Kas peaksin andmelekke korral mõjutatud isikuid ise teavitama?

Kõrge riski korral puudutataville isikutele kehtib kohustus

Jah, kui andmelekke tõttu on tõenäoliselt oht puudutatud isikute õiguste ja vabaduste suhtes, siis kehtib kohustus neid isikuid sellest isiklikult teavitada. See on eraldi kontrollijale tehtavast teatamisest, mis tuleb teha juba madalamal lävepaikal — lihtsalt "riski" korral — 72 tunni jooksul. Puudutatud isiku isikliku teatamise puhul on latt kõrgem: see puudutab olukordi, kus võib ilma sekkumiseta tekkida tõsised kahjulikud tagajärjed, nagu isiksustealth, rahalist kahju või kuuldemist kahjustav teave. Puudutatud isikule antakse selges ja lihtsas keeles teada, mis juhtus, millised on oodatavad tagajärjed, millene on edasise teabe saamiseks kontaktkoht ja milliseid meetmeid on võetud või võetakse kahjude piiramiseks.

On olemas erandid, mille korral see individuaalne teavitamiskohustus langeb ära. Nii juhtub siis, kui asjakohased turvameetmed — näiteks krüptimine — muutsid andmed neile, kellel puudub juurdepääsuõigus, arusaamatuteks, kui hiljem võetud meetmed tagavad, et kõrge riski stsenaarium tõenäoliselt enam ei ilmne, või kui individuaalne teatamine nõuaks ebamõistlikult suuri ressursse. Viimasel juhul võib avaliku teadeande või võrdväärsete tulemustega teise meetme kasutada igaühe puudutatud isikuga eraldi suhtlemise asemel.

Alus: artikkel 34 AVG, lisaks artiklile 33

See kohustus tuleneb AVG artiklist 34, mis reguleerib individuaalset teavitamiskohustust koos artikliga 33 — kaks eraldi kohustust igaühel oma lävepaikal. Mida täpselt andmelekke all mõeldakse ja kuidas riskihindamist tehakse, on selgitatud Andmekaitse Ametis leheküljel andmelekete kohta. Artiklis 34 sätestatud kohustus on kogu ELis sama, kuna AVG rakendub otseselt; ainult teade kontrollijale liigub riigiti erinevalt — Hollandis Andmekaitse Ametisse, Saksamaal osariigi nõunikule, kus asutis asub.