Trebuie să informez pe persoană directă despre o încălcare de date?

La un risc ridicat pentru persoanele vizate se aplică obligația

Da, dacă o încălcare a securității datelor va genera probabil un risc ridicat pentru drepturile și libertățile persoanelor ale căror date sunt afectate, atunci se aplică obligația de a informa acele persoane vizate direct. Aceasta este separată de notificarea autorității de supraveghere, care trebuie să se facă în termen de 72 de ore chiar și la o limită mai scăzută — pur și simplu "risc". Prin urmare, când informați persoana vizată, pragul este mai ridicat: vorba este de situații în care, fără intervenție, pot apărea consecințe negative grave, cum ar fi frauda de identitate, prejudicii financiare sau daune reputaționale. Persoana vizată primește atunci în limbaj clar și simplu comunicarea cu privire la ceea ce s-a întâmplat, care sunt consecințele așteptate, care este punctul de contact pentru informații suplimentare și ce măsuri sunt sau vor fi luate pentru a limita prejudiciul.

Există excepții în care această obligație individuală de informare cade. Aceasta este cazul atunci când măsuri de securitate adecvate — cum ar fi criptarea — au făcut datele neinteligibile pentru cei care nu aveau drept de acces, atunci când măsurile luate ulterior fac ca riscul ridicat să nu se mai producă probabil, sau atunci când informarea individuală ar necesita efort disproporționat. În acest din urmă caz, o comunicare publică sau o măsură comparabilă, la fel de eficace, poate înlocui contactarea individuală a fiecărei persoane vizate.

Fundația: articolul 34 GDPR, alături de articolul 33

Această obligație rezultă din articolul 34 al GDPR, care reglementează obligația individuală de informare alături de articolul 33, care privește notificarea autorității de supraveghere — două obligații separate, fiecare cu propriul prag. Ceea ce constituie exact o încălcare a securității datelor și cum se efectuează evaluarea riscului este explicat în detaliu pe pagina Autorității Nationale de Supraveghere privind Protecția Datelor cu Caracter Personal privind încălcările securității datelor. Obligația din articolul 34 în sine este identică în toată UE, deoarece GDPR se aplică direct; doar ruta de notificare către autoritatea de supraveghere variază de la țară la țară — în Olanda către Autoritatea Nationale de Supraveghere privind Protecția Datelor cu Caracter Personal, în Germania către autoritatea de supraveghere a statului membru unde se află sediul.