kdo je odpovědný za hlášení porušení bezpečnosti údajů v rámci mé společnosti

Odpovědnost leží na organizaci, ne na jednom zaměstnanci

GDPR ukládá povinnost hlášení organizaci, která je správcem údajů, nikoliv jednotlivému zaměstnanci, který únik objevil nebo způsobil. GDPR neupravuje, kdo v organizaci hlášení skutečně provádí — to je interní záležitost. V praxi to bývá obvykle vlastník, ředitel nebo osoba konkrétně pověřená péčí o otázky ochrany osobních údajů, např. pověřenec na ochranu údajů, pokud byl jmenován. U OSVČ nebo malého podniku bez samostatné funkce tato odpovědnost obvykle spadá na osobu, která podnik vede.

Co je však pevně stanoveno, je že musí existovat někdo, kdo ví, že hlášení může být nezbytné, jakmile k úniku dojde, a kdo může posoudit, zda co přesně se jedná o únik údajů je v tomto případě relevantní. Podnik, který si neurčil, kdo se o to postará, riskuje, že únik bude signalizován, ale nikdo v procesu nepokročí dál — zatímco lhůta běží od okamžiku objevení. Ani pokud je zpracování svěřeno třetí straně, to nemění nic na tom, kdo zůstává odpovědný za hlášení: je to a zůstane vlastní organizace, i když dodavatel sám hlásí únik údajů.

Právní základ: čl. 33 GDPR

Čl. 33 GDPR se vždy zmiňuje o "správci údajů" jako o straně, která musí hlásit dozorujícímu orgánu, bez předepsání konkrétní interní funkce nebo osoby; kdo to skutečně provádí, je věc samotné organizace. Úřad na ochranu osobních údajů na své stránce o únicích údajů potvrzuje, že povinnost hlášení leží na organizaci, nikoli na konkrétním zaměstnanci. U kterého dozorujícího orgánu se musí hlášení provést, se liší podle členského státu: v Nizozemsku je to Úřad na ochranu osobních údajů, zatímco jinde v EU je příslušným orgánem vlastní národní dozorující orgán. Více o krocích, které je třeba následovat, a roli dozorujícího orgánu najdete v části kdy musí být únik údajů hlášen Úřadu na ochranu osobních údajů.