mans piegādātājs ziņo par datu pārkāpumu, vai man to pašam jāpaziņo arī

Datu noplūde pie jūsu piegādātāja var ietekmēt arī jūsu paziņošanas pienākumu

Jā, tas var notikt, pat ja piegādātājs pats jau ir noplūdi paziņojis. Piegādātājs, kas apstrādā jūsu klientu datus — grāmatvedības programma, e-pasta rīks, viesmīlības sniedzējs — GDPR valodā parasti ir datu apstrādātājs, bet jūs palikāt datu pārzinis. Paziņošanas pienākums uzraudzības iestādei un ietekmētajām personām gulstas uz datu pārzini, nevis uz datu apstrādātāju. Piegādātājs, kurš to paziņo savai uzraudzības iestādei, tādējādi automātiski neaizstāv jūsu paša pienākumu.

Tas, ko piegādātājs saskaņā ar datu apstrādes līgumu ir pienācīgs darīt, ir noplūdi bez nelieliem kavējumiem paziņot jums, tiklīdz par to uzzina. No šī brīža jums sākas novērtējums, vai tas ir pārkāpums kā paredzēts kas ir datu pārkāpums?, un vai tas ir paziņojams Iestādei Personīgās datu aizsardzībai un iespējams arī ietekmētajām personām. Tas, ka piegādātājs ir ziņojis par incidentu savai uzraudzības iestādei — dažkārt citā valstī — nekādi nemaina jūsu paša novērtējumu, ko jūs kā datu pārzinis veicāt.

Kur tas izriet no GDPR 28. un 33. panta

GDPR 28. pants regulē attiecības starp datu pārzini un datu apstrādātāju, un pievienotais datu apstrādes līgums nosaka, ka datu apstrādātājs pārkāpumu ir pienācīgs paziņot datu pārznim; GDPR 33. pants nosaka paziņošanas pienākumu uzraudzības iestādei pie datu pārzina, ar laika robežu un kritērijiem, ko Iestāde Personīgās datu aizsardzībai un EDPB turpina detalizēt savos vadlīnijās. Šis sadalījums ir vienāds katrā dalībvalstī, tikai atšķiras, kura uzraudzības iestāde saņem paziņojumu: Nīderlandē tas ir Iestāde Personīgās datu aizsardzībai, citās dalībvalstīs — attiecīgās valsts uzraudzības iestāde — attiecīgi, ja piegādātājs tur atrodas vai ja klientu dati par ietekmētajām personām no vairākām valstīm ir iesaistīti. Kā pašu vienošanās ar piegādātāju šajā jautājumā ir jānoregulē un vai šis līgums atbilst prasībām, ir aprakstīts sadaļā vai man ir jāparaksta datu apstrādes līgums, ko sūta mans klients?.