Повідомлення суб’єкта даних про порушення захисту персональних даних
1. Якщо порушення захисту персональних даних ймовірно призведе до виникнення високого ризику для прав і свобод фізичних осіб, Європейська прокуратура повинна повідомити суб’єкта даних про порушення захисту персональних даних без необґрунтованої затримки.
2. Повідомлення суб’єкта даних, вказане в параграфі 1 цієї статті, повинне містити опис, із використанням чітких і простих формулювань, специфіки порушення захисту персональних даних та містити принаймні інформацію та рекомендації, вказані в пунктах (b), (c) і (d) статті 74(2).
3. Повідомлення суб’єкта даних, вказане в параграфі 1, є необов’язковим у разі виконання однієї з наведених нижче вимог:
(a) Європейська прокуратура вжила належних заходів технологічного та організаційного захисту, і ці заходи було застосовано до персональних даних, на які вплинуло порушення захисту персональних даних, зокрема, було вжито заходів, які роблять персональні дані незрозумілими для будь-якої особи, яка не має права доступу до них, такі як шифрування;
(b) Європейська прокуратура вжила заходів, що гарантують, що високий ризик для прав і свобод суб’єктів даних, вказаний у параграфі 1, ймовірно більше не проявиться;
(c) це призведе до диспропорційних зусиль. У такому випадку натомість здійснюється публічне повідомлення або подібний захід, за якого інформація надається всім суб’єктам даних у спосіб із однаковою ефективністю.
4. Якщо Європейська прокуратура ще не повідомила суб’єкт даних про порушення захисту персональних даних, Європейський інспектор із захисту даних, розглянувши ймовірність спричинення порушенням захисту персональних даних високого ризику, може вимагати зробити це чи може вирішити, що будь-яку з умов, вказаних у параграфі 3, виконано.
5. Повідомлення суб’єкту даних, зазначене у параграфі 1 цієї статті, може бути відтерміновано, обмежено або його може бути опущено у разі виконання умов та на підставах, зазначених у статті 60(3).