natgillin/translations-raw huggingface dataset:
the type of processing, in particular, where using new technologies, mechanisms or procedures, involves a high risk to the rights and freedoms of data subjects.
27 artiklan mukainen tietosuojaa koskeva vaikutustenarviointi osoittaa, että käsittely aiheuttaa korkean riskin, ellei rekisterinpitäjä toteuta toimenpiteitä riskin lieventämiseksi; tai
Member States shall provide for the supervisory authority to be consulted during the preparation of a proposal for a legislative measure to be adopted by a national parliament or of a regulatory measure based on such a legislative measure, which relates to processing.
tietojen käsittely on sen luonteista, että siihen sisältyy muutoin, erityisesti uusien tekniikoiden, mekanismien tai menettelyjen käytön johdosta, rekisteröityjen oikeuksien ja vapauksien kannalta korkea riski.
Member States shall provide that the supervisory authority may establish a list of the processing operations which are subject to prior consultation pursuant to paragraph 1.
Jäsenvaltioiden on säädettävä siitä, että valvontaviranomaista kuullaan valmisteltaessa kansallisen parlamentin hyväksyntää varten ehdotusta lainsäädäntötoimenpiteeksi tai tällaiseen lainsäädäntötoimenpiteeseen perustuvaa sääntelytoimenpidettä, joka liittyy käsittelyyn.
Member States shall provide for the controller to provide the supervisory authority with the data protection impact assessment pursuant to Article 27 and, on request, with any other information to allow the supervisory authority to make an assessment of the compliance of the processing and in particular of the risks for the protection of personal data of the data subject and of the related safeguards.
Jäsenvaltioiden on säädettävä siitä, että valvontaviranomainen voi laatia luettelon käsittelytoimista, joihin sovelletaan 1 kohdassa tarkoitettua ennakkokuulemista.
Member States shall, where the supervisory authority is of the opinion that the intended processing referred to in paragraph 1 of this Article would infringe the provisions adopted pursuant to this Directive, in particular where the controller has insufficiently identified or mitigated the risk, provide for the supervisory authority to provide, within a period of up to six weeks of receipt of the request for consultation, written advice to the controller and, where applicable, to the processor, and may use any of its powers referred to in Article 47.
Jäsenvaltioiden on säädettävä siitä, että rekisterinpitäjä toimittaa valvontaviranomaiselle 27 artiklan mukaisen tietosuojaa koskevan vaikutustenarvioinnin ja pyynnöstä mahdolliset muut tiedot, joiden avulla valvontaviranomainen voi arvioida käsittelyn vaatimustenmukaisuutta ja erityisesti riskejä rekisteröidyn henkilötietojen suojan kannalta ja tähän liittyviä suojatoimia.
That period may be extended by a month, taking into account the complexity of the intended processing.
Jäsenvaltioiden on säädettävä siitä, että jos valvontaviranomainen katsoo, että suunniteltu tämän artiklan 1 kohdassa tarkoitettu käsittely rikkoisi tämän direktiivin nojalla annettuja säännöksiä, erityisesti jos rekisterinpitäjä ei ole yksilöinyt tai lieventänyt riittävästi riskiä, valvontaviranomainen antaa enintään kuuden viikon kuluessa kuulemispyynnön vastaanottamisesta kirjallisesti ohjeet rekisterinpitäjälle ja mahdolliselle henkilötietojen käsittelijälle, ja se voi käyttää 47 artiklassa tarkoitettuja valtuuksiaan.
The supervisory authority shall inform the controller and, where applicable, the processor of any such extension within one month of receipt of the request for consultation, together with the reasons for the delay.
Määräaikaa voidaan jatkaa kuukaudella ottaen huomioon suunnitellun käsittelyn monimutkaisuus.
Section 2
Valvontaviranomaisen on ilmoitettava rekisterinpitäjälle ja mahdolliselle henkilötietojen käsittelijälle mahdollisesta jatketusta määräajasta sekä viivästymisen syistä kuukauden kuluessa kuulemispyynnön vastaanottamisesta.
