Andmelekke korral: mida tööandja peab 72 tunni jooksul tegema

Kui ettevõte avastab, et kliendi- või töötajaandmed on lekkinud, jookseb kell kohe – Andmekaitse Inspektsiooni tuleb teavitada 72 tunni jooksul sellest hetkest, mil ettevõte lekkest teada sai, mitte hetkest, mil leke tegelikult toimus. 2025. aastal määras Andmekaitse Inspektsioon Eesti ühele kauplusketile ligi 3 miljoni euro suuruse trahvi ebapiisava andmekaitse eest – suurim trahv Eesti ajaloos. Paljud väiksemad ettevõtted arvavad ekslikult, et suured trahvid puudutavad ainult suurkorporatsioone.

Mis loetakse andmelekkeks

Andmeleke (isikuandmetega seotud rikkumine) on palju laiem mõiste, kui esmapilgul tundub. See ei tähenda ainult olukorda, kus häkker murrab sisse ettevõtte serverisse. GDPR-i tähenduses on andmelekkeks iga turvaintsident, mis toob kaasa isikuandmete juhusliku või ebaseadusliku hävimise, kaotsimineku, muutmise või loata avalikustamise – see hõlmab ka näiteks töötaja poolt valele e-posti aadressile saadetud kliendiandmeid sisaldavat tabelit, varastatud sülearvutit, mille kettal olid krüpteerimata andmed, või lihtsalt ettevõtte veebilehe valesti seadistatud õigusi, mille tõttu olid kliendiandmed avalikult nähtavad.

Praktikas tähendab see, et andmeleke ei pea olema tehniliselt keerukas ega tahtlik. Enamik reaalseid juhtumeid on inimliku eksimuse tagajärg – vale manus, unustatud pimekoopia (BCC asemel CC massikirja saates), kaotatud USB-pulk. Just seetõttu peaks iga ettevõte, sõltumata suurusest, olema valmis kiiresti tuvastama, kas mingi konkreetne intsident kvalifitseerub andmelekkena GDPR-i tähenduses.

GDPR eristab kolme peamist tagajärge, mis kõik võivad üksinda või koos kvalifitseeruda andmelekkena: konfidentsiaalsuse rikkumine (andmed said teatavaks kõrvalistele isikutele), terviklikkuse rikkumine (andmeid muudeti loata) ja käideldavuse rikkumine (andmed said hävinud või ligipääsmatuks, näiteks lunavararünnaku tõttu). Viimane on eriti oluline meelde tuletada – ka olukord, kus ettevõte kaotab ligipääsu enda andmetele näiteks küberrünnaku tõttu, ilma et keegi kõrvaline oleks andmeid näinud, on GDPR-i tähenduses andmeleke, mis võib tuua kaasa teavitamiskohustuse, isegi kui ühtki isikuandmete rida ei kopeeritud ega vaadatud.

Millal 72 tunni tähtaeg tegelikult algab

Kõige levinum eksiarvamus on see, et 72 tunni tähtaeg algab hetkest, mil leke tegelikult toimus. Tegelikkuses algab tähtaeg hetkest, mil ettevõte (vastutav töötleja) sai lekkest teada või pidi mõistlikult teada saama. See võib olla oluliselt hilisem kui lekke tegelik toimumise hetk – näiteks kui andmebaasi murti sisse kuu aega tagasi, kuid ettevõte avastas selle alles eile, hakkab 72 tunni arvestus kulgema eilsest päevast, mitte kuu aega tagasi toimunud sündmusest. See “avastamise hetk” nõuab siiski ka mõistlikku hoolsust – ettevõte ei saa tähtaega venitada väitega, et keegi lihtsalt ei vaadanud õigel ajal logisid, kui hoolsa ettevõtte puhul oleks probleem tulnud tuvastada varem.

Oluline on ka see, et 72 tundi on kalendritundides, mitte tööpäevades – nädalavahetus või riigipüha ei peata tähtaja kulgemist. See tähendab, et reedel avastatud leke tuleb teatada hiljemalt esmaspäeval, mitte järgmisel tööpäeval pärast nädalavahetust.

