Articolul 34. Informarea persoanei vizate cu privire la încălcarea securității datelor cu caracter personal

(1) În cazul în care încălcarea securității datelor cu caracter personal este susceptibilă să genereze un risc ridicat pentru drepturile și libertățile persoanelor fizice, operatorul informează persoana vizată fără întârzieri nejustificate cu privire la această încălcare.

(2) În informarea transmisă persoanei vizate prevăzută la alin. (1) se include o descriere, într-un limbaj clar și simplu, a caracterului încălcării securității datelor cu caracter personal, precum și, cel puțin, informațiile și măsurile prevăzute la art. 33 alin. (3) lit. b)–d).

(3) Informarea persoanei vizate prevăzută la alin. (1) nu este necesară în cazul în care este îndeplinită una dintre următoarele condiții:

1. a) operatorul a implementat măsuri de protecție tehnice și organizatorice adecvate, iar aceste măsuri au fost aplicate în cazul datelor cu caracter personal afectate de încălcarea securității datelor cu caracter personal, în special măsuri prin care se asigură că datele cu caracter personal devin neinteligibile oricărei persoane care nu este autorizată să le acceseze, cum ar fi criptarea;
2. b) operatorul a luat măsuri ulterioare prin care se asigură că riscul ridicat pentru drepturile și libertățile persoanelor vizate menționat la alin.(1) nu mai este susceptibil să se materializeze;
3. c) informarea ar necesita un efort disproporționat. În această situație, se efectuează o informare publică sau se ia o măsură similară prin care persoanele vizate sunt informate într-un mod la fel de eficace.

(4) În cazul în care operatorul nu a informat persoana vizată despre încălcarea securității datelor cu caracter personal, Centrul, după ce a luat în considerare probabilitatea ca încălcarea securității datelor cu caracter personal să genereze un risc ridicat, poate să îi solicite operatorului informarea persoanei vizate sau poate decide că una dintre condițiile menționate la alin. (3) este îndeplinită.