Security of personal data
2 jakso
Article 29
Henkilötietojen turvallisuus
Security of processing
29 artikla
Member States shall provide for the controller and the processor, taking into account the state of the art, the costs of implementation and the nature, scope, context and purposes of the processing as well as the risk of varying likelihood and severity for the rights and freedoms of natural persons, to implement appropriate technical and organisational measures to ensure a level of security appropriate to the risk, in particular as regards the processing of special categories of personal data referred to in Article 10.
Käsittelyn turvallisuus
In respect of automated processing, each Member State shall provide for the controller or processor, following an evaluation of the risks, to implement measures designed to:
Jäsenvaltioiden on säädettävä siitä, että rekisterinpitäjä ja henkilötietojen käsittelijä, ottaen huomioon uusimman tekniikan ja toteuttamiskustannusten, käsittelyn luonteen, laajuuden, asiayhteyden ja tarkoitusten sekä luonnollisen henkilön oikeuksiin ja vapauksiin kohdistuvan todennäköisyydeltään ja vakavuudeltaan vaihtelevan riskin, toteuttaa asianmukaiset tekniset ja organisatoriset toimenpiteet varmistaakseen riskiä vastaavan turvallisuustason varsinkin 10 artiklassa tarkoitettujen erityisten henkilötietoryhmien osalta.
deny unauthorised persons access to processing equipment used for processing (‘equipment access control’);
Kunkin jäsenvaltion on säädettävä siitä, että automatisoidun käsittelyn osalta rekisterinpitäjä tai henkilötietojen käsittelijä toteuttavat riskinarvioinnin pohjalta toimenpiteet, joiden tarkoituksena on
prevent the unauthorised reading, copying, modification or removal of data media (‘data media control’);
evätä asiattomilta pääsy käsittelyyn käytettäviin laitteisiin (”laitteillepääsyn valvonta”);
prevent the unauthorised input of personal data and the unauthorised inspection, modification or deletion of stored personal data (‘storage control’);
estää tietovälineiden luvaton lukeminen, jäljentäminen, muuttaminen tai poistaminen (”tietovälineiden valvonta”);
prevent the use of automated processing systems by unauthorised persons using data communication equipment (‘user control’);
estää henkilötietojen luvaton syöttäminen järjestelmään sekä järjestelmään tallennettujen henkilötietojen luvaton tarkastelu, muuttaminen tai poistaminen (”tallentamisen valvonta”);
ensure that persons authorised to use an automated processing system have access only to the personal data covered by their access authorisation (‘data access control’);
estää asiattomia käyttämästä automatisoituja käsittelyjärjestelmiä tiedonsiirtolaitteiden avulla (”käyttäjien valvonta”);
ensure that it is possible to verify and establish the bodies to which personal data have been or may be transmitted or made available using data communication equipment (‘communication control’);
varmistaa, että automatisoidun käsittelyjärjestelmän käyttöön oikeutetut henkilöt pääsevät ainoastaan valtuutuksensa piiriin kuuluviin henkilötietoihin (”pääsyn valvonta”);
ensure that it is subsequently possible to verify and establish which personal data have been input into automated processing systems and when and by whom the personal data were input (‘input control’);
varmistaa, että on mahdollista tarkistaa ja todeta, mille tahoille henkilötietoja on siirretty tai asetettu saataville tai voidaan siirtää tai asettaa saataville tiedonsiirtolaitteiden avulla (”tiedonvälityksen valvonta”);
prevent the unauthorised reading, copying, modification or deletion of personal data during transfers of personal data or during transportation of data media (‘transport control’);
varmistaa, että on mahdollista tarkistaa ja todeta jälkikäteen, mitä henkilötietoja on syötetty automatisoituihin käsittelyjärjestelmiin, milloin niitä on syötetty ja kuka henkilötietoja on syöttänyt (”tietojen syöttämisen valvonta”);
ensure that installed systems may, in the case of interruption, be restored (‘recovery’);
estää henkilötietojen asiaton lukeminen, jäljentäminen, muuttaminen tai poistaminen niitä siirrettäessä tai tietovälineitä kuljetettaessa (”siirron valvonta”);
ensure that the functions of the system perform, that the appearance of faults in the functions is reported (‘reliability’) and that stored personal data cannot be corrupted by means of a malfunctioning of the system (‘integrity’).
