Isikuandmetega seotud rikkumine tähendab andmete ebaseaduslikku või juhuslikku hävimist, kättesaamatuks muutumist või lubamatut juurdepääsu ja avalikuks saamist.
Isikuandmete kaitse üldmääruse (EL) 2016/679 art 33 kohaselt on kõigil isikuandmete vastutavatel töötlejatel kohustus isikuandmete turvanõuete rikkumisest teada anda järelevalveasutusele. Seda juhul, kui rikkumise tagajärjeks võib olla oht füüsilise isiku õigustele ja vabadustele. Eestis tuleb sellisest rikkumisest teada anda Andmekaitse Inspektsioonile.
Rikkumisteate saate esitada meie e-keskkonnas
- Logige sisse ID-kaardi, Mobiil-ID või Smart-IDga.
- Täitke pöördumine otse ekraanil, lisades soovi korral ka manuse. Teie nime ja isikukoodi väljad täidetakse automaatselt.
- Ärge unustage sisestamast e-posti aadressi – praegu saadame vastuse teie pöördumisele ainult e-kirjaga.
- Vajutage „Saada“ ning pöördumine jõuab meieni.
- E-keskkonna eelisena salvestuvad kõik teie pöördumised ka isiklikule töölauale. Nii omate alati ülevaadet, mida olete meile kirjutanud.
Soovi korral võite esitada rikkumisteate ka meili teel
Alternatiivina on teil võimalus saata rikkumisteade meili teel, kasutades näiteks failipõhist näidisvormi. Sel juhul tuleb rikkumisteade saata aadressile info[at]aki.ee
Andmekaitse Inspektsioon jätab andmetöötleja pädevusse otsustada, kas teatis edastatakse krüpteeritult või mitte. Krüpteerimise korral tuleb kasutada DigiDoc krüptot. Kuidas teatis krüpteerida, vaata id.ee rubriigist Praktilised näpunäited ja juhised.
Kui kogu teatises nõutav isikuandmetega rikkumisega seotud teave on esialgne, saab andmetöötleja Andmekaitse Inspektsioonile saata juurde lisateavet. Sel juhul tuleb rikkumisteatise vormis teha vastav märge. Kui teatises olev sisu on inspektsioonile kättesaamatu või on vajalik saada lisateavet, on inspektsioonil õigus seda andmetöötlejalt küsida.
Juhime tähelepanu, et kui osutate küberturvalisuse seaduse §-s 3 loetletud teenust, olete digitaalse teenuse osutaja küberturvalisuse seaduse § 4 tähenduses, sideettevõtja elektroonilise side seaduse mõttes või usaldusteenuse osutaja e-identimise ja e-tehingute usaldusteenuste seaduse mõttes, võib teil olla rikkumist põhjustanud küberintsidendist teavitamise kohustus ka Riigi Infosüsteemi Ameti küberintsidentide käsitlemise osakonnale CERT-EE.
Sideettevõtja isikuandmetega seotud rikkumisest teatamine toimub Euroopa Komisjoni määruse (EL) 611/2013 kohaselt.
Isikuandmetega seotud rikkumise teatis tuleb edastada aadressile [email protected].
Euroopa Komisjoni määruse (EL) 611/2013 kohaselt on üldkasutatava elektroonilise sideteenuse osutajal isikuandmetega seotud rikkumiste suhtes teatamise kohustus. Eestis tuleb sellisest rikkumisest teada anda Andmekaitse Inspektsioonile. Vastav teatis tuleb esitada hiljemalt 24 tundi pärast isikuandmetega seotud rikkumise tuvastamist. Andmekaitse Inspektsioon jätab andmetöötleja pädevusse otsustada, kas teatis edastatakse krüpteeritult või mitte. Krüpteerimise korral tuleb kasutada DigiDoc krüptot. Kuidas teatis krüpteerida, vaata id.ee rubriigist Praktilised näpunäited ja juhised
Kui kogu teatises sätestatud teave ei ole kättesaadav ning nõutav on isikuandmetega seotud rikkumise täiendav uurimine, on teenuseosutajal lubatud Andmekaitse Inspektsioonile esitada esialgne informatsioon (teatise punktid 1-8) hiljemalt 24 tunni jooksul alates isikuandmetega seotud rikkumise tuvastamisest. Teenuseosutaja saadab täiendava informatsiooni (teatise punktid 9-17) nii ruttu kui võimalik ning hiljemalt kolme päeva jooksul pärast rikkumisest teada saamist.
Sideettevõtja teavitus isikuandmetega seotud rikkumisest
Sideettevõtja isikuandmetega seotud rikkumisest teatamine toimub Euroopa Komisjoni määruse (EL) 611/2013 kohaselt.
Alternatiivina on teil võimalus saata rikkumisteade meili teel, kasutades näiteks failipõhist näidisvormi. Sel juhul tuleb rikkumisteade saata aadressile info[at]aki.ee.
Pane tähele!
Kui Andmekaitse Inspektsioon ei ole lõpliku rikkumisteate esitamise järgselt küsinud täiendavat teavet rikkumisteate kohta 30 päeva jooksul, on võetud esitatud rikkumisteade teadmiseks ning eraldi teavitust selle kohta ei saadeta.
