min leverandør rapporterer et dataindtrængning – skal jeg også rapportere det selv

Et databrud hos din leverandør kan også påvirke din indberetningspligt

Ja, det kan det, selv om leverandøren allerede har indberettet bruddet selv. En leverandør, der behandler kundedata for dig — en regnskapspakke, et mailværktøj, en hostingpartner — er i AVG-sproget normalt en databehandler, og du forbliver den dataansvarlige. Indberetningspligten til tilsynsmyndigheden og til datasubjekter påhviler den dataansvarlige, ikke databehandleren. En leverandør, der indberetter det til sin egen tilsynsmyndighed, opfylder således ikke automatisk dine egne forpligtelser.

Hvad leverandøren ifølge aftalen om databehandling skal gøre, er at indberette bruddet til dig uden unødvendig forsinkelse, så snart han bliver opmærksom på det. Fra det øjeblik begynder du at vurdere, om der er tale om et brud som omtalt i hvad er et databrud præcis?, og om dette er indberetningspligtigt til Datatilsynet og eventuelt til datasubjekterne. Det faktum, at en leverandør har indberettet hændelsen til sin egen tilsynsmyndighed — nogle gange i et andet land — ændrer ikke ved den egen vurdering, som du som dataansvarlig skal foretage.

Hvor det følger af artikel 28 og artikel 33 i GDPR

Artikel 28 i GDPR regulerer forholdet mellem dataansvarlig og databehandler, og den tilknyttede databehandleraftale fastslår, at databehandleren skal indberette et brud på artikel 33 i GDPR til den dataansvarlige; artikel 33 i GDPR pålegger dataansvarlige indberetningspligt til tilsynsmyndigheden, med fristen og kriterierne, som Autoriteit Persoonsgegevens og EDPB præciserer yderligere i deres retningslinjer. Denne fordeling gælder enslydende i hver medlemsstat, kun hvilken tilsynsmyndighed der modtager indberetningen, er forskellig: i Danmark er det Datatilsynet, i andre medlemsstater tilsynsmyndigheden i det pågældende land — relevant hvis leverandøren er baseret der, eller hvis kundedata vedrørende registrerede fra flere lande er involveret. Hvad egne aftaler med leverandøren herom skal regulere, og om denne aftale opfylder kravene, er beskrevet under skal jeg underskrive en databehandleraftale, som min kunde sender mig?.