Únik dat: co dělat, když vaše údaje unikly

Zpráva o úniku dat je nepříjemná, ale není důvod propadat panice. Dopady úniku můžete omezit několika konkrétními kroky, které můžete udělat ještě dnes. Žádný z nich ale nezaručí, že k žádné škodě nedojde. Tento průvodce vás provede tím, co únik znamená, jak zjistíte, zda se týká právě vás, co udělat jako první, jak se bránit podvodným zprávám a kdy a jak se obrátit na firmu, banku, Policii ČR nebo Úřad pro ochranu osobních údajů.

Vycházíme z textu obecného nařízení o ochraně osobních údajů (GDPR), z doporučení Národního úřadu pro kybernetickou a informační bezpečnost (NÚKIB), z pokynů Policie ČR a z informací portálu veřejné správy. U každého faktu níže najdete, odkud pochází. Nejde o individuální právní poradenství: pokud jde o větší škodu, obraťte se na banku, policii nebo právníka.

Co je únik dat a co může obsahovat

Únik dat znamená, že se osobní údaje dostaly k někomu, kdo k nim neměl mít přístup. Obecné nařízení o ochraně osobních údajů mluví o „porušení zabezpečení osobních údajů“. V běžné řeči se používá i „únik osobních údajů“ nebo „únik hesel“, pokud jde konkrétně o přihlašovací údaje.

Co přesně unikne, záleží na službě. Může jít o e-mailovou adresu, jméno, telefonní číslo, adresu, přihlašovací jméno nebo heslo, případně historii objednávek. Právě proto je důležité zjistit, které údaje unikly. Únik e-mailové adresy je jiná situace než únik hesla společně s číslem platební karty.

Nařízení rozlišuje dvě role. Správce je firma nebo organizace, která o účelu a způsobu zpracování údajů rozhoduje, třeba e-shop nebo služba, ve které máte účet. Zpracovatel pro správce údaje zpracovává, například dodavatel technického řešení. Podle čl. 33 odst. 2 nařízení musí zpracovatel, jakmile porušení zjistí, ohlásit je bez zbytečného odkladu správci. Vy se se svými požadavky obracíte na správce.

Jak zjistíte, že se únik týká vás

O úniku se můžete dozvědět třemi způsoby.

Od samotné služby. Pokud je pravděpodobné, že únik bude mít za následek vysoké riziko pro vaše práva a svobody, musí vás správce podle čl. 34 odst. 1 nařízení informovat bez zbytečného odkladu. Oznámení má být napsáno jasným a jednoduchým jazykem a popsat povahu porušení. Mělo by také obsahovat kontakt, na který se můžete obrátit, popis pravděpodobných důsledků a opatření, která správce přijal nebo navrhl.

Z médií nebo od známých. Když čtete o úniku ze služby, kterou používáte, nečekejte na e-mail. Podívejte se na oficiální web služby a zkontrolujte, zda zveřejnila oznámení.

Kontrolou své e-mailové adresy. Službu Have I Been Pwned (haveibeenpwned.com) můžete použít zdarma. Pro základní vyhledávání podle e-mailové adresy podle jejích často kladených otázek nepotřebujete účet. Výsledek ukáže, v jakých známých únicích se vaše adresa objevila. Služba také nabízí upozornění na budoucí úniky, ale e-mailovou adresu musíte potvrdit odkazem, který vám přijde na tuto adresu.

Jedna důležitá výhrada: prázdný výsledek neznamená, že se vás nic netýká. Provozovatel sám uvádí, že služba zná jen malou část uniklých záznamů a že mnoho úniků se nikdy nezveřejní. Služba uvádí i označení typu „neověřený“ nebo „malware“, která říkají, jak spolehlivý daný záznam je. Podrobnější návod najdete v článku Have I Been Pwned: unikl váš e-mail?.

