Voiko tietomurron hoitaa itse?
Kyllä, voit hoitaa suuren osan tietovuodon arvioinnista ja käsittelystä itse. GDPR ei edellytä, että otat käyttöön lakimiestä tai ulkoista palvelua. Mitä asetus sen sijaan vaatii, on että tunnistat vuodon, arvioit, aiheuttaako se riskin tietojensa vuotaneiden henkilöiden kannalta, ja – jos näin on – ilmoitat asiasta ajallaan valvontaviranomaiselle ja mahdollisesti henkilöille itselleen.
Se, voitko hoitaa prosessia itsenäisesti, riippuu pääosin tapahtuman laajuudesta ja monimutkaisuudesta. Vahingossa lähetetty sähköposti yhden asiakkaan tiedoilla on eri asia kuin hakkeroitu palvelin, jossa on tuhansia asiakastiedostoja. Itsenäisen tekemisen ja ulkoistamisen raja ei ole laissa, vaan sinun omassa kyvyssä arvioida nopeasti ja huolellisesti, mitä on tapahtunut.
Mitä voit arvioida itse
Ensimmäinen kysymys jokaisessa tapahtumassa on, onko kyseessä ylipäätään GDPR:n mukainen tietovuoto: ovatko henkilötiedot kadonneet, nähneet ne henkilö, jolla ei ole siihen oikeutta, tai muuttuneet tai tuhottu vahingossa? Tämän arvioinnin voit tehdä itse selkeän kysymysluettelon avulla. muutamalla kysymyksellä näet tilanteesi antaa ensimmäisen viitteen ilman, että tarvitset neuvonantajaa heti.
Jos vuoto todellakin on olemassa, seuraavaksi tulee riskien arviointi: aiheuttaako se vaaraa oikeuksille ja vapauksille, esimerkiksi siksi että arkaluonteiset tiedot ovat levinneet tai henkilöllisyysvarkaus on mahdollinen? Myös tämän arvioinnin voit tehdä itse monissa tavanomaisissa tilanteissa EDPB:n ohjeistusten ja Hollannin tietosuojaviranomaisen antamien selvitysten perusteella. tietopankista, jossa on selitys aihealueittain kuvaa kriteerejä, joilla on merkitystä, sekä viitteet viralliseen tekstiin.
Varsinainen ilmoitus valvontaviranomaiselle on käytännössä monille yrityksille mahdollista tehdä itsekin. Valvontaviranomainen on kehittänyt siihen oman ilmoituslomakkeen, ja pyydetyt tiedot – mitä tapahtui, mistä tiedoista on kyse, kuinka monta henkilöä on vaikuttunut ja mitä toimenpiteitä on toteutettu – ovat tietoja, jotka organisaationa tunnet itse parhaiten.
Milloin on suositeltavaa hakea lisäapua
Joissakin tilanteissa itsenäinen käsittely on vaikeampaa. Jos kyse on suuresta määrästä henkilöitä, arkaluonteisuuksista kuten terveystiedoista, tai teknisestä tapahtumasta, jonka laajuus on vielä epäselvä, on suositeltavaa olla turvautumatta pelkästään omaan arviointiisi. Sama pätee silloin, kun vuodolla voi olla vaikutuksia toisessa jäsenvaltiossa tai kun ei ole selvää, mikä valvontaviranomainen on toimivaltainen.
Myös henkilöiden itsensä tiedottaminen – sen sijaan että ilmoitaisit vain valvontaviranomaiselle – vaatii huolellista harkintaa. Viestinnän sävy, sisältö ja ajankohta vaikuttavat osaltaan siihen, miten ihmiset reagoivat, ja huonosti muotoiltu viesti voi aiheuttaa enemmän huolta kuin itse tapahtuma. Näissä tapauksissa on suositeltavaa konsultoida lakimiestä tai ottaa yhteyttä tietosuojaviranomaiseen oikean kanavan selvittämiseksi.
Mitä GDPR vaatii ja mitä ei
Asetus määrittelee aikarajat, joissa ilmoituspakollinen vuoto on ilmoitettava valvontaviranomaiselle, ja se velvoittaa organisaatiot dokumentoimaan tietovuodot, jotka ovat tapahtuneet, myös sellaiset, joista ei tarvitse ilmoittaa. Mitä GDPR ei määritä, on kuka tämän prosessin organisaatiossasi hoitaa. Tämä tarkoittaa, että itsenäinen käsittely on sallittua, kunhan tulos vastaa sitä, mitä laki vaatii.
Vastuu säilyy organisaatiolla, vaikka osa työstä ulkoistettaisiin neuvonantajalle tai toimistolle. Kyse ei siis ole siitä, että kaikki siirretään ja unohdetaan, vaan siitä, että tiedetään, mitä vaiheita on otettu ja miksi.
Dokumentointi kuuluu aina mukaan
Riippumatta siitä, teettekö työn itse vai saatko tukea, dokumentointi on tarpeen molemmissa tapauksissa: mitä tapahtui, milloin se havaittiin, millaisen riskinarvioinnin tekijät tekivät, ja mitä toimenpiteitä toteutettiin toistumisen estämiseksi. Tämä dokumentointi ei ole hyödyllinen ainoastaan valvontaviranomaiselle, vaan myös teille itseille, mikäli vastaava tapahtuma toistuu myöhemmin.
Millaisen perustelun tulee näyttää ja mitä lähteitä siinä käytetään, voi lukea osoitteesta sivulla, jolta tieto on peräisin. Epäröittekö, onko tilanteeseenne liittyvä ilmoitusvelvoite, suorittakaa ensin maksuton tarkistus ja luetkaa asiaankuuluvat aiheet tietovarastosta ennen kuin teette päätöksen. Halutessanne järjestää prosessin tunnistamisesta käsittelyyn rakenteellisesti kuntoon, voitte rekisteröityä liiketoimintatiliksi jotta määräajat ja dokumentointi menevät automaattisesti eteenpäin.