Vilniaus apygardos administracinio teismo sprendimas

Aplinkybių tyrimo metu nustačius, kad galimai buvo padarytas asmens duomenų saugos pažeidimas, vadovaujantis Asmens duomenų saugumo pažeidimų nustatymo, tyrimo, pranešimo apie juos ir dokumentavimo tvarkos aprašo, patvirtinto Lietuvos policijos generalinio komisaro 2019 m. kovo 12 d. įsakymu Nr. 5-V-202, (toliau - Tvarkos aprašas) 7 punktu, 2020 m. balandžio 21 d. apie galimai padarytą asmens duomenų saugumo pažeidimą elektroniniu paštu pranešta Policijos departamento Duomenų apsaugos skyriui (toliau – Departamento skyrius). Departamento skyriaus vedėjas tarnybiniu pranešimu Nr. 5-PR2-938 nustatė, kad Komisariate galimai buvo padarytas asmens duomenų saugumo pažeidimas, tačiau šio pažeidimo patvirtinimui/paneigimui reikalingas išsamesnis tyrimas ir pasiūlė apie galimą pažeidimą nedelsiant (ne vėliau kaip iki 2020 m. balandžio 25 d.) informuoti Inspekciją. Vykdydamas Departamento skyriaus rekomendacijas, pareiškėjas 2020 m. balandžio 24 d. Nr. 20-S-9184 „Dėl informacijos pateikimo“ informavo Inspekciją apie galimą duomenų apsaugos pažeidimą. Pateikta informacija buvo tikslinama 2020 m. gegužės 15 d. raštu Nr. 20-S-10366 „Dėl informacijos pateikimo į paklausimą 2R-2326(2.24)“ ir 2020 m. birželio 9 d. raštu Nr. 20-S-12095 „Dėl papildomos informacijos apie asmens duomenų saugumo pažeidimą pateikimo“. Įvertinusi turimą informaciją Inspekcija ginčijamu Sprendimu Komisariatui paskyrė papeikimą, pripažinusi, kad Komisariatas nesilaikė 72 valandų termino pranešti apie asmens duomenų apsaugos pažeidimą, įtvirtinto 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamento (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (toliau - BDAR) 33 straipsnio 1 dalyje.

Komisariatas nesutinka su Inspekcijos išvada, kad šiuo atveju nebuvo jokių aplinkybių, dėl kurių nebūtų įmanoma pranešti Inspekcijai apie asmens duomenų apsaugos pažeidimą per 72 valandas nuo jo sužinojimo. Pažymi, kad BDAR 33 straipsnio 1 dalyje įtvirtintas esminis reikalavimas, kuo operatyviau pranešti apie padarytą duomenų apsaugos pažeidimą, jeigu įmanoma, ne trumpesnį nei 72 valandos. Taip pat nustatyta išimtis iš šios taisyklės - jeigu asmens duomenų saugumo pažeidimas neturėtų kelti pavojaus fizinių asmenų teisėms ir laisvėms, kurią duomenų valdytojas turi įvertinti kiekvienu konkrečiu atveju. Todėl, šiuo atveju Inspekcija privalėjo atsižvelgti į Komisariato veiksmus reaguojant į incidentą. Pareiškėjas pažymi, kad incidentas buvo tiriamas vadovaujantis Tvarkos aprašo nuostatomis, siekiant įvertinti ar įvykis tikrai gali būti laikomas asmens duomenų apsaugos pažeidimu, apie kurį reikia informuoti Inspekciją, ar nėra minėtos Reglamento 33 straipsnio 1 dalyje nustatytos išimties. Komisariate Pareiškimas buvo gautas 2020 m. balandžio 20 d., jo tyrimo metu sužinota apie asmens duomenų atskleidimą ir nedelsiant, t. y. 2020 m. balandžio 21 d. elektroniniu laišku apie incidentą buvo informuotas Departamento skyrius, o gavęs minėto skyriaus vedėjo išvadą (2020 m. balandžio 23 d. tarybinį pranešimą), kurioje detaliai įvertintas incidentas ir kvalifikuotas kaip galimas asmens duomenų saugumo pažeidimas, 2020 m. balandžio 24 d. apie asmens duomenų apsaugos pažeidimą buvo informuota Inspekcija. Atsižvelgdamas į tai, Komisariatas teigia, kad šiuo atveju jo veiksmuose nebuvo nepagrįsto delsimo, dėl kurio būtų galima skirti sankcijas. Komisariatas vadovavosi vidiniais teisės aktais, siekdamas užtikrinti, kad Inspekcijai būtų pateikta tiksli informacija. Inspekcija nepagrįstai situaciją vertino tik pagal Reglamento 33 straipsnio 1 dalyje nurodytą 72 valandų laikotarpį, neatsižvelgusi į kitas reikšmingas aplinkybes, neįvertinusi, ar per trumpesnį laikotarpį būtų buvę įmanoma įvertinti incidentą ir tinkamai jį kvalifikuoti. Sprendimo dalyje, tik abstrakčiai nurodyta, kad Komisariato nurodytos priežastys negali būto vertinamos, kaip pateisinamos priežastys pateikti pranešimą vėliau nei per 72 valandas nuo sužinojimo apie jį. Toks Sprendimo dalies pagrindimas nelaikytinas atitinkančiu Viešojo administravimo įstatymo 8 straipsnio 1 dalyje įtvirtinus reikalavimus ir pakankamu skirti sankciją.

