Section 1 General obligations

Artikkel 19

Vastutava töötleja kohustused

1.  Liikmesriigid näevad ette, et vastutav töötleja rakendab isikuandmete töötlemise laadi, ulatust, konteksti ja eesmärke, samuti füüsiliste isikute õigusi ja vabadusi ähvardavaid erineva tõenäosuse ja suurusega ohte arvesse võttes asjakohaseid tehnilisi ja korralduslikke meetmeid tagamaks, et isikuandmeid töödeldakse kooskõlas käesoleva direktiiviga, ja olemaks võimeline seda ka tõendama. Vajaduse korral vaadatakse kõnealused meetmed läbi ja neid ajakohastatakse.

2.  Kui see on proportsionaalne isikuandmete töötlemise toimingutega, hõlmavad lõikes 1 osutatud meetmed asjakohaste andmekaitsepõhimõtete rakendamist vastutava töötleja poolt.

Artikkel 20

Lõimitud andmekaitse ja vaikimisi andmekaitse

1.  Liikmesriigid näevad ette, et vastutav töötleja rakendab teaduse ja tehnoloogia viimast arengut ja rakendamise kulusid ning isikuandmete töötlemise laadi, ulatust, konteksti ja eesmärke, samuti isikuandmete töötlemisest tulenevaid füüsiliste isikute õigusi ja vabadusi ähvardavaid erineva tõenäosuse ja suurusega ohtusid arvesse võttes nii isikuandmete töötlemisvahendite kindlaksmääramisel kui ka isikuandmete töötlemise ajal asjakohaseid tehnilisi ja korralduslikke meetmeid, nagu pseudonümiseerimine, mis on vajalikud andmekaitsepõhimõtete (nagu võimalikult väheste andmete kogumine) tõhusaks rakendamiseks ja vajalike kaitsemeetmete lõimimiseks isikuandmete töötlemisse, et täita käesoleva direktiivi nõudeid ja kaitsta andmesubjektide õigusi.

2.  Liikmesriigid näevad ette, et vastutav töötleja rakendab asjakohaseid tehnilisi ja korralduslikke meetmeid, millega tagatakse, et vaikimisi töödeldakse ainult isikuandmeid, mis on vajalikud töötlemise iga konkreetse eesmärgi saavutamiseks. Nimetatud kohustus kehtib kogutud isikuandmete hulga, töötlemise ulatuse, säilitamise tähtaja ja kättesaadavuse suhtes. Eelkõige tagatakse selliste meetmetega see, et isikuandmeid ei tehta vaikimisi kättesaadavaks määramata füüsiliste isikute ringile ilma asjaomase isiku sekkumiseta.

Artikkel 21

Kaasvastutavad töötlejad

1.  Liikmesriigid näevad ette, et kui kaks või enam vastutavat töötlejat määravad ühiselt kindlaks isikuandmete töötlemise eesmärgid ja vahendid, on nad kaasvastutavad töötlejad. Nad määravad iga kaasvastutava töötleja vastutusvaldkonna käesoleva direktiivi täitmisel (eelkõige seoses andmesubjekti õiguste teostamise ja iga kaasvastutava töötleja kohustustega esitada artiklis 13 osutatud teavet) läbipaistval viisil kindlaks omavahelise kokkuleppega, välja arvatud juhul ja sel määral, kui iga sellise vastutava töötleja vastavad vastutusvaldkonnad on kindlaks määratud vastutavate töötlejate suhtes kohaldatava liidu või liikmesriigi õigusega. Kokkuleppes määratakse andmesubjektide jaoks kindlaks kontaktpunkt. Liikmesriigid võivad kindlaks määrata, milline kaasvastutavatest töötlejatest võib toimida ühtse kontaktpunktina, mille kaudu andmesubjektid saavad oma õigusi teostada.

2.  Sõltumata lõikes 1 osutatud kokkuleppe tingimustest võivad liikmesriigid ette näha, et andmesubjekt võib teostada oma käesoleva direktiivi kohaselt vastu võetud sätetest tulenevaid õigusi iga vastutava töötleja suhtes.

