UREDBA (EU) 2018/1725 EVROPSKEGA PARLAMENTA IN SVETA z dne 23. oktobra 2018 o varstvu posameznikov pri obdelavi osebnih podatkov v institucijah, organih, uradih in agencijah Unije in o prostem pretoku takih podatkov ter o razveljavitvi Uredbe (ES) št. 45/2001 in Sklepa št. 1247/2002/ES (Besedilo velja za EGP)

(1)

Varstvo posameznikov pri obdelavi osebnih podatkov je temeljna pravica. V členu 8(1) Listine Evropske unije o temeljnih pravicah (v nadaljnjem besedilu: Listina) in členu 16(1) Pogodbe o delovanju Evropske unije (PDEU) je določeno, da ima vsakdo pravico do varstva osebnih podatkov, ki se nanašajo nanj. Ta pravica je zajamčena tudi v členu 8 Evropske konvencije o varstvu človekovih pravic in temeljnih svoboščin.

(2)

Uredba (ES) št. 45/2001 Evropskega parlamenta in Sveta (3) posameznikom zagotavlja pravno izvršljive pravice, določa obveznosti upravljavcev pri obdelavi osebnih podatkov v institucijah in organih Skupnosti ter ustanavlja neodvisni nadzorni organ (Evropski nadzornik za varstvo podatkov), odgovoren za spremljanje obdelave osebnih podatkov v institucijah in organih Unije. Vendar se ne uporablja za obdelavo osebnih podatkov v okviru dejavnosti institucij in organov Unije zunaj področja uporabe prava Unije.

(3)

Uredba (EU) 2016/679 Evropskega parlamenta in Sveta (4) in Direktiva (EU) 2016/680 Evropskega parlamenta in Sveta (5) sta bili sprejeti 27. aprila 2016. Uredba določa splošna pravila za varstvo posameznikov pri obdelavi osebnih podatkov in zagotavljanje prostega pretoka osebnih podatkov v Uniji, Direktiva pa določa posebna pravila za varstvo posameznikov pri obdelavi osebnih podatkov in zagotavljanje prostega pretoka osebnih podatkov v Uniji na področju pravosodnega sodelovanja v kazenskih zadevah in policijskega sodelovanja.

(4)

Uredba (EU) 2016/679 določa prilagoditve Uredbe (ES) št. 45/2001, da se zagotovi trden in usklajen okvir varstva podatkov v Uniji in omogoči sočasna uporaba z Uredbo (EU) 2016/679.

(5)

V interesu usklajenega pristopa k varstvu osebnih podatkov po vsej Uniji in prostega pretoka osebnih podatkov v Uniji je, da se pravila o varstvu podatkov za institucije, organe, urade in agencije Unije čim bolj uskladijo s pravili o varstvu podatkov, sprejetimi za javni sektor v državah članicah. Kadar določbe te uredbe sledijo istim konceptom kot določbe Uredbe (EU) 2016/679, bi bilo treba v skladu s sodno prakso Sodišča Evropske unije (v nadaljnjem besedilu: Sodišče) navedena dva niza določb razlagati enotno, zlasti ker bi bilo treba strukturo te uredbe razumeti kot enakovredno strukturi Uredbe (EU) 2016/679.

(6)

Osebe, katerih osebni podatki se v kakršnem koli okviru obdelujejo v institucijah in organih Unije, ker so na primer zaposlene v teh institucijah in organih, bi morale biti zaščitene. Ta uredba se ne bi smela uporabljati za obdelavo osebnih podatkov umrlih oseb. Ta uredba ne zajema obdelave osebnih podatkov glede pravnih oseb in zlasti družb, ustanovljenih kot pravne osebe, vključno z imenom in obliko ter kontaktnimi podatki pravne osebe.

(7)

Z namenom preprečiti ustvarjanje resnega tveganja izogibanja predpisom bi moralo biti varstvo posameznikov tehnološko nevtralno in neodvisno od uporabljenih tehnik.

(8)

Ta uredba bi se morala uporabljati za obdelavo osebnih podatkov s strani vseh institucij, organov, uradov in agencij Unije. Uporabljati bi se morala za obdelavo osebnih podatkov v celoti ali delno z avtomatiziranimi sredstvi in za drugačno obdelavo osebnih podatkov, ki so del zbirke ali so namenjeni oblikovanju dela zbirke. Zapisi ali nizi zapisov – in njihove naslovnice –, ki niso strukturirani v skladu s posebnimi merili, ne bi smeli spadati na področje uporabe te uredbe.

(9)

V izjavi št. 21 o varstvu osebnih podatkov na področju pravosodnega sodelovanja v kazenskih zadevah in policijskega sodelovanja, ki je priložena Sklepni listini medvladne konference, ki je sprejela Lizbonsko pogodbo, je konferenca potrdila, da bi lahko bili zaradi posebne narave pravosodnega sodelovanja v kazenskih zadevah in policijskega sodelovanja na teh področjih potrebni posebni predpisi o varstvu osebnih podatkov in o prostem pretoku osebnih podatkov na podlagi člena 16 PDEU. Zato bi se moralo za obdelavo operativnih osebnih podatkov, na primer osebnih podatkov, ki jih za namene kazenske preiskave obdelajo organi, uradi ali agencije Unije, ki opravljajo dejavnosti na področju pravosodnega sodelovanja v kazenskih zadevah in policijskega sodelovanja, uporabljati posebno poglavje te uredbe, ki vsebuje splošna pravila.

(10)

Direktiva (EU) 2016/680 določa harmonizirana pravila o varstvu in prostem pretoku osebnih podatkov, ki se obdelujejo za namene preprečevanja, preiskovanja, odkrivanja ali pregona kaznivih dejanj ali izvrševanja kazenskih sankcij, vključno z varovanjem pred grožnjami javni varnosti in njihovim preprečevanjem. Da bi se zagotovila enaka raven varstva posameznikov prek pravno izvršljivih pravic po vsej Uniji in preprečilo, da bi razlike ovirale izmenjavo osebnih podatkov med organi, uradi ali agencijami Unije pri opravljanju dejavnosti, ki spadajo na področje uporabe poglavja 4 ali poglavja 5 naslova V tretjega dela PDEU, in pristojnimi organi, bi morala biti pravila o varstvu in prostem pretoku operativnih osebnih podatkov, ki jih obdelujejo taki organi, uradi ali agencije Unije, skladna z Direktivo (EU) 2016/680.

(11)

Splošna pravila iz poglavja te uredbe o obdelavi operativnih osebnih podatkov bi se morala uporabljati brez poseganja v posebna pravila, ki se uporabljajo za obdelavo operativnih osebnih podatkov s strani organov, uradov in agencij Unije pri opravljanju dejavnosti, ki spadajo na področje uporabe poglavja 4 ali poglavja 5 naslova V tretjega dela PDEU. Ta posebna pravila bi bilo treba obravnavati kot lex specialis v razmerju do določb iz poglavja te uredbe o obdelavi operativnih osebnih podatkov (lex specialis derogat legi generali). Da bi se zmanjšala pravne razdrobljenosti, bi morala biti posebna pravila o varstvu podatkov, ki se uporabljajo za obdelavo operativnih osebnih podatkov s strani organov, uradov ali agencij Unije pri opravljanju dejavnosti, ki spadajo na področje uporabe poglavja 4 ali poglavja 5 naslova V tretjega dela PDEU, skladna z načeli, na katerih temelji poglavje te uredbe o obdelavi operativnih osebnih podatkov, kot tudi z določbami te uredbe v zvezi z neodvisnim nadzorom, pravnimi sredstvi, odgovornostjo in kaznimi.

(12)

Poglavje te uredbe o obdelavi operativnih osebnih podatkov bi se moralo uporabljati za organe, urade in agencije Unije pri opravljanju dejavnosti, ki spadajo na področje uporabe poglavja 4 ali poglavja 5 naslova V tretjega dela PDEU, ne glede na to, ali gre pri teh dejavnostih za njihove glavne ali postranske naloge, za namene preprečevanja, odkrivanja, preiskovanja ali pregona kaznivih dejanj. Ne bi pa se smelo uporabljati za Europol ali za Evropsko javno tožilstvo, dokler se s spremembo pravnih aktov o ustanovitvi Europola in Evropskega javnega tožilstva ne določi, da se zanju uporablja poglavje iz te uredbe o obdelavi operativnih osebnih podatkov, kot je prilagojeno.

(13)

Komisija bi morala opraviti pregled te uredbe, zlasti poglavja te uredbe o obdelavi operativnih osebnih podatkov. Komisija bi morala opraviti tudi pregled drugih pravnih aktov, sprejetih na podlagi Pogodb, ki urejajo obdelavo operativnih osebnih podatkov s strani organov, uradov in agencij Unije pri opravljanju dejavnosti, ki spadajo na področje uporabe poglavja 4 ali poglavja 5 naslova V tretjega dela PDEU. Da bi se zagotovilo enotno in skladno varstvo posameznikov pri obdelavi osebnih podatkov, bi morala Komisija imeti možnost, da po vsakem takem pregledu pripravi ustrezne zakonodajne predloge, vključno s potrebnimi prilagoditvami poglavja te uredbe o obdelavi operativnih osebnih podatkov, z namenom, da se uporablja za Europol in Evropsko javno tožilstvo. Pri prilagoditvah bi bilo treba upoštevati določbe v zvezi z neodvisnim nadzorom, pravnimi sredstvi, odgovornostjo in kaznimi.

(14)

Obdelava upravnih osebnih podatkov, kot so podatki o osebju, ki jih obdelujejo organi, uradi ali agencije Unije pri opravljanju dejavnosti, ki spadajo na področje uporabe poglavja 4 ali poglavja 5 naslova V tretjega dela PDEU, bi morala biti zajeta v tej uredbi.

(15)

Ta uredba bi se morala uporabljati za obdelavo osebnih podatkov s strani institucij, organov, uradov ali agencij Unije pri opravljanju dejavnosti, ki spadajo na področje uporabe poglavja 2 naslova V Pogodbe o Evropski uniji (PEU). Ta uredba se ne bi smela uporabljati za obdelavo osebnih podatkov v okviru misij iz členov 42(1), 43 in 44 PEU, prek katerih se izvaja skupna varnostna in obrambna politika. Kadar je primerno, bi bilo treba predložiti ustrezne predloge, da se nadalje uredi obdelava osebnih podatkov na področju skupne varnostne in obrambne politike.

