DIRECTIVE 95/46/EC OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL

Az Európai Parlament és a Tanács 95/46/EK irányelve

of 24 October 1995

(1995. október 24.)

on the protection of individuals with regard to the processing of personal data and on the free movement of such data

a személyes adatok feldolgozása vonatkozásában az egyének védelméről és az ilyen adatok szabad áramlásáról

AZ EURÓPAI PARLAMENT ÉS AZ EURÓPAI UNIÓ TANÁCSA,

THE EUROPEAN PARLIAMENT AND THE COUNCIL OF THE EUROPEAN UNION,

tekintettel az Európai Közösséget létrehozó szerződésre és különösen annak 100a. cikkére,

Having regard to the Treaty establishing the European Community, and in particular Article 100a thereof,

tekintettel a Bizottság javaslatára [1],

Having regard to the proposal from the Commission (1),

tekintettel a Gazdasági és Szociális Bizottság véleményére [2],

Having regard to the opinion of the Economic and Social Committee (2),

a Szerződés 189b. cikkében megállapított eljárásnak megfelelően [3],

Acting in accordance with the procedure referred to in Article 189b of the Treaty (3),

(1) mivel a Közösségnek a Szerződésben megállapított, és az Európai Unióról szóló szerződés által módosított célkitűzései között szerepel az Európa népei közötti egyre szorosabb egység megteremtése, a Közösséghez tartozó államok közötti szorosabb kapcsolatok szorgalmazása, az Európát megosztó határok felszámolására tett közös intézkedések megtételével a gazdasági és társadalmi fejlődés biztosítása, az európai népek életkörülményei javításának folyamatos ösztönzése, a béke és a szabadság megőrzése, valamint megszilárdítása, továbbá a demokrácia biztosítása azon alapvető jogok alapján, amelyeket a tagállamok alkotmánya, jogszabályai, valamint az emberi jogok és alapvető szabadságok védelméről szóló európai egyezmény elismer;

(1) Whereas the objectives of the Community, as laid down in the Treaty, as amended by the Treaty on European Union, include creating an ever closer union among the peoples of Europe, fostering closer relations between the States belonging to the Community, ensuring economic and social progress by common action to eliminate the barriers which divide Europe, encouraging the constant improvement of the living conditions of its peoples, preserving and strengthening peace and liberty and promoting democracy on the basis of the fundamental rights recognized in the constitution and laws of the Member States and in the European Convention for the Protection of Human Rights and Fundamental Freedoms;

(2) mivel az adatfeldolgozási rendszerek célja az emberek szolgálata; mivel a természetes személyek nemzetiségétől és lakóhelyétől függetlenül tiszteletben kell tartaniuk e személyek alapvető jogait és szabadságait, különösen a magánélet tiszteletben tartásához való jogukat, és hozzá kell járulniuk a gazdasági és társadalmi fejlődéshez, a kereskedelem fejlődéséhez, valamint az egyének jólétéhez;

(2) Whereas data-processing systems are designed to serve man; whereas they must, whatever the nationality or residence of natural persons, respect their fundamental rights and freedoms, notably the right to privacy, and contribute to economic and social progress, trade expansion and the well-being of individuals;

(3) mivel egy olyan belső piac kialakítása és működése, amelyben a Szerződés 7a. cikkének megfelelően biztosított az áruk, a személyek, a szolgáltatások és a tőke szabad mozgása, nem csak azt kívánja meg, hogy a személyes adatok szabadon áramolhassanak egyik tagállamból a másikba, hanem azt is, hogy az egyének alapvető jogai biztosítva legyenek;

(3) Whereas the establishment and functioning of an internal market in which, in accordance with Article 7a of the Treaty, the free movement of goods, persons, services and capital is ensured require not only that personal data should be able to flow freely from one Member State to another, but also that the fundamental rights of individuals should be safeguarded;

(4) mivel a Közösségben a gazdasági és társadalmi tevékenység számos területén egyre többször folyamodnak a személyes adatok feldolgozásához; mivel az informatika terén elért haladás az ilyen adatok feldolgozását és cseréjét lényegesen megkönnyíti;

(4) Whereas increasingly frequent recourse is being had in the Community to the processing of personal data in the various spheres of economic and social activity; whereas the progress made in information technology is making the processing and exchange of such data considerably easier;

(5) mivel a Szerződés 7a. cikke értelmében a belső piac kialakításából és működéséből eredő gazdasági és társadalmi integráció szükségszerűen a személyes adatok határokon keresztüli áramlásának lényeges növekedéséhez fog vezetni mindazok között, akik a tagállamokban magán- vagy állami szinten gazdasági vagy társadalmi tevékenységben vesznek részt; mivel a személyes adatok cseréje a különböző tagállamokban letelepedett vállalkozások között emelkedő tendenciát mutat; mivel a különböző tagállamok nemzeti hatóságai a közösségi jog értelmében kötelesek olyan mértékben együttműködni és személyes adatokat cserélni, ami lehetővé teszi számukra feladataik ellátását, vagy a fellépést egy másik tagállam hatósága nevében a belső piac által képezett belső határok nélküli térség keretében;

(5) Whereas the economic and social integration resulting from the establishment and functioning of the internal market within the meaning of Article 7a of the Treaty will necessarily lead to a substantial increase in cross-border flows of personal data between all those involved in a private or public capacity in economic and social activity in the Member States; whereas the exchange of personal data between undertakings in different Member States is set to increase; whereas the national authorities in the various Member States are being called upon by virtue of Community law to collaborate and exchange personal data so as to be able to perform their duties or carry out tasks on behalf of an authority in another Member State within the context of the area without internal frontiers as constituted by the internal market;

(6) mivel ezenfelül a növekvő tudományos és műszaki együttműködés és az új telekommunikációs hálózatok összehangolt bevezetése a Közösségben szükségessé teszi, és megkönnyíti a személyes adatok határokon keresztül történő áramlását;

(6) Whereas, furthermore, the increase in scientific and technical cooperation and the coordinated introduction of new telecommunications networks in the Community necessitate and facilitate cross-border flows of personal data;

(7) mivel az egyes tagállamokban végzett személyesadat-feldolgozás terén az egyének jogai és szabadságai, különösen a magánélet tiszteletben tartásához való jog védelmének szintjei közötti eltérések akadályozhatják az ilyen adatok egyik tagállamból a másikba történő továbbítását; mivel ebből eredően ezek az eltérések akadályt jelentenek számos közösségi szintű gazdasági tevékenység elvégzésében, torzítják a versenyt, és hátráltatják a hatóságokat a közösségi jog szerinti feladataik teljesítésében; mivel a védelmi szintek közötti ezen eltérések a nemzeti törvényi, rendeleti és közigazgatási rendelkezések sokféleségének tulajdoníthatók;

(7) Whereas the difference in levels of protection of the rights and freedoms of individuals, notably the right to privacy, with regard to the processing of personal data afforded in the Member States may prevent the transmission of such data from the territory of one Member State to that of another Member State; whereas this difference may therefore constitute an obstacle to the pursuit of a number of economic activities at Community level, distort competition and impede authorities in the discharge of their responsibilities under Community law; whereas this difference in levels of protection is due to the existence of a wide variety of national laws, regulations and administrative provisions;

(8) mivel a személyes adatok áramlása előtti akadályok elhárítása érdekében az egyének jogai és szabadságai védelmének szintje az ilyen adatok feldolgozása terén azonos kell legyen minden tagállamban; mivel ez a célkitűzés alapvető fontosságú a belső piac szempontjából, de a tagállamok egyedül nem tudják azt megvalósítani, főként a tagállamok vonatkozó jogszabályai között jelenleg fennálló eltérések miatt, és ezért össze kell hangolni a tagállamok jogszabályait ahhoz, hogy biztosított legyen a személyes adatok határokon keresztül történő áramlásának a Szerződés 7a. cikkében meghatározott belső piac céljának megfelelő következetes szabályozása; mivel ezért szükség van az említett jogszabályok közelítését célzó közösségi fellépésre;

(8) Whereas, in order to remove the obstacles to flows of personal data, the level of protection of the rights and freedoms of individuals with regard to the processing of such data must be equivalent in all Member States; whereas this objective is vital to the internal market but cannot be achieved by the Member States alone, especially in view of the scale of the divergences which currently exist between the relevant laws in the Member States and the need to coordinate the laws of the Member States so as to ensure that the cross-border flow of personal data is regulated in a consistent manner that is in keeping with the objective of the internal market as provided for in Article 7a of the Treaty; whereas Community action to approximate those laws is therefore needed;

(9) mivel a nemzeti jogszabályok közelítéséből következő azonos szintű védelemre tekintettel a tagállamok már nem akadályozhatják meg a személyes adatok szabad áramlását egymás között az egyének jogai és szabadságai, különösen a magánélet tiszteletben tartásához való jog védelmére hivatkozva; mivel a tagállamoknak marad annyi mozgástere, amelyet ezen irányelv végrehajtása során az üzleti és szociális partnerek kihasználhatnak; mivel a tagállamok ezáltal nemzeti jogszabályaikban meg tudják majd határozni az adatfeldolgozás törvényességére vonatkozó általános feltételeket; mivel eközben a tagállamoknak törekedniük kell a jogalkotásuk által jelenleg biztosított védelem szintjének javítására; mivel az említett mozgástér keretein belül, és a közösségi joggal összhangban különbségek merülhetnek fel ezen irányelv végrehajtása során, ami hatással lehet az adatáramlásra akár egy tagállamon belül, akár a Közösségen belül;

(9) Whereas, given the equivalent protection resulting from the approximation of national laws, the Member States will no longer be able to inhibit the free movement between them of personal data on grounds relating to protection of the rights and freedoms of individuals, and in particular the right to privacy; whereas Member States will be left a margin for manoeuvre, which may, in the context of implementation of the Directive, also be exercised by the business and social partners; whereas Member States will therefore be able to specify in their national law the general conditions governing the lawfulness of data processing; whereas in doing so the Member States shall strive to improve the protection currently provided by their legislation; whereas, within the limits of this margin for manoeuvre and in accordance with Community law, disparities could arise in the implementation of the Directive, and this could have an effect on the movement of data within a Member State as well as within the Community;

(10) mivel a személyes adatok feldolgozására vonatkozó nemzeti jogszabályok célja az alapvető jogok és szabadságok, különösen a magánélet tiszteletben tartásához való jog védelme, amelyet mind az emberi jogok és alapvető szabadságok védelméről szóló európai egyezmény 8. cikke, mind a közösségi jog általános alapelvei elismernek; mivel ezért az említett jogszabályok közelítése nem vezethet az általuk nyújtott védelem szintjének csökkenéséhez, sőt, magas védelmi szintet kell biztosítson a Közösségen belül;

(10) Whereas the object of the national laws on the processing of personal data is to protect fundamental rights and freedoms, notably the right to privacy, which is recognized both in Article 8 of the European Convention for the Protection of Human Rights and Fundamental Freedoms and in the general principles of Community law; whereas, for that reason, the approximation of those laws must not result in any lessening of the protection they afford but must, on the contrary, seek to ensure a high level of protection in the Community;

(11) mivel az egyének jogai és szabadságai védelmének elvei, különösen a magánélet tiszteletben tartásához való jog védelmének elve, amelyeket ez az irányelv tartalmaz, tartalmat adnak és kiegészítik azokat, amelyeket az Európa Tanács 1981. január 28-i, az egyéneknek a személyes adataik gépi feldolgozása során való védelméről szóló egyezménye tartalmaz;

(11) Whereas the principles of the protection of the rights and freedoms of individuals, notably the right to privacy, which are contained in this Directive, give substance to and amplify those contained in the Council of Europe Convention of 28 January 1981 for the Protection of Individuals with regard to Automatic Processing of Personal Data;

(12) mivel a védelem elveit minden olyan személy által végzett személyesadat-feldolgozásra alkalmazni kell, akinek tevékenységére a közösségi jogszabályok vonatkoznak; mivel ki kell zárni a természetes személyek által végzett adatfeldolgozást, amennyiben azt kizárólag személyes vagy házi használatra, például levelezés, vagy címjegyzékek vezetése során végzik;

(12) Whereas the protection principles must apply to all processing of personal data by any person whose activities are governed by Community law; whereas there should be excluded the processing of data carried out by a natural person in the exercise of activities which are exclusively personal or domestic, such as correspondence and the holding of records of addresses;

(13) mivel az Európai Unióról szóló szerződés V. és VI. címében említett, a közbiztonsággal, védelemmel, nemzetbiztonsággal kapcsolatos tevékenységek, vagy az adott állam büntetőjog területén végzett tevékenységei kívül esnek a közösségi jogszabályok hatályán, a tagállamokra az Európai Közösséget létrehozó szerződés 56. cikke (2) bekezdésének, 57. cikkének vagy 100a. cikkének értelmében háruló kötelezettségek sérelme nélkül; mivel az államok gazdasági jólétének megőrzéséhez szükséges személyesadat-feldolgozás nem tartozik ezen irányelv hatálya alá, amennyiben az ilyen adatfeldolgozás nemzetbiztonsági ügyekhez kapcsolódik;

(13) Whereas the acitivities referred to in Titles V and VI of the Treaty on European Union regarding public safety, defence, State security or the acitivities of the State in the area of criminal laws fall outside the scope of Community law, without prejudice to the obligations incumbent upon Member States under Article 56 (2), Article 57 or Article 100a of the Treaty establishing the European Community; whereas the processing of personal data that is necessary to safeguard the economic well-being of the State does not fall within the scope of this Directive where such processing relates to State security matters;

(14) mivel a természetes személyek hang- és képadatainak felvételére, továbbítására, feldolgozására, rögzítésére, tárolására és közlésére használatos módszereknek az információs társadalom keretén belül történő fejlesztésének fontosságát figyelembe véve ennek az irányelvnek alkalmazhatónak kell lennie az ilyen adatokhoz kapcsolódó feldolgozásra;

(14) Whereas, given the importance of the developments under way, in the framework of the information society, of the techniques used to capture, transmit, manipulate, record, store or communicate sound and image data relating to natural persons, this Directive should be applicable to processing involving such data;

(15) mivel az ilyen adatok feldolgozására ez az irányelv csak akkor terjed ki, ha az automatizált módon történik, vagy ha a feldolgozott adatokat egy egyénekhez kapcsolódó speciális szempontok szerint strukturált nyilvántartási rendszerben tárolják, vagy kívánják tárolni a szóban forgó személyes adatokhoz való könnyű hozzáférés lehetővé tétele érdekében;

(15) Whereas the processing of such data is covered by this Directive only if it is automated or if the data processed are contained or are intended to be contained in a filing system structured according to specific criteria relating to individuals, so as to permit easy access to the personal data in question;

(16) mivel a hang- és képadatok feldolgozása, például a videokamerás megfigyelőrendszerek esetében, nem tartozik ennek az irányelvnek a hatáskörébe, amennyiben az adatfeldolgozást közbiztonsági, honvédelmi, nemzetbiztonsági célból, vagy az adott állam büntetőjog területén végzett, illetve más, a közösségi jog hatálya alá nem tartozó tevékenységei során végzik;

(16) Whereas the processing of sound and image data, such as in cases of video surveillance, does not come within the scope of this Directive if it is carried out for the purposes of public security, defence, national security or in the course of State activities relating to the area of criminal law or of other activities which do not come within the scope of Community law;

(17) mivel az újságírás, az irodalmi, vagy művészi kifejezés céljából végzett hang-, vagy képadatok feldolgozását tekintve, különösen audiovizuális téren az irányelv alapelveit korlátozott módon kell alkalmazni, a 9. cikkben megállapított rendelkezésekkel összhangban;

(17) Whereas, as far as the processing of sound and image data carried out for purposes of journalism or the purposes of literary or artistic expression is concerned, in particular in the audiovisual field, the principles of the Directive are to apply in a restricted manner according to the provisions laid down in Article 9;

(18) mivel annak biztosítása érdekében, hogy az egyéneket ne lehessen megfosztani attól a védelemtől, amelyre az irányelv értelmében jogosultak, a Közösség területén végzett minden személyesadat-feldolgozási tevékenységet a tagállamok valamelyikének jogszabályai szerint kell végrehajtani; mivel ezzel összefüggésben, a valamely tagállamban letelepedett adatkezelő felelőssége mellett végzett adatfeldolgozásra ennek a tagállamnak a jogszabályai vonatkoznak;

(18) Whereas, in order to ensure that individuals are not deprived of the protection to which they are entitled under this Directive, any processing of personal data in the Community must be carried out in accordance with the law of one of the Member States; whereas, in this connection, processing carried out under the responsibility of a controller who is established in a Member State should be governed by the law of that State;

(19) mivel a valamely tagállamban való letelepedés magában foglalja a tevékenység tényleges gyakorlását tartós jelleggel; mivel e letelepedés – legyen akár egyszerűen fióktelep, akár jogi személyiséggel rendelkező leányvállalat – jogi formája e tekintetben nem meghatározó tényező; mivel ha egy adatkezelő több tagállamban is letelepedett, főként leányvállalatok révén, a nemzeti szabályozás megkerülésének kizárása érdekében gondoskodnia kell arról, hogy minden egyes szervezete megfeleljen a tevékenységére alkalmazandó nemzeti jogszabályok által meghatározott kötelezettségeknek;

(19) Whereas establishment on the territory of a Member State implies the effective and real exercise of activity through stable arrangements; whereas the legal form of such an establishment, whether simply branch or a subsidiary with a legal personality, is not the determining factor in this respect; whereas, when a single controller is established on the territory of several Member States, particularly by means of subsidiaries, he must ensure, in order to avoid any circumvention of national rules, that each of the establishments fulfils the obligations imposed by the national law applicable to its activities;

(20) mivel az a tény, hogy az adatfeldolgozást valamely harmadik országban letelepedett személy végzi, nem gátolhatja az egyéneknek ebben az irányelvben előírt védelmét; mivel ilyen esetekben az adatfeldolgozásra annak a tagállamnak a jogszabályai irányadóak, amelyben az alkalmazott eszközök találhatók, továbbá garanciákat kell találni arra, hogy ezen irányelvben meghatározott jogok és kötelezettségek a gyakorlatban is érvényesüljenek;

