Millal peaksin andmelekkest teatama Isikuandmete Kaitse Inspektsioonile?

Teatamine on põhireegel, välja arvatud juhul, kui risk on ebatõenäoline

Andmebaaside rikkumise teatate järelevalvajale niipea, kui on tõenäoline, et rike põhjustab riski isikute õiguste ja vabaduste suhtes, kelle andmeid on rike puudutanud. See on artikli 33 ÜDDPA tuum: teatamine on lähtepunkt ja ainult siis, kui on põhjendatud uskuda, et riski ei teki, jääb see teatamine ära. Praktikas tähendab see, et enamik isikuandmete rikkeid — valesti saadetud e-kiri kliendi andmetega, varastatud sülearvuti, häkitud andmebaas — kuuluvad teatamiskohustuse alla, samas kui rike, mis selgelt keegi ei saa saavutada (näiteks sellepärast, et andmed olid krüpteeritud ja võti ei ole paljastatud), võib sellest väljajääda.

Selle hinnangu jaoks vaatate, mis täpselt juhtus, millised andmed on kaasatud ja kes võib sellest mõjutatud olla. Eriandmed, finantsandmed või laste andmed loetakse raskeminimuks kui eraldi e-posti aadress. Artikli 33 ÜDDPA 72-tunnine kell hakkab käima sellest hetkest, mil teete endiselt rikke teadlikuks, mitte sellest hetkest, mil see tekkis — nende kahe vahel on vahel nädalaid vahet. Otsustuspuu, mis seda kaalumist samm-sammult läbi käib, ei ole kunagi asendus teie isiklikule hinnangule konkreetse rikkumise kohta, kuid aitab küsimust "teatamiskohustuslik või ei" struktureeritult käsitleda.

Kust see artiklist 33 ÜDDPA ja EDPB suunistest tuleneb

Teatamiskohustus ise on sätestatud artiklis 33 ÜDDPA; mõistete nagu "risk" ja "viivitamata" täitmine tuleneb EDPB suunistest andmebaaside rikkumiste teatamise kohta, ja Andmekaitse Inspektor selgitab seda Hollandi praktikas. ÜDDPA kehtib otseselt igas liikmesriigis, kuid see, kellele teatate, on erinev: Hollandis on see Andmekaitse Inspektori teatamiskeskus, ainus järelevalvaja kogu riigi jaoks. Saksamaal teatate selle liidumaa järelevalvajale, kus asutus asub, kuna seal on kuusteist liidumaa järelevalvajat föderaalse järelevalvaja kõrval.