(16)

Načela varstva podatkov bi se morala uporabljati za vse informacije v zvezi z določenim ali določljivim posameznikom. Osebne podatke, ki so bili psevdonimizirani in ki jih je mogoče z uporabo dodatnih informacij pripisati posamezniku, bi bilo treba obravnavati kot informacije o določljivem posamezniku. Pri ugotavljanju, ali je posameznik določljiv, bi bilo treba upoštevati vsa sredstva – kot je na primer izločitev –, za katera se razumno pričakuje, da jih bo upravljavec ali druga oseba uporabila za neposredno ali posredno identifikacijo posameznika. Da bi ugotovili, ali se za ta sredstva lahko razumno pričakuje, da bodo uporabljena za identifikacijo posameznika, bi bilo treba upoštevati vse objektivne dejavnike, kot so stroški identifikacije in čas, potreben zanjo, ter pri tem upoštevati razpoložljivo tehnologijo in tehnološki razvoj v času obdelave. Načel varstva podatkov zato ne bi smeli uporabljati za anonimizirane informacije, in sicer informacije, ki niso povezane z določenim ali določljivim posameznikom, ali osebne podatke, ki so bili anonimizirani na tak način, da posameznik, na katerega se nanašajo osebni podatki, ni ali ni več določljiv. Ta uredba torej ne zadeva obdelave takšnih anonimiziranih informacij, vključno z informacijami v statistične ali raziskovalne namene.

(17)

Z uporabo psevdonimizacije osebnih podatkov se lahko zmanjša tveganje za zadevne posameznike, na katere se nanašajo osebni podatki, ter pomaga upravljavcem in obdelovalcem pri izpolnjevanju obveznosti glede varstva podatkov. Namen izrecne uvedbe „psevdonimizacije“ v tej uredbi ni preprečiti kakršnih koli drugih ukrepov za varstvo podatkov.

(18)

Posamezniki so lahko povezani s spletnimi identifikatorji, ki jih zagotovijo njihove naprave, aplikacije, orodja in protokoli, kot so naslovi internetnega protokola in identifikatorji piškotkov, ali drugimi identifikatorji, kot so oznake za radiofrekvenčno identifikacijo. To lahko pusti sledi, ki se lahko, zlasti kadar se kombinirajo z edinstvenimi identifikatorji in drugimi informacijami, ki jih prejmejo strežniki, uporabijo za oblikovanje profilov posameznikov in njihovo identifikacijo.

(19)

Privolitev bi morala biti dana z jasnim pritrdilnim dejanjem, ki pomeni, da je posameznik, na katerega se nanašajo osebni podatki, prostovoljno, konkretno, ozaveščeno in nedvoumno izrazil strinjanje z obdelavo osebnih podatkov v zvezi z njim, kot je s pisno, tudi z elektronskimi sredstvi, ali ustno izjavo. To lahko vključuje označitev okenca ob obisku spletne strani, izbiro tehničnih nastavitev za storitve informacijske družbe ali katero koli drugo izjavo ali ravnanje, ki v tem okviru jasno kaže na to, da posameznik, na katerega se nanašajo osebni podatki, sprejema predlagano obdelavo svojih osebnih podatkov. Molk, vnaprej označena okenca ali nedejavnost zato ne pomenijo privolitve. Privolitev bi morala zajemati vse dejavnosti obdelave, izvedene v isti namen ali namene. Kadar je obdelava večnamenska, bi bilo treba privolitev dati za vse namene obdelave. Če je privolitev posameznika, na katerega se nanašajo osebni podatki, dana na podlagi zahteve z elektronskimi sredstvi, mora biti zahteva jasna in natančna, prav tako pa ne sme po nepotrebnem ovirati uporabe storitve, za katero se zagotavlja. Hkrati bi moral imeti posameznik, na katerega se nanašajo osebni podatki, pravico, da privolitev kadar koli prekliče, ne da bi to vplivalo na zakonitost obdelave na podlagi privolitve pred njenim preklicem. Za zagotovitev, da je privolitev dana prostovoljno, privolitev ne bi smela biti veljavna pravna podlaga za obdelavo osebnih podatkov v posebnem primeru, ko obstaja očitno neravnotežje med posameznikom, na katerega se nanašajo osebni podatki, in upravljavcem, in je zato malo verjetno, da je bila privolitev dana prostovoljno v vseh okoliščinah te specifične situacije. V fazi zbiranja podatkov pogosto ni mogoče v celoti opredeliti namena obdelave osebnih podatkov v znanstvenoraziskovalne namene. Posamezniki, na katere se nanašajo osebni podatki, bi zato morali imeti možnost, da dajo privolitev za nekatera znanstvenoraziskovalna področja, ob upoštevanju priznanih etičnih standardov znanstvenega raziskovanja. Posamezniki, na katere se nanašajo osebni podatki, bi morali imeti možnost, da dajo privolitev le za nekatera raziskovalna področja ali dele raziskovalnih projektov v obsegu, ki ga dovoljuje predvideni namen.

(20)

Vsaka obdelava osebnih podatkov bi morala biti zakonita in poštena. Načini zbiranja, uporabe, pregledovanja ali drug način obdelave ter obseg obdelave ali prihodnje obdelave osebnih podatkov, ki se nanašajo na posameznike, bi morali biti za posameznike pregledni. Načelo preglednosti zahteva, da so vse informacije in sporočila, ki se nanašajo na obdelavo teh osebnih podatkov, lahko dostopni in razumljivi ter izraženi v jasnem in preprostem jeziku. To načelo zadeva zlasti informacije za posameznike, na katere se nanašajo osebni podatki, o identiteti upravljavca in namenih obdelave ter dodatne informacije za zagotovitev poštene in pregledne obdelave glede zadevnih posameznikov in njihove pravice do pridobitve potrditve in sporočila o obdelavi osebnih podatkov v zvezi z njimi. Posameznike bi bilo treba opozoriti na tveganja, pravila, zaščitne ukrepe in pravice v zvezi z obdelavo njihovih osebnih podatkov ter na to, kako lahko uresničujejo svoje pravice v zvezi s tako obdelavo. Zlasti posebni nameni, za katere se osebni podatki obdelujejo, bi morali biti izrecni in zakoniti ter določeni v času zbiranja osebnih podatkov. Osebni podatki bi morali biti ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Zato bi bilo treba zlasti zagotoviti, da je obdobje hrambe osebnih podatkov omejeno na najkrajše mogoče obdobje. Osebni podatki bi se lahko obdelali le, če namena obdelave ne bi bilo mogoče razumno doseči z drugimi sredstvi. Za zagotovitev, da se osebni podatki hranijo le toliko časa, kolikor je potrebno, bi moral upravljavec določiti roke za izbris ali občasno preverjanje. Sprejeti bi bilo treba vse smiselne ukrepe za popravek ali izbris netočnih osebnih podatkov. Osebne podatke bi bilo treba obdelovati na način, ki zagotavlja ustrezno varnost in zaupnost osebnih podatkov, tudi za preprečitev nedovoljenega dostopa do osebnih podatkov ali uporabe osebnih podatkov in opreme za obdelavo ter za preprečitev njihovega razkritja med prenosom.

(21)

Institucije in organi Unije bi morali, kadar posredujejo osebne podatke znotraj iste institucije ali organa Unije in uporabnik ni del upravljavca ali drugim institucijam in organom Unije, v skladu z načelom odgovornosti preveriti, ali so taki osebni podatki potrebni za zakonito opravljanje nalog, ki spadajo v pristojnost uporabnika. Upravljavec bi moral po prejemu zahteve uporabnika glede prenosa osebnih podatkov zlasti preveriti, ali obstaja ustrezna podlaga za zakonito obdelavo osebnih podatkov in pristojnost uporabnika. Upravljavec bi moral tudi začasno oceniti potrebo po prenosu podatkov. Če se pojavijo dvomi o tej potrebi, bi moral upravljavec od uporabnika zahtevati nadaljnje informacije. Prejemnik bi moral zagotoviti, da se lahko naknadno preveri potreba po prenosu podatkov.

(22)

Da bi bila obdelava zakonita, bi bilo treba osebne podatke obdelati, ker je to potrebno za opravljanje nalog, ki jih v javnem interesu izvajajo institucije in organi Unije, ali pri izvajanju njihove uradne pristojnosti, ker je to potrebno za izpolnitev pravne obveznosti, ki velja za upravljavca, ali na kateri drugi zakoniti podlagi iz te uredbe, vključno s privolitvijo posameznika, na katerega se nanašajo osebni podatki, v obdelavo ali ker je obdelava potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe. Obdelava osebnih podatkov za opravljanje nalog, ki jih v javnem interesu izvajajo institucije in organi Unije, vključuje obdelavo osebnih podatkov, potrebnih za upravljanje in delovanje teh institucij in organov. Obdelava osebnih podatkov bi se morala prav tako šteti za zakonito, kadar je potrebna za zaščito interesa, ki je bistven za življenje posameznika, na katerega se nanašajo osebni podatki, ali za življenje drugega posameznika. Obdelava osebnih podatkov na podlagi življenjskih interesov drugega posameznika bi se načeloma lahko izvajala le, kadar obdelave ni mogoče očitno izvesti na drugi pravni podlagi. Nekatere vrste obdelave lahko služijo tako pomembnim razlogom v javnem interesu kot življenjskim interesom posameznika, na katerega se nanašajo osebni podatki, na primer kadar je obdelava potrebna v humanitarne namene, tudi za spremljanje epidemij in njihovega širjenja ali v izrednih humanitarnih razmerah, zlasti pri naravnih nesrečah in nesrečah, ki jih povzroči človek.

(23)

Pravo Unije, na katerega se sklicuje ta uredba, bi moralo biti jasno in natančno, njegova uporaba pa predvidljiva za osebe, na katere se nanaša, v skladu z zahtevami iz Listine in Evropske konvencije o varstvu človekovih pravic in temeljnih svoboščin.

(24)

Notranja pravila, na katera se sklicuje ta uredba, bi morala biti jasni in natančni akti splošne uporabe s pravnimi učinki za posameznike, na katere se nanašajo osebni podatki. Sprejeti pa bi morali biti na najvišji ravni vodstva institucij in organov Unije v okviru njihovih pristojnosti in v zvezi z zadevami, ki se nanašajo na njihovo delovanje. Objavljena bi morala biti v Uradnem listu Evropske unije. Uporaba teh pravil bi morala biti predvidljiva za osebe, na katere se nanašajo, ter skladna z zahtevami iz Listine in Evropske konvencije o varstvu človekovih pravic in temeljnih svoboščin. Notranja pravila imajo lahko obliko sklepov, zlasti če jih sprejmejo institucije Unije.

(25)

Obdelava osebnih podatkov za druge namene kot tiste, za katere so bili osebni podatki prvotno zbrani, bi morala biti dovoljena le, kadar je združljiva z nameni, za katere so bili osebni podatki prvotno zbrani. V takšnem primeru ni potrebna ločena pravna podlaga od tiste, na podlagi katere so bili osebni podatki zbrani. Če je obdelava potrebna za izvajanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu, se lahko naloge in nameni, za katere bi se nadaljnja obdelava morala šteti za združljivo in zakonito, določijo in opredelijo s pravom Unije. Nadaljnja obdelava v namene arhiviranja v javnem interesu, za znanstveno- ali zgodovinskoraziskovalne namene ali statistične namene bi morala veljati za združljivo zakonito dejanje obdelave. Pravna podlaga, ki se za obdelavo osebnih podatkov določi s pravom Unije, je lahko tudi pravna podlaga za nadaljnjo obdelavo. Za ugotovitev, ali je namen nadaljnje obdelave združljiv z namenom, za katerega so bili osebni podatki prvotno zbrani, bi moral upravljavec, potem ko je izpolnil vse zahteve glede zakonitosti prvotne obdelave, med drugim upoštevati morebitno povezavo med prvotnimi nameni in nameni načrtovane nadaljnje obdelave; okoliščine, v katerih so bili osebni podatki zbrani, zlasti razumna pričakovanja posameznikov, na katere se nanašajo osebni podatki, o nadaljnji uporabi teh podatkov ob upoštevanju njihovega razmerja z upravljavcem; naravo osebnih podatkov; posledice načrtovane nadaljnje obdelave za te posameznike in obstoj ustreznih zaščitnih ukrepov, tako pri prvotnih kot načrtovanih nadaljnjih dejanjih obdelave.

