10.1. Vrywaring
Ons het alle redelike stappe geneem om die privaatheid van inligting wat deur jou verskaf word te beskerm, maar ons maak geen voorstelle of waarborge dat die inligting wat jy verskaf het, hetsy persoonlike inligting, of andersins, absoluut veilig is nie. Indien ’n oortreding van die vertroulik data plaasvind, sal ons onmiddellik maatreëls tref om dit te stop en die impak daarvan te verminder.
10.2. Wat Is ’N Data-Oortreding?
Ons beskou ’n data-oortreding as een of meer van die volgende:
-
• Verlies of diefstal van vertroulik of sensitiewe data of toerusting waarop sodanige data gestoor word (bv. verlies van skootrekenaar, USB-stokkie, iPad / tablet toestel of papierrekord).
-
• Toerusting diefstal of -mislukking.
-
• Stelsel mislukking.
-
• Ongemagtigde gebruik van; toegang tot of wysiging van data; of inligtingstelsels.
-
• Pogings (mislukte- of suksesvolle-) om ongemagtigde toegang tot inligting of IT-stelsel(s) te verkry.
-
• Ongemagtigde openbaarmaking van sensitiewe / vertroulike data.
-
• Webtuiste afwyking / skending (“defacement”).
-
• Kuberkrakery aanval (“Hacking attack”).
-
• Menslike fout.
-
• “Blagging” oortredings waar inligting verkry word deur die organisasie te bedrieg wat dit besit.
10.3. Ondersoek En Inperking (“Containment”)
As ons enige van die bogenoemde ontdek of in kennis gestel word daarvan:
Sal ons eers bepaal of die oortreding steeds aan die gang is, en indien dit wel is, sal ons dadelik maatreëls neem om dit te stop en die impak daarvan te verminder.
Tweedens sal ons die omvang en ernstigheid van die oortreding ondersoek en die risiko’s wat daarmee gepaard gaan assesseer, byvoorbeeld die potensiële nadelige gevolge vir individue, hoe ernstig of wesenlik dit is en hoe waarskynlik dit sal plaasvind. Hierdie ondersoek sal die volgende oorweeg:
-
• Die tipe data wat betrokke is.
-
• Die sensitiwiteit.
-
• Die beskerming wat in plek is (bv. enkripsies).
-
• Wat het met die data gebeur (bv. is dit verlore of gesteel).
-
• Of die data onwettig of onvanpas gebruik kan word.
-
• Data onderwerp(e) wat geraak word deur die oortreding, aantal individue betrokke en die moontlike uitwerking op daardie persoon/persone.
-
• Of daar breër gevolge vir die oortreding is.
10.4. Kennisgewing
Nadat ons die oortreding ondersoek het, sal ons vasstel of dit nodig is om dit te rapporteer, en indien wel, sal dit binne ’n maksimum van 72 uur gedoen word na bewuswording van die oortreding.
Elke voorval sal beoordeel word op ’n individuele basis. Die volgende sal oorweeg word:
-
• Of die oortreding waarskynlik sal lei tot ’n hoë risiko om individue se regte en vryhede onder die Wet op die Beskerming van Persoonlike Inligting (WBPI) [Protection of Personal Information Act (“POPIA”)] te benadeel.
-
• Of kennisgewing die betrokke individu(e) sal help (bv. kan hulle op die inligting optree om risiko’s te versag?)
-
• Of kennisgewing sal help om die ongemagtigde of onwettige gebruik van persoonlike data te voorkom.
-
• Of daar enige wetlike / kontraktuele kennisgewingvereistes is.
-
• Die gevare van oor-kennisgewing (“over notifying”). Nie elke voorval regverdig kennisgewing nie en oor-kennisgewing kan buitensporige navrae en werk veroorsaak.
Individue wie se persoonlike data deur die voorval geraak is, en waar dit oorweeg is om as ’n moontlike hoë risiko te ontaard waar die individu se regte en vryhede benadeel word, sal sonder onnodige vertraging in kennis gestel word. Kennisgewing sal ’n beskrywing insluit van hoe en wanneer die oortreding plaasgevind het en die data wat betrokke is. Spesifieke en duidelike advies sal gegee word oor wat hulle kan doen om hulself te beskerm en sal stappe insluit rondom wat gedoen kan word om die risiko(’s) te versag. Individue sal ook voorsien word van ’n manier waarop hulle ons kan kontak vir verdere inligting of om vrae te vra oor wat gebeur het.
Ons sal oorweeg om derde partye, soos die polisie, versekeraars, banke of kredietkaartmaatskappye in kennis te stel. Dit sal gepas wees waar onwettige aktiwiteite bekend is; of waar daar vermoed word dat dit plaasgevind het; of waar daar ’n risiko bestaan dat onwettige aktiwiteite in die toekoms mag plaasvind.
Ons sal oorweeg of ons bemarking span ingelig moet word rakende ’n persverklaring en gereed wees om enige inkomende persnavrae te hanteer.
’n Interne rekord sal gehou word van enige persoonlike data-oortreding, ongeag of kennisgewing vereis was.
10.5. Evaluering En Reaksie
Sodra die aanvanklike voorval ingeperk (“contained”) is, sal ons volledig die oorsake van die oortreding en die effektiwiteit van die reaksie(s) hersien en of veranderinge in die stelsels, beleid en prosedures aangebring moet word.
Bestaande beheermaatreëls sal hersien word om hul toereikendheid te bepaal en of daar enige regstellende stappe geneem moet word om die risiko van soortgelyke voorvalle te verminder.
Die hersiening sal oorweeg:
-
• Waar en hoe persoonlike data gehou word en waar en hoe dit gestoor word.
-
• Waar die grootste risiko’s lê, insluitende die identifisering van moontlike swak punte binne bestaande veiligheidsmaatreëls.
-
• Of oordragmetodes veilig is; minimum hoeveelheid data wat nodig is te deel.
-
• Personeelbewustheid.
As dit nodig geag word, sal ’n verslag wat enige veranderinge aan stelsels, beleid en prosedures aanbeveel deur die Afrikaanse Skoolprojekte raad oorweeg word.