Näide elust

E-poe klienditeenindaja saatis reede õhtul kogemata terve klientide nimekirja koos nimede, e-posti aadresside ja tellimuste ajalooga vale meililisti, mis jõudis mitmesaja kõrvalise isikuni. Vea märgati alles esmaspäeva hommikul, kui üks vale saaja sellest ettevõttele teada andis. Kuigi tegelik “leke” toimus reedel, algab 72 tunni arvestus alles esmaspäeva hommikust, mil ettevõte sellest teada sai – see annab ettevõttele aega kolmapäeva hommikuni, et otsustada teavitamise ja edasiste sammude üle, hoolimata sellest, et nädalavahetus jäi vahele.

Kellele ja kuidas tuleb lekkest teatada

Eestis on pädev järelevalveasutus Andmekaitse Inspektsioon (AKI). Teavitus tuleb esitada AKI-le ette nähtud vormil või korras, ja see peab sisaldama muu hulgas: lekke iseloomu kirjeldust (sealhulgas andmesubjektide ja andmekirjete ligikaudset arvu), andmekaitsespetsialisti või muu kontaktisiku andmeid, lekke tõenäolisi tagajärgi ning juba võetud või kavandatud meetmeid lekke lahendamiseks ja edasise kahju vältimiseks.

Kui kõiki asjaolusid ei ole 72 tunni jooksul veel võimalik selgitada, näeb GDPR ette võimaluse esitada esialgne teavitus koos hilisema, täiendava infoga, kui uurimine jätkub. See tähendab, et ettevõte ei pea ootama, kuni tal on kogu pilt selge – parem on esitada esmane, osaline teavitus tähtajaks kui jätta teavitamine üldse tegemata, kuna kõik detailid pole veel teada.

Praktikas soovitab AKI ettevõtetel koostada teavituse struktureeritult, alustades kõige olulisematest asjaoludest: mis juhtus, millal see avastati, kui palju inimesi on mõjutatud ja mida ettevõte on juba teinud olukorra lahendamiseks. Ebamäärane või liiga üldsõnaline teavitus võib tekitada AKI-le mulje, et ettevõte ei ole olukorda tõsiselt võtnud, isegi kui see esitati formaalselt õigel ajal. Just seetõttu on kasulik teavituse koostamisel kaasata inimene, kes oskab tehnilist intsidenti selgelt ja arusaadavalt kirjeldada, mitte piirduda ainult IT-osakonna sisejargooniga.

Millal tuleb teavitada ka andmesubjekte

Lisaks AKI-le tuleb teatud juhtudel teavitada ka andmesubjekte endid, st inimesi, kelle andmed lekkisid. See kohustus tekib siis, kui leke kujutab endast tõenäoliselt suurt riski nende õigustele ja vabadustele – näiteks kui lekkinud andmete hulgas on tundlikke andmeid (terviseandmed, finantsandmed, isikukoodid) või kui leke võib kaasa tuua identiteedivarguse või muu olulise kahju riski.

Andmesubjektide teavitamine peab toimuma selges ja lihtsas keeles, mitte juriidilises žargoonis, ning sisaldama vähemalt sama informatsiooni, mis esitati AKI-le: rikkumise iseloomu, kontaktisiku andmeid, tõenäolisi tagajärgi ja võetud meetmeid. Teavitamise vorm ei ole rangelt ette kirjutatud – see võib toimuda e-kirja, avaliku teate või muu sobiva kanali kaudu, olenevalt sellest, mis on konkreetsel juhul kõige tõhusam viis inimesteni jõudmiseks.

