Documents › Board of Trustees Organizational Meeting, 2025-12-02

document 3 pages

Also attached to this agenda item: Debt Policy 2025 December 1st Resolution 274-2025 Adoption of Board Policies Fund Balance Policy 2025 Investment Policy 2025 Procurement Policy 2025 Updated Sexual Harassment Prevention and Unlawful... Workplace Violence Prevention Policy

Page | 1     Village of Croton‐on‐Hudson  Computer System Security Breach Notification Policy    1. PURPOSE: This Computer System Security Breach Notification Policy is intended to alert  individuals to any potential identity theft as quickly as possible so that they may take  appropriate steps to protect themselves from and remedy any impacts of the potential identity  theft or security breach. This Policy is consistent with and adopted pursuant to New York State  Technology Law Section 208.  2. DEFINITIONS: The following terms have the following meanings:  a. Breach of System: The unauthorized acquisition of computerized data which  compromises the security, confidentiality or integrity of personal information  maintained by the Village. Good faith acquisition of personal information by an  employee or agent of the Village for the purposes of the Village is not a breach of the  security of the system, provided that the private information is not improperly used or  subject to unauthorized disclosure.  In determining whether information has been acquired, or is reasonably believed to  have been acquired, by an unauthorized person, the Village may consider the following  factors:  i. Indications that the information is in the physical possession and control of an  unauthorized person, such as a lost or stolen computer or other device  containing information; or  ii. Indication that the information has been downloaded or copied; or  iii. Indications that the information was used by an unauthorized person, such as  fraudulent accounts opened or instances of identity theft reported.  b. Consumer Reporting Agency: Any person or entity which, for monetary fees, dues or on  a cooperative nonprofit basis, regularly engages in whole or in part in the practice of  assembling or evaluating consumer credit information or other information on  consumers for the purpose of furnishing consumer reports to third parties, and which  uses any means or facility of interstate commerce for the purpose of preparing or  furnishing consumer reports. A list of consumer reporting agencies may be obtained  upon request to the State Attorney General.  c. Department: Any board, committee, commission, council, department, office or other  governmental entity performing a governmental or propriety function for the Village.  d. Personal Information: Any information concerning a natural person which, because of  name, number, personal mark, or other identifier, can be used to identify that person.  e. Private Information: Personal information in combination with any one or more of the  following data elements, when either the personal information or the data element is  not encrypted, or encrypted with an encryption key that has also been acquired:  i. Social security number;  ii. Driver’s license number or non‐driver’s identification card number;  iii. Account number or credit/debit card number, in combination with any required  security code, access code or password, which would permit access to an  individual’s financial account;  iv. Private information does not include publicly available information that is  lawfully made available to the general public from Village records.  f. Village: The Village of Croton‐on‐Hudson, County of Westchester, State of New York.  Page | 2     3. DISCLOSURE OF BREACH TO AFFECTED PERSONS: Any Village Department that owns or licenses  computerized data that includes private information must disclose any breach of the security of  the system following discovery or notification of the breach to any resident of New York State  whose private information was, or is reasonably believed to have been, acquired by an  unauthorized person. The disclosure must be made in the most expedient time possible and  without unreasonable delay, consistent with the legitimate needs of law enforcement, as  provided in paragraph 5 below, or any measures necessary to determine the scope of the  breach and restore the reasonable integrity of the data system. The Village shall consult with the  State Office of Information Technology Services to determine the scope of the breach and  restoration measures.  4. DISCLOSURE OF BREACH TO OWNER OR LICENSEE: If the Village maintains computerized data  that includes private information which the Village does not own, the Village must notify the  owner or licensee of the information of any breach of the security of the system immediately  following discovery, if the private information was, or is reasonably believed to have been,  acquired by an unauthorized person.  5. PERMITTED DELAY: Notification pursuant to this Policy made be delayed if a law enforcement  agency determines that notification could impede a criminal investigation. The notification must  be made after the law enforcement agency determines that notification would not compromise  any criminal investigation.  6. METHOD OF NOTIFICATION: The required notice must be directly provided to the affected  individuals by one of the following methods:  a. Written notice;  b. Electronic notice, provided that the person to whom notice is required to be provided  has expressly consented to receiving notice in electronic form and a log of each such  electronic notification is kept by the Village; and provided further that no person or  business may require a person to consent to accepting notice in electronic form as a  condition of establishing any business relationship or engaging in any transaction;  c. Telephone notification, provided that a log of each such telephone notification is kept;  or  d. Substitute notice, provided that the Village demonstrates to the State Attorney General  that the cost of providing notice would exceed $250,000, or that the number of  individuals to be notified exceeds 500,000, or the Village does not have sufficient  contact information. Substitute notice must include all of the following:  i. Email notice, if the Village has an e‐mail address for the subject person(s);  ii. Conspicuous posting of the notice on the Village’s website;  iii. Notification to major statewide media.  7. INFORMATION REQUIRED: Regardless of the method by which notice is provided, the notice  must include contact information for the Village and a description of the categories of  information that were, or are reasonably believed to have been, acquired by the unauthorized  person, including specification of which of the elements of personal information and private  information were, or are reasonably believed to have been, acquired.  8. NOTIFICATION OF AGENCIES: Whenever any New York State residents are to be notified  pursuant to this Policy, the Village must notify the State Attorney General, the Department of  State, and the State Office of Information Technology Services as to the timing, content and  distribution of the notices and the approximate number of affected individuals. Such notice  must be made without delaying notice to the affected individuals.  a. Whenever more than 5,000 New York State residents are to be notified at one time, the  Village must also notify consumer reporting agencies as to the timing, content and  Page | 3     distribution of the notices and the approximate number of affected individuals. Such  notice must be made without delaying notice to the affected individuals.