1. Quan la violació de la seguretat de les dades personals pot comportar un alt risc per als drets i les llibertats de les persones físiques, el responsable del tractament l’ha de comunicar a la persona interessada sense dilació indeguda.
2. La comunicació a la persona interessada, referida a l’apartat precedent, ha de descriure, amb un llenguatge clar i senzill, la naturalesa de la violació de la seguretat de les dades personals i ha de contenir, com a mínim, la informació i les mesures previstes a les lletres b), c) i d) de l’apartat 3 de l’article 36.
3. La comunicació a la persona interessada, referida a l’apartat 1, no és necessària si es compleix alguna de les condicions següents:
a) El responsable del tractament ha adoptat les mesures de protecció tècniques i organitzatives adequades i les ha aplicat a les dades personals afectades per la violació de la seguretat, en especial les que facin inintel·ligibles les dades personals per a qualsevol persona que no estigui autoritzada a accedir-hi, com el xifrat.
b) El responsable del tractament ha pres mesures posteriors que garanteixen que ja no existeix la possibilitat que es materialitzi l’alt risc per als drets i les llibertats de les persones interessades.
c) Suposa un esforç desproporcionat. En aquest cas, s’ha d’optar per una comunicació pública o una mesura semblant, que informi les persones interessades de manera igualment efectiva.
4. Quan el responsable encara no ha comunicat a la persona interessada la violació de la seguretat de les dades personals, l’autoritat de control, una vegada considerada la probabilitat que aquesta violació comporti un alt risc, pot exigir al responsable que ho faci o bé pot decidir que es compleix alguna de les condicions esmentades a l’apartat precedent.