Tietoturvaloukkausten käsittelyä koskeva toimintaperiaate
Johdanto
Tässä toimintaperiaatteessa kuvataan revzper SAS:n toimintaa henkilötietojen tietoturvaloukkausten yhteydessä, varmistetaan sovellettavien tietosuojasäännösten noudattaminen ja minimoidaan yksilöihin kohdistuvat riskit.
Tietoturvaloukkauksia koskevat velvoitteet
1. Tietoturvaloukkauksen arviointi
Henkilötietojen tietoturvaloukkauksen tapahtuessa revzper SAS arvioi sen luonteen, laajuuden ja mahdolliset vaikutukset 24 tunnin kuluessa havaitsemisesta.
2. Ilmoitus valvontaviranomaiselle
Jos tietoturvaloukkaus todennäköisesti aiheuttaa riskin luonnollisten henkilöiden oikeuksille ja vapauksille, revzper SAS ilmoittaa siitä toimivaltaiselle valvontaviranomaiselle 72 tunnin kuluessa havaitsemisesta.
Viite: GDPR Art. 33
3. Ilmoitus rekisteröidyille
Jos tietoturvaloukkaus todennäköisesti aiheuttaa suuren riskin luonnollisten henkilöiden oikeuksille ja vapauksille, revzper SAS ilmoittaa asiasta loukkauksen kohteena oleville rekisteröidyille ilman aiheetonta viivytystä. Tällaisia riskejä ovat syrjintä, identiteettivarkaus, taloudellinen menetys tai muu merkittävä taloudellinen tai sosiaalinen haitta.
Viite: GDPR Art. 34, GDPR Recital 85
4. Tietoturvaloukkausten dokumentointi
revzper SAS dokumentoi kaikki tietoturvaloukkaukset, mukaan lukien niiden syyt ja vaikutukset sekä toteutetut korjaavat toimenpiteet.
Viite: GDPR Art. 33(5), GDPR Art. 30(1)(g)
5. Ennaltaehkäisevät toimenpiteet
revzper SAS toteuttaa toimenpiteitä henkilötietojen tietoturvaloukkausten toistumisen estämiseksi.
Valvontaviranomaiselle ilmoittamista koskeva prosessi
1. Ilmoitusviranomainen
Jos tapahtuu henkilötietojen tietoturvaloukkaus, josta on ilmoitettava toimivaltaiselle valvontaviranomaiselle 72 tunnin kuluessa, revzper SAS toimittaa tietoturvaloukkausta koskevan ilmoituksen Ranskan tietosuojaviranomaiselle (CNIL).
2. Ilmoitusportaali
Ilmoitus toimitetaan CNIL:n virallisen verkkoportaalin kautta.
3. Ilmoituspaketin sisältö
Ilmoituspaketti sisältää:
- Kuvauksen henkilötietojen tietoturvaloukkauksen luonteesta, mukaan lukien loukkauksen kohteena olevien rekisteröityjen ja henkilötietotietueiden ryhmät sekä arvioidut lukumäärät;
- tietosuojavastaavan (DPO) nimen ja yhteystiedot tai muun yhteyspisteen, josta voi saada lisätietoja;
- kuvauksen henkilötietojen tietoturvaloukkauksen todennäköisistä seurauksista;
- kuvauksen toimenpiteistä, jotka revzper SAS on toteuttanut tai ehdottaa toteutettaviksi henkilötietojen tietoturvaloukkauksen käsittelemiseksi, mukaan lukien tarvittaessa toimenpiteet sen mahdollisten haitallisten vaikutusten lieventämiseksi.
4. Ilmoituksen aikataulu
DPO tai nimetty häiriötilanteiden käsittelyryhmä valmistelee ja toimittaa ilmoituksen 72 tunnin määräajan kuluessa.
5. Ilmoituksen dokumentointi
Kaikki tietoturvaloukkausilmoitukset dokumentoidaan sisäiseen tietoturvaloukkausten dokumentointipohjaan.
