kannettavani, jossa on asiakastietoja, on varastettu, mitä minun pitää nyt tehdä

Varastettu kannettava tietokone, jossa on asiakastietoja, on yleensä tietoturvaloukkaus

Varastettu liiketoiminnan kannettava tietokone, jossa on asiakastietoja, katsotaan useimmissa tapauksissa tietosuoja-asetuksen 4 artiklassa määritellyksi tietoturvapoikkeamaksi. Tiedot poistuvat organisaation hallinnasta, ja se on juuri sitä, mitä määritelmä tarkoittaa — sillä ei ole väliä, varastetaanko kannettava tietokone autosta, laukusta vai toimistosta. Se, mitä tarkalleen kannettavalla tietokoneella oli, ja oliko tieto salattu vai muulla tavoin suojattu, vaikuttaa siihen, kuinka vakava tilanne on, mutta varkaus itsessään on arvioinnin lähtökohta. Tarkempi selitys siitä, mikä kuuluu määritelmän piiriin ja mikä ei, on osoitteessa tietokannan sivu siitä, mikä tietoturvaloukkaus tarkalleen ottaen on.

Löytämisen jälkeen kaksi asiaa eteni rinnakkain: tosiseikkojen selvittäminen (mitä tietoja, keneltä, kuinka monelta henkilöltä, ja oliko tiedoissa salaus) ja kysymys siitä, pitääkö tästä ilmoittaa — valvontaviranomaiselle ja mahdollisesti myös asiakkaille itselleen. Molemmat kysymykset riippuvat siitä, minkä riskin varastetut tiedot aiheuttavat ihmisille, ja juuri tämän riskin vuoksi tyhjä tai hyvin salattu kannettava tietokone arvioidaan eri tavalla kuin kannettava tietokone, joka on täynnä salaamattomia asiakastietoja. Miten ilmoittamista valvontaviranomaiselle arvioidaan, on kuvattu yksityiskohtaisesti sivulla milloin tietoturvaloukkaus on ilmoitettava valvontaviranomaiselle, ja kysymys siitä, pitääkö asiakkaille itselleen lähettää ilmoitus, on sivulla asiakkaiden tiedottaminen tietoturvaloukkauksesta.

Mihin tämä perustuu: tietosuoja-asetuksen 4, 32 ja 33 artikla

Tietoturvapoikkeaman määritelmä on tietosuoja-asetuksen 4 artiklassa, velvoite turvata tiedot asianmukaisesti — mukaan lukien laitteiden menetyksen riski — 32 artiklassa, ja ilmoitusvelvollisuus valvontaviranomaiselle 33 artiklassa. Nämä kolme artiklaa soveltuvat suoraan kaikissa EU-maissa, joten arviointi siitä, onko varastettu kannettava tietokone ilmoitettava tietoturvaloukkaus, noudattaa kaikkialla samoja sääntöjä. Se, mikä vaihtelee maittain, on valvontaviranomainen, jolle ilmoitus lähetetään: Hollannissa se on henkilötietojen suojaviranomainen, muissa jäsenmaissa kyseisen maan kansallinen valvontaviranomainen. EDPB:n ohjeet antavat lisätietoja siitä, miten näitä artikloja käytetään käytännössä, ja henkilötietojen suojaviranomainen tarjoaa omalla tietoturvaloukkauksista käsittelevällä sivulla hollantilaista tulkintaa samoista säännöistä.