Section 2 Security of personal data

Artikel 29

Beveiliging van de verwerking

1.  De lidstaten schrijven voor dat de verwerkingsverantwoordelijke en de verwerker, rekening houdend met de stand van de techniek, de uitvoeringskosten en de aard, de reikwijdte, de context en de doeleinden van de verwerking, alsmede met de qua waarschijnlijkheid en ernst uiteenlopende risico's voor de rechten en vrijheden van personen, passende technische en organisatorische maatregelen treffen om een op het risico afgestemd beveiligingsniveau te waarborgen, met name met betrekking tot de in artikel 10 bedoelde verwerking van bijzondere categorieën van persoonsgegevens.

2.  Ten aanzien van de geautomatiseerde verwerking voorziet elke lidstaat erin dat de verwerkingsverantwoordelijke of de verwerker, na beoordeling van het risico, maatregelen treft om:

Artikel 30

Melding van een inbreuk in verband met persoonsgegevens aan de toezichthoudende autoriteit

1.  De lidstaten schrijven voor dat indien een inbreuk in verband met persoonsgegevens heeft plaatsgevonden, de verwerkingsverantwoordelijke deze zonder onnodige vertraging en indien mogelijk niet meer dan 72 uur nadat hij er kennis van heeft genomen aan de toezichthoudende autoriteit meldt, tenzij het niet waarschijnlijk is dat de inbreuk in verband met persoonsgegevens een risico voor de rechten en vrijheden van personen met zich brengt. Wanneer de kennisgeving aan de toezichthoudende autoriteit niet binnen 72 uur plaatsvindt, gaat deze vergezeld van een motivering voor de vertraging.

2.  De verwerker verwittigt de verwerkingsverantwoordelijke zonder onnodige vertraging zodra hij kennis heeft genomen van een inbreuk in verband met persoonsgegevens.

3.  In de in lid 1 bedoelde melding wordt ten minste het volgende omschreven of meegedeeld:

4.  Indien en voor zover het niet mogelijk is alle informatie gelijktijdig te verstrekken, kan de informatie zonder onnodige verdere vertraging in stappen worden verstrekt.

5.  De lidstaten schrijven voor dat de verwerkingsverantwoordelijke alle in lid 1 bedoelde inbreuken in verband met persoonsgegevens, met inbegrip van de feiten omtrent de inbreuk in verband met persoonsgegevens, de gevolgen ervan en de genomen corrigerende maatregelen documenteert. Die documentatie moet de toezichthoudende autoriteit in staat stellen om de naleving van dit artikel te controleren.

6.  De lidstaten schrijven voor dat wanneer de inbreuk in verband met persoonsgegevens betrekking heeft op persoonsgegevens die zijn doorgezonden door of aan de verwerkingsverantwoordelijke van een andere lidstaat, de in lid 3 bedoelde informatie zonder onnodige vertraging aan de verwerkingsverantwoordelijke van die lidstaat wordt meegedeeld.

Artikel 31

Mededeling van een inbreuk in verband met persoonsgegevens aan de betrokkene

1.  De lidstaten schrijven voor dat wanneer de inbreuk in verband met persoonsgegevens waarschijnlijk een hoog risico voor de rechten en vrijheden van natuurlijke personen met zich meebrengt, de verwerkingsverantwoordelijke de betrokkene de inbreuk in verband met persoonsgegevens zonder onnodige vertraging meedeelt.

2.  De in lid 1 van dit artikel bedoelde mededeling aan de betrokkene bevat een omschrijving, in duidelijke en eenvoudige taal, van de aard van de inbreuk in verband met persoonsgegevens en ten minste de in artikel 30, lid 3, onder b), c) en d), bedoelde gegevens en maatregelen.

3.  De in lid 1 bedoelde mededeling aan de betrokkene is niet vereist wanneer aan een van de volgende voorwaarden is voldaan:

4.  Indien de verwerkingsverantwoordelijke de inbreuk in verband met persoonsgegevens nog niet aan de betrokkene heeft meegedeeld, kan de toezichthoudende autoriteit, na beraad over de kans dat de inbreuk in verband met persoonsgegevens een hoog risico met zich meebrengt, de verwerkingsverantwoordelijke daartoe verplichten of besluiten dat aan een van de in lid 3 bedoelde voorwaarden is voldaan.

5.  De in lid 1 van dit artikel bedoelde mededeling aan de betrokkene kan worden uitgesteld, beperkt of achterwege gelaten onder de voorwaarden en om de redenen bedoeld in artikel 13, lid 3.