Section 1 General obligations

Članak 19.

Obveze voditelja obrade

1.  Države članice osiguravaju da voditelj obrade, uzimajući u obzir prirodu, opseg, kontekst i svrhe obrade, kao i rizike različitih razina vjerojatnosti i ozbiljnosti za prava i slobode pojedinaca, provodi odgovarajuće tehničke i organizacijske mjere kako bi osigurao i mogao dokazati da se obrada provodi u skladu s ovom Direktivom. Te se mjere prema potrebi preispituju i ažuriraju.

2.  Ako su razmjerne u odnosu na aktivnosti obrade, mjere iz stavka 1. uključuju provedbu odgovarajućih politika zaštite podataka od strane voditelja obrade.

Članak 20.

Tehnička i integrirana zaštita podataka

1.  Države članice osiguravaju da voditelj obrade, uzimajući u obzir najnovija postignuća i trošak provedbe te prirodu, opseg, kontekst i svrhe obrade, kao i rizike različitih razina vjerojatnosti i ozbiljnosti za prava i slobode pojedinaca koji proizlaze iz obrade podataka, i u vrijeme određivanja sredstava obrade i u vrijeme same obrade, provodi odgovarajuće tehničke i organizacijske mjere, poput pseudonimizacije, za omogućivanje učinkovite primjene načela zaštite podataka, kao što je smanjenje količine podataka, i uključenje zaštitnih mjera u obradu, kako bi se ispunili zahtjevi iz ove Direktive i zaštitila prava ispitanika.

2.  Države članice osiguravaju da voditelj obrade provodi odgovarajuće tehničke i organizacijske mjere kako bi se osiguralo da integriranim načinom budu obrađeni samo osobni podaci koji su nužni za svaku posebnu svrhu obrade. Ta se obveza primjenjuje na količinu prikupljenih osobnih podataka, opseg njihove obrade, razdoblje pohrane i njihovu dostupnost. Točnije, takvim se mjerama osigurava da osobni podaci nisu automatski, bez intervencije pojedinca, dostupni neograničenom broju pojedinca.

Članak 21.

Zajednički voditelji obrade

1.  Države članice osiguravaju da su dvoje ili više voditelja obrade, ako zajednički odrede svrhe i načine obrade, zajednički voditelji obrade. Oni na transparentan način određuju svoje odgovornosti za poštovanje ove Direktive, osobito u pogledu ostvarivanja prava ispitanika i svojih dužnosti pružanja informacija iz članka 13., te to čine međusobnim dogovorom osim ako su odgovornosti voditeljâ obrade utvrđene pravom Unije ili pravom države članice kojem voditelji obrade podliježu te u mjeri u kojoj su one utvrđene. Dogovorom se određuje kontaktna točka za ispitanike. Države članice mogu odrediti koji od zajedničkih voditelja obrade može djelovati kao jedinstvena kontaktna točka za ostvarivanje prava ispitanikâ.

2.  Ne dovodeći u pitanje uvjete dogovora iz stavka 1., države članice mogu osigurati da ispitanik može ostvarivati svoja prava u skladu s odredbama donesenima na temelju ove Direktive u vezi sa svakim voditeljem obrade, kao i protiv njega.

Članak 22.

Izvršitelj obrade

1.  Države članice osiguravaju da, ako se obrada provodi u ime voditelja obrade, voditelj obrade upotrebljava samo usluge izvršitelja obrade koji mogu u dovoljnoj mjeri jamčiti provedbu odgovarajućih tehničkih i organizacijskih mjera na takav način da je obrada u skladu sa zahtjevima iz ove Direktive i osigurava zaštitu prava ispitanika.

2.  Države članice osiguravaju da izvršitelj obrade ne angažira drugog izvršitelja obrade bez prethodnog posebnog ili općeg pisanog odobrenja voditelja obrade. U slučaju općeg pisanog odobrenja izvršitelj obrade dužan je obavijestiti voditelja obrade o svim planiranim izmjenama u vezi s dodavanjem ili zamjenom drugih izvršitelja obrade kako bi time voditelju obrade omogućio da podnese prigovor na takve izmjene.

3.  Države članice osiguravaju da je obrada od strane izvršitelja obrade uređena ugovorom ili drugim pravnim aktom u skladu s pravom Unije ili pravom države članice, koji je obvezujući za izvršitelja obrade u odnosu na voditelja obrade, u kojemu su navedeni predmet i trajanje obrade, priroda i svrha obrade, vrsta osobnih podataka te kategorije ispitanika te obveze i prava voditelja obrade. Tim se ugovorom ili pravnim aktom osobito uređuje da izvršitelj obrade:

▼C1

4.  Ugovor ili drugi pravni akt iz stavka 3. mora biti u pisanom obliku, što uključuje elektronički oblik.

▼B

5.  Ako izvršitelj obrade,utvrđuje svrhe i načine obrade, kršeći ovu Direktivu, taj se izvršitelj obrade smatra voditeljem obrade u pogledu te obrade.

Članak 23.