(26)

Kadar obdelava temelji na privolitvi posameznika, na katerega se nanašajo osebni podatki, bi moral biti upravljavec zmožen dokazati, da je posameznik, na katerega se nanašajo osebni podatki, privolil v dejanje obdelave. Zlasti v okviru pisne izjave o drugi zadevi bi morali zaščitni ukrepi zagotoviti, da se posameznik, na katerega se nanašajo osebni podatki, zaveda dejstva, da daje privolitev in v kakšnem obsegu jo daje. V skladu z Direktivo Sveta 93/13/EGS (6) bi moral upravljavec vnaprej pripraviti izjavo o privolitvi, ki bi morala biti v razumljivi in lahko dostopni obliki ter jasnem in preprostem jeziku in ne bi smela vsebovati nedovoljenih pogojev. Da bi posameznik, na katerega se nanašajo osebni podatki, lahko dal ozaveščeno privolitev, bi moral poznati vsaj identiteto upravljavca in namene obdelave osebnih podatkov. Privolitev se ne bi smela šteti za prostovoljno, če posameznik, na katerega se nanašajo osebni podatki, nima možnosti dejanske ali prostovoljne izbire ali privolitve ne more zavrniti ali preklicati brez škode.

(27)

Otroci potrebujejo posebno varstvo v zvezi s svojimi osebnimi podatki, saj se morda manj zavedajo zadevnih tveganj, posledic in zaščitnih ukrepov in svojih pravic v zvezi z obdelavo osebnih podatkov. Tako posebno varstvo bi moralo zadevati zlasti ustvarjanje osebnostnih profilov in zbiranje osebnih podatkov v zvezi z otroki pri uporabi storitev, ki se na spletnih mestih institucij in organov Unije nudijo neposredno otroku, kot so storitve medosebne komunikacije ali spletna prodaja vstopnic, in obdelava osebnih podatkov temelji na privolitvi.

(28)

Kadar uporabniki, ustanovljeni v Uniji, ki niso institucije in organi Unije, želijo, da jim institucije in organi Unije prenesejo osebne podatke, bi morali ti uporabniki izkazati, da je prenos podatkov tem uporabnikom potreben bodisi za opravljanje njihove naloge, ki se izvaja v javnem interesu, bodisi pri izvajanju javne oblasti, ki jim je bila dodeljena. Kot druga možnost bi morali uporabniki izkazati, da je prenos potreben za poseben namen v javnem interesu, pri čemer bi moral upravljavec ugotoviti, ali obstaja razlog za domnevo, da bi pri tem lahko šlo za poseg v zakonite interese posameznika, na katerega se nanašajo osebni podatki. V takšnih primerih bi moral upravljavec na preverljiv način pretehtati različne navzkrižne interese, da bi ocenil sorazmernost zahtevanega prenosa osebnih podatkov. Poseben namen v javnem interesu je lahko povezan s preglednostjo institucij in organov Unije. Poleg tega bi morale institucije in organi Unije bi morali tako potrebo dokazati, kadar se prenos izvede na njihovo pobudo, v skladu z načelom preglednosti in dobrega upravljanja. Zahteve, ki jih ta uredba določa za prenos podatkov uporabnikom, ustanovljenim v Uniji, ki niso institucije in organi Unije, bi bilo treba razumeti tako, da dopolnjujejo pogoje za zakonito obdelavo.

(29)

Posebno varstvo si zaslužijo osebni podatki, ki so po svoji naravi posebej občutljivi z vidika temeljnih pravic in svoboščin, saj bi lahko okoliščine njihove obdelave resno ogrozile temeljne pravice in svoboščine. Taki osebni podatki se ne bi smeli obdelovati, razen če so izpolnjeni posebni pogoji, določeni v tej uredbi. Ti osebni podatki bi morali vključevati osebne podatke, ki razkrivajo rasno ali etnično poreklo, pri čemer uporaba pojma „rasno poreklo“ v tej uredbi ne pomeni, da Unija priznava teorije, ki poskušajo dokazati obstoj različnih človeških ras. Obdelava fotografij se ne bi smela sistematično šteti za obdelavo posebnih vrst osebnih podatkov, saj spadajo v opredelitev biometričnih podatkov le, kadar so obdelane s posebnimi tehničnimi sredstvi, ki omogočajo edinstveno identifikacijo ali avtentikacijo posameznika. Poleg posebnih zahtev za obdelavo občutljivih podatkov bi morala veljati splošna načela in druga pravila iz te uredbe, zlasti glede pogojev zakonite obdelave. Izrecno bi morala biti določena odstopanja od splošne prepovedi obdelave takšnih posebnih vrst osebnih podatkov, med drugim kadar posameznik, na katerega se nanašajo osebni podatki, da izrecno privolitev, ali glede posebnih potreb, zlasti kadar se obdelava izvaja v okviru zakonitih dejavnosti nekaterih združenj ali ustanov, katerih namen je omogočiti uresničevanje temeljnih svoboščin.

(30)

Posebne vrste osebnih podatkov, ki potrebujejo višjo zaščito, bi se lahko obdelovale v namene, povezane z zdravjem, le kadar je to potrebno za doseganje teh namenov v korist posameznikov in družbe kot celote, zlasti v okviru upravljanja storitev in sistemov zdravstvenega ali socialnega varstva. Zato bi bilo treba v tej uredbi ob upoštevanju posebnih potreb določiti usklajene pogoje za obdelavo posebnih vrst osebnih podatkov v zvezi z zdravjem, zlasti kadar take podatke v določene namene v zvezi z zdravjem obdelujejo osebe, za katere velja pravna obveznost varovanja poklicne skrivnosti. V pravu Unije bi bilo treba določiti posebne in ustrezne ukrepe za zaščito temeljnih pravic in osebnih podatkov posameznikov.

(31)

Obdelava posebnih vrst osebnih podatkov je lahko potrebna iz razlogov javnega interesa na področju javnega zdravja brez privolitve posameznika, na katerega se nanašajo osebni podatki. Za takšno obdelavo bi morali veljati ustrezni in posebni ukrepi za zaščito pravic in svoboščin posameznikov. V zvezi s tem bi bilo treba pojem „javno zdravje“ razlagati, kakor je opredeljen v Uredbi (ES) št. 1338/2008 Evropskega parlamenta in Sveta (7), kjer pomeni vse elemente, povezane z zdravjem, in sicer zdravstveno stanje, vključno z obolevnostjo in invalidnostjo, determinante, ki vplivajo na zdravstveno stanje, potrebe zdravstvenega varstva, vire, namenjene zdravstvenemu varstvu, zagotavljanje in splošni dostop do zdravstvenega varstva, pa tudi izdatke in financiranje zdravstvenega varstva ter vzroke smrtnosti. Zaradi take obdelave podatkov v zvezi z zdravjem iz razlogov javnega interesa se osebni podatki ne bi smeli obdelovati v druge namene.

(32)

Če osebni podatki, ki jih obdeluje upravljavec, slednjemu ne omogočajo identifikacije posameznika, upravljavec podatkov ne bi smel biti zavezan pridobiti dodatnih informacij, da bi ugotovil identiteto posameznika, na katerega se nanašajo osebni podatki, samo zaradi skladnosti s katero koli določbo te uredbe. Vendar pa upravljavec ne bi smel zavrniti dodatnih informacij, ki jih posameznik, na katerega se nanašajo osebni podatki, predloži z namenom uresničevanja svojih pravic. Identifikacija bi morala vključevati digitalno identifikacijo posameznika, na katerega se nanašajo osebni podatki, denimo, z mehanizmom avtentikacije, na primer da posameznik, na katerega se nanašajo osebni podatki, uporablja isto poverilnico za prijavo na spletne storitve, ki jo ponuja upravljavec podatkov.

(33)

Pri obdelavi osebnih podatkov za namene arhiviranja v javnem interesu, v znanstveno- ali zgodovinskoraziskovalne namene ali statistične namene bi bilo treba zagotoviti ustrezne zaščitne ukrepe za pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, v skladu s to uredbo. S temi zaščitnimi ukrepi bi bilo treba zagotoviti, da se sprejmejo tehnični in organizacijski ukrepi, s katerimi se zagotovi zlasti spoštovanje načela najmanjšega obsega podatkov. Nadaljnja obdelava osebnih podatkov v namene arhiviranja v javnem interesu, v znanstveno- ali zgodovinskoraziskovalne namene ali statistične namene se opravi, kadar je upravljavec ocenil izvedljivost uresničitve teh namenov z obdelavo osebnih podatkov, ki ne omogočajo ali ne omogočajo več identifikacije posameznika, na katerega se nanašajo osebni podatki, pod pogojem, da obstajajo ustrezni zaščitni ukrepi (kot je, na primer, psevdonimizacija osebnih podatkov). Institucije in organi Unije bi morali v pravu Unije, ki lahko vključuje notranje predpise, ki jih sprejmejo institucije in organi Unije v zvezi z zadevami, ki se nanašajo na njihovo delovanje, zagotoviti ustrezne zaščitne ukrepe za obdelavo osebnih podatkov v namene arhiviranja v javnem interesu, v znanstveno- ali zgodovinskoraziskovalne namene ali statistične namene.

(34)

Zagotoviti bi bilo treba načine za lažje uresničevanje pravic posameznika, na katerega se nanašajo osebni podatki, iz te uredbe, vključno z mehanizmi, s katerimi se zahtevajo in po potrebi brezplačno pridobijo zlasti dostop do osebnih podatkov in popravek ali izbris osebnih podatkov ter uresničuje pravica do ugovora. Upravljavec bi zato moral omogočiti tudi elektronsko vlaganje zahtev, zlasti kadar se osebni podatki obdelujejo z elektronskimi sredstvi. Upravljavec bi moral biti zavezan, da na zahtevo posameznika, na katerega se nanašajo osebni podatki, odgovori brez nepotrebnega odlašanja in najpozneje v enem mesecu in da v primeru, ko ne namerava izpolniti take zahteve, to utemelji.

