Section 1 General obligations

Člen 19

Obveznosti upravljavca

▼C1

1.  Države članice določijo, da upravljavec ob upoštevanju narave, obsega, okoliščin in namenov obdelave, pa tudi tveganj za pravice in svoboščine posameznikov, ki se razlikujejo po verjetnosti in resnosti, izvede ustrezne tehnične in organizacijske ukrepe, da zagotovi in je zmožen izkazati, da obdelava poteka v skladu s to direktivo. Ti ukrepi se po potrebi pregledajo in dopolnijo.

▼B

2.  Kadar je to sorazmerno glede na dejavnosti obdelave, ukrepi iz odstavka 1 vključujejo izvajanje ustreznih politik za varstvo podatkov s strani upravljavca.

Člen 20

Vgrajeno in privzeto varstvo podatkov

1.  Države članice določijo, da upravljavec ob upoštevanju najnovejšega tehnološkega razvoja in stroškov izvajanja ter narave, obsega, okoliščin in namenov obdelave, pa tudi tveganj za pravice in svoboščine posameznikov, ki so povezana z obdelavo in se razlikujejo po verjetnosti in resnosti, tako v času določanja sredstev obdelave kot tudi v času same obdelave, izvede ustrezne tehnične in organizacijske ukrepe, kot je psevdonimizacija, ki so oblikovani za učinkovito izvajanje načel varstva podatkov, kot je načelo najmanjšega obsega podatkov, ter v obdelavo vključi potrebne zaščitne ukrepe, da se izpolnijo zahteve te direktive in zaščitijo pravice posameznikov, na katere se nanašajo osebni podatki.

2.  Države članice določijo, da upravljavec izvede ustrezne tehnične in organizacijske ukrepe, s katerimi zagotovi, da se samodejno obdelajo samo osebni podatki, ki so potrebni za vsak poseben namen obdelave. Ta obveznost velja za količino zbranih osebnih podatkov, obseg njihove obdelave, obdobje njihove hrambe in njihovo dostopnost. S takšnimi ukrepi se zagotovi zlasti, da osebni podatki niso samodejno dostopni nedoločenemu številu oseb brez posredovanja zadevnega posameznika.

Člen 21

Skupni upravljavci

1.  Države članice določijo, da gre v primeru, ko dva ali več upravljavcev skupaj določijo namene in načine obdelave, za skupne upravljavce. Skupni upravljavci na pregleden način z medsebojnim dogovorom določijo dolžnosti vsakega od njih za izpolnjevanje obveznosti iz te direktive, zlasti v zvezi z uresničevanjem pravic posameznika, na katerega se nanašajo osebni podatki, in naloge vsakega od njih glede zagotavljanja informacij iz člena 13, razen če in kolikor so dolžnosti vsakega od upravljavcev določene s pravom Unije ali države članice, ki velja za upravljavce. Z dogovorom se določi kontaktna točka za posameznike, na katere se nanašajo osebni podatki. Države članice lahko določijo, kateri od skupnih upravljavcev lahko deluje kot enotna kontaktna točka za uresničevanje pravic posameznikov, na katere se nanašajo osebni podatki.

2.  Države članice lahko ne glede na pogoje dogovora iz odstavka 1 določijo, da posameznik, na katerega se nanašajo osebni podatki, uresničuje pravice, ki jih ima na podlagi predpisov, sprejetih v skladu s to direktivo, glede vsakega od upravljavcev in proti vsakemu od njih.

Člen 22

Obdelovalec

1.  Države članice določijo, da upravljavec, kadar se obdelava izvaja v njegovem imenu, sodeluje zgolj z obdelovalci, ki zagotovijo zadostna jamstva za izvedbo ustreznih tehničnih in organizacijskih ukrepov na tak način, da obdelava izpolnjuje zahteve iz te direktive in zagotavlja varstvo pravic posameznika, na katerega se nanašajo osebni podatki.

2.  Države članice določijo, da obdelovalec ne zaposli drugega obdelovalca brez predhodnega posebnega ali splošnega pisnega dovoljenja upravljavca. V primeru splošnega pisnega dovoljenja obdelovalec upravljavca obvesti o vseh nameravanih spremembah glede zaposlitve dodatnih obdelovalcev ali njihove zamenjave, s čimer se upravljavcu omogoči, da nasprotuje tem spremembam.

3.  Države članice določijo, da izvajanje obdelave s strani obdelovalca ureja pogodba ali drug pravni akt v skladu s pravom Unije ali države članice, ki določa obveznosti obdelovalca do upravljavca ter v katerem so določeni vsebina in trajanje obdelave, narava in namen obdelave, vrsta osebnih podatkov, kategorije posameznikov, na katere se nanašajo osebni podatki, ter obveznosti in pravice upravljavca. Ta pogodba ali drug pravni akt določa zlasti, da obdelovalec:

▼C1

▼B

4.  Pogodba ali drug pravni akt iz odstavka 3 je v pisni obliki, vključno z elektronsko obliko.

5.  Če obdelovalec za obdelavo podatkov določi namene in način obdelave, ki kršijo to direktivo, se ta obdelovalec šteje za upravljavca v zvezi s to obdelavo.

