Section 2 Security of personal data

29 artikla

Käsittelyn turvallisuus

1.  Jäsenvaltioiden on säädettävä siitä, että rekisterinpitäjä ja henkilötietojen käsittelijä, ottaen huomioon uusimman tekniikan ja toteuttamiskustannusten, käsittelyn luonteen, laajuuden, asiayhteyden ja tarkoitusten sekä luonnollisen henkilön oikeuksiin ja vapauksiin kohdistuvan todennäköisyydeltään ja vakavuudeltaan vaihtelevan riskin, toteuttaa asianmukaiset tekniset ja organisatoriset toimenpiteet varmistaakseen riskiä vastaavan turvallisuustason varsinkin 10 artiklassa tarkoitettujen erityisten henkilötietoryhmien osalta.

2.  Kunkin jäsenvaltion on säädettävä siitä, että automatisoidun käsittelyn osalta rekisterinpitäjä tai henkilötietojen käsittelijä toteuttavat riskinarvioinnin pohjalta toimenpiteet, joiden tarkoituksena on

30 artikla

Henkilötietojen tietoturvaloukkauksesta ilmoittaminen valvontaviranomaiselle

1.  Jäsenvaltioiden on säädettävä siitä, että henkilötietojen tietoturvaloukkauksen tapauksessa rekisterinpitäjä ilmoittaa siitä valvontaviranomaiselle ilman aiheetonta viivytystä ja mahdollisuuksien mukaan 72 tunnin kuluessa sen ilmitulosta, paitsi jos tietoturvaloukkauksesta ei todennäköisesti aiheudu luonnollisen henkilön oikeuksiin ja vapauksiin kohdistuvaa riskiä. Jos ilmoitusta ei anneta valvontaviranomaiselle 72 tunnin kuluessa, ilmoitukseen on liitettävä viivytyksen syyt.

2.  Henkilötietojen käsittelijän on ilmoitettava henkilötietojen tietoturvaloukkauksesta rekisterinpitäjälle ilman aiheetonta viivytystä saatuaan sen tietoonsa.

3.  Edellä 1 kohdassa tarkoitetussa ilmoituksessa on vähintään

4.  Jos ja siltä osin kuin ei ole mahdollista toimittaa tietoja samanaikaisesti, tiedot voidaan toimittaa vaiheittain ilman aiheetonta viivytystä.

5.  Jäsenvaltioiden on säädettävä siitä, että rekisterinpitäjä dokumentoi kaikki 1 kohdassa tarkoitetut henkilötietojen tietoturvaloukkaukset, sisältäen tietoturvaloukkaukseen liittyvät seikat, sen vaikutukset ja toteutetut korjaavat toimet. Valvontaviranomaisen on voitava tämän dokumentoinnin avulla tarkistaa, että tätä artiklaa on noudatettu.

6.  Jäsenvaltioiden on säädettävä siitä, että jos tietoturvaloukkaukseen sisältyy toisen jäsenvaltion rekisterinpitäjän toimittamia tai tälle toimitettuja henkilötietoja, 3 kohdassa tarkoitetut tiedot on toimitettava ilman aiheetonta viivytystä tämän jäsenvaltion rekisterinpitäjälle.

31 artikla

Henkilötietojen tietoturvaloukkauksesta ilmoittaminen rekisteröidylle

1.  Jäsenvaltioiden on säädettävä siitä, että jos henkilötietojen tietoturvaloukkaus todennäköisesti aiheuttaa korkean riskin luonnollisten henkilöiden oikeuksille ja vapauksille, rekisterinpitäjä on ilmoitettava tietoturvaloukkauksesta rekisteröidylle ilman aiheetonta viivytystä.

2.  Tämän artiklan 1 kohdassa tarkoitetussa rekisteröidylle annettavassa ilmoituksessa on kuvattava selkeällä ja yksinkertaisella kielellä henkilötietojen tietoturvaloukkauksen luonne ja annettava ainakin 30 artiklan 3 kohdan b, c ja d alakohdassa tarkoitetut tiedot ja toimenpiteet.

3.  Edellä 1 kohdassa tarkoitettua ilmoitusta rekisteröidylle ei vaadita, jos jokin seuraavista ehdoista täyttyy:

4.  Jos rekisterinpitäjä ei ole vielä ilmoittanut henkilötietojen tietoturvaloukkausta rekisteröidylle, valvontaviranomainen voi vaatia ilmoituksen tekemistä tai päättää, että jokin 3 kohdan edellytyksistä täyttyy, arvioituaan, kuinka todennäköisesti tietoturvaloukkaus aiheuttaa korkean riskin.

5.  Tämän artiklan 1 kohdassa tarkoitettua rekisteröidylle ilmoittamista voidaan viivästyttää tai rajoittaa tai se voidaan jättää tekemättä 13 artiklan 3 kohdan mukaisilla edellytyksillä ja perusteilla.