(35)

Načeli poštene in pregledne obdelave zahtevata, da je treba posameznika, na katerega se nanašajo osebni podatki, obvestiti o obstoju dejanja obdelave in njegovih namenih. Upravljavec bi moral posamezniku, na katerega se nanašajo osebni podatki, zagotoviti vse dodatne informacije, potrebne za zagotavljanje poštene in pregledne obdelave ob upoštevanju specifičnih okoliščin in okvira obdelave osebnih podatkov. Poleg tega bi moral biti ta posameznik obveščen o obstoju oblikovanja profilov in njegovih posledicah. Kadar se osebni podatki pridobijo od posameznika, na katerega se nanašajo osebni podatki, bi ga bilo treba obvestiti tudi o tem, ali je dolžan predložiti osebne podatke, in o posledicah, kadar takih podatkov ne predloži. Te informacije se lahko navedejo skupaj z uporabo standardiziranih ikon, da se na jasno razviden, razumljiv in berljiv način zagotovi smiseln pregled načrtovane obdelave. Kadar so ikone navedene v elektronski obliki, bi morale biti strojno berljive.

(36)

Posameznike, na katere se nanašajo osebni podatki, bi bilo treba o obdelavi osebnih podatkov v zvezi z njimi obvestiti v trenutku zbiranja podatkov od posameznika, na katerega se nanašajo osebni podatki, ali, kadar se osebni podatki pridobijo iz drugega vira, v ustreznem roku odvisno od okoliščin primera. Kadar se lahko osebni podatki zakonito razkrijejo drugemu uporabniku, bi moral biti posameznik, na katerega se nanašajo osebni podatki, obveščen, ko se osebni podatki prvič razkrijejo uporabniku. Kadar namerava upravljavec obdelovati osebne podatke za namen, ki ni namen, za katerega so bili zbrani, bi moral upravljavec posamezniku, na katerega se nanašajo osebni podatki, pred tako nadaljnjo obdelavo podatkov zagotoviti informacije o tem drugem namenu in druge potrebne informacije. Kadar temu posamezniku ni mogoče sporočiti izvora osebnih podatkov zaradi uporabe različnih virov, bi mu bilo treba zagotoviti splošne informacije.

(37)

Posameznik, na katerega se nanašajo osebni podatki, bi moral imeti pravico dostopa do osebnih podatkov, ki so bili zbrani v zvezi z njim, in do enostavnega uresničevanja te pravice v razumnih časovnih presledkih, da bi se seznanil z obdelavo in preveril njeno zakonitost. To vključuje pravico posameznikov, na katere se nanašajo osebni podatki, da imajo dostop do podatkov v zvezi s svojim zdravjem, na primer podatkov v njihovi zdravstveni kartoteki, ki vključuje informacije, kot so diagnoze, izvidi preiskav, ocene lečečih zdravnikov in druga zdravljenja ali posegi. Zato bi moral vsak posameznik, na katerega se nanašajo osebni podatki, imeti pravico do seznanitve s sporočilom in njegove pridobitve, zlasti o namenih obdelave osebnih podatkov, po možnosti o obdobju, za katerega so osebni podatki obdelani, uporabnikih osebnih podatkov, o razlogih za morebitno avtomatsko obdelavo osebnih podatkov in, vsaj v primerih, kadar obdelava temelji na oblikovanju profilov, o posledicah take obdelave. Ta pravica ne bi smela negativno vplivati na pravice ali svoboščine drugih, vključno s poslovnimi skrivnostmi ali intelektualno lastnino, ter predvsem na avtorske pravice, ki ščitijo programsko opremo. To pa ne bi smelo povzročiti, da se posamezniku, na katerega se nanašajo osebni podatki, zavrne dostop do vseh informacij. Kadar upravljavec obdeluje veliko količino informacij v zvezi s posameznikom, na katerega se nanašajo osebni podatki, bi moral upravljavec imeti možnost, da pred zagotovitvijo informacij od tega posameznika zahteva, naj podrobno opredeli, na katere informacije ali dejavnosti obdelave se zahteva nanaša.

(38)

Posameznik, na katerega se nanašajo osebni podatki, bi moral imeti pravico do popravka osebnih podatkov v zvezi z njim in „pravico do pozabe“, kadar hramba takih podatkov krši to uredbo ali pravo Unije, ki velja za upravljavca. Posameznik, na katerega se nanašajo osebni podatki, bi moral imeti pravico do tega, da se njegovi osebni podatki izbrišejo in se ne obdelujejo več, kadar osebni podatki niso več potrebni za namene, za katere so bili zbrani ali kako drugače obdelani, kadar posameznik, na katerega se nanašajo osebni podatki, prekliče svojo privolitev ali ugovarja obdelavi osebnih podatkov, ki se nanašajo nanj, ali kadar obdelava njegovih osebnih podatkov kako drugače ni v skladu s to uredbo. Ta pravica je zlasti pomembna, kadar je posameznik, na katerega se nanašajo osebni podatki, dal svojo privolitev kot otrok in se ni v celoti zavedal tveganj, povezanih z obdelavo, ter želi pozneje take osebne podatke odstraniti, zlasti z interneta. Posameznik, na katerega se nanašajo osebni podatki, bi moral imeti možnost, da to pravico uresničuje ne glede na dejstvo, da ni več otrok. Vendar bi morala biti nadaljnja hramba osebnih podatkov zakonita, če je to potrebno za uresničevanje pravice do svobode izražanja in obveščanja, izpolnjevanje pravnih obveznosti, izvajanje nalog v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu, iz razlogov javnega interesa na področju javnega zdravja, za namene arhiviranja v javnem interesu, za znanstveno- ali zgodovinskoraziskovalne namene ali statistične namene ali za uveljavljanje, izvajanje ali obrambo pravnih zahtevkov.

(39)

Za okrepitev pravice do pozabe v spletnem okolju bi bilo treba pravico do izbrisa razširiti tako, da bi zahtevali, da mora upravljavec, ki je osebne podatke dal v javnost, obvestiti upravljavce, ki take osebne podatke obdelujejo, da izbrišejo vse povezave do teh osebnih podatkov ali kopije ali prenovitve teh osebnih podatkov. Pri tem bi moral upravljavec ob upoštevanju razpoložljive tehnologije in sredstev, ki jih ima na voljo, vključno s tehničnimi ukrepi, sprejeti razumne ukrepe, da bi upravljavce, ki obdelujejo osebne podatke, obvestil o zahtevi posameznika, na katerega se nanašajo osebni podatki.

(40)

Metode za omejitev obdelave osebnih podatkov bi lahko med drugim zajemale začasni prenos izbranih podatkov v drug sistem za obdelavo, preprečitev dostopnosti izbranih osebnih podatkov uporabnikom ali začasno odstranitev objavljenih podatkov s spletnega mesta. Pri avtomatiziranih zbirkah bi bilo treba omejitev obdelave načeloma zagotoviti s tehničnimi sredstvi na način, da se osebni podatki nadalje več ne obdelujejo in jih ni mogoče spremeniti. Dejstvo, da je obdelava osebnih podatkov omejena, bi moralo biti jasno navedeno v zbirki.

(41)

Da bi še dodatno okrepili nadzor nad lastnimi podatki, kadar se obdelava osebnih podatkov izvaja z avtomatskimi sredstvi, bi moral posameznik, na katerega se nanašajo osebni podatki, imeti tudi možnost, da prejme osebne podatke v zvezi z njim, ki jih je posredoval upravljavcu, v strukturirani, splošno uporabljani, strojno berljivi in interoperabilni obliki in jih posreduje drugemu upravljavcu. Upravljavce podatkov bi bilo treba spodbuditi k razvoju interoperabilnih oblik, ki omogočajo prenosljivost podatkov. Ta pravica bi morala veljati, kadar je posameznik, na katerega se nanašajo osebni podatki, te podatke zagotovil na podlagi svoje privolitve ali kadar je obdelava potrebna za izvajanje pogodbe. Zato ne bi smela veljati, kadar je obdelava osebnih podatkov nujna za izpolnjevanje pravne obveznosti, ki velja za upravljavca, ali izvajanje naloge v javnem interesu ali pri izvajanju javne oblasti, ki je bila dodeljena upravljavcu. Pravica posameznika, na katerega se nanašajo osebni podatki, do posredovanja ali prejemanja osebnih podatkov v zvezi z njim ne bi smela ustvariti obveznosti za upravljavca, da mora sprejeti ali vzdrževati sisteme za obdelavo, ki so tehnično združljivi. Kadar določeni niz osebnih podatkov zadeva več kot enega posameznika, na katerega se ti podatki nanašajo, pravica do prejemanja osebnih podatkov ne bi smela posegati v pravice in svoboščine drugih posameznikov, na katere se nanašajo osebni podatki, v skladu s to uredbo. Poleg tega ta pravica ne bi smela posegati v pravico posameznika, na katerega se nanašajo osebni podatki, da zahteva izbris osebnih podatkov, in v omejitve te pravice, kakor je določeno v tej uredbi, zlasti pa ne bi smela pomeniti izbrisa osebnih podatkov, ki jih je posameznik, na katerega se ti nanašajo, zagotovil za izvajanje pogodbe, in sicer kolikor in dokler so osebni podatki potrebni za izvajanje te pogodbe. Kadar je to tehnično izvedljivo, bi posameznik, na katerega se nanašajo osebni podatki, moral imeti pravico doseči, da se osebni podatki prenesejo neposredno od enega upravljavca k drugemu.

(42)

Kadar se lahko osebni podatki zakonito obdelujejo, ker je obdelava potrebna za izvajanje naloge v javnem interesu ali pri izvajanju javne oblasti, ki je bila dodeljena upravljavcu, bi moral imeti vsak posameznik, na katerega se nanašajo osebni podatki, kljub temu pravico ugovarjati obdelavi katerih koli osebnih podatkov, povezanih z njegovim posebnim položajem. Upravljavec bi moral dokazati, da njegovi nujni zakoniti interesi prevladajo nad interesi ali temeljnimi pravicami in svoboščinami posameznika, na katerega se nanašajo osebni podatki.

(43)

Posameznik, na katerega se nanašajo osebni podatki, bi moral imeti pravico, da zanj ne bi veljala odločitev, ki lahko vključuje ukrep, o ocenjevanju osebnih vidikov v zvezi z njim, ki temelji zgolj na avtomatizirani obdelavi in ima pravne učinke v zvezi z njim ali podobno znatno vpliva nanj, kot so prakse zaposlovanja prek spleta brez človekovega posredovanja. Taka obdelava vključuje „oblikovanje profilov“ v kakršni koli obliki avtomatizirane obdelave osebnih podatkov, na podlagi katerih se ocenjujejo osebni vidiki v zvezi s posameznikom, na katerega se nanašajo osebni podatki, zlasti za analizo ali predvidevanje uspešnosti pri delu, ekonomskega položaja, zdravja, osebnega okusa ali interesov, zanesljivosti ali vedenja, lokacije ali gibanja, kadar ustvarja pravne učinke v zvezi z njim ali nanj podobno znatno vpliva.