Hesla si můžete zkontrolovat také odděleně. Součástí téže služby je „Pwned Passwords“, které ověří, zda se konkrétní heslo objevilo ve známém úniku. Pokud ano, přestaňte ho používat všude. Heslo se před odesláním zpracuje tak, aby ho služba neviděla celé.

Co udělat jako první: kroky po úniku

Začněte tím nejdůležitějším. Pořadí kroků níže vychází z toho, co vám může nejrychleji zabránit ve škodě.

1. Změňte heslo u dotčené služby

Nastavte nové, silné a jedinečné heslo. NÚKIB ve své brožuře pro veřejnost doporučuje heslo o délce alespoň 12 znaků, které obsahuje písmena, čísla i symboly.

2. Změňte stejné heslo všude, kde jste ho použili

Tady většina lidí váhá, ale je to klíčové. NÚKIB radí nikdy nepoužívat stejné heslo pro více účtů. Důvod je jednoduchý: pokud heslo unikne z jedné služby, útočníci ho zkusí na dalších. Projděte hlavně e-mail, banku, e-shopy a sociální sítě. Začněte e-mailem, protože přes něj se obvykle obnovují hesla k dalším účtům.

3. Zapněte dvoufázové ověření

Dvoufázové ověření (2FA) vyžaduje kromě hesla ještě druhý krok, například kód z aplikace nebo z SMS. Když se někdo dostane k heslu, bez druhého kroku se zpravidla nepřihlásí. NÚKIB doporučuje používat správce hesel a dvoufázové ověření zapnout. Návod krok za krokem najdete v článku Dvoufázové ověření: jak ho zapnout a proč.

4. Použijte správce hesel

Správce hesel vygeneruje a uloží jedinečné heslo pro každý účet, takže si je nemusíte pamatovat. Jak ho vybrat a používat, popisuje článek Správce hesel: jak ho vybrat a používat. Pokud některé heslo bylo součástí úniku, správce vám pomůže vyměnit ho za nové.

5. Zkontrolujte platební údaje

Pokud mohly unikat údaje o platební kartě nebo o bankovním účtu, zavolejte do své banky. Banka vám poradí, co dělat s kartou a s přístupem do internetového bankovnictví. Číslo ke zablokování najdete na webu své banky nebo na platební kartě, nehledejte ho v e-mailu ani v SMS, které vám přišly po úniku. Zprávy, které na vás tlačí, patří k častým trikům podvodníků.

6. Prohlédněte si historii přihlášení a nastavení účtu

Většina služeb nabízí přehled aktivních přihlášení nebo zařízení. Pokud tam uvidíte zařízení, které neznáte, odhlaste ho a změňte heslo. Zkontrolujte také, zda se v účtu nezměnil e-mail pro obnovení nebo telefonní číslo.

Chcete vědět, co se o vás dá najít veřejně, včetně známých úniků? Remove Me nabízí bezplatnou analýzu bez registrace. Hledá ve veřejně dostupných zdrojích, ve známých únicích dat (přes službu Have I Been Pwned) a v registru zprostředkovatelů dat. Přehled otevřete šestimístným kódem, který vám pošleme e-mailem. Remove Me zatím neodesílá žádosti o výmaz za vás. Zahájit bezplatnou analýzu

Pozor na podvodné zprávy po úniku

Po úniku se často objeví podvodné zprávy. Útočník může znát vaše jméno, e-mail nebo telefonní číslo a použít je, aby zpráva vypadala důvěryhodně. Může se tvářit jako služba, které se únik týkal, jako banka nebo jako úřad.

NÚKIB v brožuře radí dávat si pozor na zprávy, které „spěchají“ nebo chtějí osobní údaje, a neotvírat podezřelé odkazy ani přílohy. Když si nejste jistí, kontaktujte odesílatele jiným způsobem, než který vám zpráva nabízí. Prakticky to znamená:

• Neklikejte na odkaz v e-mailu nebo SMS. Adresu služby napište do prohlížeče sami nebo použijte její aplikaci.
• Nikomu nesdělujte heslo ani kód z ověřovací aplikace či SMS, ani když se volající představí jako zaměstnanec banky.
• Nenechte se vystrašit lhůtou typu „do hodiny se váš účet zablokuje“. Spěch je podle NÚKIB typické znamení podvodné zprávy.
• Jestliže zpráva tvrdí, že váš účet byl napaden, přihlaste se do služby samostatně a zkontrolujte, zda opravdu k něčemu došlo.

