millised on tagajärjed, kui andmete rikkumisest ei teata Andmeteprotektsiooni Ametile

Teatamata jätmine võib kaasa tuua tagajärjed, mis ulatuvad kaugemale kui leke ise

Kes ei teatanud nõuetekohast andmeleket järelevalvajale, riskib, et järelevalvaja saab sellest ise teada ja rakendab artikli 33 alusel õigusakte, mis reguleerib teatamiskohustuse nendes nimetatud tähtaegu. Andmekaitse Inspektsioon ja muud Euroopa järelevalvajad on volitatud uuringuid läbi viima, küsimusi esitama ja konstateeritud rikkumise korral sanktsioonid määrama. Sageli selgub just see, et leket ei teatatud, kui tuginev isik ise kaebab, kui andmed ilmuvad mujal või kui töötleja või tarnija teatab lekkest ja järelevalvaja sealtkaudu uurib — vt ka mis teha, kui tarnija teatab andmelekest.

Lisaks riskile järelevalvaja ees mängib roll ka teine asi: leke mitteteatamine on eraldi küsimus sellest, kas inimesi, kelle andmeid see puudutab, tuleb teavitada. See kohustus tuleneb GDPR-i artiklist 34 ja võib jääda kehtima ka siis, kui teatamine järelevalvajale jäeti vahele — kogu maine- ja usaldusekao riskiga, mis sellest võib tulla, kui see hiljem selleglaaskui avalikuks tuleb. Ka leke, mis ei ole teatamiskohustuslik, peaks jääma jäädvesse dokumentatsiooni; vt miks ka teatamata jäetud andmelekete jäädvesse dokumentatsiooni jäämine on vajalik.

Mis nendes reglites kirjas on

Teatamiskohustus on sätestatud GDPR-i artiklis 33, ja see kohustus kehtib otse iga ELi liikmesriigi kohta. Kuhu teatamine saadab, erineb riigiti: Hollandis saatmine Andmekaitse Inspektsiooni, teistes liikmesriikides selle riigi rahvuslikule järelevalvajale — EDPB hoiab nende järelevalvajate loendit ja avaldab suuniseid teatamiskohustuse tõlgendamise kohta. Täpne väljatöötamine selle kohta, millal peab miski teatataval olema või mitte, on kirjeldatud lehel andmeleke teatamise vajaduse hindamine.