Section 2 Security of personal data

Člen 29

Varnost obdelave

1.  Države članice določijo, da upravljavec in obdelovalec ob upoštevanju tehnološkega razvoja, stroškov izvajanja in narave, obsega, okoliščin in namenov obdelave, pa tudi tveganj za pravice in svoboščine posameznikov, ki se razlikujejo po verjetnosti in resnosti, z ustreznimi tehničnimi in organizacijskimi ukrepi zagotovita ustrezno raven varnosti glede na tveganje, zlasti kar zadeva obdelavo posebnih vrst osebnih podatkov iz člena 10.

2.  V zvezi z avtomatizirano obdelavo osebnih podatkov vsaka država članica določi, da upravljavec ali obdelovalec po oceni tveganj izvede ukrepe, katerih namen je:

▼C1

Člen 30

Obvestilo nadzornemu organu o kršitvi varnosti osebnih podatkov

1.  Države članice določijo, da upravljavec v primeru kršitve varnosti osebnih podatkov brez nepotrebnega odlašanja in po možnosti najpozneje v 72 urah po seznanitvi s kršitvijo o njej obvesti nadzorni organ, razen če ni verjetno, da bi bilo s kršitvijo varnosti osebnih podatkov povzročeno tveganje za pravice in svoboščine posameznikov. Kadar obvestilo nadzornemu organu ni podano v 72 urah, se mu priloži razloge za zamudo.

2.  Obdelovalec ob seznanitvi s kršitvijo varnosti osebnih podatkov brez nepotrebnega odlašanja obvesti upravljavca.

3.  Obvestilo iz odstavka 1 vsebuje vsaj:

4.  Kadar in kolikor informacij ni mogoče zagotoviti istočasno, se informacije lahko zagotovijo postopoma brez nepotrebnega dodatnega odlašanja.

5.  Države članice določijo, da upravljavec dokumentira vsako kršitev varnosti osebnih podatkov iz odstavka 1, vključno z dejstvi v zvezi s kršitvijo varnosti osebnih podatkov, njene učinke in sprejete popravne ukrepe. Ta dokumentacija nadzornemu organu omogoči, da preveri skladnost s tem členom.

6.  Države članice v primeru, kadar kršitev varnosti osebnih podatkov vključuje osebne podatke, ki jih je upravljavec druge države članice poslal ali so mu bili poslani, določijo, da se informacije iz odstavka 3 upravljavcu navedene države članice sporočijo brez nepotrebnega odlašanja.

▼B

Člen 31

Sporočilo posamezniku, na katerega se nanašajo osebni podatki, o ►C1  kršitvi varnosti osebnih podatkov ◄

1.  Države članice določijo, da v primeru, ko je verjetno, da bi ►C1  kršitev varnosti osebnih podatkov ◄ povzročila veliko tveganje za pravice in svoboščine posameznikov, upravljavec brez nepotrebnega odlašanja sporoči posamezniku, na katerega se nanašajo osebni podatki, da je prišlo do ►C1  kršitve varnosti osebnih podatkov ◄ .

2.  V sporočilu posamezniku, na katerega se nanašajo osebni podatki, iz odstavka 1 tega člena je v jasnem in preprostem jeziku opisana vrsta ►C1  kršitve varnosti osebnih podatkov ◄ ter so vsebovane vsaj informacije in ukrepi iz točk (b), (c) in (d) člena 30(3).

3.  Sporočilo posamezniku, na katerega se nanašajo osebni podatki, iz odstavka 1 ni potrebno, če je izpolnjen kateri koli izmed naslednjih pogojev:

4.  Če upravljavec posameznika, na katerega se nanašajo osebni podatki, še ni obvestil o ►C1  kršitvi varnosti osebnih podatkov ◄ , lahko nadzorni organ to od njega lahko zahteva po preučitvi verjetnosti, da bi ►C1  kršitev varnosti osebnih podatkov ◄ povzročila veliko tveganje, ali pa lahko odloči, da je izpolnjen kateri od pogojev iz odstavka 3.

5.  Sporočilo posamezniku, na katerega se nanašajo osebni podatki, iz odstavka 1 tega člena se lahko pod pogoji in iz razlogov iz člena 13(3) zadrži, omeji ali opusti.