Ar turiu pats informuoti suinteresuotas šalis apie duomenų saugos pažeidimą?

Esant didelei rizikai suinteresuotiesiems asmenims, taikoma pareiga

Taip, jei duomenų saugumo pažeidimas tikėtinai sukelia didelę riziką asmenų, kurių duomenys buvo paveikti, teisėms ir laisvėms, tada kyla pareiga informuoti tuos asmenis apie tai. Tai yra atskira nuo pranešimo priežiūros institucijai, kuris turi būti pateiktas per 72 valandas jau esant žemesniam slenkstžiui — paprasčiausiai „rizikai‟. Informuojant patį asmenį, standartai yra aukštesni: tai situacijos, kuriose be intervencijos gali kilti rimti neigiami padariniai, tokie kaip tapatybės vagystė, finansinė žala ar reputacijos žala. Asmuo tada suprantama ir paprasta kalba sužino, kas atsitiko, kokios yra tikėtinos pasekmes, koks kontaktinis punktas pasikonsultavimui dėl daugiau informacijos ir kokios priemonės buvo arba bus imamos žalai sumažinti.

Yra išimčių, kuriose šis atskiras informavimo įpareigojimas neplatomas. Taip yra, kai tinkamos saugos priemonės — pavyzdžiui, šifravimas — padarė duomenis nesuprantamus tiems, kurie neturėjo prieigos teisės, kai vėliau imtos priemonės daro tikėtiną, kad didelis rizika greičiausiai nebus aktuali, arba kai atskiras informavimas reikalautų neproporcingai didelių pastangų. Pastaruoju atveju viešasis pranešimas ar panašus, tokia pat veiksmingas būdas gali pakeisti atskirą kiekvieno duomenų subjekto kontaktavimą.

Pagrindas: GDPR 34 straipsnis, be 33 straipsnio

Ši pareiga kyla iš GDPR 34 straipsnio, kuris reglamentuoja individualų informavimo pareigą be 33 straipsnio, kuris susijęs su pranešimu priežiūros institucijai — dvi atskiros pareigos, turinčios kiekvienai savo ribą. Kas yra duomenų saugos pažeidimas ir kaip atliekamas rizikos vertinimas, paaiškinta Duomenų apsaugos valdžios puslapyje apie duomenų saugos pažeidimus. Pati 34 straipsnio pareiga yra vienoda visoje ES, nes GDPR tiesiogiai taikoma; tik pranešimo kelias priežiūros institucijai skiriasi pagal šalį — Nyderlanduose pranešama Duomenų apsaugos valdžiai, Vokietijoje — valstybės, kurioje yra įmonė, priežiūros institucijai.