Ali moram osebe obvestiti sam pri kršitvi varnosti podatkov?

Ob visokem tveganju za posameznika velja obveznost

Ja, če je puščanje podatkov verjetno vir visokega tveganja za pravice in svoboščine oseb, katerih podatki so prizadeti, velja obveznost, da te osebe sami obvestite. To je ločeno od obvestila nadzornemu organu, ki se mora zgoditi že pri nižjem pragu — preprosto »tveganje« — v 72 urah. Pri obveščanju samega posameznika je merilnik torej višji: gre za situacije, v katerih brez posega lahko pride do hudih negativnih posledic, kot so kraja identitete, finančna škoda ali škoda na ugledu. Posameznik je nato v jasnem in preprostem jeziku obveščen o tem, kaj se je zgodilo, kakšne so pričakovane posledice, kaj je prvo stičišče za več informacij in kaj so ali bodo ukrepi za ublažitev škode.

Obstajajo izjeme, pri katerih ta individualna informacijska obveznost odpade. To je primer, ko ustrezni varnostni ukrepi — kot je šifriranje — naredijo podatke nerazumljive za tiste, ki niso imeli pravice dostopa, ko naknadno sprejeti ukrepi zagotovijo, da se visoko tveganje verjetno ne pojavi več, ali kadar individualno obveščanje zahteva nesorazmerno velike napore. V tem primeru je javno obvestilo ali primerljiv enako učinkovit ukrep mogoč namesto individualne obravnave vsakega posameznika.

Podlaga: člen 34 GDPR, ob členu 33

Ta obveznost izhaja iz člena 34 GDPR, ki ureja individualno informacijsko obveznost ob členu 33, ki se nanaša na obvestilo nadzornemu organu — dve ločeni obveznosti, vsaka s svojimi mejami. Kaj je puščanje podatkov in kako se oceni tveganje, je razloženo na strani Autoriteit Persoonsgegevens o puščanju podatkov. Obveznost iz člena 34 je v celotni EU enaka, ker GDPR neposredno deluje; le pot obvestila nadzornemu organu se razlikuje po državi — v Nizozemski k Autoriteit Persoonsgegevens, v Nemčiji k nadzornemu organu dežele, kjer je sedež.