Referință individuală · versiune 7 ianuarie 2019
Articolul 39
LEGE nr. 363 din 28 decembrie 2018 - privind protecția persoanelor fizice referitor la prelucrarea datelor cu caracter personal de către autoritățile competente în scopul prevenirii, descoperirii, cercetării, urmăririi penale și combaterii infracțiunilor sau al executării pedepselor, măsurilor educative și de siguranță, precum și privind libera circulație a acestor date
Articolul 39
(1)
În cazul în care încălcarea securității datelor cu caracter personal este susceptibilă să genereze un risc ridicat la adresa drepturilor și libertăților persoanelor fizice, operatorul informează persoana vizată, fără întârzieri nejustificate, dar nu mai mult de 10 zile calendaristice de la notificarea autorității de supraveghere, realizată în temeiul prevederilor art. 36, cu privire la încălcarea securității datelor cu caracter personal.
(2)
Informarea prevăzută la alin. (1) trebuie să conțină o descriere, folosind un limbaj simplu și clar, a naturii încălcării securității datelor cu caracter personal și cel puțin informațiile prevăzute la art. 36 alin. (6) lit. b)-d).
(3)
Informarea prevăzută la alin. (1) nu este necesară în cazul în care este îndeplinită oricare dintre următoarele condiții:
a)
operatorul a pus în aplicare măsuri tehnologice și organizatorice adecvate de protecție, incidente în cazul datelor cu caracter personal afectate de încălcarea securității datelor cu caracter personal, în special măsuri prin care se asigură că datele cu caracter personal devin neinteligibile oricărei persoane care nu este autorizată să le acceseze, cum ar fi criptarea;
b)
operatorul a luat măsuri ulterioare prin care se asigură că riscul ridicat la adresa drepturilor și libertăților persoanelor vizate menționat la alin. (1) nu mai este susceptibil să se materializeze;
c)
necesită un efort disproporționat; în acest caz, informarea se înlocuiește cu informarea publică sau o măsură similară prin care persoanele vizate sunt informate într-un mod la fel de eficace.
(4)
În situația primirii unei notificări potrivit prevederilor art. 36, autoritatea de supraveghere, luând în considerare probabilitatea ca încălcarea securității datelor cu caracter personal să genereze un risc ridicat, poate dispune operatorului să informeze persoana vizată sau, după caz, să constate că oricare dintre situațiile prevăzute la alin. (3) este incidentă.
(5)
Informarea prevăzută la alin. (1) poate fi amânată, restricționată sau omisă în condițiile prevederilor art. 15.