IX. FEJEZET A MŰVELETI VONATKOZÁSÚ SZEMÉLYES ADATOKNAK AZ EUMSZ HARMADIK RÉSZE V. CÍME 4. VAGY 5. FEJEZETÉNEK HATÁLYA ALÁ TARTOZÓ TEVÉKENYSÉGEK VÉGZÉSE SORÁN TÖRTÉNŐ, UNIÓS SZERVEK, HIVATALOK ÉS ÜGYNÖKSÉGEK ÁLTALI KEZELÉSE

70. cikk

A fejezet hatálya

Ez a fejezet csak a műveleti vonatkozású személyes adatoknak az uniós szervek, hivatalok és ügynökségek általi, az EUMSZ harmadik része V. címe 4. vagy 5. fejezetének hatálya alá tartozó tevékenységek során végzett kezelésére vonatkozik, az ilyen uniós szervekre, hivatalokra vagy ügynökségekre vonatkozó különös adatvédelmi szabályok sérelme nélkül.

71. cikk

A műveleti vonatkozású személyes adatok kezelésére vonatkozó elvek

(1)  A műveleti vonatkozású személyes adatok:

(2)  Az azonos vagy más adatkezelő által az uniós szervet, hivatalt vagy ügynökséget létrehozó jogi aktusban foglalt, a műveleti vonatkozású személyes adatok gyűjtésének céljától eltérő célból végzett adatkezelés akkor megengedett, amennyiben:

(3)  Az azonos vagy más adatkezelő által végzett adatkezelésbe beletartozhat az uniós szervet, hivatalt vagy ügynökséget létrehozó jogi aktusban foglalt célból történő közérdekű archiválás, tudományos, statisztikai vagy történelmi felhasználás is, feltéve, hogy az érintettek jogaira és szabadságaira megfelelő garanciákat alkalmaznak.

(4)  Az adatkezelő felel az (1), a (2) és a (3) bekezdésnek való megfelelésért, és képesnek kell lennie a megfelelés bizonyítására.

72. cikk

A műveleti vonatkozású személyes adatok kezelésének jogszerűsége

(1)  A műveleti vonatkozású személyes adatok kezelése csak akkor és annyiban jogszerű, ha és amennyiben az adatkezelés az uniós szervek, hivatalok és ügynökségek által az EUMSZ harmadik része V. címe 4. vagy 5. fejezetének hatálya alá tartozó tevékenységek keretében végzett feladat ellátásához szükséges, és az az uniós jog alapján történik.

(2)  Az e fejezet hatályán belüli adatkezelést szabályozó egyedi uniós jogi aktusok meghatározzák legalább az adatkezelés célkitűzéseit, a kezelendő műveleti vonatkozású személyes adatokat, az adatkezelés céljait és a műveleti vonatkozású személyes adatok tárolásának vagy a további tárolás iránti igény rendszeres felülvizsgálatának határidejét.

73. cikk

Különbségtétel az érintettek különböző kategóriái között

Az adatkezelőnek – adott esetben és amennyire lehetséges – egyértelműen különbséget kell tennie az érintettek különböző kategóriáinak műveleti vonatkozású személyes adatai között, így például az uniós szerveket, hivatalokat és ügynökségeket létrehozó jogi aktusokban felsorolt kategóriák szerint.

74. cikk

Különbségtétel a műveleti vonatkozású személyes adatok között és a műveleti vonatkozású személyes adatok minőségének ellenőrzése

(1)  Az adatkezelőnek – amennyire lehetséges – különbséget kell tennie a tényeken alapuló és a személyes értékelésen alapuló műveleti vonatkozású személyes adatok között.

