L'articolo 34 del GDPR è la norma che richiede al titolare del trattamento di comunicare una violazione dei dati personali alle persone interessate quando la violazione è probabile che comporti un rischio elevato per i loro diritti e le loro libertà. Si tratta di una notifica diretta alle persone, non solo di una segnalazione a un'autorità di controllo.
Questo è importante perché una comunicazione rapida e chiara può ridurre i danni derivanti da furto di identità, phishing, compromissione dell'account, frode o esposizione di dati sensibili. In pratica, i team di sicurezza e privacy devono stabilire se la soglia di rischio è stata raggiunta, quali fatti sono confermati e quale messaggio può essere inviato senza fare supposizioni. Una buona risposta agli incidenti include log, timestamp e motivazioni documentate, in modo che l'organizzazione possa dimostrare perché ha notificato oppure no. I difensori usano anche la pianificazione dell'articolo 34 per preparare modelli, canali di supporto, reimpostazioni delle password e consigli che aiutino gli utenti interessati a proteggersi dopo una violazione.