Fil-qosor: Jekk f'attakk tinkiser il-protezzjoni tad-data personali, l-Art. 33 GDPR jeħtieġ notifika lill-awtorità superviżorja, jekk possibbli fi żmien 72 siegħa minn meta ssir magħrufa, sakemm ikun hemm riskju għall-persuni kkonċernati. F'każ ta' riskju għoli jiżdied, skont l-Art. 34, l-informazzjoni lill-persuni kkonċernati. Indipendentement minn dan, kull ksur irid jiġi ddokumentat. Din il-paġna hija informazzjoni ġenerali u mhux parir legali.
Mhux parir legali: jekk u meta jeżisti obbligu ta' notifika f'każ speċifiku, jevalwawh l-uffiċjal tal-protezzjoni tad-data tagħkom jew avukat. Aħna nipprovdu l-fatti tekniċi li fuqhom tistrieħ din l-evalwazzjoni.
Ksur tad-data u obbligu ta' notifika fi 72 siegħa: dak li jirregola l-Art. 33
L-Art. 33 GDPR jikkonċerna l-“ksur tal-protezzjoni tad-data personali”. Jinftiehem kull ksur tas-sigurtà li jwassal għal qirda, telf, bidla, żvelar mhux awtorizzat jew aċċess mhux awtorizzat għal data personali. Server tal-web kompromess b'database tal-klijenti, formoli ta' kuntatt jew data ta' applikanti jista' jaqa' hawnhekk.
In-notifika lill-awtorità superviżorja għandha ssir mingħajr dewmien u, jekk possibbli, fi żmien 72 siegħa wara li l-kontrollur isir jaf bil-ksur. Taqa' jekk il-ksur x'aktarx ma jwassalx għal riskju għad-drittijiet u l-libertajiet ta' persuni fiżiċi. Min jinnotifika aktar tard minn 72 siegħa jrid jiġġustifika d-dewmien. L-informazzjoni tista' tiġi ppreżentata gradwalment.
X'għandu jkun fin-notifika
L-Art. 33(3) GDPR isemmi kontenut minimu. Għandkom tħejju dawn il-punti, anke jekk għadu mhux kollox ċar:
- in-natura tal-ksur, jekk possibbli bil-kategoriji u n-numru approssimattiv tal-persuni u tar-records ikkonċernati
- l-isem u d-dettalji ta' kuntatt tal-uffiċjal tal-protezzjoni tad-data jew ta' punt ieħor ta' kuntatt
- il-konsegwenzi probabbli tal-ksur
- il-miżuri meħuda jew proposti biex jissewwa l-ksur u biex jittaffew l-effetti negattivi possibbli
Preċiżament fil-każ ta' attakki fuq servers tal-web l-estensjoni tipikament tkun mhux ċara fil-bidu. Imbagħad tgħin notifika inizjali onesta bl-istat magħruf u bl-avviż li tiġi mibgħuta aktar informazzjoni meta tinkiseb.
Meta jibda t-terminu wara attakk fuq server?
It-terminu jiddependi mill-għarfien, mhux mill-mument tal-attakk. Fil-prattika d-distinzjoni spiss hija diffiċli: rapport dwar vulnerabbiltà bħal PHP2Shell waħdu ma joħloqx għarfien ta' ksur tal-protezzjoni tad-data. Jekk issibu, madankollu, indikazzjonijiet konkreti ta' dħul mhux awtorizzat, pereżempju webshell jew mistoqsijiet suspettużi lid-database, is-sitwazzjoni tista' tidher differenti.
Għalhekk iddokumentaw mill-bidu bil-ħin min irċieva liema informazzjoni u liema passi segwew. Din il-kronoloġija tgħin fl-evalwazzjoni legali u fil-mistoqsijiet tal-awtorità. Investigazzjoni teknika bir-reqqa, pereżempju permezz tal-forensika tal-IT, tikkjarifika jekk u liema data kienet verament affettwata.
Informazzjoni lill-persuni kkonċernati skont l-Art. 34
Jekk il-ksur x'aktarx iwassal għal riskju għoli għad-drittijiet u l-libertajiet personali, il-persuni kkonċernati jridu jiġu infurmati wkoll mingħajr dewmien. Dan jista' jkun il-każ, pereżempju, b'kredenzjali ta' aċċess, dettalji bankarji jew data dwar is-saħħa. L-informazzjoni għandha tiddeskrivi b'lingwa ċara u sempliċi x'ġara u tindika mill-inqas il-punt ta' kuntatt, il-konsegwenzi probabbli u l-miżuri meħuda.
