## 4. MILLAL SEDA PROTSEDUURI KOHALDATAKSE?

Kui andmekaitsejuhtum ei hõlma isikuandmeid, siis ei ole vaja seda protseduuri järgida. Kui andmekaitsejuhtum hõlmab isikuandmeid, võib olla tegemist isikuandmetega seotud rikkumisega ja seda protseduuri kohaldatakse. Kahtluste korral, kas on toimunud isikuandmetega seotud rikkumine, peaks ettevõte olukorda hindama ja vajadusel küsima nõu ka vastava valdkonna spetsialistidelt väljastpoolt ettevõtet.

## 5. KUIDAS ISIKUANDMETEGA SEOTUD RIKKUMISEST TEATADA?

On tähtis, et kõigist tegelikest või arvatavatest isikuandmetega seotud rikkumistest teatataks kohe järgmiste juhiste kohaselt.

## 5.1 Esialgne teatamine

Kui saate teada tegelikust või arvatavast isikuandmetega seotud rikkumisest, tuleb sellest teatada kohe ettevõtte tegevjuhile ja olemasolu korral andmekaitsespetsialistile või ettevõttes andmekaitse eest vastutavale isikule (edaspidi mõlema kohta „andmekaitsespetsialist“).

## 5.2 Lahenduskava koostamine

Kui on toimunud isikuandmetega seotud rikkumine, koostab ettevõtte tegevjuht koostöös andmekaitsespetsialistiga plaani isikuandmetega seotud rikkumise lahendamiseks. Selle protseduuri lisas 1 on voodiagramm isikuandmete rikkumise lahendamiseks.

Asjakohase lahenduskava koostamisel arvestab lahendusega tegelev meeskond järgmist:

- • seotud rikkumise teatises saadud andmeid; • seotud rikkumise teatises saadud andmeid;
- • toiminguid, mis on vaja isikuandmetega seotud rikkumise peatamiseks kohe • toiminguid, mis on vaja isikuandmetega seotud rikkumise peatamiseks kohe teha;
- • on vajalik teavitada AKI´t isikuandmetega seotud rikkumisest ja kui on, siis millest • on vajalik teavitada AKI´t isikuandmetega seotud rikkumisest ja kui on, siis millest tuleb teatada;
- • seotud rikkumisest tulenevad võimalikud tagajärjed ettevõttele ja • seotud rikkumisest tulenevad võimalikud tagajärjed ettevõttele ja mõjutatud isikutele;
- • mida ettevõte sellel ajal rakendab ja/või saab rakendada, et mõjutatud isikute • mida ettevõte sellel ajal rakendab ja/või saab rakendada, et mõjutatud isikute kahju vähendada;
- • kuidas rikkumisest mõjutatud isikuid isikuandmete rikkumisest teavitatakse, kas see • kuidas rikkumisest mõjutatud isikuid isikuandmete rikkumisest teavitatakse, kas see on antud olukorras kohane; ja meetmed, mida inimesed saavad rakendada edasise kahju leevendamiseks;
- • isikuandmetega seotud rikkumisega võib kaasneda ettevõtte vastutus või muude • isikuandmetega seotud rikkumisega võib kaasneda ettevõtte vastutus või muude osapoolte (nt volitatud töötleja) vastutus;
- • sisene (ja vajaduse korral väline) kommunikatsioon ja sellise kommunikatsiooni • sisene (ja vajaduse korral väline) kommunikatsioon ja sellise kommunikatsiooni ajastus;
- • lisaks AKI´le tuleks teavitada ka muid huvirühmi; ja • lisaks AKI´le tuleks teavitada ka muid huvirühmi; ja
- • saab isikuandmetega seotud rikkumisest õppida ja milliseid meetmeid rakendada, et • saab isikuandmetega seotud rikkumisest õppida ja milliseid meetmeid rakendada, et püüda konkreetse rikkumise kordumist ja sarnaseid rikkumisi vältida.

## 5.3 Kas AKI teavitamine on nõutav?

Igast isikuandmetega seotud rikkumisest pole vaja AKI´t teavitada. Näiteks pole vaja AKI´t teavitada, kui isikuandmete rikkumisega ei kaasne tõenäoliselt ohtu ühelegi inimesele. Kui AKI´t siiski on vaja teavitada, teeb seda ettevõtte tegevjuht kui on teavitamise vajadust andmekaitsespetsialistiga arutanud.