Artikkel 22

Volitatud töötleja

1.  Liikmesriigid näevad ette, et kui isikuandmete töötlemine toimub vastutava töötleja nimel, kasutab vastutav töötleja ainult selliseid volitatud töötlejaid, kes annavad piisava tagatise, et nad rakendavad asjakohaseid tehnilisi ja korralduslikke meetmeid sellisel viisil, et isikuandmete töötlemine vastab käesoleva direktiivi nõuetele, ning tagab andmesubjekti õiguste kaitse.

2.  Liikmesriigid näevad ette, et volitatud töötleja ei kaasa teist volitatud töötlejat ilma vastutava töötleja eelneva konkreetse või üldise kirjaliku loata. Üldise kirjaliku loa puhul teavitab volitatud töötleja vastutavat töötlejat alati kõigist kavandatavatest muutustest, mis puudutavad teiste volitatud töötlejate lisamist või asendamist, andes seeläbi vastutavale töötlejale võimaluse esitada selliste muudatuste suhtes vastuväiteid.

3.  Liikmesriigid näevad ette, et volitatud töötleja töötleb isikuandmeid volitatud töötlejale ja vastutavale töötlejale siduva lepingu või liidu või liikmesriigi õiguse kohase siduva õigusakti alusel, milles sätestatakse isikuandmete töötlemise sisu ja kestus, laad ja eesmärk, isikuandmete liik ja andmesubjektide kategooriad ning vastutava töötleja kohustused ja õigused. Nimetatud leping või siduv õigusakt sätestab eelkõige, et volitatud töötleja

4.  Lõikes 3 osutatud leping või siduv õigusakt peab olema kirjalik, sh elektroonilisel kujul.

5.  Kui volitatud töötleja määrab käesolevat direktiivi rikkudes isikuandmete töötlemise eesmärgid ja vahendid, siis loetakse kõnealust volitatud töötlejat selle töötlemise suhtes vastutavaks töötlejaks.

Artikkel 23

Isikuandmete töötlemine vastutava töötleja või volitatud töötleja volituse alusel

Liikmesriigid näevad ette, et volitatud töötleja ning vastutava töötleja või volitatud töötleja volituse alusel tegutsevad isikud, kellel on juurdepääs isikuandmetele, tohivad nimetatud isikuandmeid töödelda üksnes vastutava töötleja juhiste alusel, välja arvatud juhul, kui liidu või liikmesriigi õigus neid selleks kohustab.

Artikkel 24

Isikuandmete töötlemise toimingute dokumenteerimine

1.  Liikmesriigid näevad ette, et vastutavad töötlejad dokumenteerivad kõik nende vastutusel toimuvate isikuandmete töötlemise toimingute liigid. Kõnealune dokumentatsioon sisaldab järgmist teavet:

2.  Liikmesriigid näevad ette, et volitatud töötleja dokumenteerib kõik vastutava töötleja nimel toimuvate isikuandmete töötlemisega seotud toimingute liigid, hõlmates järgmist teavet:

3.  Lõigetes 1 ja 2 osutatud dokumentatsioon on kirjalik, sh elektroonilisel kujul.

Taotluse korral teevad vastutav töötleja ja volitatud töötleja kõnealuse dokumentatsiooni järelevalveasutusele kättesaadavaks.

Artikkel 25

Logimine

1.  Liikmesriigid näevad ette, et peetakse logisid vähemalt järgmiste automatiseeritud töötlemissüsteemides tehtavate isikuandmete töötlemise toimingute kohta: kogumine, muutmine, lugemine, avalikustamine (sealhulgas edastamine), ühendamine ja kustutamine. Lugemist ja avalikustamist kajastavad logid peavad võimaldama teha kindlaks nimetatud toimingute tegemise põhjenduse, kuupäeva ja aja ning võimaluse korral ka teabe isikuandmeid lugenud ja avalikustanud isiku kohta ning selliste isikuandmete vastuvõtjate nimed.

