Član 35. Zakon o zaštiti ličnih podataka

(Izvještavanje Agencije o povredi ličnog podatka) (1) Kontrolor podataka dužan je o povredi ličnog podatka bez nepotrebnog odgađanja i, ako je moguće, a najkasnije u roku od 72 sata nakon saznanja za tu povredu, obavijestiti Agenciju o povredi ličnog podatka, osim u slučaju ako je vjerovatno da ta povreda neće ugroziti prava i slobode fizičkog lica. Ako izvještavanje nije izvršeno u roku od 72 sata, kontrolor podataka dužan je Agenciji navesti razloge za kašnjenje. (2) Obrađivač je dužan, po saznanju za povredu ličnog podatka, bez nepotrebnog odgađanja o tome obavijestiti kontrolora podataka. (3) Izvještaj iz stava (1) ovog člana sadrži najmanje sljedeće: a) opis prirode povrede ličnih podataka, i ako je moguće, s navedenim kategorijama i približnim brojem nosilaca podataka, kao i kategorijama i približnim brojem evidencija ličnih podataka; b) ime i prezime te kontakt-podatke službenika za zaštitu podataka ili druge kontaktne tačke od koje se može dobiti još informacija; c) opis moguće posljedice povrede ličnog podatka; d) opis mjera koje je kontrolor podataka preduzeo ili čije je preduzimanje predložio radi rješavanja problema povrede ličnog podatka, uključujući prema potrebi i mjere za ublažavanje njenih mogućih štetnih posljedica. (4) Ako i u mjeri u kojoj ih nije moguće istovremeno dostaviti, informacije se mogu dostavljati u dijelovima, bez nepotrebnog daljnjeg odgađanja. (5) Kontrolor podataka dokumentira svaku povredu ličnog podatka, uključujući i činjenice u vezi s povredom ličnog podatka, njene posljedice i mjere preduzete za otklanjanje štete. Dokumentacija iz ovog stava omogućava Agenciji postupanje po ovom članu.