Andmete rikkumise teatamine

Andmete rikkumise teatamine on õiguslik kohustus teavitada järelevalveasutusi ja mõnel juhul ka puudutatud isikuid, kui isikuandmeid on ohustatud turvaintsidendi tagajärjel. GDPR alusel peavad vastutavad töötlejad teatama oma järelevalveasutusele 72 tunni jooksul alates rikkumisest teadasaamisest, kui see kujutab endast ohtu inimeste õigustele ja vabadustele, ning teavitama otseselt puudutatud isikuid, kui rikkumine kujutab endast suurt ohtu.

Õiguslik alus

"Isikuandmete rikkumise korral teatab vastutav töötleja sellest viivitamata ja võimaluse korral hiljemalt 72 tunni jooksul pärast rikkumisest teadasaamist pädevale järelevalveasutusele vastavalt artiklile 55, välja arvatud juhul, kui isikuandmete rikkumine ei kujuta tõenäoliselt ohtu füüsiliste isikute õigustele ja vabadustele."

— Artikkel 33 lõige 1, määrus (EL) 2016/679 (GDPR)

"Kui isikuandmete rikkumine kujutab tõenäoliselt suurt ohtu füüsiliste isikute õigustele ja vabadustele, teatab vastutav töötleja isikuandmete rikkumisest viivitamata andmesubjektile."

— Artikkel 34 lõige 1, määrus (EL) 2016/679 (GDPR)

Miks see on oluline

Andmete rikkumise teatamise kohustused mõjutavad kõiki organisatsioone, kes töötlevad isikuandmeid poliitilise reklaami teenuste kontekstis. Määruse 2024/900 alusel poliitilise reklaami tellimuste esitajate, avaldajate ja poliitilise reklaami teenuste osutajate jaoks tähendab see, et igasugusest volitamata juurdepääsust, kaotusest või muutmisest sihtimisel või reklaamide edastamisel kasutatavate isikuandmete puhul tuleb viivitamata teatada asjakohasele andmekaitseasutusele.

72-tunnine teatamisperiood on range ja algab hetkest, mil organisatsioon rikkumisest teada saab, mitte sellest, millal nad selle uurimise lõpetavad. Organisatsioonidel peavad olema sisemised protsessid rikkumiste kiireks tuvastamiseks, uurimiseks ja teatamiseks. Teatamata jätmine võib kaasa tuua kuni 10 miljoni euro suuruse trahvi või 2% globaalsest aastakäibest GDPR alusel.

Konkreetselt poliitilise reklaami puhul on eriti tundlikud rikkumised, mis puudutavad sihtimisandmeid, valijate profiile või poliitilisi eelistusi. Sellised rikkumised võivad paljastada isikuid manipuleerimisele, diskrimineerimisele või kättemaksule, muutes õigeaegse teatamise kriitiliseks demokraatlike protsesside ja individuaalsete õiguste kaitsmisel.

Põhipunktid

Vastutavad töötlejad peavad teatama oma järelevalveasutusele 72 tunni jooksul pärast rikkumisest teadasaamist, välja arvatud juhul, kui rikkumine ei kujuta tõenäoliselt ohtu isikute õigustele ja vabadustele
Kui rikkumine kujutab isikutele suurt ohtu, tuleb neid teavitada otseselt viivitamata
Teatamised peavad kirjeldama rikkumise olemust, puudutatud isikute ja kirjete kategooriaid ja ligikaudset arvu ning meetmeid, mida on võetud selle lahendamiseks
Volitatud töötlejad peavad teatama vastutavatele töötlejatele viivitamata pärast rikkumise avastamist, et vastutavad töötlejad saaksid täita oma teatamistähtaegu
Organisatsioonid peaksid pidama arvestust kõigi rikkumiste kohta, sealhulgas nende kohta, millest ei teatatud, et tõendada vastavust nõuetele
Teatamata jätmise eest võivad karistused ulatuda kuni 10 miljoni euro või 2% globaalsest aastakäibest, olenevalt sellest, kumb on suurem

