Artigo 92.o Notificação de violações de dados pessoais à Autoridade Europeia para a Proteção de Dados

1.   Em caso de violação de dados pessoais, o responsável pelo tratamento deve notificar desse facto a Autoridade Europeia para a Proteção de Dados sem demora indevida e, se possível, no prazo máximo de 72 horas após ter tido conhecimento da mesma, salvo se tal violação não for suscetível de constituir um risco para os direitos e as liberdades das pessoas singulares. Se não for transmitida no prazo de 72 horas, a notificação à Autoridade Europeia para a Proteção de Dados deve ser acompanhada dos motivos do atraso.

2.   A notificação referida no n.o 1 deve, pelo menos:

3.   Caso e na medida em que não seja possível comunicar todas as informações referidas no n.o 2 ao mesmo tempo, as informações podem ser comunicadas por fases, sem demora indevida.

4.   O responsável pelo tratamento documenta todas as violações de dados pessoais referidas no n.o 1, incluindo os factos relacionados com a violação, os seus efeitos e as medidas de reparação adotadas. Essa documentação deve permitir à Autoridade Europeia para a Proteção de Dados verificar o respeito do presente artigo.

5.   Caso a violação de dados pessoais envolva dados pessoais operacionais transmitidos pelas autoridades competentes ou a elas destinados, o responsável pelo tratamento comunica as informações referidas no n.o 2 às autoridades competentes em causa sem demora indevida.