kdo je odgovoren za prijavo varnostnega incidenta v mojem podjetju

Odgovornost leži pri organizaciji, ne pri enem zaposlenencu

GDPR vsem zahteva prijavo pri organizaciji, ki je upravljavec osebnih podatkov, ne pri posameznem delavcu, ki je puščo ali povzročil napad. GDPR ne ureja, kdo v podjetju to prijavo dejansko izvede — to je notranja zadeva. V praksi je to običajno lastnik, direktor ali oseba, ki je posebej določena za varstvo osebnih podatkov, kot je funkcionar za varstvo podatkov, če je ta imenovan. Pri samostojnem podjetju ali majhnem podjetju brez posebne funkcije ta odgovornost pogosto pada na osebo, ki vodi podjetje.

Gotovo pa je, da mora biti nekdo, ki ve, da je lahko potrebna prijava takoj, ko se napad zgodi, in da lahko presodi ali kaj natančno sodi pod varnostni incident je uporabno tukaj. Podjetje, ki ni jasno določilo, kdo se tega loti, tvega, da se napad odkrije, a nihče ne naredi naslednjega koraka — medtem ko se ura od trenutka odkritja že vrti. Tudi če je obdelava zaupana tretji osebi, se ne spremeni, kdo je odgovoren za prijavo: to je in ostaja lastna organizacija, tudi kadar dobavitelj sam prijavi varnostni incident.

Kje je to navedeno: člen 33 GDPR

Člen 33 GDPR vedno govori o "upravljavcu osebnih podatkov" kot stranki, ki mora prijaviti nadzorniku, brez predpisovanja notranje funkcije ali osebe; kdo to dejansko izvede, je prepuščeno organizaciji sami. Nadzorni organ za varstvo podatkov na svoji strani o varnostnih incidentih potrdi, da je prijava dolžnost organizacije in ne specifičnega delavca. Pri katerem nadzorniku je treba prijaviti, se razlikuje glede na članico: v Sloveniji je to Nadzorni organ za varstvo podatkov, medtem ko je drugje v EU pristojni nacionalni nadzorni organ. Več o korakih, ki jih je treba slediti, in vlogi nadzornika je na voljo na kadar je varnostni incident potrebno prijaviti nadzornemu organu za varstvo podatkov.