DIRECTIVE 95/46/EC OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL

Europos Parlamento ir Tarybos direktyva (95/46/EB)

of 24 October 1995

1995 m. spalio 24 d.

on the protection of individuals with regard to the processing of personal data and on the free movement of such data

dėl asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo

EUROPOS PARLAMENTAS IR EUROPOS SĄJUNGOS TARYBA,

THE EUROPEAN PARLIAMENT AND THE COUNCIL OF THE EUROPEAN UNION,

atsižvelgdami į Europos bendrijos steigimo sutartį, ypač į jos 100a straipsnį,

Having regard to the Treaty establishing the European Community, and in particular Article 100a thereof,

atsižvelgdami į Komisijos pasiūlymą [1],

Having regard to the proposal from the Commission (1),

atsižvelgdami į Ekonomikos ir socialinių reikalų komiteto nuomonę [2],

Having regard to the opinion of the Economic and Social Committee (2),

laikydamiesi Sutarties 189 b straipsnyje [3] numatytos tvarkos,

Acting in accordance with the procedure referred to in Article 189b of the Treaty (3),

(1) kadangi, be kitų Bendrijos tikslų, kaip išdėstyta Sutartyje su pakeitimais, padarytais Europos Sąjungos sutartimi, yra tikslas sukurti dar glaudesnę Europos tautų sąjungą, puoselėti glaudesnius Bendrijai priklausančių valstybių santykius, užtikrinti ekonominę ir socialinę pažangą, bendromis pastangomis pašalinti Europą skiriančius barjerus, skatinti nuolatinį jos tautų gyvenimo sąlygų gerinimą, išsaugoti ir stiprinti taiką ir laisvę bei plėtoti demokratiją, remiantis valstybių narių konstitucijose ir teisės aktuose bei Europos žmogaus teisių ir pagrindinių laisvių apsaugos konvencijoje pripažintomis pagrindinėmis teisėmis;

(1) Whereas the objectives of the Community, as laid down in the Treaty, as amended by the Treaty on European Union, include creating an ever closer union among the peoples of Europe, fostering closer relations between the States belonging to the Community, ensuring economic and social progress by common action to eliminate the barriers which divide Europe, encouraging the constant improvement of the living conditions of its peoples, preserving and strengthening peace and liberty and promoting democracy on the basis of the fundamental rights recognized in the constitution and laws of the Member States and in the European Convention for the Protection of Human Rights and Fundamental Freedoms;

(2) kadangi duomenų tvarkymo sistemos skirtos tarnauti žmogui; kadangi nepriklausomai nuo fizinių asmenų tautybės ar gyvenamos vietos, duomenys turi būti tvarkomi gerbiant žmogaus teises ir laisves, ypač privatumo teisę, taip pat remiant ekonominę ir socialinę pažangą, prekybos plėtrą bei žmonių gerovę;

(2) Whereas data-processing systems are designed to serve man; whereas they must, whatever the nationality or residence of natural persons, respect their fundamental rights and freedoms, notably the right to privacy, and contribute to economic and social progress, trade expansion and the well-being of individuals;

(3) kadangi sukurti ir veikti vidaus rinkai, kurioje pagal Sutarties 7a straipsnį užtikrinamas laisvas prekių, žmonių, paslaugų ir kapitalo judėjimas, būtina ne tik galimybė asmens duomenims laisvai judėti iš vienos valstybės narės į kitą, bet taip pat ir asmens pagrindinių teisių apsauga;

(3) Whereas the establishment and functioning of an internal market in which, in accordance with Article 7a of the Treaty, the free movement of goods, persons, services and capital is ensured require not only that personal data should be able to flow freely from one Member State to another, but also that the fundamental rights of individuals should be safeguarded;

(4) kadangi įvairiose Bendrijos ekonominės ir socialinės veiklos srityse vis dažniau imamasi tvarkyti asmens duomenis; kadangi dėl informacinės technologijos pažangos yra kur kas lengviau tokius duomenis tvarkyti ir jais apsikeisti;

(4) Whereas increasingly frequent recourse is being had in the Community to the processing of personal data in the various spheres of economic and social activity; whereas the progress made in information technology is making the processing and exchange of such data considerably easier;

(5) kadangi ekonominė ir socialinė integracija, vykstanti dėl to, kad vidaus rinka bus sukurta ir veiks pagal Sutarties 7a straipsnį, neišvengiamai sąlygos išaugusius asmens duomenų srautus iš vienos valstybės į kitą tarp visų valstybėse narėse esančių valstybinio ar privataus sektoriaus subjektų, dalyvaujančių ekonominėje ar socialinėje veikloje; kadangi keitimosi asmens duomenimis tarp įvairiose valstybėse narėse esančių įmonių mastai yra linkę augti; kadangi Bendrijos teisės aktai ragina įvairių valstybių narių nacionalines valdžios institucijas bendradarbiauti ir keistis asmens duomenimis, kad jos galėtų vykdyti savo pareigas arba atlikti užduotis kitoje valstybėje narėje esančios valdžios institucijos vardu, kaip turėtų būti vidaus sienų neskiriamoje erdvėje, kurią sudaro vidaus rinka;

(5) Whereas the economic and social integration resulting from the establishment and functioning of the internal market within the meaning of Article 7a of the Treaty will necessarily lead to a substantial increase in cross-border flows of personal data between all those involved in a private or public capacity in economic and social activity in the Member States; whereas the exchange of personal data between undertakings in different Member States is set to increase; whereas the national authorities in the various Member States are being called upon by virtue of Community law to collaborate and exchange personal data so as to be able to perform their duties or carry out tasks on behalf of an authority in another Member State within the context of the area without internal frontiers as constituted by the internal market;

(6) kadangi, be to, vis plačiau bendradarbiaujant mokslinėje-techninėje srityje ir koordinuotai diegiant naujus telekomunikacijų tinklus Bendrijoje, atsiranda būtinybė ir galimybė asmens duomenims judėti iš vienos valstybės į kitą;

(6) Whereas, furthermore, the increase in scientific and technical cooperation and the coordinated introduction of new telecommunications networks in the Community necessitate and facilitate cross-border flows of personal data;

(7) kadangi nevienodas asmenų teisių ir laisvių, ypač jų privatumo teisės, apsaugos lygis tvarkant asmens duomenis įvairiose valstybėse narėse gali trukdyti perduoti tokius duomenis iš vienos valstybės narės į kitą; kadangi šie skirtumai gali kliudyti užsiimti kai kuriomis ekonominės veiklos rūšimis Bendrijos lygiu, iškreipti konkurenciją ar trukdyti valdžios institucijoms vykdyti savo pareigas pagal Bendrijos teisę; kadangi šie apsaugos lygių skirtumai atsiranda dėl pernelyg didelės nacionalinių įstatymų ir kitų teisės aktų įvairovės;

(7) Whereas the difference in levels of protection of the rights and freedoms of individuals, notably the right to privacy, with regard to the processing of personal data afforded in the Member States may prevent the transmission of such data from the territory of one Member State to that of another Member State; whereas this difference may therefore constitute an obstacle to the pursuit of a number of economic activities at Community level, distort competition and impede authorities in the discharge of their responsibilities under Community law; whereas this difference in levels of protection is due to the existence of a wide variety of national laws, regulations and administrative provisions;