Člen 23

Obdelava pod vodstvom upravljavca ali obdelovalca

Države članice določijo, da obdelovalec in katera koli oseba, ki ukrepa pod vodstvom upravljavca ali obdelovalca in ima dostop do osebnih podatkov, teh podatkov ne sme obdelati brez navodil upravljavca, razen če to od njega zahteva pravo Unije ali države članice.

Člen 24

Evidenca dejavnosti obdelave

1.  Države članice določijo, da upravljavci vodijo evidenco vseh vrst dejavnosti obdelave, za katere so odgovorni. Ta evidenca vsebuje vse naslednje informacije:

2.  Države članice določijo, da vsak obdelovalec vodi evidenco vseh vrst dejavnosti obdelave, ki jih izvaja v imenu upravljavca, evidenca pa vsebuje:

▼C1

▼B

3.  Evidence iz odstavkov 1 in 2 so v pisni, vključno v elektronski obliki.

Upravljavec in obdelovalec nadzornemu organu na zahtevo omogočita dostop do evidence.

Člen 25

Vodenje dnevnikov

1.  Države članice določijo, da se vodijo dnevniki vsaj o naslednjih dejanjih obdelave v avtomatiziranih sistemih obdelave: zbiranje, predelava, vpogled, razkritje, vključno s prenosi, kombiniranje in izbris. Dnevniki vpogleda in razkritja omogočajo utemeljitev, opredelitev datuma in časa takih dejanj ter, če je to mogoče, identifikacijo osebe, ki je vpogledala v osebne podatke ali jih razkrila, ter identiteto uporabnikov takih osebnih podatkov.

▼C1

2.  Dnevniki se uporabljajo zgolj za preverjanje zakonitosti obdelave, notranje spremljanje, zagotavljanje celovitosti in varnosti osebnih podatkov ter v kazenskih postopkih.

▼B

3.  Upravljavec in obdelovalec nadzornemu organu na zahtevo omogočita dostop do dnevnikov.

Člen 26

Sodelovanje z nadzornim organom

Države članice določijo, da upravljavec in obdelovalec na zahtevo sodelujeta z nadzornim organom pri izvajanju njegovih nalog.

Člen 27

Ocena učinka v zvezi z varstvom na podatkov

1.  Kadar je možno, da bi lahko vrsta obdelave, zlasti z uporabo novih tehnologij, ob upoštevanju narave, obsega, okoliščin in namenov obdelave, povzročila veliko tveganje za pravice in svoboščine posameznikov, države članice določijo, da upravljavec pred obdelavo opravi oceno učinka predvidenih dejanj obdelave na varstvo osebnih podatkov.

2.  Ocena iz odstavka 1 obsega vsaj splošni opis predvidenih dejanj obdelave, oceno tveganja za pravice in svoboščine posameznikov, na katere se nanašajo osebni podatki, ukrepe, namenjene obvladovanju teh tveganj, zaščitne ukrepe, varnostne ukrepe ter mehanizme za zagotavljanje varstva osebnih podatkov in za dokazovanje skladnosti s to direktivo, pri čemer se upoštevajo pravice in zakoniti interesi posameznikov, na katere se nanašajo osebni podatki, ter drugih zadevnih oseb.

Člen 28

Predhodno posvetovanje z nadzornim organom

1.  Države članice določijo, da se upravljavec ali obdelovalec pred obdelavo osebnih podatkov, ki bodo del nove zbirke, posvetuje z nadzornim organom, kadar:

2.  Države članice določijo, da se med pripravo predloga zakonodajnega ukrepa, ki ga sprejme nacionalni parlament, ali regulativnega ukrepa, ki temelji na takšnem zakonodajnem ukrepu, ki se nanaša na obdelavo, izvede posvetovanje z nadzornim organom.

3.  Države članice določijo, da lahko nadzorni organ pripravi seznam dejanj obdelave, za katere je treba v skladu z odstavkom 1 opraviti predhodno posvetovanje.

4.  Države članice določijo, da upravljavec nadzornemu organu predloži oceno učinka na varstvo podatkov v skladu s členom 27, na zahtevo pa tudi vse druge informacije, ki bodo nadzornemu organu omogočile, da oceni skladnost obdelave in zlasti tveganja za varstvo osebnih podatkov posameznika, na katerega se ti podatki nanašajo, ter s tem povezane zaščitne ukrepe.

5.  Države članice določijo, da nadzorni organ, kadar meni, da bi predvidena obdelava iz odstavka 1 tega člena lahko kršila predpise, sprejete na podlagi te direktive, zlasti kadar upravljavec ni ustrezno opredelil ali ublažil tveganja, pisno svetuje upravljavcu, kadar je to ustrezno, pa tudi obdelovalcu, v roku do šestih tednov po prejemu zahteve za posvetovanje in lahko uporabi katero koli pooblastilo iz člena 47. To obdobje se lahko ob upoštevanju kompleksnosti predvidene obdelave podaljša za en mesec. Nadzorni organ o vsakem takem podaljšanju obvesti upravljavca in kadar je to ustrezno obdelovalca v enem mesecu od prejema zahteve za posvetovanje, skupaj z razlogi za zamudo.