art. 4

Artykuł 4 Technologiczne środki ochrony 1.   Na zasadzie odstępstwa od art. 3 ust. 1 powiadomienie danego abonenta lub osoby fizycznej o naruszeniu danych osobowych nie jest wymagane, jeżeli dostawca wykazał w sposób wymagany przez właściwy organ krajowy, że wprowadził w życie odpowiednie technologiczne środki ochrony oraz że środki te zostały zastosowane do danych, których dotyczyło naruszenie bezpieczeństwa. Tego rodzaju technologiczne środki ochrony sprawiają, że dane stają się nieczytelne dla każdego, kto nie jest uprawniony do dostępu do nich. 2.   Dane uznaje się za nieczytelne, jeżeli: a) zostały bezpiecznie zaszyfrowane z użyciem ustandaryzowanego algorytmu, klucz używany do odszyfrowywania tych danych nie został złamany w wyniku naruszenia bezpieczeństwa, oraz został wygenerowany w sposób, który uniemożliwia osobie nieupoważnionej poznanie go za pomocą dostępnych technologicznie środków; lub b) zostały zastąpione wartością klucza haszującego, obliczoną za pomocą standaryzowanej kryptograficznej funkcji haszującej z kluczem tajnym, klucz użyty do haszowania tych danych nie został złamany w wyniku naruszenia bezpieczeństwa, oraz został wygenerowany w sposób, który uniemożliwia osobie nieupoważnionej poznanie go za pomocą dostępnych technologicznie środków. 3.   Po konsultacji z właściwymi organami krajowymi w ramach Grupy Roboczej Art. 29, Europejską Agencją ds. Bezpieczeństwa Sieci i Informacji oraz Europejskim Inspektorem Ochrony Danych Komisja może opublikować orientacyjny wykaz stosownych technologicznych środków ochrony, o których mowa w ust. 1, zgodnie z bieżącą praktyką.