Onko tämä tietovuoto, ja pitääkö minun ilmoittaa siitä?

Yrittäjänä vastaat asiakkaidesi ja työntekijöidesi henkilötiedoista. Tietosuoja-asetuksessa sinua kutsutaan silloin rekisterinpitäjäksi. Tästä luet, milloin kyse on tietoturvaloukkauksesta, milloin siitä pitää ilmoittaa ja mitä teet heti. Tämä on yleinen selitys eikä oikeudellinen neuvo. Jos olet epävarma, katso Alankomaiden tietosuojaviranomaisen Autoriteit Persoonsgegevensin (AP) verkkosivuja tai kysy juristilta.

Mikä on tietoturvaloukkaus?

EU:n tietosuoja-asetuksen mukaan se on tietoturvan loukkaus, jonka seurauksena henkilötietoja katoaa, tuhoutuu tai muuttuu tai ne päätyvät jollekulle, jolla ei ole niihin oikeutta (4 artiklan 12 kohta). Henkilötiedot ovat tunnistettavaa henkilöä koskevia tietoja, kuten nimi, sähköpostiosoite, osoite tai tilaushistoria. Kyse ei siis ole pelkästään hakkereista. Esimerkkejä:

• henkilötietoja sisältävä sähköposti tai liite, joka lähtee väärälle vastaanottajalle;
• kadonnut tai varastettu kannettava tietokone, puhelin tai USB-tikku, jolla on salaamattomia henkilötietoja;
• murrettu sähköpostilaatikko, jossa on laskuja, tarjouksia tai työhakemuksia;
• verkkosivusto tai verkkokauppa, josta on varastettu asiakastietoja;
• kiristyshaittaohjelma, jonka takia et pääse enää asiakasrekisteriisi, vaikka mitään ei olisi kopioitu.

Ensimmäiset toimet

1. Tuki vuoto. Pyydä väärää vastaanottajaa poistamaan viesti ja vahvistamaan poisto. Vaihda kaapatun sähköpostilaatikon salasana laitteelta, johon luotat (katso Turvalliset salasanat ja mitä teet, kun salasana on vuotanut).
2. Selvitä, mitä tapahtui. Mikä on syy, milloin se alkoi, mistä tiedoista on kyse, kuinka monen ihmisen tiedoista, kuka pääsee niihin käsiksi ja olivatko tiedot salattuja? Kirjaa kaikki ylös päivämäärän ja kellonajan kanssa.
3. Arvioi riski niille ihmisille, joiden tiedoista on kyse (katso alla).
4. Ilmoita AP:lle, jos se on tarpeen, 72 tunnin kuluessa.
5. Tiedota rekisteröidyille, jos heihin kohdistuva riski on suuri.
6. Kirjaa loukkaus tietoturvaloukkausrekisteriisi. Sen teet aina.

Pitääkö minun ilmoittaa Autoriteit Persoonsgegevensille?

Ilmoitat tietoturvaloukkauksesta ilman aiheetonta viivytystä ja mahdollisuuksien mukaan 72 tunnin kuluessa siitä, kun olet havainnut sen. Ilmoitusta ei tarvita, jos loukkauksesta ei todennäköisesti aiheudu riskiä niille ihmisille, joiden tiedoista on kyse (tietosuoja-asetuksen 33 artikla).

• Aika alkaa kulua siitä, kun saat tiedon, ei siitä, kun vuoto tapahtui. Viikonloppu lasketaan mukaan: jos havaitset loukkauksen perjantaina klo 16:40, ilmoitat viimeistään maanantaina klo 16:40.
• Puutteellinen ilmoitus on sallittu. Jos et tiedä kaikkea vielä 72 tunnin jälkeen, ilmoita se, mitä tiedät, ja täydennä ilmoitusta myöhemmin.
• Vain verkossa. Ilmoitat AP:n ilmoituslomakkeella, et puhelimitse, sähköpostilla tai postitse. AP:n kysymyslistan avulla valmistelet ilmoituksen.
• Oletko epävarma? AP suosittelee silloin, että ilmoitat kuitenkin.