Jak podvodné e-maily a zprávy rozpoznat a co dělat, když jste na odkaz kliknuli, shrnují související články v rubrice o podvodech. Pokud už se vám někdo vydával za vás nebo jste přišli o peníze, pokračujte do části o zneužití níže. Souvisejícím tématem je i krádež identity, kterou popisuje článek Krádež identity: co dělat a jak se chránit.

Co musí udělat firma, které údaje unikly

Je užitečné znát povinnosti správce, protože podle nich poznáte, zda se firma chová správně. Opírají se o články 33 a 34 obecného nařízení o ochraně osobních údajů.

Ohlášení úřadu

Správce musí porušení zabezpečení ohlásit dozorovému úřadu bez zbytečného odkladu a pokud možno do 72 hodin od okamžiku, kdy se o něm dozvěděl. To neplatí, pokud je nepravděpodobné, že by porušení mělo za následek riziko pro práva a svobody lidí. Když firma 72 hodin nestihne, musí k ohlášení připojit důvody zpoždění. V Česku je dozorovým úřadem Úřad pro ochranu osobních údajů (ÚOOÚ).

Ohlášení musí podle čl. 33 odst. 3 obsahovat alespoň tyto informace:

• popis povahy případu, včetně kategorií a přibližného počtu dotčených lidí a záznamů,
• jméno a kontakt na pověřence pro ochranu osobních údajů nebo jiné kontaktní místo,
• popis pravděpodobných důsledků,
• popis opatření, která správce přijal nebo navrhl, včetně zmírnění dopadů.

Pokud nelze informace poskytnout najednou, mohou přijít postupně. Správce navíc dokumentuje každý případ porušení, včetně účinků a přijatých nápravných opatření, aby úřad mohl ověřit soulad s pravidly.

Oznámení vám

Jestliže je pravděpodobné, že porušení bude mít za následek vysoké riziko pro vaše práva a svobody, musí o něm správce informovat také vás, a to bez zbytečného odkladu (čl. 34). Pro oznámení vám nařízení stanoví jiné pravidlo než pro ohlášení úřadu: nestanoví číselnou lhůtu 72 hodin, ale požaduje „bez zbytečného odkladu“.

Oznámení vám se nemusí posílat v těchto případech:

• správce zavedl vhodná technická a organizační opatření a údaje jsou pro nepovolané osoby nesrozumitelné, třeba díky šifrování,
• správce přijal následná opatření, která zajišťují, že se vysoké riziko už pravděpodobně neprojeví,
• oznámení by vyžadovalo nepřiměřené úsilí. Pak musí správce lidi informovat stejně účinným způsobem, například veřejným oznámením.

Pokud správce vás ani veřejnost neinformoval, může po posouzení pravděpodobnosti vysokého rizika požadovat, aby tak učinil, dozorový úřad.

Z toho vyplývá užitečná věc: ne každý únik vyvolá oznámení do vaší schránky. Když se o něm dozvíte z jiného zdroje, neznamená to, že firma pochybila. Rozhodující je, jak velké riziko pro vás plyne ze zveřejněných údajů.

Když firma mlčí: žádost o přístup a stížnost

Pokud jste se o úniku dozvěděli a chcete vědět, jaké údaje o vás správce má a co z nich uniklo, můžete uplatnit své právo na přístup.

