотези, при които може да

12:24↗настъпи едно такова нарушение. А как

12:27↗можете да определите всъщност а кое от

12:32↗кой от трите вида нарушения за кого за

12:35↗кое от нарушенията говорим? Аа те могат

12:38↗да бъдат три вида. Можете да имате

12:41↗нарушение на поверителността,

12:43↗можете да имате на целостта и на

12:46↗наличността. Когато говорим за

12:48↗нарушението на поверителността, а това

12:51↗обхваща неразрешеното или случайното

12:54↗разкриване или неуторизиран достъп до

12:57↗данни. Докато когато говорим за

13:00↗цялостност на данните, а когато тя е

13:03↗нарушена, говорим за неразрешена или

13:07↗случайна промяна, подмяна или повреждане

13:11↗на данните.

13:13↗А когато говорим за наличност, тук

13:15↗говорим за случайна загуба на достъп,

13:18↗унищожаване на данни или неналична

13:21↗услуга. Това също с неналичната услуга е

13:25↗а една от хипотезите при наличност,

13:28↗което е важно да се вземе предвид, което

13:30↗означава също така и настъпването на на

13:33↗липсата на контрол. Това е много важно

13:35↗при наличността.

13:37↗Сега тези три вида нарушения изглеждат

13:42↗така на практика доста разнородни, но

13:45↗истината е, че един бриdдж, когато той е

13:48↗доста комплексен, а всъщност може да

13:51↗застъпи е повече от едно нарушение.

13:55↗Какво означава това? Това означава, че а

14:00↗една и съща един и същи сценарий на

14:02↗DataБриge може всъщност да се счита и за

14:05↗нарушение на поверителността и например

14:07↗на наличността.

14:08↗Така че това не е изключено. Аа тогава

14:11↗оценката, която трябва да си направите

14:14↗при консутирането на един дета бридж

14:16↗просто е доста по комплексна и повече

14:19↗фактори трябва да се вземат предвид. И

14:22↗когато, разбира се, и по-комплексна, а

14:25↗нивото на риска при подобна оценка,

14:29↗честно казано, на практика може доста да

14:32↗ви се повиши. Така че аа

14:36↗а очаквайте това

14:39↗и всъщност да разгледаме

14:41↗няколко най най-често срещани сценарии в

14:45↗практиката. А като разбира се ще ви дам

14:49↗и още няколко примера, но тези са може

14:52↗би така чудесни учебникарски примери за

14:54↗за един бридж. А първият сценарий, който

14:57↗ще разгледаме са а загубените

15:00↗устройства,

15:02↗което разбира се на всеки може да се

15:04↗случи. А да кажем в хипотезата, в която

15:07↗имаме изгубен или откраднат некриптиран

15:10↗служебен лаптоп или USB флашка, а това

15:13↗може да доведе до нарушение на

15:16↗наличността и поверителността на

15:19↗данните. Така че виждате тук как имате

15:21↗всъщност комбинация

15:24↗от а двата двата вида нарушения. А след

15:28↗това сценарий втори, погрешният имейл, а

15:33↗за който коментирахме, изпращане на файл

15:37↗с лични данни, а с да кажем и заплати, а

15:42↗или дори прикрепени договори като

15:45↗приложения към имейла до грешен

15:47↗получател извън организацията.

15:50↗Това а категорично, нали, разбира се,

15:52↗зависи от фактите дали може да бъде

15:54↗някой от другите нарушения също, но

15:57↗категорично поне води до нарушение на

15:59↗поверителността,

16:02↗аа тъй като се разкрива и се предоставя

16:05↗достъп до грешен получател. А и третият

16:08↗сценарий, който ще ви дам като пример,

16:10↗е, когато имаме зловреден софтуер, а да

16:15↗кажем хипотезата на криптиране на

16:17↗фирмени бази данни с искането за откуп,

16:20↗което на практика се случва. Аа и в тази

16:25↗хипотеза представете си, че

16:27↗администраторът всъщност няма наличен

16:30↗възстановим бекъп, от който да

16:31↗възстанови данните си, които са

16:34↗криптирани.

16:36↗Това може да доведе поне до нарушение на

16:38↗наличността и потенциално на

16:41↗поверителността.

16:44↗А други примери, които бих могла да ви

16:46↗дам а

16:49↗са примерно за загубата на наличност,

16:53↗когато

16:56↗ам

16:58↗имаме криптирани данни и ключът за

17:02↗декриптиране например е а загубен. А или

17:06↗когато имаме,

17:08↗защото коментирахме и за прекъсването на

17:11↗на услуга, на предоставянето на услуга,

17:13↗ограничаването за даден период, а

17:16↗представете си, че имате прекъсване на

17:18↗електрозахранването,

17:19↗а което да води до спирането на

17:22↗наличността на данните.

17:25↗В този случай също това може да се счита

17:27↗за а нарушение на наличността. А сега,

17:32↗разбира се, тук трябва критично да се

17:35↗преценява, нали, нали наистина ли имаме

17:37↗нарушение на наличността в последната

17:39↗хипотеза, защото ам при

17:42↗електрозахранването по-конкретно, защото

17:44↗е едно е да спре електрозахранването на

17:47↗болница, когато има данни за аа

17:51↗операции, има спешни операции и така

17:54↗нататък и това може значително да

17:56↗повлияе върху върху процесите по

17:59↗обработване. изобщо дейността на

18:01↗болницата. Друго е, ако спре

18:03↗електрозахранването на компания, която а

18:07↗трябва да изпрати примерно newsletлетър

18:10↗с маркетинг материали на свои бизнес

18:13↗партньори, нали разбирате, че тук доста

18:18↗е по-различно с оглед риска, който ам

18:23↗може да последва за правата и свободите

18:25↗на субектите на данните. Така че имате

18:28↗изключително много сценарии. Това

18:30↗харесвам аз специално, нали, от моята

18:32↗гледна точка в работата си с такива

18:35↗казуси. То всеки е изключително

18:37↗разнообразен. А макар някои да се

18:40↗повтарят като фактическа обстановка,

18:43↗всъщност дяволът е в детайлите и много

18:45↗често някакъв малък детайл от сорта на а

18:49↗това дали ключът за декриптиране

18:52↗всъщност изобщо е засегнат, когато са

18:54↗криптирани данните. А дали

18:58↗ето става въпрос, че засегната база

19:01↗данни за newsletter и тя после може да

19:03↗бъде бекъпната, дали за нещо друго.

