oleme ransomware'i ohvrid, kas see on automaatselt andmete rikkumine

Võletsus on tavaliselt andmeterisk, kuid mitte automaatselt

Võletuse rünnak on tavaliselt andmeterisk AVG tähenduses, kuid seos "võletuse rünnaku suhtes tabatud" ja "seega teatamine" ei toimu automaatselt. AVG artikkel 4 määratleb rikkumise kui mis tahes isikuandmete hävitamise, kaotuse, muutmise või volitamata avalikustamise. Võletuse korral krüptitakse failid või muudetakse need kättesaamatuks, mis kuulub "kättesaadavuse kaotuse" alla — isegi kui andmeid pole vaadatud ega kopeeritud. Sellega on rikkumise definitsioon tavaliselt täidetud, mis küll erineb küsimusest mis on andmete rikkus täpsemalt tähendab teatamiskohustust konkreetsel juhul.

Kas need krüptitud failid sisaldasid isikuandmeid ja kas tegelik risk nendele inimestele, kelle andmete kohta on tegemist, kestab eraldi küsimusena. Võletuse rünnak serverile ilma isikuandmeteta ei ole AVG mõttes andmeterisk. Rünnak, milles andmed küll kahjustati, kuid on olemas hästi toimiv varukoopia ja kiire taastamine on võimalik, võib anda väiksema riski kui rünnak, milles andmed on ka välja viidud (kahekordne väljapressimine). See riskihinnang määrab järgmisena millal andmete rikkumine tuleb teatada Andmekaitse Inspektsioonile, ja kas ka kannatanud isikud peavad millestki kuulma.

Millel see põhineb

AVG artikli 4 rikkumise määratlus on lähtepunkt; AVG artikkel 33 reguleerib teatamist järelevalve asutusele niipea, kui tekib rikkumine, ja AVG artikkel 32 puudutab küsimust, kas turvameetmed olid enne rünnakut korras. EDPB-juhised töötavad väljendite näidetega välja võletusega, sealhulgas erinevus krüptimise ja eksfiltratsioonita ning rünnakute vahel, milles andmed on ka varastatud. Rikkumise hindamise ja võimaliku teatamise kohustus kehtib kogu ELis samamoodi, kuna AVG toimib otseselt; milline järelevalve asutus teatamise saab, erineb liikmesriigiti — Hollandis on see Autoriteit Persoonsgegevens, teistes riikides selle liikmesriigi järelevalve asutus. Kui IT-pakkuja või majutuspartner on võletusega tabatud, tekib lisaks küsimus kas pakkuja teatamine tekitab ka enda teatamiskohustuse.