1.
W przypadku gdy naruszenie ochrony danych osobowych może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych, administrator bez zbędnej zwłoki zawiadamia osobę, której dane dotyczą, o naruszeniu ochrony danych osobowych.
2.
Zawiadomienie, o którym mowa w ust. 1, zawiera w szczególności:
1)
opis charakteru naruszenia ochrony danych osobowych;
2)
informacje, o których mowa w art. 44 zgłoszenie naruszenia ochrony danych osobowych ust. 4 pkt 2-4.
3.
Zawiadomienie, o którym mowa w ust. 1, nie jest wymagane, jeżeli został spełniony jeden z poniższych warunków:
1)
administrator zastosował odpowiednie techniczne i organizacyjne środki ochrony, w szczególności szyfrowanie, uniemożliwiające odczyt osobom nieuprawnionym do dostępu do tych danych osobowych;
2)
administrator zastosował następnie środki eliminujące prawdopodobieństwo wysokiego ryzyka naruszenia praw lub wolności osób, których dane dotyczą, wskazanych w ust. 1;
3)
zawiadomienie wymagałoby niewspółmiernie dużego wysiłku.
4.
W przypadku, o którym mowa w ust. 3 pkt 3, administrator wydaje publiczny komunikat lub stosuje podobny środek zawierający elementy wskazane w ust. 2, za pomocą którego osoby, których dane dotyczą, zostają poinformowane w równie skuteczny sposób.
5.
Jeżeli administrator nie zawiadomił jeszcze osoby, której dane dotyczą, o naruszeniu ochrony danych osobowych, Prezes Urzędu, biorąc pod uwagę prawdopodobieństwo, że naruszenie ochrony danych osobowych spowoduje wysokie ryzyko, może:
1)
zażądać wystosowania przez administratora zawiadomienia;
2)
stwierdzić, że został spełniony jeden z warunków, o których mowa w ust. 3.
6.
W przypadku, o którym mowa w art. 26 niedopuszczalność przekazywania informacji i udostępniania danych osobowych ust. 1, zawiadomienie, o którym mowa w ust. 1, można opóźnić, ograniczyć lub pominąć.
