Trebuie să țin evidența și a încălcărilor de date pe care nu le raportez?

Scurgerile fără notificare aparțin și în registru

Da, în majoritatea cazurilor, fiecare incident de securitate a datelor primește un loc în registru, chiar dacă nu s-a notificat un autoritate de control. Registrul nu este destinat ca o privire de ansamblu a notificărilor, ci ca o privire de ansamblu a tuturor incidentelor de securitate a datelor care s-au produs, cu evaluarea care a fost făcută în legătură cu acestea: ce s-a întâmplat, ce date au fost implicate, ce risc a fost estimat și de ce s-a notificat sau nu. O scurgere care nu impune obligația de notificare pentru că riscul pentru persoanele vizate a fost estimat ca fiind scăzut, se încadrează în aceasta.

Ceea ce de obicei nu trebuie să apară în registru sunt incidentele care nu constituie o încălcare a protecției datelor cu caracter personal — de exemplu, o defecțiune fără ca datele să fi scurs, să fi fost pierdute sau prelucrate ilegal. Imediat ce există o încălcare a protecției datelor cu caracter personal, aceasta contează pentru registru, indiferent de faptul că s-a notificat autoritatea de control și indiferent de faptul că persoanele vizate au fost informate.

Aceasta rezultă din obligația de documentare prevăzută în articolul 33 din RGPD

Articolul 33 din RGPD nu reglementează doar notificarea în termen de 72 de ore, ci conține și o obligație separată de documentare: fiecare încălcare a protecției datelor cu caracter personal este consemnată, cu faptele, consecințele și măsurile luate, astfel încât o autoritate de control să poată verifica acest lucru mai târziu. Această obligație de consemnare este independentă de faptul că s-a notificat efectiv. Autoritatea de control care poate solicita registrul diferă în funcție de statul membru — în Olanda este Autoritatea pentru Protecția Datelor, în Germania autoritatea de control a landului în care se află sediul — dar obligația de a documenta vine direct din regulament și se aplică în aceeași formă în fiecare stat membru. Și Autoritatea pentru Protecția Datelor din Olanda atrage atenția în informațiile sale privind incidentele de securitate a datelor că consemnarea este o etapă separată, indiferent de notificare.