(8) kadangi, siekiant pašalinti kliūtis asmens duomenims judėti, asmenų teisių ir laisvių apsauga tvarkant tokius duomenis turi būti lygiavertė visose valstybėse narėse; kadangi šis tikslas yra gyvybiškai svarbus vidaus rinkai, tačiau valstybės narės nepasieks jo vienos, ypač žinant, kokie dideli taikytinų valstybių narių įstatymų skirtumai ir kaip būtina koordinuoti valstybių narių įstatymus, kad būtų užtikrinta, jog asmens duomenų judėjimas iš vienos valstybės į kitą reglamentuojamas nuosekliai, t. y. laikantis vidaus rinkos tikslų, kaip numatyta Sutarties 7a straipsnyje; kadangi dėl to Bendrija turi imtis veiksmų, kad minėti įstatymai būtų suderinti;

(8) Whereas, in order to remove the obstacles to flows of personal data, the level of protection of the rights and freedoms of individuals with regard to the processing of such data must be equivalent in all Member States; whereas this objective is vital to the internal market but cannot be achieved by the Member States alone, especially in view of the scale of the divergences which currently exist between the relevant laws in the Member States and the need to coordinate the laws of the Member States so as to ensure that the cross-border flow of personal data is regulated in a consistent manner that is in keeping with the objective of the internal market as provided for in Article 7a of the Treaty; whereas Community action to approximate those laws is therefore needed;

(9) kadangi suderinus nacionalinius įstatymus bus pasiekta minėta lygiavertė apsauga ir valstybės narės nebegalės trukdyti asmens duomenims laisvai judėti iš vienos valstybės į kitą tuo pagrindu, kad yra saugomos asmenų teisės ir laisvės, ypač privatumo teisė; kadangi valstybėms narėms liks šiek tiek pasirinkimo laisvės, kuria, įgyvendinant šią direktyvą, galės pasinaudoti ir verslo bei socialiniai partneriai; kadangi valstybės narės galės savo nacionaliniuose įstatymuose apibrėžti bendrąsias sąlygas, reglamentuojančias duomenų tvarkymo teisėtumą; kadangi tai darydamos valstybės narės sieks gerinti galiojančių savo įstatymų numatytą apsaugą; kadangi netgi nepažeidus pasirinkimo laisvės ribų ir Bendrijos įstatymų nuostatų, įgyvendinant šią direktyvą, gali atsirasti skirtumų, turėsiančių įtakos duomenų judėjimui vienoje valstybėje narėje ar visoje Bendrijoje;

(9) Whereas, given the equivalent protection resulting from the approximation of national laws, the Member States will no longer be able to inhibit the free movement between them of personal data on grounds relating to protection of the rights and freedoms of individuals, and in particular the right to privacy; whereas Member States will be left a margin for manoeuvre, which may, in the context of implementation of the Directive, also be exercised by the business and social partners; whereas Member States will therefore be able to specify in their national law the general conditions governing the lawfulness of data processing; whereas in doing so the Member States shall strive to improve the protection currently provided by their legislation; whereas, within the limits of this margin for manoeuvre and in accordance with Community law, disparities could arise in the implementation of the Directive, and this could have an effect on the movement of data within a Member State as well as within the Community;

(10) kadangi asmens duomenų tvarkymą reglamentuojančių nacionalinių įstatymų tikslas – apsaugoti pagrindines teises ir laisves, ypač privatumo teisę, ir tai pripažįstama Europos žmogaus teisių ir pagrindinių laisvių apsaugos konvencijos 8 straipsnyje, taip pat Bendrijos teisės aktų bendruosiuose principuose; kadangi dėl šios priežasties, suvienodinant tokius įstatymus, negali būti sumažinta juose numatyta apsauga, o priešingai – turi būti siekiama aukšto apsaugos lygio visoje Bendrijoje;

(10) Whereas the object of the national laws on the processing of personal data is to protect fundamental rights and freedoms, notably the right to privacy, which is recognized both in Article 8 of the European Convention for the Protection of Human Rights and Fundamental Freedoms and in the general principles of Community law; whereas, for that reason, the approximation of those laws must not result in any lessening of the protection they afford but must, on the contrary, seek to ensure a high level of protection in the Community;

(11) kadangi šioje direktyvoje apibrėžti asmens teisių ir laisvių, ypač privatumo teisės, apsaugos principai remia tuos principus, kurie pateikiami 1981 m. sausio 28 d. Europos Tarybos konvencijoje dėl asmenų apsaugos ryšium su asmens duomenų automatizuotu tvarkymu;

(11) Whereas the principles of the protection of the rights and freedoms of individuals, notably the right to privacy, which are contained in this Directive, give substance to and amplify those contained in the Council of Europe Convention of 28 January 1981 for the Protection of Individuals with regard to Automatic Processing of Personal Data;

(12) kadangi šie apsaugos principai, tvarkant asmens duomenis, turi būti taikomi bet kuriam asmeniui, kurio veiklą reglamentuoja Bendrijos teisės aktai; kadangi jie netaikomi asmens duomenis tvarkant tokiam fiziniam asmeniui, kuris užsiima tik asmeninio pobūdžio veikla, kaip susirašinėjimas ar adresų užrašų saugojimas;

(12) Whereas the protection principles must apply to all processing of personal data by any person whose activities are governed by Community law; whereas there should be excluded the processing of data carried out by a natural person in the exercise of activities which are exclusively personal or domestic, such as correspondence and the holding of records of addresses;

(13) kadangi Bendrijos teisė neapima Europos Sąjungos sutarties V ir VI antraštinėse dalyse dėl visuomenės saugumo, gynybos ir nacionalinio saugumo nurodytos veiklos bei valstybės veiklos baudžiamosios teisės srityje, nepažeidžiant pagal Europos bendrijos steigimo sutarties 56 straipsnio 2 dalį, 57 ar 100a straipsnius valstybėms narėms priklausančius įsipareigojimus; kadangi ši direktyva netaikoma, kai asmens duomenys tvarkomi, kad būtų užtikrinta valstybės ekonominė gerovė, jeigu šie duomenys yra susiję su valstybės saugumu;

(13) Whereas the acitivities referred to in Titles V and VI of the Treaty on European Union regarding public safety, defence, State security or the acitivities of the State in the area of criminal laws fall outside the scope of Community law, without prejudice to the obligations incumbent upon Member States under Article 56 (2), Article 57 or Article 100a of the Treaty establishing the European Community; whereas the processing of personal data that is necessary to safeguard the economic well-being of the State does not fall within the scope of this Directive where such processing relates to State security matters;

(14) kadangi, suvokiant vykstančių pokyčių svarbą, visuomenės informuotumo lygį ir būdus surinkti, persiųsti, manipuliuoti, įrašyti, saugoti ar perduoti su fiziniais asmenimis susijusius garsinius ir vaizdinius duomenis, ši direktyva turėtų būti taikoma tvarkant ir tokius duomenis;

(14) Whereas, given the importance of the developments under way, in the framework of the information society, of the techniques used to capture, transmit, manipulate, record, store or communicate sound and image data relating to natural persons, this Directive should be applicable to processing involving such data;

