1. Un responsable conjoint du traitement qui a connaissance d’une violation de données à caractère personnel notifie celle-ci à tous les autres responsables conjoints du traitement dans les meilleurs délais, et au plus tard dans les 24 heures après en avoir eu connaissance.
2. Le responsable conjoint du traitement à l’origine de la violation de données à caractère personnel ou auquel cette violation est imputable, y compris les violations causées par ses sous-traitants ou sous-traitants ultérieurs, ou imputables à ceux-ci, est chargé de gérer ladite violation conformément, respectivement, au règlement (UE) 2018/1725 ou au règlement (UE) 2016/679. S’il n’est pas possible de déterminer quel responsable conjoint du traitement est compétent dans un délai de 24 heures à compter de la réception de la notification visée au paragraphe 1, tous les responsables conjoints du traitement sont alors chargés de gérer la violation de données à caractère personnel.
3. Le responsable conjoint du traitement compétent en vertu du paragraphe 2 est, en particulier, tenu de notifier la violation de données à caractère personnel à son autorité de contrôle et d’en informer la personne concernée, le cas échéant. Même si la BCE n’est pas le responsable conjoint du traitement compétent, elle notifie également la violation de données à caractère personnel au Contrôleur européen de la protection des données, à moins qu’il soit peu probable que la violation en question engendre un risque pour les droits et libertés des personnes physiques.
4. Le responsable conjoint du traitement compétent en vertu du paragraphe 2 informe, dans les meilleurs délais, tous les autres responsables conjoints du traitement: a) des mesures qu’il a appliquées pour atténuer les risques découlant de cette violation; et b) si celle-ci a été ou sera notifiée à l’autorité de contrôle et communiquée à la personne concernée.