Tietomurron tapauksessa tarvitset pohjimmiltaan kolmenlaisia asiakirjoja: sisäisen kirjauksen siitä, mitä tapahtui, arvion siitä, onko ilmoitus tietosuojaviranomaiselle pakollinen, ja — jos on — ilmoitus itse sekä sen perustelut. Jos mukaan tulee ilmoitus henkilöille, myös tämä viestintä on kirjattava.
Yksityiskohta, joka useimmin jää huomioimatta tässä yhteydessä, on sisäinen kirjaus. Vaikka arviosi jälkeen päätät, että tietomurtoa ei tarvitse ilmoittaa tietosuojaviranomaiselle, asetus edellyttää edelleen tapauksen kirjaamista: mitä tapahtui, mitä tietoja se koski, mitkä vaikutukset olivat mahdollisia ja miksi päätyit johtopäätökseesi. Monet yrittäjät ajattelevat, että kirjallinen dokumentaatio on tarpeen vasta sitten kun ilmoitus tehdään. Se ei ole se, mitä asetus edellyttää.
Tapauksen sisäinen kirjaus
Tämä on asiakirja, jonka pitäisi olla olemassa jokaisessa tietomurrossa riippumatta arviostasi. Se kuvaa, milloin löysit tapauksen, mitä tarkalleen tapahtui, mitä tietokategorioita ja ketä henkilöitä se koski, ja mitä toimia ryhdyit rajoittamaan seurauksia. Valvontaviranomaiset eivät tarkastuksessa katso pelkästään tehtyjä ilmoituksia, vaan myös sitä, pystyykö organisaatio osoittamaan, miten aiempia tapauksia on arvioitu. Ilman tätä asiakirjaa tämä perusteltu näyttö puuttuu.
Arvio siitä, onko ilmoitus tarpeen
Tosiseikkojen kirjaamisen lisäksi tarvitaan toinen asiakirja: itse harkinta. Mitä riskejä näit henkilöille, ja miten päädyit johtopäätökseen, että ilmoitus oli tai ei ollut tarpeen? Asetus käyttää henkilöiden oikeuksiin ja vapauksiin liittyviä riskejä mittapuuna. Tämä harkinta dokumentoidussa muodossa ei ole pelkästään hyödyllistä sinulle myöhemmin, vaan se on myös asiakirja, jolla voit osoittaa, että tietoinen valinta on tehty, ei sattuma. Jos olet epävarma, onko konkreettinen tapaus ilmoitusvelvollisuuden alainen, löydät apua päätöspuusta, joka muutamalla kysymyksellä antaa alustavan viitteen lähtökohdaksi ilman, että se korvaa omaa arviota.
Ilmoitus tietosuojaviranomaiselle
Jos johtopäätös on, että ilmoitus on tarpeen, ilmoitus itse tulee asiakirjana: mitä ilmoitit, milloin ja millä tiedoilla. Asetus määrää tälle 72 tunnin määräajan siitä, kun sait tietää tietomurrosta. Säilytä ei vain ilmoituksen vahvistus, vaan myös versio faktoista sellaisena kuin ne olivat ilmoitettaessa tunnettu — ne voidaan myöhemmin täydentää, jos laajuudesta selviää lisää.
Viestintä henkilöille
Osassa tapauksia ilmoitus kuuluu lähettää myös henkilöille itselleen, esimerkiksi kun heille aiheutuva riski katsotaan merkittäväksi. Myös tämä viesti — mitä tarkalleen viestittiin ja kenelle — on osa asiakirjoja. Se ei ole vakiomalli, joka on sama kaikissa tietomurroissa; sisältö riippuu siitä, mitä tapahtui ja mitä tietoja se koski.
Sopimukset toimittajien ja tiedonkäsittelijöiden kanssa
Jos tietomurto tapahtuu osapuolella, joka käsittelee tietoja sinulle, kuten kirjanpitojärjestelmä tai hosting-palvelun tuottaja, myös siitä tehty sopimus tiedonkäsittelijän sopimuksessa on liitettävä: ilmoittaako kyseinen osapuoli sinulle tapauksista ja missä määräajassa? Jos et ole vielä selkeyttänyt tätä, löydät apua tietopankista, jossa tämä on käsitelty kunkin tilanteen osalta kiinnityskohdan tarkastella tiedonkäsittelijöiden sopimuksia tällä tavalla.
Miksi tämä asiakirjakokoelma on erillään turvallisuudestasi
Tietoturvaloukkaukseen liittyvä dokumentointi eroaa toimenpiteistä, joita ryhdyitte etukäteen tietoturvaloukkaukseen varautumiseksi, mutta nämä liittyvät kuitenkin toisiinsa: valvontaviranomainen voi kysyä, miltä tietoturvallisuus näytti loukkaukseen johtaneen tapahtuuman hetkellä. Sitä, miten tietoturvaa käytännössä dokumentoidaan, voit lukea osoitteesta sopivien tietoturvatoimenpiteiden selitys.
Järjestä tämä jo nyt kuntoon
Tietokannan ja päätöspuun voi vapaasti konsultoida ilman tiliä. Jos haluat vapauttaa loukkaustapausten rekisteröinnin, aikarajat ja niihin liittyvät mallipohjat yhteen paikkaan yhtenä rakenteena sen sijaan, että etsisit ne joka kerta uudelleen, se on se, mitä gdpria.eu:n tilaus tarjoaa. Liiketilin voit rekisteröidä käyttäen KvK- ja ALV-numeroaorganisaation kanssa yhdistetty eikä yhteen sähköpostiosoitteeseen.
Jos joudut tällä hetkellä arvioimaan mahdollista tietoturvaloukkausta, käy ensin ilmaisen pika-analyysin läpi tai lue tietokannan aiheita. Tilanteeseesi liittyvän selityksen osalta oikeustieteen ammattilainen tai Tietosuojavaltuutetun toimisto ovat oikea yhteyshenkilö.