II SÉRIE-A — NÚMERO 131

66

injustificada.

7 - Nos casos de subcontratação, o subcontratante notifica o responsável pelo tratamento de qualquer

violação de dados pessoais de que tenha conhecimento, sem demora injustificada.

8 - A notificação prevista nos números anteriores não prejudica a comunicação de incidentes às

autoridades competentes.

Artigo 33.º

Comunicação de uma violação de dados pessoais ao titular dos dados

1 - Caso se verifique uma violação de dados pessoais suscetível de resultar num elevado risco para os

direitos, liberdades e garantias do titular dos dados, o responsável pelo tratamento comunica-lhe a violação,

sem demora injustificada.

2 - A comunicação ao titular dos dados descreve, numa linguagem clara e simples, a natureza da violação

dos dados pessoais e inclui as informações e as medidas referidas nas alíneas b), c) e d) do n.º 3 do artigo

anterior.

3 - A comunicação é dispensada nos casos em que:

a) O responsável pelo tratamento tiver adotado medidas de proteção adequadas, tanto tecnológicas como

organizativas, e estas tiverem sido aplicadas aos dados afetados pela violação de dados pessoais,

designadamente a cifragem;

b) O responsável pelo tratamento tiver tomado medidas subsequentes que assegurem que a concretização

do elevado risco referido no n.º 1 deixou de ser provável; ou

c) Implicar um esforço desproporcionado, devendo, neste caso, o responsável pelo tratamento informar os

titulares dos dados de outra forma igualmente eficaz, nomeadamente através de comunicação pública.

4 - Se o responsável pelo tratamento não tiver comunicado a violação de dados pessoais ao titular dos

dados, a autoridade de controlo, caso considere que da violação de dados pessoais resulta um elevado risco

para os seus direitos, liberdades e garantias, pode exigir ao responsável que proceda a essa comunicação ou

dispensá-la pelos motivos indicados no número anterior.

5 - A comunicação prevista no n.º 1 pode ser adiada, limitada ou omitida sob reserva das condições e pelos

motivos enunciados no n.º 5 do artigo 13.º.

Artigo 34.º

Designação do encarregado da proteção de dados

1 - O responsável pelo tratamento designa um encarregado de proteção de dados para o assistir no

controlo do cumprimento das obrigações decorrentes da presente lei, incluindo no tratamento dos dados

efetuado por sua conta pelo subcontratante.

2 - A obrigação prevista no número anterior não se aplica aos tribunais nem ao Ministério Público, no

exercício das suas competências processuais.

3 - O encarregado da proteção de dados é designado com base nas suas qualidades profissionais, em

especial nos seus conhecimentos especializados no domínio da legislação e das práticas de proteção de

dados e na sua capacidade para desempenhar as funções referidas no artigo seguinte.

4 - Pode ser designado um único encarregado da proteção de dados para várias autoridades competentes,

tendo em conta a sua dimensão e estrutura organizativa.

5 - Sem prejuízo do disposto na alínea b) do n.º 1 do artigo 14.º, o responsável pelo tratamento comunica à

autoridade de controlo os contactos do encarregado da proteção de dados.

Artigo 35.º

Funções do encarregado da proteção de dados

Ao encarregado da proteção de dados compete, designadamente: