Regulation (EU) 2016/679

de · official · sha256:0c6ed73fffb5a3886d2c7b91786c18ad8f20cb5c009e98e2f301a2b4999f0379DE

Im Falle einer Verletzung des Schutzes personenbezogener Daten meldet der Verantwortliche unverzüglich und möglichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt wurde, diese der gemäß Artikel 55 zuständigen Aufsichtsbehörde, es sei denn, dass die Verletzung des Schutzes personenbezogener Daten voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Erfolgt die Meldung an die Aufsichtsbehörde nicht binnen 72 Stunden, so ist ihr eine Begründung für die Verzögerung beizufügen.

Referencing norms: Article33NotificationDuty, Article33NotificationDuty/unless/0, LateNotificationReasonsRequired, NotifyAuthority

de · official · sha256:af5ab2d7b5757c72339d4126c4fed0d51442a0985014765194d6b98a00661431DE

Wenn dem Auftragsverarbeiter eine Verletzung des Schutzes personenbezogener Daten bekannt wird, meldet er diese dem Verantwortlichen unverzüglich.

de · official · sha256:39f38d0427bd18c50c7132b509973e151cdac976cbb57b1f4f6522928d6f5401DE

eine Beschreibung der Art der Verletzung des Schutzes personenbezogener Daten, soweit möglich mit Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen, der betroffenen Kategorien und der ungefähren Zahl der betroffenen personenbezogenen Datensätze;

de · official · sha256:ea6a1ae47d1c9005947b69283f6d659cb3b84863876186de22c55b0988304200DE

den Namen und die Kontaktdaten des Datenschutzbeauftragten oder einer sonstigen Anlaufstelle für weitere Informationen;

de · official · sha256:632e1729bd7fcf77b462fad4ce7dc3a074685fcbaaf2a3914e1c834a8779c89aDE

eine Beschreibung der wahrscheinlichen Folgen der Verletzung des Schutzes personenbezogener Daten;

de · official · sha256:098042b2a6b3ee044431324bf777c2aaf0bf7ec37c4504e0ad92ce8b4330f8e4DE

eine Beschreibung der von dem Verantwortlichen ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung des Schutzes personenbezogener Daten und gegebenenfalls Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen.

de · official · sha256:9fac2e71c60626eebd445c6ee78a42115a0e911620d434362bc2840b827addc7DE

Die Meldung gemäß Absatz 1 enthält zumindest folgende Informationen:

de · official · sha256:138b86f83af0f48ed9b8d1d2291cacba4a3259c0148506be1373f8e413ff79a8DE

Wenn und soweit die Informationen nicht zur gleichen Zeit bereitgestellt werden können, kann der Verantwortliche diese Informationen ohne unangemessene weitere Verzögerung schrittweise zur Verfügung stellen.

Referencing norms: Article33PhasedNotification

de · official · sha256:bcfd64b1a05c9d7bc81b283469b165d87b86c44616fbb258f1e63649354a3111DE

Der Verantwortliche dokumentiert Verletzungen des Schutzes personenbezogener Daten einschließlich aller im Zusammenhang mit der Verletzung des Schutzes personenbezogener Daten stehenden Fakten, ihrer Auswirkungen und der ergriffenen Abhilfemaßnahmen. Diese Dokumentation muss der Aufsichtsbehörde die Überprüfung der Einhaltung der Bestimmungen dieses Artikels ermöglichen.

Referencing norms: Article33DocumentationDuty, DocumentBreach

de · official · sha256:5b0b84658dedb7e0e613f0c850aef8f88905f3982f13d36323748ec1c310c9f0DE

Hat die Verletzung des Schutzes personenbezogener Daten voraussichtlich ein hohes Risiko für die persönlichen Rechte und Freiheiten natürlicher Personen zur Folge, so benachrichtigt der Verantwortliche die betroffene Person unverzüglich von der Verletzung.

Referencing norms: Article34CommunicationDuty, Article34CommunicationDuty/unless/0, Article34CommunicationDuty/unless/1, Article34CommunicationDuty/unless/2, NotifyDataSubject

de · official · sha256:f9f76e6d89d49449cc790684d6af65cd5ec71fc1545ee7d259a272a62b9aa7b3DE

Die in Absatz 1 genannte Benachrichtigung der betroffenen Person beschreibt in klarer und einfacher Sprache die Art der Verletzung des Schutzes personenbezogener Daten und enthält zumindest die in Artikel 33 Absatz 3 Buchstaben b, c und d genannten Informationen und Maßnahmen.

de · official · sha256:b2a42e83f36ead408ab03595fe2602c1655f9e6661354526acfe382e136174e9DE

der Verantwortliche hat geeignete technische und organisatorische Sicherheitsvorkehrungen getroffen und diese Vorkehrungen wurden auf die von der Verletzung betroffenen personenbezogenen Daten angewandt, insbesondere solche, durch die die personenbezogenen Daten für alle Personen, die nicht zum Zugang zu den personenbezogenen Daten befugt sind, unzugänglich gemacht werden, etwa durch Verschlüsselung;

Referencing norms: Article34CommunicationDuty, Article34CommunicationDuty/unless/0, Article34CommunicationDuty/unless/1, Article34CommunicationDuty/unless/2, NotifyDataSubject

de · official · sha256:ff4d46f39f5758d55d52189b9d1b59c3ff18e5d15fbabf4e29892654ef667200DE

der Verantwortliche hat durch nachfolgende Maßnahmen sichergestellt, dass das hohe Risiko für die Rechte und Freiheiten der betroffenen Personen gemäß Absatz 1 aller Wahrscheinlichkeit nach nicht mehr besteht;

Referencing norms: Article34CommunicationDuty, Article34CommunicationDuty/unless/0, Article34CommunicationDuty/unless/1, Article34CommunicationDuty/unless/2, NotifyDataSubject

de · official · sha256:b0bfc72567d90186772011a65b198868b6bd18957935f182e2d0cb27afb4505bDE

die Benachrichtigung wäre mit einem unverhältnismäßigen Aufwand verbunden. In diesem Fall hat stattdessen eine öffentliche Bekanntmachung oder eine ähnliche Maßnahme zu erfolgen, durch die die betroffenen Personen vergleichbar wirksam informiert werden.

Referencing norms: Article34CommunicationDuty, Article34CommunicationDuty/unless/0, Article34CommunicationDuty/unless/1, Article34CommunicationDuty/unless/2, Article34PublicCommunicationDuty, NotifyDataSubject, PublicCommunication

de · official · sha256:fb421f1932a39a0ae66049eac9f478f19c8fe52f4fb4e0784845ec233330e424DE

Die Benachrichtigung der betroffenen Person gemäß Absatz 1 ist nicht erforderlich, wenn eine der folgenden Bedingungen erfüllt ist:

de · official · sha256:660a1880c7c722c3820620acdcde092024dc0534899a4266a8a998b603eac612DE

Wenn der Verantwortliche die betroffene Person nicht bereits über die Verletzung des Schutzes personenbezogener Daten benachrichtigt hat, kann die Aufsichtsbehörde unter Berücksichtigung der Wahrscheinlichkeit, mit der die Verletzung des Schutzes personenbezogener Daten zu einem hohen Risiko führt, von dem Verantwortlichen verlangen, dies nachzuholen, oder sie kann mit einem Beschluss feststellen, dass bestimmte der in Absatz 3 genannten Voraussetzungen erfüllt sind.

en · official · sha256:0f3443ae32548e641fce0d625e61e932fb0b7df5f28ddbaf21722b564f7e929b

In the case of a personal data breach, the controller shall without undue delay and, where feasible, not later than 72 hours after having become aware of it, notify the personal data breach to the supervisory authority competent in accordance with Article 55, unless the personal data breach is unlikely to result in a risk to the rights and freedoms of natural persons. Where the notification to the supervisory authority is not made within 72 hours, it shall be accompanied by reasons for the delay.

Referencing norms: Article33NotificationDuty, Article33NotificationDuty/unless/0, LateNotificationReasonsRequired, NotifyAuthority

en · official · sha256:cdafa0c9267f2078a7fc65bf8093c7f6a7f5717ae244b55f5088fff98daaa7f2

The processor shall notify the controller without undue delay after becoming aware of a personal data breach.

en · official · sha256:9e2047430152c6caee99951cb249d193daf3f6434706456bc2b1ac59e05b7ae1

The notification referred to in paragraph 1 shall at least:

en · official · sha256:2238231ef4a5ddb0886c11ffca7310d57f9cef41db959bb91c8921bdd9df9599

describe the nature of the personal data breach including where possible, the categories and approximate number of data subjects concerned and the categories and approximate number of personal data records concerned;

en · official · sha256:584e53422fd831dc8ec803b6163fe405e58e610c61d69ca8fb5eea32a1fd7c5f

communicate the name and contact details of the data protection officer or other contact point where more information can be obtained;

en · official · sha256:a809d00f50ccbe62670f90b75c7760ecaa8e3ba7c337290db0746ef84b28f615

describe the likely consequences of the personal data breach;

en · official · sha256:cb777ba985e482a7e20179127fe027397951e1ed42df6fd3dc1111bb23c5ac70

describe the measures taken or proposed to be taken by the controller to address the personal data breach, including, where appropriate, measures to mitigate its possible adverse effects.

en · official · sha256:cd0f630f007aa93bee1c3dc85067883afbbfd55bfc90cd2435b69ad3de1f87e0

Where, and in so far as, it is not possible to provide the information at the same time, the information may be provided in phases without undue further delay.

Referencing norms: Article33PhasedNotification

en · official · sha256:b42c1c4317e412b3d156226566d50b4aa5bebfceae50729b68c86e182a067c0d

The controller shall document any personal data breaches, comprising the facts relating to the personal data breach, its effects and the remedial action taken. That documentation shall enable the supervisory authority to verify compliance with this Article.

Referencing norms: Article33DocumentationDuty, DocumentBreach

en · official · sha256:15fe84681e44264818adbcb9f11162c02d9696a581f77b0e8dff56b3eb09e5a5

When the personal data breach is likely to result in a high risk to the rights and freedoms of natural persons, the controller shall communicate the personal data breach to the data subject without undue delay.

Referencing norms: Article34CommunicationDuty, Article34CommunicationDuty/unless/0, Article34CommunicationDuty/unless/1, Article34CommunicationDuty/unless/2, NotifyDataSubject

en · official · sha256:492d4cd0c3c3d194de07733e87625c12a2fcce1449d3ec406b38ad7389919adf

The communication to the data subject referred to in paragraph 1 of this Article shall describe in clear and plain language the nature of the personal data breach and contain at least the information and measures referred to in points (b), (c) and (d) of Article 33(3).

en · official · sha256:e16b13e4292205d3f81d59d11ac635becc810d1bd9cd27f955978cbe37806752

The communication to the data subject referred to in paragraph 1 shall not be required if any of the following conditions are met:

en · official · sha256:933dc4a3ee1080ed3772b1785b7ff9795c360a98ad6906a9758e028a31227e48

the controller has implemented appropriate technical and organisational protection measures, and those measures were applied to the personal data affected by the personal data breach, in particular those that render the personal data unintelligible to any person who is not authorised to access it, such as encryption;

Referencing norms: Article34CommunicationDuty, Article34CommunicationDuty/unless/0, Article34CommunicationDuty/unless/1, Article34CommunicationDuty/unless/2, NotifyDataSubject

en · official · sha256:7022167f5ce3249c75e1a7ab9414743f5126a529fbcbcbc0ecdd5a1a1e242638

the controller has taken subsequent measures which ensure that the high risk to the rights and freedoms of data subjects referred to in paragraph 1 is no longer likely to materialise;

Referencing norms: Article34CommunicationDuty, Article34CommunicationDuty/unless/0, Article34CommunicationDuty/unless/1, Article34CommunicationDuty/unless/2, NotifyDataSubject

en · official · sha256:71d39da898ee8ef0af1a787841d78b3ac79bb1f303a9fe02200fffb396b319d4

it would involve disproportionate effort. In such a case, there shall instead be a public communication or similar measure whereby the data subjects are informed in an equally effective manner.