L-Art. 34 jipprevedi eċċezzjonijiet, pereżempju meta d-data saret inaċċessibbli għal persuni mhux awtorizzati, pereżempju permezz ta' kriptaġġ. Jekk l-informazzjoni ta' kull persuna individwali tinvolvi sforz sproporzjonat, minflok tista' tiġi kkunsidrata komunikazzjoni pubblika jew miżura simili b'effett ekwivalenti. Jekk tapplikax eċċezzjoni jagħmel parti mill-evalwazzjoni legali. Kif tinformaw lill-klijenti b'mod li jinftiehem jiddeskrivi Komunikazzjoni f'kriżi wara attakk.
L-obbligu ta' dokumentazzjoni skont l-Art. 33(5)
Indipendentement mill-obbligu ta' notifika, l-Art. 33(5) GDPR jeħtieġ li kull ksur jiġi ddokumentat: il-fatti, l-effetti u l-miżuri korrettivi meħuda. Din id-dokumentazzjoni trid tippermetti lill-awtorità superviżorja tivverifika. Dan japplika wkoll jekk wara l-eżami tasal għall-konklużjoni li ma hija meħtieġa l-ebda notifika.
Għal servers tal-web dan fil-prattika jfisser: nissalvaw il-logs qabel ma jiġu rotati, innotaw is-sejbiet bil-ħin, niddokumentaw id-deċiżjonijiet u r-raġunijiet tagħhom. F'PHP2Shell l-istampa speċjalizzata tirrakkomanda li l-logs tas-server jinżammu mill-20/10/2026 'il quddiem. Patch barra minn hekk ma jneħħix malware li diġà ġiet introdotta u ma jippruvax li qabel ma ġara xejn.
Proċess prattiku fl-ewwel sigħat
- Irrapportaw is-suspett internament lil punt fiss u involvu lill-uffiċjal tal-protezzjoni tad-data.
- Issalvaw il-provi: logs, listi tal-fajls, estratti tad-database, qabel ma jitħassar jew jerġa' jitwaqqaf xi ħaġa.
- Ikkjarifikaw teknikament jekk tistax tkun affettwata data personali.
- Evalwazzjoni legali tal-obbligu ta' notifika u ta' informazzjoni, jekk meħtieġ ma' avukat u assiguratur.
- Notifika permezz tal-formola tal-awtorità superviżorja kompetenti, supplimenti meta jkun hemm sejbiet ġodda.
Pjan ta' emerġenza tal-IT imħejji jqassar b'mod konsiderevoli dawn il-passi.
Kif tgħin PHP SOS b'mod konkret?
- Nissalvaw il-logs u l-istati tas-sistema b'mod li jibqgħu utilizzabbli għall-evalwazzjoni u għal verifika aktar tard.
- Nikkjarifikaw teknikament jekk u liema data setgħet tintlaħaq, u nipprovdu sommarju li jinftiehem għall-uffiċjali tal-protezzjoni tad-data u l-avukati.
- Inżommu kronoloġija tas-sejbiet tekniċi li tistgħu tużaw għan-notifika u d-dokumentazzjoni.
- F'każ ta' dħul mhux awtorizzat ikkonfermat nieħdu f'idejna l-Incident Response u t-tindif.
Mistoqsijiet frekwenti
Minn meta jibdew jgħaddu l-72 siegħa?
Skont l-Art. 33 GDPR, minn meta l-kontrollur isir jaf bil-ksur. Meta dan jitqies li seħħ f'każ speċifiku hija evalwazzjoni legali. Għalhekk iddokumentaw eżattament meta min kellu liema informazzjoni.
Kull vulnerabbiltà tas-sigurtà trid tiġi nnotifikata?
Le. Vulnerabbiltà waħedha mhijiex għadha ksur tal-protezzjoni tad-data personali. Jista' jinqala' obbligu ta' notifika meta jkun hemm indikazzjonijiet li persuni mhux awtorizzati kellhom jew setgħu kellhom aċċess għal dik id-data, u minn dan jirriżulta riskju għall-persuni kkonċernati.
U jekk wara 72 siegħa għadni ma nafx kollox?
L-Art. 33(4) GDPR jippermetti li l-informazzjoni tiġi ppreżentata gradwalment meta ma tkunx tista' tiġi pprovduta fl-istess ħin. Notifika tard trid tiġi ġustifikata. Li wieħed jistenna ċarezza sħiħa għalhekk ġeneralment mhuwiex raġuni biex iħalli jiskadi t-terminu.
Min jinnotifika jekk il-hoster kien affettwat?
Obbligat jinnotifika huwa l-kontrollur, jiġifieri ġeneralment il-kumpanija li taħdem il-websajt. Pproċessur bħall-hoster irid jinforma lill-kontrollur mingħajr dewmien skont l-Art. 33(2) GDPR.
Fejn nirrapporta ksur tad-data?
Lill-awtorità superviżorja kompetenti tal-protezzjoni tad-data; għal kumpaniji fil-Ġermanja ġeneralment l-awtorità tal-Bundesland fejn għandhom is-sede. Il-biċċa l-kbira tal-awtoritajiet joffru formoli online għal dan.