min leverantör rapporterar ett dataintrång måste jag också rapportera det själv

En dataintrång hos din leverantör kan också påverka din anmälningsskyldighet

Ja, det kan det, även om leverantören redan har anmält intrånget själv. En leverantör som behandlar kunduppgifter för dig — ett bokföringsprogram, ett e-postverktyg, en hostingleverantör — är enligt GDPR:s språkbruk vanligtvis en personuppgiftsbiträde, och du förblir då själv personuppgiftsansvarig. Anmälningsplikten till tillsynsmyndigheten och till registrerade ligger på personuppgiftsansvarig, inte på personuppgiftsbiträdet. Leverantören som anmäler det till sin egen tillsynsmyndighet täcker alltså inte automatiskt din egen skyldighet.

Det som leverantören enligt personuppgiftsbiträdeavtalet däremot måste göra är att anmäla intrånget till dig utan onödig dröjsmål när han blir medveten om det. Från den punkten börjar din bedömning av om det rör sig om ett intrång enligt definitionen i vad är ett dataöverträdelse exakt?, och om det är anmälningspliktig hos Datainspektionen och eventuellt hos de registrerade. Att en leverantör har anmält incidenten till sin egen tillsynsmyndighet — ibland i ett annat land — ändrar ingenting vid den bedömning som du som personuppgiftsansvarig själv måste göra.

Där det följer av artikel 28 och artikel 33 i GDPR

Artikel 28 i GDPR reglerar förhållandet mellan personuppgiftsansvarig och personuppgiftsbiträde, och det tillhörande personuppgiftsbiträdeavtalet fastställer att biträdet måste anmäla ett intrång till personuppgiftsansvarig; artikel 33 i GDPR slår fast anmälningsplikten till tillsynsmyndigheten för personuppgiftsansvarig, med tidsfristen och kriterierna som Datainspektionen och EDPB utvecklar vidare i sina riktlinjer. Denna fördelning gäller likadeles i varje medlemsstat, bara vilken tillsynsmyndighet som anmälan går till skiljer sig åt: i Sverige är det Datainspektionen, i andra medlemsstater den tillsynsmyndigheten i det landet — relevant om leverantören är lokaliserad där eller om kunduppgifter för registrerade från flera länder är inblandade. Vad dina egna avtal med leverantören måste reglera på denna punkt, och om avtalet är adekvat, beskrivs under måste jag underteckna ett personuppgiftsbiträdeavtal som min kund skickar?.