varmistaa, että käytetyt järjestelmät voidaan häiriön tapahtuessa palauttaa entiselleen (”toimintakunnon palauttaminen”);
Article 30
varmistaa, että järjestelmä toimii, että havaituista toimintojen virheistä ilmoitetaan (”luotettavuus”) ja että järjestelmän toimintahäiriö ei voi vahingoittaa tallennettuja henkilötietoja (”eheys”).
Notification of a personal data breach to the supervisory authority
30 artikla
Member States shall, in the case of a personal data breach, provide for the controller to notify without undue delay and, where feasible, not later than 72 hours after having become aware of it, the personal data breach to the supervisory authority, unless the personal data breach is unlikely to result in a risk to the rights and freedoms of natural persons.
Henkilötietojen tietoturvaloukkauksesta ilmoittaminen valvontaviranomaiselle
Where the notification to the supervisory authority is not made within 72 hours, it shall be accompanied by reasons for the delay.
Jäsenvaltioiden on säädettävä siitä, että henkilötietojen tietoturvaloukkauksen tapauksessa rekisterinpitäjä ilmoittaa siitä valvontaviranomaiselle ilman aiheetonta viivytystä ja mahdollisuuksien mukaan 72 tunnin kuluessa sen ilmitulosta, paitsi jos tietoturvaloukkauksesta ei todennäköisesti aiheudu luonnollisen henkilön oikeuksiin ja vapauksiin kohdistuvaa riskiä.
The processor shall notify the controller without undue delay after becoming aware of a personal data breach.
Jos ilmoitusta ei anneta valvontaviranomaiselle 72 tunnin kuluessa, ilmoitukseen on liitettävä viivytyksen syyt.
The notification referred to in paragraph 1 shall at least:
Henkilötietojen käsittelijän on ilmoitettava henkilötietojen tietoturvaloukkauksesta rekisterinpitäjälle ilman aiheetonta viivytystä saatuaan sen tietoonsa.
describe the nature of the personal data breach including, where possible, the categories and approximate number of data subjects concerned and the categories and approximate number of personal data records concerned;
Edellä 1 kohdassa tarkoitetussa ilmoituksessa on vähintään
communicate the name and contact details of the data protection officer or other contact point where more information can be obtained;
kuvattava henkilötietojen tietoturvaloukkaus, mukaan lukien mahdollisuuksien mukaan asianomaisten rekisteröityjen ryhmät ja arvioidut lukumäärät sekä henkilötietotyyppien ryhmät ja arvioidut lukumäärät;
describe the likely consequences of the personal data breach;
ilmoitettava tietosuojavastaavan nimi ja yhteystiedot tai muu yhteyspiste, josta voi saada lisätietoa;
describe the measures taken or proposed to be taken by the controller to address the personal data breach, including, where appropriate, measures to mitigate its possible adverse effects.
kuvattava henkilötietojen tietoturvaloukkauksen todennäköiset seuraukset;
Where, and in so far as, it is not possible to provide the information at the same time, the information may be provided in phases without undue further delay.
kuvattava toimenpiteet, jotka rekisterinpitäjä on toteuttanut tai joita se on ehdottanut henkilötietojen tietoturvaloukkauksen johdosta ja tarvittaessa toimenpiteet sen mahdollisten haittavaikutusten lieventämiseksi.
Member States shall provide for the controller to document any personal data breaches referred to in paragraph 1, comprising the facts relating to the personal data breach, its effects and the remedial action taken.
Jos ja siltä osin kuin ei ole mahdollista toimittaa tietoja samanaikaisesti, tiedot voidaan toimittaa vaiheittain ilman aiheetonta viivytystä.
That documentation shall enable the supervisory authority to verify compliance with this Article.
