1. Em caso de violação de dados pessoais, o responsável pelo tratamento notifica desse facto a autoridade de controlo competente nos termos do artigo 55.º, sem demora injustificada e, sempre que possível, até 72 horas após ter tido conhecimento da mesma, a menos que a violação dos dados pessoais não seja suscetível de resultar num risco para os direitos e liberdades das pessoas singulares. Se a notificação à autoridade de controlo não for transmitida no prazo de 72 horas, é acompanhada dos motivos do atraso.
Artigo 33.º RGPD - Notificação de uma violação de dados pessoais à autoridade de controlo
2. O subcontratante notifica o responsável pelo tratamento sem demora injustificada após ter conhecimento de uma violação de dados pessoais.
3. A notificação referida no n.º 1 deve, pelo menos:
a) Descrever a natureza da violação dos dados pessoais incluindo, se possível, as categorias e o número aproximado de titulares de dados afetados, bem como as categorias e o número aproximado de registos de dados pessoais em causa;
b) Comunicar o nome e os contactos do encarregado da proteção de dados ou de outro ponto de contacto onde possam ser obtidas mais informações;
c) Descrever as consequências prováveis da violação de dados pessoais;
d) Descrever as medidas adotadas ou propostas pelo responsável pelo tratamento para reparar a violação de dados pessoais, inclusive, se for caso disso, medidas para atenuar os seus eventuais efeitos negativos;
4. Caso, e na medida em que não seja possível fornecer todas as informações ao mesmo tempo, estas podem ser fornecidas por fases, sem demora injustificada.
5. O responsável pelo tratamento documenta quaisquer violações de dados pessoais, compreendendo os factos relacionados com as mesmas, os respetivos efeitos e a medida de reparação adotada. Essa documentação deve permitir à autoridade de controlo verificar o cumprimento do disposto no presente artigo.
Perguntas frequentes
Respostas breves a perguntas frequentes sobre esta disposição. Constituem informação geral e não aconselhamento jurídico.
O n.º 1 exige a notificação sem demora injustificada e, sempre que possível, até 72 horas após o responsável pelo tratamento ter tido conhecimento da violação, dirigida à autoridade de controlo competente nos termos do artigo 55.º. Se a notificação não for transmitida no prazo de 72 horas, é acompanhada dos motivos do atraso.
Sim. O n.º 1 dispensa o responsável pelo tratamento quando a violação não seja suscetível de resultar num risco para os direitos e liberdades das pessoas singulares. A apreciação assenta no risco para as pessoas, e não na dimensão ou na causa do incidente, e o n.º 5 continua a exigir que a violação seja documentada internamente.
Nos termos do n.º 2, o subcontratante notifica o responsável pelo tratamento sem demora injustificada após ter conhecimento de uma violação de dados pessoais. O presente artigo não impõe ao subcontratante o dever de notificar ele próprio a autoridade de controlo, pois a obrigação de notificação perante a autoridade recai sobre o responsável pelo tratamento.
O n.º 3 fixa um conteúdo mínimo. A notificação deve descrever a natureza da violação, incluindo, se possível, as categorias e o número aproximado de titulares de dados afetados e de registos de dados pessoais em causa, comunicar o nome e os contactos do encarregado da proteção de dados ou de outro ponto de contacto, descrever as consequências prováveis e descrever as medidas adotadas ou propostas para reparar a violação e atenuar os seus eventuais efeitos negativos.
Sim. O n.º 4 permite que as informações sejam fornecidas por fases, sem demora injustificada suplementar, caso não seja possível fornecê-las todas ao mesmo tempo. O responsável pelo tratamento não pode, por conseguinte, aguardar a conclusão da investigação antes de proceder a uma notificação inicial dentro do prazo de 72 horas.