Musím sám informovat dotčené osoby o porušení ochrany údajů?

Při vysokém riziku pro subjekty údajů platí povinnost

Ano, pokud únik dat pravděpodobně představuje vysoké riziko pro práva a svobody osob, kterých se údaje týkají, platí povinnost tyto subjekty údajů o tom informovat samotné. To je odděleno od nahlášení dozorčímu úřadu, které musí proběhnout do 72 hodin už při nižší hladině — prostě "riziko". Při informování samotného subjektu údajů je měřítko vyšší: jde o situace, kdy by bez zásahu mohlo dojít k závažným negativním důsledkům, jako je krádež identity, finanční škoda nebo poškození reputace. Subjekt údajů je pak v jasném a jednoduchém jazyce informován o tom, co se stalo, jaké jsou očekávané následky, který kontakt je k dispozici pro další informace a jaká opatření byla nebo budou přijata ke zmírnění škody.

Existují výjimky, kdy tato individuální povinnost informovat odpadá. Tomu je tak, když byla přijata vhodná bezpečnostní opatření — například šifrování — která údaje učinila nepochopitelným pro ty, kdo na ně nemají právo přístupu, když opatření přijatá následně zajistí, že vysoké riziko se pravděpodobně již nevyskytne, nebo když by individuální informování vyžadovalo nepřiměřené úsilí. V takovém případě lze veřejné oznámení nebo podobné stejně účinné opatření nahradit individuálním oslovením každého subjektu údajů.

Základ: čl. 34 GDPR vedle čl. 33

Tato povinnost vyplývá z čl. 34 GDPR, který upravuje individuální povinnost informovat vedle čl. 33, který se týká hlášení dozorčímu úřadu — dvě oddělené povinnosti, každá s vlastní hladinou. Co přesně znamená únik dat a jak se provádí posouzení rizika, je vysvětleno na stránce Úřadu pro ochranu osobních údajů o úniku dat. Povinnost z čl. 34 je v celé EU stejná, protože GDPR působí přímo; pouze cesta hlášení dozorčímu úřadu se v jednotlivých zemích liší — v Nizozemsku na Úřad pro ochranu osobních údajů, v Německu na dozorčího úřada spolkové země, kde se sídlo nachází.