Trahvid: mitte ainult suurettevõtetele

2025. aastal määras Andmekaitse Inspektsioon Eesti kauplusketile Apotheka (Allium UPI) ligi 3 miljoni euro suuruse trahvi ebapiisavate andmekaitsemeetmete eest – see on suurim GDPR-trahv Eesti ajaloos. Samas näitab teine juhtum, Asper Biogene 85 000-eurone trahv, mis hiljem kohtus tühistati, et trahvide määramine ei ole automaatne ega vaidlustamatu – ettevõttel on õigus AKI otsust vaidlustada, kui ta leiab, et trahv on põhjendamatu või ebaproportsionaalne. Kohtu tühistatud otsus näitab ka seda, et AKI enda menetlus peab vastama kindlatele nõuetele – kui järelevalveasutus ise ei ole oma otsust piisavalt põhjendanud või on rikkunud menetlusnõudeid, saab ka tema otsuse kehtetuks tunnistada.

Väiksemate ettevõtete jaoks on oluline mõista, et trahvi suurus ei ole fikseeritud summa, vaid sõltub rikkumise raskusest, ettevõtte suurusest ja käibest, koostöövalmidusest AKI-ga ning sellest, kas rikkumine oli tahtlik või hooletusest tingitud. Seetõttu on trahv pigem proportsionaalne mõõdupuu kui automaatne karistuskataloog. Väike ettevõte, kes reageerib kiiresti, teavitab õigeaegselt ja teeb AKI-ga koostööd, saab tavaliselt oluliselt leebema kohtlemise kui ettevõte, kes üritab lekke varjata või reageerib hilinemisega.

Eesti kontekstis on oluline märkida, et AKI hindab rikkumise raskust mitmete kriteeriumite alusel, mida on kirjeldanud ka Euroopa Andmekaitsenõukogu suunistes: kui kaua rikkumine kestis enne avastamist, mitu andmesubjekti oli mõjutatud, kas rikkumine oli korduv või esmakordne, ja kas ettevõttel olid varasemalt üldse olemas mõistlikud tehnilised ja korralduslikud turvameetmed. Ettevõte, kes suudab näidata, et tal oli enne intsidenti toimiv andmekaitsesüsteem (regulaarsed auditid, töötajate koolitused, intsidentide reageerimisplaan), on trahvi määramisel üldjuhul soodsamas positsioonis kui ettevõte, kellel selline süsteem täielikult puudus.

Mida teha lekke avastamisel: sammud

1. Fikseeri avastamise täpne aeg. Kirjuta üles kuupäev ja kellaaeg, mil ettevõte lekkest teada sai – see on 72 tunni arvestuse lähtepunkt. Säilita ka tõendid selle kohta, kuidas ja millal info ettevõttesse jõudis.
2. Piira kahju kohe. Peata juurdepääs, muuda paroole, tagasikutsu ekslikult saadetud kirjad, kui see on tehniliselt võimalik. Kiire reageerimine ei mõjuta mitte ainult tegelikku kahju, vaid ka seda, kuidas AKI hiljem ettevõtte tegevust hindab.
3. Hinda lekke ulatust ja riski. Selgita välja, milliseid andmeid, kui palju inimesi ja millist liiki andmeid puudutab – see mõjutab nii teavitamiskohustust AKI-le kui vajadust teavitada andmesubjekte.
4. Esita teavitus AKI-le 72 tunni jooksul. Kui kõik detailid ei ole veel selged, esita esialgne teavitus ja täienda seda hiljem.
5. Kaalu andmesubjektide teavitamist. Kui risk nende õigustele on suur, tuleb neid teavitada põhjendamatu viivituseta.
6. Dokumenteeri kogu protsess. GDPR nõuab, et ettevõte peaks arvestust kõigi andmelekete üle, sõltumata sellest, kas need olid teavitamiskohustuslikud – see dokumentatsioon on hiljem oluline, kui AKI peaks juhtumit uurima.
7. Vaata üle ja täienda oma turvameetmeid. Iga intsident on ka õppekoht – analüüsi, mis läks valesti ja millised meetmed aitaksid sarnast juhtumit tulevikus vältida.

