Section 2 Security of personal data

Член 29

Сигурност на обработването

1.  Държавите членки предвиждат, като отчитат достиженията на техническия прогрес, разходите за прилагане и естеството, обхватът, контекстът и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица, администраторът и обработващият лични данни да прилагат подходящи технически и организационни мерки за осигуряване на съобразено с този риск ниво на сигурност, по-специално по отношение на обработването на специални категории лични данни, посочени в член 10.

2.  По отношение на автоматизираното обработване всяка държава членка предвижда, след оценка на рисковете администраторът или обработващият лични данни да прилага мерки, имащи за цел:

Член 30

Уведомяване на надзорния орган за нарушение на сигурността на личните данни

1.  Държавите членки предвиждат, в случай на нарушение на сигурността на личните данни администраторът, без излишно забавяне и когато това е осъществимо — не по-късно от 72 часа след като е разбрал за него, да уведомява надзорния орган за нарушението на сигурността на личните данни, освен ако няма вероятност нарушението на сигурността на личните данни да доведе до риск за правата и свободите на физическите лица. Когато уведомлението до надзорния орган не е подадено в срок от 72 часа, то се придружава от причините за забавянето.

2.  Обработващият лични данни уведомява администратора без излишно забавяне, след като е установил нарушение на сигурността на лични данни.

3.  В уведомлението, посочено в параграф 1, се съдържа най-малко следното:

4.  Когато и доколкото не е възможно информацията да се подаде едновременно, информацията може да се подаде поетапно без по-нататъшно ненужно забавяне.

5.  Държавите членки предвиждат администраторът да документира всяко нарушение на сигурността на личните данни, посочено в параграф 1, като включва фактите, свързани с нарушението на сигурността на личните данни, последиците от него и предприетите действия за справяне с него. Тази документация дава възможност на надзорния орган да провери дали е спазен настоящият член.

6.  Държавите членки предвиждат, когато нарушението на сигурността на личните данни засяга лични данни, които са били изпратени от или на администратора на друга държава членка, посочената в параграф 3 информация да се съобщава на администратора на въпросната държава членка без излишно забавяне.

Член 31

Съобщаване на субекта на данните за нарушение на сигурността на личните данни

1.  Държавите членки предвиждат, когато има вероятност нарушението на сигурността на личните данни да доведе до висок риск за правата и свободите на физическите лица, администраторът без излишно забавяне да съобщава на субекта на данните за нарушението на сигурността на личните данни.

2.  В съобщението до субекта на данните, посочено в параграф 1 от настоящия член, на ясен и прост език се описва естеството на нарушението на сигурността на личните данни и се съдържат най-малко информацията и мерките, посочени в член 30, параграф 3, букви б), в) и г).

3.  Посоченото в параграф 1 съобщение до субекта на данните не се изисква, ако е изпълнено някое от следните условия:

4.  Ако администраторът все още не е съобщил на субекта на данните за нарушението на сигурността на личните данни, надзорният орган може, след като отчете каква е вероятността нарушението на сигурността на личните данни да породи висок риск, да изиска от администратора да направи съобщението или да реши, че е изпълнено някое от условията по параграф 3.

5.  Съобщението до субекта на данните, посочено в параграф 1 от настоящия член, може да бъде забавено, ограничено или пропуснато, при условията и на основанията, посочени в член 13, параграф 3.