minun liiketoiminnan sähköpostini on hakkeroitu, pitääkö minun ilmoittaa siitä

Hakkeroitu sähköpostikotelo on yleensä tietojen suojaa koskeva rikkaus, ilmoitusvelvollisuus riippuu seurauksista

Hakkeroitu liikesähköpostikotelo on useimmissa tapauksissa loukkauksesta kärsiminen EU:n tietosuoja-asetuksen (GDPR) merkityksessä: kyse on luvatonta pääsyä henkilötietoihin, ja pääsy syntyy lähes aina heti, kun ulkopuolinen kirjautuu tilille, jossa on asiakas- tai yhteystietoja. Näin ollen on selvästi todettu, että tapahtui jotakin, joka kuuluu määritelmän mikä tarkalleen ottaen on tietorikkaus? piiriin. Se ei kuitenkaan ole automaattisesti sama asia kuin ilmoitusvelvollisuus valvontaviranomaiselle.

Ilmoitus valvontaviranomaiselle on tarpeellinen, jos loukkauksesta aiheutuu riski niille henkilöille, joiden tiedot olivat kyseisessä sähköpostikoteloissa — ajattele esimerkiksi laskuja osoitetietojen kanssa, tarjouksia henkilötunnuksilla tai arkaluonteista sisältöä sisältävää kirjeenvaihtoa. Sähköpostikotelo, jossa on vain liikekontaktitietoja muista yrityksistä, merkitsee eri riskiä kuin sähköpostikotelo, joka on täynnä asiakastiedostoja tai lääketieteellistä kirjeenvaihtoa. Tämä arviointi ja siihen liittyvät vaiheet on eritelty sivulla, joka käsittelee koska minun on ilmoitettava tietoturvaloukkauksesta Tietosuojaviranomaiselle?. Ilmoituksesta valvontaviranomaiselle riippumatta kysymys siitä, pitäisikö henkilöille itseilleen kertoa asiasta, noudattaa erillistä arviointikehystä.

GDPR-asetus perusteena: loukkauksesta kärsimisen määritelmä ja ilmoitusvelvollisuus

Perusta on EU:n tietosuoja-asetuksen 4 artiklassa, joka määrittelee henkilötietojen suojaa koskevan loukkauksen pääsy-, tai menetys-, muutos- tai tuhoutumisena, joiden ei olisi pitäneet tapahtua — määritelmä, jonka alle hakkeroitu sähköpostikotelo tavallisesti kuuluu. EU:n tietosuoja-asetuksen 33 artikla liittää siihen ehdon ilmoitukselle valvontaviranomaiselle: ilmoitusvelvollisuus on voimassa, kun loukkauksesta aiheutuu riski henkilöiden oikeuksille ja vapauksille, lukuun ottamatta tapausta, jossa riski on kohtuullisesti katsottuna olematon. EDPB:n ohjekirjeet kehittelevät tätä riskikäsitystä edelleen, ja Tietosuojaviranomainen tarjoaa sivullaan tietorikkoksista praktista opasta kyseiseen arviointiin. Se, mikä on sama koko EU:ssa: määritelmä ja riskitesti asetuksesta. Se, mikä vaihtelee maittain: valvontaviranomainen, jolle ilmoitus lähetetään — Alankomaissa Tietosuojaviranomainen, muissa jäsenmaissa kyseisen maan valvontaviranomainen.