Section 1 General obligations

19 straipsnis

Duomenų valdytojo prievolės

1.  Valstybės narės numato, kad duomenų valdytojas, atsižvelgdamas į duomenų tvarkymo pobūdį, aprėptį, kontekstą bei tikslus ir į įvairios tikimybės bei dydžio pavojų fizinių asmenų teisėms ir laisvėms, turi įgyvendinti tinkamas technines ir organizacines priemones, siekdamas užtikrinti, kad duomenų tvarkymas būtų atliekamas laikantis šios direktyvos, ir galėtų tai įrodyti. Tos priemonės prireikus peržiūrimos ir atnaujinamos.

2.  Kai tai proporcinga duomenų tvarkymo veiklos atžvilgiu, 1 dalyje nurodytos priemonės apima duomenų valdytojo įgyvendinamą atitinkamą duomenų apsaugos politiką.

20 straipsnis

Pritaikytoji duomenų apsauga ir standartizuotoji duomenų apsauga

1.  Valstybės narės numato, kad duomenų valdytojas, atsižvelgdamas į techninių galimybių išsivystymo lygį, įgyvendinimo sąnaudas, taip pat į duomenų tvarkymo pobūdį, aprėptį, kontekstą bei tikslus ir į įvairios tikimybės bei dydžio pavojų fizinių asmenų teisėms ir laisvėms, kurį kelia duomenų tvarkymas, tiek duomenų tvarkymo priemonių nustatymo metu, tiek paties tvarkymo metu turi įgyvendinti tinkamas technines ir organizacines priemones, pavyzdžiui, pseudonimų suteikimą, skirtas tam, kad būtų veiksmingai įgyvendinami duomenų apsaugos principai, pavyzdžiui, duomenų kiekio mažinimas, ir kad į duomenų tvarkymo procesą būtų integruotos reikiamos apsaugos priemonės, siekiant įvykdyti šios direktyvos reikalavimus ir apsaugoti duomenų subjektų teises.

2.  Valstybės narės numato, kad duomenų valdytojas turi įgyvendinti tinkamas technines ir organizacines priemones, kuriomis būtų užtikrinta, kad pagal standartizuotą praktiką būtų tvarkomi tik tie asmens duomenys, kurie yra būtini kiekvienam konkrečiam duomenų tvarkymo tikslui. Ta prievolė taikoma surinktų asmens duomenų kiekiui, jų tvarkymo apimčiai, jų saugojimo laikotarpiui ir jų prieinamumui. Visų pirma tokiomis priemonėmis užtikrinama, kad pagal standartizuotą praktiką su asmens duomenimis be asmens įsikišimo negalėtų susipažinti neribotas fizinių asmenų skaičius.

21 straipsnis

Bendri duomenų valdytojai

1.  Valstybės narės tais atvejais, kai du ar daugiau duomenų valdytojų kartu nustato duomenų tvarkymo tikslus ir priemones, numato, kad jie turi būti laikomi bendrais duomenų valdytojais. Jie tarpusavio susitarimu skaidriai nustato savo atitinkamą atsakomybę už šios direktyvos nuostatų, visų pirma susijusių su duomenų subjekto naudojimusi savo teisėmis ir su jų atitinkamomis pareigomis pateikti 13 straipsnyje nurodytą informaciją, vykdymą, išskyrus atvejus, kai, ir tiek, kiek atitinkama duomenų valdytojų atsakomybė nustatoma Sąjungos arba valstybės narės teise, kuri yra taikoma duomenų valdytojams. Tokiu susitarimu nustatomas informacinis punktas, skirtas duomenų subjektams. Valstybės narės gali nustatyti, kuris iš bendrų duomenų valdytojų gali atlikti vieno bendro informacinio punkto funkciją, kad duomenų subjektai galėtų pasinaudoti savo teisėmis.

2.  Nepaisant 1 dalyje nurodyto susitarimo sąlygų, valstybės narės gali numatyti, kad duomenų subjektas naudojasi savo teisėmis remiantis pagal šią direktyvą priimtomis nuostatomis kiekvieno iš duomenų valdytojų atžvilgiu ir prieš kiekvieną iš jų.

