- 1 -Caso uma violação de dados pessoais seja suscetível de constituir um elevado risco para os direitos e para as liberdades das pessoas singulares, o responsável pelo tratamento deve comunicá-la ao titular dos dados sem demora indevida.
- 2 -A comunicação ao titular dos dados a que se refere o n.1 do presente artigo deve descrever em linguagem clara e simples a natureza da violação de dados pessoais e incluir, pelo menos, as informações e as medidas referidas no artigo 20.º, n.º 3, alíneas b), c) e d).
- 3 -A comunicação ao titular dos dados a que se refere o n.1 não é obrigatória caso esteja satisfeita uma das seguintes condições:
- a)O responsável pelo tratamento aplicou medidas técnicas e organizativas de proteção adequadas aos dados pessoais afetados pela violação, nomeadamente medidas como, por exemplo, a cifragem, que tornam os dados pessoais incompreensíveis para as pessoas não autorizadas a aceder a esses dados;
- b)O responsável pelo tratamento tomou medidas subsequentes que asseguram que o elevado risco para os direitos e para as liberdades dos titulares dos dados a que se refere o n.1 já não é suscetível de se concretizar;
- c)A comunicação implicaria um esforço desproporcionado. Nesse caso, é feita uma comunicação pública, ou tomada uma medida semelhante, através da qual os titulares dos dados são informados de forma igualmente eficaz.
- 4 -Se o responsável pelo tratamento ainda não tiver comunicado a violação de dados pessoais ao titular dos dados, a Autoridade Nacional para a Proteção de Dados, tendo avaliado a probabilidade de a violação de dados pessoais implicar um elevado risco, pode exigir-lhe que proceda a essa comunicação, ou pode constatar que está satisfeita uma das condições referidas no n.3.
Artigo 23.º — Comunicação de violações de dados pessoais ao titular dos dados
Vigente desde: 22/06/2020