Trebam li pratiti i prekršaje podataka koje ne prijavljivam?

Curenja bez prijave također pripadaju registru

Da, u većini slučajeva vrijedi da svaki incident curenja podataka dobija mjesto u registru, čak i ako nije učinjena prijava nadzornom tijelu. Registar nije namijenjen kao pregled prijava, već kao pregled svih povrede koje su se dogodile, s ocjenom koja je tada napravljena: što se dogodilo, koji su podaci bili uključeni, koji je rizik procijenjen i zašto je ili nije učinjena prijava. Curenje koje ne rezultira obvezom prijave jer je rizik za osobe čiji se podaci obrađuju procijenjen kao nizak, samo pada pod to.

Ono što obično ne mora biti u registru su incidenti koji nisu povrede osobnih podataka — na primjer, kvar bez da su podaci cureli, izgubljeni ili nezakonito obrađeni. Čim je riječ o povomedi osobnih podataka, to se broji za registar, bez obzira na pitanje je li učinjena prijava nadzornom tijelu i bez obzira na pitanje jesu li osobe čiji se podaci obrađuju obaviještene.

To proizlazi iz obveze dokumentiranja članka 33 GDPR-a

Članak 33 GDPR-a regulira ne samo prijavu u roku od 72 sata, već sadrži i odvojenu obvezu dokumentiranja: svaka povrana osobnih podataka bilježi se, s činjenicama, učincima i poduzutim mjerama, kako bi nadzorno tijelo to kasnije moglo provjeriti. Ta obveza bilježenja stoji odvojeno od pitanja je li zaista učinjena prijava. Koje nadzorno tijelo može potraživati taj registar razlikuje se po državi članici — u Nizozemskoj je to Autoriteit Persoonsgegevens, u Njemačkoj nadzorno tijelo dijelela gdje se sjedište nalazi — ali obveza dokumentiranja dolazi izravno iz uredbe i u tom obliku vrijedi jednako u svakoj državi članici. I Autoriteit Persoonsgegevens u svojoj informaciji o curenjima podataka ističe da je bilježenje odvojena faza, odvojena od činjenice je li zaista učinjena prijava.