ki felelős az adatvédelmi incidens bejelentéséért a vállalkozáson belül

A felelősség a szervezetnél van, nem egyetlen alkalmazottnál

A GDPR a bejelentési kötelezettséget arra a szervezetre rónja, amely adatkezelő, nem egy olyan egyéni munkavállaló, aki a adatvédelmi incidenst felfedezte vagy okozta. Az GDPR nem szabályozza, hogy a vállalaton belül ki végzi el az aktuális bejelentést — ez egy belső kérdés. A gyakorlatban ezt rendszerint a tulajdonos, egy igazgató vagy valaki végzi, akit kifejezetten e-mail privácyügyek intézésére jelöltek ki, például egy adatvédelmi tisztviselő, ha alkalmaztak egyet. Egy egyéni vállalkozó vagy egy apró vállalkozat esetében, amelyből nincs külön funkció, ez a felelősség gyakran automatikusan arra a személyre hárul, aki a vállalkozást vezeti.

Ami azonban biztos, hogy kell lenni valakinek, aki tudja, hogy bejelentés lehet szükséges amint adatvédelmi incidensre kerül sor, és aki azt tudja értékelni, hogy mi tartozik egy adatvédelmi incidens alá alkalmazható-e itt. Egy olyan vállalkozat, amely nem rögzítette, hogy ki kezeli ezt, azzal a kockázattal néz szembe, hogy egy incidenst jeleznek, de senki nem teszi meg a következő lépést — holott az óra az incidensről való tudomásszerzés pillanatától kezdve jár. Még ha az adatkezelés is ki lett egy harmadik félnek bízva, ez nem változtat azon, hogy ki marad felelős a bejelentésért: az marad a szervezetnek, még akkor is, ha egy szállító maga jelent egy adatvédelmi incidenst.

Ahol ez következik: az GDPR 33. cikke

Az GDPR 33. cikke folyamatosan az "adatkezelőt" említi a felügyeleti hatóság felé történő bejelentési kötelezettség alanyaként, anélkül, hogy belső funkciót vagy személyt írna elő; a szervezet maga dönt arról, hogy ki hajtja azt végre. A Személyes Adatok Kezelésére Irányuló Hatóság adatvédelmi incidenssel kapcsolatos oldalán megerősíti, hogy a bejelentési kötelezettség a szervezetre hárul, nem pedig egy konkrét alkalmazottra. Azt azonban, hogy mely felügyeleti hatóságnál kell bejelentést tenni, tagállanconként eltérően szabályozzák: Hollandiában a Személyes Adatok Kezelésére Irányuló Hatóság a kijelölt intézmény, míg az EU többi részén a saját nemzeti felügyeleti hatóság az illetékes szervezet. Az alkalmazandó lépésekről és a felügyeleti hatóság szerepéről többet talál az alábbi oldalon: amikor egy adatvédelmi incidenst a Személyes Adatok Kezelésére Irányuló Hatóság felé be kell jelenteni.