Onko tämä tietovuoto ja täytyykö minun ilmoittaa siitä?
Yrittäjänä olet vastuussa asiakkaidesi ja työntekijöidesi henkilötiedoista. Tietosuoja-asetuksessa (GDPR) sinua kutsutaan silloin rekisterinpitäjäksi. Tässä luet, milloin kyseessä on tietoturvaloukkaus, milloin sinun on ilmoitettava siitä ja mitä teet heti. Tämä on yleistä tietoa eikä oikeudellista neuvontaa; jos olet epävarma, katso Alankomaiden tietosuojaviranomaisen Autoriteit Persoonsgegevens (AP) verkkosivuilta tai kysy juristilta.
Mikä on tietoturvaloukkaus?
Tietosuoja-asetuksen (GDPR), Euroopan tietosuojalain, mukaan kyseessä on tietoturvaloukkaus, kun tietoturvan vaarantuminen johtaa henkilötietojen katoamiseen, tuhoutumiseen tai muuttumiseen, tai niiden päätymiseen jonkun käsiin, jolla ei ole niihin oikeutta (4 artiklan 12 kohta). Henkilötiedoilla tarkoitetaan tietoja tunnistettavasta henkilöstä, kuten nimeä, sähköpostiosoitetta, osoitetta tai tilaushistoriaa. Kyse ei siis ole vain hakkereista. Esimerkkejä:
- sähköposti tai liite, jossa on henkilötietoja ja joka lähtee väärälle vastaanottajalle;
- kadonnut tai varastettu kannettava tietokone, puhelin tai usb-tikku, jolla on salaamattomia henkilötietoja;
- hakkeroitu sähköpostilaatikko, jossa on laskuja, tarjouksia tai työhakemuksia;
- verkkosivusto tai verkkokauppa, josta asiakastietoja on varastettu;
- kiristysohjelma, jonka vuoksi et pääse enää asiakasrekisteriisi, vaikka mitään ei olisi kopioitu.
Ensimmäiset askeleet
- Pysäytä vuoto. Pyydä väärää vastaanottajaa poistamaan viesti ja vahvistamaan se sinulle. Vaihda kaapatun sähköpostilaatikon salasana laitteella, johon luotat (katso Turvalliset salasanat ja mitä teet, jos salasanasi vuotaa).
- Selvitä, mitä tapahtui. Mikä on syy, milloin se alkoi, mitä tietoja on kyse, kuinka monen henkilön tiedoista on kyse, kenellä on pääsy niihin ja olivatko tiedot salattuja? Kirjaa kaikki ylös päivämäärineen ja kellonaikoineen.
- Arvioi riski niiden henkilöiden kannalta, joiden tiedoista on kyse (katso alla).
- Ilmoita asiasta AP:lle tarvittaessa 72 tunnin kuluessa.
- Ilmoita asianosaisille, jos riski heille on suuri.
- Kirjaa se tietoturvaloukkausrekisteriisi. Tämä tehdään aina.
Täytyykö minun ilmoittaa Autoriteit Persoonsgegevensille?
Ilmoita tietoturvaloukkauksesta ilman aiheetonta viivytystä ja mahdollisuuksien mukaan 72 tunnin kuluessa siitä, kun huomasit sen. Ilmoitusta ei tarvita, jos loukkauksesta ei todennäköisesti aiheudu riskiä niiden henkilöiden kannalta, joiden tiedoista on kyse (tietosuoja-asetuksen 33 artikla).
- Kello alkaa käydä siitä, kun saat tietää asiasta, ei siitä, kun vuoto tapahtui. Viikonloppu lasketaan mukaan: jos huomaat sen perjantaina kello 16.40, ilmoita viimeistään maanantaina kello 16.40.
- Puutteellinen ilmoitus on sallittu. Jos et 72 tunnin jälkeen vielä tiedä kaikkea, ilmoita sillä tiedolla, mitä sinulla on, ja täydennä ilmoitusta myöhemmin.
- Vain verkossa. Ilmoitus tehdään AP:n ilmoituslomakkeella, ei puhelimitse, sähköpostitse tai postitse. AP:n kyselylomakkeen avulla valmistelet ilmoituksen.
