UODO przypomniał 12 sierpnia, że to administrator, a nie dostawca oprogramowania, musi zgłosić wyciek danych -- nawet jeśli awaria wydarzyła się po stronie podmiotu przetwarzającego, jak w przypadku MyDr.

Jeśli firma korzysta z zewnętrznego systemu księgowego, kadrowego czy CRM, który przechowuje dane klientów lub pracowników, obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin spoczywa na firmie jako administratorze -- nie na dostawcy tego oprogramowania. UODO wskazał wprost, że po wycieku u dostawcy administrator musi sam ocenić ryzyko dla osób, których dane przetwarza, niezależnie od tego, co zrobi albo zgłosi dostawca.