Kada trebam prijaviti prekršaj podataka Autornosti za zaštitu podataka?

Prijava je glavno pravilo, osim ako rizik nije malo vjerojatan

Kršenje podataka prijavite nadzornom tijelu čim je vjerojatno da će kršenje stvoriti rizik za prava i slobode osoba čiji su podaci pogođeni. To je suština članka 33 GDPR-a: prijava je polazna točka, i samo kada je razumno zaključiti da rizik neće nastati, ta prijava ostaje nepodnesena. U praksi to znači da su većina kršenja podataka — pogrešno proslijeđena poruka e-pošte s podacima kupaca, ukradeni laptop, hackirana baza podataka — podložni obavezi prijave, dok kršenje koje očito nikoga ne može pogoditi (primjerice jer su podaci bili šifrirani i ključ nije bio kompromitiran) može biti izvan te obaveze.

Za tu procjenu gledate što se točno dogodilo, o kojim podacima se radi i koje osobe mogu biti pogođene. Posebne kategorije podataka, financijski podaci ili podaci djece vagaju se teže nego pojedinačna e-mail adresa. Sat od 72 sata iz članka 33 GDPR-a počinje teći od trenutka kada saznate za kršenje, a ne od trenutka kada je nastalo — ta dva trenutka ponekad leže tjednima odvojena. Dijagram odlučivanja koji korak po korak prolazi kroz ovu procjenu nikad nije zamjena za vlastitu prosudbu o konkretnom kršenju, ali pomaže da strukturirano prođete kroz pitanje "je li to podložno obavezi prijave ili nije".

Gdje to proizlazi iz članka 33 GDPR-a i smjernica EDPB-a

Sama obaveza prijave nalazi se u članku 33 GDPR-a; objašnjenje pojmova kao što su "rizik" i "bez nepotrebnog odgađanja" dolazi iz smjernica EDPB-a o kršenjima podataka, a Autoritet za zaštitu podataka pojašnjava to za nizozemsku praksu. GDPR se primjenjuje izravno u svakoj državi članici, ali se razlikuje kod koga prijavite: u Nizozemskoj je to prijava nadzornom tijelu Autoritate za zaštitu podataka, jedinom nadzornom tijelu za cijelu zemlju. U Njemačkoj prijavite nadzornom tijelu pokrajine gdje se nalazi vaša ustanova, budući da tu postoji šesnaest nadzornih tijela pokrajina uz federalno nadzorno tijelo.