Tietoturvaloukkausten ilmoitusmenettely

Lähtökohdat

  • Dena Textile Productions B.V. pitää tärkeänä (sähköisten) järjestelmiensä, joissa henkilötietoja tallennetaan ja käsitellään, hyvää tietoturvaa.
  • Tietoturvaloukkausta ei voida koskaan täysin estää.
  • Dena Textile Productions B.V. on yleisen tietosuoja-asetuksen (GDPR) nojalla velvollinen ilmoittamaan (vakavista) tietoturvaloukkauksista Alankomaiden tietosuojaviranomaiselle (Autoriteit Persoonsgegevens) ja rekisteröidyille.
  • Dena Textile Productions B.V. haluaa täyttää lakisääteiset velvoitteensa.
  • Dena Textile Productions B.V. on siksi laatinut toimintatavan, jonka avulla voidaan toimia mahdollisimman asianmukaisesti, jos tietoturvaloukkaus kuitenkin tapahtuu.

1. Tietoturvaloukkauksen määritelmä

Kyse on tietoturvaloukkauksesta, kun tietoturvaan kohdistuu rikkomus, joka tahattomasti tai laittomasti johtaa siirrettyjen, tallennettujen tai muutoin käsiteltyjen tietojen tuhoutumiseen, katoamiseen, muuttumiseen, luvattomaan luovuttamiseen tai luvattomaan pääsyyn niihin.

2. Sisäinen vastuuhenkilö tietoturvaloukkausten ilmoittamisessa

Dena Textile Productions B.V. on nimittänyt tietoturvaloukkausten käsittelystä vastaavan sisäisen vastuuhenkilön, joka vastaa tietoturvaloukkauksen ilmoittamisesta. Tämä vastuuhenkilö on markkinointiosasto, ensimmäinen yhteyshenkilö on Rolf van Eden, puhelinnumero +31 (0)318 588 596, sähköposti sales@cheffix.eu, jäljempänä sisäinen vastuuhenkilö.

3. Sisäinen ilmoitus tietoturvaloukkauksen havaitsemisen yhteydessä

Henkilö, joka havaitsee tietoturvaloukkauksen Dena Textile Productions B.V.:ssä, ilmoittaa siitä viipymättä sisäiselle vastuuhenkilölle. Mikäli mahdollista, tietoturvaloukkauksen havainnut henkilö huolehtii samalla siitä, että vuotaneet tiedot poistetaan etänä tai tehdään saavuttamattomiksi.

4. Sisäisen vastuuhenkilön tutkimus

Sisäinen vastuuhenkilö tutkii muun muassa:

  • onko henkilötietoja kadonnut tai voidaanko niitä käyttää laittomasti;
  • ketkä tai mitkä organisaation osastot ovat mukana tietoturvaloukkauksessa;
  • onko tapahtumassa mukana käsittelijä.

5. Tietoturvaloukkauksen torjunta

Sisäinen vastuuhenkilö pysäyttää tietoturvaloukkauksen, jos se on vielä mahdollista, ja ryhtyy lisäksi tarvittaviin toimenpiteisiin tietoturvaloukkauksen torjumiseksi mahdollisimman hyvin.

6. Tietoturvaloukkauksen seurausten arviointi

Sisäinen vastuuhenkilö tutkii tietoturvaloukkauksen mahdolliset seuraukset vuotaneiden tietojen laadun ja laajuuden perusteella ja määrittää, mitä haitallisia seurauksia siitä voi rekisteröidyille aiheutua.

7. Tietoturvaloukkausta koskevien tietojen antaminen

Tietoturvaloukkauksen havainnut tai ilmoittanut henkilö tekee kaikkensa yhteistyön takaamiseksi sisäiselle vastuuhenkilölle vastaamalla mahdollisimman nopeasti ja hyvin (kirjallisesti) seuraaviin kysymyksiin:

  • mitä tapahtui? (tapahtuman kuvaus)
  • tapahtuiko se tahattomasti vai onko sen aiheuttanut pahantahtoisuus (esim. tietojen kaappaaminen)?
  • milloin se tapahtui? (päivämäärä ja kellonaika)
  • milloin se havaittiin?
  • minkä tietojen (rekisterien) tiedot vuotivat?
  • ovatko tiedot salattuja, ja jos ovat, miten?
  • voitiinko tiedot poistaa etänä tai tehdä saavuttamattomiksi, ja jos voitiin, tehtiinkö niin?
  • mitkä ovat mahdolliset seuraukset rekisteröidyille?
  • mitkä henkilöryhmät ovat tämän vuoksi kärsineet?
  • kuinka monta henkilöä (arviolta) on tämän vuoksi kärsinyt?
  • onko tietoturvaloukkauksessa vaarantunut myös henkilöiden tietoja muissa EU-maissa?
  • voitiinko tapahtuman johdosta jo toteuttaa teknisiä ja/tai organisatorisia toimenpiteitä?

8. Henkilöstön käytettävyys tietoturvaloukkauksen havaitsemisen jälkeen

Sen osaston vastuuhenkilö, jonka alueella tietoturvaloukkaus tapahtui, sekä tietoturvaloukkauksen havainnut henkilö ja kaikki ne, jotka tehtävänsä tai tietämyksensä perusteella pystyvät toteuttamaan organisatorisia ja/tai teknisiä toimenpiteitä tietoturvaloukkauksen seurausten rajoittamiseksi, ovat käytettävissä ensimmäisten 24 tunnin ajan tietoturvaloukkauksen havaitsemisesta sisäisen vastuuhenkilön tai tämän nimeämien asiantuntijoiden kanssa käytävää neuvottelua varten sekä tarvittaessa tietoturvaloukkauksen vuoksi annettujen tehtävien suorittamista varten.

