52. člen
(obvestilo nadzornemu organu o kršitvi varnosti osebnih podatkov)
(1)
V primeru kršitve varnosti osebnih podatkov, za katero je verjetno, da bi povzročila tveganje za človekove pravice in temeljne svoboščine posameznikov, pristojni organ brez nepotrebnega odlašanja, po možnosti pa najpozneje v 72 urah po seznanitvi s kršitvijo, o kršitvi uradno obvesti nadzorni organ. Kadar obvestilo ni podano v 72 urah, obvestilu priloži tudi razloge za zamudo.
(2)
Obdelovalec ob seznanitvi s kršitvijo varnosti osebnih podatkov o tem nemudoma obvesti pristojni organ.
(3)
Obvestilo iz prvega odstavka tega člena vsebuje najmanj:
1.
opis narave kršitve varnosti osebnih podatkov, po možnosti pa tudi kategorije in oceno števila zadevnih posameznikov, na katere se nanašajo osebni podatki, ter vrste in oceno števila zbirk osebnih podatkov, v zvezi s katerimi so se zgodile kršitve;
2.
sporočilo o imenu in kontaktnih podatkih pooblaščene osebe za varstvo osebnih podatkov ali druge kontaktne točke, pri kateri je mogoče pridobiti več informacij;
3.
opis verjetnih posledic kršitve varnosti osebnih podatkov;
4.
opis sprejetih ali predlaganih ukrepov za obravnavanje kršitve varnosti osebnih podatkov, če je to primerno, tudi z ukrepi za zmanjšanje morebitnih škodljivih učinkov kršitve.
(4)
Kadar informacij ni mogoče zagotoviti istočasno, se informacije lahko zagotovijo postopoma brez nepotrebnega dodatnega odlašanja.
(5)
Pristojni organ dokumentira vsako kršitev varnosti osebnih podatkov iz prvega odstavka tega člena, vključno z dejstvi v zvezi s kršitvijo varnosti osebnih podatkov, njenimi predvidenimi učinki in sprejetimi popravnimi ukrepi, ki jih je sprejel za odpravo kršitve. Dokumentacija je na razpolago nadzornemu organu, kadar preverja skladnost delovanja pristojnega organa z določbami tega člena.
(6)
Kadar kršitev varnosti osebnih podatkov vključuje osebne podatke, ki jih je pristojni organ dobil od upravljavca iz druge države članice Evropske unije ali ki jih je poslal upravljavcu iz druge države članice Evropske unije, mora pristojni organ informacije iz tretjega odstavka tega člena brez nepotrebnega odlašanja sporočiti upravljavcu druge države članice Evropske unije.