О чём эта статья

Статья 34 — сообщение субъекту о нарушении безопасности. Когда контролёр обязан уведомить именно субъекта, а не только DPA.

34(1) Условие уведомления

Если нарушение безопасности вероятно повлечёт высокий риск для прав и свобод физических лиц, контролёр обязан сообщить о нарушении субъекту данных без неоправданной задержки.

34(2) Содержание сообщения

Сообщение должно описывать ясным и простым языком:

  • характер нарушения;
  • имя и контакты DPO или другой контактной точки;
  • вероятные последствия;
  • меры, принятые или предложенные.

34(3) Исключения

Сообщение не требуется, если:

(a)контролёр реализовал надлежащие технические и организационные меры защиты (например, шифрование), делающие данные непонятными для лица без авторизации;

(b)контролёр предпринял последующие меры, обеспечивающие, что высокий риск больше не возникнет;

(c)это потребует непропорциональных усилий — в этом случае допускается публичное сообщение или аналогичная мера.

34(4) Приказ DPA

Если контролёр ещё не сообщил субъекту, DPA может потребовать сделать это или установить факт применения исключений 34(3).

Почему это важно

Когда у компании утечка миллионов записей — она обязана уведомить каждого затронутого. На практике многие пытаются отделаться публичным заявлением «у нас была утечка», что недостаточно по Art. 34(1).

Шифрование (34(3)(a)) — реально работающее исключение: если данные были зашифрованы и ключ не утёк, индивидуальное уведомление не нужно. Это создаёт экономический стимул шифровать всё подряд.