De praktijk / bedrijfsonderdeel/ FG stelt vervolgens vast of het datalek een ‘aanmerkelijk risico op verlies of onrechtmatige verwerking waaraan nadelige gevolgen voor de persoonsgegevens en de persoonlijke levenssfeer van de betrokkene(n) zijn verbonden’, tot gevolg heeft. Als daar sprake van is, dienen de betrokkenen geïnformeerd te worden over het datalek.
Als patiëntgegevens zijn gelekt moeten de patiënt(en) onverwijld geïnformeerd worden. Zij moeten zo nodig maatregelen kunnen nemen om zich te beschermen tegen de gevolgen van het datalek.
De praktijk / bedrijfsonderdeel/ FG informeert de patiënt(en) (individueel of in combinatie met algemene voorlichting) over de aard van de inbreuk, de instanties waar de betrokkene meer informatie over de inbreuk kan krijgen, en de maatregelen die de praktijk de betrokkene aanbeveelt om te nemen om de negatieve gevolgen van de inbreuk te beperken, zoals het veranderen van gebruikersnamen en wachtwoorden.
De aard van de inbreuk mag algemeen omschrijven worden: vermeldt de contactgegevens zodat de betrokkene de praktijk kan bereiken als hij of zij vragen heeft over het datalek.
De melding aan betrokkenen / patiënten is niet nodig indien de persoonsgegevens versleuteld of onbegrijpelijk zijn gemaakt waardoor deze niet te lezen zijn door anderen. Dit moet van geval tot geval beoordeeld worden omdat de effectiviteit van de versleuteling mede afhangt van (i) het gebruikte algoritme en (ii) het moment / punt waarop de gegevens zijn versleuteld.
