kadotin usb-muistin, jossa on asiakastietoja, onko se tietovuoto

Kadonneet USB-muisti on yleensä tietoturvaloukkausta

USB-muisti, jossa on asiakastietoja ja joka on kadonnut, on useimmissa tapauksissa tietoturvaloukkausta GDPR:n merkityksessä. Asetuksen (EU) 2016/679 4 artiklassa tarkoitetaan tietoturvaloukkauksen seurauksena tapahtuvaa henkilötietojen menetystä, ja se on täsmälleen sitä, mitä tapahtuu, kun muistiin tallennettuja nimiä, osoitteita tai muita asiakastietoja ei löydy enää: tiedot eivät ole tuhoutuneita, mutta ne ovat joutuneet yrityksen hallinnasta pois. Se, päätyvätkötkään tiedot vääriin käsiin, ei ole ratkaisevaa — hallinnan menetys riittää siihen, että määritelmä täyttyy.

Mitä sen jälkeen tapahtuu, riippuu siitä, mitä muistissa oli ja miten se oli suojattu. Salattu muisti, jossa on rajallinen joukko tietoja, antaa eri kuvan kuin suojaamaton muisti, jossa on paljon asiakastietoja tai arkaluontoista tietoa. Tämä ero on merkityksellinen kysymykselle milloin minun on ilmoitettava tietoturvaloukkauksesta Tietosuojaviranomaiselle, ja se on merkityksellinen myös sille, täytyykö asiakkaita itse informoida — tämä kysymys on kuvattu sivulla täytyykö minun informoida rekisteröityjä tietoturvaloukkauksesta. Eron tekemiseen välikohtauksen ja laajemman tietoturvaloukkauksen välillä on sivulla mitä tietoturvaloukkausta tarkalleen ottaen on looginen lähtökohta.

Mistä tämä perustuu

Tietoturvaloukkauksen määritelmä on asetuksen (EU) 2016/679 4 artiklassa, ja artikla 33 säätää ilmoituksesta valvontaviranomaiselle heti kun edellytykset täyttyvät. Tietosuojaviranomainen kehittää tätä edelleen sivullaan tietoturvaloukkauksista ilmoittaminen, ja EDPB on julkaissut ohjeita esimerkkeineen erilaisista tietoturvaloukkauksista, mukaan lukien tietojen siirtämisen laitteiden menetys. Ilmoitusvelvollisuus koskee kaikkialla EU:ssa asetukseen perustuen, mutta ilmoituspaikan valinta vaihtelee maittain: Hollannissa se on Tietosuojaviranomainen, muissa jäsenvaltiossa siellä määrätty valvontaviranomainen.