ο προμηθευτής μου αναφέρει μια παραβίαση δεδομένων πρέπει να την αναφέρω κι εγώ

Μια παραβίαση δεδομένων στον προμηθευτή σας μπορεί να επηρεάσει και την υποχρέωση δήλωσής σας

Ναι, μπορεί, ακόμα κι αν ο προμηθευτής έχει ήδη δηλώσει το περιστατικό ο ίδιος. Ένας προμηθευτής που επεξεργάζεται δεδομένα πελατών για λογαριασμό σας — ένα λογιστικό πακέτο, ένα εργαλείο αποστολής μηνυμάτων, ένας πάροχος φιλοξενίας — είναι στη γλώσσα του GDPR συνήθως ένας επεξεργαστής, και εσείς παραμένετε ο υπεύθυνος επεξεργασίας. Η υποχρέωση δήλωσης στην αρχή επιτήρησης και στους υποκείμενα δεδομένα έγκειται στον υπεύθυνο επεξεργασίας, όχι στον επεξεργαστή. Ο προμηθευτής που το δηλώνει στη δική του αρχή επιτήρησης, επομένως δεν καλύπτει αυτόματα τη δική σας δική υποχρέωση.

Αυτό που ο προμηθευτής σύμφωνα με τη σύμβαση επεξεργασίας πρέπει να κάνει, είναι να σας ενημερώσει για το περιστατικό χωρίς αδικαιολόγητη καθυστέρηση, όταν το μάθει. Από εκείνη τη στιγμή ξεκινά για εσάς η αξιολόγηση του κατά πόσον πρόκειται για παραβίαση όπως καθορίζεται στο τι είναι ακριβώς μια παραβίαση δεδομένων;, και κατά πόσον υπόκειται σε υποχρέωση δήλωσης στο Αρχή Προστασίας Δεδομένων και ενδεχομένως στα υποκείμενα δεδομένα. Το γεγονός ότι ένας προμηθευτής έχει δηλώσει το περιστατικό στη δική του αρχή επιτήρησης — μερικές φορές σε άλλη χώρα — δεν αλλάζει τίποτα στη δική σας δική αξιολόγηση που κάνετε ως υπεύθυνος επεξεργασίας.

Όπου προκύπτει από το άρθρο 28 και το άρθρο 33 του GDPR

Το άρθρο 28 του GDPR ρυθμίζει τη σχέση μεταξύ υπευθύνου επεξεργασίας και επεξεργαστή, και η συνακόλουθη σύμβαση επεξεργασίας προβλέπει ότι ο επεξεργαστής πρέπει να ενημερώσει τον υπεύθυνο επεξεργασίας για μια παραβίαση· το άρθρο 33 του GDPR προβλέπει την υποχρέωση δήλωσης στην αρχή επιτήρησης από τον υπεύθυνο επεξεργασίας, με τη διορία και τα κριτήρια που η Αρχή Προστασίας Δεδομένων και το EDPB αναπτύσσουν περαιτέρω στις κατευθυντήριες γραμμές τους. Αυτή η διαίρεση ισχύει ίδια σε κάθε κράτος μέλος, μόνο διαφέρει ποια αρχή επιτήρησης λαμβάνει την αναφορά: στην Ελλάδα είναι η Αρχή Προστασίας Δεδομένων, σε άλλα κράτη μέλη η αρχή επιτήρησης του εκείνου του κράτους — σχετικό αν ο προμηθευτής βρίσκεται εκεί ή αν δεδομένα των υποκειμένων δεδομένων από πολλές χώρες εμπλέκονται. Τι πρέπει να ρυθμίσουν οι δικές σας δικές συμφωνίες με τον προμηθευτή σχετικά με αυτό, και κατά πόσον αυτή η σύμβαση είναι επαρκής, περιγράφεται στο πρέπει να υπογράψω μια σύμβαση επεξεργασίας που στέλνει ο πελάτης μου;.