kakšne so posledice, če varnostnega incidenta ne prijavim Uradu

Nemeldovanje lahko ima posledice, ki presegajo samo puščavo

Kdor ne prijavi obveznega prikaza podatkov nadzorniku, tvega, da nadzornik to sam odkrije in deluje na podlagi članka 33 GDPR, ki ureja obveznost prijave v navedenem roku. Urad za varstvo podatkov in drugi evropski nadzorniki imajo pristojnost za preiskavo, zastavljanje vprašanj in sankcije ob ugotovljeni kršitvi. Dejstvo, da puščava ni bila prijavljena, se pogosto pojavi, ker se sam prizadeti pritožuje, ker se podatki pojavijo drugje, ali ker razčiščevalec ali dobavitelj prijavi puščavo in nadzornik od tam dalje sprašuje — glej tudi kaj storiti, če dobavitelj prijavi puščavo podatkov.

Poleg tveganja pri nadzorniku je tu še nekaj: neprijava puščave je ločena od vprašanja, ali je treba obvestiti ljudi, katerih podatki so vpleteni. Ta obveznost izhaja iz članka 34 GDPR in lahko ostane v veljavi tudi, če je prijava nadzorniku izostala — s svim reputacijska škodo in izgubo zaupanja, ki lahko pride, če se to kasneje razkrije. Tudi puščava, ki ni obvezna za prijavo, bi morala ostati v lastni evidenci; glej zakaj tudi neprijavljene puščave podatkov veljajo, da se hranijo.

Kaj je o tem napisano v pravilih

Obveznost prijave je navedena v členu 33 GDPR in ta obveznost neposredno velja v vsaki državi članici EU. Kam gre prijava, se razlikuje po državah: v Nizozemski je to Urad za varstvo podatkov, v drugih državah članicah nacionalni nadzornik te države — EDPB vodi pregled teh nadzornikov in objavlja smernice o razlagi obveznosti prijave. Natančna izvedba tega, kdaj mora biti kaj prijavljeno ali ne, je opisana na strani o ocenjevanju, ali je treba puščavo podatkov prijaviti.