REGULAMENTUL (UE) 2016/679 (RGPD 2018) privind protectia persoanelor fizice in ceea ce priveste prelucrarea datelor cu caracter personal si privind libera circulatie a acestor date

(5) Aderarea persoanei imputernicite de operator la un cod de conduita aprobat, mentionat la articolul 40, sau la un mecanism de certificare aprobat, mentionat la articolul 42, poate fi utilizata ca element prin care sa se demonstreze existenta garantiilor suficiente mentionate la alineatele (1) si (4) din prezentul articol .
(6) Fara a aduce atingere unui contract individual incheiat intre operator si persoana imputernicita de operator, contractul sau celalalt act juridic mentionat la alineatele (3) si (4) din prezentul articol se poate baza, integral sau partial, pe clauze contractuale standard mentionate la alineatele (7) si (8) din prezentul articol, inclusiv atunci cand fac parte dintr-o certificare acordata operatorului sau persoanei imputernicite de operator in temeiul articolelor 42 si 43.
(7) Comisia poate sa prevada clauze contractuale standard pentru aspectele mentionate la alineatele (3) si (4) din prezentul articol si in conformitate cu procedura de examinare mentionata la articolul 93 alineatul (2).
(8) O autoritate de supraveghere poate sa adopte clauze contractuale standard pentru aspectele mentionate la alineatele (3) si (4) din prezentul articol si in conformitate cu mecanismul pentru asigurarea coerentei mentionat la articolul 63.
(9) Contractul sau celalalt act juridic mentionat la alineatele (3) si (4) se formuleaza in scris, inclusiv in format electronic.
(10) Fara a aduce atingere articolelor 82, 83 si 84, in cazul in care o persoana imputernicita de operator incalca prezentul regulament, prin stabilirea scopurilor si mijloacelor de prelucrare a datelor cu caracter personal, persoana imputernicita de operator este considerata a fi un operator in ceea ce priveste prelucrarea respectiva.

Articolul 29
Desfasurarea activitatii de prelucrare sub autoritatea operatorului sau a persoanei imputernicite de operator
Persoana imputernicita de operator si orice persoana care actioneaza sub autoritatea operatorului sau a persoanei imputernicite de operator care are acces la date cu caracter personal nu le prelucreaza decat la cererea operatorului, cu exceptia cazului in care dreptul Uniunii sau dreptul intern il obliga sa faca acest lucru.

Articolul 30
Evidentele activitatilor de prelucrare
(1) Fiecare operator si, dupa caz, reprezentantul acestuia pastreaza o evidenta a activitatilor de prelucrare desfasurate sub responsabilitatea lor. Respectiva evidenta cuprinde toate urmatoarele informatii:
(a) numele si datele de contact ale operatorului si, dupa caz, ale operatorului asociat, ale reprezentantului operatorului si ale responsabilului cu protectia datelor;
(b) scopurile prelucrarii;
(c) o descriere a categoriilor de persoane vizate si a categoriilor de date cu caracter personal;
(d) categoriile de destinatari carora le-au fost sau le vor fi divulgate datele cu caracter personal, inclusiv destinatarii din tari terte sau organizatii internationale;
(e) daca este cazul, transferurile de date cu caracter personal catre o tara terta sau o organizatie internationala, inclusiv identificarea tarii terte sau a organizatiei internationale respective si, in cazul transferurilor mentionate la articolul 49 alineatul (1) al doilea paragraf, documentatia care dovedeste existenta unor garantii adecvate;
(f) acolo unde este posibil, termenele-limita preconizate pentru stergerea diferitelor categorii de date;
(g) acolo unde este posibil, o descriere generala a masurilor tehnice si organizatorice de securitate mentionate la articolul 32 alineatul (1).
(2) Fiecare operator si, dupa caz, persoana imputernicita de operator pastreaza o evidenta a tuturor categoriilor de activitati de prelucrare desfasurate in numele operatorului, care cuprind:
(a) numele si datele de contact ale persoanei sau persoanelor imputernicite de operator si ale fiecarui operator in numele caruia actioneaza aceasta persoana (aceste persoane), precum si ale reprezentantului operatorului sau al persoanei imputernicite de operator, dupa caz;
(b) categoriile de activitati de prelucrare desfasurate in numele fiecarui operator;
(c) daca este cazul, transferurile de date cu caracter personal catre o tara terta sau o organizatie internationala, inclusiv identificarea tarii terte sau a organizatiei internationale respective si, in cazul transferurilor prevazute la articolul 49 alineatul (1) al doilea paragraf, documentatia care dovedeste existenta unor garantii adecvate;
(d) acolo unde este posibil, o descriere generala a masurilor tehnice si organizatorice de securitate mentionate la articolul 32 alineatul (1).
(3) Evidentele mentionate la alineatele (1) si (2) se formuleaza in scris, inclusiv in format electronic.
(4) Operatorul sau persoana imputernicita de acesta, precum si, dupa caz, reprezentantul operatorului sau al persoanei imputernicite de operator pun evidentele la dispozitia autoritatii de supraveghere, la cererea acesteia.
(5) Obligatiile mentionate la alineatele 1 si 2 nu se aplica unei intreprinderi sau organizatii cu mai putin de 250 de angajati, cu exceptia cazului in care prelucrarea pe care o efectueaza este susceptibila sa genereze un risc pentru drepturile si libertatile persoanelor vizate, prelucrarea nu este ocazionala sau prelucrarea include categorii speciale de date, astfel cum se prevede la articolul 9 alineatul (1), sau date cu caracter personal referitoare la condamnari penale si infractiuni, astfel cum se mentioneaza la articolul 10.