(2)  Az adatkezelőnek minden észszerű intézkedést meg kell tennie annak biztosítása érdekében, hogy a pontatlan, hiányos vagy már nem naprakész műveleti vonatkozású személyes adatokat ne lehessen továbbítani vagy hozzáférhetővé tenni. E célból az adatkezelő a továbbítást vagy hozzáférhetővé tételt megelőzően – amennyire a gyakorlatban megvalósítható és szükség esetén – ellenőrzi a műveleti vonatkozású személyes adatok minőségét, például úgy, hogy konzultál azzal az illetékes hatósággal, amelytől az adatok származnak. Amennyire lehetséges, az adatkezelőnek minden műveleti vonatkozású személyes adat továbbításakor csatolnia kell azokat a szükséges információkat, amelyek lehetővé teszik a címzett számára, hogy értékelje a műveleti vonatkozású személyes adatok pontosságát, teljességét, megbízhatóságát és naprakészségének mértékét.

(3)  Amennyiben kiderül, hogy helytelen műveleti vonatkozású személyes adatokat továbbítottak vagy a műveleti vonatkozású személyes adatokat jogszerűtlenül továbbították, a címzettet erről haladéktalanul értesíteni kell. Ebben az esetben a 82. cikkel összhangban az érintett műveleti vonatkozású személyes adatokat helyesbíteni vagy törölni kell, vagy azok kezelését korlátozni kell.

75. cikk

Egyedi adatkezelési feltételek

(1)  Amennyiben a továbbítást végző adatkezelőre vonatkozó uniós jog egyedi feltételeket ír elő az adatkezelésre vonatkozóan, az adatkezelő tájékoztatja a műveleti vonatkozású személyes adatok címzettjét az említett feltételekről és a betartásukra vonatkozó követelményről.

(2)  Az adatkezelőnek meg kell felelnie az adatokat továbbító illetékes hatóság által az (EU) 2016/680 irányelv 9. cikkének (3) és (4) bekezdésével összhangban előírt egyedi adatkezelési feltételeknek.

76. cikk

A műveleti vonatkozású személyes adatok különleges kategóriáinak kezelése

(1)  A faji vagy etnikai származásra, politikai véleményre, vallási vagy világnézeti meggyőződésre vagy szakszervezeti tagságra utaló műveleti vonatkozású személyes adatok, ►C1  valamint a genetikai adatok, a természetes személyek egyedi azonosítását célzó biometrikus adatok, ◄ az egészségre vagy a természetes személyek szexuális életére vagy szexuális irányultságára vonatkozó műveleti vonatkozású személyes adatok kezelése csak akkor megengedett, ha arra működési célból feltétlenül szükség van, az érintett uniós szerv, hivatal vagy ügynökség megbízatásának keretében, és csak az érintettek jogaira és szabadságaira vonatkozó megfelelő garanciák mellett. A természetes személyeknek az említett személyes adatok alapján történő megkülönböztetése tilos.

(2)  Ennek a cikknek az alkalmazásáról az adatvédelmi tisztviselőt indokolatlan késedelem nélkül tájékoztatni kell.

77. cikk

Automatizált döntéshozatal egyedi ügyekben, beleértve a profilalkotást

(1)  A kizárólag automatizált adatkezelésen – többek között a profilalkotáson – alapuló döntés, amelynek joghatása az érintettre nézve hátrányos, vagy amely őt jelentős mértékben érinti, tilos, kivéve, ha az adatkezelőre alkalmazandó uniós jog megengedi, és az az érintettek jogaira és szabadságaira vonatkozó megfelelő garanciákról is rendelkezik, ideértve az érintettnek legalább azt a jogát, hogy az adatkezelő részéről emberi beavatkozást kérjen.

(2)  Az e cikk (1) bekezdésében említett döntések nem alapulhatnak a személyes adatoknak a 76. cikkben említett különleges kategóriáin, kivéve, ha az érintett jogainak, szabadságainak és jogos érdekeinek védelmét megfelelő intézkedések biztosítják.

(3)  A személyes adatok 76. cikkben említett különleges kategóriái alapján történő olyan profilalkotást, amely a természetes személyekre vonatkozóan megkülönböztetést eredményez, az uniós joggal összhangban tiltani kell.

