Henkilötietojen tietoturvaloukkauksesta täytyy ilmoittaa valvontaviranomaiselle, mikäli loukkauksesta voi aiheutua riski ihmisten oikeuksille ja vapauksille. Rekisteröidyille on puolestaan ilmoitettava, mikäli loukkauksestta todennäköisesti aiheutuu korkean riski oikeuksille ja vapauksille. Ilmoituksen perusteella rekisteröidyt voivat esimerkiksi ryhtyä toimiin haittavaikutuksen pienentämiseksi (esim. sulkemalla luottokorttinsa).

Ilmoitukseen on sisällytettävä seuraavat tiedot:

• selkeä kuvaus henkilötietojen tietoturvaloukkauksesta
• tietosuojavastaavan nimi ja yhteystiedot tai muu yhteyspiste, josta voi saada lisätietoa
• henkilötietojen tietoturvaloukkauksen todennäköiset seuraukset
• toimenpiteet, joita rekisterinpitäjä on ehdottanut tai jotka se on jo toteuttanut; tarvittaessa myös toimenpiteet mahdollisten haittavaikutusten lieventämiseksi.

Organisaation on ilmoitettava henkilötietojen tietoturvaloukkauksesta toimivaltaiselle viranomaiselle 72 tunnin kuluessa siitä, kun se on tullut tietoon, jos se voi vaarantaa yksilöiden oikeudet tai vapaudet. Jos tietoturvaloukkaus aiheuttaa suuren riskin, myös asianomaisille henkilöille on ilmoitettava asiasta ilman aiheetonta viivytystä.

Jos kaikki tiedot eivät ole saatavilla 72 tunnin kuluessa, organisaation on perusteltava viivästys ja toimitettava loput tiedot mahdollisimman pian. Ilmoituksiin on sisällyttävä:

• Kuvaus tietoturvaloukkauksesta, mukaan lukien ajankohta, luonne ja syy.
• niiden henkilöiden ja tietotyyppien luokat ja likimääräinen lukumäärä, joita asia koskee.
• Arvio riskeistä ja mahdollisista vaikutuksista.
• toimet, jotka on toteutettu rikkomuksen lieventämiseksi, ja suunnitellut toimenpiteet rikkomuksen toistumisen estämiseksi.
• Vastuuhenkilön tai tietosuojayhteyshenkilön yhteystiedot.

Organisaation on säilytettävä jäljennökset kaikista ilmoituksista, dokumentoitava korjaavat ja ehkäisevät toimet, kirjattava saadut kokemukset ja säilytettävä tositteet vaatimustenmukaisuuden osoittamiseksi. Kaikkien raportointi- ja dokumentointiprosessien on oltava kansallisen kyberturvallisuusviranomaisen tai muiden sovellettavien säännösten vaatimusten mukaisia.

Organisaatiomme on määritellyt toimenpiteet, joihin ryhdytään tietoturvarikkomustapauksissa. Nämä voidat sisältää mm. seuraavia vaiheita:

• selvitetään, mitä tietoja vuodettiin ja miten vahingollista tämä oli
• selvitetään, oliko teko tahallinen
• selvitetään, mitä salassapitositoumuksessa oli sovittu toimenpiteiksi
• päätetään, halutaanko asiaa viedä eteenpäin ja miten (esim. oikeudelliset toimet)
• selvitetään, tarvitaanko ulkopuolista apua