mój dostawca zgłasza naruszenie bezpieczeństwa danych, czy muszę to również zgłosić

Wyciek danych u dostawcy może również dotknąć Twój obowiązek zgłoszenia

Tak, to możliwe, nawet jeśli dostawca już sam zgłosił wyciek. Dostawca przetwarzający dane klientów w Twoim imieniu — pakiet księgowy, narzędzie mailingowe, usługodawca hostingu — w języku RODO jest zwykle podmiotem przetwarzającym, a Ty pozostajesz administratorem danych. Obowiązek zgłoszenia do organu nadzorczego i zainteresowanym osobom spoczywa na administratorze danych, a nie na podmiotu przetwarzającym. Dostawca, który zgłasza incydent własnemu organowi nadzorczemu, nie realizuje w ten sposób automatycznie Twojego obowiązku.

To, co dostawca musi zrobić zgodnie z umową o przetwarzaniu danych, to zgłosić wyciek Tobie bez nieuzasadnionej zwłoki, gdy tylko się o nim dowie. Od tego momentu dla Ciebie rozpoczyna się ocena, czy chodzi o naruszenie bezpieczeństwa jak określone w czym dokładnie jest naruszenie danych?, i czy podlega obowiązkowi zgłoszenia do Urzędu Ochrony Danych Osobowych i ewentualnie zainteresowanym osobom. Fakt, że dostawca zgłosił incydent własnym organem nadzorczemu — czasami w innym kraju — nic nie zmienia w Twojej własnej ocenie jako administratora danych.

Gdzie to wynika z artykułu 28 i artykułu 33 RODO

Artykuł 28 RODO reguluje relacje między administratorem a podmiotem przetwarzającym, a powiązana umowa o przetwarzaniu danych określa, że podmiot przetwarzający musi zgłosić naruszenie administratorowi; artykuł 33 RODO nakłada obowiązek zgłoszenia organowi nadzorczemu na administratora, z terminem i kryteriami, które Urząd Ochrony Danych Osobowych i EDPB rozwijają dalej w swoich wytycznych. Ten podział obowiązuje w każdym państwie członkowskim jednakowo, różni się tylko organ nadzorczy, który otrzymuje zgłoszenie: w Polsce jest to Urząd Ochrony Danych Osobowych, w innych krajach — organ danego kraju — istotne, jeśli dostawca tam działa lub dane klientów zainteresowanych osób z wielu krajów są zaangażowane. To, co własne warunki z dostawcą powinny w tej sprawie regulować, i czy umowa jest wystarczająca, opisano w czy muszę podpisać umowę o przetwarzaniu danych wysyłaną przez mojego klienta?.