Section 2 Security of personal data

Artigo 29.o

Segurança do tratamento

1.  Os Estados-Membros preveem que o responsável pelo tratamento e o subcontratante, tendo em conta as técnicas mais avançadas, os custos da sua aplicação e a natureza, o âmbito, o contexto e as finalidades do tratamento dos dados, bem como os riscos de probabilidade e gravidade variáveis que este tratamento representa para os direitos e liberdades das pessoas singulares, apliquem medidas técnicas e organizativas adequadas a fim de assegurar um nível de segurança adequado ao risco, em especial no que respeita ao tratamento das categorias especiais de dados pessoais a que se refere o artigo 10.o.

2.  No que respeita ao tratamento automatizado de dados, cada Estado-Membro prevê que o responsável pelo tratamento ou o subcontratante, na sequência de uma avaliação dos riscos, aplique medidas para os seguintes efeitos:

Artigo 30.o

Notificação de uma violação de dados pessoais à autoridade de controlo

1.  Os Estados-Membros preveem que, em caso de violação de dados pessoais, o responsável pelo tratamento notifique desse facto a autoridade de controlo sem demora injustificada e, sempre que possível, até 72 horas após ter tido conhecimento da mesma, a menos que a violação dos dados pessoais não seja suscetível de resultar num risco para os direitos e liberdades das pessoas singulares. Se a notificação da autoridade de controlo não for feita no prazo de 72 horas, é acompanhada dos motivos do atraso.

2.  O subcontratante notifica o responsável pelo tratamento sem demora injustificada após ter conhecimento de uma violação de dados pessoais.

3.  A notificação referida no n.o 1 deve, pelo menos:

4.  Caso, e na medida em que, não seja possível fornecer as informações ao mesmo tempo, estas podem ser fornecidas por fases sem demora injustificada.

5.  Os Estados-Membros preveem que o responsável pelo tratamento documente qualquer violação de dados pessoais referida no n.o 1, compreendendo os factos relacionados com a violação de dados pessoais, os seus efeitos e as medidas de reparação adotadas. Essa documentação deve permitir à autoridade de controlo verificar o cumprimento do disposto no presente artigo.

6.  Os Estados-Membros preveem que, caso a violação de dados pessoais envolva dados pessoais que tenham sido transmitidos pelo ou ao responsável pelo tratamento de outro Estado-Membro, as informações referidas no n.o 3 sejam comunicadas sem demora injustificada ao responsável pelo tratamento deste último Estado-Membro.

Artigo 31.o

Comunicação de uma violação de dados pessoais ao titular dos dados

1.  Os Estados-Membros preveem que, quando a violação dos dados pessoais for suscetível de resultar num elevado risco para os direitos e liberdades das pessoas singulares, o responsável pelo tratamento comunique a violação de dados pessoais ao titular dos dados sem demora injustificada.

2.  A comunicação ao titular dos dados referida no n.o 1 do presente artigo descreve numa linguagem clara e simples a natureza da violação dos dados pessoais e inclui, pelo menos, as informações e as medidas referidas no artigo 30.o, n.o 3, alíneas b), c) e d).

3.  A comunicação ao titular dos dados referida no n.o 1 não é exigida se:

4.  Se o responsável pelo tratamento não tiver já comunicado a violação de dados pessoais ao titular dos dados, a autoridade de controlo, tendo considerado a probabilidade de a violação de dados pessoais resultar num elevado risco, pode exigir que o referido responsável proceda a essa notificação, ou pode decidir que se encontra preenchida uma das condições referidas no n.o 3.

5.  A comunicação ao titular dos dados referida no n.o 1 do presente artigo pode ser adiada, limitada ou omitida sob reserva das condições e pelos motivos enunciados no artigo 13.o, n.o 3.