22 straipsnis

Duomenų tvarkytojas

1.  Valstybės narės, jeigu duomenys turi būti tvarkomi duomenų valdytojo vardu, numato, kad duomenų valdytojas turi pasitelkti tik tuos duomenų tvarkytojus, kurie suteikia pakankamų garantijų, kad tinkamos techninės ir organizacinės priemonės bus įgyvendintos taip, kad duomenų tvarkymas atitiktų šios direktyvos reikalavimus ir būtų užtikrinta duomenų subjekto teisių apsauga.

2.  Valstybės narės numato, kad duomenų tvarkytojas be išankstinio konkretaus arba bendro rašytinio duomenų valdytojo leidimo negali pasitelkti kito duomenų tvarkytojo. Bendro rašytinio leidimo atveju duomenų tvarkytojas turi informuoti duomenų valdytoją apie visus planuojamus pakeitimus, susijusius su kitų duomenų tvarkytojų pasitelkimu ar pakeitimu, ir tokiu būdu suteikti duomenų valdytojui galimybę nesutikti su tokiais pakeitimais.

3.  Valstybės narės numato, kad duomenų tvarkytojo atliekamas duomenų tvarkymas turi būti reglamentuojamas sutartimi ar kitu teisės aktu pagal Sąjungos arba valstybės narės teisę, kuris yra privalomas duomenų tvarkytojui ir duomenų valdytojui, ir kuriuo nustatomas duomenų tvarkymo dalykas ir trukmė, duomenų tvarkymo pobūdis ir tikslas, asmens duomenų rūšis ir duomenų subjektų kategorijos, bei duomenų valdytojo prievolės ir teisės. Ta sutartimi ar kitu teisės aktu visų pirma nustatoma, kad duomenų tvarkytojas:

4.  3 dalyje nurodyta sutartis arba kitas teisės aktas sudaromi raštu ir gali būti prieinami elektronine forma.

5.  Jeigu duomenų tvarkytojas, pažeisdamas šią direktyvą, nustato duomenų tvarkymo tikslus ir priemones, to duomenų tvarkymo atžvilgiu tas duomenų tvarkytojas laikomas duomenų valdytoju.

23 straipsnis

Duomenų valdytojui ar duomenų tvarkytojui pavaldžių subjektų atliekamas duomenų tvarkymas

Valstybės narės numato, kad duomenų tvarkytojas ir bet kuris duomenų valdytojui arba duomenų tvarkytojui pavaldus asmuo, galintis susipažinti su asmens duomenimis, negali tų duomenų tvarkyti, išskyrus atvejus, kai duomenų valdytojas duoda nurodymą juos tvarkyti, išskyrus atvejus, kai tai daryti reikalaujama pagal Sąjungos ar valstybės narės teisę.

24 straipsnis

Duomenų tvarkymo veiklos įrašai

1.  Valstybės narės numato, kad duomenų valdytojai turi tvarkyti visų kategorijų duomenų tvarkymo veiklos, už kurią jie atsako, registrą. Tame registre pateikiama visa ši informacija:

2.  Valstybės narės numato, kad kiekvienas duomenų tvarkytojas turi tvarkyti visų kategorijų duomenų tvarkymo veiklos, vykdomos duomenų valdytojo vardu, registrą, kuriame nurodoma:

3.  1 ir 2 dalyse nurodytas registras parengiamas raštu ir gali būti prieinamas elektronine forma.

Gavęs prašymą, duomenų valdytojas ir duomenų tvarkytojas pateikia tuos registrus priežiūros institucijai.

25 straipsnis

Registravimas

1.  Valstybės narės numato, kad turi būti saugomi registracijos įrašai bent apie šias duomenų tvarkymo operacijas automatizuotose duomenų tvarkymo sistemose: rinkimą, keitimą, užklausą, atskleidimą, įskaitant perdavimus, sujungimą ir ištrynimą. Užklausos ir atskleidimo registracijos įrašai turi suteikti galimybę nustatyti tokių operacijų priežastis, datą ir laiką, taip pat, kiek tai įmanoma, nustatyti asmens, kuris susipažino su asmens duomenimis arba juos atskleidė, tapatybę ir tokių asmens duomenų gavėjų tapatybę.