(20) Whereas the fact that the processing of data is carried out by a person established in a third country must not stand in the way of the protection of individuals provided for in this Directive; whereas in these cases, the processing should be governed by the law of the Member State in which the means used are located, and there should be guarantees to ensure that the rights and obligations provided for in this Directive are respected in practice;

(21) mivel ez az irányelv nem érinti a büntetőügyekben alkalmazandó territorialitási szabályokat;

(21) Whereas this Directive is without prejudice to the rules of territoriality applicable in criminal matters;

(22) mivel a tagállamoknak jogszabályaik kibocsátásánál, illetve az irányelv értelmében meghozott intézkedések hatálybaléptetésekor pontosabban meg kell határozniuk azokat az általános feltételeket, amelyek mellett az adatfeldolgozás jogszerű; mivel különösen az 5. cikk, a 7. és a 8. cikkel összefüggésben, az általános szabályoktól függetlenül, megengedi a tagállamoknak, hogy különleges adatfeldolgozási feltételeket rendeljenek el meghatározott ágazatok, és a 8. cikk hatálya alá tartozó különféle adatkategóriák esetében;

(22) Whereas Member States shall more precisely define in the laws they enact or when bringing into force the measures taken under this Directive the general circumstances in which processing is lawful; whereas in particular Article 5, in conjunction with Articles 7 and 8, allows Member States, independently of general rules, to provide for special processing conditions for specific sectors and for the various categories of data covered by Article 8;

(23) mivel a tagállamok az egyének védelmének megvalósításáról gondoskodhatnak mind a személyes adatok feldolgozása vonatkozásában az egyének védelméről szóló általános jogszabály révén, mind ágazati jogszabályokon, mint például a statisztikai intézetekre vonatkozókon keresztül;

(23) Whereas Member States are empowered to ensure the implementation of the protection of individuals both by means of a general law on the protection of individuals as regards the processing of personal data and by sectorial laws such as those relating, for example, to statistical institutes;

(24) mivel az adatfeldolgozással kapcsolatban a jogi személyek védelmére vonatkozó szabályokat ez az irányelv nem érinti;

(24) Whereas the legislation concerning the protection of legal persons with regard to the processing data which concerns them is not affected by this Directive;

(25) mivel a védelem elveinek tükröződniük kell egyrészt a személyekre, hatóságokra, vállalkozásokra, hivatalokra, vagy más, adatfeldolgozással foglalkozó szervekre megállapított kötelezettségekben, különösen az adatminőség, a technikai biztonság, a felügyelő hatóság értesítése, és az adatfeldolgozáshoz szükséges feltételek tekintetében, másrészt az azon egyénekre szálló jogokban, akiknek az adatai feldolgozásra kerülnek, amelyek szerint tájékoztatják őket az adatfeldolgozásról, betekinthetnek az adatokba, helyesbítést kérhetnek, és bizonyos körülmények között tiltakozhatnak a feldolgozás ellen;

(25) Whereas the principles of protection must be reflected, on the one hand, in the obligations imposed on persons, public authorities, enterprises, agencies or other bodies responsible for processing, in particular regarding data quality, technical security, notification to the supervisory authority, and the circumstances under which processing can be carried out, and, on the other hand, in the right conferred on individuals, the data on whom are the subject of processing, to be informed that processing is taking place, to consult the data, to request corrections and even to object to processing in certain circumstances;

(26) mivel a védelem elveit minden azonosított vagy azonosítható személyre vonatkozó információ esetében alkalmazni kell; mivel annak meghatározására, hogy egy személy azonosítható-e, minden olyan módszert figyelembe kell venni, amit az adatkezelő, vagy más személy valószínűleg felhasználna az említett személy azonosítására; mivel a védelem elvei nem alkalmazhatók az olyan módon anonimmá tett adatokra, ahol az érintett a továbbiakban nem azonosítható; mivel a 27. cikk szerinti eljárási szabályzat hasznos eszköz lehet útmutatásként ahhoz, hogy hogyan kell az adatokat anonimmá tenni, és olyan formában megőrizni, amelyben a szóban forgó adatok azonosítása a továbbiakban már nem lehetséges;

(26) Whereas the principles of protection must apply to any information concerning an identified or identifiable person; whereas, to determine whether a person is identifiable, account should be taken of all the means likely reasonably to be used either by the controller or by any other person to identify the said person; whereas the principles of protection shall not apply to data rendered anonymous in such a way that the data subject is no longer identifiable; whereas codes of conduct within the meaning of Article 27 may be a useful instrument for providing guidance as to the ways in which data may be rendered anonymous and retained in a form in which identification of the data subject is no longer possible;

(27) mivel az egyének védelme az automatizált adatfeldolgozásra éppúgy vonatkozik, mint a manuális adatfeldolgozásra; mivel e védelem hatálya ténylegesen nem függhet az alkalmazott módszerektől, ellenkező esetben ez megkerüléshez vezethetne; mivel azonban az irányelv a manuális adatfeldolgozás tekintetében csak a nyilvántartó rendszerre terjed ki, a strukturálatlan adatállományra nem; mivel elsősorban a nyilvántartási rendszer tartalmát kell rendszerezni az egyénekhez kapcsolódó meghatározott szempontok szerint úgy, hogy az könnyű hozzáférést tegyen lehetővé a személyes adatokhoz; mivel a 2. cikk c) pontjában szereplő meghatározással összhangban, a személyes adatok rendszerezett csoportja összetevőinek meghatározására alkalmazott különböző szempontokat, továbbá az ezekhez való hozzáférésre vonatkozó különböző szempontokat az egyes tagállamok állapíthatják meg; mivel a meghatározott szempontok szerint nem rendszerezett iratok, illetve iratok csoportjai, és azok borítóoldalai semmilyen körülmények között nem tartoznak ezen irányelv hatálya alá;

(27) Whereas the protection of individuals must apply as much to automatic processing of data as to manual processing; whereas the scope of this protection must not in effect depend on the techniques used, otherwise this would create a serious risk of circumvention; whereas, nonetheless, as regards manual processing, this Directive covers only filing systems, not unstructured files; whereas, in particular, the content of a filing system must be structured according to specific criteria relating to individuals allowing easy access to the personal data; whereas, in line with the definition in Article 2 (c), the different criteria for determining the constituents of a structured set of personal data, and the different criteria governing access to such a set, may be laid down by each Member State; whereas files or sets of files as well as their cover pages, which are not structured according to specific criteria, shall under no circumstances fall within the scope of this Directive;

(28) mivel a személyes adatok feldolgozásának törvényesnek és tisztességesnek kell lennie az érintett egyénekre nézve; mivel az adatoknak elsősorban helyesnek és lényegesnek kell lenniük, és nem haladhatják meg a feldolgozás célját; mivel e céloknak pontosan megfogalmazottnak és jogszerűnek, valamint az adatgyűjtés időpontjában meghatározottnak kell lenniük; mivel az adatfeldolgozás céljai az adatgyűjtést követően sem lehetnek összeegyeztethetetlenek az eredetileg meghatározott célokkal;

(28) Whereas any processing of personal data must be lawful and fair to the individuals concerned; whereas, in particular, the data must be adequate, relevant and not excessive in relation to the purposes for which they are processed; whereas such purposes must be explicit and legitimate and must be determined at the time of collection of the data; whereas the purposes of processing further to collection shall not be incompatible with the purposes as they were originally specified;

(29) mivel a személyes adatok további feldolgozása történelmi, statisztikai, vagy tudományos célból általában nem tekinthető összeegyeztethetetlennek a korábbi adatgyűjtés céljaival, feltéve, hogy a tagállamok megfelelő biztosítékokról gondoskodnak; mivel e biztosítékoknak ki kell zárniuk az adatoknak adott egyénekhez kapcsolódó intézkedések vagy határozatok meghozatalának támogatására való felhasználását;

(29) Whereas the further processing of personal data for historical, statistical or scientific purposes is not generally to be considered incompatible with the purposes for which the data have previously been collected provided that Member States furnish suitable safeguards; whereas these safeguards must in particular rule out the use of the data in support of measures or decisions regarding any particular individual;

(30) mivel annak érdekében, hogy a személyes adatok feldolgozása jogszerű legyen, illetve ha az az érintettre nézve kötelező szerződés megkötéséhez vagy teljesítéséhez szükséges, azt jogszabály írja elő, vagy az valamely közérdekű vagy hatósági feladat teljesítéséhez szükséges, illetve valamely természetes vagy jogi személy jogos érdekében történik – feltéve, hogy az érintett érdekei, jogai és szabadságai nem előbbrevalók – azt az érintett beleegyezésével kell végezni; mivel különösen a hatékony verseny biztosítása mellett az érdekek egyensúlyának fenntartása érdekében a tagállamok határozhatják meg azokat a körülményeket, amelyek esetén a személyes adatok felhasználhatók vagy harmadik felek tudomására hozhatók a társaságok és egyéb szervezetek rendes, jogszerű üzleti tevékenysége során; mivel szintén a tagállamok határozhatják meg azokat a feltételeket, amelyek mellett a személyes adatok harmadik felek tudomására hozhatók marketing célokra, akár kereskedelmi jelleggel, akár jótékonysági szervezet, egyéb társulás vagy alapítvány – például politikai jellegű – által végzett módon történik, azon rendelkezések betartásával, amelyek az érintett számára lehetővé teszik, hogy tiltakozzon a rá vonatkozó adatok feldolgozása ellen, költségek és indokolás nélkül;

(30) Whereas, in order to be lawful, the processing of personal data must in addition be carried out with the consent of the data subject or be necessary for the conclusion or performance of a contract binding on the data subject, or as a legal requirement, or for the performance of a task carried out in the public interest or in the exercise of official authority, or in the legitimate interests of a natural or legal person, provided that the interests or the rights and freedoms of the data subject are not overriding; whereas, in particular, in order to maintain a balance between the interests involved while guaranteeing effective competition, Member States may determine the circumstances in which personal data may be used or disclosed to a third party in the context of the legitimate ordinary business activities of companies and other bodies; whereas Member States may similarly specify the conditions under which personal data may be disclosed to a third party for the purposes of marketing whether carried out commercially or by a charitable organization or by any other association or foundation, of a political nature for example, subject to the provisions allowing a data subject to object to the processing of data regarding him, at no cost and without having to state his reasons;

(31) mivel a személyes adatok feldolgozását hasonlóan jogszerűnek kell tekinteni akkor, ha azt az érintett élete szempontjából alapvető érdekek védelme érdekében végzik;

(31) Whereas the processing of personal data must equally be regarded as lawful where it is carried out in order to protect an interest which is essential for the data subject's life;

(32) mivel a nemzeti jogalkotás feladata annak meghatározása, hogy a közérdekű vagy hatósági feladatot teljesítő adatkezelő közigazgatási szerv legyen, vagy a közjog, illetve a magánjog hatálya alá tartozó egyéb természetes vagy jogi személy, például szakmai szövetség;

(32) Whereas it is for national legislation to determine whether the controller performing a task carried out in the public interest or in the exercise of official authority should be a public administration or another natural or legal person governed by public law, or by private law such as a professional association;

(33) mivel az olyan adatok feldolgozása, amelyek jellegüknél fogva sérthetik az alapvető szabadságokat vagy a magánéletet, csak az érintett kifejezett hozzájárulásával végezhető; mivel azonban meghatározott esetekben kifejezetten rendelkezni kell az e tilalomtól való eltérésről, különösen amikor az adatfeldolgozást egészségügyi célból végzik olyan személyek, akikre a szakmai titoktartás jogi kötelezettsége vonatkozik, vagy olyan egyesületek, illetve alapítványok, amelyek célja – jogszerű tevékenységük keretében – az alapvető szabadságok gyakorlásának lehetővé tétele;

(33) Whereas data which are capable by their nature of infringing fundamental freedoms or privacy should not be processed unless the data subject gives his explicit consent; whereas, however, derogations from this prohibition must be explicitly provided for in respect of specific needs, in particular where the processing of these data is carried out for certain health-related purposes by persons subject to a legal obligation of professional secrecy or in the course of legitimate activities by certain associations or foundations the purpose of which is to permit the exercise of fundamental freedoms;

(34) mivel ha az fontos közérdek alapján indokolt, a tagállamok eltérhetnek a különleges adatok feldolgozásának tilalmától, amennyiben ezt fontos közérdekű okok indokolják olyan területeken, mint a közegészségügy, vagy a szociális védelem – elsősorban annak biztosítása érdekében, hogy az egészségbiztosítási rendszer szolgáltatásaival és juttatásaival kapcsolatos követelések rendezésére alkalmazott eljárások magas szintűek és költséghatékonyak legyenek –, a tudományos kutatások és állami statisztikai tevékenységek körében; mivel mindazonáltal a tagállamokra hárul a meghatározott megfelelő biztosítékok garantálása az egyének alapvető jogainak és magánéletének védelme érdekében;

(34) Whereas Member States must also be authorized, when justified by grounds of important public interest, to derogate from the prohibition on processing sensitive categories of data where important reasons of public interest so justify in areas such as public health and social protection - especially in order to ensure the quality and cost-effectiveness of the procedures used for settling claims for benefits and services in the health insurance system - scientific research and government statistics; whereas it is incumbent on them, however, to provide specific and suitable safeguards so as to protect the fundamental rights and the privacy of individuals;

(35) mivel ezenfelül a személyes adatok hatóságok által történő feldolgozása a hivatalosan elismert vallási szervezetek alkotmányjogban, vagy nemzetközi közjogban megállapított céljai eléréséhez csak fontos közérdekből lehetséges;

(35) Whereas, moreover, the processing of personal data by official authorities for achieving aims, laid down in constitutional law or international public law, of officially recognized religious associations is carried out on important grounds of public interest;

(36) mivel a választással kapcsolatos tevékenységek során egyes tagállamokban a demokratikus rendszer működése megkívánja, hogy a politikai pártok adatokat gyűjtsenek az emberek politikai véleményéről, és az ilyen adatok feldolgozása csak fontos közérdekből lehetséges, feltéve, hogy megfelelő biztosítékokat hoznak létre;

(36) Whereas where, in the course of electoral activities, the operation of the democratic system requires in certain Member States that political parties compile data on people's political opinion, the processing of such data may be permitted for reasons of important public interest, provided that appropriate safeguards are established;

(37) mivel az újságírás, irodalmi, vagy művészi kifejezés céljából, különösen audiovizuális téren történő személyesadat-feldolgozásnak mentesülnie kell ezen irányelv egyes előírásai alól, amennyiben ez az egyének alapvető jogainak a tájékozódáshoz való joggal, nevezetesen az információszerzéshez és -közléshez való jognak az emberi jogok és alapvető szabadságok védelméről szóló európai egyezmény 10. cikkében biztosított jogával való összeegyeztetéséhez szükséges; mivel ezért az adatfeldolgozás jogszerűségére vonatkozó általános intézkedések tekintetében az alapvető jogok, a harmadik országokba történő adattovábbítás és a felügyelő hatóság hatásköre közötti egyensúly céljából a tagállamok állapíthatják meg a szükséges mentességeket és eltéréseket; mivel ez mindazonáltal nem vezethet arra, hogy a tagállamok az adatfeldolgozás biztonságát szavatoló intézkedések alóli mentességeket állapítsanak meg; mivel legalább az ezért az ágazatért felelős felügyelő hatóságot szintén fel kell ruházni bizonyos hivatali hatalommal például rendszeres jelentés kiadására, vagy az ügyek igazságszolgáltatási hatóságok elé terjesztésére;

(37) Whereas the processing of personal data for purposes of journalism or for purposes of literary of artistic expression, in particular in the audiovisual field, should qualify for exemption from the requirements of certain provisions of this Directive in so far as this is necessary to reconcile the fundamental rights of individuals with freedom of information and notably the right to receive and impart information, as guaranteed in particular in Article 10 of the European Convention for the Protection of Human Rights and Fundamental Freedoms; whereas Member States should therefore lay down exemptions and derogations necessary for the purpose of balance between fundamental rights as regards general measures on the legitimacy of data processing, measures on the transfer of data to third countries and the power of the supervisory authority; whereas this should not, however, lead Member States to lay down exemptions from the measures to ensure security of processing; whereas at least the supervisory authority responsible for this sector should also be provided with certain ex-post powers, e.g. to publish a regular report or to refer matters to the judicial authorities;

(38) mivel annak érdekében, hogy az adatfeldolgozás tisztességes legyen, az érintettnek tudnia kell az adatfeldolgozási műveletről, és amennyiben adatokat gyűjtenek róla, arról pontos és teljes tájékoztatást kell kapjon, figyelembe véve az adatgyűjtés körülményeit;

(38) Whereas, if the processing of data is to be fair, the data subject must be in a position to learn of the existence of a processing operation and, where data are collected from him, must be given accurate and full information, bearing in mind the circumstances of the collection;

(39) mivel egyes adatfeldolgozási műveletek az olyan adatokra is kiterjednek, amelyeket az adatkezelő nem közvetlenül az érintettől szerzett meg; mivel ezenfelül az adatok jogszerűen harmadik személy tudomására hozhatók akkor is, ha a közlés az adatgyűjtés időpontjában nem volt előre látható; mivel ilyen esetekben az érintettet az adatok rögzítésekor, vagy legkésőbb azoknak a harmadik személlyel első alkalommal történő közlése előtt tájékoztatni kell;

(39) Whereas certain processing operations involve data which the controller has not collected directly from the data subject; whereas, furthermore, data can be legitimately disclosed to a third party, even if the disclosure was not anticipated at the time the data were collected from the data subject; whereas, in all these cases, the data subject should be informed when the data are recorded or at the latest when the data are first disclosed to a third party;

(40) mivel mindazonáltal nem szükséges e kötelezettség előírása, amennyiben az érintettet már tájékoztatták erről; mivel ezenfelül nem áll fenn ilyen kötelezettség, ha a rögzítést, illetve közlést jogszabály kifejezetten előírja, ha az érintett tájékoztatása lehetetlennek bizonyul, vagy aránytalanul nagy erőfeszítést igényelne, például történelmi, statisztikai, vagy tudományos célból történő feldolgozás esetén; mivel e tekintetben figyelembe vehető az érintettek száma, az adatok kora, és az elfogadott kárpótló intézkedések;

