Az AVG meghatározza, hogy az olyan adatvédelmi incidenst, amely kockázatot jelenthet az érintettekre nézve, be kell jelenteni az Adatvédelmi Hatóságnak, amint arról tudomást szerez. Erre a bejelentésre rendelkezésre álló időtartam rövid: 72 óra. Ha nem jelenti be, vagy túl késően jelenti be, akkor ezen a ponton nem teljesít egy AVG-ból eredő kötelezettséget. Ennek konkrét jelentése attól függ, hogy milyen a helyzet, és pontosan ezért mi szerkesztőként nem nyilatkozunk róla: ez az Ön döntése, az Ön jogásza vagy a felügyeleti hatóság döntése.
Az azonban leírható: az AVG felhatalmazást ad az Adatvédelmi Hatóságnak arra, hogy vizsgálatot végezzen egy olyan adatvédelmi incidensről, amely nem vagy túl késően lett bejelentve, és hogy erre reagáljon. Az, hogy milyen válasz ez és hogy követi-e, nem rögzített és nem előrejelezhető. Az Ön számára, mint vállalkozónak, a kérdés tehát nem annyira az, hogy "milyen a büntetés", hanem az, hogy "mit kell intézkednem ahhoz, hogy időben tudjam megállapítani, hogy szükséges-e a bejelentés".
Mit jelent pontosan a bejelentési kötelezettség
Az AVG különbséget tesz a felügyeleti hatóság felé történő bejelentés és az érintett felé történő bejelentés között. Az előbbi egy olyan incidenskor aktuális, amely kockázatot jelenthet; az utóbbi, súlyosabb változat egy magas kockázat esetén aktuális. Mindkét értékelésnek gyorsan kell megtörténnie, és a felügyeleti hatóság felé járó 72 órás határidő attól az időponttól kezdődik, amikor az incidenst felfedezik, nem attól az időponttól, amikor az bekövetkezett. Akik ezt a különbséget még nem érzékelik tisztán, néhány kérdés segítségével végigmegyhetnek rajta: öt kérdésben mutatja meg, hogy hol áll közvetlenül jelzi, hogy szükséges-e a bejelentés.
A túl késői bejelentés problémájának magja általában nem a rossz szándék, hanem az az idő, amely bizonytalanság miatt elveszett: kinek kell ezt felvenni, valóban adatvédelmi incidens-e az AVG értelmében, és vajon van-e átfogó képünk arról, mely rendszereink tartalmaznak személyes adatokat. Ez utóbbi pontosan az, ahol egy adatkezelési nyilvántartás bizonyítja meg értékét: az Ön adatkezelésének átfogó képe nélkül egy incidens terjedelmének megállapítása szükségtelenül sok időt vesz el azokból a 72 órából, amellyel rendelkezik.
A bejelentés elmulasztása is indokolható legyen
Egy kevésbé ismert pont az, hogy az AVG azt is előírja, hogy rögzítse azt az időpontot, amikor úgy dönt, hogy nem jelenti be az incidenst, és az okot. A megokolási kötelezettség ugyanis magára az értékelésre vonatkozik, nem csupán arra az esetre, ha bejelentés történik. Egy olyan incidens, amelyet az "érintettekre nézve kockázatmentes" értékel, és amelyről ezt az értékelést sehol nem rögzítik, utólag nehezen alátámasztható, ha erre rákérdeznek. Az EDPB iránymutatásai kiterjedten tárgyalják ezt az ügyet; a forrást és az erre vonatkozó magyarázatot az ismerettár témánként.
Az Adatvédelmi Hatóságnál messzebbre ható következmények
Az Adatvédelmi Hatóságkal való viszonyán túl még két hely van, ahol egy elmulasztott bejelentés felmerülhet. Az első az adatfeldolgozási szerződés: ha egy ügyfélnek személyes adatokat feldolgoz, ott gyakran saját bejelentési határidő van, amely néha rövidebb, mint a törvényes 72 óra, és ez a határidő akkor az AVG mellett érvényes. A második maga az érintett: valaki, akinek az adatai szivárogtak, és ezt maguk fedezik fel anélkül, hogy Ön bejelentett volna, az már nem fogja vissza az eredeti bizalmat, ami a jogi értékelés kívül áll.
Egy biztosító vagy egy ajánlatkérő, aki utólag megkérdezi, hogyan kezeltek egy incidenst, azt vizsgálja, hogy időben történt-e az értékelés és szükség szerint történt-e a bejelentés. Ez más, mint egy büntetés, de mégis érinti azt, ami gyakran az oka annak, hogy az adatvédelmet rendbe szedik: azt bizonyítani, hogy van egy folyamat, nem csupán azt, hogy soha nem történt semmi rosszul.
Miért a határidő gyakran a szűk keresztmetszet
A gyakorlatban ritkán az a probléma, hogy hiányzik a bejelentés vágya, hanem az a sebesség, amellyel egy szervezet képes megállapítani, hogy mi történt, mely adatokat érinti és kik az érintett felek. Az a rendszer, amely a 72 órás számlálót azonnal elindítja, amint egy lehetséges adatvédelmi incidenst regisztrálnak, megakadályozza, hogy ez az idő belső viták során feléldődik. Egy ilyen rendszer felépítésének módjáról és az információ alapjáról szóló részletes leírás az alábbi oldalon található: honnan származnak az információk.
Hogy egy konkrét eset Önnél bejelentéskötelezettséget vonz maga után, pontosan milyen határidő vonatkozik az Ön helyzetére, és mi a következménye annak, ha egy bejelentést elmulasztanak, ezt általános értelemben nem lehet megválaszolni. Ennek az értékelésnek a jogi képviselő vagy magának a Szervezet az illetékes kapcsolattartó.
Szeretne először magának képet alkotni helyzetéről, anélkül hogy kötelezettségek terhelné? Az ingyenes gyorsértékelés és az ismeretbázis témaonként első jelzéseket nyújt, beleértve a hivatkozást a hivatalos szövegre.