(15) kadangi, tvarkant minėtus duomenis, ši direktyva taikoma tiktai tuomet, jei tvarkoma automatiniu būdu, arba jei tvarkomi duomenys yra laikomi arba ketinama juos laikyti rinkmenų sistemoje, kuri sistemiškai išdėstyta pagal specifinius su asmenimis susijusius kriterijus, kad būtų lengviau gauti šiuos asmens duomenis;

(15) Whereas the processing of such data is covered by this Directive only if it is automated or if the data processed are contained or are intended to be contained in a filing system structured according to specific criteria relating to individuals, so as to permit easy access to the personal data in question;

(16) kadangi ši direktyva neapima atvejų, kai tvarkomi garsiniai ar vaizdiniai duomenys, pavyzdžiui, vaizdinio sekimo metu, jeigu tvarkoma visuomenės saugumo, gynybos, nacionalinio saugumo sumetimais arba vykdant valstybinę su baudžiamąja teise susijusią veiklą ar kitą Bendrijos teisės aktų neapimamą veiklą;

(16) Whereas the processing of sound and image data, such as in cases of video surveillance, does not come within the scope of this Directive if it is carried out for the purposes of public security, defence, national security or in the course of State activities relating to the area of criminal law or of other activities which do not come within the scope of Community law;

(17) kadangi, tvarkant garsinius ar vaizdinius duomenis žurnalistiniais sumetimais arba literatūrinės ar meninės raiškos tikslais, ypač garsinėje-vaizdinėje srityje, šios direktyvos principai turi būti taikomi ribotai, laikantis 9 straipsnyje išdėstytų nuostatų;

(17) Whereas, as far as the processing of sound and image data carried out for purposes of journalism or the purposes of literary or artistic expression is concerned, in particular in the audiovisual field, the principles of the Directive are to apply in a restricted manner according to the provisions laid down in Article 9;

(18) kadangi, norint užtikrinti, kad asmenims suteikiama visa apsauga, kurią jiems numato ši direktyva, bet kokie asmens duomenys Bendrijoje turi būti tvarkomi laikantis vienos iš valstybių narių įstatymų; kadangi, jeigu atsakomybę už duomenų tvarkymą prisiima kurioje nors valstybėje narėje įsisteigęs duomenų valdytojas, tai turėtų reglamentuoti būtent tos valstybės įstatymai;

(18) Whereas, in order to ensure that individuals are not deprived of the protection to which they are entitled under this Directive, any processing of personal data in the Community must be carried out in accordance with the law of one of the Member States; whereas, in this connection, processing carried out under the responsibility of a controller who is established in a Member State should be governed by the law of that State;

(19) kadangi duomenų valdytojas, įsisteigęs kurioje nors valstybėje narėje, gali veiksmingai ir realiai užsiimti savo veikla pagal nusistovėjusią tvarką; kadangi įmonės teisinė forma nėra lemiamas veiksnys: tai gali būti paprastas skyrius ar dukterinė įmonė su juridinio asmens teisėmis; kadangi kai kelių valstybių narių teritorijoje steigiamas vienas duomenų valdytojas, ypač filialas, norėdamas išvengti bet kokio nacionalinių taisyklių apėjimo, jis privalo užtikrinti, kad kiekvienas įsteigtas padalinys vykdys nacionalinės teisės aktų nustatytas jo veiklai taikomas prievoles;

(19) Whereas establishment on the territory of a Member State implies the effective and real exercise of activity through stable arrangements; whereas the legal form of such an establishment, whether simply branch or a subsidiary with a legal personality, is not the determining factor in this respect; whereas, when a single controller is established on the territory of several Member States, particularly by means of subsidiaries, he must ensure, in order to avoid any circumvention of national rules, that each of the establishments fulfils the obligations imposed by the national law applicable to its activities;

(20) kadangi tai, kad duomenis tvarko trečiojoje šalyje įsisteigęs asmuo, neturėtų kliudyti šioje direktyvoje numatytai asmenų apsaugai; kadangi tokiais atvejais tvarkymą turėtų reglamentuoti tos valstybės narės, kurioje įrengtos duomenų tvarkymui naudojamos priemonės, priimti teisės aktai, ir turėtų būti garantijos, kurios užtikrintų, kad šioje direktyvoje numatytos teisės ir prievolės yra tikrai gerbiamos;

(20) Whereas the fact that the processing of data is carried out by a person established in a third country must not stand in the way of the protection of individuals provided for in this Directive; whereas in these cases, the processing should be governed by the law of the Member State in which the means used are located, and there should be guarantees to ensure that the rights and obligations provided for in this Directive are respected in practice;

(21) kadangi ši direktyva nepažeidžia teritoriškumo principų, taikomų baudžiamosios teisės srityje;

(21) Whereas this Directive is without prejudice to the rules of territoriality applicable in criminal matters;

(22) kadangi valstybės narės, priimdamos įstatymus arba įgyvendindamos pagal šią direktyvą priimtas priemones, turi tiksliau apibrėžti bendras aplinkybes, kurioms esant tvarkymas yra teisėtas; kadangi 5, 7 ir 8 straipsniai leidžia valstybėms narėms, nesilaikant bendrųjų taisyklių, numatyti specialias tvarkymo sąlygas specifiniams sektoriams ir įvairioms 8 straipsnyje nurodytoms duomenų kategorijoms;

(22) Whereas Member States shall more precisely define in the laws they enact or when bringing into force the measures taken under this Directive the general circumstances in which processing is lawful; whereas in particular Article 5, in conjunction with Articles 7 and 8, allows Member States, independently of general rules, to provide for special processing conditions for specific sectors and for the various categories of data covered by Article 8;

(23) kadangi valstybėms narėms yra suteikta teisė užtikrinti, kad asmenų apsauga būtų įgyvendinama ir bendrais teisės aktais dėl asmenų apsaugos tvarkant asmens duomenis, ir atskiriems sektoriams skirtais teisės aktais, pavyzdžiui, dėl statistikos institutų;

(23) Whereas Member States are empowered to ensure the implementation of the protection of individuals both by means of a general law on the protection of individuals as regards the processing of personal data and by sectorial laws such as those relating, for example, to statistical institutes;

(24) kadangi ši direktyva nedaro įtakos teisės aktams dėl juridinių asmenų apsaugos, tvarkant su jais susijusius duomenis;

(24) Whereas the legislation concerning the protection of legal persons with regard to the processing data which concerns them is not affected by this Directive;

(25) kadangi apsaugos principai turi atsispindėti, viena vertus – atitinkamas prievoles paskiriant asmenims, valstybės valdžios institucijoms, įmonėms, agentūroms ar kitiems organams, atsakingiems už tvarkymą, ypač už duomenų kokybę, techninį saugumą, pranešimą prižiūrinčiai valdžios institucijai ir aplinkybes, kurioms esant galima tvarkyti, o kita vertus, suteikiant tiems asmenims, apie kuriuos yra tvarkomi duomenys, teisę reikalauti ištaisyti duomenis ar netgi prieštarauti dėl jų tvarkymo tam tikromis aplinkybėmis;

(25) Whereas the principles of protection must be reflected, on the one hand, in the obligations imposed on persons, public authorities, enterprises, agencies or other bodies responsible for processing, in particular regarding data quality, technical security, notification to the supervisory authority, and the circumstances under which processing can be carried out, and, on the other hand, in the right conferred on individuals, the data on whom are the subject of processing, to be informed that processing is taking place, to consult the data, to request corrections and even to object to processing in certain circumstances;

