Статья 92Регламент № 2018/1725 Европейского парламента и Совета Европейского Союза

1. В случае утечки персональных данных контролер без необоснованного промедления и, если это осуществимо, не позднее 72 часов после того, как ему стало известно об утечке, должен уведомить Европейского инспектора по защите данных об утечке персональных данных, кроме случаев, когда утечка персональных данных, вероятно, не приведет к риску для прав и свобод физических лиц. Если уведомление Европейского инспектора по защите данных не было сделано в течение 72 часов, оно должно сопровождаться указанием причин задержки.

2. Уведомление, указанное в параграфе 1, должно по меньшей мере:

(a) описывать характер утечки персональных данных, включая, если это возможно, категории и приблизительное число заинтересованных субъектов данных, а также категории и приблизительное число соответствующих записей оперативных персональных данных;

(b) сообщать имя и контактные данные инспектора по защите данных;

(c) описывать возможные последствия утечки персональных данных;

(d) описывать принятые или предлагаемые контролером меры для устранения утечки персональных данных, включая, если это целесообразно, меры по смягчению возможного негативного воздействия.

3. Если и поскольку невозможно одновременное предоставление информации, указанной в параграфе 2, информация может предоставляться поэтапно без необоснованного промедления.

4. Контролер должен документировать любые утечки персональных данных, указанные в параграфе 1, включая все факты, относящиеся к утечке персональных данных, ее последствия и принятые корректирующие меры. Указанная документация должна обеспечивать Европейскому инспектору по защите данных возможность проверки соблюдения требований настоящей Статьи.

5. Если утечка персональных данных связана с передачей оперативных персональных данных компетентными органами или компетентным органам, контролер без необоснованного промедления должен сообщить информацию, указанную в параграфе 2, заинтересованным компетентным органам.