78. cikk

Tájékoztatás és az érintett jogainak gyakorlására vonatkozó módok

(1)  Az adatkezelő észszerű intézkedéseket tesz annak érdekében, hogy az érintett részére az adatok kezelésére vonatkozó, a 79. cikkben említett bármilyen információt és a 80–84. és a 92. cikk szerinti bármilyen tájékoztatást tömör, érthető és könnyen hozzáférhető formában, egyértelműen és közérthetően megfogalmazva nyújtsa. Az információ bármilyen megfelelő módon – így elektronikus úton is – nyújtható. Az adatkezelő az információkat főszabályként a kérelem formájával megegyező formában nyújtja.

(2)  Az adatkezelő elősegíti az érintett 79–84. cikk szerinti jogainak gyakorlását.

(3)  Az adatkezelő indokolatlan késedelem nélkül, de mindenképpen a kérelem kézhezvételétől számított három hónapon belül írásban tájékoztatja az érintettet a kérelme elbírálásának fejleményeiről.

(4)  Az adatkezelő a 79. cikk szerinti információkat, valamint a 80–84. és a 92. cikkek szerinti tájékoztatást, illetve intézkedést díjmentesen biztosítja. Ha az érintett kérelme egyértelműen megalapozatlan vagy – különösen ismétlődő jellege miatt – túlzó, az adatkezelő megtagadhatja a kérelem teljesítését. A kérelem egyértelműen megalapozatlan vagy túlzó jellegének bizonyítása az adatkezelőt terheli.

(5)  Ha az adatkezelőnek megalapozott kétségei vannak a 80. vagy a 82. cikkben említett kérelmet benyújtó természetes személy kilétével kapcsolatban, további, az érintett személyazonosságának megerősítéséhez szükséges információk nyújtását kérheti.

79. cikk

Az érintett rendelkezésére bocsátandó vagy számára nyújtandó információk

(1)  Az adatkezelő az érintett rendelkezésére bocsátja legalább a következő információkat:

(2)  Annak érdekében, hogy az érintett gyakorolni tudja jogait, az adatkezelő az uniós jogban meghatározott konkrét esetekben az (1) bekezdésben említetteken felül tájékoztatja a címzettet:

(3)  Az adatkezelő az érintett (2) bekezdés szerinti tájékoztatását annyiban és addig késleltetheti, korlátozhatja vagy mellőzheti, amennyiben és ameddig az említett intézkedés – kellő tekintettel az érintett természetes személy alapvető jogaira és jogos érdekeire – egy demokratikus társadalomban szükséges és arányos intézkedésnek minősül annak érdekében, hogy:

80. cikk

Az érintett hozzáférési joga

Az érintett jogosult arra, hogy az adatkezelőtől visszajelzést kapjon arra vonatkozóan, hogy műveleti vonatkozású személyes adatait kezelik-e, és ha igen, az érintett jogosult a műveleti vonatkozású személyes adatokhoz és a következő információkhoz hozzáférni:

8 l. cikk

A hozzáférési jog korlátozása

(1)  Az adatkezelő teljesen vagy részlegesen korlátozhatja az érintett hozzáférési jogát annyiban és addig, amennyiben és ameddig e részleges vagy teljes korlátozás – kellő tekintettel az érintett természetes személy alapvető jogaira és jogos érdekeire – egy demokratikus társadalomban szükséges és arányos intézkedésnek minősül annak érdekében, hogy:

(2)  Az (1) bekezdésben említett esetekben az adatkezelő írásban és indokolatlan késedelem nélkül tájékoztatja az érintettet a hozzáférés megtagadásáról vagy korlátozásáról és a megtagadás vagy korlátozás indokairól. Az ilyen tájékoztatás elhagyható abban az esetben, ha annak nyújtása ellentétes lenne az (1) bekezdésben foglalt valamelyik céllal. Az adatkezelő tájékoztatja az érintettet arról, hogy panaszt nyújthat be az európai adatvédelmi biztoshoz, illetve bírósági jogorvoslatért fordulhat a Bírósághoz. Az adatkezelő nyilvántartja a döntés ténybeli vagy jogi indokait. Ezeket az információkat kérésre az európai adatvédelmi biztos rendelkezésére kell bocsátani.

