Musím také zaznamenávat porušení ochrany údajů, která nehlásím?

Úniky bez hlášení patří také do registru

Ano, ve většině případů platí, že každý únik dat má místo v registru, i když nebyl hlášen orgánu dohledu. Registr není určen jako přehled hlášení, ale jako přehled všech porušení, která se vyskytla, včetně posouzení, které bylo provedeno: co se stalo, která data byla zapojena, jaké riziko bylo posouzeno a proč bylo nebo nebylo hlášeno. Únik, který nevyvolá povinnost hlášení, protože bylo riziko pro subjekty údajů posouzeno jako nízké, tam jednoduše patří.

Co obvykle do registru nemusí patřit, jsou incidenty, které nejsou porušením ochrany osobních údajů — například výpadek bez toho, aby došlo k úniku, ztrátě nebo nezákonné zpracování údajů. Jakmile však dojde k porušení, počítá se do registru, nezávisle na otázce, zda bylo hlášeno orgánu dohledu, a nezávisle na otázce, zda byly subjekty údajů informovány.

Vyplývá to z povinnosti dokumentace stanoveného v článku 33 GDPR

Článek 33 GDPR neupravuje pouze hlášení do 72 hodin, ale obsahuje také samostatnou povinnost dokumentace: každé porušení ochrany osobních údajů se zaznamenává spolu se skutečnostmi, důsledky a přijatými opatřeními, aby jej později mohl orgán dohledu zkontrolovat. Tato povinnost zaznamenávání je nezávislá na otázce, zda bylo skutečně hlášeno. Který orgán dohledu si může tento registr vyžádat, se liší podle členského státu — v Nizozemsku to je Úřad pro ochranu osobních údajů, v Německu orgán dohledu zemského státu, kde se sídlo nachází — ale povinnost dokumentovat vychází přímo z nařízení a v této formě platí stejně ve všech členských státech. Také Úřad pro ochranu osobních údajů ve svých informacích o únicích dat upozorňuje, že zaznamenávání je samostatný krok nezávisle na tom, zda bylo nebo nebylo hlášeno.