Skal jeg også registrere dataindbreak, som jeg ikke anmelder?

Også lækager uden meddelelse tilhører registreringen

Ja, i de fleste tilfælde gælder det, at hver datalæk får plads i registreringen, også hvis der ikke er foretaget meddelelse til en tilsynsmyndighed. Registreringen er ikke tiltænkt som oversigt over meddelelser, men som oversigt over alle brud, der har fundet sted, med den afvejning, der blev foretaget: hvad skete der, hvilke data var involveret, hvilken risiko blev vurderet, og hvorfor blev der eller blev der ikke meddelt. En læk, der ikke giver meddelelsespligt, fordi risikoen for de registrerede blev vurderet som lav, falder blot ind under dette.

Hvad der normalt ikke skal være i registreringen, er hændelser, der ikke er et brud på personoplysninger — for eksempel en nedbrud uden at data er lækket, gået tabt eller behandlet ulovligt. Så snart der er tale om et brud, tæller det med til registreringen, uafhængigt af spørgsmålet om, hvorvidt der er meddelt til tilsynsmyndigheden, og uafhængigt af spørgsmålet om, hvorvidt de registrerede er blevet underrettet.

Dette følger af dokumentationspligten i artikel 33 i GDPR

Artikel 33 i GDPR regulerer ikke alene meddelelsen inden for 72 timer, men indeholder også en separat dokumentationspligt: hver krænkelse af personoplysninger registreres med fakta, konsekvenser og foretagne foranstaltninger, så en tilsynsmyndighed senere kan kontrollere dette. Denne registreringspligt er uafhængig af spørgsmålet om, hvorvidt der faktisk blev meddelt. Hvilken tilsynsmyndighed der kan anmode om dette register, varierer fra medlemsstat til medlemsstat — i Danmark er det Datatilsynet, i Tyskland er det tilsynsmyndigheden i den medlemsstat, hvor virksomheden er etableret — men pligten til at dokumentere kommer direkte fra forordningen og gælder på samme måde i hver medlemsstat. Datatilsynet påpeger også i dets information om datalækager, at registrering er et separat skridt, uafhængigt af, hvorvidt der rent faktisk blev meddelt.