Sprejemanje odločitev na podlagi take obdelave, vključno z oblikovanjem profilov, pa bi moralo biti dovoljeno, kadar ga izrecno dovoljuje pravo Unije. V vsakem primeru bi morali za tako obdelavo veljati ustrezni zaščitni ukrepi, ki bi morali vključevati konkretno seznanitev posameznika, na katerega se nanašajo osebni podatki, in pravico do osebnega posredovanja, pravico izraziti svoje stališče, pravico dobiti pojasnilo o odločitvi, ki je bila sprejeta po takem ocenjevanju, in pravico do izpodbijanja odločitve. Taki ukrepi ne bi smeli zadevati otroka. Da bi upravljavec ob upoštevanju posebnih okoliščin in okvira, v katerih se osebni podatki obdelujejo, zagotovil pošteno in pregledno obdelavo osebnih podatkov za posameznika, na katerega se osebni podatki nanašajo, bi moral uporabiti ustrezne matematične ali statistične postopke za oblikovanje profilov, izvajati tehnične in organizacijske ukrepe, s katerimi bi na ustrezen način zagotovil zlasti, da se dejavniki, ki povzročijo netočnost osebnih podatkov, popravijo in tveganje napak čim bolj zmanjša, zavarovati osebne podatke tako, da se upoštevajo morebitne nevarnosti, povezane z interesi in pravicami posameznika, na katerega se nanašajo osebni podatki, ter preprečiti, med drugim, diskriminatorne posledice za posameznike na podlagi rasnega ali etničnega porekla, političnega mnenja, vere ali prepričanja, članstva v sindikatu, genetskega ali zdravstvenega stanja, spolne usmerjenosti, ali obdelavo, ki privede do ukrepov, ki imajo takšne posledice. Avtomatizirano sprejemanje odločitev in oblikovanje profilov na podlagi posebnih vrst osebnih podatkov bi bilo treba dovoliti le pod posebnimi pogoji.

(44)

S pravnimi akti, sprejetimi na podlagi Pogodb ali notranjih predpisov, ki jih sprejmejo institucije in organi Unije v zvezi z zadevami, ki se nanašajo na njihovo delovanje, se lahko uvedejo omejitve glede posebnih načel in pravic do obveščenosti, dostopa in popravka ali izbrisa osebnih podatkov, pravice do prenosljivosti podatkov, zaupnosti elektronskih komunikacijskih podatkov in sporočanja o kršitvi varstva osebnih podatkov posamezniku, na katerega se nanašajo osebni podatki, in določenih s tem povezanih obveznosti upravljavcev, če je to v demokratični družbi potrebno in sorazmerno zaradi zaščite javne varnosti ter preprečevanja, preiskovanja in pregona kaznivih dejanj ali izvrševanja kazenskih sankcij. To vključuje varovanje pred grožnjami javni varnosti in njihovo preprečevanje, zaščito človeškega življenja, zlasti pri odzivu na naravne nesreče ali nesreče, ki jih povzroči človek, notranjo varnost institucij in organov Unije, druge pomembne cilje v splošnem javnem interesu Unije ali države članice, zlasti cilje skupne zunanje in varnostne politike Unije ali pomembnega gospodarskega ali finančnega interesa Unije ali države članice, in vodenje javnih registrov iz razlogov splošnega javnega interesa ali varstva posameznika, na katerega se nanašajo osebni podatki, ali pravic in svoboščin drugih, vključno s socialnim varstvom, javnim zdravjem in humanitarnimi nameni.

(45)

Uvesti bi bilo treba pristojnost in odgovornost upravljavca glede vsake obdelave osebnih podatkov, ki jo izvede upravljavec ali je izvedena v njegovem imenu. Upravljavec bi moral zlasti izvajati ustrezne in učinkovite ukrepe ter biti zmožen dokazati skladnost dejavnosti obdelave s to direktivo, vključno z učinkovitostjo ukrepov. Ti ukrepi bi morali upoštevati naravo, obseg, okoliščine in namene obdelave ter tveganje za pravice in svoboščine posameznikov.

(46)

Tveganje za pravice in svoboščine posameznika, ki se razlikuje po verjetnosti in resnosti, je lahko posledica obdelave osebnih podatkov, ki bi lahko povzročila fizično, premoženjsko ali nepremoženjsko škodo, zlasti: kadar obdelava lahko privede do diskriminacije, kraje ali zlorabe identitete, finančne izgube, okrnitve ugleda, izgube zaupnosti osebnih podatkov, zaščitenih s poklicno molčečnostjo, neodobrene reverzije psevdonimizacije ali katere koli druge znatne gospodarske ali socialne škode; kadar bi bile posameznikom, na katere se nanašajo osebni podatki, lahko odvzete pravice in svoboščine ali bi jim bilo preprečeno izvajanje nadzora nad njihovimi osebnimi podatki; kadar se obdelujejo osebni podatki, ki razkrivajo rasno ali etnično poreklo, politična mnenja, veroizpoved ali filozofsko prepričanje ali članstvo v sindikatu, ter obdelovanje genskih podatkov ali podatkov v zvezi z zdravjem ali podatkov v zvezi s spolnim življenjem ali kazenskimi obsodbami in prekrški ali s tem povezanimi varnostnimi ukrepi; kadar se vrednotijo osebni vidiki, zlasti analiziranje ali predvidevanje vidikov, ki zadevajo uspešnost pri delu, ekonomski položaj, zdravje, osebni okus ali interese, zanesljivost ali vedenje, lokacijo ali gibanje, da bi se ustvarili ali uporabljali osebni profili; kadar se obdelujejo osebni podatki ranljivih posameznikov, zlasti otrok, ali kadar obdelava vključuje veliko število osebnih podatkov in zadeva veliko število posameznikov, na katere se nanašajo osebni podatki.

(47)

Verjetnost in resnost tveganja za pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, bi bilo treba ugotavljati glede na vrsto, obseg, okoliščine in namene obdelave. Tveganje bi bilo treba oceniti na podlagi objektivne ocene, s katero se določi, ali dejanja obdelave podatkov pomenijo tveganje ali veliko tveganje.

(48)

Zaradi varstva pravic in svoboščin posameznikov v zvezi z obdelavo osebnih podatkov je treba sprejeti ustrezne tehnične in organizacijske ukrepe, da bi zagotovili izpolnitev zahtev iz te uredbe. Da bi upravljavec lahko dokazal skladnost s to uredbo, bi moral sprejeti notranjo ureditev in izvesti ukrepe, ki spoštujejo zlasti načeli vgrajenega in privzetega varstva podatkov. Ti ukrepi bi med drugim lahko vključevali minimizacijo obdelave osebnih podatkov, čimprejšnjo psevdonimizacijo osebnih podatkov, preglednost pri nalogah in obdelavi osebnih podatkov, omogočanje posameznikom, na katere se nanašajo osebni podatki, da spremljajo obdelavo podatkov, in omogočanje upravljavcu, da vzpostavi in izboljša varnostne ukrepe. Načeli vgrajenega in privzetega varstva podatkov bi morali biti upoštevani tudi pri javnih razpisih.

(49)

V Uredbi (EU) 2016/679 je določeno, da morajo upravljavci izkazati skladnost na podlagi izvajanja odobrenim mehanizmom certificiranja. Podobno bi morali biti institucije in organi Unije sposobni izkazati skladnost s to uredbo s pridobitvijo certifikata v skladu s členom 42 Uredbe (EU) 2016/679.

(50)

Varstvo pravic in svoboščin posameznikov, na katere se nanašajo osebni podatki, ter pristojnost in odgovornost upravljavcev in obdelovalcev zahtevajo jasno dodelitev odgovornosti na podlagi te uredbe, tudi kadar upravljavec namene in sredstva obdelave določi skupaj z drugimi upravljavci ali kadar je dejanje obdelave izvedeno v imenu upravljavca.

(51)

Za zagotovitev skladnosti z zahtevami iz te uredbe v zvezi z obdelavo, ki jo opravi obdelovalec v imenu upravljavca, bi moral upravljavec dejavnosti obdelave zaupati samo tistim obdelovalcem, ki zagotavljajo zadostna jamstva, zlasti v smislu strokovnega znanja, zanesljivosti in virov za izvajanje tehničnih in organizacijskih ukrepov, ki izpolnjujejo zahteve iz te uredbe, vključno za varnost obdelave. Zavezanost obdelovalcev, ki niso institucije in organi Unije, k odobrenemu kodeksu ravnanja ali odobrenemu mehanizmu potrjevanja se lahko uporabi kot element za izpolnjevanje obveznosti upravljavca. Obdelavo s strani obdelovalca, ki ni institucija ali organ Unije, bi morala urejati pogodba ali v primeru, da imajo institucije in organi Unije vlogo obdelovalca, pogodba ali drug pravni akt v skladu s pravom Unije, ki bi določal obveznosti obdelovalca do upravljavca ter določal vsebino in trajanje obdelave, naravo in namene obdelave, vrsto osebnih podatkov in kategorije posameznikov, na katere se nanašajo osebni podatki, ob upoštevanju posebnih nalog in odgovornosti obdelovalca v okviru obdelave, ki jo izvaja, in tveganje za pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki. Upravljavec in obdelovalec se lahko odločita za uporabo individualne pogodbe ali standardnih pogodbenih določil, ki jih sprejme bodisi neposredno Komisija bodisi Evropski nadzornik za varstvo podatkov, nato pa jih sprejme Komisija. Po zaključku obdelave v imenu upravljavca bi moral obdelovalec v skladu z odločitvijo upravljavca vrniti ali izbrisati osebne podatke, razen v primeru zahteve za shranitev osebnih podatkov v skladu s pravom Unije ali pravom države članice, ki velja za obdelovalca.

(52)

Za izkaz skladnosti s to uredbo bi morali upravljavci hraniti evidence o dejavnostih obdelave, za katere so odgovorni, obdelovalci pa bi morali hraniti evidence o vrstah dejavnosti obdelave, za katere so odgovorni. Institucije in organi Unije bi morali biti zavezani k sodelovanju z Evropskim nadzornikom za varstvo podatkov in mu na zahtevo omogočiti dostop do svojih evidenc, da bi bile tako lahko namenjene spremljanju dejanj obdelave. Institucije in organi Unije bi morali imeti možnost, da vzpostavijo centralni register evidenc svojih dejavnosti obdelave, razen če glede na velikost institucije ali organa Unije to ni primerno. Zaradi preglednosti bi morali imeti tudi možnost, da tak register objavijo.

(53)

Za ohranitev varnosti in preprečitev obdelave, ki bi pomenila kršitev te uredbe, bi moral upravljavec ali obdelovalec oceniti tveganje, povezano z obdelavo, in izvesti ukrepe za ublažitev tega tveganja, na primer šifriranje. Ti ukrepi bi morali zagotavljati ustrezno raven varnosti, vključno z zaupnostjo, ob upoštevanju najnovejšega tehnološkega razvoja in stroškov izvajanja glede na tveganja in naravo osebnih podatkov, ki jih je treba varovati. Pri oceni tveganja v zvezi z varstvom podatkov bi bilo treba pozornost posvetiti tveganjem, ki jih pomeni obdelava osebnih podatkov, kot so nenamerno ali nezakonito uničenje, izguba, sprememba, nepooblaščeno razkritje ali dostop do osebnih podatkov, ki so poslani, shranjeni ali kako drugače obdelani, kar lahko zlasti povzroči fizično, premoženjsko ali nepremoženjsko škodo.

