Трябва ли сам да информирам засегнатите лица при нарушение на защитата на данни?

При високо риск за засегнатите лица се прилага задължението

Да, ако нарушение на данни вероятно създава високо риск за правата и свободите на хората, чиито данни са засегнати, се прилага задължението да ги информирате самите засегнати лица. Това е отделно от уведомлението на надзорния орган, което вече трябва да се осъществи при по-нисък праг — просто "риск" — в рамките на 72 часа. При информирането на самия засегнат лицето лата е по-висока: касае се ситуации, при които без намесата могат да възникнат сериозни неблагоприятни последствия, като кражба на самоличност, финансов ущърб или нанесение на репутацията. На засегнатото лице тогава се съобщава в ясен и прост език какво се е случило, какви са очаквани последствията, кой е контактният пункт за допълнителна информация и какви мерки са или ще бъдат взети, за да се ограничи щетата.

Има изключения, при които това индивидуално задължение за информиране отпада. Това е случаят, когато подходящи мерки за сигурност — като криптиране — направят данните непонятни за тези, които нямат право на достъп, когато впоследствие предприетите мерки осигуряват, че високото риск вероятно няма да се появи отново, или когато индивидуалното информиране би изисквало непропорционални усилия. В последния случай публично съобщение или сравнима еквивалентна мярка могат да заменят индивидуалното обращение към всяко засегнато лице.

Основата: член 34 GDPR, до член 33

Това задължение произтича от член 34 на GDPR, който регулира индивидуалното задължение за информиране до член 33, който касае уведомлението на надзорния орган — две отделни задължения, всяко със свой собствен праг. Какво е точно нарушението на данни и как се прави оценката на риска, е обяснено на страницата на Autoriteit Persoonsgegevens за нарушенията на данни. Задължението по член 34 е еднакво в целия ЕС, тъй като GDPR действува преки; единствено маршрутът за уведомяване на надзорния орган е различен за всяка страна — в Нидерландия към Autoriteit Persoonsgegevens, в Германия към надзорния орган на федералната земя, където се находи седалището.