Pareiškėjas 2020 m. gegužės 15 d. rašte Nr. 20-S-10366 paaiškino, kad Komisariate 2020 m. balandžio 20 d. buvo atliekamas patikslinimas dėl BK 247 straipsnio (ikiteisminio tyrimo duomenų atskleidimas be leidimo). Įtarus galimą asmens duomenų pažeidimą ir vadovaujantis Tvarkos aprašo 7 punktu, informacija nedelsiant perduota Departamento skyriui, siekiant nustatyti, ar pažeidimas iš tikrųjų buvo padarytas. Komisariatas, 2020 m. balandžio 23 d. gavęs Departamento skyriaus 2020 m. balandžio 23 d. tarnybinį pranešimą Nr. 5-PR-2-938, kuriame nurodyta, kad dėl galimo asmens duomenų saugumo pažeidimo duomenų subjekto teisėms ir laisvėms galėtų kilti tam tikrų neigiamų pasekmių ir siūlymą nedelsiant (ne vėliau kaip 2020 m. balandžio 25 d.) apie tai informuoti Inspekciją, 2020 m. balandžio 24 d. Inspekcijai pateikė Pranešimą.

Pareiškėjas 2020 m. birželio 8 d. raštu Nr. 20-S Inspekciją informavo, kad apklausus pareiškėją (duomenų subjekto dukrą, pateikusią pareiškimą), liudytoją, susipažinus su Komisariato darbuotojų, kuriems buvo pavesta tirti sukčiavimo bylą, tarnybiniais pranešimais, Komisariato Komunikacijos skyriaus vedėjos pranešimu, ikiteisminiam tyrimui dėl sukčiavimo vadovaujančios prokurorės atsakymu, Policijos departamento raštu „Dėl vartotojų naudojimosi N disku audito“, nustatyta, jog nepadarytos veikos, turinčios BK 228 ir 247 straipsniuose nurodytų nusikalstamų veikų požymių, todėl priimtas nutarimas atsisakyti pradėti ikiteisminį tyrimą. Minėtame rašte pareiškėjas taip pat pažymėjo, kad nėra galimybės nustatyti, kad asmens duomenų saugumo pažeidimas buvo padarytas, nes nėra objektyvių asmens duomenų atskleidimą patvirtinančių ar paneigiančių faktų, tačiau, įvertinęs tai, kad N diske, kuriame buvo patalpintas paviešintas vaizdo įrašas ir kurio valdytojas yra Policijos departamentas, Komisariatas pateikė rekomendaciją svarstyti galimybę įdiegti N disko vartotojų atliekamų veiksmų auditavimo sistemą.

