1. Ідентифікаційні дані інформатора без його письмової згоди не можуть бути розкриті або передані будь-якій особі, яка не є уповноваженою на отримання повідомлень про порушення та/або вжиття заходів реагування на такі повідомлення.
Вимоги абзацу першого цієї частини застосовуються також до будь-якої іншої інформації, з якої безпосередньо чи опосередковано можуть бути встановлені ідентифікаційні дані інформатора.
2. Ідентифікаційні дані та інша інформація, передбачені частиною першою цієї статті, можуть бути розкриті лише за умови, що це необхідно для проведення відповідного розслідування та є пропорційним забезпеченню права на захист інформатора.
3. Про розкриття ідентифікаційних даних та іншої інформації, передбаченої частиною першою цієї статті, інформатор повідомляється письмово до такого розкриття із зазначенням його причин, крім випадків, якщо таке повідомлення становить загрозу інтересам розслідування або судовому розгляду.
4. Компетентним органам, які отримали інформацію з повідомлення про порушення, включаючи інформацію, що становить комерційну таємницю, забороняється використовувати та розголошували таку інформацію для цілей, не пов’язаних з виконанням їхніх повноважень, передбачених законом.
Передача Комісією інформації, що міститься у повідомленні про порушення, регулятору ринків капіталу та організованих товарних ринків іноземної держави можлива виключно за умови існування у такій державі стандартів захисту персональних даних, що є еквівалентними або вищими за стандарти захисту персональних даних в Україні, та має бути обґрунтована необхідністю вжиття належних заходів реагування на отримане повідомлення. Умови передачі зазначеної інформації повинні передбачати зобов’язання регулятора ринків капіталу та організованих товарних ринків іноземної держави не передавати таку інформацію іншим особам та/або іншим третім державам, якщо Комісія не надала письмового дозволу на таку передачу.
5. Захист і обробка персональних даних у зв’язку з отриманням повідомлень про порушення та вжиттям заходів реагування на них здійснюються відповідно до вимог законодавства про захист персональних даних. У разі якщо персональні дані, оброблені у процесі отримання та вжиття заходів реагування, не є необхідними для належного вжиття таких заходів, такі дані негайно видаляються або знищуються у спосіб, що унеможливлює їх подальше використання чи поширення.
Строк зберігання персональних даних не може перевищувати п’ять років.
6. Положення цієї статті застосовуються також до осіб, щодо яких розпочато розслідування. Ідентифікаційні дані осіб, щодо яких розпочато розслідування, не підлягають розголошенню протягом усього часу проведення розслідування, розпочатого за повідомленням про порушення.