Pitääkö minun seurata myös tietomurtoja, joita en ilmoita?

Vuodot ilman ilmoitusta kuuluvat myös rekisteriin

Kyllä, useimmissa tapauksissa jokainen tietomurto saa paikan rekisterissä, vaikka ilmoitusta valvontaviranomaiselle ei olisi tehty. Rekisteri ei ole tarkoitettu ilmoitusten yleiskatsaukseksi, vaan kaikkien tapahtuneiden tietomurtojen yleiskatsaukseksi, mukaan lukien siihen liittyvä harkinta: mitä tapahtui, mitkä tiedot olivat kysymyksessä, mikä riski arvioitiin ja miksi ilmoitus tehtiin tai jätettiin tekemättä. Vuoto, joka ei aiheuta ilmoitusvelvollisuutta, koska rekisteröityjen kannalta aiheutuva riski arvioitiin alhaiseksi, kuuluu siihen.

Mitä rekisteriin yleensä ei tarvitse sisältyä, ovat poikkeamat, jotka eivät ole tietomurtoja — esimerkiksi häiriö, jonka yhteydessä tietoja ei ole vuotanut, kadonnut tai käsitelty lainvastaisesti. Heti kun tietomurto on kyseessä, se lasketaan rekisteriin riippumatta siitä, onko valvontaviranomaiselle ilmoitettu ja riippumatta siitä, ovatko rekisteröidyt saaneet siitä tietoa.

Tämä johtuu GDPR:n 33 artiklan dokumentointivelvollisuudesta

GDPR:n 33 artikla säätää paitsi 72 tunnin sisällä tapahtuvasta ilmoituksesta myös erillisestä dokumentointivelvollisuudesta: jokainen tietomurto dokumentoidaan tosiasiat, seuraukset ja toteutetut toimenpiteet sisältäen, jotta valvontaviranomainen voi tämän myöhemmin tarkistaa. Dokumentointivelvollisuus on erillään siitä, onko ilmoitus todella tehty. Se, mikä valvontaviranomainen voi pyytää rekisteriä, vaihtelee jäsenittäin — Hollannissa se on Autoriteit Persoonsgegevens, Saksassa kyseisen osavaltion valvontaviranomainen, jossa toimipaikka sijaitsee — mutta dokumentointivelvoite tulee suoraan asetuksesta ja pätee samassa muodossa jokaisessa jäsenvaltiossa. Myös Autoriteit Persoonsgegevens korostaa tietomurroista antamassaan tiedossa, että dokumentointi on erillinen vaihe riippumatta siitä, ilmoitetaanko vai ei.