Pitääkö minun ilmoittaa rekisteröidyille tietomurrosta?

Korkean riskin tapauksessa velvollisuus koskee rekisteröityjä

Kyllä, jos tietomurto aiheuttaa todennäköisesti korkean riskin henkilötietojen suojan piiriin kuuluvien henkilöiden oikeuksille ja vapauksille, velvollisuus tiedottaa rekisteröityjä on voimassa. Tämä on erillinen velvollisuus ilmoituksesta valvontaviranomaiselle, joka on tehtävä 72 tunnin kuluessa jo pienemmän kynnyksen täyttyessä — pelkän riskin — perusteella. Kun tiedotetaan rekisteröityä, kynnys on korkeampi: kyse on tilanteista, joissa voi ilman toimenpiteitä aiheutua vakavaa vahinkoa, kuten henkilöllisyyden väärinkäyttöä, taloudellista vahinkoa tai maineen vaurioitumista. Rekisteröity saa selkeällä ja yksinkertaisella kielellä tiedon siitä, mitä on tapahtunut, mitkä ovat odotettavissa olevat seuraukset, mihin voi ottaa yhteyttä lisätiedoille, ja mitkä toimenpiteet on otettu tai otetaan vahingon rajoittamiseksi.

Poikkeuksia, joissa tämä yksittäisen rekisteröidyn ilmoitusvelvollisuus raukeaa. Näin on silloin, kun asianmukaiset turvatoimet — kuten salaus — tekivät tiedot käsittämättömiksi niille, joilla ei ollut oikeutta niihin tutustua, kun myöhemmin tehdyt toimenpiteet johtavat siihen, että korkean riskin tilanne ei todennäköisesti enää toteudu, tai kun yksittäisiin rekisteröityihin saattaminen vaatisi suhteettoman suuren ponnistuksen. Viimeksi mainitun tapauksessa yksittäisen yhteydenoton sijasta voidaan käyttää julkista ilmoitusta tai vastaavan vaikuttavan toimenpiteen.

Perusta: GDPR:n 34. artikla, 33. artiklan ohella

Velvollisuus johtuu GDPR:n 34. artiklasta, joka sääntelee yksittäisen ilmoitusvelvollisuuden 33. artiklan — ilmoituksesta valvontaviranomaiselle — ohella: kaksi erillistä velvollisuutta, joilla kummallakin on oma kynnysnsä. Mitä tietomurto tarkalleen ottaen tarkoittaa ja kuinka riskinarviointi tehdään, on selvitetty Autoriteit Persoonsgegevens -viranomaisen tietomurtojen sivulla. Velvollisuus 34. artiklasta on sama kaikkialla EU:ssa, koska GDPR on suoraan sovellettava; vain ilmoituskanava valvontaviranomaiselle vaihtelee maittain — Suomessa Tietosuojavaltuutetun toimistolle, Saksassa kyseisen osavaltionvaltion valvontaviranomaiselle, jossa toiminta sijaitsee.