TL;DR
Euroopan tietosuojaneuvoston 8. lokakuuta julkaisemalla päätöksellä 28.7.2026 Kreikan tietosuojaviranomainen määräsi sosiaalisen yhteenkuuluvuuden ja perheasioiden ministeriölle (rekisterinpitäjä) 200 000 euroa ja sen järjestelmiä ylläpitäneelle paikallisen kehityksen virastolle E.E.T.A.A. S.A:lle (käsittelijä) 150 000 euroa. Ministeriö oli ilmoittanut ja tiedottanut oikein; seuraamus koskee turvallisuutta ja käsittelijäsuhdetta. Artiklat: 25, 28, 32, 33 ja 34.
Mitä tapahtui
Laaja kyberhyökkäys osui E.E.T.A.A:n järjestelmiin, joilla toteutettiin ministeriön ohjelmia. Tietokannoissa oli hyvin monien ihmisten tietoja: tunniste- ja yhteystietoja, taloustietoja ja terveystietoja.
Mitä viranomainen totesi
- OIKEA ILMOITUS. Ministeriö täytti rekisterinpitäjänä velvollisuutensa ilmoittaa viranomaiselle ja tiedottaa rekisteröidyille (33 ja 34 art.).
- VANHENTUNEET JÄRJESTELMÄT. Hyökkäys onnistui, koska E.E.T.A.A. käytti yhä vanhentuneita järjestelmiä ja riittämättömiä suojatoimia, vaikka tiesi riskit (32 art.).
- SÄÄNTELEMÄTÖN SUHDE. Puutteita 28 artiklan osalta: rekisterinpitäjän ja käsittelijän suhdetta ei ollut järjestetty tietosuoja-asetuksen edellyttämällä tavalla.
- SEURAAMUS MOLEMMILLE. 200 000 euroa ministeriölle ja 150 000 E.E.T.A.A:lle sekä määräys tehdä 28 artiklan sopimus ja toteuttaa suunnitellut turvatoimet.
Hyvä ilmoitus ei pelasta rekisterinpitäjää
Loukkauksen käsittely oli oikea, ja silti rekisterinpitäjä maksaa. Syy on aiemmin: 28 artikla edellyttää käyttämään vain käsittelijöitä, jotka antavat riittävät takeet, ja sopimaan suhteesta kirjallisesti. Vanhentuneita järjestelmiä käyttävä toimittaja ilman sitovaa sopimusta on ensin rekisterinpitäjän riski.
Mitä tämä tarkoittaa tietosuojavastaavalle
Neljä tarkistusta
Yksi: jokaiselle asiakkaan puolesta tietoja käsittelevälle toimittajalle allekirjoitettu 28 artiklan sopimus, myös kun toimittaja on julkinen toimija tai valtionyhtiö. Kaksi: sopimukseen vähimmäisturvatoimet ja oikeus tarkastaa ne, myös järjestelmäpäivitykset. Kolme: dokumentoitu säännöllinen arviointi toimittajista, jotka käsittelevät terveys- tai taloustietoja. Neljä: jos toimittaja tietää riskin eikä korjaa sitä, rekisterinpitäjän on tiedettävä ja päätettävä — tietosuojavastaavan kirjallisen lausunnon hetki.
Tapaus on hyödyllinen myös toisesta syystä: se osoittaa, että viranomaiset määräävät seuraamuksen suoraan käsittelijälle, kun loukkauksen syy on sen. Käsittelijä ei ole rekisterinpitäjän «suojassa»: sillä on omat turvallisuusvelvoitteensa, ja se vastaa niistä.
Etsitkö työkalua tietosuojavastaavan työhösi?
DPO Workspace on sertifioidun tietosuojavastaavan rakentama. 30 päivää maksutta.
Aloita maksutta
