DPO WorkspaceAloita maksutta

Tietosuoja-asetus, artiklat 33 ja 34

72 tuntia alkaa aiemmin kuin luulet

Määräaika ei ala tapahtumasta eikä tutkinnan valmistumisesta vaan siitä hetkestä, jona rekisterinpitäjä tuli tietoiseksi loukkauksesta. Ilmoitus tehdään tietosuojavaltuutetun toimistolle, ja se on tehtävä myös vaillinaisin tiedoin: artiklan 33 kohta 4 sallii täydentämisen vaiheittain.

Suurin osa loukkauksista ei kuitenkaan päädy ilmoitukseen, ja juuri siinä on se kohta jonka useimmat ohittavat: artiklan 33 kohta 5 vaatii kirjaamaan myös ne loukkaukset, joita ei ilmoiteta — perusteluineen. Ilman tuota rekisteriä arviota ei voi jälkikäteen näyttää toteen.

Loukkaus ei tarkoita vain vuotoa

Määritelmä kattaa luottamuksellisuuden lisäksi eheyden ja saatavuuden: kiristysohjelma joka salaa tiedot on loukkaus vaikka mitään ei olisi vuotanut ulos, samoin vahingossa poistettu ainoa kopio. Sähköposti väärälle vastaanottajalle on loukkaus siinä missä tietomurto — ja se on käytännössä yleisin.

Mitä ilmoituksessa on artiklan 33 kohdan 3 mukaan oltava

  • Loukkauksen luonne, mukaan lukien rekisteröityjen ja tietueiden ryhmät ja lukumäärät jos mahdollista
  • Tietosuojavastaavan tai muun yhteyspisteen nimi ja yhteystiedot
  • Loukkauksen todennäköiset seuraukset
  • Toteutetut tai ehdotetut toimenpiteet loukkaukseen puuttumiseksi ja haittojen lieventämiseksi

Sähköpostiketju vai loukkausrekisteri

SähköpostiDPO Workspace
Määräaika alkaa tietoisuushetkestä automaattisesti
Ilmoittamatta jätetyt loukkaukset kirjattuina perusteluineen
Loukkaus kytkettynä käsittelytoimeen ja sen riskiarvioon
Rekisteröityjen ilmoitus artiklan 34 mukaan erikseen arvioituna
Rekisteri asiakaskohtaisesti eroteltuna

Kello käy myös viikonloppuna

72 tuntia on kalenteriaikaa, ei työaikaa. Perjantai-iltapäivänä havaittu loukkaus on ilmoitettava maanantaiaamuun mennessä. DPO Workspace laskee määräajan tietoisuushetkestä ja näyttää sen samassa näkymässä kaikkien asiakkaiden osalta.

Kokeile maksutta

Usein kysyttyä

Mistä hetkestä 72 tuntia lasketaan?

Siitä, kun rekisterinpitäjä on tullut tietoiseksi loukkauksesta — ei siitä, kun tapahtuma sattui, eikä siitä, kun tutkinta on valmis. Tietoisuus tarkoittaa kohtuullista varmuutta siitä, että tietoturvapoikkeama on tapahtunut ja että se on koskenut henkilötietoja. Käsittelijän on ilmoitettava rekisterinpitäjälle ilman aiheetonta viivytystä (artikla 33 kohta 2), ja tuo hetki käynnistää rekisterinpitäjän kellon.

Onko jokainen loukkaus ilmoitettava?

Ei. Ilmoitus jää tekemättä, jos loukkauksesta ei todennäköisesti aiheudu riskiä luonnollisten henkilöiden oikeuksille ja vapauksille. Tämä ei ole vapautus dokumentoinnista: artiklan 33 kohta 5 velvoittaa kirjaamaan kaikki loukkaukset, myös ilmoittamatta jätetyt, ja perustelemaan päätöksen. Se on nimenomaan se aineisto, jolla valvontaviranomainen tarkistaa arvion.

Milloin rekisteröidyille on ilmoitettava?

Kun loukkaus todennäköisesti aiheuttaa korkean riskin (artikla 34). Ilmoitusta ei tarvita, jos tiedot oli suojattu esimerkiksi salauksella niin että ne ovat käyttökelvottomia, jos riski on jälkikäteisin toimin torjuttu, tai jos ilmoitus vaatisi kohtuutonta vaivaa — jolloin tilalle tulee julkinen tiedote.

Entä jos kaikkia tietoja ei ole 72 tunnissa?

Ilmoitus tehdään silti. Artiklan 33 kohta 4 sallii tietojen toimittamisen vaiheittain ilman aiheetonta viivytystä. Myöhästynyt ilmoitus on perusteltava. Odottaminen täydellisen kuvan saamiseksi on tavallisin syy siihen, että määräaika ylittyy.

Kuka ilmoituksen tekee, jos loukkaus tapahtui toimittajan järjestelmässä?

Rekisterinpitäjä. Käsittelijä ilmoittaa rekisterinpitäjälle, rekisterinpitäjä valvontaviranomaiselle. Käsittelysopimuksessa on syytä sopia ilmoituksen määräajasta ja sisällöstä: pelkkä 'ilman aiheetonta viivytystä' jättää rekisterinpitäjälle liian vähän aikaa omasta 72 tunnistaan.

Myös se mitä ei ilmoiteta on kirjattava

Artiklan 33 kohdan 5 rekisteri, määräajat ja perustelut — asiakasta kohden.

Aloita maksutta