(40) Whereas, however, it is not necessary to impose this obligation of the data subject already has the information; whereas, moreover, there will be no such obligation if the recording or disclosure are expressly provided for by law or if the provision of information to the data subject proves impossible or would involve disproportionate efforts, which could be the case where processing is for historical, statistical or scientific purposes; whereas, in this regard, the number of data subjects, the age of the data, and any compensatory measures adopted may be taken into consideration;

(41) mivel minden személynek lehetővé kell tenni a rá vonatkozó, adatfeldolgozás alatt álló adatokhoz való hozzáférés jogának gyakorlását, különösen az adatok helyességének és az adatfeldolgozás jogszerűségének ellenőrzése céljából; mivel ugyanezen okból minden érintettnek joga van tudni a rá vonatkozó adatok automatizált feldolgozásának logikáját, legalább a 15. cikk (1) bekezdésében említett automatizált döntések esetében; mivel ez a jog nem befolyásolhatja károsan az üzleti titkot, vagy a szellemi tulajdont és különösen a szoftvert védő szerzői jogot; mivel mindazonáltal e szempontok nem vezethetnek oda, hogy az érintett nem kap semmilyen tájékoztatást;

(41) Whereas any person must be able to exercise the right of access to data relating to him which are being processed, in order to verify in particular the accuracy of the data and the lawfulness of the processing; whereas, for the same reasons, every data subject must also have the right to know the logic involved in the automatic processing of data concerning him, at least in the case of the automated decisions referred to in Article 15 (1); whereas this right must not adversely affect trade secrets or intellectual property and in particular the copyright protecting the software; whereas these considerations must not, however, result in the data subject being refused all information;

(42) mivel a tagállamok az érintettek vagy mások jogai és szabadságai védelmének érdekében korlátozhatják a hozzáférési és a tájékoztatáshoz való jogot; mivel például meghatározhatják, hogy az egészségügyi adatok csak hivatásos egészségügyi dolgozón keresztül legyenek hozzáférhetők;

(42) Whereas Member States may, in the interest of the data subject or so as to protect the rights and freedoms of others, restrict rights of access and information; whereas they may, for example, specify that access to medical data may be obtained only through a health professional;

(43) mivel a tagállamok hasonlóképpen korlátozhatják a hozzáféréshez és a tájékoztatáshoz való jogokat, valamint az adatkezelő egyes kötelezettségeit, amennyiben ezek valamely tagállam, vagy az Unió nemzetbiztonsági, védelmi, közbiztonsági, fontos gazdasági vagy pénzügyi érdekeinek védelmében, illetve a bűnügyi nyomozásokhoz és a büntetőeljárás megindításához, valamint a jogszabályban szabályozott szakmákban az etikai vétségekkel kapcsolatos intézkedésekhez szükségesek; mivel a kivételek és korlátozások listája ki kell, hogy terjedjen a három utóbb említett, közbiztonsági, fontos gazdasági, vagy pénzügyi érdekekkel és a bűnmegelőzéssel kapcsolatos területen szükséges megfigyelési, felügyeleti vagy szabályozási feladatokra; mivel a feladatok felsorolása e három területen nem érinti a nemzetbiztonsági vagy honvédelmi okokból megadott kivételek vagy megszorítások jogszerűségét;

(43) Whereas restrictions on the rights of access and information and on certain obligations of the controller may similarly be imposed by Member States in so far as they are necessary to safeguard, for example, national security, defence, public safety, or important economic or financial interests of a Member State or the Union, as well as criminal investigations and prosecutions and action in respect of breaches of ethics in the regulated professions; whereas the list of exceptions and limitations should include the tasks of monitoring, inspection or regulation necessary in the three last-mentioned areas concerning public security, economic or financial interests and crime prevention; whereas the listing of tasks in these three areas does not affect the legitimacy of exceptions or restrictions for reasons of State security or defence;

(44) mivel a tagállamok a közösségi jog rendelkezései értelmében eltérhetnek ezen irányelvnek a hozzáférési joggal, az egyének tájékoztatására vonatkozó kötelezettséggel, vagy az adatminőséggel kapcsolatos rendelkezéseitől a fent említett célok biztosítása érdekében;

(44) Whereas Member States may also be led, by virtue of the provisions of Community law, to derogate from the provisions of this Directive concerning the right of access, the obligation to inform individuals, and the quality of data, in order to secure certain of the purposes referred to above;

(45) mivel azonban a közérdekű vagy hatósági indokok, természetes vagy jogi személy jogos érdekei alapján történő törvényes adatfeldolgozás esetében is minden érintettnek jogot kell biztosítani – különleges helyzetével kapcsolatos jogos és lényeges indokok alapján – a rá vonatkozó adatok feldolgozása elleni tiltakozásra; mindazonáltal a tagállamok ezzel ellentétes nemzeti rendelkezéseket is megállapíthatnak;

(45) Whereas, in cases where data might lawfully be processed on grounds of public interest, official authority or the legitimate interests of a natural or legal person, any data subject should nevertheless be entitled, on legitimate and compelling grounds relating to his particular situation, to object to the processing of any data relating to himself; whereas Member States may nevertheless lay down national provisions to the contrary;

(46) mivel az érintettek jogainak és szabadságainak védelme a személyes adatok feldolgozása tekintetében megkívánja, hogy megfelelő műszaki és szervezeti intézkedéseket hozzanak mind az adatfeldolgozó rendszer megtervezésekor, mind az adatfeldolgozás időpontjában, különösen a biztonság fenntartása, és ezáltal az engedély nélküli adatfeldolgozás megelőzése érdekében; mivel a tagállamokra hárul annak biztosítása, hogy az adatkezelők megfeleljenek ezeknek az intézkedéseknek; mivel ezeknek az intézkedéseknek biztosítaniuk kell a megfelelő szintű biztonságot, figyelembe véve a legújabb vívmányokat és ezek megvalósításának költségét összevetve az adatfeldolgozással járó kockázattal, és a védelmet igénylő adatok természetével;

(46) Whereas the protection of the rights and freedoms of data subjects with regard to the processing of personal data requires that appropriate technical and organizational measures be taken, both at the time of the design of the processing system and at the time of the processing itself, particularly in order to maintain security and thereby to prevent any unauthorized processing; whereas it is incumbent on the Member States to ensure that controllers comply with these measures; whereas these measures must ensure an appropriate level of security, taking into account the state of the art and the costs of their implementation in relation to the risks inherent in the processing and the nature of the data to be protected;

(47) mivel a személyes adatot tartalmazó üzenet távközlési úton vagy elektronikus üzenetszolgáltatás útján való továbbításakor, amelyek egyedüli célja az ilyen üzenetek továbbítása, az üzenetben szereplő személyes adatok tekintetében általában az adatkezelőt kell azon személynek tekinteni, akitől az üzenet származik, és nem a továbbítási szolgáltatást nyújtó személyt; mivel mindazonáltal az ilyen szolgáltatást nyújtók általában adatkezelőnek tekintendők a szolgáltatás működtetéséhez szükséges további személyes adatok feldolgozása tekintetében;

(47) Whereas where a message containing personal data is transmitted by means of a telecommunications or electronic mail service, the sole purpose of which is the transmission of such messages, the controller in respect of the personal data contained in the message will normally be considered to be the person from whom the message originates, rather than the person offering the transmission services; whereas, nevertheless, those offering such services will normally be considered controllers in respect of the processing of the additional personal data necessary for the operation of the service;

(48) mivel a felügyelő hatóság értesítésére szolgáló eljárások arra szolgálnak, hogy biztosítsák az adatfeldolgozási műveletek céljának és főbb jellemzőinek nyilvánosságra hozatalát, annak céljából, hogy ellenőrizni lehessen, hogy a műveletek megfelelnek-e az ezen irányelv alapján hozott nemzeti intézkedéseknek;

(48) Whereas the procedures for notifying the supervisory authority are designed to ensure disclosure of the purposes and main features of any processing operation for the purpose of verification that the operation is in accordance with the national measures taken under this Directive;

(49) mivel a szükségtelen adminisztratív formaságok elkerülése érdekében a tagállamok, olyan esetekben, amikor az adatfeldolgozás várhatóan nem érinti hátrányosan az érintettek jogait és szabadságait, rendelkezhetnek az értesítési kötelezettség alóli felmentésről vagy az előírt értesítés egyszerűsítéséről, feltéve, hogy ez összhangban áll az annak korlátait meghatározó tagállam által hozott intézkedéssel; mivel az olyan tagállamok, ahol az adatkezelő által kijelölt személy biztosítja, hogy a végzett adatfeldolgozás várhatóan nem érinti hátrányosan az érintettek jogait és szabadságait, hasonlóképpen rendelkezhetnek felmentésről vagy egyszerűsítésről; mivel az ilyen adatvédelmi tisztviselőt, függetlenül attól, hogy az adatkezelő alkalmazottja-e vagy sem, olyan hatáskörrel kell felruházni, hogy feladatát teljesen függetlenül gyakorolhassa;

(49) Whereas, in order to avoid unsuitable administrative formalities, exemptions from the obligation to notify and simplification of the notification required may be provided for by Member States in cases where processing is unlikely adversely to affect the rights and freedoms of data subjects, provided that it is in accordance with a measure taken by a Member State specifying its limits; whereas exemption or simplification may similarly be provided for by Member States where a person appointed by the controller ensures that the processing carried out is not likely adversely to affect the rights and freedoms of data subjects; whereas such a data protection official, whether or not an employee of the controller, must be in a position to exercise his functions in complete independence;

(50) mivel felmentésről vagy egyszerűsítésről olyan adatfeldolgozási műveletek esetében is rendelkezni lehet, amelyek egyedüli célja olyan nyilvántartás fenntartása, amely a nemzeti jogszabályokkal összhangban a nyilvánosság tájékoztatására szolgál, és amely bármely, jogos érdekét igazoló személy, illetve a nyilvánosság számára hozzáférhető;

(50) Whereas exemption or simplification could be provided for in cases of processing operations whose sole purpose is the keeping of a register intended, according to national law, to provide information to the public and open to consultation by the public or by any person demonstrating a legitimate interest;

(51) mivel mindazonáltal az egyszerűsítés vagy az értesítési kötelezettség alóli felmentés nem mentesíti az adatkezelőt az ezen irányelvből származó egyéb kötelezettségei alól;

(51) Whereas, nevertheless, simplification or exemption from the obligation to notify shall not release the controller from any of the other obligations resulting from this Directive;

(52) mivel ebben az összefüggésben az illetékes hatóságok által végzett utólagos ellenőrzés általában elégséges intézkedésnek tekintendő;

(52) Whereas, in this context, ex post facto verification by the competent authorities must in general be considered a sufficient measure;

(53) mivel azonban egyes adatfeldolgozási műveletek természetüknél, hatókörüknél, vagy céljuknál fogva – például az egyének jogokból, előnyökből vagy szerződésekből való kizárása, illetve új technológiák meghatározott alkalmazása révén –, veszélyeztethetik az érintettek jogait és szabadságait; mivel a tagállamok saját belátásuk szerint határozhatják meg e kockázatokat jogszabályaikban;

(53) Whereas, however, certain processing operation are likely to pose specific risks to the rights and freedoms of data subjects by virtue of their nature, their scope or their purposes, such as that of excluding individuals from a right, benefit or a contract, or by virtue of the specific use of new technologies; whereas it is for Member States, if they so wish, to specify such risks in their legislation;

(54) mivel a társadalomban végzett adatfeldolgozás tekintetében az említett kockázattal járók számát jelentősen le kell szűkíteni; mivel a tagállamoknak rendelkezniük kell arról, hogy a felügyelő hatóság, vagy az adatvédelmi tisztviselő a hatósággal együttműködve ellenőrizze az ilyen adatfeldolgozást annak elvégzése előtt; mivel ezen előzetes ellenőrzést követően a felügyelő hatóság nemzeti jogszabályaival összhangban az adatfeldolgozás kapcsán véleményt nyilváníthat, vagy engedélyt adhat; mivel ez az ellenőrzés egyaránt végezhető a nemzeti parlament intézkedésének előkészítése, vagy valamely, az adatfeldolgozás jellegét meghatározó és a megfelelő biztosítékokat megállapító törvényhozási rendelkezésen alapuló intézkedés előkészítése során;

(54) Whereas with regard to all the processing undertaken in society, the amount posing such specific risks should be very limited; whereas Member States must provide that the supervisory authority, or the data protection official in cooperation with the authority, check such processing prior to it being carried out; whereas following this prior check, the supervisory authority may, according to its national law, give an opinion or an authorization regarding the processing; whereas such checking may equally take place in the course of the preparation either of a measure of the national parliament or of a measure based on such a legislative measure, which defines the nature of the processing and lays down appropriate safeguards;

(55) mivel abban az esetben, ha az adatkezelő nem tartja tiszteletben az érintettek jogait, a nemzeti jogalkotásnak kell gondoskodnia a jogorvoslatról; mivel a törvénytelen adatfeldolgozás miatt kárt szenvedett személy kártérítését az adatkezelőnek kell állnia, aki akkor mentesül a felelősség alól, ha bizonyítja, hogy a kárért nem ő felelős, különösen, ha megállapítja, hogy az érintett a hibás, vagy vis maior esete áll fenn; mivel szankciókat kell kiróni minden olyan személyre – függetlenül attól, hogy a magán- vagy a közjog hatálya alá tartozik –, aki nem tesz eleget az ezen irányelv alapján meghozott nemzeti intézkedéseknek;

(55) Whereas, if the controller fails to respect the rights of data subjects, national legislation must provide for a judicial remedy; whereas any damage which a person may suffer as a result of unlawful processing must be compensated for by the controller, who may be exempted from liability if he proves that he is not responsible for the damage, in particular in cases where he establishes fault on the part of the data subject or in case of force majeure; whereas sanctions must be imposed on any person, whether governed by private of public law, who fails to comply with the national measures taken under this Directive;

(56) mivel a személyes adatok határokon átnyúló áramlására szükség van a nemzetközi kereskedelem bővüléséhez; mivel a Közösségben az egyének ezen irányelv által garantált védelme nem áll útjában a személyes adatok továbbításának olyan harmadik országokba, amelyek megfelelő szintű védelmet biztosítanak; mivel a harmadik ország által nyújtott védelem szintjének megfelelő mivoltát a továbbítási művelet vagy műveletsorozattal kapcsolatos körülmények figyelembevételével kell értékelni;

(56) Whereas cross-border flows of personal data are necessary to the expansion of international trade; whereas the protection of individuals guaranteed in the Community by this Directive does not stand in the way of transfers of personal data to third countries which ensure an adequate level of protection; whereas the adequacy of the level of protection afforded by a third country must be assessed in the light of all the circumstances surrounding the transfer operation or set of transfer operations;

(57) mivel másrészt a személyes adatoknak a megfelelő védelmi szintet biztosítani nem tudó harmadik országokba irányuló továbbítását meg kell tiltani;

(57) Whereas, on the other hand, the transfer of personal data to a third country which does not ensure an adequate level of protection must be prohibited;

(58) mivel bizonyos körülmények között, amikor az érintett ehhez hozzájárult, vagy a továbbítás valamely szerződés vagy jogi követelés kapcsán szükséges, vagy valamely fontos közérdek védelme ezt megkívánja, például adó- vagy vámigazgatási szervek, vagy a társadalombiztosítási ügyekben illetékes hivatalok közötti nemzetközi adattovábbítások esetében, vagy amikor a továbbítás jogszabály által létrehozott olyan nyilvántartásból történik, amelyhez a nyilvánosság, vagy a jogos érdekkel rendelkező személyek hozzáférhetnek, rendelkezni kell a fenti tilalom alóli mentességről; mivel ebben az esetben a továbbítás nem terjed ki a nyilvántartásban szereplő összes adatra, illetve összes adatkategóriára, és amennyiben a nyilvántartást az olyan személyek által való hozzáférésre szánták, akiknek ehhez jogos érdeke fűződik, a továbbítást csak e személyek kérelmére lehet elvégezni, vagy akkor, ha a címzettek a szóban forgó személyek;

(58) Whereas provisions should be made for exemptions from this prohibition in certain circumstances where the data subject has given his consent, where the transfer is necessary in relation to a contract or a legal claim, where protection of an important public interest so requires, for example in cases of international transfers of data between tax or customs administrations or between services competent for social security matters, or where the transfer is made from a register established by law and intended for consultation by the public or persons having a legitimate interest; whereas in this case such a transfer should not involve the entirety of the data or entire categories of the data contained in the register and, when the register is intended for consultation by persons having a legitimate interest, the transfer should be made only at the request of those persons or if they are to be the recipients;

(59) mivel különleges intézkedéseket lehet hozni a valamely harmadik országban tapasztalható védelem hiányának orvoslására olyan esetekben, ahol az adatkezelő megfelelő biztosítékokat nyújt; mivel ezenfelül rendelkezni kell a Közösség és ilyen harmadik országok közötti tárgyalásokra vonatkozó eljárásokról;

(59) Whereas particular measures may be taken to compensate for the lack of protection in a third country in cases where the controller offers appropriate safeguards; whereas, moreover, provision must be made for procedures for negotiations between the Community and such third countries;

(60) mivel a harmadik országokba irányuló továbbítás csak a tagállamok által ezen irányelv és különösen annak 8. cikke értelmében elfogadott rendelkezések teljes betartásával lehetséges;

(60) Whereas, in any event, transfers to third countries may be effected only in full compliance with the provisions adopted by the Member States pursuant to this Directive, and in particular Article 8 thereof;

(61) mivel a tagállamoknak és a Bizottságnak, saját hatáskörükön belül, ösztönözniük kell a szakmai szövetségeket és más érintett érdekképviseleti szervezeteket arra, hogy eljárási szabályzatokat hozzanak létre az irányelv alkalmazásának megkönnyítésére, figyelembe véve az egyes ágazatokban végzett adatfeldolgozás speciális jellemzőit, és tiszteletben tartva az annak végrehajtása érdekében elfogadott nemzeti rendelkezéseket;

