BOLETÍN OFICIAL DEL ESTADO
Jueves 27 de mayo de 2021

Sec. I. Pág. 64127

que sea improbable que la violación de la seguridad de los datos personales constituya un
peligro para los derechos y las libertades de las personas físicas.
La notificación deberá realizarse en el plazo de las setenta y dos horas siguientes al
momento en que se haya tenido constancia de ella. En caso contrario, deberá ir
acompañada de los motivos de la dilación.
2. El encargado del tratamiento notificará, sin dilación indebida, al responsable del
tratamiento, las violaciones de la seguridad de los datos personales de las que tenga
conocimiento.
3. La notificación contemplada en el apartado 1 deberá, al menos:
a) Referir la naturaleza de la violación de la seguridad de los datos personales,
incluyendo, cuando sea posible, las categorías y el número aproximado de personas
afectadas, así como las categorías y el número aproximado de registros de datos
personales afectados por la violación de la seguridad.
b) Comunicar el nombre y los datos de contacto del delegado de protección de datos
o de otro punto de contacto en el que pueda obtenerse más información.
c) Detallar las posibles consecuencias de la violación de la seguridad de los datos
personales.
d) Describir las medidas adoptadas o propuestas por el responsable del tratamiento
para poner remedio a la violación de la seguridad de los datos personales, incluyendo, si
procede, las medidas adoptadas para mitigar sus posibles efectos negativos.
4. Si no fuera posible facilitar la información simultáneamente, se podrá facilitar de
forma progresiva, a medida que se disponga de ella.
5. El responsable del tratamiento documentará cualquier violación de la seguridad de
los datos personales, incluidos los hechos relativos a dicha violación, sus efectos y las
medidas correctivas adoptadas.
Dicha documentación estará a disposición de la autoridad de protección de datos
competente al objeto de verificar el cumplimiento de lo dispuesto en este artículo.
6. Cuando la violación de la seguridad de los datos personales afecte a datos que
hayan sido transmitidos por el responsable del tratamiento o al responsable del tratamiento
de otro Estado miembro de la Unión Europea, la información recogida en el apartado 3 se
comunicará al responsable del tratamiento de dicho Estado.
7. Todas las actividades relacionadas en este artículo se realizarán sin dilaciones
indebidas.
Artículo 39. Comunicación de una violación de la seguridad de los datos personales al
interesado.
1. Cuando existan indicios de que una violación de la seguridad de los datos
personales supondría un alto riesgo para los derechos y libertades de las personas físicas,
el responsable del tratamiento comunicará al interesado, sin dilación indebida, la violación
de la seguridad de los datos personales.
2. La comunicación al interesado describirá con lenguaje claro, sencillo y accesible
conforme a sus circunstancias y capacidades, la naturaleza de la violación de la seguridad
de los datos personales y contendrá, al menos, la información y las medidas a las que se
refiere el artículo 38.3. b), c) y d).
3. No se efectuará la comunicación al interesado que prevé el apartado 1 cuando se
cumpla alguna de las condiciones siguientes:
a) Que el responsable del tratamiento haya adoptado medidas apropiadas de
protección técnica y organizativa y dichas medidas se hayan aplicado a los datos
personales afectados por la violación de la seguridad antes de la misma, en particular,
aquellas que hagan ininteligibles los datos personales para cualquier persona que no esté
autorizada a acceder a ellos, como en el caso del cifrado.
b) Que el responsable del tratamiento haya tomado medidas ulteriores para
garantizar que no se materialice el alto nivel de riesgo para los derechos y libertades del
interesado a que hace referencia el apartado 1.

cve: BOE-A-2021-8806
Verificable en https://www.boe.es

Núm. 126