Žádost o přístup (čl. 15)

Máte právo získat potvrzení, zda správce vaše osobní údaje zpracovává, přístup k nim a k dalším informacím, například k účelům zpracování, příjemcům, plánované době uložení nebo informaci o tom, odkud údaje pocházejí. Správce vám poskytne kopii zpracovávaných údajů. Podle čl. 12 odst. 5 se informace a úkony poskytují bezplatně, pokud nejsou žádosti zjevně nedůvodné nebo nepřiměřené, zejména protože se opakují.

Správce má podle čl. 12 odst. 3 odpovědět bez zbytečného odkladu a v každém případě do jednoho měsíce od obdržení žádosti. Lhůtu je možné s ohledem na složitost a počet žádostí prodloužit o další dva měsíce, ale správce vás o prodloužení musí informovat do jednoho měsíce spolu s důvody. Podrobně se žádosti o přístup věnuje samostatný článek v rubrice o právech, obecný přehled najdete v článku GDPR: vaše práva na osobní údaje.

Žádost napište stručně: kdo jste, jaký účet nebo e-mail se služba týká, co chcete získat a odkdy. Pošlete ji na kontakt pro ochranu osobních údajů uvedený v zásadách služby, nejlépe tak, abyste měli důkaz o odeslání.

Stížnost u ÚOOÚ

Když správce neodpoví do stanovené lhůty nebo odpoví nedostatečně, můžete se obrátit na Úřad pro ochranu osobních údajů. Právo podat stížnost u dozorového úřadu máte podle čl. 77 nařízení kdykoli, pokud se domníváte, že zpracováním vašich údajů je porušeno nařízení. Podle portálu veřejné správy lze stížnost podat i tehdy, když jste na žádost o informace, výmaz nebo opravu neobdrželi do jednoho měsíce reakci nebo byla odpověď nedostatečná.

Postup podle portálu veřejné správy:

• Stížnost můžete podat datovou schránkou (ID qkbaa2n) nebo e-mailem na posta@uoou.gov.cz. E-mailem ji musíte elektronicky podepsat. Poštou nebo osobně ji lze podat na adrese úřadu.
• Stížnost můžete napsat volnou formou. Uveďte, na koho si stěžujete, popište, co se stalo, jakých osobních údajů se to týká, připojte případné důkazy (například odpověď firmy nebo její mlčení) a své kontaktní údaje.
• Služba je bezplatná. O průběhu a výsledku vás úřad informuje do tří měsíců od přijetí stížnosti, u elektronických podání od přijetí ověřené stížnosti.

Pamatujte, že ÚOOÚ neřeší vše. Podle portálu veřejné správy nespadá do jeho agendy například podezření na zneužití identity, které je potřeba oznámit Policii ČR. Více o tom, kdy a jak stížnost podat, najdete v článku Stížnost na ÚOOÚ: jak ji podat a kdy.

Když došlo ke zneužití: banka, policie a CSIRT.CZ

Pokud se stalo něco konkrétního, například někdo vybral peníze, objednal zboží na váš účet nebo se vydával za vás, postupujte takto.

Banka. Při jakémkoli podezření na zneužití platebních údajů nebo přístupu do bankovnictví zavolejte do banky co nejdřív. Banka může zablokovat kartu nebo přístup a poradí vám další kroky.

Policie ČR. Trestní oznámení může podle Policie ČR podat kdokoli, nikoli jen poškozený. Můžete ho podat ústně i písemně, na kterémkoli oddělení policie nebo u státního zastupitelství. Písemné podání se doporučuje poslat doporučeně nebo si nechat potvrdit doručení na kopii. Formální požadavky nejsou stanoveny, doporučuje se ale uvést totožnost a adresu oznamovatele a popsat, co se stalo, kdy, kde a jaké jsou následky. Pokud chcete být vyrozuměni o výsledku, musíte o to při podání výslovně požádat, policie vás pak musí vyrozumět do 30 dnů. V naléhavých případech volejte linku 158, případně jednotné evropské tísňové číslo 112.

