+Section 2 Security of personal data
---+29. pants Apstrādes drošība
------+Article 29 1.
------+Article 29 2.
---+30. pants Personas datu aizsardzības pārkāpuma paziņošana uzraudzības iestādei
------+Article 30 1.
------+Article 30 2.
------+Article 30 3.
------+Article 30 4.
------+Article 30 5.
------+Article 30 6.
---+31. pants Paziņošana datu subjektam par personas datu aizsardzības pārkāpumu
------+Article 31 1.
------+Article 31 2.
------+Article 31 3.
------+Article 31 4.
------+Article 31 5.

Section 2 Security of personal data

Section 2 Security of personal data

1. Pārskats

,
29. pants Apstrādes drošība

29. pants

Apstrādes drošība

1.  Dalībvalstis paredz, ka pārzinis un apstrādātājs, ņemot vērā tehnikas līmeni, īstenošanas izmaksas un apstrādes raksturu, apmēru, kontekstu un nolūkus, kā arī dažādas iespējamības un nopietnības pakāpes risku attiecībā uz fizisko personu tiesībām un brīvībām, īsteno atbilstīgus tehniskus un organizatoriskus pasākumus, lai nodrošinātu tādu drošības līmeni, kas ir atbilstīgs riskam, jo īpaši attiecībā uz 10. pantā minēto īpašu kategoriju personas datu apstrādi.

2.  Attiecībā uz automatizētu apstrādi katra dalībvalsts paredz, ka pārzinis vai apstrādātājs pēc risku izvērtēšanas īsteno pasākumus, lai:

a) liegtu nepilnvarotām personām pieeju apstrādes iekārtām, kuras izmanto apstrādei (“piekļuves kontrole iekārtām”);

b) novērstu nesankcionētu datu nolasīšanu, kopēšanu, grozīšanu vai datu nesēju izņemšanu (“datu nesēju kontrole”);

c) liegtu neatļautu personas datu ievadīšanu, kā arī liegtu neatļautu saglabāto personas datu apskati, grozīšanu vai dzēšanu (“glabāšanas kontrole”);

d) liegtu izmantot apstrādes automatizētas sistēmas nepilnvarotām personām, izmantojot datu komunikācijas iekārtas (“lietotāju kontrole”);

e) nodrošinātu, ka personām, kas ir pilnvarotas izmantot apstrādes automatizētu sistēmu, ir piekļuve tikai tiem personas datiem, uz kuriem attiecas viņu piekļuves tiesības (“datu piekļuves kontrole”);

f) nodrošinātu, ka ir iespējams pārbaudīt un noteikt struktūras, kurām personas dati ir vai var tikt nosūtīti vai izpausti, izmantojot datu komunikācijas iekārtas (“komunikācijas kontrole”);

g) nodrošinātu, ka pēc tam ir iespējams pārbaudīt un noteikt, kādi personas dati ir ievadīti automatizētas apstrādes sistēmās, kā arī personas datu ievadīšanas laiku un ievadītāju (“ievades kontrole”);

h) novērstu nesankcionētu personas datu nolasīšanu, kopēšanu, grozīšanu vai dzēšanu personas datu nosūtīšanas laikā vai datu nesēja transportēšanas laikā (“transportēšanas kontrole”);

i) nodrošinātu, ka traucējumu gadījumā uzstādītās sistēmas var atjaunot (“atgūšana”);

j) nodrošinātu, ka sistēma funkcionē tā, ka par darbības kļūdu parādīšanos tiek ziņots (“drošums”) un saglabātie dati nevar tikt sabojāti sistēmas darbības traucējumu dēļ (“integritāte”).
30. pants Personas datu aizsardzības pārkāpuma paziņošana uzraudzības iestādei

30. pants

Personas datu aizsardzības pārkāpuma paziņošana uzraudzības iestādei

1.  Dalībvalstis paredz, ka personas datu aizsardzības pārkāpuma gadījumā pārzinis bez nepamatotas kavēšanās un, ja iespējams, ne vēlāk kā 72 stundu laikā no brīža, kad pārkāpums tam kļuvis zināms, paziņo uzraudzības iestādei par personas datu aizsardzības pārkāpumu, izņemot gadījumus, kad ir maz ticams, ka personas datu aizsardzības pārkāpums varētu radīt risku fizisko personu tiesībām un brīvībām. Ja paziņojums uzraudzības iestādei nav sniegts 72 stundu laikā, tam pievieno kavēšanās iemeslu izklāstu.

2.  Apstrādātājs, tiklīdz tam kļuvis zināms personas datu aizsardzības pārkāpums, bez nepamatotas kavēšanās paziņo par to pārzinim.

