furnizorul meu raportează o încălcare a datelor trebuie să o raportez și eu

O încălcare a datelor la furnizorul tău poate afecta și obligația ta de notificare

Da, se poate, chiar dacă furnizorul a notificat deja încălcarea. Un furnizor care procesează date ale clienților tăi — un pachet de contabilitate, un instrument de trimitere e-mailuri, un furnizor de găzduire — este în limbajul GDPR de obicei un procesor, iar tu rămâi responsabilul tratării. Obligația de a notifica autoritatea de supraveghere și persoanele vizate aparține responsabilului tratării, nu procesorului. Furnizorul care o notifică autorității sale de supraveghere nu acoperă automat obligația ta proprie.

Ce trebuie să facă furnizorul conform contractului de prelucrare este să te notifice cu privire la încălcare fără întârziere nejustificată de îndată ce ia cunoștință. Din acel moment, pentru tine începe evaluarea dacă este vorba despre o încălcare din sensul ce este exact o încălcare a datelor?, și dacă aceasta trebuie notificată la Autoritatea pentru Protecția Datelor și eventual persoanelor vizate. Faptul că un furnizor a notificat incidentul autorității sale de supraveghere — uneori într-o altă țară — nu schimbă nimic în evaluarea proprie pe care o faci tu ca responsabil al tratării.

Conform articolelor 28 și 33 GDPR

Articolul 28 al GDPR reglementează relația dintre responsabilul tratării și procesor, iar contractul de prelucrare asociat stabilește că procesorul trebuie să notifice responsabilul tratării cu privire la o încălcare; articolul 33 al GDPR stabilește obligația de notificare a autorității de supraveghere la responsabilul tratării, cu termen și criterii pe care Autoritatea pentru Protecția Datelor și EDPB le detaliază în orientările lor. Această distribuire este valabilă în mod egal în fiecare stat membru, doar variază care autoritate de supraveghere primește notificarea: în Țările de Jos este Autoritatea pentru Protecția Datelor, în alte state membre autoritatea acelui stat — relevant dacă furnizorul se află acolo sau dacă datele clienților persoanelor vizate din mai multe țări sunt implicate. Ce trebuie să reglementeze acordurile tale proprii cu furnizorul în această privință, și dacă acel contract este conform, este descris la trebuie să semnez un contract de prelucrare pe care îl trimite clientul meu?.