- 1 -O responsável pelo tratamento notifica a violação à Autoridade Nacional para a Proteção de Dados sem demora indevida e, se possível, no prazo de 72 horas após ter tido conhecimento da violação, salvo se essa violação não for suscetível de constituir um risco para os direitos e para as liberdades das pessoas singulares. Caso não seja feita no prazo de 72 horas, a notificação à Autoridade Nacional para a Proteção de Dados deve ser acompanhada dos motivos do atraso.
- 2 -O subcontratante deve notificar o responsável pelo tratamento sem demora indevida após tomar conhecimento de uma violação de dados pessoais.
- 3 -A notificação referida no n.1 deve, pelo menos:
- a)Descrever a natureza da violação de dados pessoais, incluindo, se possível, as categorias e o número aproximado de titulares de dados afetados, e as categorias e o número aproximado de registos de dados pessoais em causa;
- b)Comunicar o nome e os contactos do encarregado da proteção de dados;
- c)Descrever as consequências prováveis da violação de dados pessoais;
- d)Descrever as medidas adotadas ou propostas pelo responsável pelo tratamento para reparar a violação de dados pessoais, incluindo, se for caso disso, medidas para atenuar os seus eventuais efeitos negativos.
- 4 -Caso, e na medida em que, não seja possível comunicar todas as informações ao mesmo tempo, as informações podem ser comunicadas por fases, sem demora indevida.
- 5 -O responsável pelo tratamento deve informar o encarregado da proteção de dados acerca da violação de dados pessoais.
- 6 -O responsável pelo tratamento deve documentar todas as violações de dados pessoais, incluindo os factos relacionados com a violação, os seus efeitos e as medidas de reparação adotadas. Essa documentação deve permitir à Autoridade Europeia para a Proteção de Dados verificar o respeito do presente artigo.
Artigo 22.º — Notificação de Violações de Dados Pessoais
Vigente desde: 22/06/2020