toimittajani ilmoittaa tietoturvaloukkauksesta, pitääkö minun ilmoittaa siitä itse

Toimittajasi tietomurto voi vaikuttaa myös omaan ilmoitusvelvollisuuteesi

Kyllä, se voi. Vaikka toimittaja olisikin jo ilmoittanut murron itse. Toimittaja, joka käsittelee asiakastietojasi puolestasi — kirjanpitojärjestelmä, sähköpostityökalu, hosting-palvelu — on GDPR:n terminologiassa yleensä jäljempänä määritelty käsittelijä, ja sinä jäät silloin itse henkilötietojen käsittelyyn vastuulliseksi osapuoleksi. Ilmoitusvelvollisuus valvontaviranomaisen ja rekisteröityjen osapuolten osalta kuuluu henkilötietojen käsittelyyn vastuulliselle osapuolelle, ei käsittelijälle. Toimittaja, joka ilmoittaa siitä omalle valvontaviranomaiselleen, ei siis automaattisesti täytä omaa velvollisuuttasi.

Mitä toimittajan on käsittelysopimuksen mukaan tehtävä, on ilmoittaa murto sinulle ilman turhaa viivytystä heti kun siitä saa tiedon. Siitä hetkestä alkaa sinulle arviointi siitä, onko kyseessä seuraavassa määritelty tietomurto mikä tarkalleen ottaen on tietorikkaus?, ja onko se ilmoitettava Tietosuojaviranomaiselle ja mahdollisesti rekisteröidyille henkilöille. Sillä, että toimittaja on ilmoittanut asiasta omalle valvontaviranomaiselleen — joskus toisessa maassa — ei ole vaikutusta omaan arviointiisi, jonka teet henkilötietojen käsittelyyn vastuullisena osapuolena.

Missä se perustuu GDPR:n artikloihin 28 ja 33

GDPR:n 28 artikla sääntelee henkilötietojen käsittelyyn vastuullisen osapuolen ja käsittelijän välistä suhdetta, ja niihin liittyvä käsittelysopimus määrittelee, että käsittelijä ilmoittaa murron henkilötietojen käsittelyyn vastuulliselle osapuolelle; GDPR:n 33 artikla asettaa ilmoitusvelvollisuuden valvontaviranomaiselle henkilötietojen käsittelyyn vastuulliselle osapuolelle, ja Tietosuojaamiehen ja EDPB:n ohjeistukset täsmentävät aikarajaa ja kriteereitä. Tämä jako pätee jokaisessa jäsenvaltiossa samanlailla, vain vastaanottava valvontaviranomainen vaihtelee: Suomessa se on Tietosuojavirasto, muissa jäsenvaltioissa kyseisen maan valvontaviranomainen — tärkeää jos toimittaja sijaitsee siellä tai jos asiakastiedot koskevat useista maista peräisin olevia rekisteröityjä henkilöitä. Mitä omia sopimuksia toimittajan kanssa pitää tehdä ja ovatko ne riittävät, kuvataan kohdassa pitääkö minun allekirjoittaa käsittelysopimus, jonka asiakas lähettää?.