Vai man pašam jāinformē cietušie par datu pārkāpumu?

Augstā riska gadījumā attiecībā uz dati subjektiem ir spēkā pienākums

Jā, ja datu nozaudēšana, iespējams, rada augstu risku personu tiesībām un brīvībām, kuru dati ir skārti, tad ir pienākums informēt šos dati subjektus. Tas ir atdalīts no paziņošanas uzraugošajai iestādei, kas jau pie zemākas slieksnes — vienkārši "risks" — jāveic 72 stundu laikā. Informējot pašu dati subjektu, standarts ir augstāks: runa ir par situācijām, kurās bez iejaukšanās var rasties nopietni kaitējumi, piemēram, identitātes zādzība, finansiāls kaitējums vai reputācijas kaitējums. Dati subjektam tad skaidra un vienkārša valodā tiek paziņots, kas notika, kādi paredzamie sekas, kurš ir kontaktpunkts papildu informācijai un kādi pasākumi ir vai tiks veikti, lai mazinātu kaitējumu.

Pastāv izņēmumi, kuros šis individuāls informēšanas pienākums izbirst. Tas notiek tad, ja atbilstošie drošības pasākumi — piemēram, šifrēšana — padarīja datus nesaprotamus personām, kurām nebija tiesības piekļūt, kad retroaktīvie pasākumi nodrošina, ka augstais risks iespējams vairs nenotiks, vai kad individuāla informēšana prasītu nesamērīgu pūliņu. Šajā pēdējā gadījumā vietā individuālam kontaktam ar katru dati subjektu var nākt publisks paziņojums vai līdzīgs, tikpat efektīvs pasākums.

Pamati: 34. panta AVG, blakus 33. pantam

Šis pienākums izriet no AVG 34. panta, kas regulē individuālo informēšanas pienākumu blakus 33. pantam, kas attiecas uz paziņošanu uzraugošajai iestādei — divi atsevišķi pienākumi ar saviem sliekšņiem. Kas ir datu nozaudēšana un kā tiek veikta riska novērtēšana, ir skaidrots Nīderlandes Datu aizsardzības iestādes lapā par datu nozaudēšanu. Pienākums no 34. panta ir vienāds visā ES, jo AVG darbojas tieši; tikai paziņošanas ceļš uzraugošajai iestādei atšķiras pēc valsts — Nīderlandē uz Nīderlandes Datu aizsardzības iestādi, Vācijā uz tās zemes, kurā atrodas uzņēmums, uzraudzības iestādi.