GDPR određuje da povredu podataka koja može predstavljati rizik za subjekte podataka mora se prijaviti Autoriteti za zaštitu podataka čim je primijećena. Rok za to je kratak: 72 sata. Ako ne prijavite ili prijavite prekasno, na toj točki ne ispunjavate obvezu iz GDPR-a. Što to konkretno znači ovisi o situaciji, a to je upravo ono na što mi kao uredništvo ne dajemo izjavu: to je do vas, vašeg pravnika ili nadzornog tijela.
Ono što se može opisati je: GDPR daje Autoriteti za zaštitu podataka ovlasti da istražuje povredu podataka koja nije prijavljena ili je prijavljena prekasno, te da na to reagira. Koja će biti ta reakcija i hoće li je biti, nije utvrđeno i nije se može predvidjeti. Za vas kao poduzetnika pitanje dakle nije toliko "koja je kazna", već "što trebam organizirati kako bih na vrijeme mogao procijeniti je li prijava potrebna".
Što točno zahtijeva obaveza prijave
GDPR razlikuje prijavu nadzornom tijelu i prijavu samim subjektima podataka. Prva dolazi u obzir kod curenja koje može predstavljati rizik; druga, teža varijanta, dolazi u obzir kod visokog rizika. Obje procjene moraju se provesti brzo, a rok od 72 sata za nadzorno tijelo počinje od trenutka kada ste otkrili curenje, a ne od trenutka kada je nastalo. Tko taj razliku još nije jasno razumio, može je proći kroz nekoliko pitanja: u pet pitanja pokazuje gdje ste odmah daje naznaku je li prijava potrebna.
Srž problema kod prekasne prijave obično nije nevolja, već vrijeme koje se gubi na nejasnoće: tko bi trebao to preuzeti, je li to uopće povreда podataka u smislu GDPR-a, i imamo li zapravo pregled sustava koji sadrže osobne podatke. Upravo to je gdje register djelatnosti obrade pokazuje svoju vrijednost: bez pregleda vaših obrada, utvrđivanje opsega curenja troši nepotrebno od 72 sata koja imate.
Tudi ne-prijavu trebate moći opravdati
Manje poznata točka je da GDPR također zahtijeva dokumentiranje kada odlučite da curenje nije potrebno prijaviti, i zašto. Obveza opravdavanja, naime, vrijedi za samo vrednovanje, a ne samo za prijavu ako do nje dođe. Curenje koje procjenjujete kao "nema rizika za subjekte podataka" i koje to vrednovanje nigdje ne dokumentirate, teško je naknadno obraniti ako se o tome bude pitalo. Smjernice EDPB-a detaljno se bave ovim; mjesto pronalaženja i objašnjenje dostupni su u bazi znanja po temama.
Posljedice koje nadilaze nadzorno tijelo
Izvan odnosa s Autoriteti za zaštitu podataka postoje još dvije mjesta gdje propuštena prijava može biti značajna. Prvo je ugovor o obradi podataka: ako obrađujete osobne podatke za klijenta, često se tam nalazi vlastiti rok prijave, ponekad kraći od zakonskog roka od 72 sata, i tada taj rok vrijedi zajedno s GDPR-om. Drugo je sam subjekt podataka: osoba čiji su podaci procurjeli i koja to sami sazna bez da ste obavijestili, ne može vratiti to povjerenje, što je odvojeno od bilo kakve pravne procjene.
Također osiguravajuća kuća ili stranka koja javnom nabavom naknadnо pita kako je curenje obrađeno, gleda je li bilo na vrijeme procijenjeno i, gdje je potrebno, prijavljeno. To je drugačije od novčane kazne, ali to se tiče onoga što je često razlog za postavljanje privatnosti u red: moći dokazati da postoji proces, ne samo da se nikad nije dogodilo ništa loše.
Zašto je sat često usko mjesto
U praksi je rijetko nedostaje volja za prijavu, već brzina kojom organizacija može utvrditi što se dogodilo, koji su podaci zahvaćeni i tko je uključen. Sustav koji pokreće sat od 72 sata čim se registrira mogući curjak sprječava da se to vrijeme izgubi u unutarnjoj raspraavi. Kako je takav sustav strukturiran i na čemu se temelji informacija, opisano je na stranici o odakle dolaze informacije.
Trebate li pravni savjet ili stručnjaka za specifičnu situaciju, preporučeni kontakt je odvjetnik ili samorna Autoritet za zaštitu podataka.
Želite li prvo steći jasnu sliku o svojoj situaciji, bez obveza? Besplatan brzi pregled i baza znanja pružaju prvi uvid po temi, uključujući izvore u službenom tekstu.