《须通报数据泄露》制度:小企业必须做什么

如果您的企业受《隐私法》(Privacy Act)约束,而一起数据泄露很可能造成严重损害,您必须尽快评估,通知受影响的个人,并通知 OAIC(澳大利亚信息专员办公室)。这项义务由《须通报数据泄露》制度规定。它适用于受《隐私法》约束的机构,一般是年营业额超过 OAIC 所列门槛的机构,另外还有几类不论规模大小都适用,例如医疗健康服务提供者。您的企业属于哪种情况,请到 OAIC 网站核对。

制度适用于哪些企业

这项义务跟着《隐私法》走。澳大利亚联邦政府机构和受该法约束的机构必须遵守。OAIC 说明,多数小企业不在适用范围内,除非达到它公布的年营业额门槛,或者属于所列类别之一。这些类别涵盖的小经营者比业主以为的多得多,包括私营医疗健康服务提供者、买卖个人信息的企业、信用报告机构、税号(tax file number)接收方,以及一部分按联邦政府合同提供服务的承包商。

这里有两点要紧。门槛和类别清单会随时间变化,所以要看 OAIC 网站上的现行规定,不要沿用以前在别的企业听来的说法。另外,不受该法约束的企业照样要承担泄露带来的商业后果:客户的反应,与受约束客户之间的合同条款,还有让系统恢复运转的费用。

什么算符合条件的数据泄露

三个要件要同时成立。第一,机构持有的个人信息遭到未经授权的访问、未经授权的披露,或者丢失。第二,这起事件很可能给一名或多名个人造成严重损害。第三,机构没能通过补救措施避免这种损害。

最后一个要件常被忽略。如果您动作够快,严重损害已经不太可能发生,例如在设备里的内容被打开之前把设备找回,或者强制重设密码堵住了访问途径,这起泄露可能就不需要通报。这也是最初几个小时怎么应对值得事先计划的原因之一。

评估期限

怀疑发生了符合条件的泄露但不能确定时,OAIC 关于《须通报数据泄露》制度的指引要求做一次合理而迅速的评估,并且必须在知悉怀疑理由后的 30 天内完成。30 天是最长期限,不是目标。损害明显的时候,监管机构希望您更快行动。

可行的处理顺序是这样的:

1. 控制事件,阻止进一步的访问。
2. 记录发生了什么、您什么时候知悉、涉及哪些数据。
3. 评估信息受影响的个人遭受严重损害的风险。
4. 如果符合标准,通知 OAIC 和受影响的个人。
5. 复盘是什么让事件得以发生,并把它修好。

通报包括什么

通报是通过 OAIC 的在线表格向它提交一份声明,说明泄露的情况、涉及的信息种类,以及受影响的人应该怎么保护自己。您还要告知有风险的个人,可以直接告知,做不到的话,就公布这份声明并采取合理措施让公众知道。澳大利亚网络安全中心(Australian Cyber Security Centre)是针对网络事件本身的另一个报告渠道,向它报告并不等于履行了隐私方面的义务。

不管结论如何,都要把决定记录下来。如果您评估之后认定某起泄露不需要通报,把您查看了什么、为什么得出这个结论写下来。日后 OAIC 问起,您拿出来的就是这份存档记录。事发时就写,比几个月后凭记忆重建容易得多。

写通报时要当作客户会读,因为他们确实会读。用平实的话讲清发生了什么、涉及哪些数据、接下来该怎么做,比一份什么都没解释的法律声明更能维护客户关系。

保险在哪里起作用

网络安全保单就是围绕这套流程设计的。它一般从第一通电话起就为事件响应出钱:查明哪些内容被访问的专家、IT 取证、关于泄露是否需要通报的法律意见、通知个人的费用、提供信用监控时的费用、公关支持,以及系统停摆期间的营业中断损失。勒索和敲诈条款也很常见。

响应条款要仔细读。很多保单提供一条热线和一组接第一通电话的专家,凌晨两点的时候,这比限额多一百万更有用。有些保险公司对响应费用另设分项限额,有些要求您用他们指定的专家团队而不是自己的律师,所以这些实际细节要放进决定里考虑。

第二份保单是管理责任保险,它应对针对董事和高管个人的索赔,包括针对企业经营方式的监管调查。一起严重的泄露可能同时带来隐私问题和管理问题,两者由不同的条款处理。

FRS 做什么

我们按您的企业实际保存数据的方式匹配网络安全保险条款,检查保单附带的事件响应安排,并在保险公司提供这种安排时,确认响应限额与主限额分开计算。我们还会确保保单明细表上的通知人数反映您客户数据库的规模,而不是一个通用数字,并在事件还在进行时带客户走完理赔流程。

想了解既为损失出钱、也为响应出钱的保障,请先看我们的网络安全保险页面。

常见问题

这项制度适用于我的小企业吗?

要看《隐私法》是否约束您。OAIC 设有年营业额门槛,也列出了不论规模大小都适用的类别,例如私营医疗健康服务提供者和买卖个人信息的企业。请到 OAIC 网站核对自己的情况,营业额或业务有变化时再核对一次。

泄露要多快上报?

一旦认定泄露需要通报,就要在切实可行的情况下尽快通知。如果只是怀疑,《须通报数据泄露》制度允许最长 30 天的评估期,从您知悉怀疑理由那天起算。OAIC 要求这次评估合理而迅速,不能拖延。

如果泄露是供应商造成的怎么办?

对于由您负责的信息,义务可能仍在您身上,包括工资服务商、预订平台或 IT 承包商替您保存的数据。看看您的协议对通报和费用分担怎么约定,并问问供应商自己有没有网络安全保险。

网络安全保单会赔通知费用吗?

多数澳大利亚的网络安全保险条款包含法律意见、取证调查和通知受影响个人的费用,通常通过事件响应专家团队提供,第一天就可以打电话找他们。限额和分项限额各不相同,所以要看清响应费用具体适用哪一项,不要以为整份保单的限额都能用。