Pareiškėjas su Sprendimo dalimi, kuria jam skirtas papeikimas nesutinka. Nesutikimas iš esmės grindžiamas tuo, kad Inspekcija netinkamai aiškino ir taikė BDAR 33 straipsnio 1 dalies nuostatas, poveikio priemonę skyrė preziumuodama, kad asmens duomenų apsaugos pažeidimą padarė kuris nors policijos darbuotojas, nors tokios aplinkybės nenustatytos. Pažymėjo, kad paviešintais duomenimis disponavo ne tik duomenų valdytojas, bet ir kiti asmenys, todėl poveikio priemonė paskirta remiantis prielaidomis, netinkamai motyvuojant.

Pagal BDAR 4 straipsnio 12 punktą, asmens duomenų saugumo pažeidimas - saugumo pažeidimas, dėl kurio netyčia arba neteisėtai sunaikinami, prarandami, pakeičiami, be leidimo atskleidžiami persiųsti, saugomi arba kitaip tvarkomi asmens duomenys arba prie jų be leidimo gaunama prieiga. Asmens duomenys, be kita ko, turi būti tvarkomi tokiu būdu, kad taikant atitinkamas technines ar organizacines priemones būtų užtikrintas tinkamas asmens duomenų saugumas, įskaitant apsaugą nuo duomenų tvarkymo be leidimo arba neteisėto duomenų tvarkymo ir nuo netyčinio praradimo, sunaikinimo ar sugadinimo (vientisumo ir konfidencialumo principas) (BDAR 5 straipsnio 1 dalies f punktas). Duomenų valdytojas yra atsakingas už tai, kad būtų laikomasi BDAR 5 straipsnio 1 dalyje nustatytų asmens duomenų tvarkymo principų ir turi sugebėti įrodyti, kad jų laikomasi (atskaitomybės principas) (BDAR 5 straipsnio 2 dalis). BDAR 24 straipsnio 1 dalyje įtvirtinta duomenų valdytojo pareiga įgyvendinti tinkamas technines ir organizacines priemones, kad duomenys būtų tvarkomi laikantis BDAR nuostatų.

