kuka on vastuussa tietoturvaloukkauksesta ilmoittamisesta yrityksessäni

Vastuu on organisaatiolla, ei yksittäisellä työntekijällä

GDPR velvoittaa organisaatiota, joka on rekisterinpitäjä, raportoimaan, ei yksittäistä työntekijää, joka havaitsi tai aiheutti tietoturvaloukkauksen. GDPR ei määritä, kuka organisaation sisällä tosiasiallisesti tekee ilmoituksen — se on sisäinen asia. Käytännössä sen hoitaa yleensä omistaja, johtaja tai henkilö, jolle tämä tehtävä on erikseen määritetty, kuten tietosuojavaltuutettu, jos sellainen on nimetty. Yrittäjällä tai pienessä yrityksessä, jolla ei ole erillistä funktiota, vastuu usein kuuluu luonnollisesti yrityksen johtajalle.

Varmaa kuitenkin on, että jonkun on tiedettävä, että ilmoitus voi tulla kysymykseen heti, kun tietoturvaloukkaus tapahtuu, ja kyettävä arvioimaan, ovatko tietoturvaloukkauksen määritelmä sovellettavissa tässä tapauksessa. Yritys, joka ei ole määritellyt, kuka hoitaa tämän, risikoi sen, että loukkaus havaitaan mutta seuraavaa askelta ei oteta — vaikka kello alkaa käydä havainnon hetkestä. Vaikka käsittely olisi ulkoistettu kolmannelle osapuolelle, se ei muuta sitä, kuka vastaa ilmoituksesta: se on ja pysyy organisaation itsensä vastuulla, myös silloin, kun toimittaja ilmoittaa tietoturvaloukkauksen itse.

Mistä tämä johtuu: GDPR:n 33 artikla

GDPR:n 33 artiklassa puhutaan aina "rekisterinpitäjästä" osapuolena, jonka on ilmoitettava valvontaviranomaiselle, eikä siinä määritetä sisäistä funktiota tai henkilöä; organisaation itsensä on päätettävä, kuka sen tosiasiallisesti tekee. Tietosuojaviranomainen vahvistaa tietoturvaloukkauksia koskevalla sivullaan, että ilmoitusvelvollisuus kuuluu organisaatiolle, ei tietylle työntekijälle. Se, mihin valvontaviranomaiseen ilmoitus on tehtävä, vaihtelee jäsenittäin: Suomessa se on Tietosuojaviranomainen, kun taas muualla EU:ssa kunkin valtion oma kansallinen valvontaviranomainen on määrätty viranomainen. Lisätietoja vaadittavista toimista ja valvontaviranomaisen roolista on milloin tietoturvaloukkaus on ilmoitettava Tietosuojaviranomaiselle.