3.  Paziņojumā, kas minēts 1. punktā, ietver vismaz šādu informāciju:

a) apraksta personas datu aizsardzības pārkāpuma raksturu, tostarp, ja iespējams, attiecīgo datu subjektu kategorijas un aptuveno skaitu un attiecīgo personas datu ierakstu kategorijas un aptuveno skaitu;

b) paziņo datu aizsardzības speciālista nosaukumu un kontaktinformāciju vai norāda citu kontaktpunktu, kur var iegūt papildu informāciju;

c) apraksta personas datu aizsardzības pārkāpuma iespējamās sekas;

d) apraksta pasākumus, ko pārzinis veicis vai ierosinājis veikt, lai novērstu personas datu aizsardzības pārkāpumu, tostarp attiecīgā gadījumā – pasākumus, lai mazinātu tā iespējamās nelabvēlīgās sekas.

4.  Ja un ciktāl informāciju nav iespējams sniegt vienlaikus, informāciju var sniegt pa posmiem bez turpmākas nepamatotas kavēšanās.

5.  Dalībvalstis paredz, ka pārzinis dokumentē visus 1. punktā minētos personas datu aizsardzības pārkāpumus, norādot faktus, kas saistīti ar personas datu pārkāpumu, tā sekas un veiktās koriģējošās darbības. Minētā dokumentācija ļauj uzraudzības iestādei pārbaudīt šā panta ievērošanu.

6.  Dalībvalstis paredz, ka gadījumā, ja personas datu aizsardzības pārkāpums ietver personas datus, ko ir nosūtījis citas dalībvalsts pārzinis vai kas ir nosūtīti citas dalībvalsts pārzinim, 3. punktā minēto informāciju bez nepamatotas kavēšanās paziņo šīs dalībvalsts pārzinim.
31. pants Paziņošana datu subjektam par personas datu aizsardzības pārkāpumu

31. pants

Paziņošana datu subjektam par personas datu aizsardzības pārkāpumu

1.  Dalībvalstis paredz, ka gadījumā, ja personas datu aizsardzības pārkāpums varētu radīt augstu risku fizisko personu tiesībām un brīvībām, pārzinis bez nepamatotas kavēšanās paziņo datu subjektam par personas datu aizsardzības pārkāpumu.

2.  Šā panta 1. punktā minētajā paziņojumā datu subjektam, izmantojot skaidru un vienkāršu valodu, apraksta personas datu aizsardzības pārkāpuma raksturu un ietver vismaz 30. panta 3. punkta b), c) un d) apakšpunktā minēto informāciju un pasākumus.

3.  Šā panta 1. punktā minētais paziņojums datu subjektam nav jāsniedz, ja ir izpildīts kāds no šiem nosacījumiem:

a) pārzinis ir īstenojis atbilstīgus tehniskus un organizatoriskus aizsardzības pasākumus un minētie pasākumi ir piemēroti personas datiem, ko skāris personas datu aizsardzības pārkāpums, jo īpaši tādi pasākumi, kas personas datus padara nesaprotamus personām, kurām nav pilnvaru piekļūt datiem, piemēram, šifrēšana;

b) pārzinis ir veicis turpmākus pasākumus, ar ko nodrošina, lai, visticamāk, vairs nevarētu materializēties 1. punktā minētais augstais risks attiecībā uz datu subjektu tiesībām un brīvībām;

c) tas prasītu nesamērīgi lielas pūles. Tādā gadījumā tā vietā izmanto publisku saziņu vai līdzīgu pasākumu, ar ko datu subjekti tiek informēti vienlīdz efektīvā veidā.

4.  Ja pārzinis vēl nav paziņojis datu subjektam par personas datu aizsardzības pārkāpumu, uzraudzības iestāde, apsvērusi iespējamību, ka personas datu pārkāpums varētu radīt augstu risku, var pieprasīt pārzinim paziņot datu subjektam vai var nolemt, ka ir izpildīti visi 3. punktā minētie nosacījumi.

5.  Šā panta 1. punktā minēto paziņojumu datu subjektam var atlikt, ierobežot vai nesniegt, ievērojot nosacījumus un pamatojoties uz iemesliem, kas minēti 13. panta 3. punktā.

1.1 Atsauces

1.2 Identificētās prasības

1.3 Saistītie standarti

2. Identificētās prasības

Prasības

3. Saistītie standarti

Standarti
  • Builddate: 04.05.2016 00:00:00 -Doknr: CELEX:32016L0680
  • EULAW -

    EN: Legal acts of the European Union from EUR-Lex, https://eur-lex.europa.eu/. © European Union. Re-use is authorised by Decision 2011/833/EU, provided the source is acknowledged; the consolidated texts are licensed under CC BY 4.0 (EUR-Lex legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the legislation published in the Official Journal of the European Union is deemed authentic.

    DE: Rechtsakte der Europäischen Union aus EUR-Lex, https://eur-lex.europa.eu/. © Europäische Union. Weiterverwendung nach Beschluss 2011/833/EU mit Quellenangabe gestattet; die konsolidierten Fassungen stehen unter CC BY 4.0 (Rechtlicher Hinweis von EUR-Lex). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Verbindlich sind allein die im Amtsblatt der Europäischen Union veröffentlichten Rechtsakte.