227. člen
(kršitev varnosti osebnih podatkov)
(1)
Ob kršitvah varnosti osebnih podatkov mora izvajalec javnih komunikacijskih storitev o tem nemudoma obvestiti agencijo.
(2)
Če je verjetno, da kršitev varnosti osebnih podatkov škodljivo vpliva na osebne podatke in zasebnost naročnika ali posameznika, mora izvajalec iz prejšnjega odstavka brez neupravičenega odlašanja o tej kršitvi obvestiti tudi zadevnega naročnika ali posameznika.
(3)
Obveščanje iz prejšnjega odstavka ni potrebno, kadar je izvajalec javne komunikacijske storitve agenciji zadovoljivo dokazal, da je izvedel ustrezne tehnične zaščitne ukrepe in so bili ti ukrepi uporabljeni za podatke, na katere se je nanašala kršitev varnosti. Z uporabo teh ukrepov mora izvajalec javne komunikacijske storitve zagotoviti, da so ti podatki nerazpoznavni vsem, ki jim dostop do njih ni dovoljen.
(4)
Kadar izvajalec javne komunikacijske storitve zadevnega naročnika ali posameznika ni obvestil o kršitvi varnosti osebnih podatkov, mu lahko agencija po preučitvi morebitnih škodljivih učinkov takšne kršitve naloži, da o tej kršitvi obvesti zadevnega naročnika ali posameznika. O izpolnitvi te obveznosti izvajalec javne komunikacijske storitve obvesti agencijo.
(5)
Obvestilo naročniku ali posamezniku iz drugega ali četrtega odstavka tega člena mora vsebovati najmanj opis kršitve varnosti osebnih podatkov, naslove za stike za pridobitev več informacij in priporočene ukrepe za ublažitev morebitnih škodljivih učinkov kršitve varnosti osebnih podatkov. Obvestilo agenciji iz prvega odstavka tega člena pa mora poleg navedenega vsebovati tudi opis posledic kršitve varnosti osebnih podatkov in ukrepov, ki jih je izvajalec javne komunikacijske storitve predlagal ali sprejel za obravnavanje tovrstne kršitve.
(6)
Za izvrševanje določb tega člena agencija lahko izda splošni akt glede okoliščin, v katerih morajo izvajalci javnih komunikacijskih storitev izdati obvestilo o kršitvi varnosti osebnih podatkov, oblike takega obvestila in načina obveščanja. Agencija mora pri tem upoštevati morebitne zadevne tehnične izvedbene ukrepe, ki jih je sprejela Evropska komisija.
(7)
Izvajalci javnih komunikacijskih storitev morajo hraniti zadosten popis podatkov o kršitvah varnosti osebnih podatkov. Popis podatkov mora zato vključevati dejstva, ki se nanašajo na kršitve, njihove učinke, vključno z oceno števila oškodovanih oseb, in sprejete popravne ukrepe, kar agenciji omogoča, da preveri izpolnjevanje določb tega člena. Popis lahko vključuje samo informacije, ki so potrebne za ta namen.