hvem er ansvarlig for at rapportere et dataindtrængning inden for min virksomhed

Ansvaret ligger hos organisationen, ikke hos en enkelt medarbejder

GDPR'en pålægger organisationen, som er dataansvarlig, meldepligten, ikke en individuel medarbejder, der opdager eller forårsager lækagen. Hvem inden for virksomheden, der rent faktisk foretager anmeldelsen, er ikke reguleret af GDPR'en — det er et internt spørgsmål. I praksis er det som regel ejeren, en direktør eller en person, der specifikt er udpeget til at varetage databeskyttelsesanliggender, såsom en databeskyttelsesrådgiver, hvis sådan en er udpeget. For en freelancer eller en mindre virksomhed uden en separat funktion falder det ansvar ofte naturligt på den person, der driver virksomheden.

Hvad der gør sig gældende, er, at der skal være en person, der ved, at en anmeldelse kan blive aktuel, så snart en datalækage opstår, og som kan vurdere, om hvad der præcist falder ind under en datalækage gælder her. En virksomhed, der ikke har fastlagt, hvem der tager sig af dette, risikerer, at en lækage bliver opdaget, men at ingen tager det næste skridt — mens klokken begynder at løbe fra opdagelsestidspunktet. Selv hvis behandlingen er outsourcet til en tredjemand, ændrer det intet ved, hvem der har ansvaret for anmeldelsen: det er og bliver ens egen organisation, også når en leverandør selv anmelder en datalækage.

Hvor det fremgår af: artikel 33 i GDPR'en

Artikel 33 i GDPR'en taler konsekvent om »dataansvarlig« som den part, der skal anmelde til tilsynsmyndigheden, uden at foreskrive en intern funktion eller person; det er op til organisationen selv, hvem der rent faktisk foretager det. Datatilsynet bekræfter på sin side om datalækager, at anmeldepligten ligger hos organisationen og ikke hos en specifik medarbejder. Hvilken tilsynsmyndighed en anmeldelse skal foretages til, varierer dog fra medlemsstat til medlemsstat: i Danmark er det Datatilsynet, mens tilsynsmyndigheden i øvrige EU-medlemsstater er den nationale tilsynsmyndighed. Mere om de trin, der skal følges, og tilsynsmyndighedens rolle er beskrevet ved hvornår en datalækage skal anmeldes til Datatilsynet.