Чл. 18

всички потенциални или действителни рискове за наличността, поверителността и/или цялостността на личните данни, които са предмет на обработване в AGORA;

всяко нарушение на сигурността на личните данни, вероятните последици от нарушението на сигурността на личните данни и оценката на риска за правата и свободите на физическите лица, както и за всички мерки, предприети за отстраняване на нарушението на сигурността на личните данни и намаляване на риска за правата и свободите на физическите лица; както и

всяко нарушение на техническите и/или организационните гаранции на операцията по обработване в AGORA. 3) В съответствие с членове 33 и 34 от Регламент (ЕС) 2016/679 или след уведомление от Комисията съвместните администратори съобщават на Комисията, на компетентните надзорни органи за защита на данните, а при наличие на такова изискване — и на субектите на данни, за всяко нарушение на сигурността на лични данни, свързано с операцията по обработване в AGORA. 4) Всеки администратор прилага подходящи технически и организационни мерки, имащи за цел:

гарантиране и защита на наличността, цялостността и поверителността на съвместно обработваните лични данни;

защита срещу неразрешено или незаконно обработване, загуба, използване, разкриване или придобиване на лични данни, с които разполага, или за достъп до такива данни; както и

гарантиране, че достъпът до личните данни не се разкрива, нито се предоставя на лице, което не е получател или обработващ на тези данни. 12/16 ELI: http://data.europa.eu/eli/reg_impl/2024/607/oj OB L, 16.2.2024 г. BG РАЗДЕЛ 3 ОЦЕНКА НА ВЪЗДЕЙСТВИЕТО ПО ОТНОШЕНИЕ НА ЗАЩИТАТА НА ДАННИТЕ Ако с оглед на изпълнението на задълженията си съгласно членове 35 и 36 от Регламент (ЕС) 2016/679 даден администратор се нуждае от информация от друг администратор или от обработващия лични данни, той изпраща специално искане до функционалната пощенска кутия, посочена в раздел 1, подраздел 2, точка 4. Последният полага всички усилия да предостави информацията. ELI: http://data.europa.eu/eli/reg_impl/2024/607/oj 13/16 BG OB L, 16.2.2024 г. ПРИЛОЖЕНИЕ II Отговорности на Комисията като обработващ лични данни за дейностите по обработване на данни, извършвани в контекста на AGORA от координаторите за цифрови услуги, други национални органи и Европейския съвет за цифровите услуги 1) Комисията:

създава и гарантира сигурна и надеждна комуникационна инфраструктура — AGORA — от името на координаторите за цифровите услуги, други национални органи и Европейския съвет за цифровите услуги, която подпомага обмена на информация за координирани разследвания, механизми за съгласуваност и дейности на Европейския съвет за цифровите услуги, както и

обработва лични данни единствено въз основа на документирани указания от администраторите и съвместните администратори, доколкото не се изисква друго съгласно правото на Съюза или на дадена държава членка; в този случай Комисията информира администраторите и съвместните администратори за това правно изискване преди извършване на дейността по обработване, освен когато приложимото законодателство забранява предоставянето на такава информация по важни съображения, свързани с обществения интерес. 2) За да изпълни задълженията си като обработващ лични данни за координаторите за цифровите услуги, други национални органи и Европейския съвет за цифровите услуги, Комисията може да използва трети страни като подизпълнители. В такъв случай администраторите и съвместните администратори упълномощават Комисията да използва обработващи лични данни подизпълнители или, когато е необходимо, да заменя обработващи лични данни подизпълнители. Комисията информира администраторите и съвместните администратори за въпросното използване или замяна на обработващи лични данни подизпълнители, като по този начин дава възможност на администраторите и съвместните администратори да възразят срещу такива промени. Комисията гарантира, че тези обработващи лични данни подизпълнители имат същите задължения за защита на личните данни като посочените в настоящия регламент. 3) Обработването от Комисията включва:

автентификация и контрол на достъпа по отношение на всички администратори на AGORA и ползватели на AGORA;

упълномощаване на администраторите на AGORA и ползвателите на AGORA да създават, актуализират и заличават записи и информация, съдържащи се в AGORA;

приемане на личните данни по член 12, параграф 3 от настоящия регламент, качвани от националните ползватели на AGORA и администратори на AGORA, чрез осигуряване на приложно-програмен интерфейс, позволяващ на националните ползватели на AGORA и администратори на AGORA да качват съответните данни;

съхраняване на лични данни в AGORA;

предоставяне на личните данни на разположение с цел осъществяване на достъп и изтегляне от администраторите на AGORA и ползвателите на AGORA, както и всякакви други необходими дейности по обработване на данни;

заличаване на лични данни при изтичане на срока им на валидност или по искане на администратора, който ги е подал;

след края на предоставянето на услугата — заличаване на всички останали лични данни, освен когато правото на Съюза или на съответната държава членка изисква съхраняването на такива лични данни. 4) Комисията предприема всички най-съвременни мерки за осигуряване на организационната, физическата и логическата сигурност с цел да се гарантира функционирането на AGORA. За тази цел Комисията:

