Section 2 Security of personal data

29 straipsnis

Duomenų tvarkymo saugumas

1.  Valstybės narės numato, kad duomenų valdytojas ir duomenų tvarkytojas, atsižvelgdamas į techninių galimybių išsivystymo lygį ir įgyvendinimo sąnaudas, taip pat į duomenų tvarkymo pobūdį, aprėptį, kontekstą bei tikslus ir į įvairios tikimybės bei dydžio pavojų fizinių asmenų teisėms ir laisvėms, turi įgyvendinti tinkamas technines ir organizacines priemones, kad būtų užtikrintas pavojų atitinkančio lygio saugumas, visų pirma kiek tai susiję su 10 straipsnyje nurodytu specialių kategorijų asmens duomenų tvarkymu.

2.  Automatizuoto duomenų tvarkymo srityje kiekviena valstybė narė numato, kad duomenų valdytojas arba duomenų tvarkytojas, atlikus rizikos vertinimą, turi įgyvendinti priemones, kuriomis siekiama:

30 straipsnis

Pranešimas apie asmens duomenų saugumo pažeidimą priežiūros institucijai

1.  Valstybės narės asmens duomenų saugumo pažeidimo atveju numato, kad duomenų valdytojas, nepagrįstai nedelsdamas ir, jei įmanoma, ne vėliau kaip per 72 valandas nuo tada, kai apie jį sužino, turi pranešti apie asmens duomenų saugumo pažeidimą priežiūros institucijai, išskyrus atvejus, kai nėra tikėtina, kad dėl tokio asmens duomenų saugumo pažeidimo kils pavojus fizinių asmenų teisėms ir laisvėms. Jeigu pranešimas priežiūros institucijai pateikiamas vėliau nei per 72 valandas, prie jo pridedama informacija apie vėlavimo priežastis.

2.  Duomenų tvarkytojas, sužinojęs apie asmens duomenų saugumo pažeidimą, nepagrįstai nedelsdamas apie tai praneša duomenų valdytojui.

3.  1 dalyje nurodytame pranešime bent:

4.  Jeigu ir tiek, kiek informacijos nėra įmanoma pateikti tuo pačiu metu, informaciją galima teikti etapais, toliau nepagrįstai nedelsiant.

5.  Valstybės narės numato, kad duomenų valdytojas turi dokumentuoti visus 1 dalyje nurodytus asmens duomenų saugumo pažeidimus, įskaitant faktus, susijusius asmens duomenų saugumo pažeidimu, jo poveikį ir taisomuosius veiksmus, kurių imtasi. Ta dokumentacija turi sudaryti galimybę priežiūros institucijai patikrinti, ar laikomasi šio straipsnio.

6.  Valstybės narės, tais atvejais, kai asmens duomenų saugumo pažeidimas yra susijęs su asmens duomenimis, kurie buvo persiųsti kitos valstybės narės duomenų valdytojo arba kitos valstybės narės duomenų valdytojui, numato, kad 3 dalyje nurodyta informacija tos valstybės narės duomenų valdytojui turi būti pateikta nepagrįstai nedelsiant.

31 straipsnis

Pranešimas apie asmens duomenų saugumo pažeidimą duomenų subjektui

1.  Jeigu dėl asmens duomenų saugumo pažeidimo gali kilti didelis pavojus fizinių asmenų teisėms ir laisvėms, valstybės narės numato, kad duomenų valdytojas nepagrįstai nedelsdamas turi pranešti duomenų subjektui apie asmens duomenų saugumo pažeidimą.

2.  Šio straipsnio 1 dalyje nurodytame pranešime duomenų subjektui aiškia ir paprasta kalba aprašomas asmens duomenų saugumo pažeidimo pobūdis ir pateikiama bent 30 straipsnio 3 dalies b, c ir d punktuose nurodyta informacija ir priemonės.

3.  1 dalyje nurodyto pranešimo duomenų subjektui nereikalaujama, jeigu tenkinama bet kuri iš šių sąlygų:

4.  Jeigu duomenų valdytojas dar nepranešė apie asmens duomenų saugumo pažeidimą duomenų subjektui, priežiūros institucija, išnagrinėjusi tikimybę, kad asmens duomenų saugumo pažeidimas sukels didelį pavojų, gali reikalauti, kad duomenų valdytojas tai padarytų, arba gali nuspręsti, kad tenkinama bet kuri iš 3 dalyje nurodytų sąlygų.

5.  Šio straipsnio 1 dalyje nurodytas pranešimas duomenų subjektui gali būti atidėtas, apribotas arba jo galima nepateikti, laikantis 13 straipsnio 3 dalyje nurodytų sąlygų ir pagrindų.