Jäsenvaltioiden on säädettävä siitä, että rekisterinpitäjä dokumentoi kaikki 1 kohdassa tarkoitetut henkilötietojen tietoturvaloukkaukset, sisältäen tietoturvaloukkaukseen liittyvät seikat, sen vaikutukset ja toteutetut korjaavat toimet.
Member States shall, where the personal data breach involves personal data that have been transmitted by or to the controller of another Member State, provide for the information referred to in paragraph 3 to be communicated to the controller of that Member State without undue delay.
Valvontaviranomaisen on voitava tämän dokumentoinnin avulla tarkistaa, että tätä artiklaa on noudatettu.
Article 31
Jäsenvaltioiden on säädettävä siitä, että jos tietoturvaloukkaukseen sisältyy toisen jäsenvaltion rekisterinpitäjän toimittamia tai tälle toimitettuja henkilötietoja, 3 kohdassa tarkoitetut tiedot on toimitettava ilman aiheetonta viivytystä tämän jäsenvaltion rekisterinpitäjälle.
Communication of a personal data breach to the data subject
31 artikla
Member States shall, where the personal data breach is likely to result in a high risk to the rights and freedoms of natural persons, provide for the controller to communicate the personal data breach to the data subject without undue delay.
Henkilötietojen tietoturvaloukkauksesta ilmoittaminen rekisteröidylle
The communication to the data subject referred to in paragraph 1 of this Article shall describe in clear and plain language the nature of the personal data breach and shall contain at least the information and measures referred to in points (b), (c) and (d) of Article 30(3).
Jäsenvaltioiden on säädettävä siitä, että jos henkilötietojen tietoturvaloukkaus todennäköisesti aiheuttaa korkean riskin luonnollisten henkilöiden oikeuksille ja vapauksille, rekisterinpitäjä on ilmoitettava tietoturvaloukkauksesta rekisteröidylle ilman aiheetonta viivytystä.
The communication to the data subject referred to in paragraph 1 shall not be required if any of the following conditions are met:
Tämän artiklan 1 kohdassa tarkoitetussa rekisteröidylle annettavassa ilmoituksessa on kuvattava selkeällä ja yksinkertaisella kielellä henkilötietojen tietoturvaloukkauksen luonne ja annettava ainakin 30 artiklan 3 kohdan b, c ja d alakohdassa tarkoitetut tiedot ja toimenpiteet.
the controller has implemented appropriate technological and organisational protection measures, and those measures were applied to the personal data affected by the personal data breach, in particular those that render the personal data unintelligible to any person who is not authorised to access it, such as encryption;
Edellä 1 kohdassa tarkoitettua ilmoitusta rekisteröidylle ei vaadita, jos jokin seuraavista ehdoista täyttyy:
the controller has taken subsequent measures which ensure that the high risk to the rights and freedoms of data subjects referred to in paragraph 1 is no longer likely to materialise;
rekisterinpitäjä on toteuttanut asianmukaiset tekniset ja organisatoriset suojatoimenpiteet ja tietoturvaloukkauksen kohteena oleviin henkilötietoihin on sovellettu kyseisiä toimenpiteitä, erityisesti niitä, joiden avulla henkilötiedot muutetaan muotoon, jossa ne eivät ole sellaisten henkilöiden ymmärrettävissä, joilla ei ole lupaa päästä tietoihin, kuten salausta;
it would involve a disproportionate effort.
rekisterinpitäjä on toteuttanut jatkotoimenpiteitä, joilla varmistetaan, että 1 kohdassa tarkoitettu rekisteröidyn oikeuksien ja vapauksien kannalta korkea riski ei enää todennäköisesti toteudu;
In such a case, there shall instead be a public communication or a similar measure whereby the data subjects are informed in an equally effective manner.
se vaatisi kohtuutonta vaivaa.
If the controller has not already communicated the personal data breach to the data subject, the supervisory authority, having considered the likelihood of the personal data breach resulting in a high risk, may require it to do so, or may decide that any of the conditions referred to in paragraph 3 are met.
Tällöin on rekisteröidylle tarkoitetun ilmoituksen sijaan käytettävä julkista ilmoitusta tai vastaavaa toimenpidettä, jolla rekisteröidyille tiedotetaan yhtä tehokkaalla tavalla.
