izgubio sam USB stick s podacima klijenta je li to povrada podataka

Izgubljeni USB stick je obično podatkovni incident

USB stick s podacima klijenta koji je izgubljen je u većini slučajeva podatkovni incident u smislu GDPR-a. Definicija u članku 4. GDPR-a govori o kršenju sigurnosti koje dovodi do gubitka osobnih podataka, a to je upravo ono što se događa kada stick s imenima, adresama ili drugim podacima klijenta ne može biti pronađen: podaci nisu uništeni, ali su izašli izvan kontrole poduzeća. Jesu li podaci pali u pogrešne ruke nije osnovna stvar u pitanju — gubitak kontrole je sam po sebi dovoljan da bi se primjenjovala definicija.

Ono što se nakon toga događa ovisi o tome što je bilo na sticku i kako je bio zaštićen. Šifriran stick s ograničenim skupom podataka daje drugačiju sliku od nešifriranog sticka s puno podataka klijenta ili osjetljivih informacija. Razlika je relevantna za pitanje kada trebam prijaviti podatkovni incident Autoritezu za zaštitu podataka, a također i za pitanje jesu li sami klijenti trebali nešto doznati — to pitanje opisano je na stranici o trebam li obavijestiti same pojedince kod podatkovnog incidenta. Za razliku između incidenta i podatkovnog incidenta u širem smislu, stranica što je podatkovni incident zapravo je logična početna točka.

Na čemu se ovo temelji

Definicija kršenja nalazi se u članku 4. GDPR-a, a članak 33. GDPR-a regulira prijavljivanje nadzornom tijelu čim su ispunjeni uvjeti za to. Autorita za zaštitu podataka dalje ovo objašnjava na svojoj stranici o prijavljivanju podatkovnih incidenata, a EDPB je objavio smjernice s primjerima vrsta podatkovnih incidenata, uključujući gubitak nositelja podataka. Obaveza prijavljivanja vrijedi svugdje u EU na temelju uredbe, ali mjesto gdje se prijavljuje razlikuje se po zemlji: u Nizozemskoj je to Autorita za zaštitu podataka, u drugim državama članicama nadzorno tijelo koje je tamo određeno.