Tietosuoja-asetus GDPR on ollut voimassa toukokuusta 2018 lähtien. Viimeisen vuoden aikana tietoturvaloukkauksia koskevia ilmoituksia tehtiin yli 130 000. Tämä tarkoittaa 356 ilmoitusta joka päivä.
Euroopan yleisen tietosuoja-asetuksen (EU General Data Protection Regulation, GDPR) rikkomuksista on langetettu yhteensä lähes 1,1 miljardin euron edestä sakkoja. Kansainvälisen asianajotoimiston DLA Piperin mukaan viimeisen aikana määrättiin tietosuojarikkomuksista sakkoja 7-kertainen määrä edelliseen vuoteen verrattuna.
28.1.2021 alkaneella vuoden seurantajaksolla suurimmat yksittäiset sakot määrättiin Luxemburgissa (746 MEUR), Irlannissa (225 MEUR) ja Ranskassa (50 MEUR). Luxemburgissa ja Irlannissa langetettiin edellisestä vuodesta poiketen ennätyssuuret sakot, jotka veivät maat tämän tilaston kärkeen.
Tietoturvaloukkauksia koskevien ilmoitusten määrä jatkoi kasvuaan, ja ilmoituksia tehtiin 8 prosenttia enemmän kuin edellisenä vuonna. Ilmoituksia tehtiin keskimäärin 356 päivässä. Edellisen seurantajakson päiväkohtainen keskiarvo oli 331 ilmoitusta päivässä. 28.1.2021 alkaneella vuoden seurantajaksolla ilmoituksia tehtiin yhteensä yli 130 000.
Pohjoismaissa tietoturvaloukkauksia koskevia ilmoituksia tehtiin eniten Tanskassa (7 696) ja Ruotsissa (5 627). Asukaslukuun suhteutettuna Tanskassa on raportoitu kaikkein eniten tapauksia (130,6 ilmoitusta 100 000 asukasta kohden). Suomessa ilmoitusten lukumäärä oli 4 782. Asukaslukuun suhteutettuna tämä tarkoittaa 85,59 ilmoitusta 100 000 asukasta kohden. Suomessa raportoitujen tapausten lukumäärä jatkaa kasvuaan, sillä viimeisen vuoden aikana tietoturvaloukkauksia raportoitiin 4 001 kappaletta.
GDPR:n soveltamisen alkamisen jälkeen sakkoja on Pohjoismaissamäärätty eniten Ruotsissa, yhteensä 18 miljoonan euron edestä. Suomessa on tuoreen raportin mukaan annettu GDPR-sakkoja kaikkiaan yhteensä 824 000 euron edestä.
Edelliseen seurantajaksoon verrattuna seitsenkertaiset sakkosummat herättävät huomiota. Monille organisaatioille tietosuojasääntelyn noudattamisen suurin haaste ovat kuitenkin yhä EU:n tuomioistuimen Schrems II (Data Protection Commissioner v Facebook Ireland Limited, Maximillian Schrems) -tuomion rajoitteet kansainvälisiin tiedonsiirtoihin. Tuomio ja GDPR:n V luku asettavat tiukat rajoitukset Euroopasta ja UK:sta “kolmansiin” maihin tehtäville tiedonsiirroille. Tiedonsiirrot “kolmansiin” maihin edellyttävät nyt kattavaa riskiarviointia ja mahdollisia lisätoimia. Tietojen viejiä uhkaavat käsittelykiellot, sakot ja korvausvaatimukset uusien ehtojen täyttämättä jättämisestä. Uhka palvelun keskeytymisestä vaarantaa liiketoiminnan jatkuvuutta.
General Data Protection Regulation (GDPR) fines and data breach survey -raportin voi ladata DLA Piperin verkkosivuilta.
Kuva: AdobeStock
