Section 2 Security of personal data

Articolo 29

Sicurezza del trattamento

1.  Gli Stati membri dispongono che il titolare del trattamento e il responsabile del trattamento, tenuto conto dello stato dell'arte, dei costi di attuazione, nonché della natura, dell'oggetto, del contesto e delle finalità del trattamento, come anche del rischio di varia probabilità e gravità per i diritti e le libertà delle persone fisiche, mettano in atto misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio, in particolare riguardo al trattamento di categorie particolari di dati personali di cui all'articolo 10.

2.  Ciascuno Stato membro dispone che per il trattamento automatizzato il titolare del trattamento o il responsabile del trattamento, previa valutazione dei rischi, metta in atto misure volte a:

Articolo 30

Notifica di una violazione dei dati personali all'autorità di controllo

1.  Gli Stati membri dispongono che, in caso di violazione dei dati personali, il titolare del trattamento notifichi la violazione all'autorità di controllo senza ingiustificato ritardo, ove possibile entro 72 ore dal momento in cui ne è venuto a conoscenza, a meno che sia improbabile che la violazione dei dati personali presenti un rischio per i diritti e le libertà delle persone fisiche. Qualora la notifica all'autorità di controllo non sia effettuata entro 72 ore, è corredata dei motivi del ritardo.

2.  Il responsabile del trattamento informa il titolare del trattamento senza ingiustificato ritardo dopo essere venuto a conoscenza della violazione.

3.  La notifica di cui al paragrafo 1 deve almeno:

4.  Qualora e nella misura in cui non sia possibile fornire le informazioni contestualmente, le informazioni possono essere fornite in fasi successive senza ulteriore ingiustificato ritardo.

5.  Gli Stati membri dispongono che il titolare del trattamento documenti qualsiasi violazione dei dati personali di cui al paragrafo 1, comprese le circostanze in cui si è verificata la violazione dei dati personali, le sue conseguenze e i provvedimenti adottati per porvi rimedio. Tale documentazione consente all'autorità di controllo di verificare il rispetto del presente articolo.

6.  Gli Stati membri dispongono che, se la violazione dei dati personali riguarda dati personali che sono stati trasmessi dal o al titolare del trattamento di un altro Stato membro, le informazioni di cui al paragrafo 3 siano comunicate al titolare del trattamento di tale Stato membro senza ingiustificato ritardo.

Articolo 31

Comunicazione di una violazione dei dati personali all'interessato

1.  Gli Stati membri dispongono che, quando la violazione dei dati personali è suscettibile di presentare un rischio elevato per i diritti e le libertà delle persone fisiche, il titolare del trattamento comunichi la violazione all'interessato senza ingiustificato ritardo.

2.  La comunicazione all'interessato di cui al paragrafo 1 del presente articolo descrive con un linguaggio semplice e chiaro la natura della violazione dei dati personali e contiene almeno le informazioni e le misure di cui all'articolo 30, paragrafo 3, lettere b), c) e d).

3.  Non è richiesta la comunicazione all'interessato di cui al paragrafo 1 se è soddisfatta una delle seguenti condizioni:

4.  Nel caso in cui il titolare del trattamento non abbia ancora comunicato all'interessato la violazione dei dati personali, l'autorità di controllo può richiedere, dopo aver valutato la probabilità che la violazione dei dati personali presenti un rischio elevato, che vi provveda o può decidere che una delle condizioni di cui al paragrafo 3 è soddisfatta.

5.  La comunicazione all'interessato di cui al paragrafo 1 del presente articolo può essere ritardata, limitata od omessa alle condizioni e per i motivi di cui all'articolo 13, paragrafo 3.