Ali moram tudi beležiti kršitve varnosti podatkov, ki jih ne prijavim?

Tudi puščanje podatkov brez prijave sodi v register

Ja, v večini primerov velja, da vsak incident z varnostno prekrškom dobi mesto v registru, tudi če ni bila podana prijava nadzornemu organu. Register ni namenjen kot pregled prijav, ampak kot pregled vseh varnostnih prekrškov, do katerih je prišlo, z oceno, ki je bila pri tem narejena: kaj se je zgodilo, kateri podatki so bili vpleteni, kakšno tveganje je bilo ocenjeno in zakaj je bilo ali ni bilo prijavljeno. Puščanje podatkov, ki ne povzroči obveznosti za prijavo, ker je bilo tveganje za posameznike ocenjeno kot nizko, spada med to..

Kar praviloma ne sodi v register, so incidenti, ki niso varnostni prekršek na osebnih podatkih — na primer motnja brez puščanja, izgube ali nezakonitega obdelovanja podatkov. Takoj ko je res varnostni prekršek, se ta šteje za register, ne glede na vprašanje, ali je bila prijava podana nadzornemu organu in ne glede na vprašanje, ali so bili posamezniki obveščeni.

To izhaja iz obveznosti dokumentiranja iz člena 33 GDPR

Člen 33 GDPR ne ureja samo prijave v 72 urah, ampak vsebuje tudi posebno obveznost dokumentiranja: vsak varnostni prekršek na osebnih podatkih se zabeleži s podatki o dejstvih, posledicah in sprejeti ukrepi, da lahko nadzorni organ to kasneje preveri. Ta obveznost za zabeležko je ločena od vprašanja, ali je bila dejansko podana prijava. Kateri nadzorni organ lahko zahteva ta register, se razlikuje po članici — v Nizozemski je to Nadzorni organ za zaščito podatkov, v Nemčiji je nadzorni organ pokrajine, kjer je sedeža — vendar je obveznost dokumentiranja direktno iz uredbe in velja na enak način v vsaki članici. Tudi Nadzorni organ za zaščito podatkov v svojih informacijah o varodnih prekrškov opozarja, da je zabeležba ločen korak, ločen od dejanskega poročanja ali ne.