Rikkumiste käsitlemise kord määrab, kuidas organisatsioon avastab isikuandmetega seotud turvaintsidendi, piirab selle mõju, hindab inimeste riske ja otsustab teavitamise. Hea kord aitab tegutseda ka siis, kui tavapärane infosüsteem ei tööta või peamine vastutaja on puhkusel. See peab ühendama tehnilise reageerimise, õigusliku hindamise ja dokumenteerimise, mitte jagama neid tegevusi üksteise järel algavateks päevadeks.
GDPR artikli 33 järgi teatab vastutav töötleja pädevale järelevalveasutusele põhjendamatu viivituseta ja võimaluse korral hiljemalt 72 tunni jooksul rikkumisest teada saamisest, välja arvatud juhul, kui oht inimeste õigustele ja vabadustele on ebatõenäoline. Kõik isikuandmetega seotud rikkumised tuleb dokumenteerida, ka teatamata jäetud juhtumid. Allpool on kohandatav korra struktuur ning selgitused otsuste tegemiseks; teavitamise õiguslikke aluseid täiendab artiklite 33–34 juhend.
Milline juhtum tuleb sisemisse menetlusse võtta?
Töötaja ei peaks enne kahtlusest teatamist lahendama kõiki õiguslikke küsimusi. Sisemine kanal võiks vastu võtta nii kadunud seadme, valesti saadetud kirja kui ka ootamatu juurdepääsu teate. Vastutav meeskond hindab seejärel, kas turvaintsident põhjustas isikuandmete juhusliku või ebaseadusliku hävimise, kaotsimineku, muutmise, loata avalikustamise või neile juurdepääsu. Kõik tehnilised häired ei ole isikuandmetega seotud rikkumised.
Konfidentsiaalsuse rikkumise kõrval tuleb kontrollida terviklust ja kättesaadavust. Muudetud kontonumber või kadunud tervisedokument võib inimest kahjustada ka siis, kui andmeid kellelegi ei lekitatud. Ka ajutine ligipääsu puudumine turvaintsidendi tõttu võib olla rikkumine. Kavandatud hoolduskatkestust ei saa aga üksnes andmete ajutise kättesaamatuse tõttu automaatselt samasse kategooriasse paigutada.
Ühel juhtumil võib olla mitu mõõdet. Lunavararünnaku korral ei piisa järeldusest, et varukoopia taastati ja seetõttu juhtum lõppes. Tuleb hinnata ka võimalikku andmete kopeerimist, muutmist ning aega, mil vajalikud andmed puudusid. See eristus aitab vältida olukorda, kus tehniliselt edukas taastamine varjab veel lahendamata ohtu inimestele.
Määra reageerimisrollid ja nende asendajad
Korras peaks olema selge kontakt esmateate vastuvõtmiseks ning inimene, kes korraldab edasise töö. Tehniline spetsialist uurib süsteeme, protsessi omanik selgitab andmete tähendust ja pädev otsustaja tagab vajalike meetmete elluviimise. Väikeses organisatsioonis võib üks inimene täita mitut ülesannet, kuid rollide sisu ja asendamine peavad olema läbi mõeldud.
Andmekaitsespetsialist nõustab ja aitab hinnata õiguslikke kohustusi. Tema kaasamine ei vii vastutava töötleja vastutust spetsialistile üle ega tähenda, et iga teade peab ootama tema isiklikku kinnitust. Kui juhtkonna tavapärane koosolek toimub alles järgmisel nädalal, peab kord siiski võimaldama õigel ajal otsustada ja teavitada.
Hoia vajalikud kontaktid kättesaadavad ka põhisüsteemi rikke korral. Määra varukanal ja kontrolli, et valves olev inimene saaks teavet turvaliselt vastu võtta. Kontaktilehe regulaarne kontroll on praktiline soovitus; GDPR ei määra kõigile organisatsioonidele ühesugust valvegraafikut. Valitud korraldus peab vastama tegelikule tegevusele ja võimaldama täita kohustusi põhjendamatu viivituseta.
Kahtlus, teadlikkus ja tähtaja algus
Kirjuta üles nii esimese signaali aeg kui ka hetk, mil oli piisav kindlus isikuandmete turvalisuse rikkumises. Need ei pruugi kattuda. Euroopa Andmekaitsenõukogu suunised 9/2022 seostavad teadlikkuse piisava kindlusega, et turvaintsident kahjustas isikuandmete turvalisust. Esmane kontroll peab toimuma kiiresti, mitte muutuma põhjuseks uurimise kunstlikuks venitamiseks.
