mitkä ovat seuraukset, jos en ilmoita tietoturvaloukkauksesta viranomaisille

Ilmoittamatta jättäminen voi johtaa seurauksiin, jotka menevät itse vuotoa pidemmälle

Joka ei ilmoita valvontaviranomaiselle tietovuotoa, jonka ilmoittaminen on velvoitettavaa, riskeeraa, että valvontaviranomainen saa tästä itse selville ja ryhtyy toimiin AVG:n 33 artiklan nojalla, joka säätelee ilmoitusvelvollisuutta kyseisessä määräajassa. Tietosuojavirasto ja muut Euroopan valvontaviranomaiset ovat oikeutettuja tekemään tutkimuksia, esittämään kysymyksiä ja asettamaan seuraamusmaksun havaitusta rikkomuksesta. Että vuotoa ei ole ilmoitettu, tulee usein esiin juuri silloin, kun rekisteröity henkilö itse valittaa, kun tiedot ilmestyvät muualla, tai kun käsittelijä tai toimittaja ilmoittaa vuodosta ja valvontaviranomainen selvittää asiaa siitä eteenpäin — katso myös mitä tehdä, jos toimittaja ilmoittaa tietovuodosta.

Valvontaviranomaisen riskin lisäksi on vielä jokin muu seikka: vuodon ilmoittamatta jättäminen on erillään kysymyksestä siitä, onko henkilöiden, joiden tiedot ovat vaarassa, oltava saatettava asiasta tietoisiksi. Tämä velvoite seuraa AVG:n 34 artiklasta ja voi jatkua vaikka ilmoitus valvontaviranomaiselle jätetään tekemättä — ja se voi johtaa kaikkeen siihen imagovahinkoon ja luottamuspulan, joka seurauksena voi tulla, kun asia myöhemmin paljastuu. Myös tietovuoto, joka ei ole ilmoitettava, on pidettävä omassa kirjanpidossa; katso miksi myös ilmoittamatta jätettyjen tietovuotojen pitää olla kirjanpidossa.

Mitä säännöissä sanotaan tästä

Ilmoitusvelvollisuus on säädetty AVG:n 33 artiklassa, ja tämä velvollisuus pätee suoraan jokaisessa EU:n jäsenvaltiossa. Se, mihin ilmoitus tehdään, vaihtelee maittain: Alankomaissa se on Tietosuojavirasto, muissa jäsenvaltioissa kyseisen maan kansallinen valvontaviranomainen — EDPB ylläpitää luetteloa näistä valvontaviranomaisista ja julkaisee ohjeita ilmoitusvelvollisuuden tulkinnasta. Tarkat säännöt siitä, milloin jotain on ilmoitettava vai ei, on kuvattu sivulla arvioida, onko tietovuoto ilmoitettava.