19:06↗Просто а всички тези малки детайли аа са

19:11↗нещото, което могат да преобърнат

19:12↗каруцата аа и всъщност да доведат от

19:17↗ниско ниво на риск до високо ниво на

19:19↗риск. А и тази преценка и всъщност това

19:23↗събиране на фактите и този анализ

19:27↗е изключително интересен и процес

19:31↗и ефектът на доминото. Всъщност ние

19:33↗започнахме с въпроса

19:37↗как това се отразява на всички, как

19:40↗всички по веригата са засегнати. Аа

19:42↗именно смятам, че този слайд доста добре

19:45↗представя това, а именно

19:48↗аа при субектите на данни, разбира се,

19:52↗те са най-засегнатите. Те всъщност са

19:54↗единствените засегнати и те са ви ключа

19:57↗към преценката всъщност за какво ниво на

20:00↗риск говорим и какво трябва оттук

20:02↗насетне вие да направите като стъпки. Аа

20:05↗при субектите на данниът по който

20:08↗техните права могат да бъдат засегнати и

20:12↗са изключително разнообразни и разбира

20:14↗се зависи от самата фактическа

20:16↗обстановка. А те могат да бъдат както

20:20↗физически, така и материални или

20:23↗нематериални вреди. Може да бъде загуба

20:26↗на контрол върху данните, може да бъде

20:29↗ограничаване на правата им, може да бъде

20:32↗дискриминация, кражба на самоличност, а

20:36↗измама с фалшива самоличност, особено

20:38↗при по-чувствителните данни, когато те

20:40↗изтекат. Могат да бъдат финансови

20:42↗загуби, а може да бъде неразрешено

20:46↗премахване на псевдонимизация,

20:48↗може да бъде накрняване на репутация, а

20:51↗може да бъде нарушаване на професионална

20:53↗тайна. Така че изключително много са

20:56↗примерите, които мога да ви дам аа като

20:59↗видове рискове и това са реално рискове,

21:03↗които се случват в практиката. А много

21:08↗често това, което администраторите

21:10↗правят при преценка,

21:13↗което за мен е изключително грешно, е, а

21:16↗а то няма какво да се случи с хините,

21:21↗а няма да има проблем, ние няма да

21:23↗уведомяваме. А това е може би

21:25↗най-погрешното разбиране, което един

21:27↗администратор може да има. А защото

21:30↗много често просто на практика се

21:32↗подценяват рисковете, които а които има

21:37↗и които дебнат зад ъгъла субектите на

21:39↗данни. И мога да ви кажа от практиката,

21:42↗че субектите на данни аа много често

21:46↗разбират аа под една или друга форма, че

21:49↗техните данни са, да кажем, при

21:52↗нарушение на поверителността, когато са

21:54↗изтегли изтекли при кибератака. А много

21:57↗много често разбират и много бързо за

22:00↗това. А Комисията за защита на личните

22:03↗данни, който е надзорния орган в сферата

22:05↗на личните данни, също повярвайте доста

22:09↗активно следи за това и проактивно. Така

22:11↗че, ако един администратор на личните

22:13↗данни подходи снисходително а и подцени

22:17↗рисковете, а всъщност това може

22:19↗дългосрочно да му изиграе изключително

22:21↗лоша шега. а поради ред причини, а и

22:26↗всъщност нарушенията, които бъдат

22:29↗констатирани от комисията, всъщност да

22:30↗бъдат доста повече, включително и а

22:33↗нарушението, че администраторът не е

22:35↗подал уведомлението си навреме или

22:37↗изобщо не го е подал. А така че това,

22:40↗което със сигурност администраторите

22:42↗трябва да имат предвид и да

22:45↗са съзнателни в техните преценки,

22:47↗всъщност е в крайна сметка това как ще

22:51↗се отрази наистина на субектите на

22:53↗данни. И това трябва да го правят както

22:55↗напре в началото, преди изобщо да

22:58↗започнат обработването, за да си

23:00↗осигурят адекватните технически

23:01↗организационни мерки. реално така трябва

23:04↗да го направят и все пак ако един

23:06↗dataтабрийдж се случи, защото вижте

23:08↗сега, истината е, че никой не е

23:10↗застрахован от един бридж,

23:13↗а може а дадена компания да има

23:16↗най-високото ниво на защита, а

23:19↗изключително огромен екип от IT и

23:22↗киберсигурност специалисти, а може да

23:25↗има супер адванс системи и така нататък.

23:30↗двуфакторна автентикация, трифакторна,

23:32↗може просто всичко да е направено по

23:35↗учебник и въпреки това отново може да

23:38↗настъпи дета бридж. дали ще бъде заради

23:41↗човешка грешка, дали заради а някоя

23:45↗друга нелепа причина, дали защото а

23:49↗макар да имаме изключително завидна

23:52↗система и сигурност изградени, а някой

23:56↗все пак е успял да ни хакне. Няма

23:58↗значение каква е причината. Истината е,

24:00↗че от практиката си това, което аз съм

24:02↗виждала е, че мм просто няма

24:05↗застраховани от един детабрийдж.

24:08↗А след това следващият по веригата,

24:12↗който може да бъде засегнат и какво се

24:15↗очаква от него аа е обработващия.

24:18↗Хипотезата, в която а нарушението на

24:21↗сигурността на данните всъщност е

24:22↗настъпило при него. Имайте предвид, че

24:25↗доста често, когато говорим за а един

24:29↗голям бизнес, дори да дори да не е голям

24:31↗бизнес, а много често в имаме дълга

24:36↗верига на обработващи, които ние сме

24:38↗ангажирали, която представете си, че вие

24:41↗като администратор аа наемате всъщност

24:46↗ангажирате IT компания, която предоставя

24:48↗даден, дадена дадена платформа или нещо,

24:51↗която използвате и Аа и тази страна

24:54↗действа в ролята на обработващ, но тази

24:57↗Но тази страна, която е обработващ, тя

25:00↗пък използва за сво за своето мм други

25:04↗допълнителни събфункции, които са от

25:06↗друг подобработващ и така можете да си

25:08↗представите, че може да има една дълга

25:12↗верига, която започва от администратора

25:15↗и върви обработващия, подобработващ,

25:17↗подобработващ, подобработващ и така

25:19↗нататък.

25:20↗Това, което администраторът е

25:22↗изключително важно да направи, е много

25:24↗стриктно да си следи веригата на

25:26↗обработващи и постоянно да знае във

25:29↗всеки един момент какъв обем от данни е

25:32↗предал надолу по веригата и кои

25:34↗обработващи и подобработващи са

25:36↗ангажирани с обработването на неговите

25:38↗данни по по неговото възлагане. Това

25:41↗категорично трябва през целия процес на

25:43↗възлагане да се случва. Ако при някои от

25:47↗обработващите настъпи нарушена

25:49↗сигурността на данните, които са

25:51↗предоставени от този администратор,

25:53↗обработващият е задължен незабавно да

25:56↗отиде при администратора и да го уведоми

25:59↗за настъпилото нарушение при него и

26:02↗трябва съответно да предостави цялата

26:05↗информация, кой която той има, тази

26:08↗страна има за съответното нарушение.

26:11↗Отбелязвам още сега, че обработващият

26:14↗а

26:16↗няма задължението и не подава той

26:20↗уведомлението към Комисията за защита на

26:22↗личните данни при констатирано

26:25↗нарушение. Той има единственото

26:27↗задължение да информира администратора,

26:31↗а след което администраторът е този,

26:33↗който всъщност трябва да уведомина при

26:36↗настъпването на нарушение Комисията за

26:38↗защита на личните данни.

26:41↗А освен информирането на комисията,

26:44↗администраторът на личните данни, тъй

26:47↗като той е носител на административната

26:49↗отговорност и той определя целите и

26:52↗средствата за обработването, той

26:54↗дирижира цялостно какво ще се случва с

26:56↗личните данни и прави всички оперативни,

26:59↗административни и ръководни решения,

27:01↗свързани с личните данни. Ам затова е и

27:05↗носител на административната

27:06↗отговорност. Какво той трябва да

27:08↗направи, когато при него постъпи

27:11↗информация за нарушение на сигурността

27:13↗на данните? Дали от дали ще бъде в

27:15↗рамките на структурата, дали тази

27:17↗информация ще бъде подадена от

27:18↗обработващ?

27:20↗Това, което той трябва да направи е да

27:22↗направи една оценка на риска. Сега ще се

27:24↗спрем как правим оценка на риска. А

27:27↗трябва да уведоми винаги Комисията за

27:29↗защита на личните данни КЗЛъда. А когато

27:32↗оценката на риска покаже висок риск за

27:35↗правата и свободите на субектите на

27:37↗данни, вече преминаваме и към

27:40↗уведомяване на самите субекти на данни,

27:42↗които са засегнати от нарушението. Това

27:44↗е единствената задължителна хипотеза на

27:47↗уведомяване, когато имаме висок риск аа

27:50↗за конкретно уведомяването на субектите.

27:53↗А и също така друго, което е

27:55↗изключително важно,

27:58↗а в особено и в ранните етапи на

28:00↗установяването на едно нарушение и на

28:03↗последващи етапи, разбира се, е всъщност

28:05↗вие да предприемете адекватни и

28:08↗подходящи коригиращи мерки.