Kui vale adressaat saadab tagasi talle ekslikult edastatud faili, võib rikkumine olla kohe selge. Üldise tehnilise häire puhul võib olla vaja esmalt kontrollida, kas isikuandmeid üldse puudutati. Tähtaja algus ei sõltu siiski sellest, millal juhatus juhtumile ametliku numbri annab või millal eksperdi lõpparuanne valmib. Tõendid ja tegelik teadmine on olulisemad kui sisemine menetlussilt.
72 tundi ei ole lubatud ooteaeg ega kolm tööpäeva. Nõue tegutseda põhjendamatu viivituseta kehtib ka enne selle aja täitumist. Kui teade esitatakse hiljem kui 72 tunni jooksul, tuleb lisada viivituse põhjused. Korras peab seetõttu olema töökorraldus ka nädalavahetuseks, ilma et organisatsioon eeldaks tähtaja automaatset peatumist.
Ohjeldamine ja hindamine peavad toimuma paralleelselt
Esmane tehniline meede sõltub juhtumist: võib olla vaja sulgeda jagamislink, peatada konkreetne konto või eraldada nakatunud seade. Ära kirjuta korda universaalset korraldust kõik süsteemid alati välja lülitada. See võib takistada vajalikku teenust või hävitada uurimiseks olulist teavet. Pädev spetsialist peab kaaluma meetme mõju koos tõendite säilitamise vajadusega.
Samal ajal selgitatakse, kelle andmed võivad olla mõjutatud ja millised tagajärjed on võimalikud. Riskihindamist ei alustata alles siis, kui ohjeldamiseks ette nähtud ööpäev on möödunud. Koonda teadaolevad faktid, erista oletused ning määra, kes kontrollib puuduvaid asjaolusid. Selline jaotus võimaldab vajaduse korral teatada olemasoleva teabe põhjal ja hiljem hinnangut täpsustada.
Uurimisel säilita algsed logid ja olulised kirjad kontrollitud juurdepääsuga kohas. Ära saada kogu lekkinud andmekogu kõigile reageerimismeeskonna liikmetele, kui piisab piiratud väljavõttest. Juhtumi lahendamine ise ei peaks tekitama uut tarbetut avaldamist. Märgi, kes tõendi kogus ja mida selle põhjal järeldati, et hiljem oleks otsuste kujunemine jälgitav.
Hinda mõju inimesele, mitte ainult ettevõttele
Teavitamise otsus ei sõltu üksnes ettevõtte rahalisest kahjust või sellest, kas juhtum jõudis meediasse. Küsi, mida keegi saab andmetega teha ja kuidas see võib mõjutada inimest. Arvesse võivad tulla pettus, identiteedi kuritarvitamine, diskrimineerimine, konfidentsiaalsuse kaotus või vajaliku teenuse viibimine. Sama andmeliik võib eri kontekstides tekitada erineva ohu.
Kontaktandmete nimekiri võib näidata üksnes avalikke ametikontakte, kuid võib ka paljastada tundliku tugiteenuse kasutajaid. Mõjutatud inimeste arv aitab ulatust hinnata, ent üksainus inimene ei tähenda automaatselt väikest riski. Vaata ka inimeste haavatavust, andmete kombineeritavust, võimalikku väärkasutajat ning tagajärje raskust. Lihtne punktisumma võib olla abivahend, mitte õigusliku hinnangu asendus.
Märgi riskihinnangusse nii seda vähendavad kui ka suurendavad asjaolud. „Keegi ei ole kaevanud” ei tõenda, et oht puudub; tagajärjed võivad ilmneda hiljem. Samuti ei tähenda tõendi puudumine andmete kuritarvitamise kohta alati tõendit juurdepääsu puudumise kohta. Põhjendatud hinnang selgitab, mida teatakse, mida veel ei teata ja kuidas teadmatus otsust mõjutab.
Krüpteerimine ei lahenda kõiki rikkumise liike
Kadunud seadme korral kontrolli, kas asjakohased andmed olid tegelikult kaitstud ja kas võtmed või aktiivne kasutajaseanss võisid samuti sattuda kõrvalise isiku kätte. Toote kirjelduses olev krüpteerimisvõimalus ei tõenda selle rakendamist konkreetses seadmes. Dokumenteeri, millisele tehnilisele kinnitusele hinnang tugineb, mitte ainult turvapoliitika üldine lubadus.