(26) kadangi apsaugos principai turi būti taikomi visai informacijai apie asmenį, kurio tapatybė yra nustatyta arba gali būti nustatyta; kadangi norint nustatyti, ar asmens tapatybė gali būti nustatyta, reikėtų atsižvelgti į visas priemones, kuriomis galėtų pasinaudoti duomenų valdytojas ar bet kuris kitas asmuo minėto asmens tapatybei nustatyti; kadangi apsaugos principai netaikomi duomenims, kurie paversti anoniminiais tokiu būdu, kad duomenų subjekto tapatybė nebegali būti nustatyta; kadangi šiuo tikslu etikos kodeksai, apibrėžti 27 straipsnyje, gali būti naudinga priemonė, nurodant, kaip duomenys galėtų būti paversti anoniminiais ir išlaikyti tokio pavidalo, kad duomenų subjekto tapatybės nebebūtų įmanoma nustatyti;

(26) Whereas the principles of protection must apply to any information concerning an identified or identifiable person; whereas, to determine whether a person is identifiable, account should be taken of all the means likely reasonably to be used either by the controller or by any other person to identify the said person; whereas the principles of protection shall not apply to data rendered anonymous in such a way that the data subject is no longer identifiable; whereas codes of conduct within the meaning of Article 27 may be a useful instrument for providing guidance as to the ways in which data may be rendered anonymous and retained in a form in which identification of the data subject is no longer possible;

(27) kadangi asmenų apsaugos reikalavimai turi būti taikomi tvarkant duomenis ir automatiniu, ir rankiniu būdu; kadangi tokios apsaugos mastas iš esmės neturi priklausyti nuo naudojamo metodo, priešingu atveju iškiltų rimta įstatymų apėjimo grėsmė; kadangi tvarkant rankiniu būdu, ši direktyva taikoma tiktai rinkmenų sistemoms, tačiau negalioja nesistemintoms rinkmenoms; kadangi ypač svarbu, kad rinkmenų sistemos turinys turi būti sistemiškai išdėstytas pagal specifinius su asmenimis susijusius kriterijus, leidžiančius lengvai gauti asmens duomenų; kadangi pagal 2 straipsnio c dalyje pateiktą apibrėžimą kiekviena valstybė narė gali nustatyti kriterijus, pagal kuriuos nustatomos sisteminio asmens duomenų rinkinio sudėtinės dalys, bei kriterijus, reglamentuojančius, kaip galima gauti duomenų iš tokio rinkinio; kadangi bet kuriuo atveju ši direktyva netaikoma pagal specifinius kriterijus nesusistemintoms rinkmenoms ar rinkmenų rinkiniams, taip pat jų tituliniams lapams;

(27) Whereas the protection of individuals must apply as much to automatic processing of data as to manual processing; whereas the scope of this protection must not in effect depend on the techniques used, otherwise this would create a serious risk of circumvention; whereas, nonetheless, as regards manual processing, this Directive covers only filing systems, not unstructured files; whereas, in particular, the content of a filing system must be structured according to specific criteria relating to individuals allowing easy access to the personal data; whereas, in line with the definition in Article 2 (c), the different criteria for determining the constituents of a structured set of personal data, and the different criteria governing access to such a set, may be laid down by each Member State; whereas files or sets of files as well as their cover pages, which are not structured according to specific criteria, shall under no circumstances fall within the scope of this Directive;

(28) kadangi bet kurie asmens duomenys turi būti tvarkomi teisėtai ir teisingai suinteresuotų asmenų atžvilgiu; kadangi tokie duomenys turi atitikti jų tvarkymo temą, tikslą ir apimtis; kadangi tokie tikslai turi būti aiškūs, teisėti ir nustatyti jau renkant duomenis; kadangi, be to, tvarkymo tikslai tolesniam rinkimui negali būti nesuderinami su tikslais, kurie buvo nurodyti iš pradžių;

(28) Whereas any processing of personal data must be lawful and fair to the individuals concerned; whereas, in particular, the data must be adequate, relevant and not excessive in relation to the purposes for which they are processed; whereas such purposes must be explicit and legitimate and must be determined at the time of collection of the data; whereas the purposes of processing further to collection shall not be incompatible with the purposes as they were originally specified;

(29) kadangi tolesnis asmens duomenų tvarkymas istoriniais, statistiniais ar moksliniais tikslais nėra laikomas nesuderinamu su tais tikslais, dėl kurių duomenys buvo anksčiau surinkti, su sąlyga, kad valstybės narės parūpina tinkamas apsaugos priemones; kadangi ypač tokiomis apsaugos priemonėmis turi būti užtikrinta, kad duomenys nebūtų panaudoti, priimant priemones ar sprendimus dėl bet kurio konkretaus asmens;

(29) Whereas the further processing of personal data for historical, statistical or scientific purposes is not generally to be considered incompatible with the purposes for which the data have previously been collected provided that Member States furnish suitable safeguards; whereas these safeguards must in particular rule out the use of the data in support of measures or decisions regarding any particular individual;

(30) kadangi būtina asmens duomenų teisėto tvarkymo sąlyga yra be kita ko duomenų subjekto sutikimas arba duomenų tvarkymas, norint sudaryti ar įvykdyti duomenų subjektui privalomą sutartį, vykdant teisinį reikalavimą, atliekant užduotį visuomenės labui, įgyvendinant oficialią valdžią ar ginant teisėtus fizinio ar juridinio asmens interesus, tačiau su sąlyga, kad tokių interesų bei duomenų subjekto teisės ir laisvės nėra viršesnės; kadangi valstybės narės, norėdamos išlaikyti susijusių interesų pusiausvyrą, tuo pat metu garantuodamos veiksmingą konkurenciją, gali apibrėžti, kokiomis aplinkybėmis asmens duomenys gali būti naudojami arba atskleidžiami trečiajai šaliai, kai bendrovės ar kitos institucijos užsiima teisėtu įprastiniu verslu; kadangi panašiai valstybės narės gali nurodyti, kokiomis sąlygomis asmens duomenys gali būti atskleisti trečiajai šaliai, kai prekiauja prekybos įmonės arba labdaringos organizacijos, kitos asociacijos ar fondai, pavyzdžiui, politinės pakraipos organizacijos, tačiau laikomasi nuostatos, leidžiančios duomenų subjektui prieštarauti duomenų apie jį tvarkymui, be jokių išlaidų sau ir neprivalant nurodyti priežasties;

(30) Whereas, in order to be lawful, the processing of personal data must in addition be carried out with the consent of the data subject or be necessary for the conclusion or performance of a contract binding on the data subject, or as a legal requirement, or for the performance of a task carried out in the public interest or in the exercise of official authority, or in the legitimate interests of a natural or legal person, provided that the interests or the rights and freedoms of the data subject are not overriding; whereas, in particular, in order to maintain a balance between the interests involved while guaranteeing effective competition, Member States may determine the circumstances in which personal data may be used or disclosed to a third party in the context of the legitimate ordinary business activities of companies and other bodies; whereas Member States may similarly specify the conditions under which personal data may be disclosed to a third party for the purposes of marketing whether carried out commercially or by a charitable organization or by any other association or foundation, of a political nature for example, subject to the provisions allowing a data subject to object to the processing of data regarding him, at no cost and without having to state his reasons;