28:11↗Какво означава това? Това означава, че

28:12↗тъй като първоначалните ви мерки не са

28:14↗били достатъчни, сега трябва да

28:17↗предприемете коригиращи такива, които да

28:19↗осигурят, че ам

28:23↗а това няма да се повтори.

28:27↗Аа и да обрисуваме една хронология на

28:32↗уведомяването.

28:34↗А, имаме първоначалния момент, в който

28:38↗всъщност дори преди първо преди момент

28:41↗нула имаме, да кажем, и един момент

28:44↗минус едно а който не съм го а

28:47↗изобразила, но какво е момент минус едно

28:51↗на практика? А самият момент, в който е

28:53↗настъпило нарушението на сигурността на

28:55↗данните.

28:56↗А след което вече имате момент нула,

29:00↗който ви е чисто

29:02↗юридически важният момент. А това е

29:05↗моментът, в който вие сте узнали за

29:08↗нарушението на сигурността. Това

29:10↗означава, че с висока степен на

29:12↗сигурност аа сте констатирали, че лични

29:16↗данни са засегнати

29:18↗аа поради една или друга причина.

29:22↗След това от момента на узнаване вие

29:25↗имате 72 часа. А няма значение работни

29:29↗или неработни дни. А по закона на Мърфи

29:32↗винаги нещата се случват в разбира се

29:35↗бричовете се случват в петък вечерта,

29:38↗така че имайте предвид, че не можете да

29:40↗го оставите за понеделник, вторник,

29:42↗сряда, следващата седмица, когато имате

29:44↗време да го разгледате и да действате по

29:47↗него. А тези 72 часа са задължителни, а

29:52↗и не могат да се променят в зависимост

29:54↗от това работен или неработен ден е.

29:56↗Така че, ако констатирате нещо подобно,

29:58↗трябва да моята препоръка, разбира се,

30:00↗тъй като изключително важно да спрете

30:02↗всичко останало и разбира се да

30:04↗приоритизирате това.

30:07↗А в рамките на първите 72 часа вие

30:11↗трябва да изчистите ця нали поне

30:14↗фактологията, която можете, а нали не

30:17↗цялата, защото доста често случва се

30:19↗случва така, че не може цялостно да се

30:22↗ам

30:24↗получи изчерпателна информация, но

30:27↗всичко, което можете да съберете като

30:29↗данни информация, трябва да го отразите

30:31↗в уведомление а към Комисията за защита

30:34↗на личните данни. А това уведомление а е

30:38↗публикувано на сайта на комисията и

30:41↗всъщност, когато приключим

30:42↗презентацията, ще ви покажа точно къде

30:44↗можете да си го намерите. По принцип

30:46↗можете да

30:48↗а си структурирате и ваше уведомление.

30:52↗Да ви кажа честно, на практика

30:53↗категорично [смях] не го препоръчвам

30:55↗това, поради проста причина, че

30:57↗Комисията за защита на личните данни

30:59↗така е структурирала образеца на

31:00↗уведомлението си, че да получи точно

31:03↗тази информация, която е необходима при

31:06↗а потенциалната проверка, която ще бъде

31:09↗аа

31:11↗възложена и активизирана от тяхна

31:13↗страна. Така че, а това, което нали ще

31:17↗се случи, ако вие си подадете някакъв

31:19↗ваш формуляр, е а евентуално да ви пишат

31:23↗отново, а и да искат много допълнителна

31:27↗информация, за да можете да избегнете

31:28↗тази нали постоянна комуникация, нали, и

31:32↗а по-скоро буксуване. А бих препоръчала

31:36↗категорично да си се водите по

31:38↗формуляра, който е на уебсайта. Той

31:40↗затова е приет.

31:43↗А уведомяването на комисията правим, ако

31:47↗съществува вероятност от риск за правата

31:49↗и свободите. Това, разбира се, отново

31:51↗правим и с тази оценка на риска, която а

31:55↗която ще я направим и която ще ви покажа

31:57↗как се прави.

31:59↗И а без ненужно забавяне

32:03↗би трябвало да уведомим субектите на

32:05↗данни, когато установим, че нарушението

32:08↗на сигурността на данните е довело до

32:11↗висок риск.

32:12↗Сега може би бихте ме попитали, а добре,

32:15↗ако имаме ниско или средно ниво на риск,

32:18↗защото това са ви трите нива на риска,

32:21↗какво правим? А уведомяваме ли субектите

32:24↗на данни? И в този случай отговорът би

32:26↗бил ам ако желаете да бъдете проактивни,

32:32↗а изключително прозрачни а при а

32:37↗оперирането си, да можете евентуално

32:39↗нали да решите, че ще уведо думите

32:42↗проактивно обектите на данни, когато

32:44↗имате ниско или средно ниво на риск. Аа

32:47↗но това зависи изцяло изключително от

32:50↗вашата преценка, а дали ще го направите

32:53↗или не. Задължително уведомяването на

32:56↗субектите, когато имаме висок риск. Така

32:59↗че всичко друго е ваша преценка.

33:01↗А

33:03↗и задължително при всички случаи,

33:05↗независимо какво се констатира,

33:08↗е да имате документиране и вписване на

33:11↗инцидента във вътрешния регистър на

33:14↗нарушенията на администратора,

33:16↗а който а регистър а не е публичен, а

33:21↗нали вътрешно се поддържа а от

33:24↗ограничени лица в рамките на вашата

33:27↗структура, а и просто той трябва да бъде

33:30↗актуализиран. с тези факти и така да

33:32↗бъде изготвен един доклад със

33:34↗съответните констатации, които са били

33:35↗направени а във връзка с нарушението

33:41↗и аа

33:43↗да го обрисуваме всичко това, което си

33:45↗казахме под формата на една матрица. Аа

33:49↗и всъщност преценката поражда ли

33:52↗нарушението риск за правата и свободите

33:54↗на физически лица.

33:57↗Ако нашият отговор е а не няма какъвто и

34:01↗да било риск за правата и свободите на

34:04↗физическите лица, а тогава уведомяването

34:08↗на Комисията за защита на лични данни не

34:09↗се изисква. А сега защо го казах леко с

34:13↗такъв тон? Аа защото моята практика

34:17↗специално показва, че аа почти няма

34:21↗хипотеза.

34:23↗А да не кажем, че да, хайде да кажем, че

34:26↗почти няма хипотеза, в която всъщност да

34:28↗да няма риск. А това по-скоро, което аз

34:32↗забелязвам, е, че администраторите много

34:33↗често подценяват рисковете, което е нещо

34:36↗коренно различно на практика. А така че

34:40↗за мен лично а

34:44↗ако все пак се констатира някакъв пробив

34:47↗и евентуално дори може да имат засегнати

34:49↗лични данни, ам

34:53↗ниска вероятността да всъщност да няма

34:55↗риск за правата и свободите на

34:57↗физическите лица.

34:59↗А след това констатирате, че има риск

35:02↗правилото, уведомяването на къзалъд в

35:03↗рамките на 72 часа и вече при високия

35:06↗риск уведомяването на къзалъд. а и

35:10↗директното уведомяване на засегнатите

35:12↗субекти на данни.

35:15↗А и нещо, което ми се иска да направим,

35:19↗а за всички

35:21↗а които не са с юридическо образование и

35:25↗и хора, които не са се сблъскали с

35:28↗Комисията за защита на личните данни и

35:30↗документацията, която тя е изготвила във

35:33↗връзка с нарушението на сигурността на

35:34↗данните, да се опитаме да декодираме

35:37↗какво всъщност а казва комисията и а

35:42↗какво е структурирала като тип насоки,

35:46↗инструкции.

