TL;DR
UODO:n puheenjohtaja julkaisi 5.10.2026 ohjeet 33 artiklan 1 kohdan ilmoituskynnyksestä sen jälkeen, kun sopimuskumppanitietokantoihin ja laskutusjärjestelmiin oli kohdistunut useita luvattomia pääsyjä. Jos paljastuivat vain elinkeinonharjoittajien tiedot, jotka ovat jo julkisia CEIDG-rekisterissä (nimi, toiminimi, NIP, virallinen osoite), riski on yleensä epätodennäköinen eikä ilmoitusta ehkä tarvita. Jos niiden mukana vuoti PESEL-tunnus, terveydentilan tai muita erityisiä tietoryhmiä paljastavia ostotietoja tai taloudellisia tietoja, ilmoitus on tehtävä; korkean riskin tapauksessa myös rekisteröidyille (34 artikla). Aina: dokumentoitu riskinarvio ja ilmoittamatta jättämisen perusteet sisäiseen rekisteriin.
Tausta
Puolan viimeisimmissä tapauksissa luvaton pääsy ei kohdistunut kuluttaja-asiakkaiden rekistereihin vaan sopimuskumppanitietokantoihin ja laskutusjärjestelmiin: luetteloihin yrityksistä ja ammatinharjoittajista, joiden kanssa organisaatio toimii. UODO edellyttää jokaiselta rekisterinpitäjältä huolellista tapauskohtaista riskinarviointia, jonka tulos ratkaisee ilmoitusvelvollisuuden.
Milloin ilmoitusta ei ehkä tarvita
Tyypillinen tapaus ovat yksityiset elinkeinonharjoittajat, joiden paljastuneet tiedot vastaavat sitä, minkä kuka tahansa voi tarkistaa julkisesta CEIDG-rekisteristä: etu- ja sukunimi, toiminimi, NIP ja toiminnan virallinen osoite. Viranomaisen mukaan tällaisten tietojen luottamuksellisuuden menetys ei yleensä anna sivullisille uusia keinoja vahingoittaa rekisteröityä. Muissa maissa on vastaavia kaupparekistereitä, mutta arviointi on aina tehtävä konkreettisen tapauksen pohjalta.
Milloin ilmoitus on pakollinen
- PESEL, Puolan kansallinen henkilötunnus: identiteettivarkauden, petosten ja rekisteröidyn nimiin otettujen velkojen riski.
- OSTO- TAI PALVELUTIEDOT, jotka paljastavat terveydentilan tai muita erityisiä tietoryhmiä: yksityisyyden loukkauksen, syrjinnän ja luvattoman profiloinnin riski.
- TALOUDELLISET TIEDOT: petosten sekä väärennettyjen laskujen tai maksujen riski.
Ilmoittamatta jättäminen ei tarkoita dokumentoimatta jättämistä
Vaikka rekisterinpitäjä päätyisi siihen, ettei ilmoitusta tarvita, sen on silti tehtävä ja dokumentoitava riskinarvio ja kirjattava sisäiseen loukkausrekisteriin perusteet, joiden vuoksi ilmoitusta ei tehty. Tietosuoja-asetus edellyttää kaikkien loukkausten dokumentointia, ilmoitettiin niistä tai ei (33 artiklan 5 kohta). Päätös jättää ilmoittamatta ilman kirjallista jälkeä on tarkastuksessa puolustuskyvytön.
Mitä tämä tarkoittaa tietosuojavastaavalle
Viisi askelta laskutusohjelman häiriötilanteessa
Yksi: selvitä tarkasti, mitkä kentät paljastuivat, tietue tietueelta, sen sijaan että puhutaan abstraktisti «tietokannasta». Kaksi: erota jo julkiset tiedot kaikesta muusta (IBAN, summat, palvelukuvaukset, henkilökohtaiset yhteystiedot, muistiinpanot). Kolme: kirjaa arvio päivämäärineen, laatijoineen, kriteereineen ja johtopäätöksineen, ja avaa se uudelleen, jos uusia tietoja ilmenee. Neljä: seuraa 72 tunnin määräaikaa, joka alkaa loukkauksen tietoon tulosta eikä analyysin valmistumisesta. Viisi: jos tapaus sattui käsittelijällä, tarkista, että se ilmoitti rekisterinpitäjälle ilman aiheetonta viivytystä (33 artiklan 2 kohta) ja että sopimus edellyttää sitä.
UODO:n tulkinta on linjassa Euroopan tietosuojaneuvoston loukkausilmoituksia koskevien ohjeiden 9/2022 kanssa: kynnys ei ole tapauksen koettu vakavuus vaan ihmisille aiheutuva riski. Puolalaisen ohjeen käytännön arvo on esimerkeissä, jotka näyttävät, mikä tekee sopimuskumppaniluettelosta ilmoitettavan ongelman.
Etsitkö työkalua tietosuojavastaavan työhösi?
DPO Workspace on sertifioidun tietosuojavastaavan rakentama. 30 päivää maksutta.
Aloita maksutta
