Kiedy trzeba powiadomić osoby, których dotyczy naruszenie ochrony danych?

Gdy naruszenie może powodować wysokie ryzyko naruszenia ich praw lub wolności. Art. 34 RODORODO: ogólne rozporządzenie o ochronie danych. Unijne prawo o ochronie danych osobowych (rozporządzenie (UE) 2016/679). wymaga wtedy od administratora zawiadomienia ich bez zbędnej zwłoki, jasnym i prostym językiem, z opisem charakteru naruszenia, prawdopodobnych konsekwencji, podjętych lub proponowanych środków oraz danymi kontaktowymi inspektora ochrony danych. Wysokie ryzyko oznacza zwykle dane, które mogą wyrządzić realną szkodę, jak dokumenty tożsamości, dane bankowe lub o zdrowiu, hasła czy informacje umożliwiające oszustwa. Art. 34 ust. 3 wymienia wyjątki: dane zostały uniemożliwione do odczytu, na przykład silnym szyfrowaniem; późniejsze środki sprawiają, że wysokie ryzyko nie jest już prawdopodobne; albo indywidualne zawiadomienia wymagałyby niewspółmiernego wysiłku, i wtedy stosuje się komunikat publiczny. Organ nadzorczy może też nakazać poinformowanie osób. Trzeba im powiedzieć, co zrobić, na przykład zmienić hasła albo uważać na phishing.

Informacja ogólna, nie porada prawna. Przepisy krajowe mogą uzupełniać cytowane tu akty UE, na przykład o terminy, formularze czy kanały zgłoszeń: sprawdź przepisy swojego kraju.

← Wszystkie pytania (35): Terminy zgłaszania incydentówWszystkie tematy