Section 1 General obligations

Článok 19

Povinnosti prevádzkovateľa

1.  Členské štáty stanovia, že prevádzkovateľ so zreteľom na povahu, rozsah, kontext a účely spracúvania, ako aj na riziká s rôznou pravdepodobnosťou a závažnosťou pre práva a slobody fyzických osôb, prijme vhodné technické a organizačné opatrenia, aby zabezpečil a bol schopný preukázať, že spracúvanie sa vykonáva v súlade s touto smernicou. Uvedené opatrenia sa podľa potreby preskúmajú a aktualizujú.

2.  Ak je to primerané vzhľadom na spracovateľské činnosti, opatrenia uvedené v odseku 1 zahŕňajú zavedenie primeraných politík ochrany údajov zo strany prevádzkovateľa.

Článok 20

Špecificky navrhnutá a štandardná ochrana údajov

1.  Členské štáty stanovia, že prevádzkovateľ so zreteľom na najnovšie poznatky, náklady na vykonanie opatrení a na povahu, rozsah, kontext a účely spracúvania, ako aj na riziká s rôznou pravdepodobnosťou a závažnosťou, ktoré spracúvanie predstavuje pre práva a slobody fyzických osôb, v čase určenia prostriedkov spracúvania aj v čase samotného spracúvania prijme primerané technické a organizačné opatrenia, ako je napríklad pseudonymizácia, ktoré sú určené na účinné zavedenie zásad ochrany údajov, ako je minimalizácia údajov, a začlenil do spracúvania nevyhnutné záruky s cieľom splniť požiadavky tejto smernice a chrániť práva dotknutých osôb.

2.  Členské štáty stanovia, že prevádzkovateľ vykoná primerané technické a organizačné opatrenia, aby zabezpečil, že štandardne sa spracúvajú len osobné údaje, ktoré sú nevyhnutné pre každý konkrétny účel spracúvania. Uvedená povinnosť sa vzťahuje na množstvo získaných osobných údajov, rozsah ich spracúvania, dobu ich uchovávania a ich dostupnosť. Konkrétne sa takýmito opatreniami zabezpečí, aby osobné údaje neboli bez zásahu fyzickej osoby štandardne prístupné neobmedzenému počtu fyzických osôb.

Článok 21

Spoloční prevádzkovatelia

1.  Členské štáty v prípade, ak dvaja alebo viacerí prevádzkovatelia spoločne určia účely a prostriedky spracúvania, stanovia, že sú títo prevádzkovatelia spoločnými prevádzkovateľmi. Spoloční prevádzkovatelia transparentne určia svoje príslušné zodpovednosti za dodržiavanie tejto smernice, najmä pokiaľ ide o vykonávanie práv dotknutej osoby, a svoje príslušné povinnosti poskytovať informácie uvedené v článku 13, a to formou vzájomnej dohody, pokiaľ nie sú príslušné zodpovednosti prevádzkovateľov určené právom Únie alebo právom členského štátu, ktorému prevádzkovatelia podliehajú. V dohode sa určí kontaktné miesto pre dotknuté osoby. Členské štáty môžu určiť, ktorý zo spoločných prevádzkovateľov môže vystupovať ako jednotné kontaktné miesto pre uplatnenie práv dotknutých osôb.

2.  Bez ohľadu na podmienky dohody uvedenej v odseku 1 môžu členské štáty stanoviť, že dotknutá osoba uplatní svoje práva podľa ustanovení prijatých podľa tejto smernice u každého prevádzkovateľa a voči každému prevádzkovateľovi.

Článok 22

Sprostredkovateľ

1.  Členské štáty v prípade, ak sa spracúvanie uskutočňuje v mene prevádzkovateľa, stanovia, že prevádzkovateľ využíva len sprostredkovateľov poskytujúcich dostatočné záruky na to, že sa prijmú primerané technické a organizačné opatrenia tak, aby spracúvanie spĺňalo požiadavky tejto smernice a aby sa zabezpečila ochrana práv dotknutej osoby.

2.  Členské štáty stanovia, že sprostredkovateľ nezapojí ďalšieho sprostredkovateľa bez predchádzajúceho osobitného alebo všeobecného písomného povolenia prevádzkovateľa. V prípade všeobecného písomného povolenia sprostredkovateľ informuje prevádzkovateľa o akýchkoľvek zamýšľaných zmenách v súvislosti s pridaním alebo nahradením ďalších sprostredkovateľov, čím sa prevádzkovateľovi dá možnosť namietať voči takýmto zmenám.

3.  Členské štáty stanovia, že sa spracúvanie sprostredkovateľom riadi zmluvou alebo iným právnym aktom podľa práva Únie alebo práva členského štátu, ktoré zaväzuje sprostredkovateľa voči prevádzkovateľovi a ktorým sa stanovuje predmet a doba spracúvania, povaha a účel spracúvania, typ osobných údajov a kategórie dotknutých osôb a povinnosti a práva prevádzkovateľa. Uvedená zmluva alebo iný právny akt najmä stanovia, že sprostredkovateľ:

4.  Zmluva alebo iný právny akt uvedené v odseku 3 sa vypracúvajú v písomnej podobe vrátane elektronickej podoby.

5.  Ak sprostredkovateľ v rozpore s touto smernicou určí účely a prostriedky spracúvania, považuje sa v súvislosti s daným spracúvaním za prevádzkovateľa.

