Факс ушёл не на тот номер: что делать за 72 часа

Короткий ответ: факс, ушедший не тому адресату, — это не мелкая оплошность, а юридически нарушение безопасности персональных данных в смысле статьи 4.12 GDPR, если документ содержит идентифицирующие сведения. Порядок действий сводится к пяти шагам: зафиксировать доказательства (отчёт о передаче, набранный номер, отметки времени), пока они не исчезли; связаться с непреднамеренным получателем и добиться уничтожения документа; внести инцидент в реестр нарушений — он обязателен, даже если никого не уведомляют; оценить риск для субъектов данных и уведомить CNIL в течение 72 часов, если этот риск не исключён. Обратный отсчёт начинается с момента, когда вы узнали об ошибке, а не с момента отправки. И служебная записка «будьте внимательнее с номерами» корректирующей мерой не считается.

Почему факс остаётся главной причиной ошибок с адресатом

У электронной почты есть предохранители: адресная книга, автодополнение, уведомление о недоставке, если адрес не существует, иногда несколько секунд на отмену отправки. У факса нет ничего из этого. Десять цифр набираются вручную, часто с рукописной записки или наполовину стёршегося штампа, и аппарат не задаёт ни одного вопроса. Если номер существует — он передаёт. Если не существует — повторяет попытку несколько раз и сдаётся, но если ошибочная цифра соответствует другому работающему факсу, страницы выходят у постороннего человека, и никакого сигнала к вам не возвращается.

Европейские органы по защите данных документируют этот сценарий годами. Британский ICO в своих отчётах об инцидентах регулярно относил «факс, отправленный не на тот номер» к числу самых частых нарушений в сфере здравоохранения — наряду с бумажными письмами, вложенными не в те конверты. CNIL в публикациях об уведомлённых утечках относит такие случаи к категории «отправка данных не тому получателю», которая остаётся одной из основных причин уведомлений — по объёму опережая множество изощрённых кибератак.

Три фактора усугубляют риск именно в случае факса:

• Соседние номера. В одном и том же учреждении факс секретариата и факс бухгалтерии нередко различаются одной цифрой. Перестановка двух цифр остаётся правдоподобной — и значит, отправка проходит.
• Переиспользованные номера. Кабинет закрывается, его номер возвращается в общий пул оператора и достаётся совершенно посторонней компании, иногда голосовой линии, переключающейся на программный факс.
• Память аппаратов. Кнопки быстрого набора, запрограммированные десять лет назад давно уволившимся сотрудником, почти никогда не проверяются.

Первые тридцать минут: зафиксировать доказательства

Первая реакция почти всегда неверная: сразу же повторить отправку на правильный номер, стереть журнал, чтобы «начать с чистого листа», и заняться другими делами. Между тем именно те элементы, которые позволят квалифицировать инцидент, задокументировать его и защитить вас, аппарат вот-вот сотрёт.

Соберите, по порядку:

1. Отчёт о передаче ошибочной отправки. В нём указан фактически набранный номер, дата, время, количество страниц и статус. Это центральный документ дела.
2. Журнал соединений факсимильного аппарата или онлайн-сервиса за широкий период — он показывает контекст, в частности, повторялась ли ошибка.
3. Копию переданного документа с точным перечнем содержавшихся в нём рубрик: имя, дата рождения, номер социального страхования, диагноз, банковские реквизиты и т. д.
4. Личность отправителя и время обнаружения ошибки. Именно вторая дата запускает срок в 72 часа.

На физическом аппарате журнал автоматически очищается по достижении ограниченного числа строк: распечатайте его немедленно или выгрузите. Многие сервисы хранят онлайн-историю дольше, но не рассчитывайте на это, не проверив. В кабинетах, работающих с чувствительными делами, небольшой портативный сканер документов рядом с рабочим местом позволяет сразу оцифровать бумажный отчёт и положить его в папку инцидента, а не оставлять в лотке, откуда он отправится в макулатуру.

Ничего не меняйте, не перепечатывайте документ поверх, не делайте пометок на оригинале отчёта. Если позже возникнет спор, согласованность отметок времени будет изучаться — мы разбирали это в нашем анализе доказательственной силы факса в суде.

Квалификация: действительно ли это утечка данных?

Не всякая ошибка в номере влечёт одинаковые обязанности. Рассуждение строится в три этапа.

Содержит ли документ персональные данные? Заказ на канцелярские товары без имени физического лица — нет. Больничный лист, заключение по обследованию, банковские реквизиты, именное приглашение, трудовой договор — да, без обсуждений.