(54)

Institucije in organi Unije bi morali zagotoviti zaupnost elektronskih sporočil v skladu s členom 7 Listine. Zlasti bi morali zagotoviti varnost svojih elektronskih komunikacijskih omrežij. Zavarovati bi morali informacije v zvezi s terminalsko opremo uporabnikov omrežja ali opreme, s katero se dostopa do njihovih javno dostopnih spletnih mest in mobilnih aplikacij v skladu z Direktivo 2002/58/ES Evropskega parlamenta in Sveta (8). Morali bi zavarovati tudi osebne podatke, shranjene v imenikih uporabnikov omrežja ali opreme.

(55)

Kršitev varnosti osebnih podatkov lahko, če se ne obravnava ustrezno in pravočasno, posameznikom povzroči fizično, premoženjsko ali nepremoženjsko škodo. Zato bi moral upravljavec, takoj, ko se seznani s kršitvijo varnosti osebnih podatkov, o njej uradno obvestiti Evropskega nadzornika za varstvo podatkov brez nepotrebnega odlašanja in po možnosti najpozneje v 72 urah po seznanitvi s kršitvijo, razen če lahko upravljavec v skladu z načelom odgovornosti dokaže, da ni verjetno, da bi kršitev varnosti osebnih podatkov povzročila tveganje za pravice in svoboščine posameznikov. Kadar ni mogoče uradno obvestiti v 72 urah, bi bilo treba uradnemu obvestilu priložiti razloge za zamudo, informacije pa se lahko zagotovijo postopoma in brez nadaljnjega nepotrebnega odlašanja. Kadar je taka zamuda upravičena, bi bilo treba čim prej objaviti manj občutljive ali manj podrobne informacije o kršitvi, namesto da se zadevni incident v celoti razreši pred uradnim obvestilom.

(56)

Upravljavec bi moral posameznika, na katerega se nanašajo osebni podatki, brez nepotrebnega odlašanja obvestiti o kršitvi varstva osebnih podatkov, kadar je verjetno, da bi ta kršitev varstva osebnih podatkov lahko povzročila veliko tveganje za pravice in svoboščine posameznika, da bi se ta lahko ustrezno zavaroval. Sporočilo bi moralo vsebovati opis narave kršitve varstva osebnih podatkov in priporočila za zadevnega posameznika za ublažitev morebitnih škodljivih učinkov. Posamezniki, na katere se nanašajo osebni podatki, bi morali prejeti tako sporočilo, kakor hitro je to razumno mogoče in v tesnem sodelovanju z Evropskim nadzornikom za varstvo podatkov ter ob upoštevanju smernic, ki jih je podal Evropski nadzornik za varstvo podatkov ali drugi ustrezni organi, kot so organi za namene preprečevanja, preiskovanja, odkrivanja ali pregona kaznivih dejanj.

(57)

Uredba (ES) št. 45/2001 določa splošno obveznost upravljavca, da o obdelavi osebnih podatkov obvesti pooblaščeno osebo za varstvo podatkov. Pooblaščena oseba za varstvo podatkov vodi evidenco dejanj obdelave, o katerih je bila obveščena, razen če glede na velikost institucije ali organa Unije to ni primerno. Poleg te splošne obveznosti bi bilo treba določiti učinkovite postopke in mehanizme za spremljanje dejanj obdelave, ki zaradi svoje narave, obsega, okoliščin in namenov verjetno povzročajo veliko tveganje za pravice in svoboščine posameznikov. Taki postopki bi zlasti morali biti določeni, kadar gre za vrste dejanj obdelave, ki vključujejo uporabo novih tehnologij ali ki so nove, v zvezi s katerimi upravljavec še ni izvedel ocene učinka v zvezi z varstvom podatkov ali postanejo potrebne zaradi časa, ki je pretekel od prvotne obdelave. V takih primerih bi moral upravljavec pred obdelavo izvesti oceno učinka v zvezi z varstvom podatkov, da bi se ocenili posebna verjetnost in resnost velikega tveganja, pri čemer bi upoštevali naravo, obseg, okoliščine in namene obdelave ter izvor tveganja. Ta ocena učinka pa bi morala obsegati zlasti ukrepe, zaščitne ukrepe in mehanizme, ki so predvideni za ublažitev tega tveganja, zagotavljanje varstva osebnih podatkov in dokazovanje skladnosti s to uredbo.

(58)

Kadar ocena učinka v zvezi z varstvom podatkov pokaže, da bi zaradi neobstoječih zaščitnih ukrepov, varnostnih ukrepov in mehanizmov za ublažitev tveganja obdelava povzročila veliko tveganje za pravice in svoboščine posameznikov, in upravljavec meni, da tveganja ni mogoče ublažiti z razumnimi sredstvi v smislu razpoložljivih tehnologij in stroškov izvajanja, bi moralo biti pred začetkom dejavnosti obdelave opravljeno posvetovanje z Evropskim nadzornikom za varstvo podatkov. Za tako veliko tveganje je verjetno, da izhaja iz določenih vrst obdelave ter določenega obsega in pogostosti obdelave, kar bi lahko povzročilo tudi škodo za pravice in svoboščine posameznika ali poseg vanje. Evropski nadzornik za varstvo podatkov bi se moral na zahtevo po posvetovanju odzvati v določenem obdobju. Vendar odsotnost odziva Evropskega nadzornika za varstvo podatkov v tem obdobju ne bi smela posegati v kakršno koli posredovanje Evropskega nadzornika za varstvo podatkov v skladu z njegovimi nalogami in pooblastili iz te uredbe, vključno s pooblastilom za prepoved dejanj obdelave. V okviru tega postopka posvetovanja bi moralo biti mogoče Evropskemu nadzorniku za varstvo podatkov predložiti rezultat ocene učinka v zvezi z varstvom podatkov, ki se izvede v zvezi z zadevno obdelavo, zlasti ukrepi, ki so predvideni za ublažitev tveganja za pravice in svoboščine posameznikov.

(59)

Da bi zagotovili skladnost načrtovane obdelave s to uredbo, zlasti kar zadeva ublažitev tveganja za posameznika, na katerega se nanašajo osebni podatki, bi moral biti Evropski nadzornik za varstvo podatkov obveščen o upravnih ukrepih in zaprošen za mnenje o notranjih predpisih, ki jih institucije in organi Unije sprejmejo v zvezi z zadevami, ki se nanašajo na njihovo delovanje, ko urejajo obdelavo osebnih podatkov, določajo pogoje za omejitev pravic posameznika, na katerega se nanašajo osebni podatki, ali predvidevajo ustrezne zaščitne ukrepe za pravice posameznika, na katerega se nanašajo osebni podatki.

(60)

Z Uredbo (EU) 2016/679 je bil ustanovljen Evropski odbor za varstvo podatkov kot neodvisni organ Unije in kot pravna oseba. Odbor bi moral prispevati k dosledni uporabi Uredbe (EU) 2016/679 in Direktive (EU) 2016/680 po vsej Uniji, tudi s svetovanjem Komisiji. Hkrati bi moral Evropski nadzornik za varstvo podatkov še naprej izvajati svojo nadzorno in svetovalno vlogo v zvezi z vsemi institucijami in organi Unije, na lastno pobudo ali na zahtevo. Za zagotovitev skladnosti pravil o varstvu podatkov po vsej Uniji, bi si morala Komisija med pripravo predlogov ali priporočil prizadevati za posvetovanje z Evropskim nadzornikom za varstvo podatkov. Posvetovanje Komisije bi moralo biti obvezno po sprejetju zakonodajnih aktov ali med pripravo delegiranih in izvedbenih aktov, kakor so opredeljeni v členih 289, 290 in 291 PDEU, ter po sprejetju priporočil in predlogov, ki se nanašajo na sporazume s tretjimi državami in mednarodnimi organizacijami, kakor je določeno v členu 218 PDEU, ki vplivajo na pravico do varstva osebnih podatkov. V takih primerih bi se morala Komisija posvetovati z Evropskim nadzornikom za varstvo podatkov, razen kadar se mora v skladu z Uredbo (EU) 2016/679 posvetovati z Evropskim odborom za varstvo podatkov, na primer o sklepih o ustreznosti ali delegiranih aktih o standardiziranih ikonah in zahtevah v zvezi z mehanizmi potrjevanja. Kadar je zadevni akt zlasti pomemben za varstvo pravic in svoboščin posameznikov pri obdelavi osebnih podatkov, bi morala Komisija imeti možnost, da se posvetuje tudi z Evropskim odborom za varstvo podatkov. V teh primerih bi moral Evropski nadzornik za varstvo podatkov kot član Evropskega odbora za varstvo podatkov svoje delo uskladiti s tem odborom, da izdata skupno mnenje. Evropski nadzornik za varstvo podatkov in, kadar je ustrezno, Evropski odbor za varstvo podatkov bi morala svoje mnenje v pisni obliki predložiti v osmih tednih. Ta časovni okvir bi moral biti krajši v nujnih primerih ali kadar je drugače primerno, na primer kadar Komisija pripravlja delegirane in izvedbene akte.

(61)

V skladu s členom 75 Uredbe (EU) 2016/679 bi moral Evropski nadzornik za varstvo podatkov zagotoviti sekretariat Evropskemu odboru za varstvo podatkov.

(62)

V vseh institucijah in organih Unije bi morala pooblaščena oseba za varstvo podatkov zagotoviti, da se določbe te uredbe uporabljajo, ter upravljavcem in obdelovalcem svetovati glede izpolnjevanja njihovih obveznosti. Ta pooblaščena oseba bi morala biti oseba s strokovnim znanjem s področja prava o varstvu podatkov in poznavanjem zadevnih praks, kar bi bilo treba določiti zlasti glede na dejanja obdelave podatkov, ki jih izvede upravljavec ali obdelovalec, in varstvo, potrebno pri osebnih podatkih, vključenih v obdelavo. Taki pooblaščeni osebi za varstvo podatkov bi moralo biti omogočeno, da svoje dolžnosti in naloge opravlja neodvisno.

(63)

Kadar se osebni podatki prenašajo iz institucij in organov Unije upravljavcem, obdelovalcem ali drugim uporabnikom v tretjih državah ali mednarodnim organizacijam, bi morala biti zagotovljena raven varstva posameznikov, ki jo v Uniji zagotavlja ta uredba. Enaka jamstva bi se morala uporabljati v primeru nadaljnjih prenosov osebnih podatkov iz tretje države ali mednarodne organizacije upravljavcem, obdelovalcem v isti ali drugi tretji državi ali mednarodni organizaciji. V vsakem primeru se lahko prenosi v tretje države in mednarodne organizacije izvajajo samo v popolni skladnosti s to uredbo in ob spoštovanju temeljnih pravic in svoboščin, zapisanih v Listini. Prenos bi se lahko izvedel le, če upravljavec ali obdelovalec v skladu z drugimi določbami te uredbe izpolnjuje pogoje iz določb te uredbe v zvezi s prenosom osebnih podatkov v tretje države ali mednarodne organizacije.

