Kas see on andmeleke ja kas pean sellest teatama?
Ettevõtjana vastutad oma klientide ja töötajate isikuandmete eest. Isikuandmete kaitse üldmääruses (IKÜM) nimetatakse sind sel juhul vastutavaks töötlejaks. Siit loed, millal on tegemist andmelekkega, millal pead sellest teatama ja mida kohe teha. See on üldine selgitus, mitte õigusnõu. Kahtluse korral vaata Hollandi andmekaitseasutuse Autoriteit Persoonsgegevens (AP) veebisaiti või küsi nõu juristilt.
Mis on andmeleke?
IKÜMi ehk Euroopa privaatsusseaduse järgi on see turvarikkumine, mille tõttu isikuandmed lähevad kaotsi, hävitatakse või muudetakse või satuvad kellegi kätte, kellel pole neile ligipääsu õigust (artikli 4 punkt 12). Isikuandmed on andmed tuvastatava inimese kohta, näiteks nimi, e-posti aadress, aadress või tellimuste ajalugu. Seega ei puuduta see ainult häkkereid. Näited:
- isikuandmetega e-kiri või manus, mis läheb valele saajale;
- kaotatud või varastatud sülearvuti, telefon või USB-mälupulk, millel olnud isikuandmed polnud krüpteeritud;
- häkitud postkast, kus on arved, hinnapakkumised või kandideerimiskirjad;
- veebisait või e-pood, kust on varastatud kliendiandmeid;
- lunavara, mille tõttu ei pääse enam oma kliendiandmetele ligi, isegi kui midagi pole kopeeritud.
Esimesed sammud
- Peata leke. Palu valel saajal kiri kustutada ja seda kinnitada. Muuda ülevõetud postkasti parool seadmest, mida usaldad (vaata Turvalised paroolid ja mida teha lekkinud parooli korral).
- Selgita välja, mis juhtus. Mis on põhjus, millal see algas, milliste andmetega on tegu, mitme inimese andmed need on, kellel on neile ligipääs ja kas andmed olid krüpteeritud? Pane kõik kirja koos kuupäeva ja kellaajaga.
- Hinda riski inimestele, kelle andmetega on tegu (vaata allpool).
- Teata AP-le, kui see on vajalik, 72 tunni jooksul.
- Teavita andmesubjekte, kui risk neile on suur.
- Kanna leke oma andmelekete registrisse. Seda tee alati.
Kas pean teatama Autoriteit Persoonsgegevensile?
Teata andmelekkest põhjendamatu viivituseta ja võimaluse korral 72 tunni jooksul pärast selle avastamist. Seda pole vaja teha, kui leke tõenäoliselt ei too kaasa ohtu inimestele, kelle andmetega on tegu (IKÜMi artikkel 33).
- Aeg hakkab jooksma siis, kui sa lekkest teada saad, mitte siis, kui leke toimus. Nädalavahetus läheb arvesse: kui avastad lekke reedel kell 16:40, teata hiljemalt esmaspäeval kell 16:40.
- Puudulik teade on lubatud. Kui 72 tunni möödudes ei tea veel kõike, teata sellest, mida tead, ja täienda teadet hiljem.
- Ainult veebis. Teata AP teatamisvormi kaudu, mitte telefoni, e-posti ega posti teel. AP küsimustiku abil saad teate ette valmistada.
- Kahtled? AP soovitab sel juhul siiski teatada.
Need küsimused aitavad otsustada:
| Küsimus | Väiksem risk | Suurem risk |
|---|---|---|
| Milliseid andmeid? | Ainult ärilised kontaktandmed | Isikukood (BSN), isikut tõendava dokumendi koopia, pangaandmed, paroolid, terviseandmed, laste andmed |
| Mitme inimese andmed? | Ühe või mõne | Paljude |
| Kas andmed on loetavad sellele, kellel need on? | Hästi krüpteeritud, võti pole lekkinud | Loetavad või on lekkinud ka parool |
| Kellel need on? | Tuntud saajal, kes kinnitab, et on need kustutanud | Tundmatul, kurjategijal või avalikult internetis |
Näide: kui varastatakse hästi krüpteeritud sülearvuti, siis riski tõenäoliselt pole. Teatama ei pea, kuid kanna juhtum siiski oma registrisse. Krüpteerimata sülearvutist saab leidja kõike lugeda ja siis on risk enamasti olemas.
Millal teavitada andmesubjekte?
Kui leke tõenäoliselt toob kaasa suure riski inimestele, kelle andmetega on tegu, teavita neid viivitamata (IKÜMi artikkel 34). Räägi lihtsas keeles, mis juhtus, millised võivad olla tagajärjed, mida sina teed ja mida nemad ise saavad teha, näiteks parooli muuta või olla eriti tähelepanelik sinu nimel saadetava õngitsuse suhtes.
Seda pole vaja teha, kui andmed olid hea krüpteerimise tõttu loetamatud või kui oled hiljem võtnud meetmeid, mille tõttu suur risk pole enam tõenäoline. Kui kõigini jõudmine nõuaks ebaproportsionaalset pingutust, tee avalik teadaanne.
Andmelekete register: pea seda alati
Dokumenteeri iga andmeleke, ka siis, kui sa sellest ei teata (artikli 33 lõige 5). Pane kirja asjaolud, tagajärjed, meetmed ja oma kaalutlused: miks teatasid või ei teatanud ning miks teavitasid või ei teavitanud andmesubjekte. AP-l on olemas andmelekete registri näidis.
Mis siis, kui leke on tarnija juures?
Sinu majutusettevõte, pilvepõhine raamatupidamistarkvara või uudiskirjateenus on IKÜMi järgi volitatud töötleja: osapool, kes töötleb isikuandmeid sinu ülesandel. Volitatud töötleja peab sind põhjendamatu viivituseta teavitama, kui ta avastab andmelekke (artikli 33 lõige 2). Seejärel hindad sina, kas pead teatama, ja põhimõtteliselt teatad ka ise.
See kehtib ka siis, kui WebOké on sinu volitatud töötleja. Kokkulepped selle kohta on meie andmetöötluslepingus, vaata Andmetöötlusleping: kust selle leian? Arvad, et leke on meie juures, näiteks meie serverites? Võta meiega kohe ühendust Tugikeskuse pileti kaudu ja kirjelda, mida nägid ja millal.
Loe edasi
- WebOké Backups: varukoopia vaatamine, taastamine või allalaadimine
- Autoriteit Persoonsgegevens: kas teatada või mitte
- Autoriteit Persoonsgegevens: kuidas andmelekkest teatada
- Autoriteit Persoonsgegevens: teatamisvormi küsimustik
- Autoriteit Persoonsgegevens: andmelekete registri näidis
- IKÜM, artiklid 4, 33 ja 34 (EUR-Lex)
Tahad rohkem teada? Läbi tasuta kursus Turvaliselt veebis ettevõtjatele, õppetund 8.2 Andmelekked ja teatamiskohustus.