Kas e-kiri valele adressaadile on andmeleke?

Valesti saadetud e-kiri võib olla andmeleke

E-kiri, mis jõuab vale adressaadini, vastab andmelekke määratlusele, nagu seda rakendab GDPR: tegemist on turvalisuse rikkumisega, mis toob kaasa isikuandmete soovimatu tutvumise isikuga, kellel selleks õigust pole. Ükskõik, kas tegemist on CV-ga, arvega, mis sisaldab aadressi, või sisemise memorandumiga, milles on nimed — niipea kui isikuandmed sattuvad vale isiku kätte, on rakendatav määratlus "andmeleke" põhimõtteliselt kehtiv.

Asjaolu, et midagi on andmeleke, ei tähenda automaatselt, et seda tuleb teatada. GDPR artikkel 33 seob teatamiskohustuse järelevalvjale rikkumisest tuleneva riskiga seoses registreeritud isikute õiguste ja vabaduste suhtes: kui tundlikud on andmed, kui palju inimesi on mõjutatud ja kas e-kiri tagastati või jäi avamata. Valesti saadetud e-kiri, mis sisaldab ainult nime ja aega, on erinev e-kirjast, mis sisaldab rahalisi andmeid või tervisenõuandeid saadetuna suurele grupile valetest adressaatidest. Seda hindamist teeb organisatsioon, kes vea tegi, ja otsustab ka ise, kas teatas.

See tuleneb GDPR artiklist 33

Isikuandmete turvalisuse rikkumise määratlus ja seos 72 tunni jooksul toimuva teatamiskohustusega on sätestatud GDPR artiklis 33; Andmekaitse Inspektsioon selgitab oma lehel andmelekete teatamise kohta, kuidas seda riski hindamist praktikas teostatakse. GDPR kehtib määrusena otse igasse liikmesriiki, seega see tuum on kõikjal sama — erinevus on selles, kuhu teatada. Hollandis on see Andmekaitse Inspektsioon kui ainus riiklik järelevalvija. Saksamaal on see teisiti: seal teatab organisatsioon osariigi järelevalvijale, kus asutis asub, ja seal on kuusteist osariigi järelevalvijat föderaalse BfDI kõrval.