1. Quando a violação dos dados pessoais for suscetível de implicar um elevado risco para os direitos e liberdades das pessoas singulares, o responsável pelo tratamento comunica a violação de dados pessoais ao titular dos dados sem demora injustificada.
Artigo 34.º RGPD - Comunicação de uma violação de dados pessoais ao titular dos dados
2. A comunicação ao titular dos dados a que se refere o n.º 1 do presente artigo descreve em linguagem clara e simples a natureza da violação dos dados pessoais e fornece, pelo menos, as informações e medidas previstas no artigo 33.º, n.º 3, alíneas b), c) e d).
3. A comunicação ao titular dos dados a que se refere o n.º 1 não é exigida se for preenchida uma das seguintes condições:
a) O responsável pelo tratamento tiver aplicado medidas de proteção adequadas, tanto técnicas como organizativas, e essas medidas tiverem sido aplicadas aos dados pessoais afetados pela violação de dados pessoais, especialmente medidas que tornem os dados pessoais incompreensíveis para qualquer pessoa não autorizada a aceder a esses dados, tais como a cifragem;
b) O responsável pelo tratamento tiver tomado medidas subsequentes que assegurem que o elevado risco para os direitos e liberdades dos titulares dos dados a que se refere o n.º 1 já não é suscetível de se concretizar; ou
c) Implicar um esforço desproporcionado. Nesse caso, é feita uma comunicação pública ou tomada uma medida semelhante através da qual os titulares dos dados são informados de forma igualmente eficaz.
4. Se o responsável pelo tratamento não tiver já comunicado a violação de dados pessoais ao titular dos dados, a autoridade de controlo, tendo considerado a probabilidade de a violação de dados pessoais resultar num elevado risco, pode exigir-lhe que proceda a essa notificação ou pode constatar que se encontram preenchidas as condições referidas no n.º 3.
Perguntas frequentes
Respostas breves a perguntas frequentes sobre esta disposição. Constituem informação geral e não aconselhamento jurídico.
O n.º 1 exige a comunicação sem demora injustificada quando a violação for suscetível de implicar um elevado risco para os direitos e liberdades das pessoas singulares. O limiar é mais exigente do que o da notificação à autoridade de controlo nos termos do artigo 33.º, que se aplica a qualquer violação suscetível de resultar num risco.
Nos termos do n.º 2, a comunicação descreve em linguagem clara e simples a natureza da violação e fornece, pelo menos, as informações e medidas previstas no artigo 33.º, n.º 3, alíneas b), c) e d), ou seja, os contactos do encarregado da proteção de dados ou de outro ponto de contacto, as consequências prováveis e as medidas adotadas ou propostas. A exigência de linguagem clara e simples distingue-a da notificação à autoridade, de natureza mais técnica.
O n.º 3 enumera três condições, bastando o preenchimento de uma delas. A comunicação não é exigida se tiverem sido aplicadas aos dados afetados medidas de proteção adequadas, em especial medidas que tornem os dados incompreensíveis para quem não esteja autorizado a aceder-lhes, tais como a cifragem, se medidas subsequentes assegurarem que o elevado risco já não é suscetível de se concretizar, ou se a comunicação individual implicar um esforço desproporcionado.
A alínea c) do n.º 3 não elimina o dever de informar, mas converte-o. O responsável pelo tratamento deve, em vez disso, fazer uma comunicação pública ou tomar uma medida semelhante através da qual os titulares dos dados sejam informados de forma igualmente eficaz.
Sim. Nos termos do n.º 4, se o responsável pelo tratamento ainda não tiver comunicado a violação, a autoridade de controlo pode, tendo considerado a probabilidade de um elevado risco, exigir-lhe que o faça, ou pode constatar que se encontra preenchida uma das condições de dispensa previstas no n.º 3.