Uredba določa, da je treba kršitev podatkov, ki bi lahko pomenila tveganje za posameznike, prijaviti Uradu za varstvo podatkov takoj, ko za to izvete. Rok je kratek: 72 ur. Če ne prijavite ali prijavite prepozno, na tem področju ne izpolnjujete obveze iz Uredbe. Kaj to konkretno pomeni, je odvisno od situacije, in prav zato kot uredniška služba ne dajemo izjav: odločitev je vaša, vašega pravnika ali nadzornega organa.
Kar je mogoče opisati: Uredba daje Uradu za varstvo podatkov pooblastilo za preiskavo kršitve podatkov, ki ni bila prijavljena ali je bila prijavljena prepozno, in za odgovore nanjo. Kaj je ta odgovor in ali sploh pride do njega, ni fiksno in ga ni mogoče napovedati. Za vas kot podjetnika torej vprašanje ni toliko »kaj je kazen«, ampak »kaj moram urediti, da lahko pravočasno ugotovim, ali je prijava potrebna«.
Kaj natančno zahteva obveza prijave
Uredba loči med prijavo nadzornemu organu in prijavo posameznikom samim. Prva je na mestu pri kršitvi, ki bi lahko pomenila tveganje; druga, težja različica je na mestu pri visokem tveganju. Obe presoji morata biti opravljeni hitro, 72-urni rok za nadzorni organ pa teče od trenutka, ko ste kršitev odkrili, ne od trenutka, ko je nastala. Kdor tega razliko še nima jasno, jo lahko razbere v nekaj vprašanjih: v petih vprašanjih pokažete svojo pozicijo daje neposredno nakazilo, ali je prijava na mestu.
Jedro problema pri zamudni prijavi je običajno ne slaba volja, ampak čas, ki se izgubi v zmešnjavi: kdo bi se tega lotil, je to sploh kršitev podatkov v smislu Uredbe, in ali sploh imamo pregled nad tem, kateri sistemi vsebujejo osebne podatke. Slednje je prav tisto, kjer register dejavnosti obdelave dokazuje svojo vrednost: brez pregleda obdelav podatkov vam raziskovanje obsega kršitve nepotrebno porabi od 72 ur, ki ga imate.
Tudi neporočanje si morate moći razložiti
Manj znana točka je, da Uredba zahteva tudi, da zabeležite, ko se odločite, da kršitve ne boste prijavili, in zakaj. Odgovornost se namreč nanašal presojo samo po sebi, ne le na prijavo, če do nje pride. Kršitev, ki jo ocenite kot »brez tveganja za posameznike« in katere presoje nikjer ne zabeležite, je pozneje težko dokazati, če bi o tem kaj spraševali. Smernice EDPB o tem razširjeno razpravljajo; vir in pojašnjenje sta dostopna v bazi znanja po temah.
Posledice, ki segajo dlje od nadzornega organa
Zunaj razmerja z Uradom za varstvo podatkov sta še dve mesti, kjer lahko neposredna prijava postane relevantna. Prvo je pogodba o obdelavi podatkov: če obdelujete osebne podatke za stranko, je pogosto vključena lastna rok prijave, včasih krajši od 72 ur, in ta rok potem velja poleg Uredbe. Drugo je sam posameznik: nekdo, katerega podatki so puščeni in je do tega prišel sam, brez vaše prijave, te zaupanja ne more več pridobiti, kar je neodvisno od pravne presoje.
Tudi zavarovalnica ali naročilec, ki vas pozneje vpraša, kako ste ravnali s kršitvijo, pogleda, ali ste pravočasno presodili in po potrebi prijavili. To ni multa, toda vseeno gre za to, kar je pogosto razlog, da se lotite varovanja podatkov: dokazati, da obstaja proces, ne samo da se ni nikoli zgodilo nič narobe.
Zakaj je ura pogosto ozko grlo
V praksi pogosto ni volja za prijavo, ki manjka, ampak hitrost, s katero lahko organizacija ugotovi, kaj se je zgodilo, katere podatke je prizadeto in kdo je vpletena. Sistem, ki pusti teči 72-urno uro takoj, ko je mogoče varnostno kršitev registriramo, preprečuje, da bi ta čas izginil v notranji diskusiji. Kako je takšen sistem strukturiran in na čem temeljijo informacije, je opisano na strani o od koder izvirajo informacije.
Ali je specifičen incident v vašem primeru predmet obvestilne dolžnosti, katera natančna časovna ročica velja v vašem primeru in kakšne so posledice, če je obvestilo zamujeno, ni mogoče odgovoriti na splošno raven. Za to oceno je pravnik ali sam Nadzornik za varstvo podatkov ustrezna stična točka.
Ali bi želeli najprej sami pridobiti sliko stanja, v katerem se nahajate, brez obveznosti? Brezplačna hitra preverka in banka znanja dajeta prvo okvirno predstavo po temi, vključno z referenco v uradnem besedilu.