Vai man jāreģistrē arī datu pārkāpumi, kurus es neatklāju?

Arī noplūdes bez paziņošanas jāieraksta reģistrā

Jā, vairumā gadījumu katrai datu noplūdei ir vieta reģistrā, pat ja paziņojums netika iesniegts uzraudzības iestādei. Reģistrs nav paredzēts kā paziņojumu pārskats, bet kā visu notikušo pārkāpumu pārskats, tostarp tajā veiktais novērtējums: kas noticis, kādi dati bija iesaistīti, kāds risks tika novērtēts un kāpēc tika vai netika paziņots. Noplūde, kas nerada paziņošanas pienākumu, jo risks datu subjektiem tika novērtēts kā zems, tur vienkārši ietilpst.

Kas parasti nav jāieraksta reģistrā, ir incidenti, kas nav datu aizsardzības pārkāpumi — piemēram, darbības traucējumi bez datu noplūdes, zaudēšanas vai neatļautas apstrādes. Tiklīdz notiek datu aizsardzības pārkāpums, tas tiek ieskaitīts reģistrā, neatkarīgi no tā, vai par to tika paziņots uzraudzības iestādei un neatkarīgi no tā, vai datu subjekti tika informēti.

Tas izriet no GDPR 33. panta dokumentēšanas pienākuma

GDPR 33. pants regulē ne tikai paziņošanu 72 stundu laikā, bet arī atseviškņu dokumentēšanas pienākumu: katrs datu aizsardzības pārkāpums tiek ierakstīts ar faktiem, sekām un veiktajiem pasākumiem, lai uzraudzības iestāde to vēlāk varētu kontrolēt. Šis dokumentēšanas pienākums ir neatkarīgs no tā, vai faktiski tika paziņots. Kura uzraudzības iestāde var pieprasīt šo reģistru, atšķiras atkarībā no dalībvalsts — Nīderlandē tas ir Datu aizsardzības iestāde, Vācijā — dalībvalsts uzraudzības iestāde, kur atrodas struktūra — bet dokumentēšanas pienākums tieši izriet no regulas un šādā formā vienlīdz attiecas uz katru dalībvalsti. Arī Datu aizsardzības iestāde savā informācijā par datu noplūdēm norāda, ka dokumentēšana ir atsevišķs solis, neatkarīgs no paziņošanas.