minu äripostkast on häkitud, kas pean sellest teatama

Häkitud e-postkast on tavaliselt andmete kaitse rikkumine, teatamise vajadus sõltub tagajärgedest

Häkitud ärikonto e-postkast on enamasti andmete kaitse rikkumine GDPR-i mõttes: tegemist on andmete seaduseta juurdepääsuga ja selline juurdepääs tekib peaaegu alati, kui välispool asuv isik logib sisse kontole, milles on kliendi- või kontaktandmeid. Seega on selge, et midagi on juhtunud, mis vastab määratlusele mis on andmete kaitse rikkumine täpselt? Kuid see ei ole automaatselt sama mis teatamiskohustus järelevalveasutusele.

Teatamise kohustus järelevalveasutusele sõltub riskist, mida rikkumine toob kaasa nende inimeste jaoks, kelle andmed selles e-postikastis olid — mõelge arvete peale, millel on aadressiandmed, pakkumistele BSN-idega või tundlikku sisu sisaldavale kirjavahetusele. E-postkast, milles on ainult ärilised kontaktandmed kolleegide äridelt, toob kaasa erineva riski kui e-postkast, mis on täis klientide toimikuid või meditsiinilist kirjavahetust. See kaalutlus ja selle juurde kuuluvad sammud on välja töötatud lehel, mis käsitleb millal pean ma andmete kaitse rikkumisest teatama järelevalveasutusele?. Järelevalveasutusele teatamise kõrval tekib ka küsimus, kas isikud, kelle andmeid see puudutab, peaksid millestki teada saama, mis omab eraldi kaalutlusmehhanismi.

Õiguslik alus GDPR-is: rikkumise määratlus ja teatamiskohustus

Alus on GDPR artiklis 4, mis määratleb andmete kaitse rikkumise juurdepääsuna, kaotamisena, muutmisena või andmete hävitamisena, mis ei olnud lubatud — kirjeldus, millele häkitud e-postkast tavaliselt vastab. GDPR artikli 33 seob sellega tingimuse teatamiseks järelevalveasutusele: teatamiskohustus kehtib, kui rikkumine toob kaasa riski andmete subjektide õiguste ja vabaduste jaoks, erandiga juhul, kui selline risk on põhjendatult puudu. EDPB suunised töötavad seda riskimõistet edasi ja Andmete Kaitse Amet pakub oma lehel datalekete kohta praktilisi juhiseid selle kaalutluse jaoks. Mis kõikjal Euroopa Liidus on sama: määratlus ja riskinäitaja määrusest. Mis riigiti erineb, on järelevalveasutus, kuhu teatis jõuab — Hollandis Andmete Kaitse Amet, teistes liikmesriikides selle riigi järelevalveasutus.