(61) Whereas Member States and the Commission, in their respective spheres of competence, must encourage the trade associations and other representative organizations concerned to draw up codes of conduct so as to facilitate the application of this Directive, taking account of the specific characteristics of the processing carried out in certain sectors, and respecting the national provisions adopted for its implementation;

(62) mivel a tagállamokban a feladataikat teljes függetlenséggel gyakorló felügyelő hatóságok létrehozása alapvető eleme az egyének védelmének a személyes adatok feldolgozása tekintetében;

(62) Whereas the establishment in Member States of supervisory authorities, exercising their functions with complete independence, is an essential component of the protection of individuals with regard to the processing of personal data;

(63) mivel az ilyen hatóságoknak rendelkezniük kell a feladataik teljesítéséhez szükséges eszközökkel, beleértve a vizsgálati és beavatkozási jogosultságokat, különösen az egyének panaszai esetén, továbbá a bírósági eljárásokban való részvétel lehetőségét; mivel e hatóságoknak segíteniük kell az adatfeldolgozás áttekinthetőségének biztosítását azokban a tagállamokban, amelyek joghatósága alá tartoznak;

(63) Whereas such authorities must have the necessary means to perform their duties, including powers of investigation and intervention, particularly in cases of complaints from individuals, and powers to engage in legal proceedings; whereas such authorities must help to ensure transparency of processing in the Member States within whose jurisdiction they fall;

(64) mivel a különböző tagállamok hatóságainak együtt kell működniük feladataik ellátása során annak érdekében, hogy a védelemre vonatkozó szabályokat az Európai Unió egészében megfelelően tiszteletben tartsák;

(64) Whereas the authorities in the different Member States will need to assist one another in performing their duties so as to ensure that the rules of protection are properly respected throughout the European Union;

(65) mivel közösségi szinten létre kell hozni egy, a személyesadat-feldolgozás vonatkozásában az egyének védelmével foglalkozó munkacsoportot, amely feladatai ellátása során teljes függetlenséget élvez; mivel tekintettel speciális jellegére, a munkacsoportnak tájékoztatnia kell a Bizottságot és különösen hozzá kell járulnia az ezen irányelv értelmében elfogadott nemzeti szabályok egységes alkalmazásához;

(65) Whereas, at Community level, a Working Party on the Protection of Individuals with regard to the Processing of Personal Data must be set up and be completely independent in the performance of its functions; whereas, having regard to its specific nature, it must advise the Commission and, in particular, contribute to the uniform application of the national rules adopted pursuant to this Directive;

(66) mivel az adatok harmadik országokba irányuló továbbítására tekintettel az irányelv alkalmazása megkívánja a hatáskör Bizottságra történő átruházását, valamint a Tanács 87/373/EGK [4] határozatában megállapított eljárás kidolgozását;

(66) Whereas, with regard to the transfer of data to third countries, the application of this Directive calls for the conferment of powers of implementation on the Commission and the establishment of a procedure as laid down in Council Decision 87/373/EEC (1);

(67) mivel 1994. december 20-án megegyezés született az Európai Parlament, a Tanács és a Bizottság között egyfajta modus vivendi-ről az EK-Szerződés 189b. cikkében megállapított eljárásnak megfelelően elfogadott jogi aktusok végrehajtási rendelkezései tekintetében;

(67) Whereas an agreement on a modus vivendi between the European Parliament, the Council and the Commission concerning the implementing measures for acts adopted in accordance with the procedure laid down in Article 189b of the EC Treaty was reached on 20 December 1994;

(68) mivel az ezen irányelvben szereplő elvek az egyének jogairól és szabadságairól –nevezetesen a személyes adatok feldolgozása tekintetében a magánélet tiszteletben tartásához való jogukról –, az ezeken alapuló különleges szabályokkal kiegészíthetők vagy azokhoz magyarázat fűzhető, különösen egyes ágazatok vonatkozásában;

(68) Whereas the principles set out in this Directive regarding the protection of the rights and freedoms of individuals, notably their right to privacy, with regard to the processing of personal data may be supplemented or clarified, in particular as far as certain sectors are concerned, by specific rules based on those principles;

(69) mivel a tagállamoknak az ezen irányelvet átültető nemzeti intézkedések hatálybalépésétől számított legfeljebb hároméves időszakot lehet engedélyezni az új nemzeti szabályoknak a már folyamatban lévő adatfeldolgozási műveletekre történő fokozatos alkalmazására; mivel azok költségkímélő végrehajtásának megkönnyítése érdekében további, az irányelv elfogadásától számított 12 évet kell engedélyezni a tagállamoknak a jelenlegi manuális adatnyilvántartási rendszereknek az irányelv egyes rendelkezéseivel való összhangba hozatalának biztosítására; mivel amennyiben az ezen adatnyilvántartási rendszerekben foglalt adatokat manuálisan dolgozzák fel e meghosszabbított átmeneti időszak alatt, a rendszereket összhangba kell hozni e rendelkezésekkel a szóban forgó feldolgozás idejére;

(69) Whereas Member States should be allowed a period of not more than three years from the entry into force of the national measures transposing this Directive in which to apply such new national rules progressively to all processing operations already under way; whereas, in order to facilitate their cost-effective implementation, a further period expiring 12 years after the date on which this Directive is adopted will be allowed to Member States to ensure the conformity of existing manual filing systems with certain of the Directive's provisions; whereas, where data contained in such filing systems are manually processed during this extended transition period, those systems must be brought into conformity with these provisions at the time of such processing;

(70) mivel nem szükséges, hogy az érintett ismételten hozzájárulását adja ahhoz, hogy az adatkezelő az ezen irányelv értelmében hozott nemzeti rendelkezések hatálybalépését követően folytathassa az adatfeldolgozást azon szenzitív adatok vonatkozásában, amelyek valamely, szabad akaratból tett hozzájárulás alapján, az e rendelkezések hatálybalépése előtt megkötött szerződés teljesítéséhez szükségesek;

(70) Whereas it is not necessary for the data subject to give his consent again so as to allow the controller to continue to process, after the national provisions taken pursuant to this Directive enter into force, any sensitive data necessary for the performance of a contract concluded on the basis of free and informed consent before the entry into force of these provisions;

(71) mivel ezen irányelv nem akadályozza a tagállamokat a területükön tartózkodó fogyasztókat célzó marketing tevékenységek szabályozásában, amennyiben az ilyen szabályozás nem érinti az egyének védelmét a személyes adatok feldolgozása tekintetében;

(71) Whereas this Directive does not stand in the way of a Member State's regulating marketing activities aimed at consumers residing in territory in so far as such regulation does not concern the protection of individuals with regard to the processing of personal data;

(72) mivel ez az irányelv lehetővé teszi a hivatalos iratokhoz való nyilvános hozzáférés elvének figyelembevételét az irányelvben szereplő elvek végrehajtásakor,

(72) Whereas this Directive allows the principle of public access to official documents to be taken into account when implementing the principles set out in this Directive,

ELFOGADTA EZT AZ IRÁNYELVET:

HAVE ADOPTED THIS DIRECTIVE:

I. FEJEZET

ÁLTALÁNOS RENDELKEZÉSEK

1. cikk

CHAPTER I GENERAL PROVISIONS

Az irányelv célja

(1) A tagállamok ezen irányelvnek megfelelően védik a természetes személyek alapvető jogait és szabadságait, különösen a magánélet tiszteletben tartásához való jogukat a személyes adatok feldolgozása tekintetében.

Article 1

(2) A tagállamok nem korlátozhatják és nem tilthatják a személyes adatok tagállamok közötti szabad áramlását az (1) bekezdés értelmében biztosított védelemmel kapcsolatos indokok miatt.

Object of the Directive

2. cikk

1. In accordance with this Directive, Member States shall protect the fundamental rights and freedoms of natural persons, and in particular their right to privacy with respect to the processing of personal data.

Fogalommeghatározások

2. Member States shall neither restrict nor prohibit the free flow of personal data between Member States for reasons connected with the protection afforded under paragraph 1.

Ezen irányelv alkalmazásában:

a) "személyes adat" az azonosított vagy azonosítható természetes személyre ("érintettre") vonatkozó bármely információ; az azonosítható személy olyan személy, aki közvetlen vagy közvetett módon azonosítható, különösen egy azonosító számra vagy a személy fizikai, fiziológiai, szellemi, gazdasági, kulturális vagy társadalmi identitására vonatkozó egy vagy több tényezőre történő utalás révén;

Article 2

b) "személyes adatok feldolgozása" ("feldolgozás") a személyes adatokon automatikus vagy nem automatikus módon végzett bármely művelet vagy műveletek összessége, azaz gyűjtés, rögzítés, rendszerezés, tárolás, átalakítás vagy megváltoztatás, visszakeresés, betekintés, felhasználás, közlés továbbítás, terjesztés vagy egyéb módon történő hozzáférhetővé tétel révén, összehangolás vagy összekapcsolás, zárolás, törlés, illetve megsemmisítés;

Definitions

c) "személyesadat-nyilvántartó rendszer" ("nyilvántartó rendszer") a személyes adatok bármely strukturált, funkcionálisan vagy földrajzilag centralizált, decentralizált vagy szétszórt állománya, amely meghatározott ismérvek alapján hozzáférhető;

For the purposes of this Directive:

d) "adatkezelő" az a természetes vagy jogi személy, hatóság, intézmény vagy bármely más szerv, amely önállóan vagy másokkal együtt meghatározza a személyes adatok feldolgozásának céljait és módját; ha a célokat és módokat egy adott nemzeti vagy közösségi jogszabály határozza meg, az adatkezelőt vagy a kinevezésére vonatkozó külön szempontokat ez a nemzeti vagy közösségi jogszabály jelöli ki;

(a) 'personal data' shall mean any information relating to an identified or identifiable natural person ('data subject'); an identifiable person is one who can be identified, directly or indirectly, in particular by reference to an identification number or to one or more factors specific to his physical, physiological, mental, economic, cultural or social identity;

e) "feldolgozó" az a természetes vagy jogi személy, hatóság, intézmény vagy bármely más szerv, amely személyes adatokat dolgoz fel az adatkezelő nevében;

(b) 'processing of personal data' ('processing') shall mean any operation or set of operations which is performed upon personal data, whether or not by automatic means, such as collection, recording, organization, storage, adaptation or alteration, retrieval, consultation, use, disclosure by transmission, dissemination or otherwise making available, alignment or combination, blocking, erasure or destruction;

f) "harmadik személy" az a természetes vagy jogi személy, hatóság, intézmény vagy bármely más szerv, amely nem azonos az érintettel, az adatkezelővel, a feldolgozóval vagy azokkal a személyekkel, akik az adatkezelő vagy a feldolgozó közvetlen felügyelete alatt felhatalmazást kaptak az adatok feldolgozására;

(c) 'personal data filing system' ('filing system') shall mean any structured set of personal data which are accessible according to specific criteria, whether centralized, decentralized or dispersed on a functional or geographical basis;

g) "címzett" az a természetes vagy jogi személy, hatóság, intézmény vagy bármely más szerv, akinek vagy amelynek a részére az adatot továbbítják, függetlenül attól, hogy harmadik személy-e vagy sem; mindazonáltal azok a hatóságok, amelyek egyedi megkeresés alapján kapnak adatokat, nem tekinthetők címzettnek;

(d) 'controller' shall mean the natural or legal person, public authority, agency or any other body which alone or jointly with others determines the purposes and means of the processing of personal data; where the purposes and means of processing are determined by national or Community laws or regulations, the controller or the specific criteria for his nomination may be designated by national or Community law;

h) "az érintett hozzájárulása" az érintett kívánságának önkéntes, kifejezett és tájékozott kinyilvánítása, amellyel beleegyezését adja az őt érintő személyes adatok feldolgozásához.

(e) 'processor' shall mean a natural or legal person, public authority, agency or any other body which processes personal data on behalf of the controller;

3. cikk

(f) 'third party' shall mean any natural or legal person, public authority, agency or any other body other than the data subject, the controller, the processor and the persons who, under the direct authority of the controller or the processor, are authorized to process the data;

Hatály

(g) 'recipient' shall mean a natural or legal person, public authority, agency or any other body to whom data are disclosed, whether a third party or not; however, authorities which may receive data in the framework of a particular inquiry shall not be regarded as recipients;

(1) Ezen irányelvet kell alkalmazni a személyes adatok részben vagy egészben automatizált módon való feldolgozására, valamint azoknak a személyes adatoknak a nem automatizált módon való feldolgozására, amelyek valamely nyilvántartási rendszer részét képezik, vagy amelyeket egy nyilvántartási rendszer részévé kívánnak tenni.

(h) 'the data subject's consent' shall mean any freely given specific and informed indication of his wishes by which the data subject signifies his agreement to personal data relating to him being processed.

(2) Az irányelv nem alkalmazandó az alábbi személyesadat-feldolgozásokra:

- a közösségi jog hatályán kívül eső tevékenységek, mint például az Európai Unióról szóló szerződés V. és VI. címeiben megállapítottak, valamint a közbiztonsággal, a védelemmel, a nemzetbiztonsággal (beleértve az ország gazdasági jólétét is, ha a feldolgozási művelet nemzetbiztonsági ügyre vonatkozik), továbbá a büntetőjog területén az állami tevékenységekkel kapcsolatos feldolgozási műveletek,

Article 3

- a természetes személy által kizárólag személyes célra, vagy háztartási tevékenysége keretében végzett adatfeldolgozás.

Scope

4. cikk

1. This Directive shall apply to the processing of personal data wholly or partly by automatic means, and to the processing otherwise than by automatic means of personal data which form part of a filing system or are intended to form part of a filing system.

Az alkalmazandó nemzeti jog

2. This Directive shall not apply to the processing of personal data:

(1) A személyes adatok feldolgozására minden tagállam az ezen irányelvnek megfelelően elfogadott nemzeti rendelkezéseket alkalmazza, amennyiben:

- in the course of an activity which falls outside the scope of Community law, such as those provided for by Titles V and VI of the Treaty on European Union and in any case to processing operations concerning public security, defence, State security (including the economic well-being of the State when the processing operation relates to State security matters) and the activities of the State in areas of criminal law,

a) az adatfeldolgozást a tagállam területén az adatkezelő egy szervezete tevékenységeinek keretében végzik; amennyiben ugyanaz az adatkezelő több tagállam területén is letelepedett, meg kell tennie a szükséges intézkedéseket annak biztosítása érdekében, hogy szervezeteinek mindegyike megfeleljen az alkalmazandó nemzeti jog által megállapított kötelezettségeknek;

- by a natural person in the course of a purely personal or household activity.

b) az adatkezelő nem valamely tagállam területén telepedett le, hanem olyan helyen, amelynek nemzeti joga – a nemzetközi közjog értelmében – alkalmazandó;

c) az adatkezelő nem telepedett le a Közösség területén, és a személyes adatok feldolgozása céljából gépi vagy más olyan eszközt alkalmaz, amely a fenti tagállam területén található, kivéve, ha ezt az eszközt kizárólag a Közösség területén átmenő adatforgalom céljára használják.

Article 4

(2) Az (1) bekezdés c) pontjában említett körülmények esetén az adatkezelőnek – az ellene indítható jogi keresetek sérelme nélkül – ki kell jelölnie egy, az adott tagállam területén letelepedett képviselőt.

National law applicable

II. FEJEZET

1. Each Member State shall apply the national provisions it adopts pursuant to this Directive to the processing of personal data where:

A SZEMÉLYES ADATOK FELDOLGOZÁSÁNAK JOGSZERŰSÉGÉRE VONATKOZÓ ÁLTALÁNOS SZABÁLYOK

(a) the processing is carried out in the context of the activities of an establishment of the controller on the territory of the Member State; when the same controller is established on the territory of several Member States, he must take the necessary measures to ensure that each of these establishments complies with the obligations laid down by the national law applicable;

5. cikk

(b) the controller is not established on the Member State's territory, but in a place where its national law applies by virtue of international public law;

A tagállamok, e fejezet rendelkezéseinek korlátai között, részletesen meghatározzák, hogy a személyes adatok feldolgozása milyen feltételek mellett jogszerű.

(c) the controller is not established on Community territory and, for purposes of processing personal data makes use of equipment, automated or otherwise, situated on the territory of the said Member State, unless such equipment is used only for purposes of transit through the territory of the Community.

I. SZAKASZ

2. In the circumstances referred to in paragraph 1 (c), the controller must designate a representative established in the territory of that Member State, without prejudice to legal actions which could be initiated against the controller himself.

AZ ADATOK MINŐSÉGÉRE VONATKOZÓ ELVEK

6. cikk

CHAPTER II GENERAL RULES ON THE LAWFULNESS OF THE PROCESSING OF PERSONAL DATA

(1) A tagállamok rendelkeznek arról, hogy a személyes adatok:

a) feldolgozását tisztességesen és törvényesen kell végezni;

Article 5

b) gyűjtése csak meghatározott, egyértelmű és törvényes célból történhet, és további feldolgozása nem végezhető e célokkal összeférhetetlen módon. A személyes adatok további feldolgozása történelmi, statisztikai vagy tudományos célokra nem tekintendő összeférhetetlennek, amennyiben a tagállamok biztosítják a megfelelő garanciákat;

Member States shall, within the limits of the provisions of this Chapter, determine more precisely the conditions under which the processing of personal data is lawful.

c) gyűjtésük és/vagy további feldolgozásuk célja szempontjából megfelelőek, relevánsak és nem túlzott mértékűek;

SECTION I

d) pontosak, és ha szükséges, időszerűek kell legyenek; minden ésszerű intézkedést meg kell tenni annak érdekében, hogy a hibás vagy hiányos adatok, tekintettel gyűjtésük vagy további feldolgozásuk céljaira, törlésre vagy helyesbítésre kerüljenek;

PRINCIPLES RELATING TO DATA QUALITY

e) tárolásának olyan formában kell történnie, amely az érintettek azonosítását csak az adatok gyűjtése vagy további feldolgozása céljainak eléréséhez szükséges ideig teszi lehetővé. A tagállamok állapítják meg a személyes adatok történelmi, statisztikai vagy tudományos célból, hosszabb ideig történő tárolásának megfelelő garanciáit.

