Måste jag själv informera de registrerade vid ett dataöverträdelse?

Vid högt risiko för de registrerade gäller skyldigheten

Ja, om ett dataintrång sannolikt medför ett högt risiko för rättigheterna och friheterna för de personer vars uppgifter det gäller, då gäller skyldigheten att informera dessa registrerade själva om det. Det är skilt från anmälan till tillsynsmyndigheten, som redan vid en lägre tröskel — helt enkelt "risk" — måste ske inom 72 timmar. Vid informering av den registrerade själv är ribban alltså högre: det gäller situationer där det, utan åtgärd, kan uppstå allvarliga negativa följder, såsom identitetsbedrägerier, ekonomisk skada eller skada på ryktet. Den registrerade får då på ett tydligt och enkelt sätt erfara vad som har hänt, vilka följder som kan förväntas, vilken kontaktpunkt som finns för mer information, och vilka åtgärder som är eller kommer att vidtas för att begränsa skadan.

Det finns undantag där denna individuella informationsskyldighet upphävs. Det är fallet när lämpliga säkerhetåtgärder — såsom kryptering — gjorde uppgifterna obegripliga för den som inte hade rätt till åtkomst, när efterföljande åtgärder gör att det höga risikot sannolikt inte längre uppstår, eller när individuell information skulle kräva oproportionerlig ansträngning. I det senare fallet kan ett offentligt meddelande eller en jämförbar, lika effektiv åtgärd ersätta den individuella kontakten med varje registrerad.

Grunden: artikel 34 GDPR, vid sidan av artikel 33

Denna skyldighet följer av artikel 34 i GDPR, som reglerar den individuella informationsskyldigheten vid sidan av artikel 33, som gäller anmälan till tillsynsmyndigheten — två separata skyldigheter med var sin tröskel. Vad ett dataintrång är i detalj och hur riskbedömningen görs framgår av Integritetsskyddsmyndighetens sida om dataintrång. Skyldigheten enligt artikel 34 är densamma i hela EU, eftersom GDPR är direkt tillämplig; endast anmälningsvägen till tillsynsmyndigheten varierar per land — i Sverige till Integritetsskyddsmyndigheten, i Tyskland till tillsynsmyndigheten i den delstat där verksamheten är belägen.