Článok 23

Spracúvanie na základe poverenia prevádzkovateľa alebo sprostredkovateľa

Členské štáty stanovia, že sprostredkovateľ a každá osoba konajúca na základe poverenia prevádzkovateľa alebo sprostredkovateľa, ktorá má prístup k osobným údajom, nespracúva tieto údaje bez pokynov prevádzkovateľa, s výnimkou prípadov, keď sa to vyžaduje podľa práva Únie alebo práva členského štátu.

Článok 24

Záznamy o spracovateľských činnostiach

1.  Členské štáty stanovia, že prevádzkovatelia vedú záznamy o všetkých kategóriách spracovateľských činností, za ktoré sú zodpovední. Uvedené záznamy musia obsahovať všetky tieto informácie:

2.  Členské štáty stanovia, že každý sprostredkovateľ vedie záznamy o všetkých kategóriách spracovateľských činností, ktoré vykonal v mene prevádzkovateľa, pričom tieto záznamy obsahujú:

3.  Záznamy uvedené v odsekoch 1 a 2 sa vedú v písomnej podobe vrátane elektronickej podoby.

Prevádzkovateľ a sprostredkovateľ na požiadanie sprístupnia uvedené záznamy dozornému orgánu.

Článok 25

Logovanie

1.  Členské štáty stanovia, že aspoň o týchto spracovateľských operáciách sa v systémoch automatizovaného spracúvania uchovávajú logy: získavanie, zmena, prehliadanie, poskytovanie vrátane prenosov, kombinovanie a vymazanie. Z logov o prehliadaní a poskytovaní musí byť možné určiť dôvody, dátum a čas takýchto operácií, a pokiaľ možno aj identifikačné údaje osoby, ktorá tieto osobné údaje prehliadala alebo ich poskytovala, ako aj totožnosť príjemcov takýchto osobných údajov.

2.  Logy sa využijú výlučne na overovanie zákonnosti spracúvania, vlastné monitorovanie, na zabezpečenie integrity a bezpečnosti osobných údajov a na účely trestného konania.

3.  Prevádzkovateľ a sprostredkovateľ na požiadanie sprístupnia logy dozornému orgánu.

Článok 26

Spolupráca s dozorným orgánom

Členské štáty stanovia, že prevádzkovateľ a sprostredkovateľ na požiadanie spolupracujú s dozorným orgánom pri výkone jeho úloh.

Článok 27

Posúdenie vplyvu na ochranu údajov

1.  Ak typ spracúvania, najmä s využitím nových technológií a s ohľadom na povahu, rozsah, kontext a účely spracúvania pravdepodobne povedie k vysokému riziku pre práva a slobody fyzických osôb, členské štáty stanovia, že prevádzkovateľ pred spracúvaním vykoná posúdenie vplyvu plánovaných spracovateľských operácií na ochranu osobných údajov.

2.  Posúdenie uvedené v odseku 1 obsahuje aspoň všeobecný opis plánovaných spracovateľských operácií, hodnotenie rizík pre práva a slobody dotknutých osôb, opatrenia na riešenie daných rizík, záruky, bezpečnostné opatrenia a mechanizmy na zabezpečenie ochrany osobných údajov a na preukázanie súladu s touto smernicou, s ohľadom na práva a oprávnené záujmy dotknutých osôb a prípadných ďalších osôb.

Článok 28

Predchádzajúca konzultácia s dozorným orgánom

1.  Členské štáty stanovia, že prevádzkovateľ alebo sprostredkovateľ uskutoční konzultácie s dozorným orgánom pred spracúvaním, ktoré bude tvoriť súčasť nového informačného systému, ktorý sa má vytvoriť, ak:

2.  Členské štáty stanovia, že sa s dozorným orgánom uskutočnia konzultácie počas prípravy návrhu legislatívneho opatrenia, ktoré má prijať národný parlament, alebo regulačného opatrenia založeného na takomto legislatívnom opatrení, ktoré sa týka spracúvania.

3.  Členské štáty stanovia, že dozorný orgán môže vypracovať zoznam spracovateľských operácií, ktoré podliehajú povinnosti uskutočniť predchádzajúcu konzultáciu podľa odseku 1.

4.  Členské štáty stanovia, že prevádzkovateľ poskytne dozornému orgánu posúdenie vplyvu na ochranu údajov podľa článku 27 a na požiadanie aj akékoľvek ďalšie informácie, ktoré dozornému orgánu umožnia posúdiť súlad spracúvania a najmä riziká z hľadiska ochrany osobných údajov dotknutej osoby a súvisiacich záruk.

5.  Členské štáty stanovia v prípade, ak sa dozorný orgán domnieva, že by zamýšľané spracúvanie uvedené v odseku 1 tohto článku bolo v rozpore s ustanoveniami prijatými podľa tejto smernice, najmä ak prevádzkovateľ nedostatočne identifikoval alebo zmiernil riziko, že dozorný orgán do šiestich týždňov od prijatia žiadosti o konzultáciu poskytne prevádzkovateľovi, a prípadne aj sprostredkovateľovi písomné poradenstvo, pričom môže uplatniť akúkoľvek zo svojich právomocí uvedených v článku 47. Uvedená lehota sa môže predĺžiť o mesiac, pričom sa zohľadní komplexnosť zamýšľaného spracúvania. Dozorný orgán informuje o takomto predĺžení lehoty prevádzkovateľa a prípadne sprostredkovateľa do jedného mesiaca od prijatia žiadosti o konzultáciu spolu s odôvodnením oneskorenia.