Πότε πρέπει να αναφέρω μια παραβίαση δεδομένων στην αρχή προστασίας δεδομένων;

Η αναφορά είναι ο κύριος κανόνας, εκτός εάν ο κίνδυνος είναι απίθανος

Ένα περιστατικό παραβίασης δεδομένων αναφέρετε στην εποπτική αρχή μόλις είναι πιθανό ότι η παραβίαση δημιουργεί κίνδυνο για τα δικαιώματα και τις ελευθερίες των ατόμων των οποίων τα δεδομένα επηρεάστηκαν. Αυτή είναι η ουσία του άρθρου 33 GDPR: η αναφορά είναι το σημείο εκκίνησης, και μόνο όταν είναι εύλογο ότι δεν προκύπτει κίνδυνος, παραμένει η αναφορά ανεκτέλεστη. Στην πράξη, αυτό σημαίνει ότι οι περισσότερες παραβιάσεις που αφορούν δεδομένα προσώπων — ένα ηλεκτρονικό μήνυμα που στάλθηκε λανθασμένα με στοιχεία πελατών, ένας κλεμμένος φορητός υπολογιστής, ένα χακαρισμένη βάση δεδομένων — εμπίπτουν στην υποχρέωση αναφοράς, ενώ μια παραβίαση που προφανώς δεν μπορεί να βλάψει κανέναν (για παράδειγμα, επειδή τα δεδομένα ήταν κρυπτογραφημένα και το κλειδί δεν διαρρεύθηκε) μπορεί να παραμείνει εκτός.

Για αυτήν την αξιολόγηση εξετάζετε τι ακριβώς συνέβη, ποια δεδομένα αφορούνται και ποιοι μπορούν να επηρεαστούν. Ειδικές κατηγορίες δεδομένων, χρηματοοικονομικά δεδομένα ή δεδομένα παιδιών λαμβάνουν μεγαλύτερο βάρος από μια απλή διεύθυνση ηλεκτρονικού ταχυδρομείου. Ο χρονικός περιορισμός 72 ωρών του άρθρου 33 GDPR αρχίζει να τρέχει από τη στιγμή που συνειδητοποιείτε την παραβίαση, όχι από τη στιγμή που προέκυψε — αυτές οι δύο στιγμές μερικές φορές απέχουν εβδομάδες. Ένα διάγραμμα απόφασης που ακολουθεί αυτήν την εξέταση βήμα προς βήμα δεν είναι ποτέ υποκατάστατο της δικής σας κρίσης σχετικά με την συγκεκριμένη παραβίαση, αλλά βοηθά στη δομημένη αντιμετώπιση του ερωτήματος «υποχρέωση αναφοράς ή όχι».

Πού προκύπτει αυτό από το άρθρο 33 GDPR και τις κατευθυντήριες γραμμές της EDPB

Η υποχρέωση αναφοράς καθαυτή περιέχεται στο άρθρο 33 GDPR· η διευκρίνιση εννοιών όπως «κίνδυνος» και «χωρίς περαιτέρω καθυστέρηση» προέρχεται από τις κατευθυντήριες γραμμές της EDPB σχετικά με ειδοποιήσεις παραβίασης δεδομένων, και η Αρχή Προστασίας Δεδομένων παρέχει διευκρίνιση για την ολλανδική πρακτική. Ο GDPR ισχύει άμεσα σε κάθε κράτος μέλος, αλλά το αντικείμενο της αναφοράς διαφέρει: στην Ολλανδία, αναφέρετε στο παράθυρο ειδοποιήσεων της Αρχής Προστασίας Δεδομένων, τη μόνη εποπτική αρχή για ολόκληρη τη χώρα. Στη Γερμανία αναφέρετε στην εποπτική αρχή του κρατιδίου όπου βρίσκεται η εγκατάστασή σας, καθώς υπάρχουν δεκαέξι εποπτικές αρχές κρατιδίων εκτός μιας ομοσπονδιακής εποπτικής αρχής.