The communication to the data subject referred to in paragraph 1 of this Article may be delayed, restricted or omitted subject to the conditions and on the grounds referred to in Article 13(3).
Jos rekisterinpitäjä ei ole vielä ilmoittanut henkilötietojen tietoturvaloukkausta rekisteröidylle, valvontaviranomainen voi vaatia ilmoituksen tekemistä tai päättää, että jokin 3 kohdan edellytyksistä täyttyy, arvioituaan, kuinka todennäköisesti tietoturvaloukkaus aiheuttaa korkean riskin.
Section 3
Tämän artiklan 1 kohdassa tarkoitettua rekisteröidylle ilmoittamista voidaan viivästyttää tai rajoittaa tai se voidaan jättää tekemättä 13 artiklan 3 kohdan mukaisilla edellytyksillä ja perusteilla.
Data protection officer
3 jakso
Article 32
Tietosuojavastaava
Designation of the data protection officer
32 artikla
Member States shall provide for the controller to designate a data protection officer.
Tietosuojavastaavan nimittäminen
Member States may exempt courts and other independent judicial authorities when acting in their judicial capacity from that obligation.
Jäsenvaltioiden on säädettävä siitä, että rekisterinpitäjä nimittää tietosuojavastaavan.
The data protection officer shall be designated on the basis of his or her professional qualities and, in particular, his or her expert knowledge of data protection law and practice and ability to fulfil the tasks referred to in Article 34.
Jäsenvaltiot voivat vapauttaa tuomioistuimet ja muut riippumattomat oikeusviranomaiset tästä velvoitteesta näiden hoitaessa lainkäyttötehtäviään.
A single data protection officer may be designated for several competent authorities, taking account of their organisational structure and size.
Tietosuojavastaavaa nimitettäessä otetaan huomioon henkilön ammattipätevyys ja erityisesti asiantuntemus tietosuojaoikeudesta ja alan käytännöstä sekä valmiudet suorittaa 34 artiklassa tarkoitetut tehtävät.
Member States shall provide for the controller to publish the contact details of the data protection officer and communicate them to the supervisory authority.
Yksi ainoa tietosuojavastaava voidaan nimittää useaa toimivaltaista viranomaista varten niiden organisaatiorakenne ja koko huomioon ottaen.
Article 33
Jäsenvaltioiden on säädettävä siitä, että rekisterinpitäjä julkistaa tietosuojavastaavan yhteystiedot ja ilmoittaa ne valvontaviranomaiselle.
Position of the data protection officer
33 artikla
Member States shall provide for the controller to ensure that the data protection officer is involved, properly and in a timely manner, in all issues which relate to the protection of personal data.
Tietosuojavastaavan asema
The controller shall support the data protection officer in performing the tasks referred to in Article 34 by providing resources necessary to carry out those tasks and access to personal data and processing operations, and to maintain his or her expert knowledge.
Jäsenvaltioiden on säädettävä siitä, että rekisterinpitäjä huolehtii tietosuojavastaavan ottamisesta asianmukaisesti ja riittävän ajoissa mukaan kaikkien henkilötietojen suojaa koskevien kysymysten käsittelyyn.
Article 34
Rekisterinpitäjän on tuettava tietosuojavastaavaa tämän 34 artiklassa tarkoitettujen tehtävien hoitamisessa antamalla tälle resurssit, jotka ovat tarpeen näiden tehtävien hoitamisessa, ja pääsyn henkilötietoihin ja käsittelytoimiin, sekä tämän asiantuntemuksen ylläpitämisessä.