(64)

Komisija lahko na podlagi člena 45 Uredbe (EU) 2016/679 ali člena 36 Direktive (EU) 2016/680 sklene, da tretja država, ozemlje ali določen sektor v tretji državi ali mednarodna organizacija nudi ustrezno raven varstva podatkov. V takih primerih se lahko prenosi osebnih podatkov v to tretjo državo ali mednarodno organizacijo iz institucije ali organa Unije opravijo brez potrebe po pridobitvi dodatnega dovoljenja.

(65)

Če sklep o ustreznosti ni sprejet, bi moral upravljavec ali obdelovalec sprejeti ukrepe, na podlagi katerih pomanjkanje varstva podatkov v tretji državi nadomesti z ustreznimi zaščitnimi ukrepi za posameznika, na katerega se nanašajo osebni podatki. Taki ustrezni zaščitni ukrepi so lahko sestavljeni iz uporabe standardnih določil o varstvu podatkov, ki jih sprejme Komisija ali Evropski nadzornik za varstvo podatkov, ali pogodbenih določil, ki jih odobri Evropski nadzornik za varstvo podatkov. Kadar obdelovalec ni institucija ali organ Unije, so lahko navedeni ustrezni zaščitni ukrepi sestavljeni tudi iz zavezujočih poslovnih pravil, kodeksov ravnanja in mehanizmov potrjevanja, ki se uporabljajo za mednarodne prenose na podlagi Uredbe (EU) 2016/679. S temi zaščitnimi ukrepi bi bilo treba zagotoviti skladnost z zahtevami glede varstva podatkov in pravicami posameznikov, na katere se nanašajo osebni podatki, ki ustrezajo obdelavi znotraj Unije, vključno z razpoložljivostjo izvršljivih pravic posameznikov, na katere se nanašajo osebni podatki, in učinkovitih pravnih sredstev, tudi pravico do učinkovitega upravnega ali sodnega varstva ali odškodnine, v Uniji ali tretji državi. Nanašati bi se morali zlasti na skladnost s splošnimi načeli v zvezi z obdelavo osebnih podatkov ter načeli vgrajenega in privzetega varstva podatkov. Prenose z javnimi organi ali telesi v tretjih državah oziroma z mednarodnimi organizacijami z ustreznimi nalogami ali funkcijami lahko opravijo tudi institucije in organi Unije, tudi na podlagi določb, ki se vključijo v upravne dogovore, kot je memorandum o soglasju, s katerimi se zagotavljajo izvršljive in učinkovite pravice posameznikov, na katere se nanašajo osebni podatki. Kadar so zaščitni ukrepi določeni v upravnih dogovorih, ki niso pravno zavezujoči, bi bilo treba pridobiti dovoljenje Evropskega nadzornika za varstvo podatkov.

(66)

Možnost, ki jo ima upravljavec ali obdelovalec glede uporabe standardnih določil o varstvu podatkov, ki jih sprejme Komisija ali Evropski nadzornik za varstvo podatkov, upravljavcem ali obdelovalcem ne bi smela preprečiti niti, da standardna določila o varstvu podatkov vključijo v obsežnejšo pogodbo, kot je pogodba med obdelovalcem in drugim obdelovalcem, niti, da dodajo druga določila ali dodatne zaščitne ukrepe, če ti neposredno ali posredno ne nasprotujejo standardnim pogodbenim določilom Komisije ali Evropskega nadzornika za varstvo podatkov ali posegajo v temeljne pravice ali svoboščine posameznikov, na katere se nanašajo osebni podatki. Upravljavce in obdelovalce bi bilo treba spodbujati, da vzpostavijo dodatne zaščitne ukrepe s pomočjo pogodbenih obveznosti, ki bi dopolnjevale standardna določila o varstvu podatkov.

(67)

Nekatere tretje države sprejemajo zakone, predpise in druge pravne akte, ki neposredno urejajo dejavnosti obdelave institucij in organov Unije. To lahko vključuje sodbe sodišč ali odločbe upravnih organov tretjih držav, ki od upravljavca ali obdelovalca zahtevajo prenos ali razkritje osebnih podatkov in ki ne temeljijo na mednarodnem sporazumu, sklenjenem med tretjo državo prosilko in Unijo. Zunajozemeljska uporaba teh zakonov, predpisov in drugih pravnih aktov lahko krši mednarodno pravo in ovira doseganje varstva posameznikov, ki ga v Uniji zagotavlja ta uredba. Prenosi bi smeli biti dovoljeni samo, kadar so izpolnjeni pogoji iz te uredbe za prenos v tretje države. To je lahko med drugim v primeru, kadar je razkritje potrebno zaradi pomembnega javnega interesa, priznanega s pravom Unije.

(68)

V posebnih primerih bi morala biti predvidena možnost prenosov v določenih okoliščinah, kadar je posameznik, na katerega se nanašajo osebni podatki, dal svojo izrecno privolitev, kadar je prenos občasen in potreben zaradi pogodbe ali pravnega zahtevka, ne glede na to, ali gre za sodni postopek ali upravni ali kateri koli izvensodni postopek, vključno s postopki pred regulativnimi organi. Možnost prenosov bi morala biti predvidena tudi, kadar to zahtevajo pomembni razlogi v javnem interesu, določeni s pravom Unije, ali kadar je prenos izveden iz registra, vzpostavljenega z zakonom in namenjenega vpogledu javnosti ali oseb z zakonitim interesom. V slednjem primeru tak prenos ne bi smel vključevati celotnih osebnih podatkov ali celotnih vrst podatkov, ki jih vsebuje register, razen če to dovoljuje pravo Unije, in kadar je register namenjen vpogledu oseb, ki imajo zakoniti interes, bi bilo treba prenos opraviti samo na zahtevo teh oseb ali če bodo te osebe uporabniki, pri čemer je treba v celoti upoštevati interese in temeljne pravice posameznikov, na katere se nanašajo osebni podatki.

(69)

Ta odstopanja bi se morala uporabljati zlasti za prenose podatkov, ki so zahtevani in potrebni zaradi pomembnih razlogov javnega interesa, kot v primeru mednarodne izmenjave podatkov med institucijami in organi Unije ter organi za varstvo konkurence, davčnimi ali carinskimi upravami, finančnimi nadzornimi organi in službami, pristojnimi za zadeve na področju socialne varnosti ali javnega zdravja, denimo v primeru sledenja stikov za nalezljive bolezni ali zaradi zmanjšanja in/ali odprave uporabe nedovoljenih poživil v športu. Prenos osebnih podatkov bi moral prav tako veljati za zakonitega, kadar je treba zaščititi ključni interes posameznika, na katerega se nanašajo osebni podatki, ali interese življenjskega pomena za druge osebe, vključno s telesno nedotakljivostjo ali življenjem, če posameznik, na katerega se nanašajo osebni podatki, ni sposoben dati privolitve. Če sklepa o ustreznosti ni, se lahko v pravu Unije zaradi pomembnih razlogov javnega interesa izrecno določijo omejitve prenosa posebnih kategorij podatkov v tretjo državo ali mednarodno organizacijo. Vsak prenos osebnih podatkov posameznika, na katerega se nanašajo osebni podatki in ki fizično ali pravno ni sposoben dati privolitve, mednarodni humanitarni organizaciji, ki se opravi z namenom izvajanja naloge v skladu z Ženevskimi konvencijami ali za skladnost z mednarodnim humanitarnim pravom, ki se uporablja za oborožene spore, bi se lahko štel za potrebnega, če je v pomembnem javnem interesu ali življenjskega interesa za posameznika, na katerega se nanašajo osebni podatki.

(70)

V vsakem primeru bi moral upravljavec ali obdelovalec, če Komisija ni sprejela sklepa o ustrezni ravni varstva podatkov v tretji državi, uporabiti rešitve, ki posameznikom, na katere se nanašajo osebni podatki, zagotavljajo izvršljive in učinkovite pravice glede obdelave njihovih podatkov v Uniji po prenosu teh podatkov, tako da lahko še vedno uresničujejo temeljne pravice in zaščitne ukrepe.

(71)

Pri čezmejnem prenosu osebnih podatkov zunaj Unije se lahko poveča tveganje v zvezi z zmožnostjo posameznikov za uresničevanje pravic do varstva podatkov, zlasti da se zaščitijo pred nezakonito uporabo ali razkritjem navedenih podatkov. Hkrati lahko nacionalni nadzorni organi in Evropski nadzornik za varstvo podatkov ugotovijo, da ne morejo obravnavati pritožb ali izvesti preiskav v zvezi z dejavnostmi zunaj svoje pristojnosti. Njihova prizadevanja za čezmejno sodelovanje lahko ovirajo tudi nezadostna pooblastila za preprečevanje kršitev ali njihovo odpravo, neskladne pravne ureditve in praktične ovire, na primer omejitev virov. Zato bi bilo treba spodbujati tesnejše sodelovanje med Evropskim nadzornikom za varstvo podatkov in nacionalnimi nadzornimi organi, da bi jim pomagali izmenjavati informacije s tujimi nadzornimi organi za varstvo podatkov.

(72)

Ustanovitev Evropskega nadzornika za varstvo podatkov z Uredbo (ES) št. 45/2001, ki je pooblaščen, da svoje naloge in pooblastila izvaja popolnoma neodvisno, je bistveni del varstva posameznikov pri obdelavi njihovih osebnih podatkov. Ta uredba bi morala dodatno okrepiti in pojasniti njegovo vlogo in neodvisnost. Evropski nadzornik za varstvo podatkov bi moral biti oseba, katere neodvisnost je nedvomna in ki ima priznane izkušnje in strokovnost, potrebne za opravljanje dolžnosti Evropskega nadzornika za varstvo podatkov, na primer zato, ker deluje ali je delovala v okviru enega od nadzornih organov iz člena 51 Uredbe (EU) 2016/679.

