Har der i de seneste to år fundet et brud på databeskyttelsen sted, der skulle indberettes?

Ja/nej om et dataleak er sjældent at underbygge på én gang

Dette spørgsmål spørger ikke, om der nogensinde er gået noget galt, men om der har været et dataleak, der skulle være meldt — det er et mellemtrin. Et leak, der blev opdaget internt og håndteret uden meldepligt, er noget andet end et leak, der er meldt til tilsynsmyndigheden og eventuelt til de berørte personer. Svaret "nej" kan derfor kun gives, hvis du er sikker på, at der ikke har været et indberetningspligtigt hændelse, ikke bare fordi du ikke kan huske det. Svaret "ja" kræver, at der kan besvares et opfølgende spørgsmål: hvornår, hvad der blev meldt, og til hvem.

I praksis er dette ét af spørgsmålene, hvor svaret kan ændre sig fra runde til runde, fordi perioden "de seneste to år" forskyder sig. Et leak fra to år og en måned siden falder ikke længere ind under det i år, mens det stadig gjaldt sidste år. Derfor er dette ikke et svar, som du fastsætter én gang og derefter lader stå — dosseret skal kontrollere hver runde, om en periode falder ud eller kommer til. De, der udfylder dette emne oftere, genkender også det tilstødende spørgsmål om en intern whistleblower-kanal: begge spørgsmål tester ikke kun, om noget findes, men også om processen faktisk er blevet brugt.

Hvor dette kommer fra: ingen fast artikel, men et tilbagevendende kontrolpunkt

Dette spørgsmål kommer ikke fra en specifik artikel, der er givet til Supplia; det hører til den bredere kategori spørgsmål om databehandling, ved siden af spørgsmål som, om virksomheden fører et register over behandlingsaktiviteter. Kilden til dette svar ligger således ikke i en ekstern regulering, men i virksomhedens eget hændelelsesregister: dokumentationen af hvad der er sket, hvornår, og om en melding er sendt. Uden det interne bevis er der intet grundlag for at bekræfte "nej", og med et ufuldstændigt udfyldt register er der heller intet grundlag for fuldt ud at underbygge "ja".