KKK: Isikuandmetega seotud rikkumisest teatamine
Isikuandmetega seotud rikkumine on turvanõuete rikkumine, mis põhjustab edastatavate, salvestatud või muul viisil töödeldavate isikuandmete juhusliku või ebaseadusliku hävitamise, kaotsimineku, muutmise või loata avalikustamise või neile juurdepääsu.
Rikkumised jaotatakse kolme kategooriasse:
-
Konfidentsiaalsusega seotud rikkumine: loata või juhuslik avalikustamine või juurdepääs.
-
Terviklusega seotud rikkumine: loata või juhuslik andmete muutmine.
-
Kättesaadavusega seotud rikkumine: juurdepääsu kadumine või andmete hävitamine (nt lunavararünnak, kus puuduvad varukoopiad).
Järelevalveasutust (Eestis Andmekaitse Inspektsioon) tuleb teavitada alati, välja arvatud juhul, kui rikkumine ei kujuta endast tõenäoliselt ohtu füüsiliste isikute õigustele ja vabadustele. Ohu puudumist peab vastutav töötleja suutma põhjendada ja dokumenteerida.
Vastutav töötleja peab teavitama järelevalveasutust põhjendamatu viivituseta ja võimaluse korral 72 tunni jooksul pärast rikkumisest teada saamist. 72 tunni lugemine algab hetkest, mil vastutav töötleja saab rikkumisest teada.
Organisatsioon on rikkumisest teada saanud hetkest, mil tal on piisav kindlus, et on toimunud turvaintsident, mille tulemusel on isikuandmete turvalisust rikutud.
Näide: Kui kolmas osapool esitab tõendid andmete lekkimise kohta, on organisatsioon rikkumisest kohe teada saanud.
Võimaliku rikkumise kahtluse korral on lubatud lühiajaline esmane uurimine, et kinnitada fakti.
Isikuandmete kaitse üldmäärus ehk IKÜM võimaldab järkjärgulist teavitamist. Kui kogu vajalikku teavet ei ole võimalik korraga esitada (nt keerulised küberintsidendid), võib esitada esmase teate ja edastada täiendavad üksikasjad osade kaupa ilma põhjendamatu viivituseta.
Vastavalt IKÜM artikli 33 lõikele 3 peab teade sisaldama vähemalt:
Rikkumise laadi kirjeldus: võimaluse korral andmesubjektide ja isikuandmekirjete kategooriad ja ligikaudne arv.
Kontaktisik: andmekaitseametniku või muu kontaktisiku andmed, kellelt saab lisateavet.
Võimalikud tagajärjed: kirjeldus rikkumise tõenäolise mõju kohta üksikisikutele.
Meetmed: kirjeldus võetud või kavandatud meetmetest rikkumise lahendamiseks ja kahju leevendamiseks.
Nõutava teabe kirjeldamiseks saab kasutada Andmekaitse inspektsiooni vastavat vormi või e-teenust.
Teabe esitamisel tuleb lähtuda sellest, kus on organisatsiooni peamine tegevuskoht. Kui Eestis, tuleb teavitus saata Andmekaitse Inspektsioonile. Kui aga Euroopa Liidus, siis tuleb teavitus saata vastava riigi andmekaitseasutusele.
Kui andmeid töötleb volitatud töötleja (nt pilveteenuse pakkuja), peab ta vastutavat töötlejat teavitama rikkumisest põhjendamatu viivituseta. Vastutav töötleja loetakse rikkumisest teada saanuks hetkel, mil volitatud töötleja teda teavitas.
Inimesi tuleb teavitada siis, kui rikkumine kujutab endast tõenäoliselt suurt ohtu nende õigustele ja vabadustele. Suur oht esineb näiteks siis, kui rikkumine võib kaasa tuua identiteedivarguse, rahalise kahju või maine kahjustamise (nt terviseandmete või pangasaladuse leke).
Järelevalveasutuse teavitamine ei ole nõutav, kui oht puudub. Üksikisikuid ei pea teavitama, kui:
-
Andmed olid muudetud loetamatuks (nt tugev krüpteering, mille võti on turvaliselt vastutava töötleja käes).
-
Võeti kohesed meetmed, mis välistasid suure ohu tekkimise.
-
Otseteavitamine nõuaks ebaproportsionaalseid jõupingutusi (sellisel juhul tehakse avalik teadaanne).
Jah. Vastutav töötleja peab dokumenteerima kõik isikuandmetega seotud rikkumised. Dokumentatsioon peab sisaldama asjaolusid, mõju ja parandusmeetmeid ning see on aluseks järelevalveasutusele kontrolli teostamiseks.
Rikkumisest teatamata jätmine võib kaasa tuua isikuandmete kaitse üldmääruse artikli 83 alusel trahvi kuni 10 000 000 eurot või kuni 2% ettevõtja ülemaailmsest aastakäibest. Lisaks võib järelevalveasutus rakendada muid parandusmeetmeid.
Seotud viited
Last updated: 19.06.2026