Bei einer Verletzung des Schutzes personenbezogener Daten ist der Verantwortliche verpflichtet, die Kommission für den Schutz personenbezogener Daten (КЗЛД) zu benachrichtigen.
Eine „Verletzung des Schutzes personenbezogener Daten“ ist ein Ereignis, das Folgendes zur Folge hat:
- unrechtmäßige Vernichtung oder Beschädigung der Daten, wodurch diese unbrauchbar oder unvollständig werden;
- Verlust der Kontrolle über die Daten oder des Zugangs zu ihnen. Beispiel: Ein Gerät, das eine Datenbank enthält, geht verloren oder wird durch Schadsoftware verschlüsselt;
- Veränderung der Daten;
- unbefugter Zugang zu den Daten, der zu deren Offenlegung gegenüber Personen führt, die kein Zugangsrecht haben.
Arten von Sicherheitsverletzungen
- Verletzung der Vertraulichkeit – unbefugte Offenlegung der Daten oder unbefugter Zugang zu ihnen.
- Verletzung der Integrität – unbefugte Veränderung der Daten.
- Verletzung der Verfügbarkeit – Verlust des Zugangs zu den Daten oder deren Vernichtung. Beispiel: versehentliches Löschen von Daten oder Verschlüsselung ohne Möglichkeit der Wiederherstellung.
Eine Verletzung kann zugleich die Vertraulichkeit, die Integrität und die Verfügbarkeit der Daten betreffen.
Auch der vorübergehende Verlust der Verfügbarkeit von Daten gilt als Sicherheitsverletzung, erfordert jedoch nicht stets eine Meldung an die КЗЛД. Ist der Verantwortliche beispielsweise von Schadsoftware betroffen, die die Daten vorübergehend verschlüsselt, und können diese aus einer Sicherungskopie wiederhergestellt werden, so kann eine Meldung entbehrlich sein.
Wann ist die Meldung an die КЗЛД zwingend?
Ist es wahrscheinlich, dass die Verletzung zu physischen, materiellen oder immateriellen Schäden für die betroffenen Personen führt, so hat der Verantwortliche die КЗЛД zu benachrichtigen. Zu solchen Schäden können gehören:
- Verlust der Kontrolle über die personenbezogenen Daten;
- Einschränkung der Rechte der betroffenen Personen;
- Diskriminierung, Identitätsdiebstahl, finanzielle Verluste;
- Verletzung eines Berufsgeheimnisses.
Der Verantwortliche ist verpflichtet, die КЗЛД innerhalb von 72 Stunden zu benachrichtigen, nachdem ihm die Verletzung bekannt geworden ist. Wird diese Frist nicht eingehalten, so sind die Gründe für die Verzögerung anzugeben.
Feststellung der „Kenntnis“ von der Verletzung: Der Verantwortliche gilt als von der Verletzung „in Kenntnis gesetzt“, wenn er mit hinreichender Sicherheit davon ausgehen kann, dass ein Vorfall eingetreten ist, der personenbezogene Daten betrifft.
Die Rolle des Auftragsverarbeiters
Der Auftragsverarbeiter, der eine Verletzung feststellt, hat den Verantwortlichen ohne unangemessene Verzögerung zu unterrichten, spätestens jedoch innerhalb von 72 Stunden. Der Auftragsverarbeiter beurteilt nicht, ob ein Risiko für die betroffenen Personen besteht – diese Beurteilung obliegt dem Verantwortlichen. Es empfiehlt sich, in den Vertrag zwischen dem Verantwortlichen und dem Auftragsverarbeiter Regelungen über eine rasche Unterrichtung aufzunehmen, damit die 72-Stunden-Frist für die Meldung an die КЗЛД eingehalten werden kann.
Inhalt der Meldung an die КЗЛД
Die Meldung muss enthalten:
- eine Beschreibung der Verletzung sowie, soweit möglich, die Kategorien und die Zahl der betroffenen Personen und Datensätze;
- die Kontaktdaten des Datenschutzbeauftragten (ДЛЗД);
- eine Beschreibung der möglichen Folgen – z. B. Identitätsdiebstahl, finanzieller Verlust;
- eine Beschreibung der ergriffenen Maßnahmen zur Begrenzung der Folgen der Verletzung.
Ist der Auftragsverarbeiter die Quelle der Verletzung, so kann der Verantwortliche auch dessen Angaben in die Meldung aufnehmen. Der Verantwortliche ist berechtigt, die Informationen zu einem späteren Zeitpunkt zu ergänzen, wenn ihm im Zeitpunkt der Meldung noch nicht alle Angaben vorliegen.
Führung eines Verzeichnisses der Verletzungen
Der Verantwortliche hat ein internes Verzeichnis der Verletzungen zu führen. Darin werden Informationen sowohl zu gemeldeten als auch zu nicht gemeldeten Fällen aufgenommen. In das Verzeichnis werden eingetragen:
- die Beschreibung der Verletzung;
- die Ursachen der Sicherheitsverletzung;
- die betroffenen Daten;
- die Folgen der Verletzung;
- die ergriffenen Maßnahmen sowie die Gründe dafür, dass eine Meldung an die КЗЛД nicht erforderlich war.
Das Verzeichnis der Verletzungen kann Bestandteil des Verzeichnisses von Verarbeitungstätigkeiten (Art. 30 DSGVO) sein, sofern die Informationen über die Verletzungen auf Verlangen der КЗЛД ohne Weiteres entnommen werden können.
Die Rolle des Datenschutzbeauftragten (ДЛЗД)
Verfügt der Verantwortliche über einen ДЛЗД, so hat er diesen unverzüglich über die Verletzung zu unterrichten. Der ДЛЗД wirkt an der Einhaltung der Anforderungen und an der Koordinierung der Meldung an die КЗЛД mit; er ist ferner bei Ermittlungen seitens der КЗЛД sowie im gesamten Prozess der Bewältigung des Vorfalls beteiligt.
Sanktionen bei Nichterfüllung der Meldepflicht
Bei Nichterfüllung der Meldepflicht kann die КЗЛД eine Abhilfemaßnahme anordnen oder eine Geldbuße bis zu 10 000 000 EUR oder bis zu 2 % des weltweiten Jahresumsatzes des Unternehmens im vorangegangenen Jahr verhängen, je nachdem, welcher Betrag höher ist.
Der Bescheid über die Feststellung der Zuwiderhandlung wird von einem Mitglied der КЗЛД oder von hierzu ermächtigten Personen erstellt. Der Verantwortliche ist berechtigt, innerhalb einer Frist von 3 Tagen schriftliche Einwendungen zu erheben. Die Bußgeldbescheide werden vom Vorsitzenden der КЗЛД erlassen und können innerhalb einer Frist von 7 Tagen nach ihrer Zustellung beim Rayongericht angefochten werden. Die Beschwerde wird über die КЗЛД eingereicht.
Sollten Sie Unterstützung bei der Erstellung von Unterlagen oder eine Beratung im Bereich des Schutzes personenbezogener Daten benötigen, kontaktieren Sie uns telefonisch unter: 02 851 72 59
