Musím sledovať aj úniky údajov, ktoré nehlásim?

Aj úniky bez hlásenia patria do registra

Áno, vo väčšine prípadov platí, že každý únik údajov dostane miesto v registri, aj keď nebol hlásený dozorovému orgánu. Register nie je určený ako prehľad hlásení, ale ako prehľad všetkých porušení, ktoré sa vyskytli, s posúdením, ktoré sa pri tom urobilo: čo sa stalo, ktoré údaje boli zahrnuté, aké riziko bolo posúdené a prečo bolo či nebolo hlásené. Únik, ktorý nevytvára povinnosť hlásenia, pretože riziko pre dotknuté osoby bolo posúdené ako nízke, sa tam jednoducho zaraďuje.

Čo zvyčajne nemusí byť v registri, sú incidenty, ktoré nie sú porušením údajov — napríklad porucha bez toho, aby došlo k úniku, strate alebo neprávnemu spracovaniu údajov. Akonáhle je porušenie údajov, počítajú sa do registra, nezávisle od otázky, či bolo hlásené dozorovému orgánu a nezávisle od otázky, či boli dotknuté osoby informované.

Vyplýva to z povinnosti dokumentácie podľa články 33 GDPR

Článok 33 GDPR reguluje nielen hlásenie do 72 hodín, ale obsahuje aj samostatnú povinnosť dokumentácie: každé porušenie údajov sa zaznamenáva so skutočnosťami, dôsledkami a prijatými opatreniami, aby dozorovací orgán to mohol neskôr skontrolovať. Táto povinnosť záznamu je nezávislá od otázky, či bolo skutočne hlásené. To, ktorý dozorovací orgán môže požiadať o register, sa líši podľa členského štátu — v Holandsku je to Autorité Persoonsgegevens, v Nemecku dozorovací orgán štátu, kde sa sídlo nachádza — ale povinnosť dokumentovať pochádza priamo z nariadenia a v tejto forme platí rovnako vo všetkých členských štátoch. Aj Autorité Persoonsgegevens vo svojich informáciách o úniku údajov poukazuje na to, že zaznamenanie je samostatný krok, nezávislý od toho, či sa hlási či nie.