82. cikk

A műveleti vonatkozású személyes adatok helyesbítéséhez, törléséhez és kezelésének korlátozásához való jog

(1)  Bármely érintett jogosult arra, hogy kérésére az adatkezelő indokolatlan késedelem nélkül helyesbítse a rá vonatkozó pontatlan műveleti vonatkozású személyes adatokat. Figyelembe véve az adatkezelés célját, az érintett jogosult arra, hogy kérje a hiányos műveleti vonatkozású személyes adatok – egyebek mellett kiegészítő nyilatkozat útján történő – kiegészítését.

(2)  Az adatkezelő indokolatlan késedelem nélkül törli a műveleti vonatkozású személyes adatokat, az érintett pedig jogosult arra, hogy kérésére a rá vonatkozó műveleti vonatkozású személyes adatokat az adatkezelő indokolatlan késedelem nélkül törölje, ha az adatkezelés sérti a 71. cikket, a 72. cikk (1) bekezdését vagy a 76. cikket, vagy ha a műveleti vonatkozású személyes adatokat az adatkezelőre vonatkozó jogi kötelezettség teljesítéséhez törölni kell.

(3)  Az adatkezelő törlés helyett korlátozza az adatkezelést, ha:

Az adatkezelés első albekezdés a) pontja szerinti korlátozása esetén az adatkezelő az adatkezelés korlátozásának feloldásáról előzetesen tájékoztatja az érintettet.

A zárolt adatokat csak abból a célból lehet kezelni, amely miatt törlésükre nem kerülhetett sor.

(4)  Az adatkezelő írásban tájékoztatja az érintettet, ha megtagadja a műveleti vonatkozású személyes adatok helyesbítését, törlését vagy az adatkezelés korlátozását, valamint a megtagadás okairól. Az adatkezelő teljesen vagy részlegesen korlátozhatja az ilyen információk rendelkezésre bocsátását annyiban, amennyiben e korlátozás – kellő tekintettel az érintett természetes személy alapvető jogaira és jogos érdekeire – egy demokratikus társadalomban szükséges és arányos intézkedésnek minősül annak érdekében, hogy:

Az adatkezelő tájékoztatja az érintettet arról, hogy panaszt nyújthat be az európai adatvédelmi biztoshoz, illetve bírósági jogorvoslatért fordulhat a Bírósághoz.

(5)  Az adatkezelő tájékoztatja a pontatlan műveleti vonatkozású személyes adatok helyesbítéséről azt az illetékes hatóságot, amelytől a műveleti vonatkozású pontatlan személyes adat származik.

(6)  Ha a műveleti vonatkozású személyes adatokat helyesbítették vagy törölték, illetve az adatkezelést korlátozták az (1), a (2) vagy a (3) bekezdés értelmében, az adatkezelő értesíti a címzetteket, és tájékoztatja őket, hogy saját felelősségi körükön belül kell a műveleti vonatkozású személyes adatokat helyesbíteniük vagy törölniük, illetve azok kezelését korlátozniuk.

83. cikk

A hozzáférés joga a bűnügyi nyomozások és büntetőeljárások során

Ha a műveleti vonatkozású személyes adatok illetékes hatóságtól származnak, az uniós szerveknek, hivataloknak és ügynökségeknek az érintett hozzáférési jogáról való döntést megelőzően ellenőrizniük kell az érintett illetékes hatóságnál, hogy az ilyen személyes adatokat az említett illetékes hatóság tagállamában bűnügyi nyomozás vagy büntetőeljárás során kezelt bírósági határozat, vagy nyilvántartás vagy ügyirat tartalmazza-e. Amennyiben igen, a hozzáférés jogáról való döntést az érintett illetékes hatósággal konzultálva és vele szoros együttműködésben kell meghozni.

84. cikk

Az érintett jogainak gyakorlása és az európai adatvédelmi biztos általi ellenőrzés

(1)  A 79. cikk (3) bekezdése, a 81. cikk és a 82. cikk (4) bekezdésében említett esetekben az érintett jogainak gyakorlására az európai adatvédelmi biztos közreműködésével is sor kerülhet.

