Πρέπει να ενημερώσω τα εν λόγω πρόσωπα για μια παραβίαση δεδομένων;

Σε περίπτωση υψηλού κινδύνου για τους αποκλειόμενους ισχύει η υποχρέωση

Ναι, εάν ένα περιστατικό παραβίασης δεδομένων δημιουργεί πιθανώς υψηλό κίνδυνο για τα δικαιώματα και τις ελευθερίες των ατόμων των οποίων τα δεδομένα αφορώνται, τότε ισχύει η υποχρέωση να ενημερώσετε τα ίδια τα άτομα γι' αυτό. Αυτό είναι ξεχωριστό από την ειδοποίηση στην αρχή εποπτείας, η οποία πρέπει να γίνει εντός 72 ωρών σε χαμηλότερο κατώτατο όριο — απλώς «κίνδυνος». Κατά την ενημέρωση του ιδίου του υποκειμένου, το όριο είναι υψηλότερο: αφορά περιπτώσεις στις οποίες, χωρίς επέμβαση, μπορούν να προκύψουν σοβαρές αρνητικές συνέπειες, όπως απάτη ταυτότητας, οικονομική ζημία ή βλάβη φήμης. Το άτομο λαμβάνει τότε σαφή και απλή γλώσσα για το τι συνέβη, ποιες είναι οι αναμενόμενες συνέπειες, ποιο είναι το σημείο επικοινωνίας για περισσότερες πληροφορίες και ποια μέτρα έχουν λαμβεί ή λαμβάνονται για τον περιορισμό της ζημίας.

Υπάρχουν εξαιρέσεις στις οποίες αυτή η ατομική υποχρέωση ενημέρωσης παύει να ισχύει. Αυτό ισχύει όταν τα κατάλληλα μέτρα ασφαλείας — όπως η κρυπτογράφηση — κατέστησαν τα δεδομένα ακατανόητα σε όποιον δεν είχε δικαίωμα πρόσβασης, όταν τα μέτρα που λήφθησαν εκ των υστέρων διασφαλίζουν ότι ο υψηλός κίνδυνος δεν θα προκύψει πιθανώς, ή όταν η ατομική ενημέρωση θα απαιτούσε δυσανάλογη προσπάθεια. Σε αυτήν την τελευταία περίπτωση, μια δημόσια ανακοίνωση ή ένα συγκρίσιμο εξίσου αποτελεσματικό μέτρο μπορεί να λάβει τη θέση της ατομικής προσέγγισης κάθε υποκειμένου.

Ο στόχος: άρθρο 34 GDPR, δίπλα στο άρθρο 33

Αυτή η υποχρέωση απορρέει από το άρθρο 34 του GDPR, το οποίο ρυθμίζει την ατομική υποχρέωση ενημέρωσης δίπλα στο άρθρο 33, το οποίο αφορά την ειδοποίηση στην αρχή εποπτείας — δύο χωριστές υποχρεώσεις με το δικό τους κατώτατο όριο. Τι είναι ακριβώς ένα περιστατικό παραβίασης δεδομένων και πώς γίνεται η αξιολόγηση κινδύνου, εξηγείται στη σελίδα της Αρχής Προστασίας Δεδομένων σχετικά με τα περιστατικά παραβίασης δεδομένων. Η υποχρέωση του άρθρου 34 είναι ίδια σε όλη την ΕΕ, επειδή το GDPR ισχύει άμεσα· μόνο η διαδρομή ειδοποίησης προς την αρχή εποπτείας διαφέρει ανά χώρα — στην Ολλανδία προς την Αρχή Προστασίας Δεδομένων, στη Γερμανία προς την αρχή εποπτείας του κράτους-μέλους όπου βρίσκεται η έδρα.