Kell magamnak tájékoztatnom az érintetteket egy adatvédelmi incidens esetén?

Magas kockázat esetén az érintetteknek való értesítési kötelezettség

Igen, ha egy adatvédelmi incidens valószínűleg magas kockázatot jelent az érintett személyek jogaira és szabadságaira nézve, akkor kötelezettség az érintetteket közvetlenül erről tájékoztatni. Ez független a felügyeleti hatóság felé történő bejelentéstől, amely már alacsonyabb küszöbön — egyszerűen csak "kockázat" — 72 órán belül meg kell, hogy történjen. Az érintett közvetlen értesítésénél a mérce tehát magasabb: olyan helyzetekről van szó, amelyekben beavatkozás nélkül súlyos hátrányos következmények állhatnak fenn, mint például személyazonosság-csalás, pénzügyi kár vagy reputációs kár. Az érintettet világos és egyszerű nyelven értesíteni kell arról, hogy mi történt, milyen következmények várhatók, mely kapcsolattartási pontot lehet megkeresni további információkért, valamint mely intézkedéseket hoztak vagy hoznak meg a kár mérséklésére.

Vannak kivételek, amelyekben ez az egyéni értesítési kötelezettség nem érvényesül. Ez akkor fordul elő, amikor megfelelő biztonsági intézkedések — például titkosítás — a személyes adatokat értelmezhetetlen formára alakítják azok számára, akiknek nincs joguk hozzáférni, amikor utólag hozott intézkedések biztosítják, hogy a magas kockázat valószínűleg többé nem fordulhat elő, vagy amikor az egyéni értesítés aránytalanul nagy erőfeszítést igényelne. Ez utóbbi esetben nyilvános közlemény vagy hasonlóan hatékony intézkedés helyettesítheti az egyes érintettek egyéni értesítését.

Az alapja: a GDPR 34. cikke, a 33. cikk mellett

Ez a kötelezettség a GDPR 34. cikkéből fakad, amely az egyéni értesítési kötelezettséget szabályozza a 33. cikk mellett — amely a felügyeleti hatóság felé történő bejelentésre vonatkozik — két külön kötelezettség, mindegyiknek a saját küszöbértékével. Az adatvédelmi incidens pontos meghatározása és a kockázatbecslés módja az Adatvédelmi Hatóság adatvédelmi incidensekről szóló oldalán található meg. A GDPR 34. cikkéből fakadó kötelezettség az egész EU-ban azonos, mivel a GDPR közvetlenül alkalmazható; csak a felügyeleti hatósághoz való bejelentési útvonal eltérő országonként — Magyarországon az Adatvédelmi Hatósághoz, Németországban az azokhoz a tartomány felügyeleti hatóságához, ahol az iroda található.