Статья 34. Информирование субъекта данных об утечке персональных данных

Статья 34
Информирование субъекта данных об утечке персональных данных

1. В случае если утечка персональных данных может привести к высокой степени риска для прав и свобод физических лиц, контролер должен незамедлительно уведомить субъекта данных об утечке персональных данных.

2. Уведомление субъекта данных, указанное в параграфе 1 настоящей Статьи, должно описывать ясным и простым языком характер утечки персональных данных и содержать как минимум информацию и меры, указанные в пунктах (b), (c) и (d) Статьи 33(3).

3. Уведомление субъекта данных, указанное в параграфе 1, не требуется, если соблюдается любое из следующих условий:

(a) контролер имплементировал соответствующие технические и организационные меры защиты, и указанные меры применялись в отношении затронутых утечкой персональных данных, в особенности те меры, посредством которых персональные данные будут непонятны всем лицам, не обладающим доступом к ним, например, криптографическая защита;

(b) контролер принял дополнительные меры, которые гарантируют, что не возникнет высокая степень риска для прав и свобод субъектов данных согласно параграфу 1;

(c) оно требует несоразмерного усилия. В указанном случае, вместо этого делается сообщение для информирования общественности или принимается аналогичная мера, посредством которой информируются субъекты данных.

4. Если контролер еще не проинформировал субъекта данных об утечке персональных данных, надзорный орган, изучив вероятность возникновения высокой степени риска вследствие утечки персональных данных, может потребовать от контролера проинформировать субъекта данных или может принять решение о том, что соблюдается одно из условий, указанных в параграфе 3.