Nyilvántartásba kell vennem azokat az adatvédelmi incidenseket is, amelyeket nem jelents?

A szivárgások regisztrálása kötelező, még ha nem történt bejelentés

Igen, a legtöbb esetben igaz, hogy minden adatvédelmi incidens helyet kap a regiszterben, még akkor is, ha nem történt bejelentés egy felügyeleti hatóság felé. A regiszter nem a bejelentések áttekintésének céljára szolgál, hanem az összes bekövetkezett jogsértésnek az áttekintésére, beleértve az azzal kapcsolatos értékelést: mi történt, mely adatok voltak érintettek, milyen kockázatot becsültek meg, és miért történt vagy nem történt bejelentés. Egy olyan szivárgás, amely nem eredményez bejelentési kötelezettséget, mivel a betérkezett személyek számára az értékelt kockázat alacsony volt, egyszerűen ezalá tartozik.

Amit általában nem kell regisztrálni, azok az olyan incidensek, amelyek nem jelentenek jogsértést a személyes adatokban — például egy leállás, amely során nem szivárogtak, veszett el vagy nem jogellenes módon feldolgozásra kerültek adatok. Amint jogsértésről van szó, az számít a regiszterhez, függetlenül attól, hogy bejelentésre került-e a felügyeleti hatóságnál, és függetlenül attól, hogy értesítésre kerültek-e az érintett személyek.

Ez az AVG 33. cikkének dokumentálási kötelezettségéből következik

Az AVG 33. cikke nem csupán a 72 órás bejelentést szabályozza, hanem egy különálló dokumentálási kötelezettséget is tartalmaz: minden személyes adatokra vonatkozó jogsértést rögzíteni kell, az eljárást, a következményeket és a meghozott intézkedéseket tartalmazva, hogy később a felügyeleti hatóság ezt ellenőrizhesse. Ez a rögzítési kötelezettség független attól a kérdéstől, hogy valóban történt-e bejelentés. Hogy mely felügyeleti hatóság kérheti el ezt a regisztert, tagállatonként különbözik — Magyarországon az adatvédelmi hatóság, Németországban az a szövetséli tartomány felügyeleti hatósága, ahol a telephely található — de a dokumentálási kötelezettség közvetlenül a rendeletből ered, és ebben a formában minden tagállamban egyformán érvényes. Az adatvédelmi hatóság is felhívja rá a figyelmet az adatvédelmi incidensekre vonatkozó tájékoztatásában, hogy a rögzítés egy külön lépés, függetlenül az adott bejelentéstől.