Conforme al apartado 2, debe describir en un lenguaje claro y sencillo la naturaleza de la violación de la seguridad y contener como mínimo la información y las medidas a que se refiere el artículo 33, apartado 3, letras b), c) y d), es decir, los datos de contacto del delegado de protección de datos o de otro punto de contacto, las posibles consecuencias y las medidas adoptadas o propuestas. La exigencia de un lenguaje claro y sencillo la distingue de la notificación a la autoridad, de carácter más técnico.

El apartado 3 enumera tres condiciones, y basta que se cumpla alguna de ellas. La comunicación no será necesaria cuando se hayan aplicado a los datos afectados medidas de protección apropiadas, en particular aquellas que hagan ininteligibles los datos personales para cualquier persona no autorizada, como el cifrado, cuando medidas ulteriores garanticen que ya no exista la probabilidad de que se concretice el alto riesgo, o cuando la comunicación individual suponga un esfuerzo desproporcionado.

La letra c) del apartado 3 no suprime el deber de informar, sino que lo transforma. El responsable del tratamiento debe optar en su lugar por una comunicación pública o una medida semejante por la que se informe de manera igualmente efectiva a los interesados.

Sí. Conforme al apartado 4, cuando el responsable del tratamiento todavía no haya comunicado la violación de la seguridad, la autoridad de control, una vez considerada la probabilidad de que entrañe un alto riesgo, podrá exigirle que lo haga o podrá decidir por sí misma que se cumple alguna de las condiciones de exención mencionadas en el apartado 3.