Lyhyesti: Jos hyökkäyksessä loukataan henkilötietojen suojaa, GDPR:n 33 artikla edellyttää ilmoitusta valvontaviranomaiselle mahdollisuuksien mukaan 72 tunnin kuluessa tiedon saamisesta, jos rekisteröidyille aiheutuu riski. Korkean riskin tapauksessa 34 artiklan mukaan tulee lisäksi rekisteröityjen ilmoittaminen. Tästä riippumatta jokainen loukkaus on dokumentoitava. Tämä sivu on yleistä tietoa eikä oikeudellista neuvontaa.
Ei oikeudellista neuvontaa: tietosuojavastaavasi tai juristi arvioi, onko ilmoitusvelvollisuus ja milloin yksittäistapauksessa. Me toimitamme tekniset tosiasiat, joihin arvio nojaa.
Tietosuojaloukkaus ja ilmoitus 72 tunnissa: mitä 33 artikla säätää
GDPR:n 33 artikla koskee ”henkilötietojen turvallisuuden loukkausta”. Sillä tarkoitetaan jokaista tietoturvaloukkausta, joka johtaa henkilötietojen tuhoutumiseen, häviämiseen, muuttumiseen, luvattomaan luovuttamiseen tai luvattomaan pääsyyn niihin. Vaarantunut verkkopalvelin, jolla on asiakastietokanta, yhteydenottolomakkeet tai hakijatiedot, voi kuulua tähän.
Ilmoitus valvontaviranomaiselle on tehtävä viipymättä ja mahdollisuuksien mukaan 72 tunnin kuluessa siitä, kun rekisterinpitäjä on saanut loukkauksesta tiedon. Se jää pois, jos loukkauksesta ei todennäköisesti aiheudu riskiä luonnollisten henkilöiden oikeuksille ja vapauksille. Joka ilmoittaa myöhemmin kuin 72 tunnin kuluttua, joutuu perustelemaan viiveen. Tietoja saa toimittaa vaiheittain.
Mitä ilmoituksen tulee sisältää
GDPR:n 33 artiklan 3 kohta mainitsee vähimmäissisällön. Valmistele nämä kohdat, vaikka kaikki ei olisi vielä selvillä:
- loukkauksen luonne, mahdollisuuksien mukaan luokkineen ja likimääräisine rekisteröityjen ja tietueiden määrineen
- tietosuojavastaavan tai muun yhteyspisteen nimi ja yhteystiedot
- loukkauksen todennäköiset seuraukset
- toteutetut tai ehdotetut toimenpiteet loukkauksen korjaamiseksi ja mahdollisten haitallisten vaikutusten lieventämiseksi
Verkkopalvelimiin kohdistuvissa hyökkäyksissä laajuus on alussa usein epäselvä. Silloin auttaa rehellinen ensi-ilmoitus tunnetulla tilalla ja ilmoitus siitä, että lisätiedot toimitetaan myöhemmin.
Milloin määräaika alkaa palvelinhyökkäyksen jälkeen?
Määräaika perustuu tiedon saamiseen, ei hyökkäyksen ajankohtaan. Käytännössä rajanveto on usein vaikeaa: tieto haavoittuvuudesta, kuten PHP2Shell, ei yksin synnytä tietoa tietosuojaloukkauksesta. Jos löydät kuitenkin konkreettisia viitteitä murrosta, esimerkiksi web shellin tai epäilyttäviä tietokantakyselyjä, tilanne voi olla toinen.
Dokumentoi siksi alusta alkaen kellonajan kanssa, kuka sai minkä tiedon ja milloin sekä mitä vaiheita seurasi. Tämä aikajana auttaa oikeudellisessa arvioinnissa ja viranomaisen jatkokysymyksissä. Huolellinen tekninen tutkinta, esimerkiksi IT-forensiikka, selvittää, ovatko tiedot todella vaarantuneet ja mitkä.
Rekisteröityjen ilmoittaminen 34 artiklan mukaan
Jos loukkauksesta aiheutuu todennäköisesti korkea riski henkilökohtaisille oikeuksille ja vapauksille, myös rekisteröidyille on ilmoitettava viipymättä. Näin voi olla esimerkiksi käyttäjätunnusten, pankkiyhteyksien tai terveystietojen kohdalla. Ilmoituksen on kuvattava selkeällä ja yksinkertaisella kielellä, mitä on tapahtunut, ja mainittava vähintään yhteyspiste, todennäköiset seuraukset ja toteutetut toimenpiteet.