(2)  Az adatkezelő tájékoztatja az érintettet arról, hogy jogait az (1) bekezdés értelmében az európai adatvédelmi biztos közreműködésével is gyakorolhatja.

(3)  Az (1) bekezdésben említett jog gyakorlása esetén az európai adatvédelmi biztos az érintettet tájékoztatja legalább arról, hogy minden szükséges ellenőrzést, illetve felülvizsgálatot elvégzett. Az európai adatvédelmi biztos arról is tájékoztatja az érintettet, hogy joga van bírósági jogorvoslatért a Bírósághoz fordulni.

85. cikk

Beépített és alapértelmezett adatvédelem

(1)  Az adatkezelő a tudomány és a technológia állása és a megvalósítás költségei, valamint az adatkezelés jellege, hatóköre, körülményei és céljai, továbbá a természetes személyek jogait és szabadságait érintő, változó valószínűségű és súlyosságú kockázatok figyelembevételével mind az adatkezelés módjának meghatározásakor, mind pedig az adatkezelés során olyan megfelelő technikai és szervezési intézkedéseket – például álnevesítést – hajt végre, amelyek célja az adatvédelmi elvek, például az adattakarékosság hatékony megvalósítása, valamint az e rendeletben és az adatkezelőt létrehozó jogi aktusban foglalt követelmények teljesítéséhez és az érintettek jogainak védelméhez szükséges garanciák beépítése az adatkezelés folyamatába.

(2)  Az adatkezelő megfelelő technikai és szervezési intézkedéseket hajt végre annak biztosítására, hogy alapértelmezés szerint csak olyan műveleti vonatkozású személyes adatok kezelésére kerüljön sor, amelyek megfelelőek, relevánsak és nem lépik túl az adatkezelés céljához szükséges mértéket. Ez a kötelezettség vonatkozik a gyűjtött műveleti vonatkozású személyes adatok mennyiségére, kezelésük mértékére, tárolásuk időtartamára és hozzáférhetőségükre. Ezek az intézkedések különösen azt kell, hogy biztosítsák, hogy a műveleti vonatkozású személyes adatok alapértelmezés szerint a természetes személy beavatkozása nélkül ne válhassanak hozzáférhetővé meghatározatlan számú természetes személy számára.

86. cikk

Közös adatkezelők

(1)  Ha két vagy több adatkezelő vagy egy vagy több adatkezelő egy vagy több uniós intézményektől és szervektől eltérő adatkezelővel közösen határozza meg az adatkezelés céljait és eszközeit, akkor közös adatkezelőknek minősülnek. A közös adatkezelők átlátható módon, a közöttük létrejött megállapodásban határozzák meg az e rendelet szerinti adatvédelmi kötelezettségeik teljesítéséért fennálló, különösen az érintett jogainak gyakorlásával és a 79. cikkben említett információk rendelkezésre bocsátásával kapcsolatos feladataikkal összefüggő felelősségük megoszlását, kivéve azt az esetet, ha és annyiban, amennyiben a felelősségi körnek a közös adatkezelők közötti megoszlását a rájuk alkalmazandó uniós vagy tagállami jog határozza meg. A megállapodásban az érintettek számára kapcsolattartót lehet kijelölni.

(2)  Az (1) bekezdésben említett megállapodásnak megfelelően tükröznie kell a közös adatkezelők érintettel szembeni szerepét és a vele való kapcsolatukat. A megállapodás lényegét az érintett rendelkezésére kell bocsátani.

(3)  Az érintett az (1) bekezdésben említett megállapodás feltételeitől függetlenül mindegyik adatkezelő vonatkozásában vagy mindegyik adatkezelővel szemben gyakorolhatja az e rendelet szerinti jogait.

87. cikk

Az adatfeldolgozó

(1)  Ha az adatkezelést az adatkezelő nevében más végzi, az adatkezelő csak olyan adatfeldolgozókat vehet igénybe, akik vagy amelyek elégséges garanciákat nyújtanak az adatkezelés e rendelet és az adatkezelőt létrehozó jogi aktus követelményeinek való megfelelését és az érintett jogainak védelmét biztosító, megfelelő technikai és szervezési intézkedések végrehajtására.

