Artykuł 9

1. Koordynator ds. usług cyfrowych właściwy dla miejsca siedziby określa sposoby, w tym środki techniczne, prawne i organizacyjne, które dostawca danych ma stosować w celu zapewnienia dostępu do danych zweryfikowanym badaczom.

2. Koordynatorom ds. usług cyfrowych zezwala się na konsultację z odpowiednimi organami nadzorczymi ustanowionymi na podstawie art. 51 rozporządzenia (UE) 2016/679.

3. Przy określaniu sposobów dostępu koordynator ds. usług cyfrowych właściwy dla miejsca siedziby bierze pod uwagę informacje podane we wniosku o udzielenie dostępu do danych, w szczególności informacje, o których mowa w art. 8 lit. e), uwzględniając również prawa i interesy zainteresowanych dostawców danych i odbiorców danej usługi, w tym ochronę informacji poufnych, tajemnic przedsiębiorstwa oraz utrzymanie bezpieczeństwa ich usługi i informacji udostępnianych przez dostawców danych zgodnie z art. 6 ust. 4 lit. d).

4. Oprócz elementów, o których mowa w ust. 3, koordynator ds. usług cyfrowych właściwy dla miejsca siedziby przy określaniu sposobów dostępu określa następujące elementy:

a) jeżeli dostęp wiąże się z przetwarzaniem danych osobowych:

(i) ocenę ryzyka związanego z przetwarzaniem danych osobowych, o której mowa w art. 8 lit. e), w tym, w stosownych przypadkach, ocenę skutków dla ochrony danych w rozumieniu art. 35 rozporządzenia (UE) 2016/679;

(ii) planowane środki techniczne i organizacyjne przedłożone zgodnie z art. 8 lit. e);

b) odpowiednie środki bezpieczeństwa sieci, szyfrowanie, mechanizmy kontroli dostępu, polityki tworzenia kopii zapasowych, mechanizmy integralności danych, plany reagowania na incydenty;

c) w stosownych przypadkach informacje na temat planowanego okresu przechowywania i odpowiednich planów zniszczenia danych;

d) wszelkie środki organizacyjne, takie jak procedury przeglądu wewnętrznego, ograniczenia praw dostępu i wymiana informacji;

e) wszelkie proponowane klauzule umowne, takie jak umowy o zachowaniu poufności, umowy dotyczące danych i wszelkie inne rodzaje pisemnych oświadczeń, określające ewentualne warunki dostępu i przetwarzania między głównym badaczem a dostawcą danych;

f) prowadzenie szkoleń w zakresie bezpieczeństwa danych i ochrony danych osobowych otrzymanych przez badaczy ubiegających się o dostęp do danych;

g) czy do przetwarzania danych niezbędne są bezpieczne środowiska przetwarzania.

5. W przypadku gdy koordynator ds. usług cyfrowych właściwy dla miejsca siedziby uzna, że do zapewnienia dostępu do żądanych danych należy wykorzystać bezpieczne środowisko przetwarzania, koordynator ds. usług cyfrowych miejsca siedziby wymaga dokumentacji potwierdzającej, że operator tego środowiska:

a) określa warunki dostępu do bezpiecznego środowiska przetwarzania w celu zminimalizowania ryzyka nieuprawnionego odczytu, kopiowania, zmiany lub usunięcia danych przechowywanych w bezpiecznym środowisku przetwarzania;

b) zapewnia zweryfikowanym badaczom dostęp wyłącznie do danych objętych uzasadnionym wnioskiem z wykorzystaniem indywidualnych i niepowtarzalnych identyfikatorów użytkownika oraz poufnych trybów dostępu;

c) przechowuje możliwe do zidentyfikowania logi dostępu do bezpiecznego środowiska przetwarzania przez okres niezbędny do zweryfikowania i skontrolowania wszystkich operacji przetwarzania w tym środowisku;

d) zapewnia, aby moc obliczeniowa do dyspozycji zweryfikowanych badaczy była odpowiednia i wystarczająca do celów projektu badawczego;

e) monitoruje skuteczność środków wymienionych w lit. a)–d).”.