Lühidalt: Kui rünnakul rikutakse isikuandmete kaitset, nõuab IKÜM art 33 teavitust järelevalveasutusele, võimaluse korral 72 tunni jooksul pärast teadasaamist, kui andmesubjektidele on oht. Suure ohu korral lisandub art 34 järgi andmesubjektide teavitamine. Sõltumata sellest peate iga rikkumist dokumenteerima. See leht on üldine teave, mitte õigusnõustamine.
Ei ole õigusnõustamine: kas ja millal üksikjuhtumil teavitamiskohustus on, hindab teie andmekaitsespetsialist või advokaat. Meie anname tehnilised faktid, millele see hinnang toetub.
Andmeõnnetus ja teavitamiskohustus 72 tunni jooksul: mida art 33 reguleerib
IKÜM art 33 puudutab „isikuandmete kaitse rikkumist“. Silmas peetakse iga turvarikkumist, mis toob kaasa isikuandmete hävimise, kaotsimineku, muutmise, loata avalikustamise või loata juurdepääsu. Kompromiteeritud veebiserver koos kliendiandmebaasi, kontaktivormide või kandidaatide andmetega võib siia kuuluda.
Teavitus järelevalveasutusele peaks toimuma viivitamata ja võimaluse korral 72 tunni jooksul pärast seda, kui vastutav töötleja rikkumisest teada sai. See jääb ära, kui rikkumine eeldatavasti ei too kaasa ohtu füüsiliste isikute õigustele ja vabadustele. Kes teavitab hiljem kui 72 tunni pärast, peab viivitust põhjendama. Teavet võib etappidena juurde anda.
Mida teavitus peaks sisaldama
IKÜM art 33 lg 3 nimetab miinimumsisu. Valmistage need punktid ette, ka siis, kui kõik pole veel selge:
- rikkumise laad, võimaluse korral koos kategooriate ja ligikaudse mõjutatud isikute ning andmekirjete arvuga
- andmekaitsespetsialisti või muu kontaktpunkti nimi ja kontaktandmed
- rikkumise tõenäolised tagajärjed
- rikkumise kõrvaldamiseks ja võimalike kahjulike tagajärgede leevendamiseks võetud või kavandatud meetmed
Veebiserverite rünnakute puhul on ulatus alguses sageli ebaselge. Siis aitab ausalt esitatud esmateavitus teadaoleva seisuga ja lubadus uued teadmised hiljem juurde anda.
Millal algab tähtaeg pärast serverirünnakut?
Tähtaeg seondub teadasaamisega, mitte rünnaku hetkega. Praktikas on piiritlemine sageli keeruline: teade turvaaugu, näiteks PHP2Shelli kohta, ei tekita üksi veel teadmist andmekaitserikkumisest. Kui leiate aga konkreetseid viiteid sissemurdmisele, näiteks veebishelli või kahtlaseid andmebaasipäringuid, võib olukord olla teistsugune.
Dokumenteerige seetõttu algusest peale kellaajaga, kes millal millist teavet sai ja millised sammud järgnesid. See ajajoon aitab õiguslikul hindamisel ja ametiasutuse järelepärimiste korral. Hoolikas tehniline uurimine, näiteks IT-forensika kaudu, selgitab, kas ja millised andmed olid tegelikult mõjutatud.
Andmesubjektide teavitamine art 34 järgi
Kui rikkumine toob eeldatavasti kaasa suure ohu isiklikele õigustele ja vabadustele, tuleb viivitamata teavitada ka mõjutatud isikuid. See võib nii olla näiteks ligipääsuandmete, pangaandmete või terviseandmete puhul. Teavitus peaks selges ja lihtsas keeles kirjeldama, mis juhtus, ning nimetama vähemalt kontaktpunkti, tõenäolised tagajärjed ja võetud meetmed.