- Oletko epävarma? AP suosittelee ilmoittamaan joka tapauksessa.
Nämä kysymykset auttavat arvioinnissa:
| Kysymys | Pienempi riski | Suurempi riski |
|---|---|---|
| Mitä tietoja? | Vain yritysten yhteystiedot | Henkilötunnus (BSN), kopio henkilöllisyystodistuksesta, pankkitiedot, salasanat, terveystiedot, lasten tiedot |
| Kuinka monta henkilöä? | Yksi tai muutama | Paljon |
| Luettavissa sille, jolla tiedot on? | Hyvin salattu, avain ei ole vuotanut | Luettavissa, tai salasana on vuotanut myös |
| Kenellä tiedot ovat? | Tunnettu vastaanottaja, joka vahvistaa poistaneensa tiedot | Tuntematon henkilö, rikollinen tai julkisesti internetissä |
Esimerkki: jos hyvin salattu kannettava tietokone varastetaan, riskiä ei todennäköisesti ole. Ilmoitusta ei silloin tarvita, mutta kirjaat tapauksen rekisteriisi. Salaamattomalla kannettavalla löytäjä voi lukea kaiken; silloin riski on yleensä olemassa.
Milloin ilmoitat asianosaisille?
Jos loukkaus todennäköisesti aiheuttaa suuren riskin niiden henkilöiden kannalta, joiden tiedoista on kyse, ilmoitat heille asiasta viipymättä (tietosuoja-asetuksen 34 artikla). Kerro selkeällä kielellä, mitä tapahtui, mitä seurauksia voi olla, mitä sinä teet ja mitä he itse voivat tehdä, kuten vaihtaa salasanan tai varoa erityisesti nimissäsi lähetettyä phishing-viestintää.
Tätä ei tarvita, jos tiedot olivat hyvän salauksen ansiosta lukukelvottomia, tai jos olet sen jälkeen ryhtynyt toimiin, joiden ansiosta suuri riski ei ole enää todennäköinen. Jos kaikkien tavoittaminen vaatisi kohtuuttoman paljon vaivaa, teet julkisen tiedotteen.
Tietoturvaloukkausrekisteri: pidä aina ajan tasalla
Kirjaa jokainen tietoturvaloukkaus, myös silloin kun et ilmoita siitä (33 artiklan 5 kohta). Merkitse ylös tosiasiat, seuraukset, toimenpiteet ja oma harkintasi: miksi ilmoitit tai et ilmoittanut ja miksi ilmoitit tai et ilmoittanut asianosaisille. AP:lla on esimerkki tietoturvaloukkausrekisteristä.
Entä jos loukkaus tapahtuu toimittajan luona?
Hosting-yrityksesi, pilvipalveluna toimiva kirjanpito-ohjelmasi tai uutiskirjepalvelusi on tietosuoja-asetuksen mukaan henkilötietojen käsittelijä: osapuoli, joka käsittelee henkilötietoja sinun toimeksiannostasi. Käsittelijän on ilmoitettava sinulle ilman aiheetonta viivytystä, jos se havaitsee tietoturvaloukkauksen (33 artiklan 2 kohta). Sen jälkeen arvioit itse, täytyykö sinun ilmoittaa asiasta, ja periaatteessa teet ilmoituksen myös itse.
Tämä pätee myös, jos WebOké on käsittelijäsi. Epäiletkö, että loukkaus on tapahtunut meillä, esimerkiksi palvelimillamme? Ota silloin heti yhteyttä meihin tukikeskuksen tiketillä ja kerro, mitä olet havainnut ja milloin.
Lue lisää
- WebOké Backups: varmuuskopion tarkasteleminen, palauttaminen tai lataaminen
- Autoriteit Persoonsgegevens: ilmoitetaanko vai ei
- Autoriteit Persoonsgegevens: miten ilmoitat tietoturvaloukkauksesta
- Autoriteit Persoonsgegevens: ilmoituslomakkeen kyselylomake
- Autoriteit Persoonsgegevens: esimerkki tietoturvaloukkausrekisteristä
- Tietosuoja-asetus, 4, 33 ja 34 artikla (EUR-Lex)