§ INCISO 33.1 — Em caso de violação de dados pessoais, o responsável pelo tratamento deve notificar a autoridade de controlo competente, sem demora injustificada e, sempre que possível, até 72 horas após ter tido conhecimento da mesma, a menos que a violação de dados pessoais não seja suscetível de resultar num risco para os direitos e liberdades das pessoas singulares. Se a notificação não for feita no prazo de 72 horas, deve ser acompanhada de uma justificação para o atraso.
§ INCISO 33.2 — O subcontratante deve informar o responsável pelo tratamento sem demora injustificada após tomar conhecimento de uma violação de dados pessoais.
§ INCISO 33.3 — A notificação referida no n.º 1 deve, no mínimo:
A) Descrever a natureza da violação de dados pessoais, incluindo, se possível, as categorias e o número aproximado de titulares dos dados afetados, bem como as categorias e o número aproximado de registos de dados pessoais em causa;
B) Comunicar o nome e os contatos do encarregado da proteção de dados ou de outro ponto de contato onde se possam obter mais informações;
C) Descrever as consequências prováveis da violação de dados pessoais;
D) Descrever as medidas tomadas ou propostas pelo responsável pelo tratamento para resolver a violação de dados pessoais, incluindo, se for caso disso, medidas para mitigar os seus eventuais efeitos negativos.
§ INCISO 33.4 — O responsável pelo tratamento deve documentar todas as violações de dados pessoais, incluindo os factos relacionados com as mesmas, os seus efeitos e as medidas de correção tomadas. Essa documentação deve permitir à autoridade de controlo verificar o cumprimento do presente artigo.
