Статья 34. Информирование субъекта персональных данных о нарушении безопасности персональных данных¶
В случае наличия вероятности, что нарушение безопасности персональных данных повлечет высокий риск для прав и свобод физических лиц, оператор без необоснованных задержек информирует об этом нарушении субъекта персональных данных.
В передаваемую субъекту персональных данных информацию, предусмотренную частью (1), включается простым и понятным языком изложенное описание характера нарушения безопасности персональных данных, а также по меньшей мере информация и меры, предусмотренные пунктами b)–d) части (3) статьи 33.
Информирование субъекта персональных данных, предусмотренное частью (1), не требуется в случае выполнения одного из следующих условий:
- ¶ a) оператор принял соответствующие технические и организационные меры защиты, и эти меры были применены в случае персональных данных, в отношении которых было допущено нарушение безопасности персональных данных, в частности меры, обеспечивающие, чтобы персональные данные стали непонятными для любого лица, не имеющего разрешения на доступ к ним, например шифрование;
- ¶ b) оператор принял дальнейшие меры, обеспечивающие невозможность реализации высокого риска для прав и свобод субъектов персональных данных, указанный в части (1);
- ¶ c) если информирование требует несоразмерных усилий. В таком случае производится публичное информирование или принимается аналогичная мера, с помощью которой субъекты персональных данных информируются столь же эффективным способом.
Если оператор не информирует о нарушении безопасности персональных данных субъекта персональных данных, Центр, принимая во внимание вероятность того, что нарушение безопасности персональных данных повлечет высокий риск, может потребовать от оператора проинформировать субъекта персональных данных или принять решение, что выполняется одно из условий, указанных в части (3).