Tere, Artur!

Aitäh täpsustuste eest! Püüan vastata põhjalikumalt ja üldises võtmes.

Andmelekkega kaasnev risk sõltub eelkõige sellest, millised andmed lekkisid, millises mahus ja kas neid saab kombineerida muu inimese kohta teadaoleva infoga.

1. Mida peaks inimene tegema, kui talle teatatakse, et tema isikuandmed võisid andmelekkes sattuda kõrvaliste isikute kätte?

Kõigepealt tasub ettevõttelt välja selgitada, millised andmed võisid lekkida ja milliseid samme on ettevõte olukorra lahendamiseks astunud. Kui lekkisid paroolid või sisselogimisandmed, tuleb need ära muuta. Sama parooli kasutamisel mitmes teenuses tuleb see muuta ka nendes ning võimalusel võtta kasutusele mitmeastmeline autentimine. Kui lekkisid kontaktandmed, tasub olla tavapärasest tähelepanelikum ootamatute kõnede, sõnumite ja e-kirjade suhtes. Lekkinud andmeid võidakse kasutada usaldusväärse mulje loomiseks ja pettuse ettevalmistamiseks.

2. Kas inimene saab ise kuidagi mõjutada olukorda või vähendada võimalikku kahju pärast seda, kui andmed on juba lekkinud?

Kõige olulisem on kaitsta oma kontosid ja suhtuda ootamatutesse pöördumistesse ettevaatlikult. Kui kurjategija teab inimese nime, telefoninumbrit, aadressi ja varasemat ostuinfot, võib ta pöörduda tema poole konkreetse ja usutava looga. Näiteks väita, et tellimusega tekkis probleem ja aadress vajab kinnitamist. Seetõttu ei tohiks ootamatu kõne või sõnumi peale avaldada paroole, PIN-koode ega muid autentimisandmeid. Kahtluse korral tuleks ettevõttega ise ühendust võtta selle ametlike kontaktide kaudu.

3. Millised andmed on sellises olukorras kõige tundlikumad ja millised kujutavad endast väiksemat riski? Näiteks kui lekkida võisid inimese nimi, isikukood, telefoninumber, aadress ja ostu- või teenindusajalugu. Ühesõnaga kas on olemas mõni lihtne rusikareegel, mille järgi inimene saaks hinnata, kui tõsine tema jaoks konkreetne andmeleke on?

Risk sõltub andmetest ja nende kombinatsioonist. Kõrgema riskiga on näiteks paroolid ja autentimisandmed, pangandusega seotud andmed, isikukood koos muu tuvastamist võimaldava infoga ning terviseandmed. Ka nimi, aadress, telefoninumber, e-post ja ostuajalugu võivad olla kurjategijale väärtuslikud. Näiteks nimi, telefoninumber, e-post, aadress ja sünniaeg annavad juba üsna detailse pildi inimesest. Lihtne rusikareegel on vaadata, mida lekkinud andmete põhjal inimese kohta teada saab ja mida selle teadmisega edasi teha võiks.

4. Mida võib kurjategija sellise andmekogumi abil teha? Kas näiteks nime, isikukoodi, telefoninumbri ja aadressi olemasolu võib suurendada identiteedivarguse, pettuse või õngitsusrünnakute riski?

Üks olulisemaid riske on pettuste ja õngitsuste ettevalmistamine. Mida rohkem on kurjategijal inimese kohta õiget infot, seda usutavam võib olla tema pöördumine. Näiteks võib inimene saada sõnumi, milles viidatakse tema tegelikule ostule, tellimusele või teenusele ja palutakse teha mõni toiming. Sellist sõnumit võib olla keerulisem pettusena ära tunda. Lekkinud andmeid saab ka kombineerida mujalt saadud infoga. See võib suurendada pettuse ja identiteedi kuritarvitamise riski.

