Section 1 General obligations

Член 19

Задължения на администратора

1.  Държавите членки предвиждат, като отчитат естеството, обхватът, контекстът и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица, администраторът да прилага подходящи технически и организационни мерки, за да гарантира и да е в състояние да докаже, че обработването се извършва в съответствие с настоящата директива. Тези мерки се преразглеждат и актуализират при необходимост.

2.  Когато това е пропорционално на дейностите по обработване, посочените в параграф 1 мерки включват прилагане от страна на администратора на подходящи политики за защита на данните.

Член 20

Защита на данните на етапа на проектирането и по подразбиране

1.  Държавите членки предвиждат, като отчитат достиженията на техническия прогрес, разходите за прилагане и естеството, обхвата, контекста и целите на обработването, както и породените от обработването рискове с различна вероятност и тежест за правата и свободите на физическите лица, администраторът да прилага както към момента на определянето на средствата за обработването на данни, така и към момента на самото обработване, подходящи технически и организационни мерки, например псевдонимизация, разработени с оглед на ефективното прилагане на принципите за защита на данните, например свеждане на данните до минимум, и интегриране на необходимите гаранции в процеса на обработване, за да се спазят изискванията на настоящата директива и да се осигури защита на правата на субектите на данни.

2.  Държавите членки предвиждат администраторът да прилага подходящи технически и организационни мерки, за да се гарантира, че по подразбиране се обработват само лични данни, които са необходими за всяка конкретна цел на обработването. Това задължение се отнася до обема на събраните лични данни, степента на обработването, срока на съхраняването им и тяхната достъпност. По-специално подобни мерки гарантират, че по подразбиране без намеса от страна на физическото лице личните данни не са достъпни за неограничен брой физически лица.

Член 21

Съвместни администратори

1.  Държавите членки предвиждат, когато двама или повече администратори съвместно определят целите и средствата на обработването, те да са съвместни администратори. Те определят по прозрачен начин съответните си отговорности за съобразяване с настоящата директива, по-специално що се отнася до упражняването на правата на субекта на данни, и съответните си задължения за предоставяне на информацията, посочена в член 13, посредством договореност помежду си, освен ако и доколкото съответните отговорности на администраторите не са определени от правото на Съюза или правото на държава членка, което се прилага спрямо администраторите. В договореността се определя точката за контакт за субектите на данни. Държавите членки могат да посочат кой от съвместните администратори може да действа като единна точка за контакт, така че субектите на данните да упражняват правата си.

2.  Независимо от условията на договореността, посочена в параграф 1, държавите членки могат да предвидят субектът на данни да упражнява своите права съгласно разпоредбите, приети съгласно настоящата директива, по отношение на всеки и срещу всеки от администраторите.

Член 22

Обработващ личните данни

1.  Държавите членки предвиждат, когато операция по обработване се извършва от името на администратора, той да възлага само на обработващи лични данни, които предоставят достатъчни гаранции, че ще прилагат подходящи технически и организационни мерки, по такъв начин че обработването да отговаря на изискванията на настоящата директива и да се гарантира защитата на правата на субекта на данни.

2.  Държавите членки предвиждат обработващият лични данни да не добавя друг обработващ лични данни без предварителното конкретно или общо писмено разрешение на администратора. В случай на общо писмено разрешение, обработващият лични данни информира администратора за всякакви планирани промени за добавяне или замяна на други обработващи лични данни, като по този начин дава възможност на администратора да възрази срещу тези промени.

3.  Държавите членки предвиждат обработването от страна на обработващия лични данни да се урежда с договор или друг правен акт съгласно правото на Съюза или на държава членка, който обвързва обработващия лични данни с администратора и регламентира предмета и срока на обработването, естеството и целта на обработването, вида лични данни и категориите субекти на данни, задълженията и правата на администратора. Посоченият договор или друг правен акт предвижда по-специално, че обработващият лични данни:

4.  Договорът или другият правен акт, посочен в параграф 3, се изготвя в писмена форма, включително в електронна форма.

5.  Ако обработващ лични данни определи в нарушение на настоящата директива целите и средствата на обработването, обработващият личните данни се счита за администратор по отношение на това обработване.

