Trebam li sam obavijestiti osobe na koje se podaci odnose kod prekršaja podataka?

Pri visokom riziku za subjekte podataka vrijedi obaveza

Da, ako je propust podataka vjerojatno rezultirao visokim rizikom za prava i slobode osoba čiji su podaci pogođeni, tada vrijedi obaveza obavijestiti te subjekte podataka o tome. To je odvojeno od obavijesti nadzornom tijelu, koja već pri nižoj razini — jednostavno "rizik" — mora biti dana u roku od 72 sata. Pri obavijesti samog subjekta podataka standard je viši: radi se o situacijama u kojima, bez intervencije, mogu nastati ozbiljne negativne posljedice, kao što su prijevara identiteta, financijska šteta ili šteta na ugledu. Subjekt podataka tada u jasnom i jednostavnom jeziku saznaje što se dogodilo, koji se učinci očekuju, koji je kontakt dostupan za više informacija i koje su mjere poduzete ili će biti poduzete kako bi se šteta ograničila.

Postoje iznimke u kojima ova obaveza obavijesti odpadá. To je slučaj kada su odgovarajuće mjere sigurnosti — kao što je enkripcija — učinile podatke nerazumljivim za one koji na njih nemaju pristup, kada su mjere poduzete naknadno dovele do toga da se visoki rizik vjerojatno više ne javlja, ili kada bi obavijest pojedinog subjekta podataka zahtijevala nerazmjernog napora. U ovom slučaju javna obavijest ili usporediva, jednako učinkovita mjera može zamijeniti individualno obavijestom svakog subjekta podataka.

Osnova: članak 34 OPZPO, uz članak 33

Ova obaveza proizlazi iz članka 34 OPZPO, koji regulira obavezu obavijesti subjekta podataka uz članak 33, koji se odnosi na obavijest nadzornom tijelu — dvije odvojene obaveze s vlastitom razinom. Što je propust podataka i kako se vrši procjena rizika detaljno je objašnjeno na stranici Ureda za zaštitu podataka o propustima podataka. Obaveza iz članka 34 sama po sebi je jednaka svugdje u EU jer OPZPO ima neposredan učinak; samo se ruta obavijesti nadzornom tijelu razlikuje po zemlji — u Njemačkoj prema nadzornom tijelu zemlje gdje je sjedište.