(2) Az adatkezelő feladata gondoskodni arról, hogy az (1) bekezdés rendelkezései teljesüljenek.

Article 6

II. SZAKASZ

1. Member States shall provide that personal data must be:

AZ ADATFELDOLGOZÁS JOGSZERŰVÉ TÉTELÉRE VONATKOZÓ KRITÉRIUMOK

(a) processed fairly and lawfully;

7. cikk

(b) collected for specified, explicit and legitimate purposes and not further processed in a way incompatible with those purposes. Further processing of data for historical, statistical or scientific purposes shall not be considered as incompatible provided that Member States provide appropriate safeguards;

A tagállamok rendelkeznek arról, hogy a személyes adatok csak abban az esetben dolgozhatók fel, ha:

(c) adequate, relevant and not excessive in relation to the purposes for which they are collected and/or further processed;

a) az érintett ahhoz egyértelmű hozzájárulását adta; vagy

(d) accurate and, where necessary, kept up to date; every reasonable step must be taken to ensure that data which are inaccurate or incomplete, having regard to the purposes for which they were collected or for which they are further processed, are erased or rectified;

b) az adatfeldolgozás olyan szerződés teljesítéséhez szükséges, amelyben az érintett az egyik fél, vagy az a szerződés megkötését megelőzően az érintett kérésére történő lépések megtételéhez szükséges; vagy

(e) kept in a form which permits identification of data subjects for no longer than is necessary for the purposes for which the data were collected or for which they are further processed. Member States shall lay down appropriate safeguards for personal data stored for longer periods for historical, statistical or scientific use.

c) az adatfeldolgozás az adatkezelőre vonatkozó jogi kötelezettségnek teljesítéséhez szükséges; vagy

2. It shall be for the controller to ensure that paragraph 1 is complied with.

d) feldolgozásuk az érintett létfontosságú érdekei védelméhez szükséges; vagy

SECTION II

e) az adatfeldolgozás közérdekből elvégzendő feladat végrehajtásához vagy az adatkezelőre, illetve az adatokról tudomást szerző harmadik félre ruházott hivatali hatáskör gyakorlásához szükséges; vagy

CRITERIA FOR MAKING DATA PROCESSING LEGITIMATE

f) az adatfeldolgozás az adatkezelő, vagy az adatokat megkapó harmadik fél, vagy felek jogszerű érdekének érvényesítéséhez szükséges, kivéve, ha ezeknél az érdekeknél magasabb rendűek az érintettnek az 1. cikk (1) bekezdése értelmében védelmet élvező érdekei az alapvető jogok és szabadságok tekintetében.

III. SZAKASZ

Article 7

AZ ADATFELDOLGOZÁS KÜLÖNLEGES KATEGÓRIÁI

Member States shall provide that personal data may be processed only if:

8. cikk

(a) the data subject has unambiguously given his consent; or

Különleges adatok feldolgozása

(b) processing is necessary for the performance of a contract to which the data subject is party or in order to take steps at the request of the data subject prior to entering into a contract; or

(1) A tagállamok megtilthatják az olyan személyes adatok feldolgozását, amelyek a faji vagy etnikai hovatartozásra, a politikai véleményre, a vallási vagy világnézeti meggyőződésre, a szakszervezeti tagságra, az egészségi állapotra vagy a szexuális életre vonatkoznak.

(c) processing is necessary for compliance with a legal obligation to which the controller is subject; or

(2) Az (1) bekezdést nem alkalmazható abban az esetben, ha:

(d) processing is necessary in order to protect the vital interests of the data subject; or

a) az érintett kifejezett hozzájárulását adta az említett adatok feldolgozásához, kivéve, ha a tagállam joga úgy rendelkezik, hogy az (1) bekezdésben említett tilalom alól nem engedhető kivétel az érintett hozzájárulásával sem, vagy

(e) processing is necessary for the performance of a task carried out in the public interest or in the exercise of official authority vested in the controller or in a third party to whom the data are disclosed; or

b) az adatfeldolgozás az adatkezelő kötelezettségei és meghatározott jogai gyakorlása érdekében szükséges a foglalkoztatási jogszabályok területén, amennyiben a megfelelő biztosítékokról rendelkező nemzeti jogszabályok ezt lehetővé teszik, vagy

(f) processing is necessary for the purposes of the legitimate interests pursued by the controller or by the third party or parties to whom the data are disclosed, except where such interests are overridden by the interests for fundamental rights and freedoms of the data subject which require protection under Article 1 (1).

c) az adatfeldolgozás az érintett vagy más személy létfontosságú érdekeinek védelméhez szükséges abban az esetben, ha az érintett fizikailag vagy jogilag képtelen a hozzájárulását adni, vagy

SECTION III

d) az adatfeldolgozás valamely alapítvány, egyesület vagy bármely más nonprofit szervezet megfelelő biztosítékok mellett végzett törvényes tevékenysége keretében történik, politikai, világnézeti, vallási vagy szakszervezeti céllal, azzal a feltétellel, hogy a feldolgozás kizárólag az ilyen szerv tagjaira, vagy olyan személyekre vonatkozik, akik azzal rendszeres kapcsolatban állnak a szerv céljainak megfelelően, és az adatok nem adhatók ki harmadik fél részére az érintettek hozzájárulása nélkül, vagy

SPECIAL CATEGORIES OF PROCESSING

e) az adatfeldolgozás olyan adatokra vonatkozik, amelyeket az érintett egyértelműen nyilvánosságra hozott, vagy amelyek jogi követelések megállapításához, gyakorlásához vagy védelméhez szükségesek.

(3) Az (1) bekezdés nem alkalmazható, ha az adatok feldolgozása megelőző egészségügyi, orvosi diagnosztikai célból, gondozás vagy feldolgozás alkalmazása vagy egészségügyi szolgáltatások igazgatása céljából szükséges, és ha az adatokat a nemzeti jog vagy az illetékes nemzeti testületek által meghatározott szakmai titoktartási kötelezettség alá eső egészségügyi szakember vagy azzal egyenértékű titoktartási kötelezettség alá eső más személy dolgozza fel.

Article 8

(4) Megfelelő garanciák nyújtása mellett a tagállamok, alapvető közérdekből, nemzeti jogszabályaikban vagy a felügyelő hatóság határozatában további mentességeket állapíthatnak meg a (2) bekezdésben foglaltakon kívül.

The processing of special categories of data

(5) A bűncselekményekre, büntetőítéletekre vagy biztonsági intézkedésekre vonatkozó adatok feldolgozása kizárólag a hatóság ellenőrzése mellett történhet, vagy ha a nemzeti jog megfelelő külön biztosítékot nyújt, az olyan eltérésekre is figyelemmel, amelyet a tagállamok a megfelelő külön biztosítékot nyújtó nemzeti rendelkezések alapján engedélyezhetnek. Mindazonáltal a büntetőítéletekről teljes körű nyilvántartást csak a hatóság ellenőrzésével lehet vezetni.

1. Member States shall prohibit the processing of personal data revealing racial or ethnic origin, political opinions, religious or philosophical beliefs, trade-union membership, and the processing of data concerning health or sex life.

A tagállamok rendelkezhetnek arról, hogy a közigazgatási szankciókkal vagy polgári ügyekben hozott határozatokkal kapcsolatos adatokat szintén csak a hatóság ellenőrzésével lehessen feldolgozni.

2. Paragraph 1 shall not apply where:

(6) Az (1) bekezdéstől való, a (4) és (5) bekezdésben említett eltérésekről a Bizottságot értesíteni kell.

(a) the data subject has given his explicit consent to the processing of those data, except where the laws of the Member State provide that the prohibition referred to in paragraph 1 may not be lifted by the data subject's giving his consent; or

(7) A tagállamok határozzák meg a nemzeti azonosító számok és egyéb általános jellegű azonosító jelek feldolgozásának feltételeit.

(b) processing is necessary for the purposes of carrying out the obligations and specific rights of the controller in the field of employment law in so far as it is authorized by national law providing for adequate safeguards; or

9. cikk

(c) processing is necessary to protect the vital interests of the data subject or of another person where the data subject is physically or legally incapable of giving his consent; or

A személyes adatok feldolgozása és a szólásszabadság

(d) processing is carried out in the course of its legitimate activities with appropriate guarantees by a foundation, association or any other non-profit-seeking body with a political, philosophical, religious or trade-union aim and on condition that the processing relates solely to the members of the body or to persons who have regular contact with it in connection with its purposes and that the data are not disclosed to a third party without the consent of the data subjects; or

A tagállamok e fejezet, a IV. és a VI. fejezet rendelkezései alóli felmentésről, illetve eltérésről kizárólag a személyes adatoknak újságírás, vagy irodalmi, illetve művészi kifejezés céljából történő feldolgozása esetén rendelkezhetnek, amennyiben azok a magánélet tiszteletben tartásához való jognak a szólásszabadságra vonatkozó szabályokkal való összeegyeztetéséhez szükségesek.

(e) the processing relates to data which are manifestly made public by the data subject or is necessary for the establishment, exercise or defence of legal claims.

IV. SZAKASZ

3. Paragraph 1 shall not apply where processing of the data is required for the purposes of preventive medicine, medical diagnosis, the provision of care or treatment or the management of health-care services, and where those data are processed by a health professional subject under national law or rules established by national competent bodies to the obligation of professional secrecy or by another person also subject to an equivalent obligation of secrecy.

AZ ÉRINTETT TÁJÉKOZTATÁSA

4. Subject to the provision of suitable safeguards, Member States may, for reasons of substantial public interest, lay down exemptions in addition to those laid down in paragraph 2 either by national law or by decision of the supervisory authority.

10. cikk

5. Processing of data relating to offences, criminal convictions or security measures may be carried out only under the control of official authority, or if suitable specific safeguards are provided under national law, subject to derogations which may be granted by the Member State under national provisions providing suitable specific safeguards. However, a complete register of criminal convictions may be kept only under the control of official authority.

Tájékoztatás az érintettől való adatgyűjtés esetében

Member States may provide that data relating to administrative sanctions or judgements in civil cases shall also be processed under the control of official authority.

A tagállamoknak rendelkezniük kell arról, hogy az adatkezelőnek vagy képviselőjének legalább az alábbiakról tájékoztatnia kell az érintettet, akitől a rá vonatkozó adatokat gyűjtik, kivéve ha az érintett már rendelkezik ezen információkkal:

6. Derogations from paragraph 1 provided for in paragraphs 4 and 5 shall be notified to the Commission.

a) az adatkezelő, vagy ha van ilyen, képviselőjének személye;

7. Member States shall determine the conditions under which a national identification number or any other identifier of general application may be processed.

b) az adatfeldolgozás célja, amelyre az adatokat szánják;

c) minden olyan további adat, mint például:

Article 9

- az adatok címzettjei, illetve a címzettek kategóriái,

Processing of personal data and freedom of expression

- hogy a kérdések megválaszolása kötelező vagy önkéntes, továbbá a válaszadás elmulasztásának lehetséges következményei,

Member States shall provide for exemptions or derogations from the provisions of this Chapter, Chapter IV and Chapter VI for the processing of personal data carried out solely for journalistic purposes or the purpose of artistic or literary expression only if they are necessary to reconcile the right to privacy with the rules governing freedom of expression.

- betekintési jog és az érintettre vonatkozó adatok helyesbítéséhez való jog,

SECTION IV

amennyiben e további információk, tekintettel az adatgyűjtés sajátos körülményeire, az érintett vonatkozásában a tisztességes adatfeldolgozás biztosításához szükségesek.

INFORMATION TO BE GIVEN TO THE DATA SUBJECT

11. cikk

Tájékoztatás, ha az adatokat nem az érintettől szerezték be

Article 10

(1) Abban az esetben, ha az adatokat nem az érintettől szerezték be, a tagállamoknak rendelkezniük kell arról, hogy az adatkezelő vagy képviselője a személyes adatok felvételének elvállalásakor, illetve, ha az adatokat harmadik személyhez szándékoznak továbbítani, legkésőbb az adatok első közlésekor köteles az érintettel legalább az alábbi információkat közölni, kivéve, ha az érintett már rendelkezik ezekkel az információkkal:

Information in cases of collection of data from the data subject

- az adatkezelő, vagy ha van ilyen, képviselőjének személye;

Member States shall provide that the controller or his representative must provide a data subject from whom data relating to himself are collected with at least the following information, except where he already has it:

- az adatfeldolgozás célja;

(a) the identity of the controller and of his representative, if any;

- bármely egyéb információ, mint például:

(b) the purposes of the processing for which the data are intended;

- az érintett adatok kategóriái,

(c) any further information such as

- az adatok címzettjei vagy a címzettek kategóriái,

- the recipients or categories of recipients of the data,

- betekintési jog és az érintettre vonatkozó adatok helyesbítéséhez való jog,

- whether replies to the questions are obligatory or voluntary, as well as the possible consequences of failure to reply,

amennyiben e további információk, tekintettel az adatgyűjtés sajátos körülményeire, az érintett vonatkozásában a tisztességes adatfeldolgozás biztosításához szükségesek.

- the existence of the right of access to and the right to rectify the data concerning him

(2) Az (1) bekezdés nem alkalmazható, különösen a statisztikai célú vagy a történelmi, vagy tudományos célú adatfeldolgozás esetében, ha a kérdéses információk rendelkezésre bocsátása lehetetlennek bizonyul vagy aránytalanul nagy erőfeszítést igényel, illetve ha a rögzítést vagy a közlést jogszabály kifejezetten előírja. Ezekben az esetekben a tagállamoknak garantálniuk kell a megfelelő biztosítékokat.

in so far as such further information is necessary, having regard to the specific circumstances in which the data are collected, to guarantee fair processing in respect of the data subject.

V. SZAKASZ

AZ ÉRINTETT ADATHOZZÁFÉRÉSHEZ VALÓ JOGA

Article 11

12. cikk

Information where the data have not been obtained from the data subject

Adathozzáféréshez való jog

1. Where the data have not been obtained from the data subject, Member States shall provide that the controller or his representative must at the time of undertaking the recording of personal data or if a disclosure to a third party is envisaged, no later than the time when the data are first disclosed provide the data subject with at least the following information, except where he already has it:

A tagállamoknak biztosítaniuk kell minden érintett számára a jogot, hogy az adatkezelőtől:

(a) the identity of the controller and of his representative, if any;

a) korlátozás nélkül, ésszerű időközönként, túlzott késedelem vagy költség nélkül:

(b) the purposes of the processing;

- megerősítést kapjon arról, hogy rá vonatkozóan adatok feldolgozása folyamatban van-e, továbbá, hogy információt kapjon legalább az adatfeldolgozás céljáról, az érintett adatkategóriákról, a címzettekről vagy a címzettek kategóriáiról, akik felé az adatokat továbbítják,

(c) any further information such as

- érthető formában értesítést kapjon az adatfeldolgozás alatt álló adatokról és azok forrásával kapcsolatos minden rendelkezésre álló információról,

- the categories of data concerned,

- tájékoztatást kapjon a rá vonatkozó adatok automatizált feldolgozása során alkalmazott logikáról legalább a 15. cikk (1) bekezdésében említett automatizált döntések esetében;

- the recipients or categories of recipients,

b) az esettől függően kérje az olyan adatok helyesbítését, törlését vagy zárolását, amelyek feldolgozása nem felel meg ezen irányelv rendelkezéseinek, különösen az ilyen adatok hiányos vagy hibás volta miatt;

- the existence of the right of access to and the right to rectify the data concerning him

c) kérje az adatokról tudomást szerző harmadik felek értesítését a b) ponttal összhangban végzett minden helyesbítésről, törlésről vagy zárolásról, hacsak ez lehetetlennek nem bizonyul, vagy aránytalanul nagy erőfeszítést nem igényel.

in so far as such further information is necessary, having regard to the specific circumstances in which the data are processed, to guarantee fair processing in respect of the data subject.

VI. SZAKASZ

2. Paragraph 1 shall not apply where, in particular for processing for statistical purposes or for the purposes of historical or scientific research, the provision of such information proves impossible or would involve a disproportionate effort or if recording or disclosure is expressly laid down by law. In these cases Member States shall provide appropriate safeguards.

MENTESSÉGEK ÉS KORLÁTOZÁSOK

SECTION V

13. cikk

THE DATA SUBJECT'S RIGHT OF ACCESS TO DATA

Mentességek és korlátozások

(1) A tagállamok jogszabályokat fogadhatnak el a 6. cikk (1) bekezdésében, a 10. cikkben. a 11. cikk (1) bekezdésében, valamint a 12. és a 21. cikkben foglalt jogok és kötelezettségek körének korlátozására, amennyiben a korlátozás az alábbiak biztosításához szükséges:

Article 12

a) nemzetbiztonság;

Right of access

b) honvédelem;

Member States shall guarantee every data subject the right to obtain from the controller:

c) közbiztonság;

(a) without constraint at reasonable intervals and without excessive delay or expense:

d) bűncselekmények vagy a szabályozott foglalkozások etikai vétségeinek megelőzése, vizsgálata, felderítése és az ezekkel kapcsolatos eljárások lefolytatása;

- confirmation as to whether or not data relating to him are being processed and information at least as to the purposes of the processing, the categories of data concerned, and the recipients or categories of recipients to whom the data are disclosed,

e) valamely tagállam vagy az Európai Unió fontos gazdasági vagy pénzügyi érdeke, beleértve a monetáris, a költségvetési és az adózási kérdéseket;

- communication to him in an intelligible form of the data undergoing processing and of any available information as to their source,

f) a c), d) és e) pontban említett esetekben esetlegesen a hatósági feladatok gyakorlásához kapcsolódó ellenőrzési, felügyeleti és szabályozási tevékenység;

- knowledge of the logic involved in any automatic processing of data concerning him at least in the case of the automated decisions referred to in Article 15 (1);

g) az érintett, vagy mások jogainak és szabadságainak védelme.