5. Kui lekkinud on ka terviseandmed, siis milliseid täiendavaid riske see inimese jaoks kaasa tuua võib?

Terviseandmed kuuluvad eriliiki isikuandmete hulka ja nende lekkimine võib olla inimese jaoks eriti tõsine. Terviseinfo võib olla väga isiklik ning selle avalikuks saamine võib põhjustada stressi, piinlikkust, mainekahju või muud mittevaralist kahju. Samuti võib terviseinfot kasutada pettuses. Kui pöörduja teab näiteks, millises raviasutuses inimene käis või millise terviseprobleemiga ta tegeles, võib tema jutt tunduda usaldusväärsem.

6. Kui inimene saab ettevõttelt teavituse, et tema andmed võisid lekkida, siis millist infot peaks ettevõte talle kindlasti andma? Kas inimesel on õigus teada täpselt, millised tema andmed lekkisid ja kas on teada, kelle kätte need võisid sattuda?

Kui andmekaitserikkumine kujutab inimese õigustele ja vabadustele suurt ohtu, tuleb teda rikkumisest teavitada. Teavitus peab olema selge ja arusaadav ning sisaldama infot rikkumise olemuse, võimalike tagajärgede ja ettevõtte rakendatud meetmete kohta. Vajadusel tuleb anda ka soovitusi, mida inimene saab ise teha. Inimesel on õigus küsida, milliseid tema isikuandmeid ettevõte kasutab ja milliste andmeliikidega rikkumine seotud oli. Alati ei ole võimalik öelda, kelle kätte lekkinud andmed jõudsid. Ettevõte ei pruugi seda teada või võib info avaldamist piirata näiteks käimasolev uurimine.

7. Millistel juhtudel võib inimesel tekkida õigus hüvitisele?

Andmeleke ei anna iseenesest automaatselt õigust hüvitisele. Hüvitise küsimus võib tekkida juhul, kui andmekaitsenõuete rikkumise tõttu on inimesele tekkinud varaline või mittevaraline kahju ja sellel on rikkumisega põhjuslik seos. Andmekaitse Inspektsioon ei määra hüvitisi ega lahenda hüvitisnõudeid. Kui inimene leiab, et talle on rikkumisega kahju tekitatud ja ta soovib hüvitist, tuleb selle nõudega pöörduda kohtusse.

8. Mida soovitaksite inimestel teha kohe pärast sellise teavituse saamist. Näiteks kas muuta paroole või võtta kasutusele muid meetmeid?

Kõigepealt tuleks välja selgitada, millised andmed võisid lekkida. Kui tegemist on paroolide või sisselogimisandmetega, tuleb need esimesel võimalusel ära muuta. Kõigis teenustes, kus vähegi võimalik, tuleks kasutada mitmeastmelist autentimist. Samuti tasub olla tähelepanelik ootamatute kõnede, SMS-ide ja e-kirjade suhtes. See, et helistaja teab inimese nime, aadressi või mõnda muud tema kohta käivat õiget detaili, ei tähenda veel, et ta on usaldusväärne.

Andmeleke ei tähenda automaatselt, et inimesele tekib kahju. Samas võivad ka näiliselt tavalised andmed saada kurjategija jaoks väärtuslikuks siis, kui neid kasutatakse koos muu infoga. Seetõttu on oluline, et inimene teaks, millised tema andmed lekkisid, millised riskid sellega kaasnevad ja mida ta saab nende vähendamiseks ise teha.

Loodan, et minu selgitustest on teema käsitlemisel abi. Täiendavate küsimuste korral võid alati julgelt uuesti ühendust võtta.

Heade soovidega

Tere!

Aitäh vastuse eest!

Täpsustan igaks juhuks oma küsimusi. Innovaatiku juhtum on minu loos eelkõige näide teema käsitlemiseks. Soovin lugejatele anda üldised praktilised juhised selle kohta, mida inimene peaks tegema pärast seda, kui talle teatatakse võimalikust andmelekkest.

