cine este responsabil pentru raportarea unei încălcări a datelor în cadrul companiei mele

Responsabilitatea aparține organizației, nu unui singur angajat

GDPR-ul impune obligația de notificare organizației care este responsabilă de tratare, nu unui angajat individual care a descoperit sau a cauzat fuga de date. Cine din cadrul companiei efectuează notificarea în practică nu este reglementat de GDPR — aceasta este o problemă internă. În practică, aceasta este de obicei proprietarul, un director, sau cineva care a fost specific desemnat să gestioneze chestiunile legate de confidențialitate, cum ar fi un inspector pentru protecția datelor dacă a fost numit. Pentru o persoană fizică cu activitate independentă sau o mică întreprindere fără o funcție separată, această responsabilitate cade adesea în mod natural pe persoana care conduce afacerea.

Ceea ce este sigur, totuși, este că trebuie să existe cineva care să știe că o notificare poate fi necesară imediat ce apare o fugă de date, și care poate evalua dacă ceea ce se încadrează exact sub noțiunea de fugă de date se aplică aici. O companie care nu a stabilit clar cine se ocupă de aceasta riscă ca o fugă de date să fie semnalată, dar nimeni să nu facă pasul următor — în timp ce ceasul începe să curgă din momentul descoperirii. Chiar dacă prelucrarea a fost externalizată unui terț, aceasta nu schimbă cine rămâne responsabil pentru notificare: aceasta este și rămâne propria organizație, inclusiv atunci când un furnizor notifică el însuși o fugă de date.

Sursa pentru aceasta: articolul 33 din GDPR

Articolul 33 din GDPR se referă întotdeauna la "responsabilul de tratare" ca fiind partea care trebuie să notifice autoritatea de supraveghere, fără a prescrie o funcție sau persoană internă specifică; cine o execută în practică depinde de organizația însăși. Autoritatea pentru Protecția Datelor confirmă pe pagina sa despre fugile de date că obligația de notificare aparține organizației și nu unui angajat specific. Autoritatea de supraveghere la care trebuie făcută notificarea diferă totuși în funcție de statul membru: în Țările de Jos aceasta este Autoritatea pentru Protecția Datelor, în timp ce în alte locuri din UE este autoritatea națională de supraveghere proprie cea desemnată. Mai multe informații despre pașii de urmat și rolul autorității de supraveghere se găsesc la când o fugă de date trebuie notificată Autorității pentru Protecția Datelor.