Kas pean ka selliseid andmelekkeid jälgima, mida ei teata?

Lekkimised ilma teatamiseta kuuluvad registrisse

Jah, enamikul juhtudel kuulub iga andmelekk registrisse, isegi kui ametnikule teatamata jäeti. Register ei ole mõeldud teatamiste ülevaateks, vaid kõigi toimunud rikkumiste ülevaateks, sealhulgas nende juures tehtud hinnanguga: mis juhtus, millised andmed olid kaasatud, milline risk oli hinnatud ja miks teatati või mitte teatati. Lekk, mis ei nõuanud teatamiskohustust, sest registreerimiskohustuse risk oli hinnatud madalaks, kuulub sinna lihtsalt alla.

Mida registrisse tavaliselt ei pea kandma, on juhtumid, mis ei ole andmeterisk — näiteks katkestus ilma andmete lekkimise, kadumise või õigusvastase töötluseta. Niipea kui on tegemist rikkumisega, loetakse see registri jaoks, sõltumata sellest, kas teatati ametnikule ja kas registreerimiskohustus teavitati.

See tuleneb GDPR artikli 33 dokumenteerimiskohustusest

GDPR artikkel 33 reguleerib mitte ainult 72-tunni jooksul tegemist, vaid sisaldab ka eraldi dokumenteerimiskohustust: iga andmeterisk dokumenteeritakse faktide, tagajärgede ja võetud meetmetega, nii et ametnik saab seda hiljem kontrollida. See dokumenteerimiskohustus on sõltumatu sellest, kas teatamine toimus. Milline ametnik seda registrit saab nõuda, erineb liikmesriigiti — Hollandis on see Andmekaitse Ametit, Saksamaal pealikut, kus asukoht asub — kuid dokumenteerimiskohustus tuleb otse määrusest ja kehtib iga liikmesriigi puhul samaväärselt. Ka Andmekaitse Amet osutab oma andmelekke teavitustes, et dokumenteerimine on eraldi samm, sõltumata sellest, kas teatasite.