2.  Logisid kasutatakse üksnes isikuandmete töötlemise toimingute seaduslikkuse kontrollimiseks, siseseireks, isikuandmete tervikluse ja turvalisuse tagamiseks ning kriminaalmenetluses.

3.  Taotluse korral teevad vastutav töötleja ja volitatud töötleja logid järelevalveasutusele kättesaadavaks.

Artikkel 26

Koostöö järelevalveasutusega

Liikmesriigid näevad ette, et vastutav töötleja ja volitatud töötleja teevad oma ülesannete täitmise käigus taotluse korral koostööd järelevalveasutusega.

Artikkel 27

Andmekaitsealane mõjuhinnang

1.  Kui teatavat tüüpi isikuandmete töötlemise, eelkõige uut tehnoloogiat kasutava isikuandmete töötlemise tulemusena ning töötlemise laadi, ulatust, konteksti ja eesmärke arvesse võttes tekib füüsiliste isikute õigustele ja vabadustele tõenäoliselt suur oht, näevad liikmesriigid ette, et vastutav töötleja hindab enne isikuandmete töötlemist kavandatavate isikuandmete töötlemise toimingute mõju isikuandmete kaitsele.

2.  Lõikes 1 osutatud hindamine sisaldab vähemalt kavandatud isikuandmete töötlemise toimingute üldkirjeldust, ohuhinnangut seoses andmesubjektide õiguste ja vabadustega, kõnealuste ohtude käsitlemiseks kavandatud meetmeid, kaitsemeetmeid, turvameetmeid ja mehhanisme, mis tagavad isikuandmete kaitse ja tõendavad kooskõla käesoleva direktiiviga, võttes arvesse andmesubjektide ja teiste asjaomaste isikute õigusi ja õigustatud huve.

Artikkel 28

Eelnev konsulteerimine järelevalveasutusega

1.  Liikmesriigid näevad ette, et vastutav töötleja või volitatud töötleja konsulteerib järelevalveasutusega enne, kui ta hakkab töötlema isikuandmeid, mis kantakse uude loodavasse andmete kogumisse, kui

2.  Liikmesriigid näevad ette järelevalveasutusega konsulteerimise, kui koostamisel on liikmesriigi parlamendis vastu võetava seadusandliku meetme ettepanek või sellisel seadusandlikul meetmel põhinev reguleeriv meede, mis seondub isikuandmete töötlemisega.

3.  Liikmesriigid näevad ette, et järelevalveasutus võib koostada loetelu isikuandmete töötlemise toimingutest, mille suhtes kohaldatakse lõikes 1 sätestatud eelnevat konsulteerimist.

4.  Liikmesriigid näevad ette, et vastutav töötleja esitab järelevalveasutusele artikli 27 kohase andmekaitsealase mõjuhinnangu ja taotluse korral ka muu teabe, mille alusel järelevalveasutus saab hinnata isikuandmete töötlemise vastavust nõuetele, eelkõige andmesubjekti isikuandmete kaitset ähvardavaid ohtusid ja nendega seotud kaitsemeetmeid.

5.  Liikmesriigid näevad ette, et kui järelevalveasutus on seisukohal, et käesoleva artikli lõikes 1 osutatud kavandatav isikuandmete töötlemine rikuks käesoleva direktiivi kohaselt vastu võetud sätteid, eriti juhul, kui vastutav töötleja ei ole ohtu piisavalt kindlaks teinud või seda piisavalt leevendanud, annab järelevalveasutus hiljemalt kuue nädala jooksul alates konsulteerimise taotluse saamisest vastutavale töötlejale ja kui see on kohaldatav, volitatud töötlejale kirjalikult nõu ning võib kasutada artiklis 47 osutatud volitusi. Nimetatud tähtaega võib pikendada ühe kuu võrra, arvestades kavandatud isikuandmete töötlemise keerukust. Järelevalveasutus teavitab vastutavat töötlejat ja kui see on kohaldatav, volitatud töötlejat tähtaja pikendamisest ühe kuu jooksul alates konsulteerimise taotluse saamisest, koos tähtaja pikendamise põhjustega.