Skal jeg selv informere de registrerede ved et dataindbreak?

Ved højt risiko for de registrerede gælder pligten

Ja, hvis et databroach sandsynligvis medfører højt risiko for rettighederne og frihederne for de personer, hvis data påvirkes, gælder pligten til at informere disse registrerede selv herom. Det er uafhængigt af indberetningen til tilsynsmyndigheden, som allerede skal ske inden 72 timer ved en lavere tærskel — blot "risiko". Når den registrerede selv informeres, ligger målestokken således højere: det drejer sig om situationer, hvor der uden indgreb kan opstå alvorlige negative konsekvenser, såsom identitetstyveri, økonomisk skade eller omdømmeskade. Den registrerede får da meddelt i klart og enkelt sprog, hvad der er sket, hvad de forventede konsekvenser er, hvad kontaktpunktet er for yderligere information, og hvilke foranstaltninger der er eller bliver truffet for at begrænse skaden.

Der er undtagelser, hvor denne individuelle informationspligt bortfalder. Det er tilfældet, når passende sikkerhedsforanstaltninger — såsom kryptering — gjorde dataene uforståelige for den, som ikke havde ret til adgang, når efterfølgende trufne foranstaltninger medfører, at det høje risiko sandsynligvis ikke længere opstår, eller når individuel information ville kræve uforholdsmæssig indsats. I sidstnævnte tilfælde kan en offentlig meddelelse eller en tilsvarende, lige så effektiv foranstaltning træde i stedet for individuel henvendelse til hver registreret.

Grundlaget: artikel 34 GDPR, ved siden af artikel 33

Denne forpligtelse følger af artikel 34 i GDPR, som regulerer den individuelle informationspligt ved siden af artikel 33, som vedrører indberetningen til tilsynsmyndigheden — to separate forpligtelser med hver sin egen tærskel. Hvad et databroach præcist er, og hvordan risikovurderingen foretages, er forklaret på siden hos Autoriteit Persoonsgegevens om databroach. Forpligtelsen fra artikel 34 er ens overalt i EU, fordi GDPR har direkte virkning; kun indberetningsruten til tilsynsmyndigheden fungerer forskelligt fra land til land — i Danmark til Datatilsynet, i Tyskland til tilsynsmyndigheden i den delstat, hvor virksomheden er beliggende.