(2)  Az adatfeldolgozó az adatkezelő előzetesen írásban tett eseti vagy általános felhatalmazása nélkül további adatfeldolgozót nem vehet igénybe. Az általános írásbeli felhatalmazás esetén az adatfeldolgozó tájékoztatja az adatkezelőt minden olyan tervezett változásról, amely további adatfeldolgozók igénybevételét vagy azok cseréjét érinti, ezzel biztosítva lehetőséget az adatkezelőnek arra, hogy ezekkel a változtatásokkal szemben kifogást emeljen.

(3)  Az adatfeldolgozó által végzett adatkezelést – az adatkezelés tárgyát, időtartamát, jellegét és célját, a műveleti vonatkozású személyes adatok típusát, az érintettek kategóriáit, valamint az adatkezelő kötelezettségeit és jogait meghatározó – olyan szerződésnek vagy olyan uniós vagy a tagállami jog szerinti más jogi aktusnak kell szabályoznia, amely köti az adatfeldolgozót az adatkezelővel szemben. Az említett szerződés vagy más jogi aktus különösen előírja, hogy az adatfeldolgozó:

(4)  A (3) bekezdésben említett szerződést vagy más jogi aktust írásba – ideértve az elektronikus formátumot is – kell foglalni.

(5)  Ha egy adatfeldolgozó e rendeletet vagy az adatkezelőt létrehozó jogi aktust sértve maga határozza meg az adatkezelés céljait és eszközeit, akkor az adatfeldolgozót az adott adatkezelés tekintetében adatkezelőnek kell tekinteni.

88. cikk

Naplózás

(1)  Az adatkezelő naplót vezet az automatizált adatkezelési rendszerben végrehajtott következő adatkezelési műveletekről: a műveleti vonatkozású személyes adatok gyűjtése, megváltoztatása, az azokat érintő hozzáférés, betekintés, azok közlése – ideértve a továbbítást is –, összekapcsolása és törlése. A betekintésre és a közlésre vonatkozó naplóknak lehetővé kell tenniük e műveletek indokoltságának, dátumának és időpontjának, valamint a műveleti vonatkozású személyes adatba betekintők vagy azt közlők személyazonosságának, illetve – lehetőség szerint – az ilyen műveleti vonatkozású személyes adatok címzettjei személyazonosságának a megállapítását.

(2)  A naplók kizárólag az adatkezelés jogszerűségének ellenőrzésére, önellenőrzésre, a műveleti vonatkozású személyes adatok integritásának és biztonságának biztosítására, valamint büntetőeljárások keretében használhatók fel. Az ilyen naplókat három év elteltével törölni kell, kivéve, ha azokra folyamatban lévő ellenőrzés céljából továbbra is szükség van.

(3)  Az adatkezelők kérésre a naplókat saját adatvédelmi tisztviselőjük és az európai adatvédelmi biztos rendelkezésére bocsátják.

89. cikk

Adatvédelmi hatásvizsgálat

(1)  Ha az adatkezelés valamely – különösen új technológiákat alkalmazó – típusa, figyelemmel annak jellegére, hatókörére, körülményeire és céljaira, valószínűsíthetően magas kockázattal jár a természetes személyek jogaira és szabadságaira nézve, akkor az adatkezelő az adatkezelést megelőzően hatásvizsgálatot végez arra vonatkozóan, hogy a tervezett adatkezelési műveletek a műveleti vonatkozású személyes adatok védelmét hogyan érintik.

(2)  Az (1) bekezdésben említett hatásvizsgálatnak ki kell terjednie legalább a tervezett adatkezelési műveletek általános leírására, az érintettek jogait és szabadságait érintő kockázatok vizsgálatára, a kockázatok kezelését célzó tervezett intézkedésekre, a műveleti vonatkozású személyes adatok védelmét és az adatvédelmi szabályoknak való megfelelés igazolását szolgáló, az érintettek és más személyek jogait és jogos érdekeit figyelembe vevő garanciákra, biztonsági intézkedésekre és mechanizmusokra.