Byloje nustatyta, kad viešoje erdvėje buvo išplatintas vaizdo įrašas, esantis ikiteisminio tyrimo medžiaga, kurį duomenų subjekto šeimos narys perdavė Komisariato darbuotojai. Minėtas įrašas paviešintas be duomenų subjekto sutikimo, specialiai jo nepadorus techninėmis priemonėmis neleidžiančiomis nustatyti duomenų subjekto (nukentėjusio asmens) tapatybės. Išplatinto vaizdo įrašo turinys, įvertinus tai, kad minėta medžiaga buvo patalpinta ne tik socialiniame tinkle, bet ir žinomų portalų www.delfi.lt, www.lrytas.lt paskelbtuose publikacijose, taip pat parodytas TV3 televizijos vakaro žinių reportaže, buvo atskleistas neapibrėžtai ir didelei visuomenės grupei. Atliekant galimą asmens duomenų pažeidimo tyrimą, Policijos departamento Duomenų skyrius nustatė, kad išplatintas vaizdo įrašas buvo įkeltas į bendrą policijos vidinį serverį (N diską), kuriuo turinys yra prieinamas visiems prie policijos vidinio tinklo prisijungusiems darbuotojams. Į bylą pateikti duomenys patvirtina, kad vartotojų N diske atliekami veiksmai neaudituojami, todėl nėra galimybės nustatyti kas ir kokius veiksmus atliko su paviešintu vaizdo medžiagos failu. Pareiškėjas (duomenų valdytojas) neneigia Inspekcijos nustatyto fakto, kad jokiomis techninėmis ar organizacinėmis priemonėmis nebuvo užtikrinta saugyklos (N disko), kuriame patalpintas viešoje erdvėje išplatinta vaizdo medžiaga, sauga. Sprendimo dalies, kurioje pareiškėjui, kaip duomenų valdytojui, ir Policijos departamentui, kaip duomenų tvarkytojui, nustatytas įpareigojimas įdiegti bendrai naudojamoms saugykloms tokias organizacines ir technines priemones, kurios užtikrintų nuolatinį duomenų saugyklos naudotojų atliktų veiksmų fiksavimą, atsekamumą, bei užtikrintų tinkamą prieigos kontrolę, neginčija. Taigi, šiuo atveju neginčijamai nustatyta, kad duomenų valdytojas bendroje duomenų saugykloje (N diske) saugomos informacijos nekontroliavo, visiškai jokios techninės apsaugos priemonės, kurios fiksuotų saugomos informacijos naudotojų veiksmus, leistų juos atsekti ir kontroliuoti, nebuvo įgyvendintos, t. y. asmens duomenys, kurie be kita ko yra ir ikiteisminio tyrimo medžiaga, buvo tvarkomi neužtikrinant atskaitomybės principo (BDAR 5 straipsnio 2 dalis), nors BDAR reikalauja įgyvendinti visas reikiamas ir būtinas technologines apsaugos ir organizacines priemones, kad nedelsiant būtų nustatyta, ir skubiai apie tai būtų informuoti priežiūros institucija ir duomenų subjektas (BDAR preambulės 87 punktas). Įrodinėjimo pareiga, kad duomenų valdytojas įgyvendina tinkamas technines ir organizacines priemonės, jog užtikrintų ir galėtų įrodyti, kad asmens duomenys tvarkomi laikantis BDAR, tenka duomenų valdytojui (BDAR 24 straipsnio 1 dalis, 32 straipsnio 1 dalies d punktas). Byloje nėra duomenų, galinčių patvirtinti pareiškėjo skundo argumentus, kad Inspekcija priimdama ginčijamą Sprendimą preziumavo, kad vaizdo įrašą paviešino policijos darbuotojai. Priešingai nei teigia pareiškėjas, Inspekcija nustatė, jog nėra įgyvendintos tinkamos techninės ir organizacinės priemonės, kurios leistų užtikrinti duomenų saugumą, identifikuoti ir ištirti galimai įvykusį asmens apsaugos pažeidimą ir imtis reikiamų veiksmų mažinant neigiamas pasekmes duomenų subjektui. Taigi, nagrinėjamu atveju nustatyta, kad nebuvo užtikrinta konkretaus duomenų valdytojo valdomų duomenų, patalpintų saugykloje (N diske) sauga. Ta aplinkybė, kad paviešintu vaizdo įrašu disponavo ne tik Komisariatas, bet ir duomenų subjekto šeimos nariai, duomenų valdytojui neįgyvendinus jokių techninių ir organizacinių priemonių asmens duomenims apsaugoti ir dėl to eliminuojant galimybę ištirti galimą asmens duomenų saugumo pažeidimą, teisinio vertinimo nekeičia ir neatleidžia duomenų valdytojo nuo BDAR įtvirtintos pareigos asmens duomenis tvarkyti griežtai laikantis BDAR nuostatų, bei atitinkamai sugebėti tai įrodyti.

