моят доставчик докладва нарушение на данните, трябва ли да го докладвам и сам

Пробив на данни при твоя доставчик може също да засегне твоята задължение да докладваш

Да, това е възможно, дори и ако доставчикът е вече докладвал самия пробив. Доставчик, който обработва данни на клиенти за теб — счетоводна програма, инструмент за пощенски разсилки, хостинг партньор — в езика на GDPR обикновено е обработвател на данни, а ти оставаш администратор на обработката. Задължението да докладваш на надзорния орган и на засегнатите лица лежи на администратора на обработката, не на обработвателя на данни. Доставчикът, който докладва на собствения си надзорен орган, следователно автоматично не покрива твое собствено задължение.

Това, което доставчикът според договора за обработка на данни наистина трябва да направи, е да те уведоми за пробива без ненужно забавяне веднага след като узнае за него. От този момент за теб започва оценката дали става въпрос за нарушение както е посочено в какво е точно нарушението на данните?, и дали това е подлежащо на докладване при Управление на личните данни и евентуално при засегнатите лица. Фактът, че доставчик е докладвал инцидента на собствения си надзорен орган — понякога в друга страна — не променя твоята собствена оценка като администратор на обработката.

Където това следва от член 28 и член 33 на GDPR

Член 28 на GDPR регулира взаимоотношението между администратора и обработвателя на данни, а съответният договор с обработвателя определя, че обработвателят трябва да уведоми администратора за нарушение; член 33 на GDPR налага задължението да се уведоми органът по надзор администратора, със сроковете и критериите, които Autoriteit Persoonsgegevens и EDPB разработват по-нататък в своите ръководства. Това разделение е еднакво във всяка държава-членка, различава се само кой орган по надзор получава уведомлението: в Нидерландия това е Autoriteit Persoonsgegevens, в други държави-членки органът по надзор на тази страна — релевантно, ако доставчикът е разположен там или ако данните на пациентите от множество страни са включени. Какво трябва да регулира собственото ви споразумение с доставчика по този въпрос и дали това споразумение е адекватно, е описано в трябва ли да подпиша договор с обработвателя, който моят клиент ми изпраща?.