môj dodávateľ hlási únik údajov, musím to nahlásiť aj ja sám

Únik údajov u tvojho poskytovateľa môže tiež ovplyvniť tvoju povinnosť hlásiť

Áno, môže, aj keď poskytovateľ únik sám už ohlásiť. Poskytovateľ, ktorý spracúva údaje zákazníkov v tvojom mene — účtovný balík, e-mailový nástroj, hostingová spoločnosť — je v jazyku GDPR zvyčajne spracovateľom, a ty zostávaš data controller. Povinnosť hlásiť dohľadnému orgánu a dotknutým osobám leží na data controller, nie na spracovateľovi. Poskytovateľ, ktorý to ohlásiť svojmu vlastnému dohľadnému orgánu, teda automaticky nekrýva tvoju vlastnú povinnosť.

To, čo musí poskytovateľ podľa zmluvy so spracovateľom urobiť, je únik ohlási bez zbytočného odkladu, len čo sa o ňom dozví. Od toho momentu pre teba začína posúdenie, či ide o porušenie v zmysle čo je presne únik údajov?, a či je hlásiteľné Úradu na ochranu osobných údajov a prípadne dotknutým osobám. To, že poskytovateľ hlásil incident svojmu vlastnému dohľadnému orgánu — niekedy v inej krajine — nemení nič na posúdení, ktoré ako data controller robíš ty.

Kde to vyplýva z článku 28 a článku 33 GDPR

Článok 28 GDPR upravuje vzťah medzi data controller a spracovateľom, a príslušná zmluva so spracovateľom stanovuje, že spracovateľ musí porušenie ohlási data controller; článok 33 GDPR stanovovuje povinnosť hlásenia dohľadnému orgánu pre data controller, s lehotou a kritériami, ktoré Úrad na ochranu osobných údajov a EDPB ďalej rozpracúvajú vo svojich pokynoch. Toto rozdelenie platí v každom členskom štáte rovnako, len sa líši, ktorý dohľadný orgán hlásenie dostane: v Holandsku je to Úrad na ochranu osobných údajov, v iných členských štátoch dohľadný orgán danej krajiny — relevantné, ak je poskytovateľ tam alebo ak sú údaje dotknutých osôb z viacerých krajín. To, čo musia upravovať vlastné dohody s poskytovateľom v tejto súvislosti, a či zmluva vyhovuje, sa opisuje v časti musím podpísať zmluvu so spracovateľom, ktorú mi pošle môj klient?.