Referencing norms: Article34CommunicationDuty, Article34CommunicationDuty/unless/0, Article34CommunicationDuty/unless/1, Article34CommunicationDuty/unless/2, Article34PublicCommunicationDuty, NotifyDataSubject, PublicCommunication

en · official · sha256:a99659a91b4029cbf44507562b20753bbdc8fbb7c61c5b79c6675a4a707df027

If the controller has not already communicated the personal data breach to the data subject, the supervisory authority, having considered the likelihood of the personal data breach resulting in a high risk, may require it to do so or may decide that any of the conditions referred to in paragraph 3 are met.

fr · official · sha256:7f2a5b4ba3b9e218de4b775322acea5f51bb6007cc97dba7986403d57d7a9cefFR

En cas de violation de données à caractère personnel, le responsable du traitement en notifie la violation en question à l'autorité de contrôle compétente conformément à l'article 55, dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, à moins que la violation en question ne soit pas susceptible d'engendrer un risque pour les droits et libertés des personnes physiques. Lorsque la notification à l'autorité de contrôle n'a pas lieu dans les 72 heures, elle est accompagnée des motifs du retard.

Referencing norms: Article33NotificationDuty, Article33NotificationDuty/unless/0, LateNotificationReasonsRequired, NotifyAuthority

fr · official · sha256:5fdb640ba192d811d784ceb7cedefbcfecd97852d97f71cb77933b0fae2cb801FR

Le sous-traitant notifie au responsable du traitement toute violation de données à caractère personnel dans les meilleurs délais après en avoir pris connaissance.

fr · official · sha256:a0439ddd8968a1a86d66af908256870ea271ba7962b2a69a29ac6797c3bf3a0fFR

décrire la nature de la violation de données à caractère personnel y compris, si possible, les catégories et le nombre approximatif de personnes concernées par la violation et les catégories et le nombre approximatif d'enregistrements de données à caractère personnel concernés;

fr · official · sha256:77e047809afa3e138abe78fdafcdb0b1658740b4027f680a47b9cbb31b062580FR

communiquer le nom et les coordonnées du délégué à la protection des données ou d'un autre point de contact auprès duquel des informations supplémentaires peuvent être obtenues;

fr · official · sha256:98b099b2d16d1f69bb2c66ad0b22b1808373a671c24d75a240f062e40a5a858eFR

décrire les conséquences probables de la violation de données à caractère personnel;

fr · official · sha256:3c019fa4a25badd358b3310278fc27098483b5cc90122d541b77c099fd8e8032FR

décrire les mesures prises ou que le responsable du traitement propose de prendre pour remédier à la violation de données à caractère personnel, y compris, le cas échéant, les mesures pour en atténuer les éventuelles conséquences négatives.

fr · official · sha256:fea47ca6f5e7f4f4806c6d31aed63f27df1ae1da55ab3e20e2faadc80ffa8b97FR

La notification visée au paragraphe 1 doit, à tout le moins:

fr · official · sha256:db270f25d47b8a776c5fd5a26470e89b2f21f82197248d675d6d22125131e016FR

Si, et dans la mesure où, il n'est pas possible de fournir toutes les informations en même temps, les informations peuvent être communiquées de manière échelonnée sans autre retard indu.