Viite: GDPR Art. 33(5)
Sisäinen tietoturvaloukkausten dokumentointipohja
1. Dokumentoinnin tarkoitus
Kaikki henkilötietojen tietoturvaloukkaukset dokumentoidaan standardoidun pohjan avulla johdonmukaisuuden, jäljitettävyyden ja sovellettavien säännösten noudattamisen varmistamiseksi.
2. Tietoturvaloukkausta koskevat dokumentointikentät
Tietoturvaloukkausten dokumentointipohja sisältää seuraavat kentät:
- Tietoturvaloukkauksen tunniste: Tietoturvaloukkauksen yksilöllinen tunniste.
- Havaitsemispäivä/-aika: Päivä ja kellonaika, jolloin tietoturvaloukkaus havaittiin.
- Tuote: Tietoturvaloukkauksen kohteena oleva(t) tuote/tuotteet.
- Hosting-ympäristö: Hosting-ympäristö, jossa tietoturvaloukkaus tapahtui.
- Tietojen sijainti: Loukkauksen kohteena olevien tietojen maantieteellinen sijainti.
- Tietoturvaloukkauksen kuvaus: Yksityiskohtainen kuvaus tietoturvaloukkauksen luonteesta ja laajuudesta.
- Loukkauksen kohteena olevat tietoryhmät: Tietoturvaloukkaukseen liittyvien henkilötietojen ryhmät.
- Rekisteröityjen arvioitu lukumäärä: Tietoturvaloukkauksen kohteena olevien henkilöiden arvioitu lukumäärä.
- Arviointipäivä/-aika: Päivä ja kellonaika, jolloin tietoturvaloukkaus arvioitiin.
- Riskinarviointi: Arvioitu riskitaso (matala, keskisuuri, korkea) ja perustelut.
- Ilmoitus valvontaviranomaiselle: Ilmoituksen päivämäärä ja kellonaika valvontaviranomaiselle, jos sovellettavissa.
- Ilmoitus rekisteröidyille: Ilmoituksen päivämäärä ja kellonaika loukkauksen kohteena oleville rekisteröidyille, jos sovellettavissa.
- Toteutetut korjaavat toimenpiteet: Kuvaus toimenpiteistä, jotka on toteutettu tietoturvaloukkauksen käsittelemiseksi ja toistumisen estämiseksi.
- Perussyyanalyysi: Tietoturvaloukkauksen perussyy ja mahdolliset tunnistetut järjestelmätason ongelmat.
- Ennaltaehkäisevät toimenpiteet: Tietoturvaloukkauksen toistumisen estämiseksi toteutetut lisätoimenpiteet.
- DPO:n tarkastuspäivä: Päivä, jolloin DPO tarkasti ja hyväksyi tietoturvaloukkauksen dokumentoinnin.
3. Dokumentointiprosessi
Viite: GDPR Art. 30(1)(g)
Tietoturvaloukkauksen dokumentointiprosessi sisältää seuraavat vaiheet:
- Alkuperäinen dokumentointi: Häiriötilanteiden käsittelyryhmä täyttää pohjan 24 tunnin kuluessa tietoturvaloukkauksen havaitsemisesta.
- Arvioinnin päivitys: Riskinarviointia ja korjaavia toimenpiteitä päivitetään tutkinnan edetessä.
- Lopullinen tarkastus: DPO tarkastaa ja hyväksyy lopullisen dokumentoinnin 72 tunnin kuluessa tietoturvaloukkauksen havaitsemisesta.
- Säilytys: Täytettyä pohjaa säilytetään vähintään 3 vuoden ajan sovellettavien säännösten mukaisesti.
4. Dokumentoinnin säilytys ja jakaminen
Kaikki tietoturvaloukkauksia koskeva dokumentointi säilytetään turvallisesti ja jaetaan asiaankuuluville sidosryhmille, mukaan lukien valvontaviranomaiselle ja loukkauksen kohteena oleville rekisteröidyille, sovellettavien säännösten edellyttämällä tavalla.