Была ли утрачена конфиденциальность? Как только страницы вышли у неуполномоченного третьего лица, ответ — да, даже если это лицо добросовестно и утверждает, что всё уничтожило. Свершившееся нарушение задним числом не «отменяется»; зато быстрое и подтверждённое уничтожение снижает риск, что влияет на дальнейшие шаги.

Каков риск для субъектов данных? Именно этот критерий решает вопрос об уведомлении. CNIL и руководящие указания Европейского комитета по защите данных (EDPB) об уведомлении о нарушениях предлагают оценивать характер данных, их объём, лёгкость идентификации лиц, тяжесть возможных последствий и особый характер данных.

Главное, что нужно запомнить: запись во внутренний реестр нарушений обязательна во всех случаях, в том числе когда вы приходите к выводу об отсутствии риска. Статья 33.5 GDPR. Именно этот реестр CNIL запрашивает в первую очередь при проверке, и организация с пустым реестром, сотрудники которой ежедневно шлют факсы, редко выглядит убедительно.

Связаться с непреднамеренным получателем

Позвонить на ошибочно набранный номер часто возможно: многие факс-линии привязаны к голосовому коммутатору, либо номер фигурирует в профессиональном справочнике. Цель — не извиниться, а добиться трёх вещей: подтверждения получения, уничтожения документа и, по возможности, письменного подтверждения этого уничтожения, пусть даже в виде письма из двух строк.

Формулируйте просьбу просто, не раскрывая содержание документа — незачем привлекать внимание к тому, что человек, возможно, и не читал:

Здравствуйте, [дата] в [время] на ваш факсимильный номер по ошибке ушёл документ. Он не был предназначен вам и содержит конфиденциальные сведения. Не могли бы вы уничтожить его и подтвердить это письменно? Заранее благодарим.

Сохраните эту переписку в папке инцидента. Установленный получатель — профессионал, сам связанный обязанностью хранить тайну, подтвердивший уничтожение, — это смягчающий фактор, который вы сможете представить CNIL. И наоборот: номер, который не отвечает и не привязан ни к какой известной организации, означает, что документ ушёл в никуда, — риск нужно оценивать выше.

Уведомление CNIL: срок, содержание, частичное уведомление

Срок в 72 часа отсчитывается с момента, когда контролёр данных узнал о нарушении. Обнаружение в пятницу в 16:00 означает уведомление не позднее понедельника 16:00: выходные считаются.

Уведомление подаётся онлайн, через телесервис CNIL для уведомлений об утечках. Оно должно описывать характер нарушения, категории и приблизительное число затронутых лиц и записей, контактные данные ответственного за защиту данных или контактного лица, вероятные последствия и принятые или планируемые меры.

Два полезных правила:

• Уведомление можно подавать поэтапно. Если внутреннее расследование не завершено, уведомляйте с имеющимися сведениями и дополняйте позже. Лучше неполное уведомление в срок, чем безупречное — с опозданием.
• Позже 72 часов уведомляйте всё равно, обосновав задержку. Статья 33.1 прямо это предусматривает.

Что касается информирования субъектов данных (статья 34), оно обязательно, когда риск высокий: данные о здоровье, банковские данные, сведения, способные привести к дискриминации, краже личности или ущербу репутации. Оно должно быть изложено ясным и простым языком, указывать характер нарушения, его вероятные последствия и принятые меры. Для медицинских работников обязанности накладываются на специфический режим хранения и обработки данных о здоровье, который мы разбирали в статье о медицинском факсе и законе.

Как не допустить повторения: что действительно работает

CNIL не наказывает за единичную человеческую ошибку; она наказывает за отсутствие разумных мер. После инцидента регулятор ожидает структурных мер, а не служебной записки. Вот те, что выдерживают проверку.

Проверенный список получателей. Запретить ручной набор для постоянных корреспондентов и разрешить только выверенные записи, пересматриваемые раз в год. Опечатка становится невозможной в 90 % отправок.

Двойная проверка для чувствительных документов. Две пары глаз на номере перед любой отправкой с медицинскими или банковскими данными, со следом валидации. Простой контрольный штамп, поставленный на титульном листе и завизированный, достаточно материализует этот жест — при условии, что он действительно выполняется.

