Ydin: ilmoitusvelvollisuus itsessään ei muutu
Ilmoitusvelvollisuus tietomurrosta on kirjattu AVG:ssa, tunnetulla 72 tunnin määräajalla havaitsemisen jälkeen Tietosuojaviranomaiselle, ja erillisellä harkinnalla siitä, pitäisikö tietojen subjekteja itseään myös informoida. Tämä teksti on osa Eurooppalaista säännöstöä, eikä sitä muuteta vuosittain. Nykyisen tiedon mukaan säännöstön muuttamisesta ilmoitusvelvollisuuden tai määräajan osalta ei ole tänä vuonna kuitenkaan odotettavissa. Se, mikä muuttuu, on tulkinta sen ympärillä: kuinka EDPB ja Tietosuojaviranomainen täydentävät lain avoimia normeja, ja kuinka muut lait asettuvat AVG:n rinnalle. MKB-yritykselle tämä on usein relevantimpaa kuin lain teksti itsessään, koska juuri tämä tulkinta määrittää, milloin tapahtuma katsotaan ilmoitusvelvoitteeseen liittyväksi.
Kyse ei siis ole uudesta päivämäärästä tai uudesta artikkelinumerosta, joka olisi muistettava, vaan kolmesta muutoksesta, jotka vaikuttavat käytäntöön: tiukemmat ohjeet siitä, mikä lasketaan tietomurrroksi, enemmän rinnakkaisuutta sektorilakien kuten NIS2:n kanssa, ja erilainen todellisuus, koska vaaratapahtumat aiheutuvat yhä useammin SaaS-palvelun tarjoajalta eikä yritykseltä itseltään.
Ohjeet, jotka siirtävät rajaa
AVG itsessään määrittelee tietomurron yleisesti: turvallisuuden loukkaus, joka johtaa henkilötietojen hävittämiseen, katoamiseen, muuttamiseen tai luvattomaan saantiin. Sitä, mitä konkreettisesti siihen kuuluu, täydentävät vuosi vuodelta EDPB:n ohjeet ja Tietosuojaviranomaisen oma tulkinta. Näin on viime vuosina tullut enemmän selkeyttä rajatapauksista: väärin lähetetty sähköpostiviesti liitteellä, työntekijä, joka kirjautuu väärään tiliin, tai varmuuskopio, joka on väliaikaisesti saavuttamattomissa. Tällaisia tilanteita pidettiin aiemmin usein sisäisimpä asiana; ohjeistuksessa näkyy linja siitä, että myös ilman työntekijän pahaa aikomusjaan voi olla kyse ilmoitusvelvoitteeseen liittyvästä tapahtumasta. Johtajalle tai toimistonhoitajalle tämä tarkoittaa, että arviointi voi harvemmin tapahtua tunnepohjalta ja useammin kiinteän vaiheittaisen suunnitelman perusteella. Joka epäröi, onko jokin konkreettinen tapahtuuma ilmoitusvelvoitteen piirissä, voi gdpria.eu-palvelun päätöspuun avulla selvittää sen muutamalla kysymyksellä. muutamalla kysymyksellä selvittää, onko jokin ilmoitusvelvoitteeseen liittyvä tietomurto.
Saman aikainen soveltaminen muiden säädösten kanssa
Toinen muutos ei ole itse AVG:ssa, vaan laissa, joka asettuu sen rinnalle. Organisaatioille, jotka ovat osa sektoreita tai toimittavat niille, joita koskee lainsäädäntö kuten NIS2, voi turvallisuustapahtuma samanaikaisesti kuulua kahden ilmoitusjärjestelmän alaisuuteen: AVG henkilötietojen osalta ja sektorille ominainen ilmoitusvelvollisuus itse palvelun osalta. Tämä ei koske kaikkia MKB-yrityksiä, mutta koskee asennusyrityksiä, IT-palveluntarjoajia ja muita osapuolia, jotka toimittavat suuremmalle, säännellylle organisaatiolle. Tälle ryhmälle on järkevää tarkistaa, onko asiakas tai tilaaja lisännyt sopimukseen lisäilmoitussopimuksia, sen lisäksi, mitä on jo tiedonkäsittäjäsopimuksessa. Joka haluaa tarkistaa, mitä sellaisen sopimuksen ilmoitusmääräajoista ja vastuista tarkalleen sanotaan, löytää taustatietoa kohdasta: tietopankissa kunkin aiheen selityksineen.
Käytäntö siirtyy kohti SaaS-palvelun tarjoajaa
Kolmas muutos on vähemmän sääntelyn kuin tosiasiallisen kehityksen kysymys: kasvava osa hollantilaisille yrityksille sattuneista poikkeamista ei aiheudu niistä itsestään, vaan ohjelmiston toimittajalta, jota ne käyttävät kirjanpitoon, henkilöstöhallintoon tai asiakaskontaktiin. Vastuu siitä, arvioida, aiheuttaako se ilmoitettavaa tietoturvaloukkausta, jää kuitenkin yritykselle, joka antoi tiedot käsiteltäväksi, ei automaattisesti toimittajalle. Toimittaja, joka ilmoittaa poikkeamasta itse, ei vapauta tilaajaa omasta arvioinnistaan. Se tekee entistä tärkeämmäksi, että etukäteen määritellään, miten ja milloin toimittaja ilmoittaa poikkeamasta, ja että tämä sopimus löytyy myös käytettävien työkalujen omasta yleiskatsauksesta. Yritykset, joilla ei vielä ole täydellistä yleiskatsausta, voivat rakentaa sen avulla ohjetta siitä, miten järjestelmä täytetään tunnetuista työkaluista.
Mitä tämä tarkoittaa sinulle
Useimmille pienille ja keskisuurille yrityksille tämä vuosi ei muuta laillista aikarajaa itseään. Mikä on järkevää: arvioida omaa poikkeamien käsittelytapaa säännöllisesti viimeisimpien ohjeiden perusteella, tarkistaa, asettaako tilaaja lisämeldintasopimuksia, ja selventää toimittajille, kuka arvioi poikkeaman ensimmäisenä. Mikään näistä kohdista ei vaadi laillista tutkimusta, vaan kiinteää hetkeä, jolloin niihin katsotaan.
Haluatko nopeasti nähdä, missä yrityksesi seisoo tässä asiassa? gdpria.eu:n ilmaisen pika-skannauksen kysymykset antavat ensimmäisen vaikutelman, ja tietoturvaloukkausten ja ilmoitusvelvollisuuden usein kysytyt kysymykset löydät lyhyemmät vastaukset asiaan liittyviin kysymyksiin.