Az Európai Parlament és a Tanács (EU) 2016/679 sz. általános adatvédelmi rendelete, ismertebb nevén GDPR (General Data Protection Regulation) 2018. május 25-től előírja, hogy az adatvédelmi incidenseket az adatkezelő legkésőbb 72 órával a tudomásszerzést követően köteles bejelenteni az adatvédelmi hatóság felé. A bejelentés csak akkor mellőzhető, ha az incidens valószínűsíthetően semmilyen kockázattal nem jár az érintettek jogaira nézve. (Ez utóbbinak az igazolása – az elszámoltathatóság követelményével összhangban – az adatkezelőt terheli.) Amennyiben az incidens magas kockázatot hordoz az érintettekre nézve, akkor az érintetteket is értesíteni kell a történtekről.
Írásunkban a gyakorlatból vett példákkal mutatjuk be, hogy mikor beszélhetünk adatvédelmi incidensről, ez hogyan ismerhető fel az adatkezelők részéről, és mikor kell az incidenst bejelenteni a hatóság felé.