Титульный лист с оговоркой о конфиденциальности. Технически он ничего не предотвращает, но информирует случайного получателя о его обязанностях и облегчает просьбу об уничтожении. Он никогда не должен содержать чувствительных сведений: ни диагноза, ни подробной причины, ни слишком говорящего номера дела.

Переход на онлайн-факс. Облачный сервис даёт три вещи, которых не может дать настольный аппарат: полную историю с отметками времени, подтверждение доставки, доступное спустя месяцы, и главное — исчезновение распечатанного документа, ожидающего в лотке. Полный порядок действий мы разбираем в нашем плане миграции из шести этапов; страница /faq отвечает на практические вопросы об отправках и подтверждениях.

Обращение с остаточной бумагой. Пока физический аппарат сохраняется, черновики, дубликаты и отчёты должны попадать в шредер с перекрёстной резкой, а не в мусорную корзину. А для документов, перемещающихся между кабинетами, непрозрачные папки-конверты предотвращают случайное прочтение в коридорах. Это мелочи, но большинство задокументированных нарушений держится именно на мелочах.

Короткое и регулярное обучение. Пятнадцать минут дважды в год лучше, чем целый день раз в пять лет. Организации, раздающие сотрудникам практическое руководство по GDPR в бумажном виде, лежащее рядом с рабочим местом, отмечают, что вопросы возникают до инцидента, а не после.

Чего делать категорически нельзя

• Ждать полной уверенности. Срок в 72 часа не приостанавливается на время внутреннего расследования.
• Стирать журнал факса, чтобы «навести порядок». Это уничтожение доказательств, и именно так это и будет истолковано.
• Звонить получателю и угрожать судебным преследованием, если он прочитал документ. У вас нет никаких оснований, а сотрудничество вы подрываете.
• Забывать о подрядчике. Если отправка шла через поставщика услуг, статья 33.2 обязывает его немедленно вас уведомить — проверьте, что это прописано в договоре.
• Считать, что отсутствие жалобы закрывает вопрос. Реестр всё равно обязателен, а субъект данных может обратиться в CNIL спустя месяцы.

Частые вопросы

Срок в 72 часа отсчитывается от отправки или от обнаружения?

От обнаружения. GDPR говорит «после того, как стало известно». Если факс, ушедший 3-го числа, обнаружен 17-го, отсчёт начинается 17-го — но вам придётся объяснить, почему четырнадцать дней прошли без выявления, а это укажет на дефект контроля.

Нужно ли уведомлять, если получатель уничтожил документ?

Не автоматически. Быстрое, подтверждённое уничтожение установленным получателем, связанным профессиональной тайной, существенно снижает риск. Если данные не относятся к чувствительным или банковским, записи в реестре может быть достаточно. Подробно задокументируйте ход рассуждений: именно он вас защитит.

Факс, полученный по ошибке: есть ли у меня обязанности?

Да, моральные и практические. Не распространяйте документ, не храните его, уничтожьте и сообщите об ошибке отправителю, если его данные указаны на титульном листе. Если документ содержит данные о здоровье, а вы сами медицинский работник, тайна действует автоматически.

Устраняет ли онлайн-факс риск ошибки в номере?

Нет, он его снижает. Неверный номер по-прежнему можно ввести. Но полная история позволяет обнаружить ошибку немедленно, след сохраняется, а документ больше не существует у вас в бумажном виде. Остаточный риск закрывается списком проверенных получателей и двойной валидацией.

Кто должен уведомлять: кабинет или провайдер факса?

Контролёр данных, то есть вы. Провайдер как обработчик обязан немедленно вас проинформировать, чтобы вы могли уведомить регулятора. Проверьте, что в договоре есть такая оговорка и конкретный срок в цифрах.

Кратко

• Факс, ушедший не на тот номер и содержащий персональные данные, — это нарушение безопасности данных в смысле GDPR, независимо от добросовестности получателя.
• Сначала зафиксируйте доказательства: отчёт о передаче, журнал, копию документа, время обнаружения. Ничего не очищайте.
• Реестр нарушений обязателен во всех случаях, уведомление CNIL — только при неисключённом риске, в течение 72 часов с момента, когда вам стало известно.
• Информируйте субъектов данных, когда риск высокий: здоровье, банковские данные, кража личности.
• Получите письменное подтверждение уничтожения от непреднамеренного получателя: это лучший смягчающий фактор.
• Убедительные корректирующие меры — структурные: проверенный список получателей, двойная проверка, нейтральный титульный лист, переход на онлайн-факс, безопасное уничтожение бумаги.