(31) kadangi lygiai taip pat turi būti laikoma, kad asmens duomenis tvarkyti teisėta ir tuomet, kai tvarkoma norint apsaugoti bet kokį gyvybinį duomenų subjekto interesą;

(31) Whereas the processing of personal data must equally be regarded as lawful where it is carried out in order to protect an interest which is essential for the data subject's life;

(32) kadangi būtent nacionaliniuose teisės aktuose turi būti apibrėžta, ar duomenų valdytojas, vykdantis užduotį visuomenės labui arba įgyvendinantis oficialią valdžią, turėtų būti valstybės valdymo institucija arba kitas fizinis ar juridinis asmuo, kurio veiklą reglamentuoja arba viešoji teisė, arba privačioji teisė, kaip antai profesinė asociacija;

(32) Whereas it is for national legislation to determine whether the controller performing a task carried out in the public interest or in the exercise of official authority should be a public administration or another natural or legal person governed by public law, or by private law such as a professional association;

(33) kadangi duomenys, kurie dėl savo pobūdžio gali pažeisti pagrindines asmens laisves ar privatumo teisę, neturėtų būti tvarkomi, nebent duomenų subjektas duotų aiškų sutikimą; kadangi vis dėlto turi būti aiškiai numatyta, kad šio draudimo nesilaikoma atsiradus specifinėms reikmėms, ypač tokiais atvejais, kai tokius duomenis tam tikrais sveikatos tikslais tvarko asmenys, saistomi įstatymų numatytos profesinės paslapties saugojimo prievolės, arba kai savo teisėtos veiklos metu juos tvarko tam tikros asociacijos ar fondai, kurių paskirtis yra užtikrinti galimybę naudotis pagrindinėmis laisvėmis;

(33) Whereas data which are capable by their nature of infringing fundamental freedoms or privacy should not be processed unless the data subject gives his explicit consent; whereas, however, derogations from this prohibition must be explicitly provided for in respect of specific needs, in particular where the processing of these data is carried out for certain health-related purposes by persons subject to a legal obligation of professional secrecy or in the course of legitimate activities by certain associations or foundations the purpose of which is to permit the exercise of fundamental freedoms;

(34) kadangi valstybės narės taip pat turi gauti leidimą, kai tai pateisinama dėl svarbių visuomenės interesų, nesilaikyti draudimo tvarkyti ypatingų kategorijų duomenis tokiose srityse kaip visuomenės sveikatos ar socialinė apsauga, ypač užtikrinant, kad sveikatos draudimo sistemoje nagrinėjant pretenzijas dėl išmokų ir paslaugų šie duomenys būtų tvarkomi kokybiškai ir taupiai, taip pat mokslinių tyrimų ir valstybinės statistikos srityse; kadangi valstybės narės yra įpareigotos parūpinti specifines ir tinkamas apsaugos priemones, kad būtų apsaugotos pagrindinės asmenų laisvės ir privatumo teisė;

(34) Whereas Member States must also be authorized, when justified by grounds of important public interest, to derogate from the prohibition on processing sensitive categories of data where important reasons of public interest so justify in areas such as public health and social protection - especially in order to ensure the quality and cost-effectiveness of the procedures used for settling claims for benefits and services in the health insurance system - scientific research and government statistics; whereas it is incumbent on them, however, to provide specific and suitable safeguards so as to protect the fundamental rights and the privacy of individuals;

(35) kadangi, be to, oficialios valdžios institucijos, siekdamos oficialiai pripažintų religinių asociacijų tikslų, išdėstytų konstitucinėje teisėje arba tarptautinėje viešojoje teisėje, tvarko asmens duomenis dėl svarbių visuomenės interesų;

(35) Whereas, moreover, the processing of personal data by official authorities for achieving aims, laid down in constitutional law or international public law, of officially recognized religious associations is carried out on important grounds of public interest;

(36) kadangi, jeigu, vykstant rinkimams, demokratinei sistemai veikti kai kuriose valstybėse narėse būtina, kad politinės partijos surinktų duomenis apie žmonių politines pažiūras, gali būti leista tvarkyti tokius duomenis dėl svarbių visuomenės interesų, su sąlyga, kad yra nustatytos tinkamos apsaugos priemonės;

(36) Whereas where, in the course of electoral activities, the operation of the democratic system requires in certain Member States that political parties compile data on people's political opinion, the processing of such data may be permitted for reasons of important public interest, provided that appropriate safeguards are established;

(37) kadangi, tvarkant asmens duomenis žurnalistiniais sumetimais arba literatūrinės ar meninės raiškos tikslais, ypač garsinėje ir vaizdinėje srityje, turėtų būti atleidžiama nuo kai kurių šios direktyvos reikalavimų, kad būtų galima suderinti pagrindines asmenų teises su informacijos laisve, ypač su teise gauti ir skleisti informaciją, kaip garantuojama Europos žmogaus teisių ir pagrindinių laisvių apsaugos konvencijos 10 straipsnyje; kadangi todėl valstybės narės turėtų išdėstyti reikalingas išimtis ir leidžiančias nukrypti nuostatas, kad būtų pasiekta pagrindinių teisių pusiausvyros, taikant bendrąsias priemones dėl duomenų tvarkymo teisėtumo bei priemones dėl duomenų perdavimo į trečiąsias šalis ir dėl priežiūros institucijos galių; kadangi tai vis dėlto neturėtų paskatinti valstybių narių nustatyti išimtis, kai taikomos priemonės, kurios užtikrina tvarkymo saugumą; kadangi bent už šį sektorių atsakingai priežiūros institucijai turėtų būti suteiktos tam tikros expost galios, pavyzdžiui, reguliariai skelbti ataskaitas arba perduoti klausimus nagrinėti teisės institucijoms;

(37) Whereas the processing of personal data for purposes of journalism or for purposes of literary of artistic expression, in particular in the audiovisual field, should qualify for exemption from the requirements of certain provisions of this Directive in so far as this is necessary to reconcile the fundamental rights of individuals with freedom of information and notably the right to receive and impart information, as guaranteed in particular in Article 10 of the European Convention for the Protection of Human Rights and Fundamental Freedoms; whereas Member States should therefore lay down exemptions and derogations necessary for the purpose of balance between fundamental rights as regards general measures on the legitimacy of data processing, measures on the transfer of data to third countries and the power of the supervisory authority; whereas this should not, however, lead Member States to lay down exemptions from the measures to ensure security of processing; whereas at least the supervisory authority responsible for this sector should also be provided with certain ex-post powers, e.g. to publish a regular report or to refer matters to the judicial authorities;

(38) kadangi norint, kad duomenys būtų tvarkomi teisingai, duomenų subjektui turi būti sudaryta galimybė sužinoti apie tvarkymo operacijos vyksmą, o jeigu duomenys yra renkami iš duomenų subjekto, jis turi gauti tikslią ir išsamią informaciją, atsižvelgus į rinkimo aplinkybes;

(38) Whereas, if the processing of data is to be fair, the data subject must be in a position to learn of the existence of a processing operation and, where data are collected from him, must be given accurate and full information, bearing in mind the circumstances of the collection;