9. Päätös tietoturvaloukkauksen ilmoittamisesta

Sisäinen vastuuhenkilö päättää mahdollisimman pian, joka tapauksessa viimeistään 60 tunnin kuluessa tietoturvaloukkauksen havaitsemisesta, neuvoteltuaan tarvittaessa sen osaston vastuuhenkilön kanssa, jonka alueella tietoturvaloukkaus havaittiin, ja/tai tämän nimeämien asiantuntijoiden kanssa, onko tietoturvaloukkaus ilmoitettava Alankomaiden tietosuojaviranomaiselle ja/tai rekisteröidyille. Tietoturvaloukkauksesta ilmoitetaan periaatteessa aina tietosuojaviranomaiselle, ellei ole todennäköistä, että tietoturvaloukkaus aiheuttaa riskin luonnollisten henkilöiden oikeuksille ja vapauksille. Tietoturvaloukkauksen ilmoitukseen sisällytetään kohdassa 7 kuvattujen kysymysten vastaukset. Tietosuojaviranomaiselle ilmoitetusta tietoturvaloukkauksesta ilmoitetaan myös rekisteröidyille, jos siitä aiheutuu korkea riski luonnollisten henkilöiden oikeuksille ja vapauksille, paitsi jos korkea riski on jo poistettu asianmukaisin toimenpitein.

10. Tietoturvaloukkauksesta ilmoittaminen tietosuojaviranomaiselle ja/tai rekisteröidyille

Sisäinen vastuuhenkilö huolehtii tarvittaessa ilmoituksen tekemisestä tietosuojaviranomaiselle ja/tai rekisteröidylle/rekisteröidyille. Ilmoitus tehdään mahdollisimman pian havaitsemisen jälkeen ja viimeistään 60 tunnin kuluessa tietoturvaloukkauksen havaitsemisesta. Muun työntekijän kuin sisäisen vastuuhenkilön ei ole sallittua ilmoittaa (mahdollisesta) tietoturvaloukkauksesta itse tietosuojaviranomaiselle ja/tai rekisteröidylle/rekisteröidyille. Jos työntekijä ei ole samaa mieltä sisäisen vastuuhenkilön päätöksestä tietoturvaloukkauksen ilmoittamisesta tai ilmoittamatta jättämisestä tietosuojaviranomaiselle ja/tai rekisteröidylle/rekisteröidyille, hän voi esittää valituksensa johdolle. Pyydettäessä työntekijä antaa kaiken yhteistyön vastuuhenkilölle, jotta kohteena olevia henkilöitä voidaan tiedottaa tietoturvaloukkauksesta yleisen tietosuoja-asetuksen 34 artiklan mukaisesti.

11. Tietoturvaloukkauksen ilmoittamisen seuraukset

Jos tietoturvaloukkauksella on kielteisiä seurauksia rekisteröidyille, sisäinen vastuuhenkilö tekee kaikkensa näiden seurausten rajoittamiseksi mahdollisimman paljon. Tietoturvaloukkauksen laadusta ja laajuudesta rekisteröidyille riippuen sisäinen vastuuhenkilö päättää:

  • miten rekisteröidyille tiedotetaan (johon kuuluu ainakin ilmoitus siitä, mitä henkilötietoja on vaarantunut, mitkä ovat mahdolliset seuraukset, mitä toimenpiteitä Dena Textile Productions B.V. toteuttaa ja miten rekisteröidyt voivat itse estää tai rajoittaa vahingon);
  • minkälaista jälkihoitoa rekisteröidyt saavat;
  • mitä toimia organisaation edun vuoksi tarvitaan.

Jos tietoturvaloukkaus on tapahtunut, ilmoitettiinpa se tai ei, toteutetaan mahdollisimman pian asianmukaisia teknisiä ja/tai organisatorisia toimenpiteitä vastaavien tulevien tietoturvaloukkausten estämiseksi.

12. Tietoturvaloukkausrekisterin ylläpito

Sisäinen vastuuhenkilö ylläpitää rekisteriä kaikista tietoturvaloukkauksista, johon kirjataan kaikki tietoturvaloukkausta koskevat tiedot, kuten:

  • Kuvaus tapahtumasta.
  • Tietoturvaloukkauksen päivämäärä ja kellonaika.
  • Tietoturvaloukkauksen havaitsemisen päivämäärä ja kellonaika.
  • Kuvaus vuotaneiden henkilötietojen lajista.
  • Kuvaus kohteena olevien rekisteröityjen ryhmistä.
  • Kuvaus kohteena olevien rekisteröityjen määrästä (arviolta).
  • Onko muissa EU-maissa olevien henkilöiden tietoja vuotanut.
  • Onko tapahtumasta ilmoitettu tietosuojaviranomaiselle ja jos on, ilmoituksen päivämäärä ja kellonaika.
  • Onko tapahtumasta ilmoitettu rekisteröidyille ja jos on, ilmoituksen päivämäärä ja kellonaika.
  • Miten rekisteröidyille on tiedotettu.
  • Tietoturvaloukkauksen seuraukset, mahdollisuuksien mukaan päivämäärineen ja kellonaikoineen.
  • Mitä teknisiä ja/tai organisatorisia toimenpiteitä on toteutettu tietoturvaloukkauksen jälkeen, päivämäärineen ja kellonaikoineen.

Tämä tietoturvaloukkausten ilmoittamismenettely on laadittu 1. toukokuuta 2020.