Kas see on andmeleke ja kas pean sellest teatama?
Ettevõtjana vastutad sa oma klientide ja töötajate isikuandmete eest. Isikuandmete kaitse üldmääruse (IKÜM ehk GDPR) kohaselt oled sa siis vastutav töötleja. Siit loed, millal on tegemist andmelekkega, millal pead sellest teatama ja mida teed kohe. See on üldine selgitus, mitte õigusnõustamine, kahtluse korral vaata Hollandi Andmekaitseasutuse (Autoriteit Persoonsgegevens, AP) veebilehte või küsi nõu juristilt.
Mis on andmeleke?
IKÜMi, Euroopa privaatsusseaduse kohaselt on tegemist turvarikkumisega, mille tõttu isikuandmed lähevad kaotsi, hävivad, muutuvad või jõuavad kellegi kätte, kellel ei tohiks neile juurdepääsu olla (artikkel 4, punkt 12). Isikuandmed on andmed tuvastatava isiku kohta, näiteks nimi, e-posti aadress, aadress või tellimuste ajalugu. Seega ei puuduta see ainult häkkereid. Näited:
- kiri või manus isikuandmetega, mis läheb valele saajale;
- kadunud või varastatud sülearvuti, telefon või usbpulk isikuandmetega, mida ei olnud krüpteeritud;
- häkitud e-postkast, kus on arved, pakkumised või kandideerimiskirjad;
- veebileht või e-pood, millest on varastatud klientide andmed;
- lunavara, mille tõttu sa ei pääse enam ligi oma klientide andmetele, isegi kui midagi ei ole kopeeritud.
Esimesed sammud
- Peata leke. Palu valel saajal kiri kustutada ja seda kinnitada. Muuda ülevõetud e-postkasti parool seadmest, mida usaldad (vaata Turvalised paroolid ja mida teed lekkinud parooli puhul).
- Pane kirja, mis juhtus. Mis on põhjus, millal see algas, millised andmed on tegemist, kui paljude inimeste andmed, kellel on neile juurdepääs ja kas andmed olid krüpteeritud? Kirjuta kõik üles koos kuupäeva ja kellaajaga.
- Hinda riski inimestele, kelle andmetega on tegu (vaata allpool).
- Teata sellest AP-le, kui see on vajalik, 72 tunni jooksul.
- Teavita andmesubjekte, kui risk neile on suur.
- Kanna see oma andmelekkeregistrisse. Seda teed alati.
Kas pean sellest teatama Andmekaitseasutusele?
Andmelekkest teatad põhjendamatu viivituseta ja võimalusel 72 tunni jooksul pärast selle avastamist. Seda ei pea tegema, kui see tõenäoliselt ei kujuta ohtu inimestele, kelle andmetega on tegu (IKÜMi artikkel 33).
- Kell hakkab käima, kui sa sellest teada saad, mitte siis, kui leke juhtus. Nädalavahetus loetakse kaasa: avastad selle reedel kell 16:40, siis teatad hiljemalt esmaspäeval kell 16:40.
- Mittetäielik teatamine on lubatud. Kui sa ei tea 72 tunni pärast veel kõike, teata sellest, mida tead, ja täienda teadet hiljem.
- Ainult veebis. Teatad AP teatevormi kaudu, mitte telefoni, e-posti või posti teel. AP küsimustik aitab teadet ette valmistada.
- Kahtled? AP soovitab sellisel juhul siiski teatada.
Need küsimused aitavad kaaluda:
| Küsimus | Madalam risk | Kõrgem risk |
|---|---|---|
| Millised andmed? | Ainult ärilised kontaktandmed | Isikukood, isikut tõendava dokumendi koopia, pangaandmed, paroolid, meditsiinilised andmed, laste andmed |
| Kui palju inimesi? | Üks või mõned | Palju |
| Kas loetav neile, kellel see on? | Hästi krüpteeritud, võti ei ole lekkinud | Loetav, või parool on samuti lekkinud |
| Kellel see on? | Tuntud saaja, kes kinnitab, et on selle kustutanud | Tundmatu isik, kurjategija või avalikult internetis |
Üks näide: kui varastatakse hästi krüpteeritud sülearvuti, siis tõenäoliselt riski ei ole. Sel juhul ei pea sellest teatama, kuid kanna see ikkagi oma registrisse. Krüpteerimata sülearvutilt saab leidja kõike lugeda, siis on tavaliselt risk olemas.
Millal teavitad andmesubjekte?
Kui leke kujutab tõenäoliselt suurt riski inimestele, kelle andmetega on tegu, siis teavitad neid viivitamata (IKÜMi artikkel 34). Räägi lihtsas keeles, mis juhtus, millised võivad olla tagajärjed, mida sina teed ja mida nemad ise saavad teha, näiteks parooli muutmine või tähelepanu pööramine sinu nime all tehtavale õngitsusele.
Seda ei pea tegema, kui andmed olid hea krüpteerimise tõttu loetamatud, või kui oled pärast seda võtnud meetmeid, mille tõttu suur risk ei ole enam tõenäoline. Kui kõigi inimeste teavitamine nõuaks ebaproportsionaalselt suurt pingutust, teed selle asemel avaliku teadaande.
Andmelekkeregister: pea alati korras
Iga andmelekke paned kirja, ka siis, kui sa sellest ei teata (artikkel 33 lõige 5). Märgi üles faktid, tagajärjed, meetmed ja oma kaalutlus: miks sa teatasid või mitte ning miks sa teavitasid andmesubjekte või mitte. AP-l on olemas näidis andmelekkeregistri jaoks.
Mis siis, kui leke on tarnija poolel?
Sinu veebimajutusettevõte, pilves olev raamatupidamistarkvara või uudiskirja teenus on IKÜMi kohaselt volitatud töötleja: osapool, kes töötleb isikuandmeid sinu ülesandel. Volitatud töötleja peab sind põhjendamatu viivituseta teavitama, kui ta avastab andmelekke (artikkel 33 lõige 2). Seejärel otsustad sina, kas pead sellest teatama, ja põhimõtteliselt teatad sellest ka ise.
See kehtib ka siis, kui WebOké on sinu volitatud töötleja. Arvad, et leke on meie poolel, näiteks meie serverites? Võta siis kohe meiega ühendust piletiga Tugikeskuses, kirjeldades, mida märkasid ja millal.
Loe edasi
- WebOké Varukoopiad: varukoopia vaatamine, taastamine või allalaadimine
- Autoriteit Persoonsgegevens: teatada või mitte
- Autoriteit Persoonsgegevens: kuidas andmelekkest teatada
- Autoriteit Persoonsgegevens: teatevormi küsimustik
- Autoriteit Persoonsgegevens: andmelekkeregistri näidis
- IKÜM, artiklid 4, 33 ja 34 (EUR-Lex)