(39) kadangi kartais tvarkomi tokie duomenys, kurių duomenų valdytojas nerinko tiesiogiai iš šių duomenų subjekto; kadangi be to duomenys gali būti teisėtai atskleisti trečiajai šaliai, net jeigu tai nebuvo numatyta tuomet, kai duomenys buvo renkami iš duomenų subjekto; kadangi visais atvejais duomenų subjektas turėtų būti informuojamas, kai duomenys yra įrašomi, o vėliausiai tuomet, kai duomenys yra pirmą kartą atskleidžiami trečiajai šaliai;

(39) Whereas certain processing operations involve data which the controller has not collected directly from the data subject; whereas, furthermore, data can be legitimately disclosed to a third party, even if the disclosure was not anticipated at the time the data were collected from the data subject; whereas, in all these cases, the data subject should be informed when the data are recorded or at the latest when the data are first disclosed to a third party;

(40) kadangi šios prievolės taikyti nebūtina, jeigu duomenų subjektas minėtą informaciją jau turi; kadangi be to, ši prievolė netaikoma ir tuomet, kai taip įrašyti ar atskleisti duomenis aiškiai reikalauja įstatymai arba kai pateikti reikalaujamą informaciją duomenų subjektui būtų neįmanoma arba pernelyg sunku, kaip gali atsitikti tuo atveju, kai tvarkoma istoriniais, statistiniais ar moksliniais tikslais; kadangi čia galima atsižvelgti į duomenų subjektų skaičių, duomenų senumą ir bet kurias nustatytas kompensacines priemones;

(40) Whereas, however, it is not necessary to impose this obligation of the data subject already has the information; whereas, moreover, there will be no such obligation if the recording or disclosure are expressly provided for by law or if the provision of information to the data subject proves impossible or would involve disproportionate efforts, which could be the case where processing is for historical, statistical or scientific purposes; whereas, in this regard, the number of data subjects, the age of the data, and any compensatory measures adopted may be taken into consideration;

(41) kadangi bet kuriam asmeniui turi būti sudarytos galimybės pasinaudoti teise gauti su juo susijusius tvarkomus duomenis, ypač norint patikrinti duomenų tikslumą ir tvarkymo teisėtumą; kadangi tais pačiais sumetimais kiekvienam duomenų subjektui turi būti suteikta teisė žinoti, kokie loginiai metodai naudojami, automatiniu būdu tvarkant duomenis apie jį, bent 15 straipsnio 1 dalyje nurodytų automatinių sprendimų atveju; kadangi ši teisė neturi pakenkti gamybos paslaptims, intelektinei nuosavybei ir ypač programinę įrangą saugančioms autorinėms teisėms; kadangi vis dėlto dėl šios priežasties negalima duomenų subjektui nesuteikti jokios informacijos;

(41) Whereas any person must be able to exercise the right of access to data relating to him which are being processed, in order to verify in particular the accuracy of the data and the lawfulness of the processing; whereas, for the same reasons, every data subject must also have the right to know the logic involved in the automatic processing of data concerning him, at least in the case of the automated decisions referred to in Article 15 (1); whereas this right must not adversely affect trade secrets or intellectual property and in particular the copyright protecting the software; whereas these considerations must not, however, result in the data subject being refused all information;

(42) kadangi valstybės narės, gindamos duomenų subjekto interesus arba kitų asmenų teises ir laisves, gali apriboti teisę gauti duomenis ir informacijos teisę; kadangi jos gali, pavyzdžiui, nurodyti, kad medicinos duomenis galima gauti tiktai per sveikatos apsaugos darbuotoją;

(42) Whereas Member States may, in the interest of the data subject or so as to protect the rights and freedoms of others, restrict rights of access and information; whereas they may, for example, specify that access to medical data may be obtained only through a health professional;

(43) kadangi panašiu būdu valstybės narės gali apriboti teisę gauti duomenis ir informacijos teisę bei tam tikras duomenų valdytojo prievoles, kad būtų galima užtikrinti, pavyzdžiui, nacionalinį saugumą, gynybą, visuomenės saugumą, svarbius valstybės narės arba Europos Sąjungos ekonominius bei finansinius interesus, taip pat nusikaltimų tyrimą ir baudžiamąjį persekiojimą bei ieškinius dėl reglamentuojamų profesijų etikos pažeidimų; kadangi vardijant išimtis ir apribojimus, turėtų būti numatytos užduotys kontroliuoti, tirti arba reguliuoti trijose išvardytose visuomenės saugumo, ekonominių ir finansinių interesų bei nusikaltimų prevencijos srityse; kadangi tokių užduočių minėtose trijose srityse išvardijimas neturi įtakos valstybės saugumo ir gynybos sumetimais daromų išimčių ar apribojimų teisėtumui;

(43) Whereas restrictions on the rights of access and information and on certain obligations of the controller may similarly be imposed by Member States in so far as they are necessary to safeguard, for example, national security, defence, public safety, or important economic or financial interests of a Member State or the Union, as well as criminal investigations and prosecutions and action in respect of breaches of ethics in the regulated professions; whereas the list of exceptions and limitations should include the tasks of monitoring, inspection or regulation necessary in the three last-mentioned areas concerning public security, economic or financial interests and crime prevention; whereas the listing of tasks in these three areas does not affect the legitimacy of exceptions or restrictions for reasons of State security or defence;

(44) kadangi Bendrijos teisės aktų nuostatos gali paskatinti valstybes nares, užtikrinant kuriuos nors iš nurodytų tikslų, nesilaikyti šios direktyvos nuostatų dėl teisės gauti duomenis, prievolės informuoti asmenis ir dėl duomenų kokybės;

(44) Whereas Member States may also be led, by virtue of the provisions of Community law, to derogate from the provisions of this Directive concerning the right of access, the obligation to inform individuals, and the quality of data, in order to secure certain of the purposes referred to above;

(45) kadangi netgi tais atvejais, kai duomenys gali būti teisėtai tvarkomi, remiantis visuomenės interesais, oficialia valdžia bei fizinio ar juridinio asmens teisėtais interesais, bet kuriam duomenų subjektui turėtų būti garantuota teisė teisėtu arba būtinu su jo konkrečia padėtimi susijusiu pagrindu prieštarauti, kad būtų tvarkomi su juo susiję duomenys; kadangi valstybės narės vis dėlto gali numatyti priešingas nacionalines nuostatas;

(45) Whereas, in cases where data might lawfully be processed on grounds of public interest, official authority or the legitimate interests of a natural or legal person, any data subject should nevertheless be entitled, on legitimate and compelling grounds relating to his particular situation, to object to the processing of any data relating to himself; whereas Member States may nevertheless lay down national provisions to the contrary;

(46) kadangi dėl duomenų subjektų teisių ir laisvių apsaugos, tvarkant asmens duomenis reikia, kad būtų imamasi atitinkamų techninių ir organizacinių priemonių ir tuomet, kai kuriamos tvarkymo sistemos, ir tuomet, kai duomenys tvarkomi, ypač siekiant išlaikyti saugumą ir taip neleisti be leidimo tvarkyti duomenis; kadangi valstybės narės įpareigotos užtikrinti, kad duomenų valdytojai laikytųsi šių priemonių; kadangi šios priemonės turi užtikrinti atitinkamą saugumo lygį, atsižvelgiant į technologijų lygį ir jų įgyvendinimo išlaidas susijusias su tvarkymo keliamais pavojais ir saugotinų duomenų pobūdžiu;

