Andmelekked ja teavitamiskohustus

Moodul 8: Kui asjad lähevad valesti · Lugemisaeg: 11 minutit

Õpieesmärk: pärast seda õppetundi oskad kindlaks teha, kas tegemist on andmelekkega, kas pead sellest 72 tunni jooksul teatama Andmekaitse Inspektsioonile ja kas pead teavitama ka asjaomaseid inimesi, ning oskad selle kirja panna andmelekkeregistrisse.

Põhimõisted: isikuandmed, andmeleke (isikuandmetega seotud rikkumine), vastutav töötleja, volitatud töötleja, GDPR artikkel 33 ja 34, andmelekkest teatamise vorm, 72 tundi, risk ja kõrge risk, andmelekkeregister

Mis on andmeleke?

Sõna "andmeleke" peale mõeldakse tavaliselt häkkereid, kes varastavad andmebaasi. See on üks vorm, aga GDPR kasutab laiemat määratlust: isikuandmetega seotud rikkumine on turvanõuete rikkumine, mis juhuslikult või ebaseaduslikult põhjustab isikuandmete hävimise, kaotsimineku, muutmise, loata avalikustamise või neile loata juurdepääsu (artikkel 4, punkt 12).

Isikuandmed on kõik andmed tuvastatava inimese kohta: nimi, e-posti aadress nagu jan.jansen@..., telefoninumber, aadress, kliendinumber koos tellimuste ajalooga, foto, IP-aadress koos muude andmetega. Andmed ettevõtte kui sellise kohta (äriregistri number, üldine aadress) ei ole isikuandmed, aga andmed kontaktisiku kohta on.

Seega on kõik järgnevad näited andmelekked:

• kiri kliendinimekirjaga, mis saadetakse valele saajale;
• uudiskiri, kus kõik saajad on nähtaval Saaja või koopia väljal;
• kadunud mälupulk või sülearvuti personaliandmetega, kui see ei olnud krüpteeritud;
• lunavara, mis krüpteerib klientide andmebaasi (andmed ei ole siis kättesaadavad, isegi kui midagi ei kopeeritud);
• ülevõetud e-postkast, kus on arved nimede ja aadressidega;
• jagatud link kaustale kandideerimiskirjadega, mis on kõigile avatud.

Sõnastus "turvanõuete rikkumine" näitab, et asi ei puuduta ainult konfidentsiaalsust. Loeb ka kadumine (andmed on läinud) ja muutmine (keegi on muutnud kontonumbreid).

Kes vastutab: sina või sinu tarnija?

GDPR eristab kahte rolli.

• Vastutav töötleja otsustab, miks ja kuidas isikuandmeid töödeldakse. Sinu klientide ja töötajate andmete puhul oled see sina, ettevõtjana.
• Volitatud töötleja töötleb andmeid sinu tellimusel: sinu majutusettevõte, sinu pilves olev raamatupidamistarkvara, sinu uudiskirjateenus, sinu IT-tarnija.

Kui leke juhtub volitatud töötleja juures, peab see sind põhjendamatu viivituseta teavitama (artikkel 33 lõige 2). Seejärel otsustad sina, kas pead teatama Andmekaitse Inspektsioonile ja asjaomastele inimestele, ning üldjuhul teatad ka ise (kui ei ole kokku lepitud, et volitatud töötleja teeb seda sinu nimel). Kohustus jääb seega sinu peale, isegi kui viga oli kellegi teise juures. Seepärast on andmetöötluslepingus kokkulepped selle kohta, kui kiiresti ja kuidas volitatud töötleja sind teavitab (õppetund 7.2).

72 tunni kell

GDPR artikkel 33 ütleb, et andmelekkest tuleb teatada Andmekaitse Inspektsioonile põhjendamatu viivituseta ja võimaluse korral 72 tunni jooksul pärast seda, kui sellest teada said. Erand: ebatõenäoline, et leke kujutab endast ohtu inimeste õigustele ja vabadustele.

