vabadustele. Isikuandmete rikkumisest teatamine mõjutatud isikutele peab toimuma vastava lahenduskava kohaselt.

Töötlemistoimingute liigid, mis kujutavad oma laadi, ulatuse, konteksti ja eesmärkide poolest tõenäoliselt suurt ohtu füüsiliste isikute õigustele ja vabadustele on näiteks:

- • tehnoloogia kasutamine. See ei pea ilmtingimata olema ajalises plaanis uus, vaid võib • tehnoloogia kasutamine. See ei pea ilmtingimata olema ajalises plaanis uus, vaid võib olla näiteks tark- või riistvara, mis on turul juba mõnda aega olnud kättesaadav, kuid mida andmetöötleja ei ole seni kasutanud, kuid plaanib kasutusele võtta;
- • on uut tüüpi ja vastutav töötleja ei ole nende osas varem • on uut tüüpi ja vastutav töötleja ei ole nende osas varem andmekaitsealast mõjuhinnangut teostanud. Näiteks uute toodete või teenuste arendamine ning pakkumine;
- • isikuandmete töötlemise toimingud, mille eesmärk on töödelda suurt hulka • isikuandmete töötlemise toimingud, mille eesmärk on töödelda suurt hulka isikuandmeid piirkondlikul, riiklikul või rahvusvahelisel tasandil ja mis võivad mõjutada paljusid andmesubjekte;
- • alade ulatuslik jälgimine, eriti kui kasutatakse elektroonilisi optikaseadmeid (nt • alade ulatuslik jälgimine, eriti kui kasutatakse elektroonilisi optikaseadmeid (nt videokaamerad korrakaitse või valve eesmärgil).

Andmesubjekti teavitamise eesmärk on lisaks ettevõttele võimaldada ka andmesubjektil endal võtta vajalikke ettevaatusabinõusid ohu leevendamiseks. Teates tuleks kirjeldada isikuandmetega seotud rikkumise olemust, samuti tuleks anda asjaomasele füüsilisele isikule soovitusi võimaliku kahjuliku mõju leevendamiseks.

Rikkumisest mõjutatud isikutele saadetav teavitus peab sisaldama vähemalt järgmist:

- • seotud rikkumise iseloom ja ulatus; • seotud rikkumise iseloom ja ulatus;
- • mis on isikuandmetega seotud rikkumise negatiivsete tagajärgede piiramiseks • mis on isikuandmetega seotud rikkumise negatiivsete tagajärgede piiramiseks tarvitusele võetud;
- • isikuandmetega seotud rikkumise tegelike kui ka eeldatavate tagajärgede kirjeldus; ja • isikuandmetega seotud rikkumise tegelike kui ka eeldatavate tagajärgede kirjeldus; ja
- • mida ettevõte on tarvitusele võtnud või kavatseb isikuandmetega seotud • mida ettevõte on tarvitusele võtnud või kavatseb isikuandmetega seotud rikkumise tagajärgede leevendamiseks rakendada.

Inimeste teavitamine pole vajalik, kui:

- • on rakendanud sobivaid tehnilisi ja organisatsioonilisi meetmeid, mis muudavad • on rakendanud sobivaid tehnilisi ja organisatsioonilisi meetmeid, mis muudavad isikuandmed loetamatuks kõigile, kellel puudub õigus neile juurde pääseda, näiteks krüpteerimise kaudu;
- • on võtnud tarvitusele edasisi meetmeid, mis tagavad selle, et suur oht inimestele • on võtnud tarvitusele edasisi meetmeid, mis tagavad selle, et suur oht inimestele tõenäoliselt ei realiseeru; või
- • nõuaks ebaproportsionaalseid jõupingutusi. Sellisel juhul tehakse avalik teadaanne • nõuaks ebaproportsionaalseid jõupingutusi. Sellisel juhul tehakse avalik teadaanne või võetakse tarvitusele muud sarnased meetmed, et rikkumisest puudutatud isikuid võrdselt teavitada.

Juhul kui ettevõte ei pea vajalikuks andmesubjekte informeerida, annab GDPRi artikkel 34(4) AKI´le siiski õiguse ettevõttelt vastavat teavitamist nõuda.

## 8. RIKKUMISTE REGISTER

Ettevõte peab pidama isikuandmetega seotud rikkumiste registrit, milles dokumenteeritakse kõik isikuandmetega seotud rikkumised („register”).

Registri eesmärk on: i) õppida isikuandmete rikkumisest ja sellest, kuidas sellega toime tuldi; ii) suuta anda täpseid vastuseid rikkumisest mõjutatud isikutelt ja/või AKI´lt saadud küsimustele ning iii) luua võimalus, et vajadusel AKI´le tõendada isikuandmetega seotud rikkumise menetlemiseks GDPR´is ettenähtud nõuete täitmist.