(46) Whereas the protection of the rights and freedoms of data subjects with regard to the processing of personal data requires that appropriate technical and organizational measures be taken, both at the time of the design of the processing system and at the time of the processing itself, particularly in order to maintain security and thereby to prevent any unauthorized processing; whereas it is incumbent on the Member States to ensure that controllers comply with these measures; whereas these measures must ensure an appropriate level of security, taking into account the state of the art and the costs of their implementation in relation to the risks inherent in the processing and the nature of the data to be protected;

(47) kadangi, jeigu žinutė su asmens duomenimis perduodama telekomunikacijomis ar elektroniniu paštu, kurių vienintelė paskirtis – perduoti tokias žinutes, ta žinute perduodamų asmens duomenų atžvilgiu duomenų valdytoju paprastai laikomas tas asmuo, kuris žinutę sukūrė, o ne tas, kuris teikia perdavimo paslaugas; kadangi nepaisant to, tokias paslaugas teikiantys asmenys paprastai yra laikomi duomenų valdytojais, kai tvarkomi papildomi asmens duomenys, reikalingi minėtoms paslaugoms teikti;

(47) Whereas where a message containing personal data is transmitted by means of a telecommunications or electronic mail service, the sole purpose of which is the transmission of such messages, the controller in respect of the personal data contained in the message will normally be considered to be the person from whom the message originates, rather than the person offering the transmission services; whereas, nevertheless, those offering such services will normally be considered controllers in respect of the processing of the additional personal data necessary for the operation of the service;

(48) kadangi pranešimo priežiūros institucijai tvarka turi garantuoti, kad bet kurios tvarkymo operacijos tikslai ir pagrindiniai bruožai būtų atskleidžiami taip, jog būtų galima patikrinti, ar tokia operacija atitinka pagal šią direktyvą priimtas nacionalines priemones;

(48) Whereas the procedures for notifying the supervisory authority are designed to ensure disclosure of the purposes and main features of any processing operation for the purpose of verification that the operation is in accordance with the national measures taken under this Directive;

(49) kadangi bereikalingiems administraciniams formalumams išvengti valstybės narės gali numatyti prievolės pranešti išimčių arba supaprastinti reikalaujamo pranešimo tvarką tais atvejais, kai neatrodo, kad tvarkant galėtų būti pakenkta duomenų subjektų teisėms ir laisvėms, su sąlyga, kad tokios išimtys ar supaprastinimai atitinka valstybės narės priimtą jų ribas apibrėžiančią priemonę; kadangi valstybės narės gali numatyti panašių išimčių ar supaprastinimų tokiais atvejais, kai duomenų valdytojo paskirtas asmuo užtikrina, kad tvarkant nebus pakenkta duomenų subjektų teisėms ir laisvėms; kadangi tokiam duomenų apsaugos pareigūnui, nepriklausomai nuo to, ar jis yra duomenų valdytojo darbuotojas, turi būti sudaryta galimybė atlikti savo funkcijas visiškai nepriklausomai;

(49) Whereas, in order to avoid unsuitable administrative formalities, exemptions from the obligation to notify and simplification of the notification required may be provided for by Member States in cases where processing is unlikely adversely to affect the rights and freedoms of data subjects, provided that it is in accordance with a measure taken by a Member State specifying its limits; whereas exemption or simplification may similarly be provided for by Member States where a person appointed by the controller ensures that the processing carried out is not likely adversely to affect the rights and freedoms of data subjects; whereas such a data protection official, whether or not an employee of the controller, must be in a position to exercise his functions in complete independence;

(50) kadangi atitinkamų išimčių ir supaprastinimų gali būti numatyta, kai tvarkoma vienu tikslu – parengti registrą, kuris pagal nacionalinius įstatymus skirtas teikti informaciją visuomenei ir kuriuo gali naudotis visuomenė arba bet kuris teisėtai reikalaujantis asmuo;

(50) Whereas exemption or simplification could be provided for in cases of processing operations whose sole purpose is the keeping of a register intended, according to national law, to provide information to the public and open to consultation by the public or by any person demonstrating a legitimate interest;

(51) kadangi, nepaisant to, prievolės pranešti supaprastinimai ar išimtys neatleidžia duomenų valdytojo nuo jokių kitų šios direktyvos numatytų prievolių;

(51) Whereas, nevertheless, simplification or exemption from the obligation to notify shall not release the controller from any of the other obligations resulting from this Directive;

(52 kadangi šiuo reikalu pakankama priemone turi būti laikoma ex post facto patikra, kurią atlieka kompetentingos valdžios institucijos;

(52) Whereas, in this context, ex post facto verification by the competent authorities must in general be considered a sufficient measure;

(53) kadangi vis dėlto kai kurios tvarkymo operacijos gali duomenų subjektų teisėms ir laisvėms kelti konkrečius pavojus dėl savo pobūdžio, masto ar tikslų, kurie, pavyzdžiui, neleidžia asmenims pasinaudoti teise, turėti naudos ar sudaryti sutartį, arba dėl konkretaus naujų technologijų panaudojimo; kadangi valstybės narės gali savo įstatymuose įvardyti tokius pavojus;

(53) Whereas, however, certain processing operation are likely to pose specific risks to the rights and freedoms of data subjects by virtue of their nature, their scope or their purposes, such as that of excluding individuals from a right, benefit or a contract, or by virtue of the specific use of new technologies; whereas it is for Member States, if they so wish, to specify such risks in their legislation;

(54) kadangi, žinant bendrą visuomenėje vykstantį duomenų tvarkymo mastą, tokius specifinius pavojus kelianti tvarkymo dalis turėtų būti labai nedidelė; kadangi valstybės narės privalo numatyti, kad priežiūros institucija arba duomenų apsaugos pareigūnas, bendradarbiaudamas su šia institucija, turi tikrinti, prieš pradėdami tvarkyti, kaip bus tvarkoma; kadangi po tokios išankstinės patikros priežiūros institucija, laikydamasi galiojančių nacionalinių įstatymų, gali pareikšti nuomonę arba išduoti leidimą taip tvarkyti; kadangi tokios patikros gali būti laikomasi ir tuomet, kai rengiama nacionalinio parlamento priemonė arba šiuo būdu paremta priemonė, apibrėžianti tvarkymo pobūdį ir numatanti tinkamą apsaugą;

(54) Whereas with regard to all the processing undertaken in society, the amount posing such specific risks should be very limited; whereas Member States must provide that the supervisory authority, or the data protection official in cooperation with the authority, check such processing prior to it being carried out; whereas following this prior check, the supervisory authority may, according to its national law, give an opinion or an authorization regarding the processing; whereas such checking may equally take place in the course of the preparation either of a measure of the national parliament or of a measure based on such a legislative measure, which defines the nature of the processing and lays down appropriate safeguards;

