Põhiaspekt: teatamiskohustus ise ei muutu
Andmelekete teatamiskohustus on sätestatud AVG-s endas, kusjuures teatamiseks on teada olevaperiood 72 tundi pärast avastamist Andmekaitseinspektsioonile, samuti eraldi hindamine, kas ka andmesubjektid ise tuleb teavitada. See tekst kuulub Euroopa määruse koosseisu ja ei muutu igal aastal. Kuivõrd praegu teada on, sel aastal määrust ei muudeta nii, et see puudutaks teatamiskohustust või tähtaega. Muutuv on aga selle juures olevate seletused: kuidas EDPB ja Andmekaitseinspektsioon seaduses sisalduvaid vabakuju norme täidavad, ja kuidas muud seadusandlus AVG kõrvale paigutub. Väikeettevõtete ja keskmise suurusega ettevõtete jaoks on see sageli seadustekstist olulisem, sest just need seletused määravad, millal õnnetust peetakse teatamiskohustuslikuks.
See pole seega uue kuupäeva või uue artikli number, mida meeles pidada, vaid kolm nihet, mis praktikat puudutavad: rangemad juhised selle kohta, mis loetakse andmelekeks, rohkem kattuvust sektoriaalse seadusandlusega nagu NIS2, ja muutunud reaalsus, sest õnnetused tekivad üha harvemini ettevõttes endas ja sagedamini SaaS-pakkuja juures.
Juhised, mis piiride liikumist tingivad
AVG ise kirjeldab andmeleket üldistes terminites: turvalisuse rikkumine, mis toob kaasa isikuandmete hävitamise, kadumise, muutmise või loataoleva avalikustamise. Mida konkreetselt selleks loetakse, täidavad iga aasta jooksul EDPB juhendid ja Andmekaitseinspektsiooni enda seletus. Nii on viimastel aastatel tehtud selgemaks piiritapaukuste käsitlus: valesti saadetud e-kiri manusega, töötaja, kes logib sisse valesse kontole, või varukoopia, mis pole ajutiselt kättesaadav. Selliseid olukordi peeti varem tihtipeale siseseks küsimuseks; juhendites tuginevad seisukoht on see, et ka töötaja pahatahtliku tegevuseta võib olla tegemist teatamiskohustuslikku õnnetusega. Direktori või kontorimanageri jaoks tähendab see, et hindamine on harvem vahetu tunnetusel põhinev ja sagedamini fikseeritud sammude plaani järgi. Kes kahtleb, kas mingi konkreetne juhtum teatamiskohustuse alla kuulub, saab seda mõne küsimuse kaudu teada gdpria.eu otsustuspuust, mõne küsimuse kaudu näha, kas midagi on teatamiskohustuslik andmeleke.
Kattuvus muu seadusandlusega
Teine nihe asub mitte AVG-s endas, vaid seadusandluses, mis sellega kõrvuti asub. Organisatsioonide puhul, kes on osa sektoritest, mis käivad seadusandluse nagu NIS2 alla, või kes pakuvad teenuseid sellistele organisatsioonidele, võib turvaõnnetus kuuluda samaaegselt kahe teatamiskohustuse alla: AVG isikuandmete osas ja sektoriaalse teatamiskohustuse alla teenuste pakkumise enese osas. See ei puuduta kõiki väikeettevõtteid, kuid puudutab paigaldusettevõtteid, IT-teenuse pakkujaid ja teisi osapooli, kes töötavad suurema, reguleeritud organisatsiooni tarnijatena. Selle grupi jaoks on mõistlik kontrollida, kas klient või tellija on lepingusse andnud täiendavad teatamise kokkuleppeid, lisaks sellele, mis on juba töötlemise lepingus. Kes tahab kontrollida, mis täpselt sellises lepingus on kirjas teatamistähtaegade ja vastutuse kohta, leiab taustainfot teemakaupa selgitavast teadmusbaasist.
Praktika nihkub SaaS-pakkuja juurde
Kolmas muutus on vähem regulatsiooni küsimus ja enam faktilise arengu küsimus: kasvav osa intsidentidest, millega Hollandi ettevõtted kokku puutuvad, ei teki nende endi juures, vaid tarkvara tarnija juures, keda nad raamatupidamiseks, personaliosakonnaks või kliendisuhete haldamiseks kasutavad. Vastutus selleks, et hinnata, kas see tekitab meldamiskohustusliku andmeleki, jääb aga ettevõttele, kes andmeid töödelda laseb, mitte automaatselt tarnjale. Tarnjaja, kes ise intsidendi teatab, ei vabasta tellijat enda hinnangust. See teeb veel tähtsustamiseks paika panna eelnevalt, kuidas ja millal tarnjaja intsidendi teatab, ning see kokkulepe ka leida oma kasutatud tööriistade ülevaates. Ettevõtted, kellel selline ülevaade veel täielik pole, saavad seda ehitada abiga selgitus selle kohta, kuidas süsteem täidetakse teadaolevate tööriistade kaudu.
Mida see teie jaoks tähendab
Enamiku väike- ja keskmise suurusega ettevõtete jaoks ei muutu sel aastal miski seadusandlikus tähtajasees. Mida seevastu mõistlik on: perioodiliselt kontrollida oma intsidentidega käitumise viisi viimaste juhiste alusel, vaadata, kas tellija esitab täiendavaid teatamisafu, ja tarnjatega selgelt kokku leppida, kes intsidenti esimesena hindab. Ükski neist punktidest ei nõua õigusteaduslikku uuringut, küll aga korrapärast hetke, et selle poole vaadata.
Soovite kiiresti näha, kuidas teie ettevõte selles küsimuses seisab? gdpria.eu tasuta kiirülevaate küsimused annavad esimese näituse, ja korduma kippuvad küsimused andmelekete ja teatamiskohustuse kohta leiate lühemad vastused seotud küsimustele.