35:47↗А това, което ще ви покажа, като

35:49↗приключи презентацията на на сайта на

35:51↗комисията, е публикуваната методика за

35:54↗определянето нивото на риска, която тя

35:56↗прие преди няколко години. А знаете

35:59↗много добре, че GDPR регламентът се

36:02↗прилага на ниво Европейски съюз, а но

36:06↗той няма в текстовете си ам

36:12↗подобни детайлни текстове за определяне

36:14↗на нивото на риска и така нататък. А

36:17↗така че обръщам внимание, че както и

36:19↗нали Европейският комитет, който е

36:21↗надзорният орган на европейско ниво, а

36:25↗има доста полезни насоки, които са

36:27↗свързани с нарушение на сигурността на

36:29↗данните, но по-скоро толкова детайлна

36:32↗методика, както тази на Комисията за

36:35↗защита на лични данни в България, а

36:37↗всъщност не съм срещала досега и може да

36:40↗се каже, че това е така една доста

36:42↗характерна

36:44↗национална специфика аа на комисията. И

36:48↗какво всъщност тя е направила тя? Тя е

36:50↗изготвила една методика за определянето

36:52↗нивото на риска и аа това се преценява

36:57↗на базата на фактологията, на базата на

37:00↗вида нарушение на сигурността на данните

37:03↗и ам

37:06↗на базата на тази формула, която ви

37:08↗показвам в момента. Аа определящото е

37:12↗нивото ви на риска. Това ви е крайната

37:15↗оценка, която вие търсите. А крайният

37:18↗резултат може да бъде от едно до пет,

37:21↗като разбира се имате точно ниското,

37:23↗средното и високото ниво на риск, за

37:25↗които ние коментирахме и говорихме. След

37:28↗това имате тежестта на въздействието,

37:31↗която стойност може да бъде от едно до

37:33↗пет и тя е базирана основно на вида

37:36↗данни

37:38↗и аа вероятността въздействието да

37:42↗настъпи, която стойност е от нула до

37:45↗едно, като тук по-скоро се изчислява на

37:47↗базата на а проценти. И както виждате,

37:50↗всъщност

37:52↗а нивото на риска се определя от

37:54↗тежестта на въздействие, която се

37:56↗умножава по вероятността въздействието

37:59↗да настъпи. Аа и ако имам а колеги

38:04↗юристи, нали тук да кажа, че ние се

38:07↗опитваме така да избягаме от

38:09↗математиката, но математиката дори в

38:10↗тази сфера ни намира под една или друга

38:13↗форма. А така че за съжаление неизбежно.

38:18↗И когато

38:20↗говорим за изчисляването и на първата

38:24↗стъпка, а именно изчисляването на

38:26↗тежестта на въздействието,

38:29↗аа тук имате разграничение на начина, по

38:32↗който се изчислява на базата на вида на

38:35↗нарушението.

38:36↗Затова ми се искаше и в началото да

38:38↗спрем и да отделим повече време на

38:41↗разграничението на различните видове

38:43↗нарушения,

38:44↗а за да можем сега всъщност на практика

38:48↗да видите как те се разграничават и и

38:51↗разделят и какво е особеното.

38:54↗А за да можете всъщност да си определите

38:57↗тежестта на въздействие, имате а два

39:01↗ключови аспекта, които ви предопределят

39:04↗и ви изчисляват тежестта на въздействие.

39:07↗Първото е видът на данните.

39:10↗Аа и при нарушенията на наличността и

39:14↗целостта стигаме само до вида на

39:16↗данните. Но при нарушението на

39:19↗поверителността там имаме комбинация от

39:23↗вида на данните и възможността а за

39:26↗идентифициране на субектите на данни.

39:29↗Така че при нарушенията на

39:31↗поверителността имаме този допълнителен

39:33↗критерий

39:35↗аа който който също се изчислява и и

39:39↗може да ви допълни базовата оценка. А

39:43↗какво означава възможността за

39:44↗идентифициране? Това, което ще видите в

39:48↗методиката,

39:50↗са ви общо взето четири основополагащи

39:53↗критерии за възможността за

39:54↗идентифициране и това означава, че а

39:59↗данните идентифицират субектите на данни

40:02↗без а да са необходими някакви

40:04↗допълнителни условия. А след това могат

40:09↗да бъдат лесно идентифицирани,

40:11↗но има необходимост от допълнителна

40:14↗информация, която да кажем е

40:15↗общодостъпна или публична, да кажем от

40:17↗публичнодостъпни регистри. А следващата

40:20↗стъпка ви е могат да бъдат

40:22↗идентифицирани трудно в комбинация с

40:25↗данни, а които са с ограничен достъп или

40:29↗евентуално със специални механизми за

40:31↗обработване и накрая всъщност данните не

40:34↗могат да да идентифицират лицата. Така

40:37↗че това са ви критериите, които

40:40↗определят дали да добавите нещо към

40:42↗базовата си оценка, когато говорим за

40:45↗възможността за идентифициране в

40:47↗контекста на нарушенията на

40:49↗поверителността.

40:52↗Аа другото нещо, което се отчита

40:55↗на този към този момент са

40:57↗допълнителните обстоятелства. А и може

41:00↗би в този момент ще си кажете чудесно,

41:03↗нали? С допълнителните обстоятелства

41:05↗можем тук да лавираме и евентуално да

41:07↗намалим горната оценка, защото ние имаме

41:09↗много смекчаващи обстоятелства, които а

41:12↗сме предприели, които са намалили нивото

41:14↗на риска.

41:16↗Да, но не. А за съжаление начинът, по

41:20↗който комисията е заложила формулата, е,

41:23↗че като допълнителни обстоятелства

41:26↗а всъщност се взимат само и единствено

41:29↗утежняващите обстоятелства, тези

41:31↗фактори, които евентуално биха могли да

41:34↗увеличат тежестта на въздействието и

41:37↗всеки, всяко едно такова обстоятелство

41:40↗всъщност а

41:43↗аа

41:44↗действа с натрупване. Добавя се по плюс

41:47↗една единица, докато се стигне максимума

41:49↗от пет, нали? Над пет не можем да

41:52↗отидем, но а пример за допълнителни

41:55↗обстоятелства, да кажем, ако са

41:57↗засегнати голям брой лица, ако са

42:00↗засегнати

42:02↗аа данни на а така

42:07↗чувствителни субекти на данните от

42:09↗гледна точка на а социална закрила, а и

42:13↗обществена важност на на тези лица.

42:15↗лица, да кажем, примерно да са а [хърка]

42:18↗засегнати лица на да са засегнати данни

42:21↗на деца. А това също евентуално би било

42:24↗допълнително утежняващо обстоятелство,

42:26↗което ще трябва да се добави. Така че

42:28↗ето различни такива обстоятелства могат

42:30↗да ви добавят по плюс една единица

42:32↗отгоре.

42:34↗А и всъщност нали при много такива

42:38↗насложили се да ви стигне максималната

42:40↗стойност от пет, което почти гарантирано

42:43↗ще ви покаже резултат от високо ниво на

42:47↗риск.

42:49↗А, разбира се, в уведомлението си за към

42:53↗Комисията за защита на личните данни при

42:55↗нарушението трябва да посочите всички

42:59↗смягчаващи обстоятелства и всичко, което

43:01↗сте предприели, за да може вие да

43:03↗митирате рисковете. Категорично това

43:05↗трябва да го опишете. Просто идеята е,

43:09↗че това не се отчита а при изчисляването

43:13↗на базата на тази формула, за да си

43:14↗определите нивото на риска.

43:19↗След това, а всъщност то се отразява,

43:21↗отразява се дотолкова, доколкото нали по

43:23↗по-скоро биха би се отразило, връщаме на

43:26↗един слайд назад, би се отразило

43:27↗по-скоро при възможността за

43:28↗идентифициране евентуално, защото

43:30↗наистина ако имате а подходящи

43:33↗технически организационни мерки аа

43:35↗например ключ за декриптиране, който не

43:38↗е засегнат при едно нарушение на

43:41↗поверителността, нали, ето това вече в в

43:44↗този критерий по-скоро може да ви се

43:46↗отрази. ви, но няма да ви се отрази в

43:49↗частта, която е с допълнителните

43:51↗обстоятелства.

