minu tarnija teatab andmete rikkumisest, kas pean minagi seda teatama

Andmete rikkumine teie tarnijas juures võib mõjutada ka teie teatamiskohustust

Jah, see on võimalik, isegi kui tarnija on leke ise juba teatanud. Tarnija, kes töötleb teie nimel kliendiandmeid — raamatupidamisprogramm, e-posti saatmise tööriist, hostingu pakkuja — on GDPR keeles enamasti andmetöötleja, ja te jääte ise andmete vastutavaks töötlejaks. Teatamiskohustus järelevalveasutusele ja andmealuste suhtes lasub andmete vastutaval töötlejal, mitte andmetöötlejal. Tarnija, kes teatab oma järelevalveasutusele, ei täida seega automaatselt teie enda kohustust.

Millised kohustused andmetöötlejale andmekaitselepingust tulevad, on et ta teatab leke kohta ilma põhjendamata viivituseta teile niipea, kui sellest teab. Sellest hetkest algab teie hindamine, kas tegemist on rikkumisega vastavalt mis on andmete kaitse rikkumine täpselt?artiklis defineeritud arusaamale, ja kas see kuulub teatamiskohustuse alla Andmekaitseteabele ja võimalusel andmealustele. Fakt, et tarnija teatab intsidendist oma järelevalveasutusele — mõnikord teises riigis — ei muuda teie kui andmete vastutava töötleja poolt tehtavat hindamist.

Kus see tuleneb GDPR artiklist 28 ja artiklist 33

GDPR artikkel 28 reguleerib andmete vastutava töötleja ja andmetöötleja vahelist suhet, ja sellega seotud andmekaitselepingu sätestab, et andmetöötleja peab andmete vastutavale töötlejale rikkumisest teatama; GDPR artikkel 33 kehtestab teatamiskohustuse järelevalveasutusele andmete vastutavale töötlejale, mille tähtaja ja kriteeriumid on edasi välja töötanud Andmekaitseteade ja EDPB nende soovitustes. See jaotus kehtib igas liikmesriigis ühtemoodi, erinevus seisneb ainult selles, milline järelevalveasutus teatise saab: Hollandis on see Andmekaitseteade, teistes liikmesriikides selle riigi järelevalveasutus — oluline, kui tarnija seal asub või kui andmealuste andmed pärinevad mitmest riigist. Milliseid omapäraseid kokkuleppeid tarnijaga sellest reguleerida tuleb, ja kas see leping vastab nõuetele, on kirjeldatud kas pean ma allkirjastama andmekaitselepingut, mille minu klient mulle saadab?.