kādi ir sekas, ja es datu pārkāpumu neparziņoju AP

Neizsūtīšana var radīt sekas, kas pārsniedz pašu datu noplūdi

Ja kāds nesūta noraidījuma pienākumu par datu noplūdi uzraudzības iestādei, viņš riskē, ka uzraudzības iestāde to uzzina pati un rīkojas saskaņā ar GDPR 33. pantu, kurš regulē ziņošanas pienākumu minētajā termiņā. Datu personālo datu apsardes iestāde un citas Eiropas uzraudzības iestādes ir tiesīgas veikt izmeklēšanu, uzdot jautājumus un, konstatējot pārkāpumu, piemērot sankcijas. Tas, ka noplūde netika ziņota, bieži vien nāk gaismā tāpēc, ka pati datu subjekts sūdzas, dati parādās citur vai apstrādātājs vai piegādātājs ziņo par noplūdi un uzraudzības iestāde no tā sākuma uzdod jautājumus — sk. arī ko darīt, ja piegādātājs ziņo par datu noplūdi.

Papildus riskiem pie uzraudzības iestādes ir arī cits aspekts: noplūdes neziņošana ir atsevišķa no jautājuma, vai cilvēki, kuru dati ir apdraudēti, ir jāinformē. Šis pienākums izriet no GDPR 34. panta un var palikt spēkā arī tad, ja ziņošana uzraudzības iestādei tika izlaista — ar visu reputācijas zaudējumu un uzticības zaudējumu, kas var rasties, ja tas vēlāk tomēr nāk gaismā. Arī noplūde, kas nav ziņošanas pienākuma priekšmets, ir jāuztur savā administrācijā; sk. kāpēc arī neziņotās datu noplūdes ir jāpatur.

Ko par to saka noteikumi

Ziņošanas pienākums ir noteikts GDPR 33. pantā, un šis pienākums tieši piemērojams katrā ES dalībvalstī. Vieta, uz kuru jāsūta ziņojums, atšķiras atkarībā no valsts: Nīderlandē tas ir Datu personālo datu apsardes iestāde, citās dalībvalstīs — attiecīgās valsts nacionālā uzraudzības iestāde — EDPB patur uzraudzības iestāžu sarakstu un publicē vadlīnijas par ziņošanas pienākuma skaidrojumu. Precīza noplūdes skaidrojuma informācija par to, kad kaut kas ir vai nav jāziņo, ir aprakstīta lapā par noplūdes novērtēšanu, lai noteiktu, vai tas ir jāziņo.