tko je odgovoran za prijavu povrede podataka u mom poduzeću

Odgovornost leži na organizaciji, a ne na jednom zaposleniku

GDPR postavlja obvezu izvještavanja na organizaciju koja je nadzornik obrade, a ne na pojedinog zaposlenika koji je curicu otkrio ili uzrokovao. Tko će izvršiti izvještavanje unutar poduzeća, GDPR ne određuje — to je unutarnja stvar. U praksi, to su obično vlasnik, direktor ili osoba koja je posebno zadužena za privatnost, kao što je službenik za zaštitu podataka ako je preuslužan. Kod samozaposlenih osoba ili malih poduzeća bez posebne funkcije, ta odgovornost obično pada na osobu koja vodi poduzeće.

Ono što je sigurno, je da mora biti osoba koja zna da se curicu može dogoditi čim se pojavi, i koja može procijeniti je li što točno spada pod curicu podataka primjenjivo je. Poduzeće koje nije ništa utvrdilo o tome tko to preuzima, riskiruje da curicu prijave, ali da se nikoga sledeći korak ne poduzme — dok sat od vremena otkrivanja već teče. Čak i ako je obrada drugima dodijeljena trećoj strani, to ne mijenja tko ostaje odgovoran za izvještavanje: to je i ostaje vlastita organizacija, čak i kada dobavljač sam prijavi curicu podataka.

Gdje je to regulirano: članak 33 GDPR-a

Članak 33 GDPR-a uvijek govori o "nadzorniku obrade" kao strani koja mora izvijestiti nadzorni organ, bez propisivanja unutarnje funkcije ili osobe; tko to zapravo izvrši, prepušteno je samoj organizaciji. Autoritet za zaštitu podataka potvrđuje na svojoj stranici o curicama podataka da obaveza izvještavanja leži na organizaciji, a ne na specifičnom zaposleniku. Na koji nadzorni organ treba dostavljati izvještaj, razlikuje se po članici: u Nizozemskoj je to Autoritet za zaštitu podataka, dok je u ostatku EU vlastiti nacionalni nadzorni organ nadlejna institucija. Više o koracima koji se trebaju slijediti i ulozi nadzornog organa nalazi se u kada se curicu podataka mora prijaviti Autoritetu za zaštitu podataka.