Devo informar os titulares de dados pessoais sobre uma violação de dados?

Em caso de risco elevado para os titulares de dados, a obrigação aplica-se

Sim, se uma violação de dados provavelmente criar um risco elevado para os direitos e liberdades das pessoas cujos dados são afetados, então existe a obrigação de informar esses titulares de dados diretamente. Isto é separado da notificação à autoridade supervisora, que já deve ocorrer dentro de 72 horas com um limiar mais baixo — simplesmente "risco". Ao informar o próprio titular de dados, o limite é, portanto, mais elevado: trata-se de situações em que, sem intervenção, podem ocorrer consequências adversas graves, como fraude de identidade, danos financeiros ou danos à reputação. O titular de dados é então informado em linguagem clara e simples sobre o que aconteceu, quais são as consequências esperadas, qual é o ponto de contacto para mais informações e que medidas foram ou estão a ser tomadas para mitigar o dano.

Existem exceções em que esta obrigação de informação individual se extingue. Este é o caso quando medidas de segurança adequadas — como a criptografia — tornaram os dados ininteligíveis para quem não tinha direito ao acesso, quando medidas tomadas posteriormente garantem que o risco elevado provavelmente não ocorrerá, ou quando informar individualmente exigiria um esforço desproporcionado. Neste último caso, um comunicado público ou uma medida equivalentemente eficaz pode substituir o contacto individual com cada titular de dados.

A base: artigo 34.º RGPD, juntamente com o artigo 33.º

Esta obrigação decorre do artigo 34.º do RGPD, que regula a obrigação de informação individual juntamente com o artigo 33.º, que se refere à notificação à autoridade supervisora — duas obrigações separadas, cada uma com o seu próprio limiar. O que exatamente constitui uma violação de dados e como a avaliação de risco é realizada está explicado na página da Autoridade de Proteção de Dados sobre violações de dados. A obrigação do artigo 34.º é igual em toda a UE, porque o RGPD tem efeito direto; apenas a rota de notificação para a autoridade supervisora varia por país — nos Países Baixos para a Autoridade de Proteção de Dados, na Alemanha para a autoridade supervisora do estado federado onde a organização está estabelecida.