Núm.

119
 17 de novembre del 2021
 25/44
 de les seves fases estan subjectes al deure de confidencialitat, que es manté encara que hagi finalitzat la 
relació de l’obligat amb el responsable del tractament o l’encarregat del tractament.

Article 36.

Notificació d’una violació de la seguretat de les dades personals a l’autoritat de control
1.

En cas de violació de la seguretat de les dades personals, el responsable del tractament l’ha de notificar 
a l’Agència Andorrana de Protecció de Dades, sense dilació indeguda i, si és possible, en un termini màxim 
de setanta-dues hores després que n’hagi tingut constància; tret que sigui improbable que aquesta violació 
de la seguretat constitueixi un risc per als drets i les llibertats de les persones físiques.

Si la notificació no 
es produeix en el termini de setanta-dues hores, s’han de justificar els motius de la dilació.

2.
2.

L’encarregat del tractament ha de notificar al responsable del tractament, sense dilació, les violacions de 
la seguretat de les dades personals de les quals té coneixement.

3.

La notificació que preveu l’apartat 1, com a mínim, ha de:
 a) Descriure la naturalesa de la violació de la seguretat de les dades personals, incloent-hi, si és possi-
ble, les categories i el nombre aproximat de persones interessades afectades, i les categories i el nom-
bre aproximat de registres de dades personals afectats.

b) Comunicar el nom i les dades de contacte del delegat de protecció de dades o d’un altre punt de con-
tacte on es pot obtenir més informació.

c) Descriure les possibles conseqüències de la violació de la seguretat de les dades personals.

d) Descriure les mesures adoptades o proposades pel responsable del tractament per fer front a la vi-
olació de la seguretat de les dades personals, incloses, si escau, les mesures adoptades per mitigar-ne 
els possibles efectes negatius.

4.
4.

Si tota la informació no es pot facilitar simultàniament, en la mesura que no es pugui, s’ha de facilitar de 
manera gradual sense dilació indeguda.

5.

El responsable del tractament ha de documentar qualsevol violació de la seguretat de les dades personals, 
inclosos els fets que hi estan relacionats, els seus efectes i les mesures correctores que s’han adoptat, per 
tal de permetre a l’autoritat de control verificar el compliment de la notificació.

Article 37.

Comunicació d’una violació de la seguretat de les dades personals a la persona interessada
1.

Quan la violació de la seguretat de les dades personals pot comportar un alt risc per als drets i les lli-
bertats de les persones físiques, el responsable del tractament l’ha de comunicar a la persona interessada 
sense dilació indeguda.

2.
2.

La comunicació a la persona interessada, referida a l’apartat precedent, ha de descriure, amb un llen-
guatge clar i senzill, la naturalesa de la violació de la seguretat de les dades personals i ha de contenir, com 
a mínim, la informació i les mesures previstes a les lletres b), c) i d) de l’apartat 3 de l’article 36.

3.

La comunicació a la persona interessada, referida a l’apartat 1, no és necessària si es compleix alguna 
de les condicions següents:
 a) El responsable del tractament ha adoptat les mesures de protecció tècniques i organitzatives adequa-
des i les ha aplicat a les dades personals afectades per la violació de la seguretat, en especial les que fa-
cin inintel·ligibles les dades personals per a qualsevol persona que no estigui autoritzada a accedir-hi, 
com el xifrat.

b) El responsable del tractament ha pres mesures posteriors que garanteixen que ja no existeix la pos-
sibilitat que es materialitzi l’alt risc per als drets i les llibertats de les persones interessades.
c) Suposa un esforç desproporcionat.

En aquest cas, s’ha d’optar per una comunicació pública o una me-
sura semblant, que informi les persones interessades de manera igualment efectiva.

4.

Quan el responsable encara no ha comunicat a la persona interessada la violació de la seguretat de les 
dades personals, l’autoritat de control, una vegada considerada la probabilitat que aquesta violació comporti 
 l
a
r
e
n
e
G
l
l
e
s
n
o
C