GDPR määrää, että tietomurto, joka voi aiheuttaa riskin rekisteröidyille henkilöille, on ilmoitettava tietosuojaviranomaiselle heti, kun siitä on tiedossa. Ilmoitukselle varattu aika on lyhyt: 72 tuntia. Jos et ilmoita tai ilmoitat liian myöhään, et täytä tätä GDPR:n velvoitetta. Mitä se käytännössä tarkoittaa, riippuu tilanteesta, ja juuri siksi emme redaktiona ota siihen kantaa: se on sinun, juristisi tai valvontaviranomaisen päätettävissä.
Sitä voidaan kuitenkin kuvata: GDPR antaa tietosuojaviranomaiselle valtuudet tutkia tietomurtoa, jota ei ole ilmoitettu tai joka ilmoitettu myöhässä, ja reagoida siihen. Se, minkä reaktion se on ja noudattaako sitä, ei ole ennalta määrätty eikä ennakoitavissa. Yrittäjän kannalta kysymys ei niinkään ole "mikä on rangaistus", vaan "mitä minun on järjestettävä, jotta voin ajoissa arvioida, onko ilmoittaminen tarpeen".
Mitä ilmoitusvelvoite tarkalleen edellyttää
GDPR tekee eron ilmoittamisen välillä valvontaviranomaiselle ja rekisteröidyille henkilöille itselleen. Ensimmäinen on kyseessä murron yhteydessä, joka voi aiheuttaa riskin; toinen, vakavampi vaihtoehto on kyseessä korkean riskin yhteydessä. Molemmat arvioinnit on tehtävä nopeasti, ja valvontaviranomaisen 72 tunnin määräaika alkaa siitä hetkestä, kun olet havainnoinut murron, ei siitä, milloin se on tapahtunut. Joka ei ole vielä terävöittänyt tätä erottelua, voi käydä sen läpi muutamalla kysymyksellä: viidessä kysymyksessä näet, missä tilanteessa olet antaa välittömän viitteen siitä, onko ilmoittaminen tarpeen.
Liian myöhäisen ilmoituksen ytimessä on yleensä ei niin paljon haluttomuus kuin aika, joka menetetään epäselvyyteen: kenen pitää ottaa tämä hoitoonsa, onko kyseessä tietomurto GDPR:n merkityksessä, ja onko meillä itse asiassa yleiskatsaus siitä, mitkä järjestelmät sisältävät henkilötietoja. Jälkimmäinen on juuri se, missä käsittelytehtävien rekisteri näyttää arvonsa: ilman yleiskatsausta käsittelyistäsi murron laajuuden selvittäminen vie turhaan liikaa noista 72 tunnista, joita sinulla on.
Myös ilmoittamattomuus on voitava perustella
Vähemmän tunnettu seikka on, että GDPR edellyttää myös dokumentoimaan, kun päätät olla ilmoittamatta murtoa ja miksi. Vastuuvelvoite pätee nimittäin arviointiin itseensä, ei vain ilmoittamiseen, jos se tehdään. Murtoa, jonka arvioit "ei aiheuta riskiä rekisteröidyille henkilöille" ja jonka arviointia et dokumentoi minnekään, on jälkikäteen vaikea perustella, jos sitä kysytään. EDPB:n suuntaviivat käsittelevät tätä laajasti; niiden sijainti ja selitys löytyvät tietokannan aiheittaisista osioista.
Seuraukset, jotka ulottuvat pidemmälle kuin valvontaviranomainen
Tietosuojaaviranomaisen suhteen lisäksi on vielä kaksi paikkaa, joissa jääneet ilmoittaminen voi tulla esiin. Ensimmäinen on käsittelyyn liittyvä sopimus: jos käsittelet henkilötietoja asiakkaasi puolesta, siinä on usein oma ilmoitusaika, joskus lainmukaista 72 tuntia lyhyempi, ja se aika pätee sitten GDPR:n lisäksi. Toinen on itse rekisteröity henkilö: henkilö, jonka tiedot on vuotaneet ja joka se itse huomaa ilman sinun ilmoitusta, ei voi saada luottamusta takaisin, mikä on erillään kaikesta juridisesta arvioinnista.
Myös vakuutusyhtiö tai hankinnan tekijä, joka myöhemmin kysyy, miten murtoa käsiteltiin, katsoo, onko arviointia tehty ajoissa ja ilmoitettu tarvittaessa. Se on eri asia kuin sakko, mutta se vaikuttaa siihen, mikä usein on syy tietosuojan järjestämiseen: osoittaa, että prosessi on olemassa, ei vain että mitään ei ole koskaan mennyt pieleen.
Miksi kello on usein pullonkaula
Käytännössä harvoin puuttuu halu ilmoittaa, vaan nopeus, jolla organisaatio voi todeta, mitä tapahtui, mihin tietoihin se vaikuttaa ja kuka asiaan osallistui. Järjestelmä, joka käynnistää 72 tunnin kellon heti mahdollisen tietovuodon rekisteröinnin yhteydessä, estää aikaa väistymästä sisäisten keskustelujen myötä. Miten tällainen järjestelmä on rakennettu ja mihin tieto perustuu, on kuvattu sivulla mistä tieto tulee.
Se, onko tietty tapaus yrityksessään ilmoitusvelvoitteinen, mikä määräaika täsmälleen pätee omassa tapauksessanne ja mitkä ovat seuraukset, jos ilmoitus on jäänyt tekemättä, ei ole vastattavissa yleisellä tasolla. Tätä arviointia varten juristi tai itse Tietosuojaviranomainen on asianmukainen yhteyspisteesi.
Haluatteko ensin saada itse kuvan tilanteestanne ilman velvoitteita? Ilmainen pika-analyysi ja tietovaranto antavat ensimmäisen käsityksen aiheittain, mukaan lukien viittauksen viralliseen tekstiin.