kas ir atbildīgs par datu pārkāpuma paziņošanu manā uzņēmumā

Atbildība ir organizācijas, nevis viena darbinieka pienākums

AVG uzspiež paziņošanas pienākumu organizācijai, kas ir datu apstrādes vadības persona, nevis atsevišķam darbiniekam, kurš atkļāj vai izraisa noplūdi. AVG neparedz, kurš uzņēmumā faktiski veic paziņojumu — tas ir iekšējs jautājums. Praksē to parasti dara īpašnieks, direktors vai kāds, kurš speciāli ir norīkots pieskatīt datu aizsardzības jautājumus, tāds kā datu aizsardzības funkcionalitāte, ja tā ir iecelts. Patstāvīgā uzņēmēja vai mazā uzņēmuma gadījumā bez atsevišķas funkcijas šis pienākums bieži vien automātiski krīt uz tiem, kuri vada uzņēmējdarbību.

Tomēr ir skaidrs, ka kādam jāzina, ka paziņojums var būt nepieciešams, tiklīdz rodas noplūde, un tas var novērtēt, vai kas tieši ietilpst datu noplūdes jēdzienā ir piemērojams šajā gadījumā. Uzņēmumam, kas nav dokumentējis, kurš to risina, ir risks, ka noplūde tiek pamanīta, bet neviens neveic nākamo soli — kamēr pulkstenis jau skaitās kopš atklāšanas momenta. Pat ja apstrāde ir nodelegēta trešajai personai, tas nemaina, kurš paliek atbildīgs par paziņojumu: tā ir un paliek paša uzņēmuma atbildība, arī tad, kad piegādātājs pats paziņo par datu noplūdi.

Kur to var atrast: AVG 33. pants

AVG 33. pantā vienmēr minēta "datu apstrādes vadības persona" kā puse, kurai jāpaziņo uzraugošajai iestādei, nenosaka iekšēju funkciju vai personu; uzņēmumam pašam jāizlemj, kurš to faktiski veic. Personas datu aizsardzības iestāde apstiprina savā lapā par datu noplūdēm, ka paziņošanas pienākums ir organizācijai, nevis konkrētam darbiniekam. Tomēr pēc tā, kurai uzraugošajai iestādei jāsūta paziņojums, atšķiras atkarībā no dalībvalsts: Nīderlandē tas ir Personas datu aizsardzības iestāde, bet citviet ES atsevišķo valstu nacionālā uzraugošā iestāde. Vairāk par ievērojamajiem soļiem un uzraugošās iestādes lomu skatiet kad datu noplūde jāpaziņo Personas datu aizsardzības iestādei.