moj dobavitelj prijavi varnostni incident, moram tudi jaz to prijaviti

Kršitev podatkov pri tvoj dobavitelj lahko vpliva tudi na tvojo obveznost prijave

Ja, je mogoče, čeprav je dobavitelj to kršitev že sam prijavil. Dobavitelj, ki obdeluje podatke kupcev za te — računovodski paket, orodje za pošiljanje pošte, gostinjski ponudnik — je v jeziku GDPR običajno obdelovalec podatkov, ti pa ostaneš upravljavec podatkov. Obveznost prijave nadzornemu organu in posameznikom, na katere se nanašajo podatki, je na upravljavcu podatkov, ne na obdelovalcu podatkov. Dobavitelj, ki ga prijavi svojemu lastnimu nadzornemu organu, torej ne pokriva avtomatično tvoje lastne obveznosti.

Kaj mora dobavitelj glede na pogodbo za obdelavo podatkov storiti, je dejstvo, da mora kršitev brez nepotrebnega odlašanja javi takoj ko je izvedel zanjo. Od tega trenutka se za tebe začne ocena, ali gre za kršitev, kot je predvidena v kaj je pravzaprav varnostni incident?, in ali je prijavna Urad za varstvo podatkov in po potrebi tudi posameznikom, na katere se nanašajo podatki. Dejstvo, da je dobavitelj incident prijavil svojemu lastnimu nadzornemu organu — včasih v drugi državi — ne spremeni lastne ocene, ki jo kot upravljavec podatkov narediiš.

Tam, kjer je to razvidno iz člena 28 in člena 33 GDPR

Člen 28 GDPR ureja razmerje med upravljavcem podatkov in obdelovalcem podatkov ter pripadajočo pogodbo za obdelavo podatkov, ki predpisuje, da mora obdelovalec podatkov kršitev prijaviti upravljavcu podatkov; člen 33 GDPR predpisuje prijavno obveznost nadzornemu organu pri upravljavcu podatkov s terminom in merili, ki ju Urad za varstvo podatkov in EDPB v svojih smernicah natančneje razdelata. Ta delitev velja v vsaki državi članici enako, le razlikuje se, kateri nadzorni organ prejme prijavo: v Nederlandski je to Urad za varstvo podatkov, v drugih državah članicah pa nadzorni organ te države — relevantno, če se dobavitelj nahaja tam ali če so podatki upravičencev iz več držav. Kaj morajo tvoji lastni dogovori z dobaviteljem v zvezi s tem urediti in ali pogodba izpolnjuje, je opisano pri moram podpisati pogodbo za obdelavo podatkov, ki jo pošilja moj kupec?.