Tasks of the data protection officer
34 artikla
Member States shall provide for the controller to entrust the data protection officer at least with the following tasks:
Tietosuojavastaavan tehtävät
to inform and advise the controller and the employees who carry out processing of their obligations pursuant to this Directive and to other Union or Member State data protection provisions;
Jäsenvaltioiden on säädettävä siitä, että rekisterinpitäjä osoittaa tietosuojavastaavalle ainakin seuraavat tehtävät:
to monitor compliance with this Directive, with other Union or Member State data protection provisions and with the policies of the controller in relation to the protection of personal data, including the assignment of responsibilities, awareness-raising and training of staff involved in processing operations, and the related audits;
antaa rekisterinpitäjälle ja henkilötietoja käsitteleville työntekijöille tietoja ja neuvoja, jotka koskevat niiden tämän direktiivin ja muiden unionin tai jäsenvaltioiden tietosuojasäännösten mukaisia velvollisuuksia;
to provide advice where requested as regards the data protection impact assessment and monitor its performance pursuant to Article 27;
valvoa, että noudatetaan tätä direktiiviä, muita unionin tai jäsenvaltioiden tietosuojasäännöksiä ja rekisterinpitäjän toimintamenettelyjä, jotka liittyvät henkilötietojen suojaan, mukaan lukien vastuunjako, tietoisuuden lisääminen ja käsittelyyn osallistuvan henkilöstön koulutus ja tähän liittyvät tarkastukset;
to cooperate with the supervisory authority;
antaa pyydettäessä neuvoja tietosuojaa koskevasta vaikutustenarvioinnista ja valvoa sen toteutusta 27 artiklan mukaisesti;
to act as the contact point for the supervisory authority on issues relating to processing, including the prior consultation referred to in Article 28, and to consult, where appropriate, with regard to any other matter.
tehdä yhteistyötä valvontaviranomaisen kanssa;
CHAPTER V
toimia valvontaviranomaisen yhteyspisteenä käsittelyyn liittyvissä kysymyksissä, mukaan lukien 28 artiklan mukainen ennakkokuuleminen ja tarvittaessa kuuleminen muista mahdollisista kysymyksistä.
Transfers of personal data to third countries or international organisations
V LUKU
Article 35
Henkilötietojen siirrot kolmansiin maihin tai kansainvälisille järjestöille
General principles for transfers of personal data
35 artikla
Member States shall provide for any transfer by competent authorities of personal data which are undergoing processing or are intended for processing after transfer to a third country or to an international organisation including for onward transfers to another third country or international organisation to take place, subject to compliance with the national provisions adopted pursuant to other provisions of this Directive, only where the conditions laid down in this Chapter are met, namely:
Henkilötietojen siirtoja koskevat yleiset periaatteet
the transfer is necessary for the purposes set out in Article 1(1);
Jäsenvaltioiden on säädettävä siitä, että kaikki toimivaltaisen viranomaisen suorittamat sellaisten henkilötietojen siirrot, joita käsitellään tai joita on tarkoitus käsitellä kolmanteen maahan tai kansainväliselle järjestölle siirtämisen jälkeen – mukaan luettuna siirrot edelleen toiseen kolmanteen maahan tai toiselle kansainväliselle järjestölle – toteutetaan ainoastaan tämän direktiivin muiden säännösten nojalla annettuja säännöksiä noudattaen ja ainoastaan jos täytetään tässä luvussa vahvistetut edellytykset, eli
the personal data are transferred to a controller in a third country or international organisation that is an authority competent for the purposes referred to in Article 1(1);
siirto on tarpeen 1 artiklan 1 kohdassa vahvistettuja tarkoituksia varten;
where personal data are transmitted or made available from another Member State, that Member State has given its prior authorisation to the transfer in accordance with its national law;
henkilötiedot siirretään kolmanteen maahan tai kansainväliseen järjestöön rekisterinpitäjälle, joka on viranomaisena 1 artiklan 1 kohdan mukaisten tarkoitusten suhteen toimivaltainen;
the Commission has adopted an adequacy decision pursuant to Article 36, or, in the absence of such a decision, appropriate safeguards have been provided or exist pursuant to Article 37, or, in the absence of an adequacy decision pursuant to Article 36 and of appropriate safeguards in accordance with Article 37, derogations for specific situations apply pursuant to Article 38; and
jos henkilötietoja siirretään tai asetetaan saataville toisesta jäsenvaltiosta, kyseinen jäsenvaltio on antanut siirrolle ennakkolupansa kansallisen lainsäädäntönsä mukaisesti;