Artigo 34.o Notificação de violações dos dados pessoais à Autoridade Europeia para a Proteção de Dados

1.   Em caso de violação de dados pessoais, o responsável pelo tratamento notifica desse facto a Autoridade Europeia para a Proteção de Dados sem demora indevida e, se possível, no prazo de 72 horas após ter tido conhecimento da violação, salvo se essa violação não for suscetível de constituir um risco para os direitos e para as liberdades das pessoas singulares. Caso não seja feita no prazo de 72 horas, a notificação à Autoridade Europeia para a Proteção de Dados deve ser acompanhada dos motivos do atraso.

2.   O subcontratante deve notificar o responsável pelo tratamento sem demora indevida após tomar conhecimento de uma violação de dados pessoais.

3.   A notificação referida no n.o 1 deve, pelo menos:

4.   Caso, e na medida em que, não seja possível comunicar todas as informações ao mesmo tempo, as informações podem ser comunicadas por fases, sem demora indevida.

5.   O responsável pelo tratamento deve informar o encarregado da proteção de dados acerca da violação de dados pessoais.

6.   O responsável pelo tratamento deve documentar todas as violações de dados pessoais, incluindo os factos relacionados com a violação, os seus efeitos e as medidas de reparação adotadas. Essa documentação deve permitir à Autoridade Europeia para a Proteção de Dados verificar o respeito do presente artigo.