Referencing norms: Article33PhasedNotification

fr · official · sha256:74d9711b13c1ce968679e1525c4790c094c0db686e3f04167b5fb4d7948726c7FR

Le responsable du traitement documente toute violation de données à caractère personnel, en indiquant les faits concernant la violation des données à caractère personnel, ses effets et les mesures prises pour y remédier. La documentation ainsi constituée permet à l'autorité de contrôle de vérifier le respect du présent article.

Referencing norms: Article33DocumentationDuty, DocumentBreach

fr · official · sha256:e6b5e27aec3e667139043e3a7d82673d02ce4ead683dda503abf25505bc6aaf3FR

Lorsqu'une violation de données à caractère personnel est susceptible d'engendrer un risque élevé pour les droits et libertés d'une personne physique, le responsable du traitement communique la violation de données à caractère personnel à la personne concernée dans les meilleurs délais.

Referencing norms: Article34CommunicationDuty, Article34CommunicationDuty/unless/0, Article34CommunicationDuty/unless/1, Article34CommunicationDuty/unless/2, NotifyDataSubject

fr · official · sha256:044c3eb4121aa2783cfe020250f99abbec559168532a50940dfdd4917512dd30FR

La communication à la personne concernée visée au paragraphe 1 du présent article décrit, en des termes clairs et simples, la nature de la violation de données à caractère personnel et contient au moins les informations et mesures visées à l'article 33, paragraphe 3, points b), c) et d).

fr · official · sha256:d0081b7cb6c812ab04cd3b1bc29168d29dc3baacd8c2565e4ea7354bf08c9c64FR

le responsable du traitement a mis en œuvre les mesures de protection techniques et organisationnelles appropriées et ces mesures ont été appliquées aux données à caractère personnel affectées par ladite violation, en particulier les mesures qui rendent les données à caractère personnel incompréhensibles pour toute personne qui n'est pas autorisée à y avoir accès, telles que le chiffrement;

Referencing norms: Article34CommunicationDuty, Article34CommunicationDuty/unless/0, Article34CommunicationDuty/unless/1, Article34CommunicationDuty/unless/2, NotifyDataSubject

fr · official · sha256:a9e973d8f7d4f225ab9767b0abb14d1b52a5339980ef899aed1494d29ad17e08FR

le responsable du traitement a pris des mesures ultérieures qui garantissent que le risque élevé pour les droits et libertés des personnes concernées visé au paragraphe 1 n'est plus susceptible de se matérialiser;

Referencing norms: Article34CommunicationDuty, Article34CommunicationDuty/unless/0, Article34CommunicationDuty/unless/1, Article34CommunicationDuty/unless/2, NotifyDataSubject

fr · official · sha256:c414b0d3f2aa1925f88d73f391ce074a464f7292eebcb8447a3dd0d146a1f381FR

elle exigerait des efforts disproportionnés. Dans ce cas, il est plutôt procédé à une communication publique ou à une mesure similaire permettant aux personnes concernées d'être informées de manière tout aussi efficace.

Referencing norms: Article34CommunicationDuty, Article34CommunicationDuty/unless/0, Article34CommunicationDuty/unless/1, Article34CommunicationDuty/unless/2, Article34PublicCommunicationDuty, NotifyDataSubject, PublicCommunication

fr · official · sha256:4ffeee1f173ce350b9a940bdf1fd7ee5a09cb64e983f34c15853e5f94c15335aFR

La communication à la personne concernée visée au paragraphe 1 n'est pas nécessaire si l'une ou l'autre des conditions suivantes est remplie:

fr · official · sha256:d0ab3d60f2721e218a36b1894f7a65f11dfd5c74d040502a6d2fb13a4909f0e4FR

Si le responsable du traitement n'a pas déjà communiqué à la personne concernée la violation de données à caractère personnel la concernant, l'autorité de contrôle peut, après avoir examiné si cette violation de données à caractère personnel est susceptible d'engendrer un risque élevé, exiger du responsable du traitement qu'il procède à cette communication ou décider que l'une ou l'autre des conditions visées au paragraphe 3 est remplie.