Статья 35. Информирование субъекта данных об утечке персональных данных

Статья 35
Информирование субъекта данных об утечке персональных данных

1. Если существует вероятность того, что утечка персональных данных может привести к высокой степени риска для прав и свобод физических лиц, контролер должен незамедлительно сообщить субъекту данных об утечке персональных данных.

2. Сообщение субъекту данных, указанное в параграфе 1 настоящей Статьи, должно описывать ясным и простым языком характер утечки персональных данных и должно содержать по меньшей мере информацию и меры, указанные в пунктах (b), (c) и (d) Статьи 34(3).

3. Сообщение субъекту данных, указанное в параграфе 1, не требуется, если соблюдается любое из следующих условий:

(a) контролер реализовал надлежащие технические и организационные меры защиты и указанные меры применялись в отношении персональных данных, затронутых утечкой, в частности, те меры, которые делают персональные данные неразборчивыми для всех лиц, неавторизованным в отношении доступа к ним, такие как криптографическая защита;

(b) контролер принял последующие меры, которые гарантируют, что высокая степень риска для прав и свобод субъектов данных, указанная в параграфе 1, более не материализуется;

(c) оно требует непропорциональных усилий. В данном случае вместо этого делается сообщение для общественности или принимается аналогичная мера, посредством которой так же эффективно информируются субъекты данных.

4. Если контролер еще не сообщил субъекту данных об утечке персональных данных, Европейский инспектор по защите данных, изучив вероятность возникновения высокой степени риска вследствие утечки персональных данных, вправе потребовать от контролера проинформировать субъекта данных или вправе принять решение о том, что соблюдается какое-либо из условий, указанных в параграфе 3.