Section 2 Security of personal data

Článek 29

Zabezpečení zpracování

1.  Členské státy stanoví, že správce a zpracovatel, s přihlédnutím ke stavu techniky, nákladům na provedení, povaze, rozsahu, kontextu a účelům zpracování i k různě pravděpodobným a různě závažným rizikům pro práva a svobody fyzických osob, provedou vhodná technická a organizační opatření, aby zajistili úroveň zabezpečení odpovídající danému riziku, zejména pokud jde o zpracování zvláštních kategorií osobních údajů uvedených v článku 10.

2.  Pokud jde o automatizované zpracování, každý členský stát stanoví, že správce nebo zpracovatel provede po zhodnocení rizik opatření s cílem:

Článek 30

Ohlašování případů porušení zabezpečení osobních údajů dozorovému úřadu

1.  Členské státy stanoví, že správce jakékoli porušení zabezpečení osobních údajů ohlásí dozorovému úřadu bez zbytečného odkladu a pokud možno do 72 hodin od okamžiku, kdy se o něm dozvěděl, ledaže je nepravděpodobné, že by toto porušení mělo za následek riziko pro práva a svobody fyzických osob. Pokud není ohlášení dozorovému úřadu učiněno do 72 hodin, musí být současně s ním uvedeny důvody tohoto zpoždění.

2.  Jakmile zpracovatel zjistí porušení zabezpečení osobních údajů, ohlásí je bez zbytečného odkladu správci.

3.  Ohlášení podle odstavce 1 musí přinejmenším obsahovat:

4.  Není-li možné poskytnout informace současně, mohou být poskytnuty postupně bez dalšího zbytečného odkladu.

5.  Členské státy stanoví, že správce dokumentuje veškeré případy porušení zabezpečení osobních údajů uvedené v odstavci 1, přičemž uvede skutečnosti, které se týkají daného porušení, jeho účinky a přijatá nápravná opatření. Tato dokumentace musí dozorovému úřadu umožnit ověření souladu s tímto článkem.

6.  Členské státy stanoví, že v případě, že se porušení zabezpečení údajů týká osobních údajů, které předal správce jiného členského státu nebo které byly takovému správci předány, musí být informace uvedené v odstavci 3 sděleny bez zbytečného odkladu správci tohoto členského státu.

Článek 31

Oznamování případů porušení zabezpečení osobních údajů subjektu údajů

1.  Členské státy stanoví, že správce oznámí případy porušení zabezpečení osobních údajů bez zbytečného odkladu subjektu údajů, pokud je pravděpodobné, že toto porušení bude mít za následek vysoké riziko pro práva a svobody fyzických osob.

2.  V oznámení subjektu údajů podle odstavce 1 tohoto článku se za použití jasných a jednoduchých jazykových prostředků popíše povaha porušení zabezpečení osobních údajů a uvedou se v něm přinejmenším informace a opatření uvedené v čl. 30 odst. 3 písm. b), c) a d).

3.  Oznámení subjektu údajů uvedené v odstavci 1 se nevyžaduje, je-li splněna kterákoli z těchto podmínek:

4.  Jestliže správce dotčenému subjektu údajů porušení zabezpečení osobních údajů ještě neoznámil, může dozorový úřad po posouzení pravděpodobnosti toho, že dané porušením bude mít za následek vysoké riziko, požadovat, aby tak učinil, nebo může rozhodnout, že je splněna některá z podmínek uvedených v odstavci 3.

5.  Oznámení subjektu údajů podle odstavce 1 tohoto článku lze odložit, omezit či lze od něj upustit za podmínek uvedených v čl. 13 odst. 3 a z důvodů v něm stanovených.