kokie bus pasekmės, jei nepraneš apie duomenų pažeidimą Duomenų apsaugos institucijai

Nemelti gali turėti pasekmes, kurios siekia toliau nei pats nuotėkis

Jei kas nors nemeluoja privalomo pranešti duomenų nuotėkio priežiūros institucijai, jis rizikuoja, kad ta priežiūros institucija patys sužinos ir pradės veikti pagal AVG 33 straipsnį, kuriame nustatomas pranešimo terminas. Duomenų apsaugos valdyba ir kitos Europos priežiūros institucijos turi kompetenciją atlikti tyrimus, klausti ir nustačius pažeidimą – skirti sankcijas. Kad nuotėkis nepraneštas, dažnai paaiškėja todėl, kad pats duomenų subjektas pareiškia skundą, duomenys atsiranda kitur, arba duomenų tvarkytoja ar tiekėja pranešusi apie nuotėkį, ir priežiūros institucija iš to tiria toliau — žr. taip pat ką daryti, jei tiekėjas pranešus apie duomenų nuotėkį.

Be rizikos, kylančios iš priežiūros institucijos, yra dar vienas dalykas: nepranešimas apie nuotėkį atskirai nuo klausimo, ar reikia informuoti žmones, kurių duomenys buvo paveikti. Šia pareiga nustatyta AVG 34 straipsnyje ir gali likti net jei pranešimas priežiūros institucijai neatliktas — su visa nuotrūkio ir pasitikėjimo praradimu, kuri gali atsirasti, kai tai vėliau bus atskleista. Taip pat nuotėkis, kurio nereikia pranešti, turėtų būti įrašytas savoje apskaitos sistemoje; žr. kodėl taip pat nepranešti duomenų nuotėkiai turėtų būti sekiojami.

Kas apie tai nurodyta taisyklėse

Pareiga pranešti nurodyta AVG 33 straipsnyje ir ši pareiga tiesiogiai galioja kiekvienoje ES valstybėje narėje. Kur pranešimas turi būti pateiktas, skiriasi pagal šalį: Nyderlanduose tai yra Duomenų apsaugos valdyba, kitose valstybėse — tos šalies nacionalinė priežiūros institucija — EDPB prižiūri šių priežiūros institucijų sąrašą ir skelbia gaires dėl pranešimo pareigos aiškinimo. Tikslus apibrėžimas, kada ką reikia ar nereikia pranešti, aprašytas puslapyje apie datalekio, kuris turėtų būti praneštas, vertinimą.