Czy powinienem sam powiadomić osoby o naruszeniu bezpieczeństwa danych?

Przy wysokim ryzyku dla osób, których dane dotyczą, obowiązek ma zastosowanie

Tak, jeśli naruszenie ochrony danych osobowych będzie prawdopodobnie stwarzać wysokie ryzyko dla praw i wolności osób, których dane dotyczą, wówczas obowiązek informowania tych osób bezpośrednio ma zastosowanie. Jest to niezależne od powiadomienia organu nadzoru, które musi nastąpić przy niższym progu — zwyczajnym "ryzyku" — w ciągu 72 godzin. Przy bezpośrednim informowaniu samej osoby, której dane dotyczą, wymóg jest wyższy: chodzi o sytuacje, w których bez podjęcia działań mogą pojawiać się poważne niekorzystne skutki, takie jak oszustwa tożsamości, szkody finansowe lub szkody reputacyjne. Osoba, której dane dotyczą, otrzymuje wówczas w jasny i zrozumiały sposób informację o tym, co się stało, jakich skutków można się spodziewać, gdzie zwrócić się w celu uzyskania dodatkowych informacji, oraz jakie środki zostały lub będą podjęte w celu ograniczenia szkód.

Istnieją wyjątki, w których obowiązek informowania poszczególnych osób wypada. Dotyczy to sytuacji, gdy odpowiednie środki bezpieczeństwa — takie jak szyfrowanie — uczyniły dane niezrozumiałymi dla osób, które nie miały do nich dostępu, gdy środki podjęte następnie sprawiają, że wysokie ryzyko prawdopodobnie się nie pojawi, lub gdy informowanie poszczególnych osób wymagałoby nieproporcjonalnego wysiłku. W ostatnim przypadku publiczne zawiadomienie lub podobny, równie skuteczny środek może zastąpić bezpośrednie zawiadomienie każdej osoby, której dane dotyczą.

Podstawa: artykuł 34 RODO, obok artykułu 33

Obowiązek ten wynika z artykułu 34 RODO, który reguluje obowiązek informowania poszczególnych osób obok artykułu 33, który reguluje powiadomienie organu nadzoru — dwa odrębne obowiązki, każdy ze swoim właściwym progiem. Definicja naruszenia ochrony danych osobowych i sposób, w jaki dokonuje się oceny ryzyka, wyjaśnione są na stronie Autorytetu Ochrony Danych Osobowych dotyczącej naruszeń ochrony danych. Obowiązek wynikający z artykułu 34 jest taki sam we wszystkich krajach UE, ponieważ RODO działa bezpośrednio; jedynie trasa powiadomienia organu nadzoru różni się w zależności od kraju — w Holandii do Autorytetu Ochrony Danych Osobowych, w Niemczech do organu nadzoru kraju związkowego, w którym znajduje się siedziba.