Mikor kell bejelentnem egy adatvédelmi incidenst az Szervezetnek?

A bejelentés az alapszabály, hacsak a kockázat nem valószínűtlen

Az adatsértést jelentenie kell a felügyeleti hatóságnak, amint valószínű, hogy a sértés kockázatot jelent az érintett személyek jogai és szabadságai számára. Ez az AVG 33. cikkének lényege: a bejelentés az alapelvárás, és csak akkor marad el a bejelentés, ha alappal feltételezhető, hogy nincs kockázat. A gyakorlatban ez azt jelenti, hogy a legtöbb adatsértés — egy tévesen elküldött e-mail ügyfélbevonatkozásokkal, egy ellopott laptop, egy meghackelt adatbázis — a bejelentési kötelezettség alá tartozik, míg az olyan sértés, amely nyilvánvalóan senkit nem érhet (például azért, mert az adatok titkosítottak voltak és a kulcs nem szivárgott ki) kívül eshet ezen.

Ez az értékelés során figyelembe veszi, hogy pontosan mi történt, mely adatokról van szó, és kit érinting. A különleges adatok, pénzügyi adatok vagy gyermekek adatai súlyosabban esnek a latba, mint egy önálló e-mail cím. Az AVG 33. cikkéből eredő 72 órás óra akkor kezd futni, amikor Ön tudomást szerez a sértésről, nem pedig amikor az bekövetkezett — ez a kettő néha hetekkel eltérhet. Az ezt az értékelést lépésről lépésre végigmegy egy döntési fa soha nem helyettesíti az adott sértésről való saját ítélkezést, de segít a "bejelentésre kötelezett vagy sem" kérdésben rendszeres módon haladni.

Ahonnan ez az AVG 33. cikkéből és az EDPB iránymutatásaiból következik

A bejelentési kötelezettség maga az AVG 33. cikkében található; az olyan fogalmak kitöltése, mint a "kockázat" és a "késedelem nélkül", az EDPB adatsértésbejelentési iránymutatásaiból, valamint az Autoriteit Persoonsgegevens magyarázataiból származik a holland gyakorlatra. Az AVG közvetlenül érvényes minden tagállamban, de a bejelentési kötelezettség címzettje eltérő: Hollandiában az Autoriteit Persoonsgegevens bejelentési pontos feladata, amely az egész ország egyetlen felügyeleti hatósága. Németországban az állam felügyeleti hatósága felé jelenthet, ahol a telephelyhez tartozó, mivel tizenhat szövetségi terület felügyeleti hatósága mellett egy szövetségi felügyeleti hatóság is létezik.