Πρέπει επίσης να τηρώ αρχείο των παραβιάσεων δεδομένων που δεν αναφέρω;

Τα διαρρέοντα δεδομένα χωρίς δήλωση ανήκουν στο αρχείο

Ναι, στις περισσότερες περιπτώσεις, κάθε παραβίαση της ασφάλειας δεδομένων πρέπει να καταχωρείται στο αρχείο, ακόμη και αν δεν έχει δηλωθεί σε αρχή επιτήρησης. Το αρχείο δεν έχει σκοπό να παρουσιάζει μια επισκόπηση των δηλώσεων, αλλά μια επισκόπηση όλων των παραβιάσεων που έχουν συμβεί, μαζί με την αξιολόγηση που έγινε: τι συνέβη, ποια δεδομένα ήταν εμπλεκόμενα, ποιος κίνδυνος εκτιμήθηκε και γιατί δηλώθηκε ή δεν δηλώθηκε. Ένα διαρρέον δεδομένο που δεν δημιουργεί υποχρέωση δήλωσης επειδή ο κίνδυνος για τα υποκείμενα των δεδομένων εκτιμήθηκε ως χαμηλός, εμπίπτει σε αυτό.

Αυτό που συνήθως δεν χρειάζεται να περιληφθεί στο αρχείο είναι τα περιστατικά που δεν αποτελούν παραβίαση της ασφάλειας δεδομένων — για παράδειγμα, μια βλάβη χωρίς διαρροή, απώλεια ή παράνομη επεξεργασία δεδομένων. Μόλις υπάρχει παραβίαση της ασφάλειας δεδομένων, αυτή καταγράφεται για το αρχείο, ανεξάρτητα από το αν δηλώθηκε στην αρχή επιτήρησης και ανεξάρτητα από το αν ενημερώθηκαν τα υποκείμενα των δεδομένων.

Αυτό προκύπτει από την υποχρέωση τεκμηρίωσης του άρθρου 33 της GDPR

Το άρθρο 33 της GDPR δεν ρυθμίζει μόνο τη δήλωση εντός 72 ωρών, αλλά περιέχει και μια ξεχωριστή υποχρέωση τεκμηρίωσης: κάθε παραβίαση της ασφάλειας δεδομένων καταγράφεται, με τα γεγονότα, τις συνέπειες και τα μέτρα που λήφθηκαν, ώστε μια αρχή επιτήρησης να μπορεί να το ελέγξει αργότερα. Η υποχρέωση καταγραφής είναι ανεξάρτητη από το αν έγινε πραγματική δήλωση. Ποια αρχή επιτήρησης μπορεί να ζητήσει αυτό το αρχείο διαφέρει ανά κράτος μέλος — στην Ελλάδα είναι η Αρχή Προστασίας Δεδομένων Προσώπων, στη Γερμανία η αρχή επιτήρησης του κράτους μέρους όπου βρίσκεται η έδρα — αλλά η υποχρέωση τεκμηρίωσης προέρχεται κατευθείαν από τη Διάταξη και ισχύει με την ίδια μορφή σε κάθε κράτος μέλος. Η Αρχή Προστασίας Δεδομένων Προσώπων αναφέρει επίσης στις πληροφορίες της σχετικά με παραβιάσεις της ασφάλειας δεδομένων ότι η καταγραφή είναι ένα ξεχωριστό βήμα, ανεξάρτητα από το αν δηλώθηκε ή όχι.