Artigo 30.o Notificação de uma violação de dados pessoais à autoridade de controlo

Artigo 30.o

Notificação de uma violação de dados pessoais à autoridade de controlo

1.  Os Estados-Membros preveem que, em caso de violação de dados pessoais, o responsável pelo tratamento notifique desse facto a autoridade de controlo sem demora injustificada e, sempre que possível, até 72 horas após ter tido conhecimento da mesma, a menos que a violação dos dados pessoais não seja suscetível de resultar num risco para os direitos e liberdades das pessoas singulares. Se a notificação da autoridade de controlo não for feita no prazo de 72 horas, é acompanhada dos motivos do atraso.

2.  O subcontratante notifica o responsável pelo tratamento sem demora injustificada após ter conhecimento de uma violação de dados pessoais.

3.  A notificação referida no n.o 1 deve, pelo menos:

4.  Caso, e na medida em que, não seja possível fornecer as informações ao mesmo tempo, estas podem ser fornecidas por fases sem demora injustificada.

5.  Os Estados-Membros preveem que o responsável pelo tratamento documente qualquer violação de dados pessoais referida no n.o 1, compreendendo os factos relacionados com a violação de dados pessoais, os seus efeitos e as medidas de reparação adotadas. Essa documentação deve permitir à autoridade de controlo verificar o cumprimento do disposto no presente artigo.

6.  Os Estados-Membros preveem que, caso a violação de dados pessoais envolva dados pessoais que tenham sido transmitidos pelo ou ao responsável pelo tratamento de outro Estado-Membro, as informações referidas no n.o 3 sejam comunicadas sem demora injustificada ao responsável pelo tratamento deste último Estado-Membro.