Milloin minun on ilmoitettava tietomurrosta valvontaviranomaiselle?

Ilmoittaminen on pääsääntö, ellei riskin todennäköisyys ole epätodennäköinen

Tietovuoto ilmoitetaan valvontaviranomaiselle heti, kun on todennäköistä, että vuoto aiheuttaa riskin niiden henkilöiden oikeuksille ja vapauksille, joiden tietoja se koskee. Tämä on asetuksen (EU) 2016/679 (GDPR) 33 artiklan ydin: ilmoittaminen on lähtökohta, ja ilmoitus jätetään tekemättä vain silloin, kun on perusteltua syytä olettaa, että riskiä ei synny. Käytännössä tämä tarkoittaa, että useimmat henkilötietoja koskevat vuodot — vahingossa lähetetty sähköposti asiakastiedoin, varastettu kannettava tietokone, hakkeroitu tietokanta — kuuluvat ilmoitusvelvollisuuden piiriin, kun taas vuoto, joka selvästi ei voi vahingoittaa ketään (esimerkiksi koska tiedot olivat salattuja eikä avainta ole paljastettu), voi jäädä velvollisuuden ulkopuolelle.

Arviota varten tarkastellaan, mitä tarkalleen tapahtui, mitkä tiedot ovat kyseessä ja keitä se voi koskea. Erityiset tiedot, taloudelliset tiedot tai lasten tiedot painottuvat enemmän kuin yksittäinen sähköpostiosoite. Asetuksen (EU) 2016/679 (GDPR) 33 artiklassa mainittu 72 tunnin määräaika alkaa siitä hetkestä, kun vuodosta tulee tietoinen, ei siitä hetkestä, jolloin se tapahtui — nämä kaksi ajankohtaa ovat joskus viikkoja toisistaan. Päätöspuu, joka käy läpi tämän harkinnan vaihe vaiheelta, ei koskaan korvaa omaa arviota konkreettisen vuodon osalta, mutta se auttaa käsittelemään kysymystä "ilmoitusvelvollisuuden alainen vai ei" järjestelmällisesti.

Mistä tämä perustuu asetuksen (EU) 2016/679 (GDPR) 33 artiklaan ja EDPB:n ohjeisiin

Ilmoitusvelvollisuus itsessään on säädettynä asetuksen (EU) 2016/679 (GDPR) 33 artiklassa; käsitteiden kuten "riski" ja "viivytyksettä" sisältö tulee EDPB:n ohjeista tietovuotojen ilmoituksista, ja Autoriteit Persoonsgegevens selventää tämän Alankomaiden käytäntöä varten. GDPR on voimassa suoraan jokaisessa jäsenvaltiossa, mutta ilmoitus tehdään eri viranomaisille riippuen maasta: Alankomaissa ilmoitus tehdään Autoriteit Persoonsgegevens:n ilmoituspisteeseen, joka on ainoa valvontaviranomainen koko maassa. Saksassa ilmoitus tehdään sen liittovaltion osavaltion valvontaviranomaiselle, jossa toimipiste sijaitsee, koska siellä on kuusitoista osavaltioiden valvontaviranomaista liittovaltion valvontaviranomaisen rinnalla.