Neli punkti jäävad tihti valesti mõistetuks:

1. Kell hakkab käima siis, kui saad sellest teada, mitte siis, kui leke tegelikult juhtus. "Teada saamine" tähendab: oled piisavalt kindel, et tegemist on rikkumisega, mis puudutab isikuandmeid. Lühike esialgne hindamine on lubatud, aga see, kes teadlikult ei vaata, ei lükka kella edasi.
2. 72 tundi on 72 tundi, ka nädalavahetusel ja riigipühadel. Kui avastad lekke reedel kell 16:40, on tähtaeg esmaspäeval kell 16:40.
3. Osaline teade on lubatud. Kui 72 tunni möödudes ei tea veel kõike, teata sellest, mida tead, ja täienda hiljem. Kui teatad hiljem kui 72 tunni jooksul, pead seda põhjendama (GDPR artikkel 33).
4. Oluline on risk inimestele, mitte kahju sinu ettevõttele.

Avastatud: reede     16:40   -> kell käivitub
          laupäev             (läheb arvesse)
          pühapäev            (läheb arvesse)
Hiljemalt esmaspäev 16:40   -> teade Andmekaitse Inspektsioonile (vajadusel osaline)

Teate esitad tavaliselt Andmekaitse Inspektsiooni veebilehel oleva veebivormi kaudu. Teate saad ette valmistada. Täidad muu hulgas, mis juhtus, millal, millised ja kui palju andmeid ja inimesi see puudutab, millised võivad olla tagajärjed ja milliseid meetmeid võtsid. Siin tasub ennast ära logiraamat õppetunnist 8.1.

Millal teatada ja millal mitte: riskihinnang

Hindad, kui tõenäolised ja kui tõsised on tagajärjed asjaomastele inimestele. Mõtle: identiteedivargus, rahaline kahju, diskrimineerimine, maine kahju või kontrolli kaotamine oma andmete üle. Abistavad küsimused:

Kaks näidet, mis tihti korduvad:

• Varastati krüpteeritud sülearvuti, tugev parool, võti ei lekkinud, hiljutine varukoopia: tõenäoliselt ohtu ei ole. Ei pea teatama Andmekaitse Inspektsioonile, aga pane kirja oma registrisse.
• Veebipood häkiti, ründaja sai e-posti aadressid ja nõrgalt salvestatud paroolid: risk, seega tuleb teatada. Ja kuna inimesed kasutavad sageli sama parooli mitmel pool (õppetund 1.4), on risk kõrge: teavita ka asjaomaseid inimesi.

Kahtled? Siis on teatamine tavaliselt turvalisem valik. Kahtluse korral on mõistlik teatada. Uue info annad edasi hilisema täiendava teatega.

Asjaomaste inimeste teavitamine: kõrge riski korral

Artikkel 34 käsitleb inimesi, kelle andmetega on tegu. Kui leke kujutab tõenäoliselt kõrget riski, teavitad neid viivitamata: nii kiiresti kui mõistlikult võimalik. Selle jaoks ei kehti 72 tunni tähtaeg, aga ootamine, kuni kõik on välja selgitatud, ei ole ka mõeldud.

Teates on selges keeles kirjas, mis juhtus, millised on tõenäolised tagajärjed, mida sina teed ja mida nemad ise saavad teha (näiteks muuta parooli mujal, olla valvas phishingu suhtes sinu nimel, hoiatada oma panka), lisaks kontaktisik.

Teavitamine ei ole vajalik, kui olid rakendanud asjakohaseid meetmeid, mis muudavad andmed loetamatuks (näiteks hea krüpteerimine), kui võtsid hiljem meetmeid, mille tõttu kõrge risk ei ole enam tõenäoline, või kui see nõuaks ebaproportsionaalset pingutust: siis teed avaliku teadaande (artikkel 34 lõige 3).

Pane tähele: phishing järgneb sageli andmelekkele. Kurjategijad teavad siis, kes on su kliendid, ja saadavad kirja "sinu nimel". Hoiata selle eest ka oma kliente.

