26 DE ABRIL DE 2018

149

b) Comunicar o nome e os contactos do encarregado da proteção de dados ou de outro ponto de contacto,

para efeitos de prestação de informações adicionais;

c) Descrever as consequências prováveis da violação de dados pessoais;

d) Descrever as medidas adotadas ou propostas pelo responsável pelo tratamento para reparar a violação

de dados pessoais, nomeadamente, se for caso disso, para atenuar os seus eventuais efeitos negativos.

4 - Nos casos em que não seja possível serem prestadas simultaneamente, as informações referidas no

número anterior podem ser fornecidas posteriormente à notificação.

5 - O responsável pelo tratamento documenta qualquer violação de dados pessoais, incluindo os factos com

ela relacionados, os seus efeitos e as medidas de reparação adotadas, de modo a permitir à autoridade de

controlo verificar o cumprimento do disposto no presente artigo.

6 - Caso a violação de dados envolva dados pessoais que tenham sido transmitidos pelo, ou, ao responsável

pelo tratamento de outro Estado-Membro, as informações referidas no n.º 3 são comunicadas sem demora

injustificada ao responsável pelo tratamento desse Estado-Membro.

7 - Nos casos de subcontratação, o subcontratante notifica o responsável pelo tratamento sem demora

injustificada, de qualquer violação de dados pessoais.

8 - A notificação prevista nos números anteriores não prejudica a comunicação de incidentes às autoridades

competentes.

Artigo 33.º

Comunicação de uma violação de dados pessoais ao titular dos dados

1 - Caso se verifique uma violação de dados pessoais suscetível de resultar num elevado risco para os

direitos, liberdades e garantias do titular dos dados, o responsável pelo tratamento comunica-lhe a violação sem

demora injustificada.

2 - A comunicação ao titular dos dados descreve, numa linguagem clara e simples, a natureza da violação

dos dados pessoais e inclui as informações e as medidas referidas nas alíneas b), c) e d) do n.º 3 do artigo

anterior.

3 - A comunicação é dispensada nos casos em que:

a) O responsável pelo tratamento tiver adotado medidas de proteção adequadas, tanto tecnológicas como

organizativas, e estas tiverem sido aplicadas aos dados afetados pela violação de dados pessoais,

designadamente a cifragem;

b) O responsável pelo tratamento tiver tomado medidas subsequentes que assegurem que a concretização

do risco elevado referido no n.º 1 deixou de ser provável; ou

c) Implicar um esforço desproporcionado, devendo, neste caso, o responsável pelo tratamento informar os

titulares dos dados de outra forma igualmente eficaz, nomeadamente através de comunicação pública.

4 - Se o responsável pelo tratamento não tiver comunicado a violação de dados pessoais ao titular dos dados,

a autoridade de controlo, caso considere que da violação de dados pessoais resulta um elevado risco os seus

direitos, liberdades e garantias, pode exigir ao responsável que proceda a essa comunicação ou dispensá-la

pelos motivos indicados no número anterior.

5 - A comunicação prevista no n.º 1 pode ser adiada, limitada ou omitida sob reserva das condições e pelos

motivos enunciados no n.º 5 do artigo 13.º.

Artigo 34.º

Designação do encarregado da proteção de dados

1 - O responsável pelo tratamento designa um encarregado de proteção de dados para o assistir no controlo

do cumprimento das obrigações decorrentes da presente lei, incluindo no tratamento dos dados efetuado por

sua conta pelo subcontratante.

2 - A obrigação prevista no número anterior não se aplica aos tribunais nem ao Ministério Público, no

exercício das suas competências processuais.