Securitatea datelor

       (1) Având în vedere stadiul actual al dezvoltării tehnologice, costurile implementării și natura, domeniul de aplicare, contextul și scopurile prelucrării, precum și riscul cu diferite grade de probabilitate și gravitate pentru drepturile și libertățile persoanelor fizice, operatorul și persoana împuternicită de acesta implementează măsuri tehnice și organizatorice adecvate în vederea asigurării unui nivel de securitate corespunzător acestui risc, inclusiv, printre altele, după caz:

a) pseudonimizarea și criptarea datelor cu caracter personal;

b) capacitatea de a asigura confidențialitatea, integritatea, disponibilitatea și reziliența sistemelor și serviciilor de prelucrare;

c) capacitatea de a restabili disponibilitatea datelor cu caracter personal și accesul la acestea în timp util în cazul în care are loc un incident de natură fizică sau tehnică;

d) un proces pentru testarea, evaluarea și aprecierea periodică a eficacității măsurilor tehnice și organizatorice pentru a garanta securitatea prelucrării.

       (2) La evaluarea nivelului adecvat de securitate se ține cont, în special, de riscurile prezentate de prelucrare, generate în special, în mod accidental sau ilegal, de distrugerea, pierderea, modificarea, divulgarea neautorizată sau accesul neautorizat la datele cu caracter personal transmise, stocate sau prelucrate într-un alt mod.

       (3) Aderarea la un cod de conduită aprobat în conformitate cu art. 40 sau la un mecanism de certificare aprobat în conformitate cu art. 42 poate fi utilizată ca un element prin care să se demonstreze îndeplinirea cerințelor prevăzute la alin. (1).

       (4) Operatorul și persoana împuternicită de operator iau măsuri pentru a asigura faptul că orice persoană fizică care acționează sub autoritatea operatorului sau a persoanei împuternicite de operator și care are acces la date cu caracter personal nu le prelucrează decât în baza instrucțiunilor operatorului, cu excepția cazului în care actele normative impun prelucrarea datelor cu caracter personal.

       (1) În cazul în care are loc o încălcare a securității datelor cu caracter personal, operatorul notifică Centrul despre acest lucru fără întârzieri nejustificate și, dacă este posibil, în termen de cel mult 72 de ore de la data la care a luat cunoștință de aceasta, cu excepția cazului în care încălcarea este puțin susceptibilă să genereze un risc pentru drepturile și libertățile persoanelor fizice. În cazul în care nu se face în termen de 72 de ore, notificarea este însoțită de o explicație motivată a întârzierii.

       (2) Persoana împuternicită de operator notifică operatorul fără întârzieri nejustificate după ce ia cunoștință de o încălcare a securității datelor cu caracter personal.

       (3) Notificarea menționată la alin. (1), cel puțin:

a) descrie caracterul încălcării securității datelor cu caracter personal, inclusiv, atunci când este posibil, categoriile și numărul aproximativ al persoanelor vizate în cauză, precum și categoriile și numărul aproximativ al înregistrărilor de date cu caracter personal în cauză;

b) comunică numele și datele de contact ale responsabilului cu protecția datelor sau un alt punct de contact de unde se pot obține mai multe informații;

c) descrie consecințele probabile ale încălcării securității datelor cu caracter personal;

d) descrie măsurile luate sau propuse spre a fi luate de operator pentru a remedia problema încălcării securității datelor cu caracter personal, inclusiv, după caz, măsurile pentru atenuarea eventualelor efecte negative.

       (4) Atunci când și în măsura în care nu este posibil să se furnizeze informațiile în același timp, acestea pot fi furnizate în mai multe etape, fără întârzieri nejustificate.

       (5) Operatorul păstrează documente referitoare la toate cazurile de încălcare a securității datelor cu caracter personal, care cuprind o descriere a situației de fapt în care a avut loc încălcarea securității datelor cu caracter personal, a efectelor acesteia și a măsurilor de remediere întreprinse. Această documentație trebuie să ofere Centrului posibilitatea de a verifica respectarea prezentului articol.

       (1) În cazul în care încălcarea securității datelor cu caracter personal este susceptibilă să genereze un risc ridicat pentru drepturile și libertățile persoanelor fizice, operatorul informează persoana vizată fără întârzieri nejustificate cu privire la această încălcare.

       (2) În informarea transmisă persoanei vizate prevăzută la alin. (1) se include o descriere, într-un limbaj clar și simplu, a caracterului încălcării securității datelor cu caracter personal, precum și, cel puțin, informațiile și măsurile prevăzute la art. 33 alin. (3) lit. b)–d).

        (3) Informarea persoanei vizate prevăzută la alin. (1) nu este necesară în cazul în care este îndeplinită una dintre următoarele condiții:

a) operatorul a implementat măsuri de protecție tehnice și organizatorice adecvate, iar aceste măsuri au fost aplicate în cazul datelor cu caracter personal afectate de încălcarea securității datelor cu caracter personal, în special măsuri prin care se asigură că datele cu caracter personal devin neinteligibile oricărei persoane care nu este autorizată să le acceseze, cum ar fi criptarea;

b) operatorul a luat măsuri ulterioare prin care se asigură că riscul ridicat pentru drepturile și libertățile persoanelor vizate menționat la alin.(1) nu mai este susceptibil să se materializeze;

c) informarea ar necesita un efort disproporționat. În această situație, se efectuează o informare publică sau se ia o măsură similară prin care persoanele vizate sunt informate într-un mod la fel de eficace.

       (4) În cazul în care operatorul nu a informat persoana vizată despre încălcarea securității datelor cu caracter personal, Centrul, după ce a luat în considerare probabilitatea ca încălcarea securității datelor cu caracter personal să genereze un risc ridicat, poate să îi solicite operatorului informarea persoanei vizate sau poate decide că una dintre condițiile menționate la alin. (3) este îndeplinită.