BDAR 33 straipsnio 1 dalyje nustatyta, kad asmens duomenų saugumo pažeidimo atveju duomenų valdytojas nepagrįstai nedelsdamas ir, jei įmanoma, praėjus ne daugiau kaip 72 valandoms nuo tada, kai jis sužino apie asmens duomenų saugumo pažeidimą, apie tai praneša priežiūros institucijai, nebent asmens duomenų saugumo pažeidimas neturėtų kelti pavojaus fizinių asmenų teisėms ir laisvėms. Jeigu priežiūros institucijai apie asmens duomenų saugumo pažeidimą nepranešama per 72 valandas, prie pranešimo pridedamos vėlavimo priežastys. To paties straipsnio 2 dalyje nustatyta, kad duomenų tvarkytojas, sužinojęs apie asmens duomenų saugumo pažeidimą, nepagrįstai nedelsdamas apie tai praneša duomenų valdytojui. Pagal BDAR 33 straipsnio 4 dalį, tuo atveju, jeigu informacijos apie asmens duomenų saugos pažeidimą neįmanoma pateikti tuo pačiu metu, informacija toliau nepagrįstai nedelsiant gali būti teikiama etapais.

Nagrinėjamu atveju nustatyta, kad pareiškėjas Inspekcijai pateiktame Pranešimo 1.1. papunktyje nurodė, jog asmens duomenų saugumo pažeidimo nustatymo data yra 2020 m. balandžio 16 d., laikas 9 val. 14 min. Pranešimo 7 punkte „Pranešimo pateikimo Valstybinei duomenų apsaugos inspekcijai pateikimo vėlavimo priežastys“ duomenų valdytojas nurodė, kad duomenų subjekto šeimos nario pareiškimas Policijos departamente gautas 2020 m. balandžio 16 d. ir pagal kompetenciją pareiškėjui perduotas nagrinėti 2020 m. balandžio 20 d., o duomenų apsaugos pareigūnas apie galimą duomenų saugumo pažeidimą informuotas 2020 m. balandžio 21 d.“. Pranešimo parengimo data ir esantis gavimo spaudas patvirtina, kad Inspekcijai apie asmens duomenų pažeidimą pranešta 2020 m. balandžio 24 d. Taigi, pagal paties duomenų subjekto Inspekcijai pateiktus duomenis ir nurodytą duomenų pažeidimo nustatymo datą (2020 m. balandžio 16 d., laikas 9 val. 14 min.) matyti, kad Pranešimas dėl galimo asmens duomenų pažeidimo Inspekcijai pateiktas praėjus daugiau nei 7 dienoms nuo Pranešime nurodytos pažeidimo „nustatymo“ datos, t. y. nesilaikant BDAR 33 straipsnio 1 dalyje nustatyto 72 valandų Pranešimo pateikimo termino.

Pareiškėjas nesutinka su Inspekcijos padaryta išvada, kad priežastys, dėl kurių Inspekcijai laiku nebuvo pranešta apie galimai įvykusį asmens duomenų saugumo pažeidimą, negali būti laikomos pateisinamomis. Paaiškina, kad gavęs persiųstą Pareiškimą nedelsdamas ir nepažeisdamas Tvarkos aprašo 7 punkte nustatyto termino apie galimą asmens duomenų pažeidimą pranešė asmens duomenų pareigūnui. Pagal Tvarkos aprašo 11 punktą, asmens duomenų pareigūnas atlieka tyrimą, kurio tikslas išsiaiškinti ir nustatyti ar pažeidimas iš tikrųjų buvo padarytas, koks pažeidimo tipas ir kokios jo grėsmės rizikos. Tvarkos aprašo 20 punkte nustatyta, kad nustačius asmens duomenų saugumo pažeidimą ir esant bet kokiai rizikai fizinių asmenų teisėms ir laisvės, nedelsiant, ne vėliau kaip per 72 val. apie pažeidimą pranešama Inspekcijai. Pareiškėjo teigimu, jis vadovavosi vidiniais teisės aktais, kad Inspekcijai būtų pateikta tik tiksli informacija apie incidentus ir tik tinkamai kvalifikuota, o gavęs asmens duomenų pareigūnų tarnybinį pranešimą ir rekomendaciją, nedelsdamas pateikė Pranešimą Inspekcijai, tačiau Inspekcija į tai neatsižvelgė.