Andmete rikkumise teatamine vs läbipaistvusteatis

Kuigi mõlemad hõlmavad avalikustamiskohustusi, teenivad andmete rikkumise teatamine ja läbipaistvusteated erinevaid eesmärke. Andmete rikkumise teatamine on reaktiivne, intsidendipõhine nõue, mis käivitatakse isikuandmete turvalisuse ohustamisel. See tuleb edastada järelevalveasutustele 72 tunni jooksul ja puudutatud isikutele suure ohu esinemisel.

Läbipaistvusteatis (nagu GDPR artiklite 13-14 alusel nõutav privaatsuse teatis või määruse 2024/900 alusel nõutav poliitilise reklaami läbipaistvusteatis) on ennetav, jätkuv kohustus teavitada isikuid sellest, kuidas nende andmeid töödeldakse enne või andmete kogumise ajal. Läbipaistvusteated on ennetavad ja informatiivsed; rikkumise teatamised on parandavad ja kiireloomulised.

Aspekt	Andmete rikkumise teatamine	Läbipaistvusteatis
Käivitaja	Turvaintsident	Andmete kogumine/töötlemine
Ajastus	72 tundi (asutusele)	Enne/kogumise ajal
Sihtrühm	Asutus + puudutatud isikud	Kõik andmesubjektid
Eesmärk	Intsidendi reageerimine	Jätkuv läbipaistvus

Seotud mõisted

Isikuandmed
Andmekaitseasutus
Vastutav töötleja
Volitatud töötleja
GDPR nõuetele vastavus
Sihtimistehnikad
Turvameetmed
Järelevalveasutus
Privaatsuse teatis
Andmesubjekti õigused

Jah. ELi määrusena on TTPA otse kohaldatav kõikides liikmesriikides ilma siseriikliku ülevõtmiseta. Liikmesriigid peavad ainult määrama asutused ja kehtestama karistused.

Läbipaistvusnõuded tagavad, et kõik poliitilised osalejad tegutsevad samade reeglite alusel. Valijad näevad, kellel on ressursse ja kuidas neid kasutatakse, toetades õiglast konkurentsi.

Läbipaistvus loob usaldust, näidates valijatele, et poliitilised toimijad tegutsevad avatult. Varjatud rahastamine või sihtimispraktikad õõnestavad usaldust demokraatlike protsesside vastu.

Nõudes selget märgistamist ja kergesti kättesaadavat läbipaistvuse teavet, aitab TTPA inimestel ära tunda poliitilist reklaami ja mõista, kes püüab neid mõjutada.

Kampaaniad, mis julgustavad inimesi hääletama, on poliitiline reklaam, kui need on tasulised ja mõeldud hääletamiskäitumise mõjutamiseks. Ettevõtete või vabaühenduste hääletamisele ärgitamise kampaaniad kuuluvad TTPA reguleerimisalasse.

Poliitiline reklaam hõlmab iga tasulist sõnumit, mis edendab poliitilist tegijat, mõjutab hääletamiskäitumist, mõjutab valimiste või referendumite tulemust või mõjutab seadusandlikke või regulatiivseid protsesse. See hõlmab samuti igasugust reklaami, mille teeb poliitiline tegija või tema nimel.

Ei. TTPA ei mõjuta riiklikke eeskirju poliitilise reklaami sisu, kampaaniate rahastamise, valimisperioodide või poliitilise reklaami üldiste keeldude kohta. See lisab läbipaistvusnõuded olemasolevatele riiklikele õigusaktidele.

Ametlik nimetus on Euroopa Parlamendi ja nõukogu määrus (EL) 2024/900 poliitilise reklaami läbipaistvuse ja sihipärasuse kohta. See avaldati 20. märtsil 2024.