Трябва ли да водя записки и на нарушенията на защитата на данни, които не докладвам?

Утечките без докладване също трябва да бъдат в регистъра

Да, в повечето случаи всяка утечка на данни получава място в регистъра, дори ако не е е было докладано на орган за надзор. Регистъра не е предназначен като преглед на докладванията, а като преглед на всички нарушения, които са възникнали, с оценката, направена по време на тяхното разглеждане: какво се е случило, какви данни са били засегнати, какъв риск е бил оценен и защо е или не е докладано. Утечка, която не налага докладване поради преценка, че рискът за засегнатите лица е нисък, попада просто под това.

Това, което обикновено не трябва да бъде в регистъра, са инциденти, които не представляват нарушение на защитата на личните данни — например прекъсване на услугата, без да е има утечка, загуба или незаконна обработка на данни. Веднага след като има нарушение на защитата на личните данни, то се брои за регистъра, независимо от въпроса дали е докладано на орган за надзор и независимо от въпроса дали засегнатите лица са били информирани.

Това следва от задължението за документиране на член 33 на GDPR

Член 33 на GDPR регулира не само докладването в рамките на 72 часа, но съдържа и отделно задължение за документиране: всяко нарушение на защитата на личните данни се записва, с фактите, последствията и взетите мерки, така че орган за надзор да може да проверлява това по-късно. Това задължение за запис е независимо от въпроса дали наистина е докладано. Кой орган за надзор може да поиска този регистър, се различава в зависимост от държавата членка — в Нидерландия това е органът по защита на данните, в Германия органът за надзор на федералната земя, където е разположено седалището — но задължението за документиране произхожда директно от регламента и се прилага в тази форма еднакво във всяка държава членка. Органът по защита на данните също посочва в своята информация относно утечките на данни, че записването е отделна стъпка, независимо от това дали е докладано.