W dniu 3 października 2017 r. Grupa Robocza art. 29 (poprzednik Europejskiej Rady Ochrony Danych – „EROD”) przyjęła pierwsze wytyczne w sprawie powiadamiania o naruszeniu danych na gruncie RODO. W trzecim kwartale 2022 r. EROD opublikowała projekt zaktualizowanych wytycznych, w których doprecyzowała wymogi dotyczące powiadamiania o naruszeniach danych osobowych, przy czym istotna zmiana jest skierowana do podmiotów, które nie posiadają jednostki organizacyjnej na terenie Unii Europejskiej.
Rola przedstawiciela administratora
Zgodnie z przepisami RODO, gdy administrator (lub podmiot przetwarzający) niemający jednostki organizacyjnej w Unii Europejskiej przetwarza dane osobowe osób, których dane dotyczą, znajdujących się w Unii, a jego czynności przetwarzania wiążą się z oferowaniem towarów lub usług tym osobom w Unii lub z monitorowaniem ich zachowania, to taki administrator powinien wyznaczyć przedstawiciela, chyba że przetwarzanie ma charakter sporadyczny, nie obejmuje – na dużą skalę – przetwarzania szczególnych kategorii danych osobowych, ani przetwarzania danych osobowych dotyczących wyroków skazujących i naruszeń prawa, i jest mało prawdopodobne, by ze względu na swój charakter, kontekst, zakres i cele powodowało ryzyko naruszenia praw lub wolności osób fizycznych, lub jeżeli administrator jest organem lub podmiotem publicznym. Taki przedstawiciel powinien działać w imieniu administratora i może być adresatem ewentualnych działań organu nadzorczego. Przedstawiciel powinien wykonywać swoje zadania zgodnie z upoważnieniem otrzymanym od administratora, a jednym z jego głównych zadań jest współpraca z właściwymi organami nadzorczymi w odniesieniu do wszelkich działań służących zapewnieniu przestrzegania przepisów RODO.
Przedstawiciel już nie wystarczy
Pierwsze wytyczne w sprawie zgłaszania naruszeń ochrony danych osobowych zakładały, że w przypadku wystąpienia takiego naruszenia należy zgłosić je do organu nadzorczego w państwie, w którym siedzibę ma przedstawiciel wyznaczony przez administratora. Procedura ta była oparta na mechanizmie kompleksowej współpracy pomiędzy organami z różnych państw UE (tzw. one-stop-shop) i zakładała, że administrator powinien podlegać kontroli tylko jednego organu nadzorczego – niezależnie od ilości państw, w których prowadzi on działalność. Jeśli więc, podmiot mający siedzibę poza Unią, działał na terenie kilku jej krajów, a wyznaczył swojego przedstawiciela np. w Polsce, to wystarczające było zgłoszenie naruszenia jedynie do polskiego organu nadzorczego, którym jest Prezes Urzędu Ochrony Danych Osobowych.
Jednak zgodnie z nowym brzmieniem wytycznych, sama obecność przedstawiciela w państwie członkowskim nie spowoduje już uruchomienia procedury one-stop-shop. Z tego powodu naruszenie będzie musiało zostać zgłoszone każdemu organowi państwa członkowskiego, w którym zamieszkują dotknięte naruszeniem osoby. Zgłoszenia tego należy dokonać zgodnie z pełnomocnictwem udzielonym przez administratora jego przedstawicielowi i na jego odpowiedzialność.
