Статья 33. Уведомление надзорного органа об утечке персональных данных

Статья 33
Уведомление надзорного органа об утечке персональных данных

1. В случае утечки персональных данных контролер незамедлительно и при наличии соответствующей возможности в течение 72 часов, после того как ему стало известно об утечке, должен уведомить об этом компетентный в соответствии со Статьей 55 надзорный орган, кроме случаев, когда утечка персональных данных вероятно не приведет к риску для прав и свобод физических лиц. В случае если уведомление надзорного органа не было сделано в течение 72 часов, в нем необходимо указать причины задержки.

2. Лицо, обрабатывающее данные, должно уведомить контролера об утечке персональных данных сразу же, как только ему стало известно об этом.

3. Уведомление, указанное в параграфе 1, должно содержать в себе как минимум следующую информацию:

(a) описание характера утечки персональных данных, в том числе по возможности указание категорий и приблизительного количества субъектов данных и категории и приблизительного количество записей персональных данных;

(b) фамилию и контактные данные инспектора по защите персональных данных или иного координационного центра, в котором можно получить более подробную информацию;

(c) описание возможных последствий утечки персональных данных;

(d) описание принятых или планируемых контролером мер для устранения нарушения, в том числе, в соответствующих случаях, мер по смягчению его возможного отрицательного воздействия.

4. В случае если и постольку, поскольку в то же самое время предоставление информации не возможно, она может быть предоставлена поэтапно без дальнейшего промедления.

5. Контролер должен документировать любые утечки персональных данных, в том числе все относящиеся к утечке персональных данных факты, ее последствия и принятые корректирующие меры. Указанная документация должна обеспечить возможность проверки надзорным органом соблюдения настоящей Статьи.