(b) as appropriate the rectification, erasure or blocking of data the processing of which does not comply with the provisions of this Directive, in particular because of the incomplete or inaccurate nature of the data;

(2) Megfelelő jogi garanciák mellett, különösen ha az adatokat nem használják fel meghatározott egyénre vonatkozó intézkedések vagy döntések hozatalához olyan esetben, amikor nyilvánvalóan nem áll fenn annak a veszélye, hogy az érintett magánélethez való jogát sérelem éri, a tagállamok törvényes eszközökkel korlátozhatják a 12. cikkben foglalt jogokat, amennyiben az adatokat kizárólag tudományos kutatás céljára használják fel, vagy személyes jellegüket megőrző formában csak a statisztika elkészítéséhez szükséges ideig tárolják.

(c) notification to third parties to whom the data have been disclosed of any rectification, erasure or blocking carried out in compliance with (b), unless this proves impossible or involves a disproportionate effort.

VII. SZAKASZ

SECTION VI

AZ ÉRINTETT TILTAKOZÁSI JOGA

EXEMPTIONS AND RESTRICTIONS

14. cikk

Az érintett tiltakozási joga

Article 13

A tagállamoknak biztosítaniuk kell az érintettnek, hogy:

Exemptions and restrictions

a) legalább a 7. cikk e) és f) pontjában foglalt esetekben, sajátos helyzetével kapcsolatos lényeges jogos érdekből bármikor tiltakozhasson a rá vonatkozó adatok feldolgozása ellen, kivéve, ha erről a nemzeti jog másként rendelkezik. Jogos tiltakozás esetén az adatkezelő által kezdeményezett adatfeldolgozás a továbbiakban nem terjedhet ki a szóban forgó adatokra;

1. Member States may adopt legislative measures to restrict the scope of the obligations and rights provided for in Articles 6 (1), 10, 11 (1), 12 and 21 when such a restriction constitutes a necessary measures to safeguard:

b) kérelemre és térítésmentesen tiltakozhasson az olyan, rá vonatkozó személyes adatok feldolgozása ellen, amelyekkel kapcsolatban az adatkezelő előre jelzi, hogy feldolgozásuk célja közvetlen üzletszerzés, illetve hogy tájékoztassák személyes adatainak harmadik személyeknek első alkalommal történő közlése, vagy a nevükben közvetlen üzletszerzés céljára történő felhasználás előtt, valamint számára az ilyen közlés vagy felhasználás elleni kifogás jogát kifejezetten biztosítani.

(a) national security;

A tagállamok megteszik a szükséges intézkedéseket annak biztosítása érdekében, hogy az érintettek tisztában legyenek a b) pont első albekezdésében említett jogukkal.

(b) defence;

15. cikk

(c) public security;

Automatizált egyedi döntések

(d) the prevention, investigation, detection and prosecution of criminal offences, or of breaches of ethics for regulated professions;

(1) A tagállamok minden személynek biztosítják a jogot arra, hogy ne terjedhessen ki rájuk olyan döntés hatálya, amely rájuk nézve jogi hatással járna, vagy őket jelentős mértékben érintené, és amely kizárólag automatizált feldolgozáson alapul, és amelynek célja a rá vonatkozó egyes olyan személyes szempontok kiértékelése, mint például a munkahelyi teljesítmény, a hitelképesség, a megbízhatóság, az életvitel, stb.

(e) an important economic or financial interest of a Member State or of the European Union, including monetary, budgetary and taxation matters;

(2) Ezen irányelv többi cikkére is figyelemmel, a tagállamok úgy is rendelkezhetnek, hogy az első bekezdésben említett döntés hatálya kiterjedhet a személyre, amennyiben a döntést:

(f) a monitoring, inspection or regulatory function connected, even occasionally, with the exercise of official authority in cases referred to in (c), (d) and (e);

a) valamely szerződés megkötése vagy teljesítése során hozták, feltéve, hogy az érintettnek a szerződés megkötése vagy teljesítése iránti kérelmét teljesítették, vagy jogos érdekének biztosítására megfelelő biztosítékok állnak rendelkezésre, mint például a véleményének kinyilvánítását lehetővé tevő intézkedések; vagy

(g) the protection of the data subject or of the rights and freedoms of others.

b) olyan jogszabály teszi lehetővé, amely az érintett jogos érdekeit biztosító intézkedéseket is megállapítja.

2. Subject to adequate legal safeguards, in particular that the data are not used for taking measures or decisions regarding any particular individual, Member States may, where there is clearly no risk of breaching the privacy of the data subject, restrict by a legislative measure the rights provided for in Article 12 when data are processed solely for purposes of scientific research or are kept in personal form for a period which does not exceed the period necessary for the sole purpose of creating statistics.

VIII. SZAKASZ

SECTION VII

AZ ADATFELDOLGOZÁS TITKOSSÁGA ÉS BIZTONSÁGA

THE DATA SUBJECT'S RIGHT TO OBJECT

16. cikk

Az adatfeldolgozás titkossága

Article 14

Bármely, az adatkezelő vagy az adatfeldolgozó meghatalmazásával eljáró személy, beleértve magát az adatfeldolgozót is, aki a személyes adatokhoz hozzáféréssel rendelkezik, kizárólag az adatkezelő utasítása alapján dolgozhatja fel ezeket az adatokat, kivéve, ha erre őt jogszabály kötelezi.

The data subject's right to object

17. cikk

Member States shall grant the data subject the right:

Az adatfeldolgozás biztonsága

(a) at least in the cases referred to in Article 7 (e) and (f), to object at any time on compelling legitimate grounds relating to his particular situation to the processing of data relating to him, save where otherwise provided by national legislation. Where there is a justified objection, the processing instigated by the controller may no longer involve those data;

(1) A tagállamoknak rendelkezniük kell arról, hogy az adatkezelő végrehajtsa a megfelelő technikai és szervezési intézkedéseket a személyes adatok véletlen vagy jogellenes megsemmisülése, véletlen elvesztése, megváltoztatása, jogosulatlan nyilvánosságra hozatala vagy hozzáférése elleni védelme érdekében, különösen, ha a feldolgozás közben az adatokat hálózaton keresztül továbbítják, továbbá a feldolgozás minden más jogellenes formája ellen.

(b) to object, on request and free of charge, to the processing of personal data relating to him which the controller anticipates being processed for the purposes of direct marketing, or to be informed before personal data are disclosed for the first time to third parties or used on their behalf for the purposes of direct marketing, and to be expressly offered the right to object free of charge to such disclosures or uses.

Tekintettel a technika vívmányaira és alkalmazásuk költségeire, ezen intézkedéseknek olyan szintű biztonságot kell nyújtaniuk, amely megfelel az adatfeldolgozás által jelentett kockázatoknak és a védendő adatok jellegének.

Member States shall take the necessary measures to ensure that data subjects are aware of the existence of the right referred to in the first subparagraph of (b).

(2) A tagállamoknak rendelkezniük kell arról, hogy az adatkezelő – amennyiben az adatfeldolgozás az ő nevében történik – köteles olyan adatfeldolgozót választani, aki a technikai biztonsági intézkedések és az elvégzendő adatfeldolgozásra vonatkozó szervezési intézkedések tekintetében megfelelő garanciákat nyújt, továbbá köteles biztosítani az említett intézkedések teljesítését.

(3) Adatfeldolgozón keresztül történő adatfeldolgozásra olyan szerződésnek vagy jogi aktusnak kell vonatkoznia, amely az adatfeldolgozót az adatkezelővel szemben köti, és amely különösen a következőket tartalmazza:

Article 15

- az adatfeldolgozó kizárólag az adatkezelő utasítása alapján járhat el,

Automated individual decisions

- az (1) bekezdésben megállapított kötelezettségek annak a tagállamnak a jogszabályai szerint kerülnek meghatározásra, amelyben a feldolgozó letelepedett, és azok a feldolgozóra is vonatkoznak.

1. Member States shall grant the right to every person not to be subject to a decision which produces legal effects concerning him or significantly affects him and which is based solely on automated processing of data intended to evaluate certain personal aspects relating to him, such as his performance at work, creditworthiness, reliability, conduct, etc.

(4) A bizonyítékok megőrzése céljából az adatvédelemre és az (1) bekezdésben említett intézkedésekkel kapcsolatos előírásokra vonatkozó szerződés vagy jogi aktus részeit írásba vagy egyéb, azzal egyenértékű formába kell foglalni.

2. Subject to the other Articles of this Directive, Member States shall provide that a person may be subjected to a decision of the kind referred to in paragraph 1 if that decision:

IX. SZAKASZ

(a) is taken in the course of the entering into or performance of a contract, provided the request for the entering into or the performance of the contract, lodged by the data subject, has been satisfied or that there are suitable measures to safeguard his legitimate interests, such as arrangements allowing him to put his point of view; or

ÉRTESÍTÉS

(b) is authorized by a law which also lays down measures to safeguard the data subject's legitimate interests.

18. cikk

SECTION VIII

A felügyelő hatóság értesítésére vonatkozó kötelezettség

CONFIDENTIALITY AND SECURITY OF PROCESSING

(1) A tagállamoknak rendelkezniük kell arról, hogy az adatkezelő vagy annak képviselője, ha van ilyen, értesítse a 28. cikkben említett felügyelő hatóságot akár egyetlen, akár több, összefüggő célt szolgáló, részben vagy egészen automatizált módon történő adatfeldolgozási művelet vagy műveletsorozat elvégzését megelőzően.

(2) A tagállamok kizárólag a következő esetekben és feltételek mellett rendelkezhetnek az értesítés módjának egyszerűsítéséről vagy az értesítési kötelezettség alóli felmentésről:

Article 16

- amennyiben az olyan adatfeldolgozási műveletek kategóriái esetében, amelyek – figyelembe véve a feldolgozandó adatokat – valószínűleg nem befolyásolják hátrányosan az érintettek jogait és szabadságait, meghatározzák az adatfeldolgozás célját, a feldolgozásra kerülő adatokat vagy adatkategóriákat, az érintettek körét vagy köreit, azokat a címzetteket vagy címzettek kategóriáit, akik számára az adatokat továbbították, továbbá az adatok tárolásának időtartamát, és/vagy

Confidentiality of processing

- amennyiben az adatkezelő a rá vonatkozó nemzeti jogszabályokkal összhangban kijelöl egy személyesadat-védelmi tisztviselőt, aki elsősorban az alábbiakért felelős:

Any person acting under the authority of the controller or of the processor, including the processor himself, who has access to personal data must not process them except on instructions from the controller, unless he is required to do so by law.

- az ezen irányelv alapján elfogadott nemzeti rendelkezések belső alkalmazásának független módon való biztosítása,

- az adatkezelő által végzett adatfeldolgozási műveletek nyilvántartásának vezetése, amely tartalmazza a 21. cikk (2) bekezdésében említett adatokat,

Article 17

ezáltal biztosítva, hogy az adatfeldolgozási műveletek várhatóan ne befolyásolják hátrányosan az érintettek jogait és szabadságait.

Security of processing

(3) A tagállamok rendelkezhetnek arról, hogy az (1) bekezdés ne vonatkozzon arra az adatfeldolgozásra, amelynek kizárólagos célja egy olyan nyilvántartás vezetése, amely a törvények vagy rendeletek értelmében a nyilvánosság tájékoztatását szolgálja, és amely általában a nyilvánosság, vagy bármely jogos érdekét igazoló személy számára betekintés céljából rendelkezésre áll.

1. Member States shall provide that the controller must implement appropriate technical and organizational measures to protect personal data against accidental or unlawful destruction or accidental loss, alteration, unauthorized disclosure or access, in particular where the processing involves the transmission of data over a network, and against all other unlawful forms of processing.

(4) A tagállamok a 8. cikk (2) bekezdésének d) pontjában említett adatfeldolgozási műveletek esetében rendelkezhetnek az értesítési kötelezettség alóli felmentésről vagy az értesítés módjának egyszerűsítéséről.

Having regard to the state of the art and the cost of their implementation, such measures shall ensure a level of security appropriate to the risks represented by the processing and the nature of the data to be protected.

(5) A tagállamok kiköthetik, hogy egyes vagy az összes, személyes adatot érintő, nem automatizált adatfeldolgozási művelet értesítési kötelezettség alá tartozzon, vagy rendelkezhetnek arról, hogy ezen adatfeldolgozási műveletek egyszerűsített értesítés tárgyát képezzék.

2. The Member States shall provide that the controller must, where processing is carried out on his behalf, choose a processor providing sufficient guarantees in respect of the technical security measures and organizational measures governing the processing to be carried out, and must ensure compliance with those measures.

19. cikk

3. The carrying out of processing by way of a processor must be governed by a contract or legal act binding the processor to the controller and stipulating in particular that:

Az értesítés tartalma

- the processor shall act only on instructions from the controller,

(1) Az értesítésben foglalt adatokat a tagállamok határozzák meg. Az értesítésnek legalább a következőket tartalmaznia kell:

- the obligations set out in paragraph 1, as defined by the law of the Member State in which the processor is established, shall also be incumbent on the processor.

a) az adatkezelő, vagy – ha van ilyen – annak képviselőjének neve és címe;

4. For the purposes of keeping proof, the parts of the contract or the legal act relating to data protection and the requirements relating to the measures referred to in paragraph 1 shall be in writing or in another equivalent form.

b) az adatfeldolgozás célja vagy céljai;

SECTION IX

c) az érintettek körének vagy köreinek, továbbá a rájuk vonatkozó adatok vagy adatkategóriák leírása;

NOTIFICATION

d) azoknak a címzetteknek vagy címzett kategóriáknak a leírása, akik számára az adatokat továbbították;

e) harmadik országokba irányuló tervezett adattovábbítások;

Article 18

f) általános leírás, amely lehetővé teszi a 17. cikk értelmében az adatfeldolgozás biztonsága érdekében hozott intézkedések megfelelő mivoltának előzetes értékelését.

Obligation to notify the supervisory authority

(2) A tagállamok határozzák meg azokat az eljárásokat, amelyek keretében a felügyelő hatóságot az (1) bekezdésben említett adatokat érintő bármilyen változásról értesíteni kell.

1. Member States shall provide that the controller or his representative, if any, must notify the supervisory authority referred to in Article 28 before carrying out any wholly or partly automatic processing operation or set of such operations intended to serve a single purpose or several related purposes.

20. cikk

2. Member States may provide for the simplification of or exemption from notification only in the following cases and under the following conditions:

Előzetes ellenőrzés

- where, for categories of processing operations which are unlikely, taking account of the data to be processed, to affect adversely the rights and freedoms of data subjects, they specify the purposes of the processing, the data or categories of data undergoing processing, the category or categories of data subject, the recipients or categories of recipient to whom the data are to be disclosed and the length of time the data are to be stored, and/or

(1) A tagállamok határozzák meg azokat az adatfeldolgozási műveleteket, amelyek külön kockázatot jelenthetnek az érintettek jogaira és szabadságaira nézve, továbbá ellenőrzik, hogy ezeket az adatfeldolgozási műveleteket megkezdésük előtt megvizsgálják-e.

- where the controller, in compliance with the national law which governs him, appoints a personal data protection official, responsible in particular:

(2) Ezeket az előzetes ellenőrzéseket a felügyelő hatóság végzi, miután az adatkezelőtől vagy az adatvédelmi tisztviselőtől értesítést kapott, akik – kétség esetén – kötelesek konzultálni a felügyelő hatósággal.

- for ensuring in an independent manner the internal application of the national provisions taken pursuant to this Directive

(3) Ilyen ellenőrzéseket a tagállamok is végezhetnek akár a nemzeti parlament intézkedésének, akár az adatfeldolgozás jellegét meghatározó, és a megfelelő biztosítékokat megállapító jogalkotási rendelkezésen alapuló intézkedés előkészítése keretében is.

- for keeping the register of processing operations carried out by the controller, containing the items of information referred to in Article 21 (2),

21. cikk

thereby ensuring that the rights and freedoms of the data subjects are unlikely to be adversely affected by the processing operations.

Az adatfeldolgozási műveletek nyilvánosságának biztosítása

3. Member States may provide that paragraph 1 does not apply to processing whose sole purpose is the keeping of a register which according to laws or regulations is intended to provide information to the public and which is open to consultation either by the public in general or by any person demonstrating a legitimate interest.

(1) A tagállamoknak intézkedéseket kell tenniük az adatfeldolgozási műveletek nyilvánosságának biztosítására.

4. Member States may provide for an exemption from the obligation to notify or a simplification of the notification in the case of processing operations referred to in Article 8 (2) (d).

(2) A tagállamoknak rendelkezniük kell arról, hogy a 18. cikk szerinti adatfeldolgozási műveletekről a felügyelő hatóság nyilvántartást vezessen.

5. Member States may stipulate that certain or all non-automatic processing operations involving personal data shall be notified, or provide for these processing operations to be subject to simplified notification.

A nyilvántartásnak legalább a 19. cikk (1) bekezdésének a)–e) pontjában felsorolt adatokat tartalmaznia kell.

A nyilvántartást bárki megtekintheti.

Article 19

(3) Az értesítéshez nem kötött adatfeldolgozási műveletek kapcsán a tagállamoknak rendelkezniük kell arról, hogy az adatkezelők vagy a tagállamok által kijelölt egyéb szerv kérelemre, bárki számára megfelelő formában bocsássa rendelkezésre legalább a 19. cikk (1) bekezdésének a)–e) pontjában felsorolt adatokat.

Contents of notification

A tagállamok rendelkezhetnek arról, hogy ez a rendelkezés ne vonatkozzon arra az adatfeldolgozásra, amelynek kizárólagos célja egy olyan nyilvántartás vezetése, amely a törvények vagy rendeletek értelmében a nyilvánosság tájékoztatását szolgálja, és amely általában a nyilvánosság, vagy bármely jogos érdekét igazoló személy számára betekintés céljából rendelkezésre áll.

