(1)
Člani kot upravljavci osebnih podatkov v smislu predpisov o varstvu osebnih podatkov, vključeni dajalci kreditov, upravljavec in pogodbeni obdelovalec so dolžni zagotoviti zavarovanje osebnih podatkov, na katere se nanašajo ta pravila, in v svojih aktih predpisati postopke in ukrepe za zavarovanje osebnih podatkov. Določiti morajo osebe, ki so odgovorne za določene zbirke osebnih podatkov, in osebe, ki lahko zaradi narave njihovega dela obdelujejo določene osebne podatke.
(2)
Zavarovanje osebnih podatkov obsega organizacijske, tehnične in logično-tehnične postopke in ukrepe, s katerimi se varujejo osebni podatki, preprečuje slučajno ali namerno nepooblaščeno uničevanje podatkov, njihova sprememba ali izguba ter nepooblaščena obdelava teh podatkov tako, da se:
-
varujejo prostori, oprema in sistemsko programska oprema, vključno z vhodno-izhodnimi enotami;
-
varuje aplikativna programska oprema, s katero se obdelujejo osebni podatki;
-
preprečuje nepooblaščen dostop do osebnih podatkov pri njihovem prenosu, vključno s prenosom po telekomunikacijskih sredstvih in omrežjih;
-
zagotavlja učinkovit način blokiranja, uničenja, izbrisa ali anonimiziranja osebnih podatkov;
-
omogoča poznejše ugotavljanje, kdaj so bili posamezni osebni podatki vneseni v zbirko osebnih podatkov, uporabljeni ali drugače obdelani in kdo je to storil, in sicer za obdobje, ko je mogoče zakonsko varstvo pravice posameznika zaradi nedopustnega posredovanja ali obdelave osebnih podatkov.
(3)
Če člani oziroma vključeni dajalci kreditov ne izpolnjujejo ukrepov za zavarovanje osebnih podatkov lahko upravljavec o domnevni kršitvi obvesti nadzorni organ (Informacijskega pooblaščenca RS).
(4)
Če pri članu oziroma vključenem dajalcu kreditov pride do kršitve varstva osebnih podatkov v zvezi z dejanji obdelav SISBON podatkov, ki jih izvaja član oziroma vključen dajalec kreditov, član oziroma vključen dajalec kreditov o taki kršitvi obvesti Informacijskega pooblaščenca RS na način in pod pogoji kot jih določajo predpisi o varstvu osebnih podatkov.