(73)

Da se zagotovi dosledno spremljanje in izvajanje pravil o varstvu podatkov v vsej Uniji, bi moral imeti Evropski nadzornik za varstvo podatkov enake naloge in učinkovita pooblastila kot nacionalni nadzorni organi, vključno s pooblastili za preiskovanje, popravljalnimi pooblastili in sankcijami ter pooblastili v zvezi z dovoljenji in svetovalnimi pristojnostmi, zlasti v primerih pritožb posameznikov, pooblastila za opozarjanje Sodišča na kršitve te uredbe ter pooblastila za sodelovanje v sodnih postopkih v skladu s primarno zakonodajo. Taka pooblastila bi morala vključevati tudi pooblastilo za uvedbo začasne ali dokončne omejitve ali prepoved obdelave. Da bi se preprečili nepotrebni stroški in pretirane nevšečnosti za vpletene osebe, za katere bi lahko imeli ukrepi Evropskega nadzornika za varstvo podatkov negativne posledice, bi moral biti vsak tak ukrep ustrezen, potreben in sorazmeren, da se zagotovi skladnost s to uredbo, pri tem pa bi se morale upoštevati okoliščine posameznega primera in spoštovati pravica vsake osebe, da izrazi svoje mnenje, preden se sprejme kakršen koli zadevni posamezni ukrep. Vsak pravno zavezujoč ukrep Evropskega nadzornika za varstvo podatkov bi moral biti v pisni obliki, jasen in nedvoumen, v njem bi moral biti naveden datum izdaje ukrepa, podpisati bi ga moral Evropski nadzornik za varstvo podatkov, vsebovati pa bi moral razloge za ukrep in sklic na pravico do učinkovitega pravnega sredstva.

(74)

Nadzorna pristojnost Evropskega nadzornika za varstvo podatkov ne bi smela vključevati obdelave osebnih podatkov s strani Sodišča, kadar deluje kot sodni organ, da se zaščiti neodvisnost Sodišča pri opravljanju sodnih nalog, vključno z odločanjem. Za takšna dejanja obdelave bi moralo Sodišče vzpostaviti neodvisen nadzor v skladu s členom 8(3) Listine, na primer prek notranjega mehanizma.

(75)

Odločitve Evropskega nadzornika za varstvo podatkov glede izjem, garancij, odobritev in pogojev v zvezi z dejanji obdelave podatkov, kakor je opredeljeno v tej uredbi, bi bilo treba objaviti v poročilu o dejavnostih. Ne glede na objavo letnega poročila o dejavnostih lahko Evropski nadzornik za varstvo podatkov objavi poročila o posameznih temah.

(76)

Evropski nadzornik za varstvo podatkov bi moral spoštovati Uredbo (ES) št. 1049/2001 Evropskega parlamenta in Sveta (9).

(77)

Nacionalni nadzorni organi spremljajo uporabo Uredbe (EU) 2016/679 in prispevajo k njeni dosledni uporabi po vsej Uniji, da bi varovali posameznike pri obdelavi njihovih osebnih podatkov in olajšali prosti pretok osebnih podatkov na notranjem trgu. Za večjo skladnost uporabe pravil o varstvu podatkov, ki se uporabljajo v državah članicah, in pravil o varstvu podatkov, ki se uporabljajo za institucije in organe Unije, bi moral Evropski nadzornik za varstvo podatkov učinkovito sodelovati z nacionalnimi nadzornimi organi.

(78)

Pravo Unije v nekaterih okoliščinah določa model usklajenega nadzora, ki ga uporabljajo Evropski nadzornik za varstvo podatkov in nacionalni nadzorni organi. Evropski nadzornik za varstvo podatkov je tudi nadzorni organ Europola in v te namene je bil v okviru odbora za sodelovanje s svetovalno vlogo vzpostavljen poseben model za sodelovanje z nacionalnimi nadzornimi organi. Da se izboljšata učinkovit nadzor in izvajanje materialnih pravil o varstvu podatkov, bi bilo treba v Uniji uvesti enoten, skladen model usklajenega nadzora. Komisija bi morala zato, kadar je primerno, predložiti zakonodajne predloge za spremembo pravnih aktov Unije, ki določajo model usklajenega nadzora, da se uskladijo z modelom usklajenega nadzora iz te uredbe. Evropski odbor za varstvo podatkov bi moral biti enotni forum za zagotavljanje učinkovitega usklajenega splošnega nadzora.

(79)

Vsak posameznik, na katerega se nanašajo osebni podatki, bi moral imeti pravico, da vloži pritožbo pri Evropskem nadzorniku za varstvo podatkov, in pravico do učinkovitega pravnega sredstva pred Sodiščem v skladu s Pogodbama, kadar meni, da so njegove pravice iz te uredbe kršene, ali če Evropski nadzornik za varstvo podatkov ne obravnava pritožbe, jo v celoti ali deloma zavrže ali zavrne ali ne ukrepa, kadar je tak ukrep potreben za varstvo pravic posameznika, na katerega se nanašajo osebni podatki. Preiskavo na podlagi pritožbe bi bilo treba izvesti v obsegu, ki je v posamezni zadevi ustrezen, saj je lahko odločitev nadzornega organa predmet sodne presoje. Evropski nadzornik za varstvo podatkov bi moral posameznika, na katerega se nanašajo osebni podatki, v razumnem roku obvestiti o stanju zadeve in o odločitvi o pritožbi. Če se mora Evropski nadzornik za varstvo podatkov dodatno uskladiti z nacionalnim nadzornim organom, bi bilo treba posamezniku, na katerega se nanašajo osebni podatki, posredovati informacije o stanju zadeve med postopkom. Za poenostavitev postopka vložitve pritožbe bi moral Evropski nadzornik za varstvo podatkov sprejeti ukrepe, na primer za zagotovitev obrazca za vložitev pritožbe, ki se lahko izpolni tudi elektronsko, pri čemer niso izključena druga komunikacijska sredstva.

(80)

Vsak posameznik, ki je utrpel premoženjsko ali nepremoženjsko škodo kot posledico kršitve te uredbe, bi moral imeti pravico, da pod pogoji iz Pogodb od upravljavca ali obdelovalca dobi odškodnino za nastalo škodo.

(81)

Da bi se okrepila nadzorna vloga Evropskega nadzornika za varstvo podatkov in učinkovito izvrševanje te uredbe, bi moral imeti Evropski nadzornik za varstvo podatkov kot zadnjo možnost pooblastilo za naložitev upravnih glob. Globe bi morale biti namenjene temu, da se zaradi neskladnosti s to uredbo ter za odvračanje od prihodnjih kršitev te uredbe in spodbujanje kulture varstva osebnih podatkov v institucijah in organih Unije namesto posameznikov kaznuje institucija ali organ. Ta uredba bi morala navajati kršitve, za katere se uporabljajo upravne globe, zgornjo mejo in merila za določanje s tem povezanih glob. Znesek globe bi moral v vsakem posameznem primeru določiti Evropski nadzornik za varstvo podatkov ob upoštevanju vseh zadevnih okoliščin v določeni situaciji ter narave, teže in trajanja kršitve, njenih posledic in sprejetih ukrepov za zagotavljanje skladnosti z obveznostmi iz te uredbe ter za preprečitev ali ublažitev posledic kršitve. Evropski nadzornik za varstvo podatkov bi moral pri naložitvi upravne globe instituciji ali organu Unije upoštevati sorazmernost zneska globe. Upravni postopek za naložitev glob institucijam in organom Unije bi moral upoštevati splošna načela prava Unije, kakor jih razlaga Sodišče.

(82)

Kadar posameznik, na katerega se nanašajo osebni podatki, meni, da so bile kršene njegove pravice iz te uredbe, bi moral imeti pravico, da pooblasti organ, organizacijo ali združenje, ki je nepridobitne narave, ustanovljeno v skladu s pravom Unije ali pravom države članice, katerega statutarno določeni cilji so v javnem interesu ter je dejavno na področju varstva osebnih podatkov, da v njegovem imenu vloži pritožbo pri Evropskem nadzorniku za varstvo podatkov. Tak organ, organizacija ali združenje bi moralo imeti tudi možnost, da uveljavlja pravico do pravnega sredstva v imenu posameznikov, na katere se nanašajo osebni podatki, ali da uveljavlja pravico do odškodnine v imenu posameznikov, na katere se nanašajo osebni podatki.

(83)

Uradnik ali drug uslužbenec Evropske unije, ki ne izpolnjuje obveznosti iz te uredbe, bi moral biti disciplinsko ali kako drugače odgovoren v skladu s pravili in postopki, določenimi v Kadrovskih predpisih za uradnike Evropske unije in Pogojih za zaposlitev drugih uslužbencev Unije, določenih v Uredbi Sveta (EGS, Euratom, ESPJ) št. 259/68 (10) (v nadaljnjem besedilu: Kadrovski predpisi).

(84)

Za zagotovitev enotnih pogojev izvajanja te uredbe bi bilo treba na Komisijo prenesti izvedbena pooblastila. Ta pooblastila bi bilo treba izvajati v skladu z Uredbo (EU) št. 182/2011 Evropskega parlamenta in Sveta (11). Postopek pregleda bi se moral uporabiti za sprejetje standardnih pogodbenih določil med upravljavci in obdelovalci ter med obdelovalci, za sprejetje seznama dejanj obdelave, kadar se morajo upravljavci, ki osebne podatke obdelujejo za opravljanje naloge v javnem interesu, predhodno posvetovati z Evropskim nadzornikom za varstvo podatkov, in za sprejetje standardnih pogodbenih določil, ki zagotavljajo ustrezne zaščitne ukrepe za mednarodne prenose.

(85)

Zaupne informacije, ki jih statistični organi Unije in nacionalni statistični organi zberejo zaradi priprave uradne evropske in nacionalne statistike, bi bilo treba zaščititi. Evropsko statistiko bi bilo treba razvijati, pripravljati in razširjati v skladu s statističnimi načeli iz člena 338(2) PDEU. V Uredbi (ES) št. 223/2009 Evropskega parlamenta in Sveta (12) so določene nadaljnje natančnejše ureditve glede statistične zaupnosti evropske statistike.

(86)

Uredbo (ES) št. 45/2001 in Sklep št. 1247/2002/ES Evropskega parlamenta, Sveta in Komisije (13) bi bilo treba razveljaviti. Sklicevanje na razveljavljeno uredbo in razveljavljeni sklep bi bilo treba šteti kot sklicevanje na to uredbo.

(87)

Da se zaščiti popolna neodvisnost članov neodvisnega nadzornega organa, ta uredba ne bi smela vplivati na mandata sedanjega evropskega nadzornika za varstvo podatkov in sedanjega pomočnika nadzornika. Sedanji pomočnik nadzornika bi moral še naprej opravljati svojo funkcijo do konca svojega mandata, razen če je izpolnjen eden od pogojev iz te uredbe za predčasno prenehanje mandata evropskega nadzornika za varstvo podatkov. Zadevne določbe te uredbe bi se morale za pomočnika nadzornika uporabljati do konca njegovega mandata.

(88)

Da bi se dosegla osnovni cilj zagotovitve enakovredne ravni varstva posameznikov pri obdelavi osebnih podatkov in prosti pretok osebnih podatkov po vsej Uniji, je v skladu z načelom sorazmernosti potrebno in primerno določiti pravila o obdelavi osebnih podatkov v institucijah in organih Unije. V skladu s členom 5(4) PEU ta uredba ne presega tistega, kar je potrebno za doseganje zastavljenih ciljev.

(89)

Opravljeno je bilo posvetovanje z Evropskim nadzornikom za varstvo podatkov v skladu s členom 28(2) Uredbe (ES) št. 45/2001, ki je mnenje podal 15. marca 2017 (14) –