(1) UNIP notifică Autoritatea națională de supraveghere de îndată, dar nu mai târziu de 24 de ore de la constatare, încălcarea securității datelor cu caracter personal din cadrul Sistemului de evidență a datelor PNR, cu excepția cazului în care încălcarea securității datelor nu este susceptibilă să genereze un risc la adresa drepturilor și libertăților persoanelor fizice.
(2) În situația în care nu este posibilă notificarea în termenul prevăzut la alin. (1) , notificarea se transmite în termen de 72 de ore de la constatarea încălcării securității datelor, însoțită de o justificare a întârzierii.
(3) Notificarea prevăzută la alin. (1) trebuie să conțină cel puțin următoarele informații:
a) o descriere a caracterului încălcării securității datelor cu caracter personal prelucrate în cadrul Sistemului de evidență a datelor PNR, inclusiv, acolo unde este posibil, categoriile și numărul aproximativ de persoane vizate în cauză, precum și categoriile și numărul aproximativ de înregistrări de date cu caracter personal în cauză;
b) numele și datele de contact ale responsabilului cu protecția datelor în cadrul UNIP sau un alt punct de contact de unde se pot obține mai multe informații;
c) consecințele probabile ale încălcării securității datelor cu caracter personal;
d) măsurile luate sau propuse de operator pentru a remedia încălcarea securității datelor cu caracter personal, inclusiv, dacă este cazul, măsuri pentru a atenua eventualele efecte adverse ale acesteia.
(4) UNIP ține evidența tuturor cazurilor de încălcare a securității datelor cu caracter personal, inclusiv o descriere a situației în care a avut loc încălcarea securității datelor cu caracter personal, a efectelor acesteia și a măsurilor de remediere întreprinse.
(5) În cazul în care încălcarea securității datelor implică date cu caracter personal care au fost transmise de un operator dintr-un alt stat membru sau către un astfel de operator, informațiile prevăzute la alin. (3) se comunică de îndată operatorului respectiv.
(6) În cazul în care încălcarea securității datelor cu caracter personal este susceptibilă să genereze un risc ridicat pentru protecția datelor cu caracter personal sau la adresa drepturilor și libertăților persoanelor fizice, operatorul informează, de îndată, persoana vizată cu privire la încălcarea securității datelor cu caracter personal.
(7) Informarea persoanei vizate, prevăzută la alin. (6) , nu este necesară în cazul în care este îndeplinită oricare dintre următoarele condiții:
a) operatorul a pus în aplicare măsuri tehnologice și organizatorice adecvate de protecție, iar aceste măsuri au fost aplicate în cazul datelor cu caracter personal afectate de încălcarea securității datelor cu caracter personal, în special măsuri prin care se asigură că datele cu caracter personal devin neinteligibile oricărei persoane care nu este autorizată să le acceseze, cum ar fi criptarea;
b) operatorul a luat măsuri ulterioare prin care se asigură că riscul ridicat la adresa drepturilor și libertăților persoanelor vizate nu mai este susceptibil să se materializeze;
c) notificarea ar necesita un efort disproporționat;
d) contactarea persoanei vizate nu este posibilă.
(8) În cazul prevăzut la alin. (7) lit. c) informarea persoanei vizate se înlocuiește cu o informare publică sau o măsură similară prin care persoanele vizate sunt informate într-un mod la fel de eficace.