43:54↗Аа и всъщност а говорихме, че

43:57↗определящото в миналия слайд е видът

44:00↗данни. А и тук ще видите как Комисията

44:04↗за защита на личните данни е предприела

44:06↗една

44:08↗стълба на чувствителността, която

44:10↗ескалира точно именно с вида на данните

44:15↗и до каква степен то може да засегне

44:18↗правата и свободите на гражданите.

44:20↗основополагащо и най-важно във всяка

44:22↗една стъпка, когато говорим за нарушение

44:24↗на сигурността на данните и доста често,

44:26↗когато изобщо говорим за лични данни и

44:28↗за законосъобразно обработване, е

44:31↗правилна преценка на риска. Всичко е

44:33↗свързано с с риска или поне до голяма

44:36↗степен. Така че и тук всъщност имате а

44:41↗базова оценка от едно, която са ви

44:45↗основните данни, които могат да бъдат

44:46↗засегнати от едно нарушение. Имате

44:49↗оценка две, които вече са профилиращи

44:51↗данни. Те ескалират а леко. След това

44:54↗оценка базова три, която са засегнати

44:57↗финансови данни, примерно доходи,

45:00↗банкови сметки, кредитни карти и така

45:02↗нататък. След това имате оценка четири,

45:04↗които вече са чувствителни данни,

45:06↗свързани със здраве, присъди, религия,

45:09↗етнически произход и така нататък. Тук

45:11↗по-скоро говорим а хипотезите на аа член

45:15↗9 и член 10 от GDPR. А, които са

45:18↗специалните категории данни по член де и

45:20↗по член 10 данните за присъди и

45:23↗нарушения.

45:25↗И оценка пет са биометрични генетични

45:28↗данни, данни, създаващи риск от кражба

45:31↗на самоличност или физическа

45:33↗безопасност. Аа какво означава това?

45:37↗Това означава, че с а

45:41↗когато имате фактите, трябва да отидете

45:44↗и да погледнете в коя евентуално

45:45↗категория бихте могли да попаднете.

45:47↗Имайте предвид, че по принцип данните

45:49↗могат да бъдат и а от комбинация,

45:54↗различна комбинация, да кажем, могат да

45:55↗бъдат основни данни заедно с а частични

45:59↗финансови данни. Аа тук е въпрос дали

46:03↗нали за тези финансови данни по-скоро ще

46:05↗а се покачи оценката на три директно,

46:08↗няма да бъде едно.

46:10↗Има и хипотези, в които трябва да се

46:11↗направят различни оценки, ако примерно

46:15↗различни данни за различни субекти на

46:17↗данните са засегнати, а при едно и също

46:20↗нарушение на сигурността на данните. Ам

46:23↗така че много тук може да ви варира как

46:26↗си правите оценката и дали се налага да

46:28↗направите повече от една оценка. А в

46:30↗зависимост от това какво е засегнато, в

46:32↗какъв обем е засегнато, едни и същи

46:35↗данни ли са засегнати за различни

46:37↗субекти на данните аа или не.

46:42↗А така че това ви е базовата оценка.

46:45↗Вече при аа възможността за

46:47↗идентифициране.

46:49↗тя може да ви покачи а още оценката

46:54↗и отгоре а на това и допълнителните

46:58↗обстоятелства също могат да ви покачат и

47:00↗това цялото нещо а ще ви определи

47:03↗тежестта на въздействието

47:07↗а когато говорим за нарушението на

47:10↗поверителността

47:11↗аа и а пък при нарушението на

47:15↗наличността или целостта основният ви

47:17↗фактор

47:18↗са, както казахме, вида на данните, а

47:22↗защото възможността за идентифициране

47:24↗отпада като критерий. И другият ви

47:27↗фактор, който е важен при наличност и

47:29↗цялостност е всъщност допълнителните

47:31↗обстоятелства. Отново

47:34↗след това стъпка две, което ви беше, ако

47:37↗си припомните втория ви критерий за

47:40↗определяне на нивото на риска. Първия,

47:43↗значи нивото на риска е равно на

47:46↗а

47:47↗на възможността да настъпи и аа а

47:52↗втората всъщност вероятността да

47:53↗настъпи. Всъщност, извинявайте, първият

47:55↗ви е тежестта на въздействие умножено по

47:58↗вероятността да настъпи. Така че това а

48:01↗в момента ви е втората стъпка.

48:03↗Вероятността да настъпи. Как се смята

48:05↗тя? А стойността варира от нула до едно.

48:10↗А базиране основно на проценти като

48:14↗изчисление. И отново виждате, че и при

48:17↗втория ви основен критерий, както беше

48:20↗при тежестта на въздействие и при

48:22↗вероятността, отново имате разделението

48:24↗на видове нарушения. Така че при

48:27↗нарушението на поверителността имате

48:30↗един вид

48:32↗аа изчисляване. При нарушението на

48:35↗наличност и цялостност друг вид

48:37↗изчисляване. При нарушението на

48:39↗поверителността

48:41↗фокусът всъщност ви е върху характера на

48:43↗действието, а на лице ли е умисъл, а или

48:47↗по-скоро непредпазливост или осъществен

48:50↗ли е случаен достъп. А факторите, които

48:55↗са ви предопределящи при нарушението на

48:57↗поверителността,

48:59↗а освен нали характера на нарушението и

49:01↗всъщност какво имаме умисъл,

49:03↗непредпазливост или случаен достъп, е

49:05↗също така какви са предварителните и

49:08↗последващите действия на администратора

49:10↗на личните данни за преодоляването на

49:13↗евентуалните последици от нарушението. И

49:16↗тук вече може да а ви послужат тези

49:20↗смекчаващи обстоятелства.

49:23↗А като а имате различни

49:27↗а различни критерии се взимат предвид,

49:30↗да кажем, а едното, което нали като като

49:34↗скала е примерно независимо от

49:37↗действията на администратора, а

49:40↗последиците, да кажем, ако са необратими

49:43↗и са извън неговия контрол, това би ви

49:45↗повишило оценката. А ако са необходими

49:49↗сериозни усилия, за да може да се

49:51↗предотвратят последствията, отново това

49:54↗е с така а по-висока оценка, ако вече

49:58↗сме на нали оценката ще се намали със

50:03↗степента, в която администраторът може

50:06↗да има някакъв контрол и да предотврати

50:09↗до известна степен последствията или ако

50:11↗изцяло ги предотврати, това ни е така

50:14↗най-добрият сценарий, който можем да

50:17↗очакваме аа и и да искаме всъщност, за

50:21↗да може да ни се намали максимално тази

50:23↗оценка. Аа а при нарушенията на

50:26↗наличността и а цялост на цялостност,

50:31↗тук фокусът е върху възможността за

50:33↗възстановяване

50:35↗и аа отново критериите ви са аа

50:41↗нали вървят по каскаден принцип. Дали ще

50:43↗бъде невъзможно, невъзможно

50:45↗възстановяването на данните, дали ще

50:47↗бъде трудно възстановяването,

50:50↗дали ще бъде лесно възстановяването от

50:52↗беп или а дори не е необходимо

50:56↗възстановяването, защото всичко е окей,

50:58↗което по принцип би най-добрият

50:59↗сценарий, но по-рядко се случва на

51:02↗практика.

51:04↗А и тук са заложени отно отново цифри и

51:09↗всъщност цялото това нещо сега да го

51:12↗обрисуваме тази теория а в един

51:16↗практически казус. Какво искам да предам

51:19↗с този практически казус и което бих

51:22↗искала да имате предвид?

51:25↗Вижте сега. Истината е, че методиката на

51:27↗Комисията за защита на личните данни, тя

51:29↗е много добра и много подробна и много

51:32↗добре може да ориентира един

51:33↗администратор какво и как може да

51:36↗направи и как да опише нещата.

51:39↗Но аа

51:43↗много лесно, дори при един доста прост

51:47↗аа бридж можем да попаднем в поне средно

51:51↗ниво на риск.

51:53↗А много са малко наистина на практика

51:55↗хипотезите на базата на тази формула,

51:58↗при които може по-скоро да се считате,

52:00↗че сте в ниското ниво на риск. А

52:04↗практиката ми показва, че някои доста

52:06↗дори нелепи на на пръв поглед случаи,

52:09↗които именно администраторите пък а

52:12↗пропускат или пък

52:15↗нали неглижират, решават да не

52:17↗уведомяват за тях, дори те могат да

52:19↗стигнат поне средно ниво на риск. а на

52:22↗базата на формулата. Така че имайте го

52:24↗това предвид,

52:27↗процедирайте внимателно и като цяло

52:28↗много обръщайте внимание на на

52:31↗сигурността си, защото

52:33↗а ето един сценарий с погрешен имейл.

52:37↗Сега се надявам, че ще ви убедя, че а

52:40↗може да ви доведе до поне средно ниво на

52:43↗риск и после ще си говорим какво

52:45↗означава това средно ниво на риск и

52:47↗какво оттам насетне се случва момента, в

52:50↗който се определи това средно ниво на

52:52↗риск. А

52:54↗то е доста динамично, интересно, а и

52:58↗предизвикателно.

53:00↗Така, взимаме сценария погрешен имейл.

53:03↗случаят служител изпраща линк към

53:05↗договор

53:07↗а с имена Еген казваме, че линкът в

53:11↗случая е достъпен, нали, общодостъпен,

53:13↗неограничен с пароля и така нататък аа

53:16↗за външни лица. А в договора има имена,

53:20↗егне и възнаграждения на трима външни

53:24↗изпълнители, а който който линк всъщност

53:28↗изпраща към грешен имейл адрес извън

53:30↗компанията. да кажем някой в маркетинг

53:33↗или някой в счетоводство много е бързал

53:36↗да изпрати този имейл, не е обърнал

53:38↗внимание, че вместо на колегата си с

53:42↗накрая, да кажем @dpc.bg,

53:44↗всъщност е изпратил на аab.bg

53:48↗и просто тъй като името е било много

53:51↗сходно, нали, цъкнал го е и го е

53:53↗запратил.

53:54↗На пръв поглед елементарен казус, но

53:57↗взимаме си тежестта на въздействие като

53:59↗първия критерий, който набелязахме за

54:02↗определяне нивото на риска. Така,

54:04↗тежестта на въздействие взимаме базова

54:07↗оценка три. Защо взимаме базова оценка

54:09↗три? Защото макар да имаме основни

54:11↗данни, които са имена и ЕГН, съгласно

54:15↗стълбичката, която погледнахме, имаме

54:17↗частични финансови данни, а именно за

54:19↗възнагражденията. И това всъщност тази

54:22↗базова оценка от три при финансовите

54:24↗данни ще ви погълне базовата оценка от

54:27↗едно.

54:28↗След което да кажем, че в конкретния

54:31↗случай много малко лица са засегнати,

54:34↗трима външни изпълнители, а не няма

54:39↗някаква особеност или някакви

54:41↗допълнителни утежняващи обстоятелства,

54:42↗които да налага увеличаването на тази

54:45↗базова оценка.

54:47↗А съответно а слагаме

54:51↗нула за допълнителните обстоятелства и

54:54↗каква е вероятността всъщност да се

54:55↗идентифицира лицето, защото тук имаме а

54:59↗нарушение на поверителността. А

55:03↗да кажем, че

55:07↗може да се увеличи с с една единица.

55:11↗Особеното, което може би забравих да ви

55:13↗спомена, е, че имате хипотези,

55:17↗а, при които можете да намалявате

55:20↗базовата оценка. И всъщност в случая

55:23↗какво съм направила аз? Тази базова

55:25↗оценка от три а може да се увеличи с

55:29↗една единица заради вероятността да се

55:31↗идентифицира лицето, но можем евентуално

55:34↗да аргументираме намаляването отново с

55:37↗още една единица пък и да свалим отново

55:40↗на три, защото аа финансовите данни не

55:44↗са толкова детайлни, че да а се изгради

55:49↗цялостна представа за финансовото

55:51↗положение на едно лице. Така че това

55:54↗комисията позволява в преизчисляването

55:57↗всъщност да тази базова оценка нали да

55:59↗да се увеличи, но може и да се намали.

56:02↗Така че ако аргументираме в случая а че

56:06↗това са частични финансови данни, които

56:08↗са засегнати и не може да се направи

56:11↗цялостна да се сгради цялостна представа

56:13↗за профила, финансовия профил на дадено

56:16↗лице, защото примерно извън този договор

56:18↗с възнаграждения дадените външни

56:20↗контрактори може да имат още пет

56:22↗договора или още пет източника на

56:25↗приходи и пасивни и активни и така

56:27↗нататък. Различни канали може да има за

56:29↗финансиране. Така че всъщност

56:32↗а можем да аргументираме частични

56:34↗финансови данни и да намалим една идея и

56:37↗това ще ни пока ще ни доведе до а тежест

56:40↗на въздействие три евентуално. След това

56:44↗вероятността да настъпи негативното

56:46↗въздействие. Да кажем, че тук на базата

56:48↗на таблицата и критериите на на

56:50↗комисията ще заложим 0,75,

56:53↗което ще означава непредпазливост и а

56:56↗последиците са необратими и извън

56:59↗контрола на администратора. И когато

57:02↗умножим двете, това ще ни покаже

57:03↗резултата от 2,25,

57:06↗което съгласно табличката долу, която

57:08↗видите, както виждате, ви води до

57:10↗зелената зона, която е средно ниво на

57:13↗риск. И така, на практика един доста

57:17↗нелеп случай, който доста често се

57:19↗случва в практиката и доста често се

57:21↗неглижира, виждате как може да ви доведе

57:23↗до поне средно ниво на риск.

57:28↗А и истината е, че нали съм го виждала и

57:32↗няколкократно в практиката.

57:35↗Какво означава всъщност това с риска?

57:38↗Ние си говорихме много ниско, средно,

57:41↗високо ниво на риск и така нататък. Но

57:43↗какво означава това оттук насетне?

57:47↗Ам

57:48↗когато подадете уведомлението си към

57:50↗Комисията за защита на личните данни, тя

57:52↗незабавно ще разгледа уведомлението ви.

57:55↗Когато

57:57↗информацията е неизчерпателна в

57:59↗уведомлението, а можете да очаквате в

58:02↗много кратки срокове комисията да се

58:04↗свърже с вас и да поиска още

58:06↗допълнителна информация.

58:09↗А сега нещо, което отбелязвам е, че

58:11↗имате два вида уведомления и когато

58:14↗тръгнете да подавате, ще видите видите в

58:16↗самия формуляр дали е първоначално или

58:19↗последващо уведомление. А, както казахме

58:23↗малко по-рано, администратор на личните

58:25↗данни

58:27↗а може в началните 72 часа да няма

58:31↗цялостната картинка и цялата информация,

58:35↗за да подаде изчерпателно уведомление.

58:37↗Това, което е препоръчително и трябва да

58:39↗се направи, е поне да подаде

58:41↗първоначалното аа уведомление, което да

58:46↗попълни основната информация, която е

58:48↗събрал към този момент. След което той

58:50↗има правото да подаде последващо

58:52↗уведомление, което вече да е по-детайлно

58:55↗и да допълва първоначалното с

58:58↗допълнителната информация, която липсва.

