Ni synes ha bedömt att personuppgiftsincidenen sannolikt leder till en hög risk för patienternas rättigheter och friheter, varpå en informationsplikt föreligger för er som personuppgiftsansvariga.
Vad som är av vikt att man har koll här är bland annat:
Tidskrav: Informationen ska lämnas utan onödigt dröjsmål.
Innehåll: Information till de drabbade patienterna ska innehålla:
En tydlig och klar beskrivning av personuppgiftsincidentens art
Kontaktuppgifter till dataskyddsombudet och/eller andra kontaktpunkter där mer information kan erhållas
Beskrivning av de sannolika konsekvenserna av personuppgiftsincidenten inklusive de åtgärder som ni vidtagit eller föreslagit för att åtgärda personuppgiftsincidenten (till exempel åtgärder för att mildra negativa effekter för de registrerade)
Dokumentation:
Enligt artikel 33 ska den personuppgiftansvarige dokumentera alla personuppgiftsincidenter, inbegripet omständigheterna kring personuppgiftsincidenten, dess effekter och de korrigerande åtgärder som vidagits. Dokumentationen ska göras det möjligt för IMY att kontrollera efterlevnaden av skyldigheterna ovan. Att information lämnas, inom vilken tid och vilken information bör därför tydligt framgå.
LAGSTÖD
| Artikel 34.1 dataskyddsförordningen Artikel 34:2 dataskyddsförordningen Artikel 33.3 b, c och d dataskyddsförordningen |