Obavještavanje ispitanika

Obavještavanje ispitanika prema članu 34 GDPR-a je direktno informisanje o povredi ličnih podataka. Voditelj obrade mora bez nepotrebnog odlaganja obavijestiti pogođene osobe kada povreda vjerovatno predstavlja visok rizik za prava i slobode fizičkih lica. Ovaj prag je viši od praga za prijavu nadzornom organu prema članu 33 GDPR-a. Oblast povrede podataka i obaveze prijave objašnjava odnos između ove dvije obaveze.

Obavještavanje nije potrebno ako su odgovarajuće mjere, na primjer djelotvorna enkripcija, učinile podatke nerazumljivim neovlaštenim osobama, ako naknadne mjere znače da visok rizik više vjerovatno neće nastupiti ili ako bi pojedinačno obavještavanje zahtijevalo nesrazmjeran napor. U posljednjem slučaju javna objava ili slična mjera mora obavijestiti pogođene osobe jednako djelotvorno. Rok od 72 sata prema članu 33 GDPR-a odnosi se na prijavu nadzornom organu i ne primjenjuje se automatski na obavještavanje ispitanika.

Obavijest mora opisati prirodu povrede jasnim i jednostavnim jezikom. Mora sadržati najmanje kontaktnu osobu ili kontaktno mjesto, vjerovatne posljedice i mjere koje su preduzete ili predložene radi rješavanja povrede i, prema potrebi, ublažavanja njenih štetnih posljedica. Zavisno od incidenta može biti potrebno konkretno uputstvo, na primjer promjena lozinke. Oblast prava ispitanika i pristup pruža dodatni kontekst za pogođene osobe.