BDAR 33 straipsnio 1 dalyje nėra apibrėžta „sužinojimo momento“ sąvoka, todėl aktualios 29 straipsnio duomenų apsaugos grupės pateiktos Gairės dėl asmens duomenų saugumo pažeidimo ir nepagrįsto delsimo nustatymo, konkrečių aplinkybių, kuriomis duomenų valdytojas arba tvarkytojas turi pranešti apie asmens duomenų pažeidimą (BDAR 70 straipsnio 1 dalies g punktas). Gairėse nurodyta, kad duomenų valdytojas turėtų būti laikomas „žinančiu“ apie pažeidimą, kai jis pakankamai patikimai įsitikino, kad įvyko saugumo incidentas, dėl kurio kilo pavojus asmens duomenų saugumui. BDAR reikalaujama, kad duomenų valdytojas įgyvendintų visas technines apsaugos ir organizacines priemones, kad nedelsdamas nustatytų, ar buvo padarytas pažeidimas, ir skubiai informuotų priežiūros instituciją ir duomenų subjektus. Be to, BDAR teigiama, kad turėtų būti nustatytas faktas, kad pranešimas buvo pateiktas nepagrįstai nedelsiant, atsižvelgiant visų pirma į pažeidimo pobūdį ir sunkumą, jo pasekmes ir neigiamą poveikį duomenų subjektui. Taip duomenų valdytojas įpareigojamas laiku „sužinoti“ apie bet kokius pažeidimus, kad galėtų imtis atitinkamų veiksmų. Tikslus momentas, kada duomenų valdytojas gali būti laikomas „žinančiu“ apie tam tikrą pažeidimą, priklausys nuo konkretaus pažeidimo aplinkybių. Kai kuriais atvejais jau iš pradžių bus gana aišku, kad buvo padarytas pažeidimas, tačiau kartais gali praeiti šiek tiek laiko, kol bus galima nustatyti, ar kilo pavojus asmens duomenų saugumui. Gairėse pažymima, kad išankstiniai veiksmai turėtų būti baigti netrukus po to, kai buvo gautas pradinis pavojaus signalas (t. y. kai duomenų valdytojui arba duomenų tvarkytojui kilo įtarimas, kad įvyko saugumo incidentas, kuris gali būti susijęs su asmens duomenimis); ilgiau jie gali trukti tik išskirtiniais atvejais.

Tuo atveju, kai informacijos apie galimą pažeidimą neįmanoma pateikti tuo pačiu metu, informacija nepagrįstai nedelsiant gali būti teikiama etapais (BDAR 33 straipsnio 4 dalis). Valstybinės duomenų apsaugos inspekcijos 2018 m. liepos 2 d. rekomendacijų „Dėl asmens duomenų saugumo pažeidimų nustatymo, tyrimo, pranešimo apie juos ir dokumentavimo tvarkos“ (toliau – Rekomendacijos) 22 punkte taip pat nurodyta, kad jeigu dėl pažeidimo pobūdžio duomenų valdytojui būtina atlikti išsamesnį tyrimą ir nustatyti visus svarbius faktus, susijusius su pažeidimu, ir per 72 val. nuo sužinojimo apie pažeidimą dėl objektyvių aplinkybių to padaryti neįmanoma, pranešimui reikalinga informacija galėtų būti teikiama etapais. Esant galimybei, apie informacijos teikimą etapais, Inspekcija turėtų būti informuota teikiant pirminį pranešimą. Rekomendacijų 23 punkte nurodyta, kad jeigu atlikus tolimesnį tyrimą nustatoma, kad saugumo incidentas buvo sustabdytas ir faktiškai nebuvo jokio pažeidimo, duomenų valdytojas apie tai nedelsiant informuoja Inspekciją ir pažymi žurnale.

