В некоторых штатах требуется уведомление, если неавторизованное лицо получает доступ к PII. Хакер или вор, использующий украденный компьютер сотрудника, - два примера несанкционированного доступа к защищенным данным.
Другие штаты основывают свои требования к уведомлению на так называемом "анализе риска причинения вреда". Какова вероятность причинения вреда пострадавшему лицу в результате потери данных? Анализ риска причинения вреда учитывает такие вещи, как использование шифрования и другие меры предосторожности, которые могут снизить вероятность того, что вор сможет эффективно получить доступ к PII.
В этом случае вы можете решить, что риск причинения вреда человеку невелик и уведомление не требуется. Если вы решите не уведомлять, вы обычно должны задокументировать это решение и хранить его в течение определенного количества лет.
Кроме того, обязательно проверьте договоры с поставщиками, чтобы узнать, не влечет ли какой-либо пункт за собой уведомление в случае утечки данных.
Кто получает уведомление
Если вы решите, что вам необходимо уведомить своих членов о нарушении данных, то в соответствующем законе штата будет указано, кто должен получить уведомление. Эти законы также определяют сроки уведомления и порядок его исполнения. Как правило, штаты требуют, чтобы компании предоставляли письменное уведомление пострадавшим лицам. В более чем 30 штатах компании обязаны направить уведомление либо генеральному прокурору штата, либо другому агентству штата - как правило, агентству по защите прав потребителей.
Если скомпрометированная информация является медицинской информацией, защищенной в соответствии с HIPAA, вам, возможно, придется уведомить об этом Министерство здравоохранения и социальных служб США.
Содержание уведомления
Некоторые штаты требуют предоставления определенной информации и использования конкретных формулировок в уведомлении о нарушении данных. Например, закон Калифорнии об уведомлении о нарушении определяет формат и содержание уведомления. Хотя требования к уведомлениям в разных штатах отличаются, как правило, уведомления должны содержать:
- Тип нарушенной персонально идентифицируемой информации
- Дата нарушения
- Общее описание нарушения
Сроки уведомления
Аналогичным образом, время отправки уведомления варьируется от штата к штату, но штаты обычно придерживаются одного из двух подходов.
Первый требует, чтобы затронутые лица были уведомлены "в кратчайшие сроки, без необоснованной задержки". Значение этого требования варьируется в каждом конкретном случае. Обычно это зависит от того, когда предприятию стало известно о нарушении и когда у него была возможность провести расследование.
Второй требует уведомления в течение определенного количества дней или недель. Если штат требует, чтобы предприятие уведомило генерального прокурора штата или другое государственное учреждение, такое уведомление обычно должно быть отправлено в установленные сроки. Сроки направления уведомления часто могут быть отложены, если нарушение является результатом предполагаемого преступного деяния и полиция расследует инцидент.
Исполнение
В некоторых штатах полномочия по исполнению закона об уведомлении возложены на генерального прокурора. Это означает, что генеральный прокурор отвечает за определение того, выполнило ли предприятие требования закона, и если нет, то каким должен быть штраф.
Другие предусматривают право частного иска, которое позволяет лицам, пострадавшим от утечки данных, подавать иск о возмещении ущерба на предприятие, ответственное за утечку, открывая шлюзы для коллективных исков.
Шаги по снижению рисков
Вы пострадали от утечки данных. Вы провели расследование. Вы предоставили необходимые уведомления. И что теперь?
Последний шаг - переоценка практики и процессов обеспечения безопасности данных. Убедитесь, что вы следуете лучшим практикам, и укрепите все выявленные слабые места. Лучший способ избежать затрат и репутационного ущерба от утечки данных - сделать все возможное, чтобы предотвратить утечку данных в первую очередь.