1. Member States shall specify the information to be given in the notification. It shall include at least:

III. FEJEZET

(a) the name and address of the controller and of his representative, if any;

BÍRÓSÁGI JOGORVOSLAT, FELELŐSSÉG ÉS SZANKCIÓK

(b) the purpose or purposes of the processing;

22. cikk

(c) a description of the category or categories of data subject and of the data or categories of data relating to them;

Jogorvoslat

(d) the recipients or categories of recipient to whom the data might be disclosed;

A jogszabályban esetlegesen előírt közigazgatási jogorvoslat sérelme nélkül, amelynek keretében többek között a 28. cikkben meghatározott felügyelő hatósághoz lehet fordulni, a bíróság elé utalást megelőzően, a tagállamoknak biztosítaniuk kell mindenki számára a jogorvoslathoz való jogot bármely olyan jogának megsértése esetén, amelyet a szóban forgó adatfeldolgozásra alkalmazandó nemzeti jog biztosít számára.

(e) proposed transfers of data to third countries;

23. cikk

(f) a general description allowing a preliminary assessment to be made of the appropriateness of the measures taken pursuant to Article 17 to ensure security of processing.

Felelősség

2. Member States shall specify the procedures under which any change affecting the information referred to in paragraph 1 must be notified to the supervisory authority.

(1) A tagállamoknak rendelkezniük kell arról, hogy mindenki, aki jogellenes adatfeldolgozási művelet vagy az ezen irányelv értelmében elfogadott nemzeti rendelkezésekkel összeegyeztethetetlen intézkedés eredményeképpen kárt szenvedett, az adatkezelőtől kártérítésre jogosult az elszenvedett károkért.

(2) Az adatkezelő részben vagy egészben mentesül e felelősség alól, ha bizonyítja, hogy a kárt okozó eseményért nem felelős.

Article 20

24. cikk

Prior checking

Szankciók

1. Member States shall determine the processing operations likely to present specific risks to the rights and freedoms of data subjects and shall check that these processing operations are examined prior to the start thereof.

A tagállamok elfogadják a megfelelő intézkedéseket ezen irányelv rendelkezéseinek maradéktalan végrehajtása érdekében és különösen megállapítják az irányelv értelmében elfogadott rendelkezések megsértése esetén kiszabható szankciókat.

2. Such prior checks shall be carried out by the supervisory authority following receipt of a notification from the controller or by the data protection official, who, in cases of doubt, must consult the supervisory authority.

IV. FEJEZET

3. Member States may also carry out such checks in the context of preparation either of a measure of the national parliament or of a measure based on such a legislative measure, which define the nature of the processing and lay down appropriate safeguards.

A SZEMÉLYES ADATOK HARMADIK ORSZÁGOKBA IRÁNYULÓ TOVÁBBÍTÁSA

25. cikk

Article 21

Elvek

Publicizing of processing operations

(1) A tagállamoknak rendelkezniük kell arról, hogy a feldolgozásra kerülő vagy továbbítás után feldolgozásra szánt személyes adatok csak akkor továbbíthatók harmadik országba, ha – az ezen irányelv egyéb rendelkezései értelmében elfogadott nemzeti rendelkezéseknek való megfelelés sérelme nélkül – az adott harmadik ország megfelelő védelmi szintet tud biztosítani.

1. Member States shall take measures to ensure that processing operations are publicized.

(2) A harmadik ország által nyújtott védelem szintjének megfelelő mivoltát az adattovábbítási művelet vagy adattovábbítási műveletsorozat feltételeinek figyelembevételével kell értékelni; különös figyelmet kell fordítani az adatok jellegére, a tervezett adatfeldolgozási művelet vagy műveletek céljára és időtartamára, a kiindulási és a célországra, az adott harmadik országban hatályos, általános és ágazati jogrendre, valamint az adott országban érvényesülő szakmai szabályokra és biztonsági intézkedésekre.

2. Member States shall provide that a register of processing operations notified in accordance with Article 18 shall be kept by the supervisory authority.

(3) A tagállamok és a Bizottság értesítik egymást azokról az esetekről, amelyekben úgy vélik, hogy valamely harmadik ország nem biztosít megfelelő védelmi szintet a (2) bekezdés értelmében.

The register shall contain at least the information listed in Article 19 (1) (a) to (e).

(4) Amennyiben a Bizottság megállapítja a 31. cikk (2) bekezdésében foglalt eljárás során, hogy valamely harmadik ország nem biztosít megfelelő védelmi szintet ennek a cikknek a (2) bekezdése értelmében, a tagállamok megteszik a megfelelő intézkedéseket az azonos típusú adatoknak a szóban forgó harmadik országba irányuló továbbításának megakadályozására.

The register may be inspected by any person.

(5) A Bizottság megfelelő időben tárgyalásokat kezdeményez a (4) bekezdés szerinti megállapításból eredő helyzet megoldására.

3. Member States shall provide, in relation to processing operations not subject to notification, that controllers or another body appointed by the Member States make available at least the information referred to in Article 19 (1) (a) to (e) in an appropriate form to any person on request.

(6) A Bizottság a 31. cikk (2) bekezdésében említett eljárásnak megfelelően megállapíthatja, hogy a harmadik ország megfelelő védelmi szintet biztosít e cikk (2) bekezdése értelmében, az egyének magánéletének, jogainak és szabadságainak védelmére vonatkozó belföldi jog, vagy a vállalt nemzetközi kötelezettségek, különösen az (5) bekezdésben említett tárgyalások végeredménye alapján.

Member States may provide that this provision does not apply to processing whose sole purpose is the keeping of a register which according to laws or regulations is intended to provide information to the public and which is open to consultation either by the public in general or by any person who can provide proof of a legitimate interest.

A tagállamok megtesznek minden szükséges intézkedést a Bizottság határozatának teljesítésére.

26. cikk

CHAPTER III JUDICIAL REMEDIES, LIABILITY AND SANCTIONS

Eltérések

(1) A 25. cikktől eltérően, és amennyiben az adott esetre vonatkozó belföldi jogszabályok másképp nem rendelkeznek, a tagállamok rendelkeznek arról, hogy a személyes adatok olyan harmadik országba irányuló továbbítása vagy továbbítás-sorozata, amely a 25. cikk (2) bekezdése értelmében nem biztosít megfelelő szintű védelmet, csak a következő feltételek mellett történhet:

Article 22

a) az érintett egyértelműen hozzájárulását adta a tervezett továbbításhoz; vagy

Remedies

b) a továbbítás az érintett és az adatkezelő közötti szerződés teljesítéséhez, vagy az érintett kérelmére hozott, szerződést megelőző intézkedések végrehajtásához szükséges; vagy

Without prejudice to any administrative remedy for which provision may be made, inter alia before the supervisory authority referred to in Article 28, prior to referral to the judicial authority, Member States shall provide for the right of every person to a judicial remedy for any breach of the rights guaranteed him by the national law applicable to the processing in question.

c) a továbbítás az adatkezelő és valamely harmadik fél közötti, az érintett érdekét szolgáló szerződés megkötéséhez vagy teljesítéséhez szükséges; vagy

d) a továbbítás fontos közérdekből vagy jogi követelések létrejötte, érvényesítése vagy védelme miatt szükséges, illetve azt jogszabály írja elő; vagy

Article 23

e) a továbbítás az érintett létfontosságú érdekeinek védelme miatt szükséges; vagy

Liability

f) a továbbítást olyan nyilvántartásból végzik, amely a törvények vagy rendeletek értelmében a nyilvánosság tájékoztatását szolgálja, és amely általában a nyilvánosság, vagy bármely jogos érdekét igazoló személy számára betekintés céljából rendelkezésre áll, amennyiben a jogszabályok által a betekintésre megállapított feltételek az adott esetben teljesülnek.

1. Member States shall provide that any person who has suffered damage as a result of an unlawful processing operation or of any act incompatible with the national provisions adopted pursuant to this Directive is entitled to receive compensation from the controller for the damage suffered.

(2) Az (1) bekezdés sérelme nélkül a tagállamok engedélyezhetik a személyes adatok olyan harmadik országba irányuló továbbítását vagy továbbítás-sorozatát, amely a 25. cikk (2) bekezdése értelmében nem biztosít megfelelő szintű védelmet, amennyiben az adatkezelő megfelelő garanciákat teremt az egyének magánéletének, alapvető jogainak és szabadságainak védelme, továbbá a kapcsolódó jogok gyakorlása tekintetében; ilyen garanciát jelenthetnek elsősorban a megfelelő szerződési feltételek.

2. The controller may be exempted from this liability, in whole or in part, if he proves that he is not responsible for the event giving rise to the damage.

(3) A tagállamok értesítik a Bizottságot és a többi tagállamot az általuk a (2) bekezdés alapján megadott engedélyekről.

Ha valamely tagállam vagy a Bizottság tiltakozását fejezi ki az egyének magánéletének, alapvető jogainak és szabadságainak védelmét is magában foglaló, jogos okokból, a Bizottság a 31. cikk (2) bekezdésében foglalt eljárással összhangban megfelelő intézkedéseket hoz.

Article 24

A tagállamok megteszik a szükséges intézkedéseket a Bizottság határozatának teljesítésére.

Sanctions

(4) Amennyiben a Bizottság a 31. cikk (2) bekezdésében említett eljárásnak megfelelően úgy dönt, hogy egyes általános szerződési feltételek megfelelő biztosítékot nyújtanak a (2) bekezdés értelmében, a tagállamok megteszik a szükséges intézkedéseket a Bizottság határozatának teljesítésére.

The Member States shall adopt suitable measures to ensure the full implementation of the provisions of this Directive and shall in particular lay down the sanctions to be imposed in case of infringement of the provisions adopted pursuant to this Directive.

V. FEJEZET

ELJÁRÁSI SZABÁLYZAT

CHAPTER IV TRANSFER OF PERSONAL DATA TO THIRD COUNTRIES

27. cikk

(1) A tagállamok és a Bizottság ösztönzik az irányelvnek megfelelően a tagállamok által elfogadott nemzeti rendelkezések helyes végrehajtásának elősegítésére szánt eljárási szabályzatok kidolgozását, figyelembe véve a különböző ágazatok egyedi jellemzőit.

Article 25

(2) A tagállamok rendelkeznek arról, hogy az országos szabályzattervezetet kidolgozó, vagy a meglévő országos szabályzatot módosítani, vagy bővíteni szándékozó szakmai szövetségek és az egyéb adatkezelőket képviselő más szervek ezeket véleményezésre előterjeszthessék a nemzeti hatóságnak.

Principles

A tagállamok rendelkeznek arról, hogy ez a hatóság állapítsa meg, többek között, hogy az elé terjesztett tervezetek összhangban vannak-e az ezen irányelvnek megfelelően elfogadott nemzeti rendelkezésekkel. A hatóság, amennyiben ezt szükségesnek tartja, kikérheti az érintettek vagy azok képviselőinek véleményét.

1. The Member States shall provide that the transfer to a third country of personal data which are undergoing processing or are intended for processing after transfer may take place only if, without prejudice to compliance with the national provisions adopted pursuant to the other provisions of this Directive, the third country in question ensures an adequate level of protection.

(3) A közösségi szabályzattervezetek, továbbá a meglévő közösségi szabályzatok módosításai és bővítései a 29. cikkben említett munkacsoport elé terjeszthetők. A munkacsoport, többek között, meghatározza, hogy az elé terjesztett tervezetek összhangban vannak-e az irányelvnek megfelelően elfogadott nemzeti rendelkezésekkel. A hatóság, amennyiben ezt szükségesnek tartja, kikérheti az érintettek vagy azok képviselőinek véleményét. A munkacsoport által jóváhagyott szabályzatok számára a Bizottság megfelelő nyilvánosságot biztosíthat.

2. The adequacy of the level of protection afforded by a third country shall be assessed in the light of all the circumstances surrounding a data transfer operation or set of data transfer operations; particular consideration shall be given to the nature of the data, the purpose and duration of the proposed processing operation or operations, the country of origin and country of final destination, the rules of law, both general and sectoral, in force in the third country in question and the professional rules and security measures which are complied with in that country.

VI. FEJEZET

3. The Member States and the Commission shall inform each other of cases where they consider that a third country does not ensure an adequate level of protection within the meaning of paragraph 2.

A FELÜGYELŐ HATÓSÁG ÉS A SZEMÉLYES ADATFELDOLGOZÁS VONATKOZÁSÁBAN AZ EGYÉNEK VÉDELMÉVEL FOGLALKOZÓ MUNKACSOPORT

4. Where the Commission finds, under the procedure provided for in Article 31 (2), that a third country does not ensure an adequate level of protection within the meaning of paragraph 2 of this Article, Member States shall take the measures necessary to prevent any transfer of data of the same type to the third country in question.

28. cikk

5. At the appropriate time, the Commission shall enter into negotiations with a view to remedying the situation resulting from the finding made pursuant to paragraph 4.

A felügyelő hatóság

6. The Commission may find, in accordance with the procedure referred to in Article 31 (2), that a third country ensures an adequate level of protection within the meaning of paragraph 2 of this Article, by reason of its domestic law or of the international commitments it has entered into, particularly upon conclusion of the negotiations referred to in paragraph 5, for the protection of the private lives and basic freedoms and rights of individuals.

(1) Minden tagállamnak rendelkeznie kell arról, hogy az ezen irányelv értelmében a tagállam által elfogadott nemzeti rendelkezéseknek a területén történő alkalmazását valamely hatóság vagy hatóságok felügyeljék.

Member States shall take the measures necessary to comply with the Commission's decision.

E hatóságok a rájuk ruházott feladatok gyakorlása során teljes függetlenségben járnak el.

(2) Minden tagállamnak rendelkeznie kell arról, hogy a személyes adatok feldolgozása vonatkozásában az egyének jogainak és szabadságainak védelmére vonatkozó közigazgatási intézkedések vagy rendeletek kidolgozásakor a felügyelő hatóságokkal konzultáljanak.

Article 26

(3) A hatóságok különösen a következő jogosultságokkal rendelkeznek:

Derogations

- vizsgálati jogkör, mint például az adatfeldolgozási műveletek tárgyát képező adatokhoz való hozzáférés joga, továbbá a felügyeleti feladatok ellátásához szükséges adatok gyűjtésének joga,

1. By way of derogation from Article 25 and save where otherwise provided by domestic law governing particular cases, Member States shall provide that a transfer or a set of transfers of personal data to a third country which does not ensure an adequate level of protection within the meaning of Article 25 (2) may take place on condition that:

- tényleges beavatkozási jogosultságok, mint például a 20. cikknek megfelelően végzett adatfeldolgozási műveletek megkezdése előtti véleményezés joga, e vélemények megfelelő közzétételének biztosítása, az adatok zárolásának, törlésének vagy megsemmisítésének elrendelése, az adatfeldolgozás átmeneti vagy végleges tilalmának megállapítása, az adatkezelő figyelmeztetése vagy megrovása, illetve az ügy nemzeti parlament vagy más politikai intézmény elé terjesztése,

(a) the data subject has given his consent unambiguously to the proposed transfer; or

- bírósági eljárásban való részvétel joga az irányelv értelmében elfogadott nemzeti rendelkezések megsértése esetén, továbbá e jogsértések igazságszolgáltatási hatóságok elé terjesztésének joga.

(b) the transfer is necessary for the performance of a contract between the data subject and the controller or the implementation of precontractual measures taken in response to the data subject's request; or

A felügyelő hatóság kifogásolható határozatai bíróság előtt megtámadhatók.

(c) the transfer is necessary for the conclusion or performance of a contract concluded in the interest of the data subject between the controller and a third party; or

(4) A felügyelő hatóságok foglalkoznak a személyes adatok feldolgozása vonatkozásában az egyének jogainak vagy szabadságainak védelmével kapcsolatos, bármely személy vagy az őt képviselő szervezet által benyújtott kérelmekkel. A kérelem elbírálásáról az érintett személyt értesíteni kell.

(d) the transfer is necessary or legally required on important public interest grounds, or for the establishment, exercise or defence of legal claims; or

A felügyelő hatóságoknak foglalkozniuk kell különösen az adatfeldolgozás törvényességének ellenőrzésére irányuló, bármely személy által benyújtott kérelemmel, amennyiben az ezen irányelv 13. cikkének értelmében elfogadott nemzeti rendelkezések alkalmazhatóak. Az érintett személyt mindenképpen értesíteni kell, ha az ellenőrzés megtörtént.

(e) the transfer is necessary in order to protect the vital interests of the data subject; or

(5) A felügyelő hatóságok tevékenységükről rendszeresen jelentést készítenek. A jelentést nyilvánosságra kell hozni.

(f) the transfer is made from a register which according to laws or regulations is intended to provide information to the public and which is open to consultation either by the public in general or by any person who can demonstrate legitimate interest, to the extent that the conditions laid down in law for consultation are fulfilled in the particular case.

(6) A felügyelő hatóságok, függetlenül a szóban forgó adatfeldolgozásra alkalmazandó nemzeti jogtól, saját tagállamuk területén hatáskörrel rendelkeznek a (3) bekezdés értelmében rájuk ruházott jogosultságok gyakorlására. Valamely tagállam hatósága felkérheti egy másik állam hatóságát hatáskörének gyakorlására.

2. Without prejudice to paragraph 1, a Member State may authorize a transfer or a set of transfers of personal data to a third country which does not ensure an adequate level of protection within the meaning of Article 25 (2), where the controller adduces adequate safeguards with respect to the protection of the privacy and fundamental rights and freedoms of individuals and as regards the exercise of the corresponding rights; such safeguards may in particular result from appropriate contractual clauses.

A felügyelő hatóságok a feladataik teljesítéséhez szükséges mértékben együttműködnek egymással, különösen a hasznos információk cseréje révén.

3. The Member State shall inform the Commission and the other Member States of the authorizations it grants pursuant to paragraph 2.

(7) A tagállamoknak rendelkezniük kell arról, hogy a felügyelő hatóság tagjaira és személyzetére megbízatásuk lejárta után is vonatkozzon a szakmai titoktartási kötelezettség a számukra hozzáférhető bizalmas információk tekintetében.

If a Member State or the Commission objects on justified grounds involving the protection of the privacy and fundamental rights and freedoms of individuals, the Commission shall take appropriate measures in accordance with the procedure laid down in Article 31 (2).