Andmelekkeregister: alati

Artikkel 33 lõige 5 kohustab sind kirja panema iga andmelekke, isegi kui sa sellest ei teata. Pane kirja: faktid, tagajärjed, meetmed ja oma kaalutlus (miks teatasid või ei teatanud, miks teavitasid või ei teavitanud). Vormi võid ise valida; Andmekaitse Inspektsioonil on näidis-andmelekkeregister. Lihtne tabel on piisav:

Nr | Avastatud (kuupäev/kellaaeg) | Mis juhtus | Millised andmed, kui palju inimesi
   | Tagajärjed | Meetmed | Teatatud Andmekaitse Inspektsioonile? (jah/ei + miks, kuupäev)
   | Asjaomased teavitatud? (jah/ei + miks) | Lahendatud (kuupäev)

Register aitab ka sind ennast: kui näed kolm korda aastas "kiri valele saajale", tead, kus tuleb parandada (näiteks viivitus saatmisel, või kliendinimekirjad enam mitte manusena, õppetund 7.3).

Andmeleke ja küberturvalisuse seadus: kaks erinevat teadet

Kui sinu organisatsioon kuulub küberturvalisuse seaduse (NIS2, õppetund 9.1) kohaldamisalasse, kehtib lisaks teavitamiskohustus olulistest intsidentidest: esialgne hoiatus 24 tunni jooksul, teade 72 tunni jooksul ja lõpparuanne ühe kuu jooksul, RIA kaudu. See on teistsugune teade, teistsuguse eesmärgiga (teenuste järjepidevus) ja teisele asutusele. Lunavararünnak võib seega kuuluda mõlema alla. Enamik väikeettevõtteid ei kuulu küberturvalisuse seaduse kohaldamisalasse; GDPR-i teavitamiskohustus kehtib aga kõigile.

See õppetund annab üldist selgitust ega ole õigusnõustamine. Kahtluse korral pöördu Andmekaitse Inspektsiooni veebilehe või juristi poole.

Kokkuvõte

• Andmeleke on iga rikkumine, mille tagajärjel isikuandmed kaovad, muutuvad, või satuvad kellegi kätte, kellel ei tohiks neile juurdepääsu olla; ka kiri valele saajale või kadunud krüpteerimata sülearvuti.
• Teatamine Andmekaitse Inspektsioonile: põhjendamatu viivituseta ja võimaluse korral 72 tunni jooksul pärast avastamist, ka nädalavahetusel, välja arvatud juhul, kui ohtu tõenäoliselt ei ole. Osaline teade on lubatud.
• Asjaomaste teavitamine: viivitamata, kui on tõenäoliselt kõrge risk.
• Kui leke juhtub volitatud töötleja juures, peab see sind teavitama; otsus teatamise kohta on sinu teha.
• Pane iga andmeleke kirja oma andmelekkeregistrisse, koos oma kaalutlusega.

Test

Ülesanne

Ülesanne A8.2: Arvuta tähtaeg välja. Saad neli avastamise hetke. Täida iga hetke kohta kuupäev ja kellaaeg, milleks on vaja Andmekaitse Inspektsioonile teatada. Programm kontrollib selle üle.

Ülesanne A8.2b: Teavitada või mitte? Saad kaheksa lühikest juhtumit. Vali iga juhtumi kohta, kas pead teatama Andmekaitse Inspektsioonile, kas pead teavitama asjaomaseid inimesi ja kas kannad selle oma andmelekkeregistrisse. Programm kontrollib ja annab iga juhtumi kohta selgituse.

Rohkem lugemist

WebOké artiklites kirjeldatud sammud kehtivad WebOké keskkonna kohta; teiste pakkujate juures töötab see sarnaselt.

• Appi! Minu sait on häkitud. Kuidas seda parandada või ennetada?
• Andmekaitse Inspektsioon (AKI), näidis-andmelekkeregister: https://www.aki.ee/
• Andmekaitse Inspektsioon (AKI), teavitamiskohustus andmelekke korral: https://www.aki.ee/
• Andmekaitse Inspektsioon (AKI), teatamisvormi küsimustik: https://www.aki.ee/
• GDPR (määrus (EL) 2016/679), artiklid 4, 33 ja 34: https://eur-lex.europa.eu/eli/reg/2016/679/oj
• Riigi Infosüsteemi Amet (RIA), andmelekkest teatamine: https://www.ria.ee/