Article 19: Notificació de violacions de seguretat

1. Una violació de la seguretat de les dades es produeix quan les dades personals que tracta un responsable o un encarregat del tractament pateixen un incident de seguretat que dona lloc a la violació de la confidencialitat, disponibilitat o integritat de les dades.

2. Si la violació posa en risc els drets i les llibertats d’una persona, tal com fixa la Llei 29/2021, del 28 d’octubre, qualificada de protecció de dades personals, el responsable del tractament ho ha de notificar a l’autoritat de control tan aviat com sigui possible i, com a molt tard, 72 hores després –incloses les hores transcorregudes en caps de setmana i dies festius– que el responsable tingui constància que l’incident de seguretat ha afectat dades personals. Si la notificació no té lloc en aquest termini, s’han de justificar els motius de la dilació. L’encarregat del tractament ha de notificar cada violació de la seguretat de les dades al responsable del tractament.

3. Quan en el moment de la notificació no és possible facilitar tota la informació necessària, el responsable del tractament ha d’informar-ne de manera gradual, com més aviat millor i sense dilació.

4. D’acord amb la Llei 29/2021, del 28 d’octubre, qualificada de protecció de dades personals, si la violació de la seguretat de les dades suposa un risc alt per a les persones afectades, aquestes persones també n’han de ser informades tan aviat com sigui raonablement possible.

5. Quan el responsable del tractament notifica una violació de seguretat a l’autoritat de control, d’acord amb la Llei 29/2021 del 28 d’octubre, qualificada de protecció de dades personals, com a mínim, ha de:

6. La notificació es fa amb el formulari corresponent de l’Agència Andorrana de Protecció de Dades. L’Agència pot requerir la informació addicional necessària i emetre l’ordre o la comunicació oportuns, i també establir el termini en què el responsable ha d’atendre el requeriment.

7. Si considera que no hi ha riscos per als drets i les llibertats de les persones físiques, el responsable ha de documentar qualsevol violació de la seguretat de les dades personals, inclosos els fets relacionats amb la violació de seguretat, els seus efectes i les mesures correctives adoptades, perquè l’autoritat de control pugui verificar el compliment del principi de responsabilitat proactiva.