Când trebuie să raportez o încălcare de date la Autoritatea pentru Protecția Datelor?

Raportarea este regula generală, decât atunci când un risc este puțin probabil

Un incident de securitate al datelor îl raportați autorității de supraveghere de îndată ce este probabil că incidentul prezintă un risc pentru drepturile și libertățile persoanelor ale căror date personale sunt afectate. Aceasta este esența articolului 33 RGPD: raportarea este principiul de bază, și numai atunci când se poate concluziona în mod rezonabil că nu va apărea niciun risc, acea raportare este omisă. În practică, aceasta înseamnă că majoritatea incidentelor de securitate ale datelor personale — un e-mail trimis greșit cu date despre clienți, un laptop furat, o bază de date hacuită — se încadrează în obligația de raportare, în timp ce un incident care este clar că nu poate afecta pe nimeni (de exemplu, pentru că datele au fost criptate și cheia nu a fost compromisă) poate fi exclus.

Pentru această evaluare, vă uitați la ce exact s-a întâmplat, care sunt datele personale implicate și cine poate fi afectat. Datele speciale, datele financiare sau datele copiilor au o pondere mai mare decât o simplă adresă de e-mail. Ceasul de 72 de ore din articolul 33 RGPD începe să curgă din momentul în care vă conștientizați incidentul, nu din momentul în care acesta s-a produs — uneori aceste două sunt separate cu săptămâni. Un arbore decizional care trece prin această evaluare pas cu pas nu este niciodată o înlocuire a propriei judecăți asupra incidentului concret, dar ajută la parcurgerea structurată a întrebării «obligatoriu a fi raportat sau nu».

De unde rezultă aceasta din articolul 33 RGPD și ghidurile EDPB

Obligația de raportare în sine se găsește în articolul 33 RGPD; clarificarea unor noțiuni precum «risc» și «fără întârziere» provine din ghidurile EDPB privind raportarea incidentelor de securitate ale datelor, iar Autoritatea pentru Protecția Datelor o explică pentru practica olandeză. RGPD se aplică direct în fiecare stat membru, dar autorității la care raportați diferă: în Olanda, aceasta este punctul de raportare al Autorității pentru Protecția Datelor, singura autoritate de supraveghere pentru întreaga țară. În Germania, raportați autorității de supraveghere a landului în care se află sediul, deoarece acolo există șaisprezece autorități de supraveghere la nivel de land alături de o autoritate de supraveghere federală.