Musím informovať dotknuté osoby o úniku údajov?

Pri vysokom riziku pre dotknuté osoby platí povinnosť

Áno, ak únik údajov pravdepodobne vytvorí vysoké riziko pre práva a slobody ľudí, ktorých sa údaje týkajú, platí povinnosť informovať tieto osoby priamo. To je oddelené od hlásenia dozornému orgánu, ktoré sa musí uskutočniť v lehote 72 hodín už pri nižšej úrovni — pri jednoducho "riziku". Pri informovaní samotnej dotknutej osoby je teda kritérium vyššie: ide o situácie, v ktorých by bez zásahu mohli nastať vážne negatívne následky, ako sú krádeže identity, finančné škody alebo poškodenie reputácie. Dotknutá osoba potom dostane v jasnom a jednoduchom jazyku informáciu o tom, čo sa stalo, aké sú očakávané následky, ktorý kontakt je dostupný pre ďalšie informácie a aké opatrenia boli alebo budú prijaté na zmiernenie škody.

Existujú výnimky, v ktorých táto individuálna informačná povinnosť odpadá. To je prípad, keď vhodné bezpečnostné opatrenia — ako šifrovanie — sprístupnili údaje nečitateľnými pre tých, ktorí na to nemali právo, keď dodatočne prijaté opatrenia zaisťujú, že vysoké riziko pravdepodobne už nenastane, alebo keď individuálne informovanie by si vyžiadalo nepomernú námahu. V tomto poslednom prípade môže verejné oznámenie alebo porovnateľné rovnako účinné opatrenie nahradiť individuálne oslovenie každej dotknutej osoby.

Základ: články 34 GDPR popri články 33

Táto povinnosť vyplýva z články 34 GDPR, ktorá reguluje individuálnu informačnú povinnosť popri články 33, ktorá sa týka hlásenia dozornému orgánu — dve samostatné povinnosti s každou svojou úrovňou. Čo presne je únik údajov a ako sa vykonáva hodnotenie rizika, je vysvetlené na stránke Úradu na ochranu osobných údajov o únikoch údajov. Povinnosť podľa články 34 je rovnaká v celej EÚ, pretože GDPR pôsobí priamo; iba hlásenie dozornému orgánu sa v jednotlivých krajinách líši — v Holandsku na Úrad na ochranu osobných údajov, v Nemecku na dozorný orgán krajiny, kde sídli.