Ar turiu sekti duomenų saugos pažeidimus, kurių nepranešu?

Slapimai be pranešimo taip pat turi būti įtraukti į registrą

Taip, daugeliu atvejų kiekviena duomenų slapta prasiskverbia į registrą, net jei pranešimo nebuvo pateikta priežiūros institucijai. Registras yra skirtas ne pranešimų apžvalgai, o visų įvykusių pažeidimų apžvalgai su tuo metu atliktais vertinimais: kas įvyko, kokie duomenys buvo susiję, koks rizika buvo įvertinta ir kodėl pranešimas buvo ar nebuvo pateiktas. Slapta, kuri negeneruoja pranešimo pareigos, nes rizika subjektams buvo vertinta kaip maža, tiesiog patenka į šią kategoriją.

To, ko paprastai nereikia įtraukti į registrą, yra incidentai, kurie nėra duomenų apsaugos pažeidimai — pavyzdžiui, gedimas, kai duomenys nebuvo išduoti, praradinti ar neteisėtai apdoroti. Kai tik yra pažeidimas, jis skaičiuojamas registrui, nepriklausomai nuo to, ar buvo pranešta priežiūros institucijai, ir nepriklausomai nuo to, ar subjektai buvo informuoti.

Tai iš BDAR 33 straipsnio dokumentavimo pareigos

BDAR 33 straipsnis reglamentuoja ne tik pranešimą per 72 valandas, bet taip pat turi atskirą dokumentavimo pareigą: kiekvienas duomenų apsaugos pažeidimas fiksuojamas su faktais, padariniais ir numatytomis priemonėmis, kad priežiūros institucija tai galėtų patikrinti vėliau. Šita dokumentavimo pareiga yra nepriklausoma nuo to, ar buvo faktiškai pranešta. Kuri priežiūros institucija gali pareikalauti šio registro, skiriasi pagal valstybę — Nyderlanduose tai yra Duomenų apsaugos institucija, Vokietijoje — valstybės, kurioje yra nuolatinė buveinė, priežiūros institucija — tačiau pareiga dokumentuoti tiesiogiai iš reglamento ir toje formoje galioja vienodai kiekvienoje valstybėje. Duomenų apsaugos institucija savo informacijoje apie duomenų slaptas taip pat nurodo, kad dokumentavimas yra atskiras žingsnis, nepriklausomas nuo to, ar pranešta ar ne.