Section 2 Security of personal data

Članak 29.

Sigurnost obrade

1.  Države članice osiguravaju da voditelj obrade i izvršitelj obrade, uzimajući u obzir najnovija dostignuća i troškove provedbe te prirodu, opseg, kontekst i svrhe obrade, kao i rizik različite vjerojatnosti i ozbiljnosti za prava i slobode pojedinaca, provode odgovarajuće tehničke i organizacijske mjere kako bi osigurali odgovarajuću razinu sigurnosti s obzirom na rizik, osobito u pogledu obrade posebnih kategorija osobnih podataka iz članka 10.

▼C1

2.  U pogledu automatizirane obrade svaka država članica osigurava da voditelj obrade ili izvršitelj obrade nakon procjene rizikâ provede mjere čija je svrha sljedeće:

▼B

Članak 30.

Izvješćivanje nadzornog tijela o povredi osobnih podataka

1.  Države članice osiguravaju da u slučaju povrede osobnih podataka, voditelj obrade, bez nepotrebnog odgađanja i, ako je izvedivo, najkasnije 72 sata od saznanja za tu povredu, izvijesti nadzorno tijelo o povredi osobnih podataka, osim ako povreda osobnih podataka vjerojatno neće rezultirati rizikom za prava i slobode pojedinaca. Ako izvješćivanje nadzornog tijela nije učinjeno u roku 72 sata, mora biti popraćeno navođenjem razloga kašnjenja. Izvješćivanje nadzornog tijela mora biti popraćeno utemeljenim obrazloženjem u slučajevima kada ono nije učinjeno unutar 72 sata.

2.  Izvršitelj obrade dužan je bez nepotrebnog odgađanja obavijestiti voditelja obrade nakon što sazna za povredu osobnih podataka.

3.  Izvješćivanjem iz stavka 1. mora se najmanje:

4.  Ako i u onoj mjeri u kojoj nije moguće istodobno pružiti informacije, informacije se mogu pružati postupno, bez nepotrebnog daljnjeg odgađanja.

5.  Države članice osiguravaju da voditelj obrade bilježi svaku povredu osobnih podataka iz stavka 1., uključujući činjenice povezane s povredom osobnih podataka, njezine posljedice i mjere poduzete za ispravljanje situacije. Ta dokumentacija nadzornom tijelu mora omogućiti provjeru poštovanja ovog članka.

6.  Države članice osiguravaju da se u slučaju povrede osobnih podataka koja uključuje osobne podatke koje je prenio voditelj obrade druge države članice ili koji su preneseni njemu, informacije iz stavka 3. prenose voditelju obrade te države članice bez nepotrebnog odgađanja.

Članak 31.

Obavješćivanje ispitanika o povredi osobnih podataka

1.  Države članice osiguravaju da, ako je vjerojatno da će povreda osobnih podataka prouzročiti visok rizik za prava i slobode pojedinaca, voditelj obrade bez nepotrebnog odgađanja obavijesti ispitanika o povredi osobnih podataka.

2.  U obavijesti ispitaniku iz stavka 1. ovog članka mora se jasnim i jednostavnim jezikom opisati priroda povrede osobnih podataka i navesti barem informacije i mjere iz članka 30. stavka 3. točaka (b), (c) i (d).

3.  Obavješćivanje ispitanika iz stavka 1. nije obvezno ako je ispunjen bilo koji od sljedećih uvjeta:

4.  Ako voditelj obrade nije već obavijestio ispitanika o povredi osobnih podataka, nadzorno tijelo, nakon razmatranja vjerojatnosti da će povreda osobnih podataka prouzročiti visok rizik, može od njega zahtijevati da to učini ili može zaključiti da je ispunjen neki od uvjeta iz stavka 3.

5.  Obavješćivanje ispitanika iz stavka 1. ovog članka može se odgoditi, ograničiti ili uskratiti podložno uvjetima i na temelju razloga iz članka 13. stavka 3.