Tietojen vuotamisen ilmoittaminen Tietosuojaviranomaiselle itsessään ei maksa mitään: siitä ei peritä maksuja tai palkkioita. Kustannukset syntyvät sen ympärillä tehtävistä toimista: sen selvittämisestä, mitä tarkalleen ottaen meni pieleen, rekisteröityjen tiedottamisesta, mahdollisista teknisistä korjaustoimista ja kaikesta ajasta, jonka nämä toimet vaativat organisaatioltasi. Kuinka paljon nämä kustannukset nousevat, riippuu suuresti vuotamisen laajuudesta, tietojen tyypistä ja siitä, oliko sinulla prosessi valmiina ennen kuin ongelma syntyi.
Ei ole olemassa kiinteää summaa "tietojen vuotamiselle", koska mikään kaksi tietojen vuotamista ei ole samanlaista. Vahingossa lähetetty sähköposti, jossa on yhden asiakkaan yhteystiedot, vaatii jotain muuta kuin järjestelmään hyökkääminen, jossa on sadan työntekijän henkilöstötiedostot. Kustannuserät ovat kuitenkin aina samat luokat; vain laajuus vaihtelee.
Mistä kustannukset tulevat
Ensimmäinen kustannuserä on sisäinen aika: jonkun on selvitettävä, mitä on tapahtunut, mitkä tiedot ovat joutuneet vaaraan ja onko Tietosuojaviranomaisen ilmoittamisen lakisääteinen seitsemänkymmentenkahden tunnin määräaika näkyvissä. Nämä tunnit usein aliarvioituu, erityisesti jos sinulla ei ole kiinteää yhteyshenkilöä tai prosessia ja useat ihmiset tarkastelevat samaa tapausta samanaikaisesti.
Lisäksi saattaa tarvita ulkoista apua: IT-toimittaja, joka voi teknisesti korjata vuotamisen, oikeudelliset tutkijat suuremmassa murtautumisessa tai juristin avustus, kun arvioidaan, tulee ilmoittaa vai ei ja miten. Kaikki tietojen vuotamiset eivät vaadi kaikkia näitä osapuolia, mutta vakavammissa tapauksissa nämä kustannukset nousevat nopeasti.
Myös rekisteröityjen tiedottaminen vie aikaa ja joskus rahaa: huolellisen ja ymmärrettävän kirjeen tai sähköpostin laatiminen, siitä seuraaviin kysymyksiin vastaaminen ja joissakin tapauksissa jonkinlaisen hyvityksen tarjoaminen, kuten uusi kirjautumiskoodi tai ilmainen palvelu. Päätöspuu kohteesta muutamissa kysymyksissä näet, tulee sinun ilmoittaa vai ei ja miten auttaa ensimmäisen askeleen tekemisen selkiyttämisessä, jotta et tuhlaa aikaa turhaan epävarmuuteen.
Mikä määrittää kustannuksien suuruuden
Tärkein tekijä on laajuus: kuinka monet ihmiset ovat joutuneet vaaraan ja kuinka arkaluonteisia tiedot ovat. Vuotaminen, jossa on nimet ja sähköpostiosoitteet, on erilainen kuin vuotaminen, jossa on rahoitustiedot tai terveystiedot. EDPB:n ohjeet ja itse GDPR mainitaan tällaisia riskitekijöitä arviointiperustana, ei laskukaavana summaa varten.
Toinen tekijä on se, kuinka nopeasti vuotaminen havaitaan ja kuinka selvästi on selvää, kuka on vastuussa mistäkin. Jos prosessointisopimuksessa on jo määritelty, kuka toimittajaa on varoitettava ja millä määräajalla, se säästää selvitystyötä silloin kun jokin menee pieleen. Jos tätä sopimusta ei ole olemassa, niin tapaus itsessään vaatii enemmän aikaa ymmärtämiseen, ennen kuin korjaustöihin kääntyminen alkaa.
Kolmas tekijä on se, onko organisaatiollasi jo dokumentoitu prosessi: kiinteä vaiheittainen suunnitelma, luettelo siitä, kenet on varoitettava, ja paikka, jossa aiemmat tapaukset on tallennettu. Ilman tätä jokainen tapaus on käytävä uudestaan läpi, mistä tehdään päätös kuka tekee mitä, mikä vie sekä aikaa että rauhaa hetkellä, jolloin molemmat ovat niukkoja.
Ilmoitus itsessään on ilmainen, valmistelu ei
On hyvä pitää tämä ero terävänä: Tietosuojaviranomaisen ilmoitusvelvollisuus ei tuo mukanaan kustannuksia, mutta sen asianmukainen suorittaminen vaatii kustannuksia. Jonkun on määritettävä, onko tapaus ilmoitettava lakisääteisen määräajan puitteissa, ja mitä siinä tarkalleen on oltava. Jonkun on määritettävä, onko tapaus ilmoitettava lakisääteisen määräajan puitteissa, ja mitä siinä tarkalleen on oltava, ja tämä vaatii aikaa. Yleiskatsaus siitä, mitä ilmoitukseen kuuluu ja mitä asiakirjoja yleensä tarvitset, on kuvattu kohdassa tietopankista, jossa on selitys aihealueittain.
Monet näistä kustannuksista eivät ole kertaluonteisia vaan toistuvia, yksinkertaisesti siksi, että tietoturvaloukkauksilla ei ole aikataulua, ja ne voivat toistua myös vuosien jälkeen. Siksi jotkut organisaatiot päättävät antaa kellon, vaiheet ja kirjaukset järjestelmän vastuulle manuaalisen uudelleenmuodostamisen sijaan. Mitä tällainen tilaus maksaa ja mitä se sisältää, näkyy kohdassa hinnoittelusivu, jossa eritellään kunkin osan maksu.
Etukäteen kirjaaminen säästää jälkeenpäin
Suurin kustannussäästö on yleensä ei itse vaaratapahtumassa vaan sen valmistelussa: ajantasainen käsittelytoimintojen luettelo, selkeät sopimukset toimittajien kanssa ja nimetty yhteyshenkilö tekevät tietoturvaloukkauksesta nopeammin arvioitavan ja käsiteltävän. Usein kysytyt kysymykset siitä, mikä on pakollista ja mikä ei, on koottu sivulle, jossa vastaukset muiden yrittäjien tekemiin kysymyksiin.
Haluatko saada oman tilanteesi perusteella alustavan kuvan siitä, missä seisot? Ilmainen pika-arvio antaa muutaman kysymyksen perusteella suuntaa-antavan vastauksen ilman, että sinulla on tilinä.