59:00↗А ако вие не го направите, така или

59:03↗иначе комисията ще изисква от вас тази

59:05↗информация аа и ще я очаква, така няма

59:08↗да можете да се няма да може всичко да

59:10↗се задоволи, да се приключи с пускането

59:12↗на първоначалното неизчерпателно

59:14↗уведомление.

59:16↗А за за тези

59:20↗от вас, които евентуално са в а примерно

59:24↗да кажем работят за дружество, което е

59:27↗част от група, а където оперативният

59:30↗език е основно на английски език, а е

59:33↗английски език и документацията е на

59:36↗английски също. А отбелязвам, че при

59:40↗инициирано производство пред комисията

59:42↗във връзка с нарушение всички документи

59:44↗трябва да се предоставят на български

59:46↗език, защото това е изискването на

59:48↗законодателството, когато имаме

59:50↗българско административно производство.

59:53↗Така че, а, окей е, нали, документите да

59:57↗са ви на или поне част от документите да

1:00:00↗са ви на английски език, нали, стига

1:00:01↗всички субекти на данни да разбират

1:00:03↗какво пише вътре, нали, за да може да се

1:00:05↗постигне информираност на субектите.

1:00:09↗А, но когато ги предоставяте пред

1:00:11↗комисията, трябва да бъдат допълнени и с

1:00:13↗преводи на български език, което

1:00:17↗повярвайте ми отново от практиката, мога

1:00:19↗да ви кажа, че е изключително

1:00:20↗предизвикателно да се преведат

1:00:23↗изключително голям обем от документи аа

1:00:26↗за много кратки срокове а и да се

1:00:28↗подадат към комисията.

1:00:31↗А и след това

1:00:34↗а на базата на тази информация, която

1:00:36↗вече комисията е получила от вас, счита

1:00:39↗за достатъчно изчерпателна, тя също ще

1:00:41↗си направи вътрешна а оценка на нивото

1:00:44↗на риска на базата на тази методика. А и

1:00:48↗тази нейна вътрешна оценка всъщност ще ѝ

1:00:50↗предопредели оттук насетне тя как ще

1:00:53↗процедира в производството си спрямо

1:00:55↗вас, ако вие сте в ролята на

1:00:57↗администратор.

1:00:58↗А истината е, че в рамките на едно

1:01:02↗производство подобно в нито един момент

1:01:04↗Комисия за защита на личните данни не

1:01:07↗разкрива или поне директно не уведомява

1:01:11↗аа администратора

1:01:13↗каква оценка е определила тя. По-скоро

1:01:16↗това ще разберете в хода на

1:01:19↗производството, така да го кажем. А ако

1:01:22↗Комисията за защита на личните данни

1:01:24↗прецени, че нивото ви на риск е ниско,

1:01:27↗това означава, че производството се

1:01:29↗прекратява и уведомлението се приема

1:01:31↗само за сведение, което ви е възможно

1:01:34↗най-добрият сценарий и това е чудесно за

1:01:37↗всички. А ако обаче имаме средно ниво на

1:01:40↗риск, там вече активизираме проверката

1:01:44↗по документи. Това означава, че можете

1:01:46↗да очаквате едни въпросници, които се

1:01:48↗изпращат от комисията, а за да може да

1:01:51↗придобие цялостна представа за всички

1:01:54↗дейности по обработването, които вие

1:01:56↗осъществявате.

1:01:57↗А отбелязвам тук, че при проверката по

1:02:00↗документи тази проверка

1:02:03↗надхвърля на практика а

1:02:07↗самото нарушение на сигурността на

1:02:08↗данните. А и всъщност

1:02:12↗този така своеобразен одит, който се

1:02:14↗осъществява от страна на комисията, а се

1:02:16↗разпростира сред всички дейности по

1:02:19↗обработването, които администраторът

1:02:21↗извършва. А, изпраща се един дълъг

1:02:25↗въпросник от 70 въпроса, който ви

1:02:27↗покрива а всички различни технически,

1:02:30↗организационни мерки, които вие

1:02:31↗предприемате, а нали и персонална, и

1:02:34↗документална, и на а и на

1:02:38↗автоматизираните системи и така нататък.

1:02:40↗Също така иска да комисията да изгради

1:02:43↗представа а с а какви администратори

1:02:47↗обработващи си партнирате, какви са ви

1:02:50↗обмените на данни. имате ли трансфери и

1:02:53↗така нататък. Така че наистина да

1:02:54↗изгради цялостна представа за дейностите

1:02:56↗ви по обработване.

1:02:59↗Аа

1:03:01↗изисква съответно, когато вие предоста а

1:03:04↗също така може да ви зададе и конкретни

1:03:06↗въпроси, които аа нали разбира се брой

1:03:09↗им зависи винаги от конкретния случай,

1:03:11↗които пък да бъдат свързани с

1:03:12↗конкретното нарушение на сигурността на

1:03:14↗данните и по този начин всъщност да

1:03:16↗комбинира повече от един въпросник

1:03:19↗а в производството.

1:03:21↗Това, което ще очаква комисията, освен

1:03:23↗вие да дадете а

1:03:26↗отговорите си писмено, е вие да ги

1:03:29↗подкрепите и с документация, разбира се,

1:03:31↗като приложения. Така че, а тук всъщност

1:03:35↗ще се активизира и задължението, нали,

1:03:37↗ако те са на английски, да ги преведете

1:03:39↗или на друг език. Аа и трябва да

1:03:42↗осъществите така доста вътрешни анализи.

1:03:47↗ще се очаква становище по и позиции по

1:03:50↗дадени въпроси и е хубаво да бъдете

1:03:54↗много добре запознати а с вътрешните си

1:03:57↗процеси и с това какво се случва, както

1:03:59↗се казва, във вашата си къщичка. Аа за

1:04:03↗да не се окаже, че а при един срок от

1:04:06↗седем дни а вие тепърва изобщо не знаете

1:04:09↗къде ви е документацията за защита на

1:04:10↗личните данни.

1:04:13↗А много са предизвикателни сроковете.

1:04:16↗Много малко време се дава за обема от

1:04:18↗информация, който трябва да се даде. А

1:04:21↗моят съвет на практика е, че е хубаво да

1:04:25↗да разгледате тези въпросници, особено

1:04:27↗поне въпросник от 70 въпроса, а просто

1:04:32↗така проактивно да лицата, които във

1:04:35↗вашата структура отговарят за защитата

1:04:38↗на личните данни,

1:04:41↗аа

1:04:42↗да седнат да разгледат този въпросник и

1:04:44↗да си набележат там, където имате

1:04:47↗пропуски в документацията, да си я

1:04:49↗набавите, да си аа м приведете всички

1:04:53↗дейности в съответствие. Аа и всъщност

1:04:56↗тези въпросници много добре ще ви

1:04:57↗ориентира точно за пропуските, които

1:04:59↗евентуално всъщност вие може потенциално

1:05:02↗да имате.

1:05:03↗Аа и нали поддържайте сравнително така

1:05:09↗актуален въпросника с дадени отговори, с

1:05:13↗надеждата, че евентуално всъщност никога

1:05:15↗няма да се стигне до а използването на

1:05:18↗този въпросник.

1:05:20↗А и след това какво би се случило при

1:05:23↗високо ниво на риск? Вече тук имаме

1:05:25↗освен проверката по документи, която

1:05:27↗имаме и при средното ниво на риск, имаме

1:05:29↗и проверка на място.

1:05:32↗А

1:05:33↗като при проверките на място Комисията

1:05:36↗за защита на личните данни а

1:05:40↗избира различни служители като някои с

1:05:43↗юридическо образование, други са и с

1:05:45↗техническо образование, защото много

1:05:47↗често са се иска достъпването на системи

1:05:51↗и да се демонстрират тези системи аа по

1:05:54↗време на проверката. Така че имайте

1:05:57↗предвид, че техническо лице също може да

1:05:59↗присъства на технически грамотно лице на

1:06:01↗такива срещи и на такива проверки. А

1:06:04↗сравнително задълбочени са тези проверки

1:06:07↗и те са, както казах, и технически, и

1:06:10↗документални, и юридически. Така една а

1:06:12↗комбинация от аспекти,

1:06:16↗които се проверяват при аа в една такава

1:06:20↗проверка на място се включват.