определя отговорен субект за управлението на сигурността на AGORA, предава на съвместните администратори информацията за връзка с него и гарантира готовността му да реагира на заплахи за сигурността;

поема отговорността за сигурността на AGORA, включително като провежда редовно тестове на мерките за сигурност и ги оценява;

гарантира, че администраторите на AGORA и ползвателите на AGORA, на които е предоставен достъп до AGORA, са обвързани с договорно, професионално или законоустановено задължение за поверителност. 5) Комисията предприема всички необходими мерки за сигурност, така че да не се допусне компрометиране на безпрепят­ ственото функциониране на AGORA. Това включва:

процедури за оценка на риска, чрез които да се открият и преценят потенциалните заплахи за AGORA;

процедура за одит и контрол с цел: — проверка на съответствието между въведените мерки за сигурност и приложимата политика за сигурност; 14/16 ELI: http://data.europa.eu/eli/reg_impl/2024/607/oj OB L, 16.2.2024 г. BG — редовен контрол на цялостността на файловете в AGORA, на параметрите за сигурност и на дадените разрешения за достъп; — откриване на нарушения на сигурността и проникване в AGORA; — въвеждане на промени за смекчаване на съществуващи слабости в сигурността на AGORA; — определяне на условията, съгласно които да разрешава, включително по искане на администраторите, и да допринася за извършването на независими одити, включително инспекции, и прегледи на мерките за сигурност, при спазване на условията, свързани с Протокол № 7 към Договора за функционирането на Европейския съюз за привилегиите и имунитетите на Европейския съюз;

промяна на процедурата за контрол по отношение на документиране, измерване на въздействието на дадена промяна преди нейното въвеждане и текущо информиране на администраторите и съвместните администратори за всички промени, които могат да засегнат комуникацията с AGORA и/или сигурността на AGORA;

определяне на процедура за техническа поддръжка и ремонт с цел уточняване на правилата и условията, които да се спазват при необходимост от извършване на техническа поддръжка и/или ремонт на оборудване на AGORA;

определяне на процедура за инцидентите, свързани със сигурността, с цел да се установи схема за сигнализиране и предаване на сигнала по компетентност, незабавно уведомяване на засегнатите администратори, незабавно уведомяване на администраторите, за да могат те да уведомят националните надзорни органи по защита на данните за всяко нарушение на сигурността на личните данни, както и дефиниране на дисциплинарна процедура за разглеждане на нарушения на сигурността в AGORA. 6) Комисията предприема най-съвременни мерки за осигуряване на физическата и логическата сигурност на съоръженията, хостващи AGORA, както и за проверка на достъпа до данните и сигурността на достъпа до тях. За тази цел Комисията:

обезпечава физическата сигурност с цел установяване на отделни периметри на сигурност и предоставяне на възможност за откриване на нарушения в AGORA;

контролира достъпа до съоръженията на AGORA и поддържа регистър на посетителите в AGORA за целите на проследяването;

осигурява придружаването на външни лица, получили достъп до помещенията, от служители, които имат необходимото разрешение;

гарантира, че добавянето, замяната или премахването на оборудване се извършва само с предварително разрешение на определените отговорни органи;

контролира достъпа от и до AGORA;

осигурява идентифициране и удостоверяване на автентичността на администраторите на AGORA и ползвателите на AGORA, които имат достъп до AGORA;

преразглежда правата за разрешаване на достъп до AGORA в случай на нарушение на сигурността, което засяга AGORA;

опазва цялостността на информацията, предадена чрез AGORA;

въвежда мерки за техническата и организационната сигурност с цел предотвратяване на непозволен достъп до лични данни в AGORA;

при необходимост предприема мерки за блокиране на неразрешен достъп до AGORA (т.е. блокиране на местоположение/IP адрес). 7) Комисията:

предприема действия за защита на своя домейн, включително прекъсване на връзките, при значително отклонение от принципите и концепциите за качество и сигурност;

поддържа план за управление на риска в своята област на отговорност;

следи в реално време работата на всички компоненти на услугите на AGORA, изготвя редовно статистическа информация и води регистри;

предоставя подкрепа за AGORA на английски език на администраторите на AGORA и ползвателите на AGORA;

помага на администраторите и съвместните администратори чрез подходящи технически и организационни мерки да изпълняват задължението си да отговарят на искания във връзка с упражняването на правата на субектите на данни, предвидени в глава III от Регламент (EС) 2016/679; ELI: http://data.europa.eu/eli/reg_impl/2024/607/oj 15/16 BG OB L, 16.2.2024 г.

подпомага администраторите и съвместните администратори, като предоставя информация относно AGORA с цел изпълнение на задълженията съгласно членове 32, 33, 34, 35 и 36 от Регламент (ЕС) 2016/679;

гарантира, че обработваните в рамките на AGORA данни са неразбираеми за лице, което няма разрешение за достъп до тях;

предприема всички необходими мерки за предотвратяване на неразрешен достъп до предадени чрез AGORA лични данни;

предприема мерки за улесняване на комуникацията между администраторите и съвместните администратори;

поддържа регистър на дейностите по обработване, извършвани от името на администраторите и съвместните администратори в съответствие с член 31, параграф 2 от Регламент (ЕС) 2018/1725.