90. cikk

Előzetes egyeztetés az európai adatvédelmi biztossal

(1)  Az adatkezelő konzultál az európai adatvédelmi biztossal az olyan adatkezelést megelőzően, amely egy létrehozandó új nyilvántartási rendszer részévé fog válni, ha:

(2)  Az európai adatvédelmi biztos létrehozhat egy listát azokról az adatkezelési műveletekről, amelyek az (1) bekezdés értelmében előzetes konzultáció tárgyát képezik.

(3)  Az adatkezelő az európai adatvédelmi biztos rendelkezésére bocsátja a 89. cikkben említett adatvédelmi hatásvizsgálatot, valamint kérésre az összes olyan egyéb információt, amely lehetővé teszi az európai adatvédelmi biztos számára az adatkezelés megfelelőségének, valamint különösen az érintett műveleti vonatkozású személyes adatainak védelmére vonatkozó kockázatoknak és a kapcsolódó garanciáknak a vizsgálatát.

(4)  Ha az európai adatvédelmi biztos véleménye szerint az (1) bekezdésben említett tervezett adatkezelés megsértené e rendeletet vagy az uniós szervet, hivatalt vagy ügynökséget létrehozó jogi aktust – különösen, ha az adatkezelő a kockázatot nem elégséges módon azonosította vagy csökkentette –, az európai adatvédelmi biztos a konzultáció iránti kérelem kézhezvételétől számított legfeljebb hat héten belül írásban tanácsot ad az adatkezelőnek. Ez a határidő – a tervezett adatkezelés összetettségétől függően – egy hónappal meghosszabbítható. Az európai adatvédelmi biztos a konzultáció iránti kérelem kézhezvételétől számított egy hónapon belül tájékoztatja az adatkezelőt a meghosszabbításról és a késedelem okairól.

91. cikk

A műveleti vonatkozású személyes adatok kezelésének biztonsága

(1)  Az adatkezelő a tudomány és a technológia állása, a megvalósítás költségei, valamint az adatkezelés jellege, hatóköre, körülményei és céljai, továbbá a természetes személyek jogait és szabadságait érintő, változó valószínűségű és súlyosságú kockázatok figyelembevételével megfelelő technikai és szervezési intézkedéseket hajt végre annak érdekében, hogy a kockázatok mértékének megfelelő szintű adatbiztonságot biztosítson, különösen a műveleti vonatkozású személyes adatok különleges kategóriáinak kezelését illetően.

(2)  Az automatizált adatkezelés tekintetében az adatkezelő és az adatfeldolgozó a kockázatok értékelését követően intézkedéseket tesz a következő célok érdekében:

92. cikk

Az adatvédelmi incidens bejelentése az európai adatvédelmi biztosnak

(1)  Az adatvédelmi incidenst az adatkezelő indokolatlan késedelem nélkül, és ha lehetséges, legkésőbb 72 órával azután, hogy az adatvédelmi incidens a tudomására jutott, bejelenti az európai adatvédelmi biztosnak, kivéve, ha az adatvédelmi incidens valószínűsíthetően nem jár kockázattal a természetes személyek jogaira és szabadságaira nézve. Ha az európai adatvédelmi biztoshoz való bejelentés nem történik meg 72 órán belül, mellékelni kell hozzá a késedelem igazolására szolgáló indokokat is.

(2)  Az (1) bekezdésben említett bejelentésben legalább:

(3)  Ha és amennyiben nem lehetséges a (2) bekezdésben említett információkat egyidejűleg közölni, azok további indokolatlan késedelem nélkül később részletekben is közölhetők.

(4)  Az adatkezelő nyilvántartja az (1) bekezdésben említett összes adatvédelmi incidenst, feltüntetve az adatvédelmi incidenshez kapcsolódó tényeket, annak hatásait és az orvoslására tett intézkedéseket. E nyilvántartás lehetővé teszi, hogy az európai adatvédelmi biztos ellenőrizze az e cikk követelményeinek való megfelelést.