Art 34 näeb ette erandid, näiteks kui andmed on loata isikutele muudetud kättesaamatuks, näiteks krüpteerimisega. Kui iga üksiku isiku teavitamine nõuaks ebaproportsionaalselt suurt vaeva, võib selle asemel kõne alla tulla avalik teadaanne või sarnaselt tõhus meede. Kas erand kehtib, kuulub õigusliku hinnangu juurde. Kuidas kliente arusaadavalt teavitada, kirjeldab leht Kriisikommunikatsioon pärast rünnakut.
Dokumenteerimiskohustus art 33 lg 5 järgi
Sõltumata teavitamiskohustusest nõuab IKÜM art 33 lg 5 iga rikkumise dokumenteerimist: faktid, mõju ja võetud parandusmeetmed. See dokumentatsioon peab võimaldama järelevalveasutusel kontrolli teha. See kehtib ka siis, kui jõuate pärast kontrolli järeldusele, et teavitust pole vaja.
Veebiserverite puhul tähendab see praktikas: kindlustada logid enne nende pööramist (rotate), märkida leiud ajahetkega üles, kirjutada otsused ja nende põhjendus üles. PHP2Shelli puhul soovitab erialaajakirjandus säilitada serverilogisid alates 20.10.2026. Paik ei eemalda lisaks juba sisse toodud pahavara ega tõesta, et varem midagi ei juhtunud.
Praktiline käik esimestel tundidel
- Teatage kahtlusest sisemiselt kindlale kontaktile ja kaasake andmekaitsespetsialist.
- Kindlustage tõendid: logid, failide loendid, andmebaasi väljavõtted, enne kui midagi kustutatakse või uuesti üles seatakse.
- Selgitage tehniliselt, kas isikuandmed võivad olla mõjutatud.
- Hinnake õiguslikult teavitamis- ja teatamiskohustust, vajaduse korral koos advokaadi ja kindlustajaga.
- Teavitage pädeva järelevalveasutuse vormi kaudu, esitage täiendused uute teadmiste korral.
Ette valmistatud IT-hädaolukorra plaan lühendab neid samme oluliselt.
Kuidas PHP SOS konkreetselt aitab?
- Kindlustame logid ja süsteemiseisud nii, et need jäävad hindamiseks ja hilisemaks kontrolliks kasutatavaks.
- Selgitame tehniliselt, kas ja millised andmed olid kättesaadavad, ning anname arusaadava kokkuvõtte andmekaitsespetsialistidele ja advokaatidele.
- Peame tehniliste teadmiste ajajoont, mida saate teavituse ja dokumenteerimise jaoks kasutada.
- Kinnitatud sissemurdmise korral võtame üle intsidendile reageerimise ja puhastamise.
Korduma kippuvad küsimused
Millest alates 72 tundi kulgevad?
IKÜM art 33 järgi hetkest, mil vastutav töötleja rikkumisest teada sai. Millal seda konkreetsel juhul eeldada, on õiguslik hinnang. Dokumenteerige seetõttu täpselt, millal kellel oli milline teave.
Kas iga turvaauk tuleb teatada?
Ei. Turvaauk üksi ei ole veel isikuandmete kaitse rikkumine. Teavitamiskohustus võib tekkida, kui on viiteid, et omavolilistel isikutel oli või võis olla juurdepääs sellistele andmetele ja sellest tekib oht andmesubjektidele.
Mis saab, kui ma ei tea 72 tunni pärast veel kõike?
IKÜM art 33 lg 4 lubab teavet etappidena juurde anda, kui seda ei saa esitada samal ajal. Hilinenud teavitus tuleb põhjendada. Täieliku selguse ootamine ei ole seetõttu reeglina põhjus tähtaega mööda lasta.
Kes teavitab, kui majutaja oli mõjutatud?
Teavitamiskohustus on vastutaval töötlejal, see tähendab reeglina ettevõttel, mis veebisaiti haldab. Volitatud töötleja, näiteks majutaja, peab vastutavat töötlejat IKÜM art 33 lg 2 järgi viivitamata teavitama.
Kuhu ma andmeõnnetusest teatan?
Pädevale andmekaitse järelevalveasutusele, ettevõtete puhul enamasti selle liidumaa asutusele, kus neil on asukoht. Enamik asutusi pakub selleks veebivorme.