moj dobavljač prijavljuje povredu podataka trebam li ju i sam prijaviti

Curenje podataka kod tvoje dobavitelja može utjecati i na tvoju obvezu prijave

Da, može, čak i ako je dobavitelj curenja sam već prijavio. Dobavitelj koji obrađuje podatke o kupcima u tvoje ime — softver za knjiženje, alatku za e-mail marketing, uslugu hostinga — u jeziku Opće uredbe obično je obrada podataka, a ti ostaneš odgovorna osoba za obradu podataka. Obaveza prijave nadzornom tijelu i osobama na koje se podaci odnose leži na odgovornoj osobi za obradu podataka, ne na obradi podataka. Dobavitelj koji prijavi curenja svom nadzornom tijelu ne pokriva time automatski tvoju vlastitu obvezu.

Što dobavitelj prema ugovoru o obradi podataka mora učiniti, jest da ti prijavi curenja bez nepotrebnog odgode čim to sazna. Od tog trenutka za tebe počinje procjena radi li se o kršenju kako je definirano u što je točno kršenje podataka?, i je li to kršenje prijavljivo kod Ureda za zaštitu podataka i eventualno osobama na koje se podaci odnose. To što je dobavitelj prijavio incident svojem nadzornom tijelu — ponekad u drugoj zemlji — ne mijenja tvoju vlastitu procjenu koju kao odgovorna osoba za obradu podataka provodiš.

Gdje to proizlazi iz članka 28 i članka 33 Opće uredbe

Članak 28 Opće uredbe uređuje odnos između odgovorne osobe za obradu podataka i obrade podataka, a odgovarajući ugovor o obradi podataka utvrđuje da obrada podataka mora prijaviti kršenje odgovornoj osobi za obradu podataka; članak 33 Opće uredbe utvrđuje obvezu prijave nadzornom tijelu od strane odgovorne osobe za obradu podataka, s rokom i kriterijima koje Ured za zaštitu podataka i EDPB dalje razrađuju u svojim smjernicama. Ta podjela vrijedila bi jednako u svakom članskom društvu, samo se razlikuje koje nadzorno tijelo prima prijavu: u Nizozemskoj je to Ured za zaštitu podataka, u drugim članicama nadzorno tijelo te zemlje — relevantno ako se dobavitelj nalazi tamo ili ako se podaci osoba na koje se podaci odnose iz nekoliko zemalja trebaju uključiti. Što trebaju regulirati tvoji vlastiti dogovori s dobaviteljem o tome, i je li taj ugovor zadovoljavajući, opisano je kod trebam li potpisati ugovor o obradi podataka koji mi pošalje moj klijent?.