(5)  Ha az adatvédelmi incidens során olyan műveleti vonatkozású személyes adat sérült, amelyet az illetékes hatóságok továbbítottak, vagy amelyet részükre továbbítottak, az adatkezelőnek a (2) bekezdésben említett információkat indokolatlan késedelem nélkül közölnie kell az érintett illetékes hatóságokkal.

93. cikk

Az érintett tájékoztatása az adatvédelmi incidensről

(1)  Ha az adatvédelmi incidens valószínűsíthetően magas kockázattal jár a természetes személyek jogaira és szabadságaira nézve, az adatkezelő indokolatlan késedelem nélkül tájékoztatja az érintettet az adatvédelmi incidensről.

(2)  Az (1) bekezdésben említett, az érintett részére adott tájékoztatásban világosan és közérthetően ismertetni kell az adatvédelmi incidens jellegét, és közölni kell legalább a 92. cikk (2) bekezdésének b), c) és d) pontjában előírt információkat és ajánlásokat.

(3)  Az érintettet nem kell az (1) bekezdésben említettek szerint tájékoztatni, ha a következő feltételek bármelyike teljesül:

(4)  Ha az adatkezelő még nem értesítette az érintettet az adatvédelmi incidensről, az európai adatvédelmi biztos, miután mérlegelte annak valószínűségét, hogy az adatvédelmi incidens magas kockázattal jár, elrendelheti az érintett tájékoztatását, vagy megállapíthatja a (3) bekezdésben említett feltételek valamelyikének teljesülését.

(5)  Az érintettnek az e cikk (1) bekezdésében említett tájékoztatása a 79. cikk (3) bekezdésében említett feltételekkel és okokból késleltethető, korlátozható vagy elhagyható.

94. cikk

Műveleti vonatkozású személyes adatok továbbítása harmadik országoknak és nemzetközi szervezeteknek

(1)  Az uniós szervet, hivatalt vagy ügynökséget létrehozó jogi aktusban megállapított korlátozások és feltételek mellett az adatkezelő továbbíthat műveleti vonatkozású személyes adatokat egy harmadik országbeli hatóságnak vagy egy nemzetközi szervezetnek, amennyiben e továbbítás az adatkezelő feladatainak ellátásához szükséges, és csak akkor, ha az e cikkben rögzített következő feltételek teljesülnek:

(2)  Az uniós szerveket, hivatalokat és ügynökségeket létrehozó jogi aktus fenntarthatja a műveleti vonatkozású személyes adatok nemzetközi továbbításának feltételeire vonatkozó rendelkezéseket, vagy részletesebb rendelkezéseket vezethet be, különösen a személyes adatok továbbítására vonatkozóan megfelelő garanciák és a konkrét helyzetekre vonatkozó eltérések bevezetésével.

(3)  Az adatkezelő a honlapján olyan jegyzéket tesz közzé és tart naprakészen, amely tartalmazza az (1) bekezdés a) pontjában említett megfelelőségi határozatokat, a megállapodásokat, az igazgatási megállapodásokat, valamint a műveleti vonatkozású személyes adatoknak az (1) bekezdéssel összhangban történő továbbítására vonatkozó egyéb jogi eszközöket.

(4)  Az adatkezelő részletesen dokumentálja az ezen cikk értelmében végzett összes adattovábbítást.

95. cikk

Az igazságügyi vizsgálatok és a büntetőeljárások titkossága

Az uniós szerveket, hivatalokat vagy ügynökségeket létrehozó jogi aktusok az EUMSZ harmadik része V. címe 4. vagy 5. fejezetének hatálya alá tartozó tevékenységek végzése tekintetében előírhatják az európai adatvédelmi biztos számára, hogy felügyeleti hatáskörének gyakorlása során az uniós vagy tagállami joggal összhangban a lehető legnagyobb mértékben vegye figyelembe az igazságügyi vizsgálatok és a büntetőeljárások titkosságát.