Nämä kysymykset auttavat arvioinnissa:

Esimerkki: jos hyvin salattu kannettava tietokone varastetaan, riskiä ei todennäköisesti ole. Ilmoitusta ei silloin tarvita, mutta kirjaat tapauksen rekisteriisi. Salaamattomalta kannettavalta löytäjä voi lukea kaiken, ja silloin riski on yleensä olemassa.

Milloin tiedotat rekisteröidyille?

Jos vuodosta todennäköisesti aiheutuu suuri riski niille ihmisille, joiden tiedoista on kyse, tiedotat heille viipymättä (tietosuoja-asetuksen 34 artikla). Kerro selkeällä kielellä, mitä tapahtui, mitä seurauksia sillä voi olla, mitä sinä teet ja mitä he voivat itse tehdä, kuten vaihtaa salasanan tai varoa erityisesti sinun nimissäsi lähetettyjä tietojenkalasteluviestejä.

Tiedottaminen ei ole tarpeen, jos tiedot olivat hyvän salauksen ansiosta lukukelvottomia tai jos olet sen jälkeen toteuttanut toimenpiteitä, joiden ansiosta suuri riski ei ole enää todennäköinen. Jos kaikkien tavoittaminen vaatisi kohtuuttomasti vaivaa, julkaiset sen sijaan julkisen tiedotteen.

Tietoturvaloukkausrekisteri: pidä sitä aina

Kirjaat jokaisen tietoturvaloukkauksen, myös silloin, kun et ilmoita siitä (33 artiklan 5 kohta). Kirjaa tosiasiat, seuraukset, toimenpiteet ja arviosi: miksi ilmoitit tai jätit ilmoittamatta ja miksi tiedotit tai jätit tiedottamatta rekisteröidyille. AP:lla on malli tietoturvaloukkausrekisteristä.

Entä jos vuoto on toimittajalla?

Hosting-yrityksesi, pilvessä toimiva kirjanpito-ohjelmasi tai uutiskirjepalvelusi on tietosuoja-asetuksen mukaan henkilötietojen käsittelijä: taho, joka käsittelee henkilötietoja sinun toimeksiannostasi. Käsittelijän on ilmoitettava sinulle ilman aiheetonta viivytystä, jos se havaitsee tietoturvaloukkauksen (33 artiklan 2 kohta). Sen jälkeen sinä arvioit, pitääkö loukkauksesta ilmoittaa, ja lähtökohtaisesti ilmoitat myös itse.

Tämä pätee myös silloin, kun WebOké on henkilötietojesi käsittelijä. Asiaa koskevat sopimusehdot ovat henkilötietojen käsittelysopimuksessamme, katso Henkilötietojen käsittelysopimus: mistä löydän sen? Epäiletkö, että vuoto on meillä, esimerkiksi palvelimillamme? Ota silloin heti yhteyttä meihin tiketillä Tukikeskuksessa ja kerro, mitä olet havainnut ja milloin.

Lue lisää

• WebOké Backups: varmuuskopion tarkastelu, palautus tai lataus
• Autoriteit Persoonsgegevens: ilmoittaako vai ei
• Autoriteit Persoonsgegevens: näin ilmoitat tietoturvaloukkauksesta
• Autoriteit Persoonsgegevens: ilmoituslomakkeen kysymyslista
• Autoriteit Persoonsgegevens: malli tietoturvaloukkausrekisteristä
• Tietosuoja-asetus, 4, 33 ja 34 artikla (EUR-Lex)

Haluatko oppia lisää? Käy maksuton kurssi Turvallisesti verkossa yrittäjille, oppitunti 8.2 Tietoturvaloukkaukset ja ilmoitusvelvollisuus.