Czy powinienem także rejestrować naruszenia bezpieczeństwa danych, których nie zgłaszam?

Wycięki bez zgłoszenia również należą do rejestru

Tak, w większości przypadków każdy wyciek danych otrzymuje miejsce w rejestrze, nawet jeśli nie dokonano zgłoszenia organowi nadzorczemu. Rejestr nie ma być przeglądem zgłoszeń, ale przeglądem wszystkich naruszeń, które miały miejsce, wraz z dokonaną oceną: co się stało, które dane były zaangażowane, jakie ryzyko zostało oszacowane i dlaczego dokonano lub nie dokonano zgłoszenia. Wyciek, który nie powoduje obowiązku zgłoszenia, ponieważ ryzyko dla osób, których dane dotyczą, zostało oszacowane jako niskie, zwyczajnie pod to podlega.

Co zwykle nie musi być w rejestrze, to incydenty, które nie stanowią naruszenia danych osobowych — na przykład awaria bez wycieku, utraty lub bezprawnego przetwarzania danych. Gdy tylko dojdzie do naruszenia, ma to znaczenie dla rejestru, niezależnie od tego, czy zgłoszono je organowi nadzorczemu i niezależnie od tego, czy poinformowano osoby, których dane dotyczą.

Wynika to z obowiązku dokumentacji wynikającego z artykułu 33 RODO

Artykuł 33 RODO reguluje nie tylko zgłoszenie w ciągu 72 godzin, ale zawiera również oddzielny obowiązek dokumentacji: każde naruszenie danych osobowych jest dokumentowane wraz z faktami, skutkami i podjętymi środkami, aby organ nadzorczy mógł to później sprawdzić. Obowiązek dokumentacji jest niezależny od pytania, czy faktycznie dokonano zgłoszenia. To, który organ nadzorczy może zażądać tego rejestru, różni się w zależności od państwa członkowskiego — w Holandii jest to Autoriteit Persoonsgegevens, w Niemczech organ nadzorczy kraju związkowego, w którym znajduje się siedziba — ale obowiązek dokumentacji pochodzi bezpośrednio z rozporządzenia i obowiązuje w tej formie jednakowo we wszystkich państwach członkowskich. Également Autoriteit Persoonsgegevens w swoich informacjach o wyciekach danych wskazuje, że dokumentowanie jest odrębnym krokiem, niezależnym od tego, czy dokonano czy nie dokonano zgłoszenia.