1:06:23↗И всъщност какви са тенденциите и

1:06:26↗най-добрите практики за превенция?

1:06:30↗А,

1:06:31↗първо да имате много добър план за

1:06:34↗реакция. Към това, което ви препоръчах в

1:06:37↗предишния слайд за попълването на този

1:06:39↗въпросник, поне за познаването с него и

1:06:41↗така нататък, е също така да създавате,

1:06:45↗тествате и тренирате вътрешния си план

1:06:48↗за реакция при инциденти. Това е

1:06:51↗изключително важно.

1:06:53↗А също така преглеждайте и поддържайте

1:06:55↗документацията си актуална.

1:06:59↗А

1:07:01↗пак казвам,

1:07:04↗това се подценява, а сроковете, които

1:07:06↗комисията дава аа са изключително кратки

1:07:09↗и са на практика много предизвикателни.

1:07:12↗А когато трябва да се опишат всички

1:07:14↗дейности на обработването, представете

1:07:15↗си примерно на една на едно огромно

1:07:18↗дружество с изключително много дейности

1:07:21↗по обработването, които може да

1:07:22↗осъществява, да трябва да седне и да

1:07:24↗опише всичко това в рамките на седем дни

1:07:28↗и да си предостави цялата документация,

1:07:30↗която може да бъде комбинация от местни,

1:07:33↗локални

1:07:35↗аа политики, процедури и така нататък. и

1:07:39↗отделно от това, да кажем, ако е част от

1:07:41↗група, да събере и вътрешните си правила

1:07:44↗и политики, които са на групово ниво и

1:07:46↗да ги преведе и тях и всичко да а

1:07:49↗предостави сроковете. А няма да отварям

1:07:53↗темата за възможните за удължаването на

1:07:57↗сроковете, защото няма установена

1:08:00↗практика с комисията и затова а

1:08:05↗по-скоро бих препоръчала проактивно да

1:08:07↗сте готови аа с като поддържате

1:08:11↗постоянно документацията си актуална и

1:08:13↗знаете кое къде и какво имате.

1:08:16↗След това технологичната защита. Това ви

1:08:19↗е

1:08:21↗може би една от най-важните защити, а и

1:08:24↗всъщност основното нещо, което ви крепи,

1:08:26↗за да нямате нарушение на сигурността на

1:08:28↗данните, а именно да имате подходящи

1:08:31↗технически и организационни мерки за

1:08:34↗защита. Това могат да бъдат разнообразие

1:08:37↗от неща. Това могат да бъдат обучения на

1:08:39↗служители, това могат да бъдат пароли.

1:08:41↗Това могат да бъдат, както казвам,

1:08:43↗документална а физическа защита, а на

1:08:48↗системите ви защита, персонална защита.

1:08:51↗Може да бъде със задължения за

1:08:53↗конфиденциалност в договори или в

1:08:55↗декларации. Може да бъде с чипове и

1:08:58↗карти. Може да бъде дори алармената ви

1:09:01↗система или противопожарната ви система.

1:09:03↗Изключително

1:09:05↗всеобхватен е спектър от технически

1:09:09↗организационни мерки, които вие можете и

1:09:11↗трябва да предприемете, за да можете да

1:09:14↗си предотвратите всякакви възможни

1:09:15↗хипотези на нарушения.

1:09:18↗Аа от технологичния аспект можете да и

1:09:22↗трябва да криптирате преносимите

1:09:23↗устройства, лаптопи, флашки. Да. И също

1:09:27↗така изключително важно е да поддържате

1:09:29↗редовни изолирани бекъпи.

1:09:32↗След това обучението на екипа.

1:09:35↗Констатирахме на няколко пъти, че дета

1:09:37↗бричовете обичайно се случват по доста

1:09:39↗нелепи а начини, включително поради

1:09:43↗грешки в екипите. А така че тъй като

1:09:47↗човешката грешка е най-голямата слабост,

1:09:49↗провеждайте регулярни обучения а

1:09:52↗физически, а с тестване за фишинг,

1:09:56↗споделяне на екрани, проверка на

1:09:58↗получателите.

1:09:59↗А можеше да бъде разнообразие от неща. А

1:10:03↗също така за тези от вас, нали, за

1:10:07↗администраторите по-скоро, които имат

1:10:10↗пък в рамките на структурата си

1:10:12↗длъжностно лице по защита на личните

1:10:13↗данни, а ангажирано такова. А хубаво е

1:10:19↗постоянно да казвате и да информирате

1:10:23↗служителите си, че те за всякакви

1:10:25↗въпроси или колебания могат да се

1:10:27↗обърнат към длъжестното лице по защита

1:10:29↗на личните данни, което би следвало така

1:10:32↗доста грамотно да ги насочи и навигира,

1:10:36↗защото това е неговата роля.

1:10:38↗А и накрая комуникация по веригата,

1:10:44↗тъй като моята практика показва, че

1:10:46↗доста от нарушенията всъщност настъпват

1:10:48↗на ниво обработващ, потоработващ и така

1:10:50↗нататък. Ако сте обработващ, изградете и

1:10:54↗тествайте ясен канал за незабавно

1:10:57↗докладване към администратора.

1:10:59↗Ако сте от гледната точка пък на

1:11:01↗администратора, това, което бих

1:11:02↗посъветвала е да си следите много

1:11:05↗стриктно веригата на обработване, да сте

1:11:08↗си направили много детайлни и добре

1:11:11↗съобразени споразумения за защита а на

1:11:15↗личните данни а по член 28 от GDPR.

1:11:20↗А и всъщност постоянно да сте наясно

1:11:23↗какво се случва с тези данни, както и а

1:11:26↗да си направите арсемт,

1:11:31↗нали, оценка на а обработващия, който ще

1:11:33↗ангажирате, дали по принцип той поддържа

1:11:37↗адекватно ниво на технически

1:11:38↗организационни мерки, дали той по

1:11:40↗принцип спазва а и съблюдава

1:11:42↗законодателство за защита на личните

1:11:44↗данни. И когато стигнете до това

1:11:46↗заключение, тогава да ангажирате такъв

1:11:49↗под обработващ и отделно от това също

1:11:52↗вие да му наложите адекватни и подходящи

1:11:55↗технически организационни мерки, а с

1:11:58↗съответното споразумение. А вие като

1:12:00↗администратор трябва да му посочите а

1:12:04↗техническите и организационните мерки, а

1:12:07↗тъй като вие определяте целите и

1:12:09↗средствата за обработването.

1:12:11↗Така че това бих посъветвала от гледната

1:12:12↗точка на администратора.

1:12:15↗А и с това по-скоро ще приключа

1:12:18↗съществената част на презентацията.

1:12:22↗А и ще премина вече към слайдо, за да

1:12:25↗мога да видя евентуално въпросите, които

1:12:28↗а се надявам да са се натрупали. А и

1:12:32↗нали, ако пък няма въпроси, ще изчакам

1:12:35↗също така и малко време, да кажем около

1:12:38↗30 секунди до минута, аа нали, за да

1:12:40↗имате възможността да зададете въпросите

1:12:42↗си. А след което ще ви покажа и сайта на

1:12:48↗Комисията за защита на личните данни и

1:12:50↗всъщност къде можете да намерите всички

1:12:51↗полезни източници, за които ние си

1:12:54↗говорихме досега.

1:12:56↗А ако пък имате каквито и да било

1:12:58↗въпроси или колебания във връзка с а а

1:13:02↗самия семинар и презентацията, разбира