Член 23

Обработване под ръководството на администратора или обработващия лични данни

Държавите членки предвиждат обработващият лични данни и всяко лице, действащо под ръководството на администратора или на обработващия лични данни, което има достъп до личните данни, да не обработва тези данни без указание на администратора, освен ако обработването не се изисква от правото на Съюза или правото на държава членка.

Член 24

Регистри на дейности по обработване на лични данни

1.  Държавите членки предвиждат администраторите да поддържат регистър с всички категории дейности по обработване под тяхна отговорност. Този регистър съдържа следната информация:

2.  Държавите членки предвиждат всеки обработващ лични данни да поддържа регистър с всички категории дейности по обработване, извършени от името на администратор, в който се съдържат:

3.  Регистрите, посочени в параграфи 1 и 2, се поддържат в писмена форма, включително в електронен формат.

При поискване администраторът и обработващият лични данни предоставят регистрите на надзорния орган.

Член 25

Водене на записи

1.  Държавите членки предвиждат в системите за автоматизирано обработване да се водят записи най-малко за следните операции по обработване: събиране, промяна, справки, разкриване, включително предаване, комбиниране и изтриване. Записите за извършена справка или разкриване дават възможност за установяване на обосновката, датата и часа на такива операции и доколкото е възможно — идентификацията на лицето, което е направило справка или е разкрило лични данни, както и данни, идентифициращи получателите на тези лични данни.

2.  Записите се използват единствено за проверяване на законосъобразността на обработването, за самоконтрол, за гарантиране на цялостността и сигурността на личните данни и при наказателни производства.

3.  При поискване администраторът и обработващият лични данни предоставят тези записи на надзорния орган.

Член 26

Сътрудничество с надзорния орган

Държавите членки предвиждат администраторът и обработващият лични данни да сътрудничат при поискване с надзорния орган при изпълнението на задачите му.

Член 27

Оценка на въздействието върху защитата на данните

1.  Когато съществува вероятност определен вид обработване, по-специално при което се използват нови технологии, и предвид естеството, обхвата, контекста и целите на обработването, да породи висок риск за правата и свободите на физическите лица, държавите членки предвиждат, преди да бъде извършено обработването, администраторът да извършва оценка на въздействието на предвидените операции по обработването върху защитата на личните данни.

2.  Оценката, посочена в параграф 1, съдържа най-малко общо описание на предвидените операции по обработване, оценка на рисковете за правата и свободите на субектите на данните, мерките, предвидени за справяне с тези рискове, гаранции, мерки за сигурност и механизми за гарантиране на защитата на личните данни и за доказване на съответствие с настоящата директива, като се вземат предвид правата и легитимните интереси на субектите на данните и другите засегнати лица.

Член 28

Предварителна консултация с надзорния орган

1.  Държавите членки предвиждат администраторът или обработващият лични данни да се консултира с надзорния орган преди обработването на лични данни, което ще бъде част от нов регистър с лични данни, който предстои да бъде създаден, когато:

2.  Държавите членки предвиждат провеждането на консултации с надзорния орган при изготвянето на предложение за законодателна мярка, което да бъде прието от националните парламенти, или на регулаторна мярка, основана на такава законодателна мярка, която се отнася до обработването.

3.  Държавите членки предвиждат надзорният орган да може да изготви списък на операциите по обработване, за които е необходима предварителна консултация съгласно параграф 1.

4.  Държавите членки предвиждат администраторът да предоставя на надзорния орган оценката на въздействието върху защитата на данните, предвидена в член 27, и при поискване — всякаква друга информация, която позволява на надзорния орган да извърши оценка на съответствието на обработването, и по-специално на рисковете за защитата на личните данни на субекта на данните и на съответните гаранции.

5.  Държавите членки предвиждат, когато надзорният орган е на мнение, че планираното обработване, посочено в параграф 1 от настоящия член, би нарушило разпоредбите, приети съгласно настоящата директива, по-специално когато администраторът не е идентифицирал или ограничил риска в достатъчна степен, надзорният орган да предостави — в рамките на период до шест седмици след получаване на искането за консултация — писмено становище на администратора и — когато това е приложимо — на обработващия лични данни, като може да използва всяко от правомощията си, посочени в член 47. Този срок може да бъде удължен с още един месец, в зависимост от сложността на планираното обработване. В срок от един месец от получаване на искането за консултация надзорният орган уведомява администратора и — когато е приложимо — обработващия лични данни за всяко такова удължаване, включително и за причините за забавянето.