Onko sähköposti, joka lähetettiin väärällä osoitteella, tietomurto?

Väärin lähetetty sähköposti voi olla tietoturvaloukkaus

Sähköposti, joka menee väärään vastaanottajaan, täyttää tietoturvaloukkauksen määritelmän, jota AVG käyttää: kyseessä on tietoturvan rikkomus, joka johtaa siihen, että luvatonta osapuolta pääsee näkemään henkilötietoja. Olipa kyse sitten ansioluettelosta, laskusta, jossa on osoite, tai sisäisestä muistosta, jossa on nimiä — heti kun henkilötiedot joutuvat väärän henkilön käsiin, "tietoturvaloukkaus" on periaatteessa kyseessä.

Se, että kyseessä on tietoturvaloukkaus, ei automaattisesti tarkoita, että se on ilmoitettava. AVG:n 33 artiklassa ilmoitusvelvoite valvontaviranomaiselle on sidottu siihen riskiin, jonka loukkaus aiheuttaa rekisteröidyn oikeuksille ja vapauksille: kuinka herkkiä tiedot ovat, kuinka monta ihmistä on kärsinyt, ja onko sähköposti peruttu tai jäänyt avaamatta. Väärin lähetetty sähköposti, jossa on vain nimi ja tapaamisen kellonaika, on eri asia kuin sähköposti, jossa on taloudellisia tietoja tai terveystietoja, joka lähetetään suurelle ryhmälle väärille vastaanottajille. Organisaatio, joka teki virheen, tekee tämän riskinarvioinnin itse, ja se päättää myös itse, ilmoittaako se.

Tämä seuraa AVG:n 33 artiklasta

Henkilötietojen tietoturvaloukkauksen määritelmä ja ilmoitusvelvoite 72 tunnin sisällä ovat AVG:n 33 artiklassa; Autoriteit Persoonsgegevens selittää verkkosivullaan tietoturvaloukkausten ilmoittamisesta, kuinka tämä riskinarviointi käytännössä tehdään. AVG on asetus, joka on välittömästi sovellettavissa jokaisessa jäsenvaltiossa, joten tämä ydin on kaikkialla sama — mikä vaihtelee, on se, missä ilmoitetaan. Alankomaissa ilmoitetaan Autoriteit Persoonsgegevensille, ainoalle kansalliselle valvontaviranomaiselle. Saksassa se on erilaista: siellä organisaatio ilmoittaa sen deelstaatin valvontaviranomaiselle, jossa toimipaikka sijaitsee, ja liittovaltion BfDI:n ohella on kuusitoista deelstaatin valvontaviranomaista.