Tõhus krüpteerimine võib oluliselt vähendada loata lugemise ohtu. See ei kõrvalda tingimata andmete kaotsimineku või kättesaamatuse tagajärgi. Kui kadunud seadmes oli ainus vajalik koopia, tuleb hinnata ka seda mõju. Samuti ei muuda krüpteerimise puudumine iga väikest juhtumit automaatselt kõrge riskiga rikkumiseks: otsus peab lähtuma kogu kontekstist ja seaduse riskilävenditest.
Millal ja kuidas esitada teade AKI-le?
GDPR artikli 33 järgi tuleb pädevale organile teatada, välja arvatud juhul, kui rikkumisega kaasnev oht inimeste õigustele ja vabadustele on ebatõenäoline. Teatamata jätmise otsus vajab põhjendust. Piiriülese töötlemise puhul tuleb pädev asutus eraldi kindlaks teha; pelgalt Eesti kliendi olemasolu või serveri asukoht ei lahenda kõiki pädevuse küsimusi.
AKI kehtiv rikkumisteate juhis võimaldab kasutada autentimisega keskkonda saada.rik.ee või saata teate aadressile info@aki.ee. E-keskkonnas saab sisse logida ID-kaardi, Mobiil-ID või Smart-IDga. Kontrolli saatmist enne, kui juhtumi märgid esitatuks: salvesta edastatud sisu, saatmisaeg ja kinnitus ning määra inimene, kes jälgib täiendavaid küsimusi.
Teade kirjeldab rikkumise laadi ning võimaluse korral inimeste ja isikuandmekirjete kategooriaid ning ligikaudseid arve. Lisada tuleb andmekaitsespetsialisti või muu kontaktpunkti nimi ja kontaktandmed, tõenäolised tagajärjed ning võetud või kavandatud meetmed, sealhulgas võimaliku kahju leevendamine. Inimeste arv ja kirjete arv ei ole tingimata sama: ühe inimese kohta võib olla palju dokumente.
Puuduv teave ei tähenda, et kogu teade peab ootama
Artikli 33 lõige 4 lubab teavet esitada järk-järgult, kui kõike pole võimalik korraga esitada, kuid täiendamine peab toimuma põhjendamatu viivituseta. Esialgses teates erista kontrollitud fakte hinnangutest. Kui inimeste arv on vahemik, kirjelda selle alust. Ära esita kinnitamata oletust lõpliku tõsiasjana lihtsalt selleks, et vormi kõik lahtrid näiksid lõpetatud.
Määra iga puuduva teabe jaoks uurimise eest vastutaja ja järgmine sisemine ülevaatus. See on praktiline juhtimisvõte, mitte eraldi seadusest tulenev universaalne tunnigraafik. Kui uus info muudab riski või esialgset kirjeldust, täienda teadet ja vajaduse korral ka inimeste teavitamist. Lõpliku aruande ootamine ei vabasta varasemast tegutsemisest.
AKI selgitab, et kui pärast lõplikku rikkumisteadet ei küsita 30 päeva jooksul lisateavet, on teade võetud teadmiseks ning eraldi kinnitust ei saadeta. Sellest ei saa järeldada, et kõik turvameetmed tunnistati nõuetekohaseks või hilisem järelevalve on välistatud. Organisatsioon peab jätkama oma parandusmeetmete rakendamist ja nende tulemuste kontrollimist.
Millal tuleb teavitada ka mõjutatud inimesi?
Artikkel 34 nõuab inimese teavitamist põhjendamatu viivituseta, kui rikkumine tõenäoliselt põhjustab tema õigustele ja vabadustele suurt ohtu. See on eraldi otsus AKI teavitamisest. Organile esitatud teade ei jõua automaatselt inimesteni ega täida nende teavitamise kohustust. Samuti ei tule oodata, kuni kahju on juba tegelikult tekkinud.
Teade peab selges ja lihtsas keeles kirjeldama rikkumise laadi ning sisaldama kontaktpunkti, tõenäolisi tagajärgi ja võetud või kavandatud meetmeid. Lisa inimesele asjakohased tegutsemisjuhised, kui need aitavad riski vähendada. Väldi ebamäärast teadet „tekkis tehniline probleem”, kui see varjab vajalikku infot, ning ära lisa kirjale teiste kannatanute andmeid.
Artikkel 34 sätestab erandid, sealhulgas asjaomastele andmetele rakendatud tõhusad kaitsemeetmed, mis muudavad need kõrvalistele isikutele arusaamatuks, või hilisemad meetmed, mille tõttu suur oht tõenäoliselt enam ei realiseeru. Ebaproportsionaalse jõupingutuse erand nõuab avalikku teadet või sama tõhusat samalaadset meedet. See ei luba teavitamist lihtsalt ära jätta põhjusel, et saatmine on ebamugav.
