Kdaj moram prijaviti kršitev varnosti podatkov Uradni komisiji za varstvo podatkov?

Prijava je glavno pravilo, razen če je tveganje malo verjetno

Puščavo podatkov prijavite nadzorniku takoj, ko je verjetno, da puščava povzroča tveganje za pravice in svoboščine oseb, katerih podatki so bili prizadeti. To je jedro člena 33 GDPR: prijava je izhodišče, in samo kadar je razumno verjetno, da tveganja ni, takšna prijava ostane neudeljena. V praksi to pomeni, da je večina puščav osebnih podatkov — napačno poslana e-pošta s podatki strank, ukradeni prenosni računalnik, hekirano podatkovno skladišče — podvržena obveznosti prijave, medtem ko puščava, ki očitno ne more nikogar dosegati (na primer ker so bili podatki šifrirani in ključ ni bil razkrit), lahko ostane zunaj te obveznosti.

Za to oceno se obrnite na to, kaj se je natanko zgodilo, kateri podatki so prizadeti in kdo bi lahko bil prizadet. Posebni podatki, finančni podatki ali podatki otrok imajo pri tem večjo težo kot samostojen e-poštni naslov. Ura 72 ur iz člena 33 GDPR se začne teči od trenutka, ko ste se zavedli puščave, ne od trenutka, ko je nastala — ti dve sta si včasih več tednov narazen. Odločitveno drevo, ki to tehtanje korak za korakom presledi, nikoli ne nadomešča vašega lastnega presoje o konkretni puščavi, a vam pomaga preurediti vprašanje »obvezna prijava ali ne« strukturirano.

Kam sega to iz člena 33 GDPR in smernic EDPB

Sama obveznost prijave je v členu 33 GDPR; razlaga konceptov, kot sta »tveganje« in »brez nepotrebnega odlašanja«, izhaja iz smernic EDPB o prijavah puščav podatkov, in Urad za varstvo podatkov pojasnjuje to za nizozemsko prakso. GDPR velja neposredno v vsaki državi članici, a pri kom prijavite, se razlikuje: na Nizozemskem je to porajalnik za prijavo Urada za varstvo podatkov, edinega nadzornika za celotno državo. V Nemčiji prijavite pri nadzorniku zvezne dežele, kjer se nahaja vaša poslovalnica, saj tam ob zveznem nadzorniku obstaja šestnajst deželnih nadzornikov.