Naruszenie danych osobowych przez członka komisji wyborczej jest naruszeniem administratora, którym jest ta komisja

Można powiedzieć, że komisja wyborcza przede wszystkim występuje w roli administratora danych osobowych.

Dane te są jej bowiem udostępnione a nie powierzone do przetwarzania. Wynika to z faktu, że komisja realizuje własne cele przetwarzania tych danych, tj. wykonuje swoje ustawowe obowiązki w zakresie organizacji i przeprowadzenia wyborów. To komisja wyborcza jest jedynym podmiotem, który decyduje o sposobach i celach przetwarzania danych osobowych zawartych w spisie wyborców.

RODO ustanawia na administratorach danych osobowych obowiązek reagowania na incydenty związane z ochroną danych osobowych. Obowiązek „samodenuncjacji” ustanawia art. 33 RODO, zgodnie z którym w przypadku naruszenia ochrony danych osobowych, administrator bez zbędnej zwłoki - w miarę możliwości, nie później niż w terminie 72 godzin po stwierdzeniu naruszenia - zgłasza je do Prezesa Urzędu Ochrony Danych Osobowych, chyba że jest mało prawdopodobne, by naruszenie to skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych. Do zgłoszenia przekazanego organowi nadzorczemu po upływie 72 godzin dołącza się wyjaśnienie przyczyn opóźnienia.

Administrator powinien ponadto zawiadomić osobę, której dane dotyczą, o naruszeniu ochrony danych osobowych jeżeli może to powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych. Zawiadomienie powinno być dokonane bez zbędnej zwłoki. Zawiadomienie powinno jasnym i prostym językiem opisywać charakter naruszenia ochrony danych osobowych oraz zawierać przynajmniej:

Zawiadomienia nie trzeba dokonywać gdy:

Jeżeli administrator nie dokonał zawiadomienia podmiotu danych to może tego od niego zarządzać organ nadzorczy znający sprawę wskutek zgłoszenia.