Teenuseosutaja teade peab jõudma õigesse kohta
Volitatud töötleja teatab vastutavale töötlejale rikkumisest põhjendamatu viivituseta pärast sellest teada saamist. Tal ei ole üldist õigust oodata oma 72 tundi ega enne teadet kliendi eest lõplikult hinnata, kas AKI riskilävend on ületatud. Esmane teave võib olla puudulik, kuid peab võimaldama vastutaval töötlejal alustada oma kohustuste täitmist.
Volitatud töötleja lepingus saab kokku leppida kontaktid, esmase teate sisu, täiendamise korra ja praktilised reageerimisajad. Kokkulepitud arvuline tähtaeg ei asenda põhjendamatu viivituseta teatamise nõuet ega anna luba oodata, kui varem teatamine on võimalik. Artikli 28 suhe vormistatakse kirjaliku, ka elektroonilise lepingu või muu volitatud töötlejat siduva liidu või liikmesriigi õigusel põhineva õigusaktiga.
Kohanda lepingu näidist tegelikule teenusele. Kontrolli, kuidas alltöötleja teade liigub põhiteenuseosutaja kaudu kliendini ja kuidas klient saab lisaküsimustele vastused. Välise spetsialisti kasutamine ei peaks katkestama tõendite kättesaadavust. Mõlemad pooled peavad teadma, kes uurib, kes parandab ning kes suhtleb mõjutatud inimestega.
Kohandatav korra struktuur
Järgmine näidis on organisatsiooni sisese dokumendi alus. Asenda kohatäited ning kontrolli, kas töökorraldus toimib väljaspool tavapärast tööaega. Ära nimeta otsustajaks inimest, kelle puudumisel ei saa keegi tema ülesandeid täita. Korra tutvustamisel selgita töötajatele eelkõige seda, kuhu kahtlusest teatada ja millist infot esimeses teates anda.
1. Esmateade: töötaja teatab kahtlusest viivitamata [kanal]; varukanal on [kanal].
2. Koordinaator ja asendaja: [rollid/kontaktid]. Tehniline kontakt: [kontakt].
3. Ajajoon: fikseeritakse signaal, kontrollitud faktid ja teadlikkuse kujunemise aeg.
4. Paralleelselt: ohjeldamine, tõendite säilitamine, ulatuse ja inimeste riski hindamine.
5. Organile teatamine: pädev asutus; põhjendamatu viivituseta ja võimaluse korral 72 tunni jooksul teadlikkusest, välja arvatud ebatõenäoline oht. Hilinemine põhjendatakse.
6. Inimeste teavitamine: suur oht; põhjendamatu viivituseta; artikli 34 erandid hinnatakse eraldi.
7. Täiendused: puuduv teave esitatakse osade kaupa põhjendamatu viivituseta.
8. Dokumentatsioon: kõik isikuandmetega seotud rikkumised, asjaolud, mõju, meetmed ja otsuste põhjendused.
9. Sulgemine: [otsustaja] kontrollib meetmete tulemust ja määrab lahtiste ülesannete täitjad.
Rikkumiste register ja tõendid
Artikli 33 lõige 5 nõuab kõigi isikuandmetega seotud rikkumiste asjaolude, mõju ja parandusmeetmete dokumenteerimist. Seadus ei määra selleks ühte kohustuslikku tabelit. Allolevad lisaväljad aitavad tõendada otsuste ajajoont ja põhjendusi. Dokumentatsioon peab võimaldama järelevalveasutusel artikli täitmist kontrollida ka siis, kui esialgne töötaja enam organisatsioonis ei tööta.
Juhtumi tunnus ja koordinaator:
Esmase signaali aeg, teadlikkuse aeg ja nende põhjendus:
Kontrollitud asjaolud; konfidentsiaalsuse/tervikluse/kättesaadavuse mõju:
Mõjutatud inimesed ja andmekirjed; hinnanguline ulatus:
Riskihinnang, teadmata asjaolud ja hinnangu muutused:
Organile teatamise otsus, põhjendus, saatmisaeg ja viide:
Inimeste teavitamise otsus, põhjendus, saatmisaeg ja viide:
Tehnilised ning korralduslikud parandusmeetmed:
Tõendite asukoht, piiratud ligipääs, järelkontroll ja lahtised ülesanded:
Rikkumiste register erineb artikli 30 töötlemistoimingute registrist. Esimene kirjeldab juhtumeid, teine tavapäraseid töötlemisi. Neid saab siduda protsessi tunnuse kaudu, kuid üks ei asenda teist. Ära salvesta juhtumiregistrisse tarbetult kogu lekkinud materjali; vajalikud tõendid saab hoida turvaliselt eraldi ja neile viidata.