Seetõttu kas oleks võimalusel vastata järgmistele küsimustele üldises võtmes, sõltumata Innovaatiku konkreetsest juhtumist.

Tere, Artur!

Aitäh, et selle teema vastu huvi tunned.

Andmekaitse Inspektsioon on juhtumist teadlik ning oleme algatanud järelevalvemenetluse. Andmekaitse Inspektsiooni järelevalvemenetlus on alles algusjärgus ja seega ei ole meil esialgu veel võimalik juhtumit sisuliselt rohkem avada, kui seda on tehtud PPA ja prokuratuuri 3. septembri pressiteates.

Andmekaitse Inspektsiooniga võtsid ühendust mitmed kliinikud, kelle peamine küsimus puudutas rikkumisteate esitamist. Eraldiseisvad vastutavad töötlejad, näiteks hambaravikliinikud ja teised juhtumiga seotud teenusepakkujad, ei pea selle juhtumi kohta inspektsioonile eraldi rikkumisteadet esitama.

Iga vastutav töötleja peab siiski hindama, millist mõju võib rikkumine avaldada tema töödeldavatele isikuandmetele. Rikkumine tuleb dokumenteerida ning hinnata, kas ja milliseid täiendavaid meetmeid on vaja rakendada. Selle hindamise tulemuste põhjal võib olla vajalik näiteks teavitada patsiente või teha muid asjakohaseid toiminguid.

Inimestel, kes soovivad teada, kas ja kuidas rikkumine neid puudutab, soovitame esmalt pöörduda vastutava töötleja ehk näiteks oma kliiniku poole. Teavet saab küsida ka Innovaatik OÜ-lt, kes on avaldanud oma veebilehel juhised andmekaitsepäringute esitamiseks.

Praeguse info põhjal ei ole alust arvata, et lekkinud andmeid oleks kuritarvitatud või kellelegi edastatud.

Selliseid juhtumeid võivad aga ära kasutada kurjategijad kelmuste või õngitsuskatsete läbiviimiseks. Kui inimesega võetakse andmelekkega seoses ühendust, võib tegemist olla pettusega. Soovitame inimestel olla tähelepanelik ootamatute sõnumite ja kõnede suhtes, mitte avaldada paroole ega muid tundlikke andmeid ning mitte avada kahtlaseid linke.

Loodan, et minu selgitustest on teema käsitlemisel abi.

Heade soovidega

Maire Iro-Miller
Avalike suhete nõunik
[email protected]

5385 4644, 627 4136

ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST
Tatari 39 | 10134 Tallinn | Eesti
LinkedIn | YouTube 

1. 2. Kas inimene saab ise kuidagi mõjutada olukorda või vähendada võimalikku kahju pärast seda, kui andmed on juba lekkinud?

1. 3. Millised andmed on sellises olukorras kõige tundlikumad ja millised kujutavad endast väiksemat riski? Näiteks kui lekkida võisid inimese nimi, isikukood, telefoninumber, aadress ja ostu- või teenindusajalugu. Ühesõnaga kas on olemas mõni lihtne rusikareegel, mille järgi inimene saaks hinnata, kui tõsine tema jaoks konkreetne andmeleke on?

1. 4. Mida võib kurjategija sellise andmekogumi abil teha? Kas näiteks nime, isikukoodi, telefoninumbri ja aadressi olemasolu võib suurendada identiteedivarguse, pettuse või õngitsusrünnakute riski?

1. 5. Kui lekkinud on ka terviseandmed, siis milliseid täiendavaid riske see inimese jaoks kaasa tuua võib?

1. 6. Kui inimene saab ettevõttelt teavituse, et tema andmed võisid lekkida, siis millist infot peaks ettevõte talle kindlasti andma? Kas inimesel on õigus teada täpselt, millised tema andmed lekkisid ja kas on teada, kelle kätte need võisid sattuda?