můj dodavatel hlásí porušení bezpečnosti údajů – musím na to upozornit také já

Únik dat u poskytovatele může ovlivnit také vaši oznamovací povinnost

Ano, může, i když poskytovatel sama již únik ohlásil. Poskytovatel, který zpracovává vaše zákaznické údaje — účetní software, e-mailový nástroj, hostingový partner — je v terminologii GDPR obvykle zpracovatelem a vy sami zůstáváte správcem. Oznamovací povinnost vůči dozorčímu orgánu a také dotčeným osobám leží na správci, nikoli na zpracovateli. Poskytovatel, který to ohlásí svému vlastnímu dozorčímu orgánu, tedy automaticky neplní vaši vlastní povinnost.

Co musí poskytovatel podle smlouvy o zpracování, je únik bez zbytečného odkladu oznámit vám, jakmile se o něm dozví. Od té chvíle pro vás začíná posouzení, zda se jedná o porušení v tom smyslu, jak je vymezeno v co přesně je porušením ochrany dat?, a zda je takové porušení oznamovacího povinnosti vůči Úřadu pro ochranu osobních údajů a případně také vůči dotčeným osobám. Skutečnost, že poskytovatel oznámil incident svému vlastnímu dozorčímu orgánu — někdy v jiné zemi — nemá žádný vliv na vaše vlastní posouzení, které jako správce provádíte.

Kde to vyplývá z čl. 28 a čl. 33 GDPR

Článek 28 GDPR upravuje vztah mezi správcem a zpracovatelem a příslušná smlouva o zpracování stanoví, že zpracovatel musí oznámit porušení správci; článek 33 GDPR stanoví oznamovací povinnost vůči dozorčímu orgánu na straně správce, s lhůtou a kritérii, která Úřad pro ochranu osobních údajů a EDPB dále rozebírají v jejich pokynech. Toto rozdělení platí v každém členském státě stejně, jen se liší, který dozorční orgán oznámení obdrží: v Nizozemsku je to Úřad pro ochranu osobních údajů, v jiných členských státech je to dozorční orgán dané země — relevantní, pokud se poskytovatel nachází tam nebo pokud jsou údaje zákazníků dotčených osob z více zemí. Co musí vaše vlastní dohody s poskytovatelem v tomto ohledu stanovit a zda taková smlouva vyhovuje, je popsáno v musím podepsat smlouvu o zpracování, kterou mi pošle můj klient?.