ποιος είναι υπεύθυνος για την αναφορά μιας παραβίασης δεδομένων στην εταιρεία μου

Η ευθύνη βαρύνει τον οργανισμό, όχι έναν μόνο υπάλληλο

Ο Κανονισμός (EU) 2016/679 θέτει την υποχρέωση ειδοποίησης στον οργανισμό που είναι ο υπεύθυνος επεξεργασίας, όχι σε έναν ιδιώτη υπάλληλο που ανακάλυψε ή προκάλεσε τη διαρροή. Ο Κανονισμός δεν ορίζει ποιος εντός της επιχείρησης θα υποβάλει ουσιαστικά την ειδοποίηση — πρόκειται για εσωτερικό ζήτημα. Στην πράξη, συνήθως είναι ο ιδιοκτήτης, ένας διευθυντής ή κάποιος που έχει ειδικά οριστεί να χειρίζεται θέματα προστασίας δεδομένων, όπως ένας υπεύθυνος προστασίας δεδομένων εάν έχει διοριστεί. Για έναν ελεύθερο επαγγελματία ή μια μικρή επιχείρηση χωρίς ξεχωριστή λειτουργία, αυτή η ευθύνη συχνά πέφτει φυσικά σε όποιον διαχειρίζεται την επιχείρηση.

Ό,τι όμως είναι βέβαιο είναι ότι πρέπει να υπάρχει κάποιος που γνωρίζει ότι μια ειδοποίηση ενδέχεται να απαιτηθεί μόλις συμβεί μια διαρροή, και που μπορεί να αξιολογήσει εάν τι ακριβώς θεωρείται διαρροή δεδομένων έχει εφαρμογή εδώ. Μια επιχείρηση που δεν έχει καταγράψει ποιος θα χειριστεί αυτό, διατρέχει τον κίνδυνο να ανιχνευθεί μια διαρροή αλλά κανείς να μην κάνει το επόμενο βήμα — ενώ η προθεσμία ξεκινά από τη στιγμή της ανακάλυψης. Ακόμη και αν η επεξεργασία έχει εκχωρηθεί σε τρίτο μέρος, αυτό δεν αλλάζει σε ποιον παραμένει η ευθύνη για την ειδοποίηση: αυτός είναι και παραμένει ο ίδιος ο οργανισμός, ακόμη και όταν ένας προμηθευτής ήδη ειδοποίησε για μια διαρροή δεδομένων.

Πόθεν τούτο προκύπτει: άρθρο 33 του Κανονισμού (EU) 2016/679

Το άρθρο 33 του Κανονισμού (EU) 2016/679 αναφέρεται πάντοτε στον "υπεύθυνο επεξεργασίας" ως το μέρος που πρέπει να ειδοποιήσει την αρχή εποπτείας, χωρίς να προβλέπει μια συγκεκριμένη εσωτερική λειτουργία ή πρόσωπο· ποιος θα το υποβάλει στην πράξη είναι δική τους απόφαση του οργανισμού. Η Αρχή Προστασίας Δεδομένων της Ολλανδίας επιβεβαιώνει στη σελίδα της για διαρροές δεδομένων ότι η υποχρέωση ειδοποίησης βαρύνει τον οργανισμό και όχι ένα συγκεκριμένο μέλος του προσωπικού. Σε ποια αρχή εποπτείας πρέπει να γίνει ειδοποίηση διαφέρει ανά κράτος μέλος: στην Ολλανδία είναι η Αρχή Προστασίας Δεδομένων, ενώ αλλού στην ΕΕ η δική της εθνική αρχή εποπτείας είναι ο αρμόδιος φορέας. Περισσότερα για τα βήματα που πρέπει να ακολουθηθούν και ο ρόλος της αρχής εποπτείας βρίσκονται στο πότε μια διαρροή δεδομένων πρέπει να ειδοποιηθεί στην Αρχή Προστασίας Δεδομένων της Ολλανδίας.