szállítóm adatvédelmi incidenst jelent — én is be kell-e jelentsem

Az adatbevétel a beszállítódnál így érintheti a te bejelentési kötelezettségedet is

Igen, így lehet, még akkor is, ha a beszállító már bejelentette a biztonsági incidenst. Egy beszállító, aki ügyfélattribútumokat feldolgoz számodra — egy könyvelési csomag, egy e-mail marketing eszköz, egy szolgáltatás-üzemeltetõ — a GDPR nyelvén általában adatfeldolgozó, és te magad maradsz az adatkezelõ. A felügyeleti hatóság és az érintett személyek felé történõ bejelentési kötelezettség az adatkezelõt terhelik, nem az adatfeldolgozót. Az a beszállító, aki saját felügyeleti szervénél bejelenti, így nem teljesíti automatikusan a te saját kötelezettségedet.

Amit a beszállítónak az adatfeldolgozási szerződés alapján tennie kell, az az, hogy a biztonsági incidenst indokolatlan késedelem nélkül bejelenti számodra, amint tudomása van róla. Ettõl a pillanattól kezdve számodra megkezdõdik az értékelés, hogy milyen személyes adatok biztonságának megsértésérõl van szó a meghatározás szerint, és annak bejelentési kötelezettsége fennáll-e a mi is pontosan az adatsértés?, valamint szükség esetén az Nemzeti Adatvédelmi Hatóság felé, és pedig az érintett személyek felé. Az, hogy a beszállító bejelentett az eseményt saját felügyeleti szervénél — néha egy másik országban — nem változtat azon az értékelésen, amelyet te az adatkezelõként végzel el.

Ez a 28. cikk és a 33. cikk GDPR szerinti előírásokból következik

A GDPR 28. cikke szabályozza az adatkezelõ és az adatfeldolgozó közötti viszonyulást, és a kapcsolódó adatfeldolgozási szerződés előírja, hogy az adatfeldolgozónak bejelentenie kell a személyes adatok biztonságának megsértését az adatkezelõnek; a GDPR 33. cikke a felügyeleti hatóság felé történõ bejelentési kötelezettséget írja elõ az adatkezelõre, a határidõvel és az értékelési kritériumokkal, amelyeket a Nemzeti Adatvédelmi Hatóság és az EDPB iránymutatásaiban részleteznek. Ez a felosztás minden tagállamban azonos, csak abban különbözik, hogy melyik felügyeleti hatóság kapja meg a bejelentést: Hollandiában a Nemzeti Adatvédelmi Hatóság, más tagállamokban az adott ország felügyeleti szervezete — lényeges, ha a beszállító ott van letelepedve, vagy ha az érintett személyek több országból származó adataira vonatkozik. Mit kell az adatfeldolgozóval kapcsolatos saját megállapodásoknak ebben szabályozniuk, és hogy az a szerõdés megfelel-e, azt leírtuk a aláírjak-e egy adatfeldolgozási szerõdést, amelyet az ügyfelem küld?.