kas mano įmonėje atsakingas už duomenų pažeidimo pranešimą

Atsakomybė priklauso organizacijai, o ne vienam darbuotojui

GDPR numato pranešimo pareigą organizacijai, kuri yra duomenų valdytoja, o ne atskiram darbuotojui, kuris atrado ar sukėlė nuotėkį. GDPR nereguliacuoja to, kas faktiškai pateikia pranešimą organizacijos viduje — tai yra vidaus reikalas. Praktikoje tai dažniausiai būna savininkas, direktorius arba specialiai paskirtas asmuo, tvarkantis privatumo klausimus, pavyzdžiui, duomenų apsaugos pareigūnas, jei jis paskirtas. Laisvai samdomam specialistui ar mažai įmonei be atskiros funkcijos ta atsakomybė dažnai automatiškai priklauso asmenybei, kuris valdo įmonę.

Tai, kas tikrai yra nustatyta, yra tai, kad turi būti asmuo, kuris žino, kad pranešimas gali reikėti nuo momento, kai nuotėkis įvyksta, ir kuris gali nuspręsti, ar kas tiksliai yra duomenų nuotėkis čia taikytina. Įmonė, kuri nieko nenurašė apie tai, kas tai perima, rizikuoja, kad nuotėkis bus pastebėtas, bet niekas nedaryš tolesnio žingsnio — o laikas pradeda bėgti nuo atradimo momento. Net jei duomenų tvarkymas yra perduotas trečiąjai šaliai, tai nekeičia to, kas lieka atsakingas už pranešimą: tai yra ir lieka pati organizacija, net kai tiekėjas pats praneša apie duomenų nuotėkį.

Kur tai seka: GDPR 33 straipsnis

33 straipsnis BDAR nuolat nurodo "duomenų valdytojus" kaip šalį, kuri turi pranešti priežiūros institucijai, nepriskiriant jokios vidaus funkcijos ar asmens; kuris tai faktiškai atlieka, priklauso pačiai organizacijai. Asmenų duomenų apsaugos institucija savo svetainėje apie duomenų saugumo incidentus patvirtina, kad pranešimo pareiga priklauso organizacijai, o ne konkrečiam darbuotojui. Kurioje priežiūros institucijai turi būti pateiktas pranešimas, skiriasi pagal valstybę: Nyderlanduose tai yra Asmenų duomenų apsaugos institucija, o kitur ES nuosava nacionalinė priežiūros institucija yra paskirta institucija. Daugiau apie veiksmus, kurie turi būti atliekami, ir priežiūros institucijos vaidmenį rasite adresu kai duomenų saugumo pažeidimas turi būti praneštas Asmenų duomenų apsaugos inspekcijai.