2.  Registracijos įrašai naudojami tik siekiant patikrinti duomenų tvarkymo teisėtumą, vykdyti savikontrolę, užtikrinti asmens duomenų vientisumą bei saugumą ir baudžiamojo proceso tikslais.

3.  Gavęs prašymą, duomenų valdytojas ir duomenų tvarkytojas pateikia registracijos įrašus priežiūros institucijai.

26 straipsnis

Bendradarbiavimas su priežiūros institucija

Valstybės narės numato, kad, gavęs prašymą, duomenų valdytojas ir duomenų tvarkytojas turi bendradarbiauti su priežiūros institucija jai vykdant savo užduotis.

27 straipsnis

Poveikio duomenų apsaugai vertinimas

1.  Tais atvejais, kai dėl duomenų tvarkymo rūšies, visų pirma naudojant naujas technologijas, ir atsižvelgiant į duomenų tvarkymo pobūdį, aprėptį, kontekstą bei tikslus gali kilti didelis pavojus fizinių asmenų teisėms ir laisvėms, valstybės narės numato, kad duomenų valdytojas, prieš pradedant vykdyti duomenų tvarkymą, turi atlikti numatytų duomenų tvarkymo operacijų poveikio asmens duomenų apsaugai vertinimą.

2.  1 dalyje nurodytame vertinime pateikiamas bent bendras numatytų duomenų tvarkymo operacijų aprašymas, pavojaus duomenų subjektų teisėms ir laisvėms vertinimas, numatytos priemonės tam pavojui pašalinti, apsaugos priemonės, saugumo priemonės ir mechanizmai, kuriais užtikrinama asmens duomenų apsauga ir įrodoma, kad laikomasi šios direktyvos, atsižvelgiant į duomenų subjektų ir kitų susijusių asmenų teises ir teisėtus interesus.

28 straipsnis

Išankstinis konsultavimasis su priežiūros institucija

1.  Valstybės narės numato, kad duomenų valdytojas arba duomenų tvarkytojas turi iš anksto konsultuotis su priežiūros institucija prieš tvarkydamas asmens duomenis, kurie bus įtraukti į naują susistemintą rinkinį, kuris turi būti sukurtas, jeigu:

2.  Valstybės narės numato, kad rengiant pasiūlymą dėl su duomenų tvarkymu susijusios teisėkūros priemonės, kurią turi priimti nacionalinis parlamentas, arba tokia teisėkūros priemone grindžiamą reguliavimo priemonę, turi būti konsultuojamasi su priežiūros institucija.

3.  Valstybės narės numato, kad priežiūros institucija gali parengti duomenų tvarkymo operacijų, dėl kurių reikia iš anksto konsultuotis pagal 1 dalį, sąrašą.

4.  Valstybės narės numato, kad duomenų valdytojas turi pateikti priežiūros institucijai poveikio duomenų apsaugai vertinimą pagal 27 straipsnį ir, gavęs prašymą, bet kokią kitą informaciją, kad priežiūros institucija galėtų įvertinti, ar duomenų tvarkymas atitinka reikalavimus, ir visų pirma pavojų duomenų subjekto asmens duomenų apsaugai ir susijusias apsaugos priemones.

5.  Valstybės narės tuo atveju, jeigu priežiūros institucija laikosi nuomonės, kad numatytas duomenų tvarkymas, nurodytas šio straipsnio 1 dalyje, pažeistų pagal šią direktyvą priimtas nuostatas, visų pirma tais atvejais, kai duomenų valdytojas nepakankamai nustatė arba nepakankamai sumažino pavojų, numato, kad priežiūros institucija ne vėliau kaip per šešias savaites nuo tada, kai gavo prašymą suteikti konsultaciją, turi raštu pateikti duomenų valdytojui ir, kai taikytina, duomenų tvarkytojui patarimus ir gali pasinaudoti bet kuriais 47 straipsnyje nurodytais savo įgaliojimais. Tas laikotarpis gali būti pratęstas vienu mėnesiu, atsižvelgiant į numatyto duomenų tvarkymo sudėtingumą. Priežiūros institucija informuoja duomenų valdytoją ir, kai taikytina, duomenų tvarkytoją apie bet kokį tokio laikotarpio pratęsimą per vieną mėnesį nuo prašymo suteikti konsultaciją gavimo, taip pat ir apie vėlavimo priežastis.