Povreda osobnih podataka jedan je od najozbiljnijih sigurnosnih incidenata u sustavu zaštite podataka jer može dovesti do narušavanja povjerljivosti, dostupnosti ili cjelovitosti osobnih podataka. Opća uredba o zaštiti podataka propisuje jasne obveze voditelja obrade u slučaju takvih povreda, a jedna od najvažnijih je obveza izvješćivanja nadzornog tijela.
U Republici Hrvatskoj tu ulogu ima Agencija za zaštitu osobnih podataka, kojoj se voditelj obrade mora obratiti bez nepotrebnog odgađanja kada su ispunjeni zakonom propisani uvjeti. Ova obveza nije samo formalna, nego predstavlja ključni mehanizam zaštite ispitanika i osigurava transparentnost u postupanju s osobnim podacima.
Voditelj obrade dužan je izvijestiti Agenciju najkasnije u roku od sedamdeset i dva sata od trenutka kada je saznao za povredu osobnih podataka. Ovaj rok počinje teći od trenutka kada voditelj obrade postane svjestan da je došlo do incidenta koji uključuje osobne podate, a ne od trenutka kada je incident nastao.
U praksi to znači da se voditelj obrade ne može pozivati na tehničke ili organizacijske poteškoće kao razlog za odgodu izvješćivanja, jer je svrha roka osigurati brzo djelovanje i smanjenje mogućih štetnih posljedica za ispitanike. Ako izvješćivanje nije provedeno u propisanom roku, voditelj obrade mora obrazložiti razloge kašnjenja, što dodatno naglašava važnost pravodobnog postupanja.
Obveza izvješćivanja postoji u svim situacijama u kojima je vjerojatno da će povreda prouzročiti rizik za prava i slobode pojedinaca. Rizik se procjenjuje u odnosu na moguće posljedice za ispitanike, poput…