Obrada pod vodstvom voditelja obrade ili izvršitelja obrade

Države članice osiguravaju da izvršitelj obrade i bilo koja osoba koja djeluje pod vodstvom voditelja obrade ili izvršitelja obrade, a koja ima pristup osobnim podacima, ne obrađuje te podatke ako to ne zatraži voditelj obrade, osim ako to nalaže pravo Unije ili pravo države članice.

Članak 24.

Evidencija aktivnosti obrade

1.  Države članice osiguravaju da voditelji obrade vode evidenciju svih kategorija aktivnosti obrade za koje su oni odgovorni. Ta evidencija sadržava sve sljedeće informacije:

▼C1

▼B

2.  Države članice osiguravaju da svaki izvršitelj obrade vodi evidenciju svih kategorija aktivnosti obrade koje se obavljaju u ime voditelja obrade, a koja sadržava:

3.  Evidencija iz stavaka 1. i 2.mora biti u pisanom obliku, što uključuje elektronički oblik.

Voditelj obrade i izvršitelj obrade na zahtjev stavljaju evidenciju na raspolaganje nadzornom tijelu.

Članak 25.

Zapisivanje

1.  Države članice osiguravaju da se bilježe zapisi barem za sljedeće postupke obrade u automatiziranim sustavima obrade: prikupljanje, izmjene, obavljanje uvida, otkrivanje, uključujući prijenose, kombiniranje i brisanje. Zapisi o obavljanju uvida i otkrivanju omogućuju da se ustanovi obrazloženje, datum i vrijeme takvih postupaka te, ako je to moguće, identitet osobe koja je obavila uvid ili otkrila osobne podatke i identitet primatelja takvih osobnih podataka.

2.  Zapisi se upotrebljavaju samo u svrhe provjere zakonitosti obrade, samopraćenja i osiguravanja cjelovitosti i sigurnosti osobnih podataka te za kaznene postupke.

3.  Voditelj obrade i izvršitelj obrade na zahtjev stavljaju zapise na raspolaganje nadzornom tijelu.

Članak 26.

Suradnja s nadzornim tijelom

Države članice osiguravaju da voditelj obrade i izvršitelj obrade, na zahtjev, surađuju s nadzornim tijelom pri izvršavanju svojih zadaća.

Članak 27.

Procjena učinka na zaštitu podataka

1.  Ako je vjerojatno da će neka vrsta obrade, osobito putem novih tehnologija i uzimajući u obzir prirodu, opseg, kontekst i svrhe te obrade, prouzročiti visoki rizik za prava i slobode pojedinaca, države članice osiguravaju da voditelj obrade prije obrade provede procjenu učinka predviđenih postupaka obrade na zaštitu osobnih podataka.

2.  Procjena iz stavka 1. mora sadržavati barem općenit opis predviđenih postupaka obrade, procjenu rizika za prava i slobode ispitanika, predviđene mjere za rizike, zaštitne i sigurnosne mjere i mehanizme kako bi se osigurala zaštita osobnih podataka i dokazala usklađenost s ovom Direktivom, uzimajući u obzir prava i legitimne interese ispitanika i drugih uključenih osoba.

Članak 28.

Prethodno savjetovanje s nadzornim tijelom

1.  Države članice osiguravaju da se voditelj obrade ili izvršitelj obrade savjetuje s nadzornim tijelom prije obrade osobnih podataka koji će biti uključeni u novi sustav pohrane koji se treba uspostaviti, ako:

2.  Države članice osiguravaju savjetovanje s nadzornim tijelom tijekom izrade prijedloga zakonodavne mjere koju donosi nacionalni parlament ili regulatorne mjere koja se temelji na takvoj zakonodavnoj mjeri, a koja se odnosi na obradu.

3.  Države članice osiguravaju da nadzorno tijelo može uspostaviti popis postupaka obrade za koje je potrebno obaviti prethodno savjetovanje u skladu sa stavkom 1.

4.  Države članice osiguravaju da voditelj obrade nadzornom tijelu dostavlja procjenu učinka na zaštitu podataka na temelju članka 27. i, na zahtjev, pruža sve ostale informacije pomoću kojih će nadzorno tijelo moći procijeniti usklađenost obrade te posebno rizike za zaštitu osobnih podataka ispitanika i povezane zaštitne mjere.

5.  Države članice osiguravaju da nadzorno tijelo, ako smatra da bi se namjeravanom obradom iz stavka 1. ovog članka kršile odredbe donesene na temelju ove Direktive, osobito ako voditelj obrade nije u dovoljnoj mjeri utvrdio ili umanjio rizik, nadzorno tijelo u roku od najviše šest tjedana od zaprimanja zahtjeva za savjetovanje pisanim putem savjetuje voditelja obrade,i prema potrebi, izvršitelja obrade te može iskoristiti bilo koju od svojih ovlasti iz članka 47. Taj se rok može prema potrebi produljiti za mjesec dana, uzimajući u obzir složenost namjeravane obrade. Nadzorno tijelo u roku od mjesec dana od zaprimanja zahtjeva obavješćuje voditelja obrade i, prema potrebi, izvršitelja obrade o svakom takvom produljenju i o razlozima odgode.