29. cikk

Member States shall take the necessary measures to comply with the Commission's decision.

A személyesadat-feldolgozás vonatkozásában az egyének védelmével foglalkozó munkacsoport

4. Where the Commission decides, in accordance with the procedure referred to in Article 31 (2), that certain standard contractual clauses offer sufficient safeguards as required by paragraph 2, Member States shall take the necessary measures to comply with the Commission's decision.

(1) Ezennel létrejön a személyesadat-feldolgozás vonatkozásában az egyének védelmével foglalkozó munkacsoport, a továbbiakban: "munkacsoport".

A munkacsoport tanácsadói státuszban működik és függetlenül jár el.

CHAPTER V CODES OF CONDUCT

(2) A munkacsoport az egyes tagállamok által kijelölt felügyelő hatóság vagy hatóságok képviselőjéből, a közösségi intézmények és szervek nevében létrehozott hatóság vagy hatóságok képviselőjéből, továbbá a Bizottság egy képviselőjéből áll.

A munkacsoport minden egyes tagját az az intézmény, hatóság, vagy hatóságok jelöli vagy jelölik ki, amelyet, illetve amelyeket képvisel. Ha a tagállam több felügyelő hatóságot jelöl ki, ezek közös képviselőt állítanak. Ugyanez vonatkozik a közösségi intézmények és szervek nevében létrehozott hatóságokra is.

Article 27

(3) A munkacsoport határozatait a felügyelő hatóságok képviselőinek egyszerű többségével hozza.

1. The Member States and the Commission shall encourage the drawing up of codes of conduct intended to contribute to the proper implementation of the national provisions adopted by the Member States pursuant to this Directive, taking account of the specific features of the various sectors.

(4) A munkacsoport megválasztja saját elnökét. Az elnök megbízatása két évre szól. A kinevezés megújítható.

2. Member States shall make provision for trade associations and other bodies representing other categories of controllers which have drawn up draft national codes or which have the intention of amending or extending existing national codes to be able to submit them to the opinion of the national authority.

(5) A munkacsoport titkárságáról a Bizottság gondoskodik.

Member States shall make provision for this authority to ascertain, among other things, whether the drafts submitted to it are in accordance with the national provisions adopted pursuant to this Directive. If it sees fit, the authority shall seek the views of data subjects or their representatives.

(6) A munkacsoport elfogadja saját eljárási szabályzatát.

3. Draft Community codes, and amendments or extensions to existing Community codes, may be submitted to the Working Party referred to in Article 29. This Working Party shall determine, among other things, whether the drafts submitted to it are in accordance with the national provisions adopted pursuant to this Directive. If it sees fit, the authority shall seek the views of data subjects or their representatives. The Commission may ensure appropriate publicity for the codes which have been approved by the Working Party.

(7) A munkacsoport megtárgyalja a saját kezdeményezésére, a felügyelő hatóságok képviselőjének vagy a Bizottság kérelmére az elnök által napirendre tűzött pontokat.

30. cikk

CHAPTER VI SUPERVISORY AUTHORITY AND WORKING PARTY ON THE PROTECTION OF INDIVIDUALS WITH REGARD TO THE PROCESSING OF PERSONAL DATA

(1) A munkacsoport:

a) megvizsgál minden, az irányelv értelmében elfogadott nemzeti intézkedések alkalmazása körébe tartozó kérdést azok egységes alkalmazása érdekében;

Article 28

b) véleményt nyilvánít a Bizottság felé a Közösség és a harmadik országok védelmének szintjéről;

Supervisory authority

c) tanácsot ad a Bizottságnak az ezen irányelv javasolt módosításaival, a személyes adatok feldolgozása tekintetében a természetes személyek jogainak és szabadságainak biztosítását célzó további vagy különleges intézkedésekkel, és az e jogokat és szabadságokat érintő, egyéb javasolt közösségi intézkedésekkel kapcsolatban;

1. Each Member State shall provide that one or more public authorities are responsible for monitoring the application within its territory of the provisions adopted by the Member States pursuant to this Directive.

d) véleményt nyilvánít a közösségi szinten kidolgozott eljárási szabályzatokról.

These authorities shall act with complete independence in exercising the functions entrusted to them.

(2) Amennyiben a munkacsoport megállapítja, hogy a Közösségben a személyes adatok feldolgozása tekintetében a személyek azonos szintű védelmét előreláthatóan befolyásoló eltérések tapasztalhatók a tagállamok jogszabályai és eljárási gyakorlata között, erről megfelelően értesíti a Bizottságot.

2. Each Member State shall provide that the supervisory authorities are consulted when drawing up administrative measures or regulations relating to the protection of individuals' rights and freedoms with regard to the processing of personal data.

(3) A munkacsoport saját kezdeményezésére ajánlásokat tehet bármely kérdésben, amely a személyes adatok közösségen belüli feldolgozása tekintetében a személyek védelmével kapcsolatos.

3. Each authority shall in particular be endowed with:

(4) A munkacsoport véleményeit és ajánlásait továbbítani kell a Bizottsághoz, valamint a 31. cikkben említett bizottsághoz.

- investigative powers, such as powers of access to data forming the subject-matter of processing operations and powers to collect all the information necessary for the performance of its supervisory duties,

(5) A Bizottság tájékoztatja a munkacsoportot az annak véleményei és ajánlásai hatására tett intézkedéseiről. A Bizottság e tájékoztatást jelentésbe foglalja, amelyet továbbít az Európai Parlamenthez és a Tanácshoz. A jelentést nyilvánosságra kell hozni.

- effective powers of intervention, such as, for example, that of delivering opinions before processing operations are carried out, in accordance with Article 20, and ensuring appropriate publication of such opinions, of ordering the blocking, erasure or destruction of data, of imposing a temporary or definitive ban on processing, of warning or admonishing the controller, or that of referring the matter to national parliaments or other political institutions,

(6) A munkacsoport éves jelentést készít személyes adatok közösségen és harmadik országokon belüli feldolgozása tekintetében a természetes személyek védelmére vonatkozó helyzetről, amelyet továbbít a Bizottsághoz, az Európai Parlamenthez és a Tanácshoz. A jelentést nyilvánosságra kell hozni.

- the power to engage in legal proceedings where the national provisions adopted pursuant to this Directive have been violated or to bring these violations to the attention of the judicial authorities.

VII. FEJEZET

Decisions by the supervisory authority which give rise to complaints may be appealed against through the courts.

KÖZÖSSÉGI VÉGREHAJTÁSI INTÉZKEDÉSEK

4. Each supervisory authority shall hear claims lodged by any person, or by an association representing that person, concerning the protection of his rights and freedoms in regard to the processing of personal data. The person concerned shall be informed of the outcome of the claim.

31. cikk

Each supervisory authority shall, in particular, hear claims for checks on the lawfulness of data processing lodged by any person when the national provisions adopted pursuant to Article 13 of this Directive apply. The person shall at any rate be informed that a check has taken place.

A Bizottság

5. Each supervisory authority shall draw up a report on its activities at regular intervals. The report shall be made public.

(1) A Bizottságot a tagállamok képviselőiből álló bizottság segíti, amelynek elnöke a Bizottság képviselője.

6. Each supervisory authority is competent, whatever the national law applicable to the processing in question, to exercise, on the territory of its own Member State, the powers conferred on it in accordance with paragraph 3. Each authority may be requested to exercise its powers by an authority of another Member State.

(2) A Bizottság képviselője a bizottság elé terjeszti a meghozandó intézkedések tervezetét. A bizottság, az elnök által az ügy sürgősségének megfelelően megállapított határidőn belül véleményt nyilvánít a tervezetről.

The supervisory authorities shall cooperate with one another to the extent necessary for the performance of their duties, in particular by exchanging all useful information.

A véleménnyel a Szerződés 148. cikkének (2) bekezdésében megállapított többségnek egyet kell értenie. A bizottságon belül a tagállamok képviselőinek szavazatait az előbbi cikkben foglalt módon kell súlyozni. Az elnök nem szavaz.

7. Member States shall provide that the members and staff of the supervisory authority, even after their employment has ended, are to be subject to a duty of professional secrecy with regard to confidential information to which they have access.

A Bizottság haladéktalanul alkalmazandó intézkedéseket fogad el. Azonban, ha ezen intézkedések nincsenek összhangban a bizottság véleményével, arról a Bizottság haladéktalanul értesíti a Tanácsot. Ebben az esetben:

- a Bizottság az értesítés napjától számított három hónapig elhalasztja az általa hozott intézkedés alkalmazását,

Article 29

- a Tanács, minősített többséggel eljárva, az első francia bekezdésben említett határidőn belül eltérő határozatot hozhat.

Working Party on the Protection of Individuals with regard to the Processing of Personal Data

ZÁRÓ RENDELKEZÉSEK

1. A Working Party on the Protection of Individuals with regard to the Processing of Personal Data, hereinafter referred to as 'the Working Party', is hereby set up.

32. cikk

It shall have advisory status and act independently.

(1) A tagállamok legkésőbb az irányelv elfogadásától számított hároméves időszak végére hatályba léptetik azokat a törvényi, rendeleti és közigazgatási rendelkezéseket, amelyek az ezen irányelvnek való megfeleléshez szükségesek.

2. The Working Party shall be composed of a representative of the supervisory authority or authorities designated by each Member State and of a representative of the authority or authorities established for the Community institutions and bodies, and of a representative of the Commission.

Amikor a tagállamok elfogadják ezeket az intézkedéseket, azokban hivatkozni kell erre az irányelvre, vagy azokhoz hivatalos kihirdetésük alkalmával ilyen hivatkozást kell csatolni. A hivatkozás módját a tagállamok határozzák meg.

Each member of the Working Party shall be designated by the institution, authority or authorities which he represents. Where a Member State has designated more than one supervisory authority, they shall nominate a joint representative. The same shall apply to the authorities established for Community institutions and bodies.

(2) A tagállamok biztosítják, hogy az ezen irányelv alapján elfogadott nemzeti rendelkezések hatálybalépésének időpontjában már folyamatban lévő adatfeldolgozást az említett időponttól számított három éven belül összhangba hozzák ezekkel a rendelkezésekkel.

3. The Working Party shall take decisions by a simple majority of the representatives of the supervisory authorities.

Az előző albekezdéstől eltérően, a tagállamok úgy is rendelkezhetnek, hogy az ezen irányelv végrehajtására elfogadott nemzeti rendelkezések hatálybalépésének időpontjában manuális nyilvántartási rendszerben tárolt adatok feldolgozását az irányelv elfogadásának időpontjától számított 12 éven belül kell összhangba hozni annak 6., 7. és 8. cikkével. A tagállamok jogot biztosíthatnak az érintettnek arra, hogy kérelmére, különösen hozzáférési jogának gyakorlása során, a hiányos, hibás, vagy az adatkezelő által kitűzött céllal összeegyeztethetetlen módon tárolt adatokat helyesbítsék, töröljék, vagy zárolják.

4. The Working Party shall elect its chairman. The chairman's term of office shall be two years. His appointment shall be renewable.

(3) A (2) bekezdéstől eltérően, a tagállamok, a megfelelő garanciák mellett, rendelkezhetnek arról, hogy a kizárólag történelmi kutatás céljából tárolt adatokat ne kelljen összhangba hozni ezen irányelv 6., 7. és 8. cikkeivel.

5. The Working Party's secretariat shall be provided by the Commission.

(4) A tagállamok közlik a Bizottsággal nemzeti joguk azon rendelkezéseinek szövegét, amelyeket az irányelv hatálya alá tartozó területen fogadtak el.

6. The Working Party shall adopt its own rules of procedure.

33. cikk

7. The Working Party shall consider items placed on its agenda by its chairman, either on his own initiative or at the request of a representative of the supervisory authorities or at the Commission's request.

A Bizottság rendszeresen, és első alkalommal legkésőbb a 32. cikk (1) bekezdésében említett időponttól számított három évvel jelentést tesz a Tanácsnak és az Európai Parlamentnek az irányelv végrehajtásáról, jelentéséhez szükség esetén csatolva a módosításokra irányuló megfelelő javaslatokat. A jelentést nyilvánosságra kell hozni.

A Bizottság megvizsgálja ezen irányelvnek különösen a természetes személyekkel kapcsolatos hang- és képadatok adatfeldolgozására történő alkalmazását, és benyújtja az informatika terén elért fejlesztéseket figyelembe véve az információs társadalom elért fejlődési szintjére tekintettel szükségesnek bizonyuló megfelelő javaslatokat.

Article 30

34. cikk

1. The Working Party shall:

Ennek az irányelvnek a tagállamok a címzettjei.

(a) examine any question covering the application of the national measures adopted under this Directive in order to contribute to the uniform application of such measures;

(b) give the Commission an opinion on the level of protection in the Community and in third countries;

Kelt Luxembourgban, 1995. október 24-én.

(c) advise the Commission on any proposed amendment of this Directive, on any additional or specific measures to safeguard the rights and freedoms of natural persons with regard to the processing of personal data and on any other proposed Community measures affecting such rights and freedoms;

az Európai Parlament részéről

(d) give an opinion on codes of conduct drawn up at Community level.

az elnök

2. If the Working Party finds that divergences likely to affect the equivalence of protection for persons with regard to the processing of personal data in the Community are arising between the laws or practices of Member States, it shall inform the Commission accordingly.

K. Hänsch

3. The Working Party may, on its own initiative, make recommendations on all matters relating to the protection of persons with regard to the processing of personal data in the Community.

a Tanács részéről

4. The Working Party's opinions and recommendations shall be forwarded to the Commission and to the committee referred to in Article 31.

az elnök

5. The Commission shall inform the Working Party of the action it has taken in response to its opinions and recommendations. It shall do so in a report which shall also be forwarded to the European Parliament and the Council. The report shall be made public.

L. Atienza Serna

6. The Working Party shall draw up an annual report on the situation regarding the protection of natural persons with regard to the processing of personal data in the Community and in third countries, which it shall transmit to the Commission, the European Parliament and the Council. The report shall be made public.

[1] HL C 277., 1990.11.5., 3. o., és HL C 311., 1992.11.27., 30. o.

[2] HL C 159., 1991.6.17., 38. o.

CHAPTER VII COMMUNITY IMPLEMENTING MEASURES

[3] Az Európai Parlament 1992. március 11-i véleménye (HL C 94., 1992.4.13., 198. o.), 1993. december 2-i jóváhagyással (HL C 342., 1993.12.20., 30. o.); a Tanács 1995. február 20-i közös álláspontja (HL C 93., 1995.4.13., 1. o.) és az Európai Parlament 1995. június 15-i határozata (HL C 166., 1995.7.3.).

[4] HL L 197., 1987.7.18., 33. o.

Article 31

--------------------------------------------------

The Committee

1. The Commission shall be assisted by a committee composed of the representatives of the Member States and chaired by the representative of the Commission.

2. The representative of the Commission shall submit to the committee a draft of the measures to be taken. The committee shall deliver its opinion on the draft within a time limit which the chairman may lay down according to the urgency of the matter.

The opinion shall be delivered by the majority laid down in Article 148 (2) of the Treaty. The votes of the representatives of the Member States within the committee shall be weighted in the manner set out in that Article. The chairman shall not vote.

The Commission shall adopt measures which shall apply immediately. However, if these measures are not in accordance with the opinion of the committee, they shall be communicated by the Commission to the Council forthwith. It that event:

- the Commission shall defer application of the measures which it has decided for a period of three months from the date of communication,

- the Council, acting by a qualified majority, may take a different decision within the time limit referred to in the first indent.

FINAL PROVISIONS

Article 32

1. Member States shall bring into force the laws, regulations and administrative provisions necessary to comply with this Directive at the latest at the end of a period of three years from the date of its adoption.

When Member States adopt these measures, they shall contain a reference to this Directive or be accompanied by such reference on the occasion of their official publication. The methods of making such reference shall be laid down by the Member States.

2. Member States shall ensure that processing already under way on the date the national provisions adopted pursuant to this Directive enter into force, is brought into conformity with these provisions within three years of this date.

By way of derogation from the preceding subparagraph, Member States may provide that the processing of data already held in manual filing systems on the date of entry into force of the national provisions adopted in implementation of this Directive shall be brought into conformity with Articles 6, 7 and 8 of this Directive within 12 years of the date on which it is adopted. Member States shall, however, grant the data subject the right to obtain, at his request and in particular at the time of exercising his right of access, the rectification, erasure or blocking of data which are incomplete, inaccurate or stored in a way incompatible with the legitimate purposes pursued by the controller.

3. By way of derogation from paragraph 2, Member States may provide, subject to suitable safeguards, that data kept for the sole purpose of historical research need not be brought into conformity with Articles 6, 7 and 8 of this Directive.

4. Member States shall communicate to the Commission the text of the provisions of domestic law which they adopt in the field covered by this Directive.

Article 33

The Commission shall report to the Council and the European Parliament at regular intervals, starting not later than three years after the date referred to in Article 32 (1), on the implementation of this Directive, attaching to its report, if necessary, suitable proposals for amendments. The report shall be made public.

The Commission shall examine, in particular, the application of this Directive to the data processing of sound and image data relating to natural persons and shall submit any appropriate proposals which prove to be necessary, taking account of developments in information technology and in the light of the state of progress in the information society.

Article 34

This Directive is addressed to the Member States.

Done at Luxembourg, 24 October 1995.

For the European Parliament

The President

K. HAENSCH

For the Council

The President

L. ATIENZA SERNA

(1) OJ No C 277, 5. 11. 1990, p. 3 and OJ No C 311, 27. 11. 1992, p. 30.

(2) OJ No C 159, 17. 6. 1991, p 38.

(3) Opinion of the European Parliament of 11 March 1992 (OJ No C 94, 13. 4. 1992, p. 198), confirmed on 2 December 1993 (OJ No C 342, 20. 12. 1993, p. 30); Council common position of 20 February 1995 (OJ No C 93, 13. 4. 1995, p. 1) and Decision of the European Parliament of 15 June 1995 (OJ No C 166, 3. 7. 1995).

(1) OJ No L 197, 18. 7. 1987, p. 33.