olemme joutuneet kiristysohjelmiston uhriksi, onko se automaattisesti tietoturvaloukkaus

Kiristysohjelma on yleensä tietoturvarikkomus, mutta ei automaattisesti

Kiristysohjelmaiskut ovat yleensä tietoturvarikkomus AVG:n merkityksessä, mutta yhteys "kiristysohjelman kohteeksi joutuminen" ja "siis ilmoitus" ei ole automaattinen. Asetuksen (EU) 2016/679 4 artikla määrittelee rikkotapauksen kaikeksi henkilötietojen tuhoamiseksi, menetykseksi, muuttamiseksi tai luvattomaksi ilmaisemiseksi. Kiristysohjelmaiskussa tiedostot salataan tai niitä ei voi käyttää, ja se kuuluu "saatavuuden menetykseen" — vaikka tietoja ei olisi katsottu tai kopioitu. Näin ollen rikkotapauksen määritelmä täyttyy yleensä, mikä poikkeaa kysymyksestä mitä tietoturvaloukkausta tarkalleen ottaen on merkitsee ilmoitusvelvollisuutta konkreettisessa tapauksessa.

Se, olivatko henkilötiedot nissa salautetuissa tiedostoissa, ja onko ihmisille, joiden tiedot ovat kyseessä, todella olemassa riskinä, jää erilliseksi kysymykseksi. Kiristysohjelmaiskut palvelimelle, jolla ei ole henkilötietoja, ei ole tietoturvarikomus AVG:n merkityksessä. Iskut, joissa tiedot ovat joutuneet vaaraan, mutta jonka varmuuskopio toimii hyvin ja nopea palautus on mahdollinen, voivat aiheuttaa pienemmän riskin kuin iskut, joissa tiedot on myös viety (kaksinkertainen kiristys). Tuo riskinarviointi määrää sitten milloin tietoturvaloukkaus on ilmoitettava valvontaviranomaisellesekä sitä, kuuluuko asianomaisille henkilöille itse jotain sanoa.

Mistä tämä perustuu

Asetuksen (EU) 2016/679 4 artiklan määritelmä rikkotapauksesta on lähtökohta; sama asetuksen 33 artikla säätelee ilmoittamista valvontaviranomaiselle, kun rikkotapaus tapahtuu, ja sama asetuksen 32 artikla koskee kysymystä siitä, oliko tietoturva kunnossa ennen hyökkäystä. EDPB:n ohjeet käsittelevät erikseen esimerkkejä kiristysohjelmaiskuista, mukaan lukien ero salauksen välillä ilman tietojen siirtämistä ja hyökkäyksissä, joissa tiedot on myös varastettu. Velvollisuus arvioida rikkotapaus ja mahdollisesti ilmoittaa siitä koskee koko EU:ta samalla tavalla, koska asetus soveltuu välittömästi; valvontaviranomainen, jolle ilmoitus toimitetaan, vaihtelee jäsenittäin — Alankomaissa se on Autoriteit Persoonsgegevens, muissa maissa kyseisen jäsenvaltion valvontaviranomainen. Kun IT-toimittaja tai isäntäpalvelun tarjoaja on kiristysohjelmaiskun kohteena, on myös kysymys pitäisikö toimittajan ilmoitus herättää omaa ilmoitusvelvollisuutta.