Ta aplinkybė, kad duomenų valdytojas, vadovaudamasis vidinio dokumento (Tvarkos aprašo) nuostatomis kreipėsi į asmens duomenų pareigūną ir Pranešimą Inspekcijai pateikė tik gavęs šio asmens tarnybinį pranešimą, nėra pakankama priežastimi vėlavimą laikyti pateisinamu. Be to, pareiškėjo minimame Tvarkos aprašo 7 punkte nustatyta kiekvieno darbuotojo pareiga sužinojus ar įtarus pažeidimą nedelsiant (ne vėliau kaip tą pačią darbo dieną) apie tai pranešti asmens duomenų pareigūnui, o pagal to paties teisės akto 11 punktą, asmens duomenų pareigūnas gavęs pranešimą apie galimą asmens duomenų saugumo pažeidimą per vieną darbo dieną atlieka tyrimą, siekdamas išsiaiškinti ar pažeidimas padarytas, koks jo tipas ir kokios galimos pasekmės. Pareiškėjo teigimu, Pareiškimas Komisariatui pagal kompetenciją persiųstas 2020 m. balandžio 20 d. (pirmadienis), apie galimą pažeidimą asmens duomenų pareigūnas informuotas sekančią dieną – 2020 m. balandžio 21 d. (antradienis), tarybinį pranešimą dėl galimo (įtariamo) pažeidimo, kuriame pateikė tikėtiną išvadą dėl galimo pažeidimo, kylančias grėsmes įvertino tik dalinai bei nustatė, kad pažeidimo patvirtinimui ar paneigimui reikalingas išsamus tyrimas, parengė ir pateikė pareiškėjui 2020 m. balandžio 23 d. (ketvirtadienis), t. y. praleidus Tvarkos aprašo 11 punkte nustatytą 1 darbo dienos terminą. Taigi, šiuo atveju buvo nesilaikyta ir vidiniame teisės akte nustatytų terminų.

Pažymėtina ir tai, kad pareiškimas dėl asmens duomenų paviešimo Policijos departamentui (duomenų tvarkytojui) buvo pateiktas 2021 m. balandžio 16 d. (trečiadienį), tačiau pareiškėjui (duomenų valdytojui) pagal kompetenciją persiųstas tik 2021 m. balandžio 20 d. BDAR 33 straipsnio 2 dalyje nustatyta, kad tuo atveju, jei duomenų valdytojas naudojasi duomenų tvarkytojo paslaugomis, duomenų tvarkytojas, sužinojęs apie asmens duomenų, kuriuos jis tvarko duomenų valdytojo vardu, saugumo pažeidimą, privalo „nepagrįstai nedelsdamas“ apie tai pranešti duomenų valdytojui. Gairėse 29 straipsnio darbo grupė rekomenduoja, kad duomenų tvarkytojas nedelsdamas praneštų duomenų valdytojui apie pažeidimą, o papildomą informaciją apie pažeidimą teiktų etapais, kai turės daugiau išsamių duomenų, tam, jog duomenų valdytojas galėtų įvykdyti reikalavimą per 72 valandas apie pažeidimą pranešti priežiūros institucijai. Gairėse taip pat pažymima, kad duomenų valdytojo ir duomenų tvarkytojo tarpusavio sutartyje turėtų būti nurodyta, kaip, be kitų BDAR nuostatų, turėtų būti vykdomi 33 straipsnio 2 dalies reikalavimai. Šiuo tikslu gali būti nustatyti reikalavimai, kad duomenų tvarkytojas kuo anksčiau praneštų apie pažeidimą, o tai savo ruožtu turėtų padėti duomenų valdytojui įvykdyti prievoles per 72 valandas apie pažeidimą pranešti priežiūros institucijai. Atsižvelgiant į tai, darytina išvada, kad operatyvios komunikacijos ir/ar susitarimo dėl pranešimo apie galimą asmens duomenų saugos pažeidimą tarp duomenų tvarkytojo ir duomenų valdytojo nebuvimas taip pat negali būti laikytina priežastimi, galinčia pateisinti vėlavimą pranešti priežiūros institucijai (Inspekcijai) apie asmens duomenų saugos pažeidimą.