GDPR ger styrenheterna mycket latitud. De måste besluta om rätt handlingssätt med hänsyn till de eventuella riskerna för registrerade. Specifikt är ingen anmälan från myndigheten nödvändig om "personuppgiftsintrånget sannolikt inte leder till en risk för fysiska personers rättigheter och friheter."

I ditt scenario 1 föreslår du att det inte finns någon intrång eftersom det inte finns några bevis för att uppgifterna har åtkomst till felaktigt.

Denna analys är felaktig: den registeransvarige är medveten om att informationen inte var säkrad ordentligt och kan inte utesluta att uppgifterna var felaktigt åtkomliga. Jag skulle hävda att detta passar beskrivningen av ett "säkerhetsbrott som leder till oavsiktlig eller olaglig ... obehörig avslöjande av ... personuppgifter" (jämför definitionen av ett dataintrång i artikel 4.12). Således har en dataintrång inträffat.

Frågan om tillsynsmyndigheten måste underrättas om överträdelsen är mer diskutabel. Den registeransvarige måste bedöma sannolikheten för risker för den registrerade. Här kan de kanske argumentera för att risken för avslöjande är låg. Emellertid skulle arten av de överträdda uppgifterna också vara relevant.

Om du är osäker bör den registeransvarige göra anmälan. Målet med GDPR är inte att straffa olyckliga företag som drabbas av ett brott, utan att skydda personuppgifter. Således är det troligtvis det bästa sättet att fixa misstag och samarbeta med tillsynsmyndigheterna för de flesta företag.

I ditt andra scenario är uppgifterna känsliga - avslöjandet av dem har en hög risk för registrerade. Men risken för att någon kommer att fånga upp dessa uppgifter är diskutabel. Balanserar risken för avlyssning datakänsligheten? Det är personuppgiftsansvarigens samtal, men jag tror inte det. Ett meddelande verkar lämpligt här.

Som en teknisk anmärkning är det bara att erbjuda HTTPS inte räcker för att förhindra MitM-attacker - användarna måste tvingas att använda krypterade anslutningar. Om en registeransvarig ser MitM som en risk, är de skyldiga enligt artikel 24 att vidta lämpliga tekniska åtgärder. Här skulle HSTS- och HSTS-förladdning förhindra att anslutningarna nedgraderas till HTTP. I stället för att erbjuda osäkra anslutningar skulle webbplatsen bli oåtkomlig. En kompletterande strategi är att inte servera innehåll via HTTP, utan att HTTP-servern endast utfärdar en permanent omdirigering till HTTPS-URL.