CSIRT.CZ. Národní tým CSIRT.CZ provozuje sdružení CZ.NIC a podle jeho webu slouží jako kontaktní místo pro veřejnost a subjekty mimo oblast regulace. Incident můžete nahlásit online formulářem, který najdete na webu CSIRT.CZ.

Uložte si důkazy: snímky obrazovky podvodných zpráv, e-maily o úniku, potvrzení o změně hesla, výpisy z účtu. Usnadní vám to komunikaci s bankou i policií.

Co po úniku nedělat

• Neplaťte nikomu, kdo vám nabízí „smazání“ uniklých údajů. Údaje, které už se dostaly ven, nemáte jak spolehlivě stáhnout zpět. Seriózní postup je omezit následky: změnit hesla, zapnout dvoufázové ověření a hlídat podezřelé zprávy.
• Nereagujte na vyděračské e-maily. Zpráva, která tvrdí, že má vaše heslo nebo kompromitující materiál, a požaduje platbu, využívá strachu.
• Nepoužívejte stejné heslo „s číslem na konci“. Drobná úprava starého hesla nemá s nezávislým heslem nic společného. Nechte správce hesel vygenerovat nové.
• Nesdílejte kód z SMS ani z aplikace. Nikdo seriózní ho po telefonu ani v e-mailu nepotřebuje.
• Nečekejte, až se něco stane. I když se zatím nic neděje, změna hesla a zapnutí dvoufázového ověření zabere pár minut.

Jak se připravit na příští únik

Úniky nejde zcela vyloučit, protože se netýkají jen vašich chyb, ale i zabezpečení služeb, které používáte. Můžete ale omezit jejich dopad:

1. Používejte pro každý účet jiné heslo a správce hesel.
2. Zapněte dvoufázové ověření všude, kde je k dispozici, především u e-mailu a banky.
3. Pro registrace, které nejsou důležité, uvádějte jen nutné údaje. Čím méně údajů služba má, tím méně z nich může uniknout.
4. Čas od času se podívejte, které služby ještě používáte, a nepotřebné účty zrušte. Jak na to, ukazují návody v rubrice o mazání účtů.
5. Sledujte oznámení o úniku u služeb, které používáte, a e-mailovou adresu si čas od času zkontrolujte ve službě Have I Been Pwned.

Poslední bod doplňuje jedna věc: to, že jsou údaje o vás veřejně vidět, nemusí být výsledek úniku. Mohou pocházet z registrů, katalogů nebo webů, které údaje zveřejnily legálně. O tom, co lze a nelze z veřejných zdrojů odstranit, se dozvíte v dalších článcích. Žádný krok nelze brát jako slib, že údaje zmizí.

Shrnutí v krátkosti

• Co nejdřív změňte heslo u dotčené služby i všude, kde jste ho použili.
• Zapněte dvoufázové ověření a používejte správce hesel. Heslo má mít podle NÚKIB alespoň 12 znaků.
• Ověřte e-mailovou adresu ve službě Have I Been Pwned, ale pamatujte, že prázdný výsledek nic nedokazuje.
• Dávejte pozor na zprávy, které spěchají nebo chtějí údaje, a ověřujte je jinou cestou.
• Firma musí únik s rizikem ohlásit ÚOOÚ pokud možno do 72 hodin a při vysokém riziku informovat i vás.
• Když firma neodpovídá, využijte právo na přístup a případně podejte stížnost u ÚOOÚ.
• Při zneužití volejte banku a podejte trestní oznámení na Policii ČR.

Zdroje

• EUR-Lex: obecné nařízení o ochraně osobních údajů (GDPR), čl. 12, 15, 33, 34 a 77
• NÚKIB: brožura Kam kliknout dál
• Portál veřejné správy: Stížnost na neoprávněné zpracování osobních údajů (ÚOOÚ)
• Policie ČR: Postup při podání trestního oznámení
• CSIRT.CZ: Hlášení incidentu
• Have I Been Pwned: často kladené otázky