Näide: valele adressaadile saadetud fail
Kujutleme, et töötaja saadab kliendiandmetega faili valele inimesele. Vastuvõtja kinnitab eksitust ja lubab faili kustutada. See on oluline asjaolu, kuid ei anna üksi automaatset vastust teavitamise kohta. Meeskond kontrollib, mida fail sisaldas, kes selle sai, kas ligipääsu saab piirata ja millised tõendid on olemas andmete edasise kasutamise kohta.
Kui faili sisu paljastab tundliku teenuse kasutamise või võimaldab pettust, võib risk olla suurem kui tavapäraste avalike kontaktide puhul. Registrisse tuleb kirjutada mõttekäik, mitte lihtsalt hinnang „keskmine”. Kui hiljem selgub, et kiri saadeti edasi, tuleb otsus uuesti läbi vaadata. Teatamata jätmise varasem põhjendus ei lukusta organisatsiooni uute faktide suhtes.
Teavitamise järel tuleb küsimustele vastata
Valmista klienditeenindusele ette kontrollitud põhiteave ja viis keerulisemate küsimuste suunamiseks juhtumi koordinaatorile. Inimene võib küsida, kas tema andmed kuulusid mõjutatud hulka või millist kaitsetegevust temalt oodatakse. Vastus peab lähtuma tegelikult teadaolevast. Ära kinnita kõigile ühesuguselt, et andmed on ohutud, kui uurimine veel kestab või eri inimeste olukord on erinev.
Kontrolli vastaja isikusamasust proportsionaalselt küsimuse tundlikkusega. Kiirustamine ei õigusta juhtumi kohta uue tundliku info avaldamist inimesele, kelle seos andmetega pole selge. Samal ajal ei tohiks ebavajalikud kontrollid takistada kiireloomuliste üldiste kaitsejuhiste jagamist. Suhtluskorraldus peab võimaldama mõlemat: anda kasulikku teavet kiiresti ning kaitsta isikupõhiseid üksikasju.
Kui esialgne teade sisaldas ekslikku asjaolu, paranda seda arusaadavalt ning säilita muudatuse põhjus. Ära kirjuta varasemat versiooni jäljetult üle. Nii saab hiljem selgitada, millist teavet inimesed eri hetkedel said ja kas uus teadmine nõudis täiendavaid samme. Sama põhimõte aitab hoida organisatsiooni, teenuseosutaja ja järelevalveasutusele antud selgitused omavahel kooskõlas.
Järelmeetmed, säilitamine ja Eesti vastutus
Juhtumi sulgemine peaks tähendama, et olulised meetmed on kontrollitud ja ülejäänud ülesanded määratud, mitte üksnes seda, et teade sai saadetud. Paranda tegelikku algpõhjust: näiteks liiga laiad õigused, eksitav saatmisvaade või toimimatu taastamine. Õppuste sagedus ja formaat sõltuvad organisatsiooni vajadustest; üldist kohustuslikku iga-aastast õppust artiklid 33 ja 34 ei kehtesta.
Määra juhtumidokumentatsiooni säilitamise reeglid, arvestades vastavuse tõendamist, võimalikke vaidlusi ja andmete tundlikkust. GDPR ei sätesta kõigile rikkumisregistritele üht universaalset aastate arvu. Piira ligipääsu ning vaata üle, millal üksikasjalikke tõendeid enam ei vajata. Juhtumi dokumenteerimise kohustus ei õigusta kõigi lisatud isikuandmete tähtajatut hoidmist.
Eestis hõlmab isikuandmete kaitse seaduse paragrahv 62 artiklite 33 ja 34 kohustuste rikkumisi. Juriidilise isiku rahatrahvi ülemmäär on kuni 10 miljonit eurot või 2% eelmise majandusaasta ülemaailmsest aastasest kogukäibest, olenevalt suuremast summast. See ei ole iga intsidendi automaatne karistus. Ettekirjutused ja nende täitmist tagav sunniraha on sellest eraldi küsimused.
Üldine GDPR kord ei asenda teie tegevusele kohalduda võivaid muid intsidenditeateid. Küberturvalisuse või sidevaldkonna erireeglite puhul tuleb kontrollida eraldi adressaati, lävendit ja tähtaegu. AKI ülesannete ülevaade aitab pädevusi eristada. Korra praktiline eesmärk on tagada, et ükski vajalik otsus ei jääks tegemata eeldusel, et teisele asutusele saadetud teade lahendas kõik kohustused.