Andmetöötleja vs vastutav töötleja: kelle kohustus see on

Praktikas ajab palju segadust see, kes täpselt peab teavituskohustust täitma – ettevõte, kelle andmed lekkisid, või mõni allhankija, kes andmeid tema nimel töötleb. GDPR eristab siin selgelt kahte rolli: vastutav töötleja (näiteks ettevõte ise, kes kogub kliendiandmeid) ja volitatud töötleja (näiteks pilveteenuse pakkuja või raamatupidamisbüroo, kes töötleb andmeid vastutava töötleja nimel). Enamik ettevõtteid kasutab tänapäeval mitmeid volitatud töötlejaid – pilveteenused, e-posti platvormid, CRM-süsteemid –, mistõttu on oluline teada, kus täpselt andmed asuvad ja kes vastutab nende turvalisuse eest igas etapis.

Kui leke toimub volitatud töötleja juures – näiteks kui teie ettevõtte kasutatav pilveteenus satub rünnaku alla –, on volitatud töötleja kohustatud sellest teavitama vastutavat töötlejat “põhjendamatu viivituseta”. Alles pärast seda, kui vastutav töötleja (ehk teie ettevõte) sellest teada saab, algab teie enda 72 tunni tähtaeg AKI teavitamiseks. See tähendab, et lepingud allhankijatega peaksid sisaldama selgeid kokkuleppeid andmelekke korral kiire teavitamise kohta, sest allhankija hilinemine tähendab otseselt lühemat aega, mis jääb teie enda ettevõttele reageerimiseks. Praktikas tasub selliste lepingute puhul kokku leppida konkreetne, GDPR-i tähtajast lühem sisemine teavitustähtaeg (näiteks 24 tundi), et jätta endale piisavalt aega enda menetluse jaoks.

Korduma kippuvad küsimused

Kokkuvõte

Andmelekke 72 tunni reegel tundub esmapilgul lihtne, kuid praktikas tekitab kõige rohkem segadust just tähtaja täpne algushetk ja küsimus, kas konkreetne intsident üldse kvalifitseerub teavitamiskohustusliku lekkena. Kõige suurem viga, mida ettevõtted teevad, ei ole tähtaja unustamine, vaid otsustamatus – lootus, et väike intsident “laheneb ise” või jääb märkamatuks, mis tähtaja mööda lastes muudab olukorra ainult hullemaks.

Ettevõtte suurus ei ole kaitse trahvi eest – nii suured kauplusketid kui väikesed idufirmad on Eestis juba saanud tunda AKI suurenenud aktiivsust. Kõige mõistlikum lähenemine on koostada juba ette selge protokoll selle kohta, mida teha andmelekke kahtluse korral, mitte hakata protsessi välja mõtlema alles siis, kui kell juba tiksub.

Selline protokoll ei pea olema keerukas – piisab lühikesest, selgest juhendist, mis kirjeldab, kellele intsidendist kohe teatada, kes vastutab riski hindamise eest ja kus asuvad kontaktid AKI teavitamiseks. Ettevõtted, kellel selline plaan juba olemas on, säästavad kriisi hetkel hindamatult palju aega, mis muidu kuluks paanikas otsuste tegemisele, selle asemel et keskenduda kahju piiramisele ja õigeaegsele teavitamisele. Regulaarne, kordki aastas läbi mängitud harjutus aitab tagada, et kriisi hetkel teab iga võtmeisik täpselt, mida teha, mitte ei pea seda alles siis välja mõtlema.

See artikkel on üldinformatiivne ega asenda personaalset õigusnõustamist. Iga andmelekke juhtum on erinev ning teavitamiskohustuse ja trahviriski hindamine sõltub konkreetsetest asjaoludest – täpse hinnangu saamiseks pöörduge isikuandmete kaitse advokaadi poole võimalikult kiiresti pärast lekke avastamist. See on eriti oluline juhtudel, kus leke puudutab tundlikke andmeid, suurt hulka inimesi või kus ettevõtte enda vastutus (näiteks allhankija valikul) on ebaselge.