Art.º 32 · Lei n.º 59/2019 — Notificação de uma violação de dados pessoais à autoridade de controlo

1 -Caso se verifique uma violação de dados pessoais, o responsável pelo tratamento notifica a autoridade de controlo no prazo de 72 horas após ter conhecimento da situação, a menos que a violação não seja suscetível de resultar num risco para os direitos, liberdades e garantias das pessoas singulares.
2 -Nos casos em que não seja possível efetuar a notificação no prazo de 72 horas, o responsável pelo tratamento deve indicar os motivos do atraso.
3 -A notificação a que se refere o n.º 1 é confidencial e deve, no mínimo:
1. a)Descrever a natureza da violação de dados pessoais, incluindo, se possível e adequado, as categorias e o número aproximado de titulares dos dados afetados e as categorias e o número aproximado de registos de dados pessoais em causa;
2. b)Comunicar o nome e os contactos do encarregado da proteção de dados ou de outro ponto de contacto, para efeitos de prestação de informações adicionais;
3. c)Descrever as consequências prováveis da violação de dados pessoais;
4. d)Descrever as medidas adotadas ou propostas pelo responsável pelo tratamento para reparar a violação de dados pessoais, nomeadamente, se for caso disso, para atenuar os seus eventuais efeitos negativos.
4 -Nos casos em que não seja possível serem prestadas em simultâneo, as informações referidas no número anterior podem ser fornecidas posteriormente à notificação, sem demora injustificada.
5 -O responsável pelo tratamento documenta qualquer violação de dados pessoais, incluindo os factos com ela relacionados, os seus efeitos e as medidas de reparação adotadas, de modo a permitir à autoridade de controlo verificar o cumprimento do disposto no presente artigo.
6 -Caso a violação de dados envolva dados pessoais que tenham sido transmitidos pelo ou ao responsável pelo tratamento de outro Estado-Membro, as informações referidas no n.º 3 são-lhe comunicadas, sem demora injustificada.
7 -Nos casos de subcontratação, o subcontratante notifica o responsável pelo tratamento de qualquer violação de dados pessoais de que tenha conhecimento, sem demora injustificada.
8 -A notificação prevista nos números anteriores não prejudica a comunicação de incidentes às autoridades competentes.

Artigo 32.º — Notificação de uma violação de dados pessoais à autoridade de controlo

Histórico de Alterações