Articolul 31
Cooperarea cu autoritatea de supraveghere
Operatorul si persoana imputernicita de operator si, dupa caz, reprezentantul acestora coopereaza, la cerere, cu autoritatea de supraveghere in indeplinirea sarcinilor lor.
Sectiunea 2
Securitatea datelor cu caracter personal

Articolul 32
Securitatea prelucrarii
(1) Avand in vedere stadiul actual al dezvoltarii, costurile implementarii si natura, domeniul de aplicare, contextul si scopurile prelucrarii, precum si riscul cu diferite grade de probabilitate si gravitate pentru drepturile si libertatile persoanelor fizice, operatorul si persoana imputernicita de acesta implementeaza masuri tehnice si organizatorice adecvate in vederea asigurarii unui nivel de securitate corespunzator acestui risc, incluzand printre altele, dupa caz:
(a) pseudonimizarea si criptarea datelor cu caracter personal;
(b) capacitatea de a asigura confidentialitatea, integritatea, disponibilitatea si rezistenta continue ale sistemelor si serviciilor de prelucrare;
(c) capacitatea de a restabili disponibilitatea datelor cu caracter personal si accesul la acestea in timp util in cazul in care are loc un incident de natura fizica sau tehnica;
(d) un proces pentru testarea, evaluarea si aprecierea periodice ale eficacitatii masurilor tehnice si organizatorice pentru a garanta securitatea prelucrarii.
(2) La evaluarea nivelului adecvat de securitate, se tine seama in special de riscurile prezentate de prelucrare, generate in special, in mod accidental sau ilegal, de distrugerea, pierderea, modificarea, divulgarea neautorizata sau accesul neautorizat la datele cu caracter personal transmise, stocate sau prelucrate intr-un alt mod.
(3) Aderarea la un cod de conduita aprobat, mentionat la articolul 40, sau la un mecanism de certificare aprobat, mentionat la articolul 42, poate fi utilizata ca element prin care sa se demonstreze indeplinirea cerintelor prevazute la alineatul (1) din prezentul articol .
(4) Operatorul si persoana imputernicita de acesta iau masuri pentru a asigura faptul ca orice persoana fizica care actioneaza sub autoritatea operatorului sau a persoanei imputernicite de operator si care are acces la date cu caracter personal nu le prelucreaza decat la cererea operatorului, cu exceptia cazului in care aceasta obligatie ii revine in temeiul dreptului Uniunii sau al dreptului intern.

Articolul 33
Notificarea autoritatii de supraveghere in cazul incalcarii securitatii datelor cu caracter personal
(1) In cazul in care are loc o incalcare a securitatii datelor cu caracter personal, operatorul notifica acest lucru autoritatii de supraveghere competente in temeiul articolului 55, fara intarzieri nejustificate si, daca este posibil, in termen de cel mult 72 de ore de la data la care a luat cunostinta de aceasta, cu exceptia cazului in care este susceptibila sa genereze un risc pentru drepturile si libertatile persoanelor fizice. In cazul in care notificarea nu are loc in termen de 72 de ore, aceasta este insotita de o explicatie motivata din partea autoritatii de supraveghere in cazul in care.