Måste jag även föra journal över dataöverträdelser som jag inte anmäler?

Även läckor utan anmälan tillhör registret

Ja, i de flesta fall gäller att varje dataintrång får en plats i registret, även om ingen anmälan har gjorts till en tillsynsmyndighet. Registret är inte avsett som en översikt över anmälningar, utan som en översikt över alla intrång som har inträffat, tillsammans med bedömningen som gjordes i samband med det: vad hände, vilka uppgifter var inblandade, vilken risk bedömdes och varför gjordes en anmälan eller inte. Ett läckage som inte medförde en anmälningsplikt eftersom risken för de registrerade bedömdes vara låg, faller helt enkelt under detta.

Vad som vanligtvis inte behöver finnas i registret är incidenter som inte utgör ett intrång avseende personuppgifter — till exempel ett driftavbrott utan att uppgifter har läckt, förlorats eller behandlats på ett otillbörligt sätt. Så snart det föreligger ett intrång räknas det för registret, oavsett om anmälan har gjorts till tillsynsmyndigheten och oavsett om de registrerade har informerats.

Detta följer av dokumentationsplikten enligt artikel 33 i GDPR

Artikel 33 i GDPR reglerar inte bara anmälan inom 72 timmar, utan innehåller också en separat dokumentationsplikt: varje intrång avseende personuppgifter dokumenteras, med fakta, konsekvenser och vidtagna åtgärder, så att en tillsynsmyndighet senare kan kontrollera detta. Den dokumenteringsskyldigheten är oberoende av frågan om en faktisk anmälan har gjorts. Vilken tillsynsmyndighet som kan begära registret skiljer sig åt per medlemsstat — i Sverige är det Datainspektionen, i Tyskland tillsynsmyndigheten i den delstat där verksamheten är belägen — men skyldigheten att dokumentera kommer direkt från förordningen och gäller på detta sätt lika i alla medlemsstater. Datainspektionen pekar också i sin information om dataintrång på att dokumentering är ett separat steg, oavsett om anmälan görs eller inte.