Seega peab ettevõte hindama, millal on tegu ohuga füüsiliste isikute õigustele ja vabadustele. GDPRi põhjenduspunktid 75, 76 ja 85 selgitavad, et erineva tõenäosuse ja tõsidusega ohud füüsiliste isikute õigustele ja vabadustele võivad tuleneda isikuandmete töötlemisest, mille tulemusel võib tekkida füüsiline, materiaalne või mittemateriaalne kahju, eelkõige juhtudel, kui:

- • võib põhjustada diskrimineerimist, identiteedivargust või -pettust, rahalist • võib põhjustada diskrimineerimist, identiteedivargust või -pettust, rahalist kahju, maine kahjustamist, pseudonümiseerimise loata tühistamist või mõnda muud tõsist majanduslikku või sotsiaalset kahju;
- • võivad jääda ilma oma õigustest ja vabadustest või kontrollist oma • võivad jääda ilma oma õigustest ja vabadustest või kontrollist oma isikuandmete üle;
- • isikuandmete eriliike (delikaatseid isikuandmeid); • isikuandmete eriliike (delikaatseid isikuandmeid);
- • profileerimisega; • profileerimisega;
- • kaitsetute füüsiliste isikute, eriti laste isikuandmeid; • kaitsetute füüsiliste isikute, eriti laste isikuandmeid;
- • hõlmab suurt hulka isikuandmeid ning mõjutab paljusid andmesubjekte. • hõlmab suurt hulka isikuandmeid ning mõjutab paljusid andmesubjekte.

Andmesubjekti õigustele ja vabadustele tekkiva ohu tõenäosus ja tõsidus tuleks teha kindlaks lähtudes andmetöötluse laadist, ulatusest, kontekstist ja eesmärkidest. Ohtu tuleks hinnata objektiivse hindamise põhjal, millega tehakse kindlaks, kas andmetöötlustoimingutega kaasneb oht või suur oht.

Teade AKI´le tuleb edastada tarbetu viivituseta ja võimaluse korral hiljemalt 72 tundi pärast isikuandmetega seotud rikkumisest teadasaamist. Kui teadet ei edastata 72 tunni jooksul, tuleb esitada AKI´le selgitustega põhjendus viivituse kohta.

## 5.4 Lahendamine

Pärast AKI teavitamist ja AKI poolt tehtud tähelepanekute kaalumist peab ettevõtte tegevjuht andmekaitsespetsialistiga isikuandmetega seotud rikkumise käsitlemise ja lahendamise teemal nõu, lähtudes asjakohasest isikuandmetega seotud rikkumise lahenduskavast.

## 6. MILLEST ON VAJA AKI´t TEAVITADA?

Aruandes AKI´le tuleb teavitada järgmisest:

- • seotud rikkumise iseloom, muu hulgas puudutatud isikuandmete • seotud rikkumise iseloom, muu hulgas puudutatud isikuandmete kategooriad ja inimeste kategooriad (nt töötajad või kliendid), mõjutatud inimeste arv ja ohustatud isikuandmete hulk;
- • seotud rikkumise eeldatavad tagajärjed; • seotud rikkumise eeldatavad tagajärjed;
- • mis on võetud või mida plaanitakse võtta tarvitusele isikuandmetega seotud • mis on võetud või mida plaanitakse võtta tarvitusele isikuandmetega seotud rikkumise kõrvaldamiseks;
- • mida rikkumisest mõjutatud inimesed saavad tarvitusele võtta, et piirata • mida rikkumisest mõjutatud inimesed saavad tarvitusele võtta, et piirata isikuandmetega seotud rikkumisest tulenevaid kahjulikke tagajärgi; ja
- • kontaktisiku nimi ja kontaktandmed lisateabe saamiseks isikuandmetega seotud • kontaktisiku nimi ja kontaktandmed lisateabe saamiseks isikuandmetega seotud rikkumise kohta.

NB! Rikkumisteadete edastamise hõlbustamiseks on AKI´l kavas oma võrgulehele luua vastav veebiteenus.

## 7. ISIKUANDMETEGS SEOTUD RIKKUMISEST TEATAMINE MÕJUTATUD INIMESTELE

Isikuandmetega seotud rikkumisest mõjutatud inimest tuleb teavitada ainult juhul, kui isikuandmete rikkumisega kaasneb tõenäoliselt suur oht selle inimese õigustele ja