(86) Нарушение персональных данных может, если не устранено надлежащим и своевременным образом, привести к физическому, материальному или нематериальному ущербу физическим лицам, такому как потеря контроля над их личными данными или ограничение их прав, дискриминация, кража личных данных или мошенничество, финансовые потери, несанкционированное изменение псевдонимизация, ущерб репутации, потеря конфиденциальности персональных данных, защищенных профессиональной тайной, или любой другой значительный экономический или социальный ущерб для соответствующего физического лица. Следовательно, как только контролеру становится известно, что произошла утечка персональных данных, контролер должен уведомить о утечке персональных данных надзорный орган без неоправданной задержки и, где это возможно, не позднее, чем через 72 часа после того, как ему стало известно об этом, если только контролер не сможет продемонстрировать, в соответствии с принцип подотчетности заключается в том, что нарушение персональных данных вряд ли приведет к риску для прав и свобод физических лиц. Если такое уведомление не может быть получено в течение 72 часов, причины задержки должны сопровождаться уведомлением, и информация может предоставляться поэтапно без неоправданной дальнейшей задержки.

(87) Следует удостовериться, были ли приняты все надлежащие меры технологической защиты и организационные меры, чтобы немедленно установить, имело ли место нарушение персональных данных, и незамедлительно проинформировать надзорный орган и субъекта данных. Тот факт, что уведомление было сделано без неоправданной задержки, должен быть установлен с учетом, в частности, характера и серьезности нарушения персональных данных, а также его последствий и неблагоприятных последствий для субъекта данных. Такое уведомление может привести к вмешательству надзорного органа в соответствии с его задачами и полномочиями, изложенными в настоящем Регламенте.

(88) При установлении подробных правил, касающихся формата и процедур, применимых к уведомлению о нарушениях персональных данных, следует должным образом учитывать обстоятельства этого нарушения, включая то, были ли персональные данные защищены соответствующими техническими мерами защиты, эффективно ограничивающими вероятность мошенничества с личными данными или других форм неправильного использования. Более того, такие правила и процедуры должны учитывать законные интересы правоохранительных органов в тех случаях, когда раннее раскрытие может неоправданно затруднить расследование обстоятельств нарушения персональных данных.