34 artikla sisältää poikkeuksia, esimerkiksi jos tiedot on tehty oikeudettomille käyttökelvottomiksi, vaikkapa salauksella. Jos jokaisen yksittäisen henkilön ilmoittaminen vaatisi suhteetonta vaivaa, tilalle voi tulla julkinen tiedotus tai vastaavan tehokas toimenpide. Se, soveltuuko poikkeus, kuuluu oikeudelliseen arvioon. Miten tiedotat asiakkaille ymmärrettävästi, kuvaa sivu Kriisiviestintä hyökkäyksen jälkeen.
Dokumentointivelvollisuus 33 artiklan 5 kohdan mukaan
Ilmoitusvelvollisuudesta riippumatta GDPR:n 33 artiklan 5 kohta edellyttää jokaisen loukkauksen dokumentointia: tosiseikat, vaikutukset ja toteutetut korjaavat toimenpiteet. Dokumentaation on mahdollistettava valvontaviranomaisen tarkastus. Tämä pätee myös, jos tarkastelun jälkeen päädyt siihen, ettei ilmoitus ole tarpeen.
Verkkopalvelimille tämä tarkoittaa käytännössä: turvaa lokit, ennen kuin ne kierrätetään, kirjaa löydöt ajankohtineen, merkitse ylös päätökset ja niiden perustelut. PHP2Shellin kohdalla ammattilehdistö suosittelee säilyttämään palvelinlokit 20.10.2026 alkaen. Korjaus ei lisäksi poista jo asennettua haittaohjelmaa eikä todista, ettei aiemmin tapahtunut mitään.
Käytännön kulku ensimmäisten tuntien aikana
- Ilmoita epäily sisäisesti kiinteälle taholle ja ota tietosuojavastaava mukaan.
- Turvaa todisteet: lokit, tiedostoluettelot, tietokantaotteet, ennen kuin mitään poistetaan tai pystytetään uudelleen.
- Selvitä teknisesti, voivatko henkilötiedot olla vaarantuneet.
- Arvioi oikeudellisesti ilmoitus- ja tiedonantovelvollisuus, tarvittaessa asianajajan ja vakuutusyhtiön kanssa.
- Ilmoitus toimivaltaisen valvontaviranomaisen lomakkeella, täydennykset uusien tietojen myötä.
Valmisteltu IT-hätäsuunnitelma lyhentää näitä vaiheita huomattavasti.
Miten PHP SOS auttaa konkreettisesti?
- Turvaamme lokit ja järjestelmätilat niin, että ne säilyvät käyttökelpoisina arviointia ja myöhempää tarkastusta varten.
- Selvitämme teknisesti, olivatko tiedot ja mitkä tavoitettavissa, ja toimitamme ymmärrettävän yhteenvedon tietosuojavastaaville ja juristeille.
- Pidämme teknisistä havainnoista aikajanaa, jota voitte käyttää ilmoitukseen ja dokumentointiin.
- Vahvistetun murron tapauksessa hoidamme poikkeamien hallinnan ja puhdistuksen.
Usein kysytyt kysymykset
Mistä alkaen 72 tuntia kuluvat?
GDPR:n 33 artiklan mukaan siitä hetkestä, kun rekisterinpitäjä on saanut loukkauksesta tiedon. Milloin tämä yksittäistapauksessa katsotaan tapahtuneeksi, on oikeudellinen arvio. Dokumentoi siksi tarkasti, kuka sai minkä tiedon ja milloin.
Pitääkö jokaisesta tietoturva-aukosta ilmoittaa?
Ei. Pelkkä haavoittuvuus ei vielä ole henkilötietojen suojan loukkaus. Ilmoitusvelvollisuus voi syntyä, jos on viitteitä siitä, että oikeudettomilla oli tai saattoi olla pääsy tällaisiin tietoihin ja siitä aiheutuu riski rekisteröidyille.
Mitä jos en tiedä kaikkea 72 tunnin jälkeen?
GDPR:n 33 artiklan 4 kohta sallii tietojen toimittamisen vaiheittain, jos niitä ei voida antaa samaan aikaan. Myöhästynyt ilmoitus on perusteltava. Täydellisen selkeyden odottaminen ei siksi yleensä ole syy antaa määräajan kulua.
Kuka ilmoittaa, jos hosting-yritys oli osallisena?
Ilmoitusvelvollinen on rekisterinpitäjä, eli yleensä verkkosivustoa ylläpitävä yritys. Henkilötietojen käsittelijän, kuten hosting-yrityksen, on GDPR:n 33 artiklan 2 kohdan mukaan ilmoitettava rekisterinpitäjälle viipymättä.
Mihin tietosuojaloukkaus ilmoitetaan?
Toimivaltaiselle tietosuojan valvontaviranomaiselle; yrityksillä Saksassa yleensä sen osavaltion viranomaiselle, jossa yrityksellä on kotipaikka. Useimmat viranomaiset tarjoavat siihen verkkolomakkeet.