mano tiekėjas pranešė apie duomenų pažeidimą — ar turiu patį tai pranešti

Duomenų saugumo pažeidimas tavo tiekėjo sistemoje taip pat gali suaktyvinti tavo pranešimo pareigą

Taip, gali. Net jei tiekėjas pats jau pranešė apie saugumo pažeidimą. Tiekėjas, kuris tvarko jūsų kliento duomenis — buhalterinės programos paketas, el. pašto siuntimo įrankis, interneto paslaugų šaltinis — pagal BDAR (Bendrąją duomenų apsaugos reglamentą) paprastai yra duomenų tvarkytoja, o jūs likat duomenų valdytoju. Pranešimo pareigu priežiūros institucijai ir tiems, kurie yra susijęs, turi duomenų valdytojas, ne duomenų tvarkytoja. Jei tiekėjas praneša savo priežiūros institucijai, tai automatiškai neišpildo jūsų pareigos.

Tai, ką tiekėjas turėtų daryti pagal duomenų tvarkymo sutartį, yra pranešti apie saugumo pažeidimą jums be nereikalingos промедлення iš karto, kai sužinos apie jį. Nuo to momento tu pradedate vertinti, ar tai yra saugumo pažeidimas, kaip nurodyta kas tiksliai yra duomenų saugos pažeidimas?Nuo to momento tu pradedate vertinti, ar tai yra saugumo pažeidimas, kaip nurodyta Lietuvos duomenų apsaugos inspekcija ir galbūt tiems, kurie yra susijęs. Tai, kad tiekėjas pranešė apie šį įvykį savo priežiūros institucijai — kartais kitoje šalyje — nekeičia jūsų nuomos vertinimo, kurį atliksite kaip duomenų valdytojas.

Tai išplaukia iš BDAR 28 ir 33 straipsnių

BDAR 28 straipsnis reglamentuoja santykius tarp duomenų valdytojo ir duomenų tvarkytojos bei susijusias duomenų tvarkymo sutartis, kurioje nustatyta, kad duomenų tvarkytoja turi pranešti apie saugumo pažeidimą duomenų valdytojui; BDAR 33 straipsnis nustato pranešimo pareigą priežiūros institucijai, kurią turi duomenų valdytojas, nurodant terminą ir kriterijus, kuriuos EDPB (Europos duomenų apsaugos komitetas) ir Lietuvos duomenų apsaugos inspekcija toliau nusako savo gairėse. Šis skirstymas galioja kiekvienoje valstybėje narėje vienodai, tik skiriasi, kuri priežiūros institucija gauna pranešimą: Lietuvoje tai Lietuvos duomenų apsaugos inspekcija, kitose valstybėse — tos valstybės priežiūros institucija — tai svarbiai, jei tiekėjas yra toje šalyje arba jei kai kurie duomenys priklauso žmonėms iš skirtingų šalių. Kas turi būti tvarkymo sutartyje su tiekėju šiuo klausimu ir ar sutartis atitinka reikalavimus, yra aprašyta ar turėčiau pasirašyti duomenų tvarkimo sutartį, kurią man siūlo mano klientas?.