ποιες είναι οι συνέπειες αν δεν αναφέρω μια παραβίαση δεδομένων στην Αρχή

Η μη αναφορά μπορεί να έχει συνέπειες που υπερβαίνουν το ίδιο το περιστατικό

Όποιος δεν αναφέρει ένα περιστατικό παραβίασης δεδομένων που υπόκειται σε υποχρέωση αναφοράς στον εποπτικό φορέα, διατρέχει τον κίνδυνο ο εποπτικός φορέας να το ανακαλύψει ο ίδιος και να ενεργήσει βάσει του άρθρου 33 του GDPR, το οποίο ρυθμίζει την υποχρέωση αναφοράς εντός της προθεσμίας που ορίζεται σε αυτό. Η Ελληνική Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα και άλλοι ευρωπαϊκοί εποπτικοί φορείς έχουν την εξουσία να διεξάγουν έρευνες, να θέτουν ερωτήσεις και να επιβάλουν κυρώσεις σε περίπτωση που διαπιστωθεί παραβίαση. Το ότι μια παραβίαση δεν αναφέρθηκε, συχνά αποκαλύπτεται όταν ένα πρόσωπο που αφορά τα δεδομένα προσφεύγει ο ίδιος, όταν τα δεδομένα εμφανίζονται αλλού, ή όταν ένας επεξεργαστής ή πάροχος αναφέρει το περιστατικό και ο εποπτικός φορέας ερευνά περαιτέρω — βλ. επίσης τι να κάνετε εάν ένας πάροχος αναφέρει ένα περιστατικό παραβίασης δεδομένων.

Εκτός από τον κίνδυνο στον εποπτικό φορέα, υπάρχει ένα ακόμη σημείο: η μη αναφορά ενός περιστατικού είναι ανεξάρτητη από την ερώτηση εάν τα πρόσωπα των οποίων τα δεδομένα είναι κατανοητό ότι πρέπει να ενημερωθούν. Αυτή η υποχρέωση προκύπτει από το άρθρο 34 του GDPR και μπορεί να παραμείνει ακόμη και εάν η αναφορά στον εποπτικό φορέα δεν έχει γίνει — με όλες τις ζημιές φήμης και την απώλεια εμπιστοσύνης που μπορεί να προκύψει εάν αυτό αποκαλυφθεί αργότερα. Ακόμη και ένα περιστατικό που δεν υπόκειται σε υποχρέωση αναφοράς πρέπει να παραμείνει στα δικά σας αρχεία· βλ. γιατί τα μη αναφερθέντα περιστατικά παραβίασης δεδομένων πρέπει να τηρούνται.

Τι λέει ο κανονισμός σχετικά με αυτό

Η υποχρέωση αναφοράς ορίζεται στο άρθρο 33 του GDPR και ισχύει άμεσα σε κάθε κράτος μέλος της ΕΕ. Το σημείο στο οποίο κατατίθεται η αναφορά διαφέρει ανά χώρα: στην Ελλάδα είναι η Ελληνική Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, σε άλλα κράτη μέλη ο εθνικός εποπτικός φορέας αυτής της χώρας — το EDPB διατηρεί ένα κατάλογο αυτών των εποπτικών φορέων και δημοσιεύει κατευθυντήριες γραμμές σχετικά με την ερμηνεία της υποχρέωσης αναφοράς. Η ακριβής εφαρμογή του πότε κάτι χρειάζεται ή όχι αναφορά, περιγράφεται στη σελίδα σχετικά με την αξιολόγηση εάν ένα περιστατικό παραβίασης δεδομένων πρέπει να αναφερθεί.