(55) kadangi tam atvejui, jeigu duomenų valdytojas pažeidžia duomenų subjektų teises, nacionaliniuose teisės aktuose turi būti numatyta teisinės gynybos priemonė; kadangi bet kokią žalą, kurią asmuo gali patirti dėl neteisėto duomenų tvarkymo, turi kompensuoti duomenų valdytojas, bet jis gali būti atleistas nuo šios atsakomybės, jeigu įrodo, kad nėra atsakingas už tą žalą, ypač tokiais atvejais, kai duomenų valdytojas nustato duomenų subjekto kaltę, arba force majeure atveju; kadangi minėtos sankcijos turi būti taikomos bet kuriam asmeniui, nesilaikančiam pagal šią direktyvą priimtų nacionalinių priemonių, nepriklausomai nuo to, kokia teisė – viešoji ar privačioji – reglamentuoja jo veiklą;

(55) Whereas, if the controller fails to respect the rights of data subjects, national legislation must provide for a judicial remedy; whereas any damage which a person may suffer as a result of unlawful processing must be compensated for by the controller, who may be exempted from liability if he proves that he is not responsible for the damage, in particular in cases where he establishes fault on the part of the data subject or in case of force majeure; whereas sanctions must be imposed on any person, whether governed by private of public law, who fails to comply with the national measures taken under this Directive;

(56) kadangi norint, kad plėstųsi tarptautinė prekyba, reikia, kad asmens duomenys judėtų iš vienos valstybės į kitą; kadangi asmenų apsauga, kurią Bendrijoje garantuoja ši direktyva, nekliudo perduoti asmens duomenų į trečiąsias šalis, užtikrinančias adekvatų apsaugos lygį; kadangi trečiosios šalies suteikiamos apsaugos lygio adekvatumą reikia vertinti atsižvelgiant į visas perdavimo operacijos ar operacijų grupės aplinkybes;

(56) Whereas cross-border flows of personal data are necessary to the expansion of international trade; whereas the protection of individuals guaranteed in the Community by this Directive does not stand in the way of transfers of personal data to third countries which ensure an adequate level of protection; whereas the adequacy of the level of protection afforded by a third country must be assessed in the light of all the circumstances surrounding the transfer operation or set of transfer operations;

(57) kadangi, kita vertus, turi būti uždrausta perduoti asmens duomenis į trečiąją šalį, kuri neužtikrina adekvataus apsaugos lygio;

(57) Whereas, on the other hand, the transfer of personal data to a third country which does not ensure an adequate level of protection must be prohibited;

(58) kadangi šiam draudimui turėtų būti numatytos išimtys, esant tam tikroms aplinkybėms: kai duomenų subjektas yra davęs sutikimą, kai perduoti būtina dėl sutarties ar teisinio ieškinio, kai tai reikalinga dėl svarbių visuomenės interesų apsaugos, pavyzdžiui, tarptautiniu mastu perduodant duomenis tarp mokesčių inspekcijų ar muitinių arba už socialinę apsaugą atsakingų tarnybų, arba kai perduodami duomenys iš įstatymu įsteigto registro, kuris skirtas naudotis visuomenei ar asmenims, turintiems teisėtų interesų; kadangi šiuo atveju neturėtų būti perduodama registre sukauptų duomenų visuma arba ištisos jų kategorijos, o jeigu registras skirtas naudoti asmenims, turintiems teisėtų interesų, duomenys turėtų būti perduodami tiktai šių asmenų prašymu arba jiems būsiant duomenų gavėjais;

(58) Whereas provisions should be made for exemptions from this prohibition in certain circumstances where the data subject has given his consent, where the transfer is necessary in relation to a contract or a legal claim, where protection of an important public interest so requires, for example in cases of international transfers of data between tax or customs administrations or between services competent for social security matters, or where the transfer is made from a register established by law and intended for consultation by the public or persons having a legitimate interest; whereas in this case such a transfer should not involve the entirety of the data or entire categories of the data contained in the register and, when the register is intended for consultation by persons having a legitimate interest, the transfer should be made only at the request of those persons or if they are to be the recipients;

(59) kadangi, kad būtų kompensuota apsaugos stoka trečiojoje šalyje, gali būti priimtos konkrečios priemonės tokiais atvejais, kai duomenų valdytojas pasiūlo atitinkamus apsaugos būdus; kadangi be to, turi būti numatyta derybų tarp Bendrijos ir tokių trečiųjų šalių tvarka;

(59) Whereas particular measures may be taken to compensate for the lack of protection in a third country in cases where the controller offers appropriate safeguards; whereas, moreover, provision must be made for procedures for negotiations between the Community and such third countries;

(60) kadangi bet kokiu atveju į trečiąsias šalis duomenys gali būti perduodami tiktai griežtai laikantis pagal šią direktyvą, o ypač jos 8 straipsnį, valstybių narių priimtų nuostatų;

(60) Whereas, in any event, transfers to third countries may be effected only in full compliance with the provisions adopted by the Member States pursuant to this Directive, and in particular Article 8 thereof;

(61) kadangi valstybės narės ir Komisija savo atitinkamose kompetencijos srityse privalo skatinti prekybos asociacijas ir kitas suinteresuotas atstovaujančias organizacijas sudaryti etikos kodeksus, kad būtų lengviau taikyti šią direktyvą, atsižvelgiant į konkrečias ypatybes, kai tvarkoma tam tikruose sektoriuose, ir laikantis šiai direktyvai įgyvendinti priimtų nuostatų;

(61) Whereas Member States and the Commission, in their respective spheres of competence, must encourage the trade associations and other representative organizations concerned to draw up codes of conduct so as to facilitate the application of this Directive, taking account of the specific characteristics of the processing carried out in certain sectors, and respecting the national provisions adopted for its implementation;

(62) kadangi valstybėse narėse įsteigus priežiūros institucijas, savo funkcijas vykdančias visiškai nepriklausomai, šios institucijos sudarys esminę asmenų apsaugos tvarkant asmens duomenis dalį;

(62) Whereas the establishment in Member States of supervisory authorities, exercising their functions with complete independence, is an essential component of the protection of individuals with regard to the processing of personal data;

63) kadangi tokios valdžios institucijos privalo turėti būtinas priemones, kad galėtų atlikti savo pareigas, taip pat vykdyti savo įgaliojimus tirti ir įsikišti, ypač asmenims pateikus skundus, ir savo galias dalyvauti teisminiuose nagrinėjimuose; kadangi tokios valdžios institucijos privalo padėti užtikrinti duomenų tvarkymo skaidrumą tose valstybėse narėse, kurių jurisdikcijon jos patenka;

(63) Whereas such authorities must have the necessary means to perform their duties, including powers of investigation and intervention, particularly in cases of complaints from individuals, and powers to engage in legal proceedings; whereas such authorities must help to ensure transparency of processing in the Member States within whose jurisdiction they fall;

(64) kadangi skirtingose valstybėse narėse esančioms valdžios institucijoms teks viena kitai padėti atliekant savo pareigas, kad būtų užtikrinta, jog apsaugos taisyklių bus deramai laikomasi visoje Europos Sąjungoje;

(64) Whereas the authorities in the different Member States will need to assist one another in performing their duties so as to ensure that the rules of protection are properly respected throughout the European Union;

(65) kadangi Bendrijos lygiu turi būti sudaryta darbo grupė asmenų apsaugai tvarkant asmens duomenis, kuri turi būti visiškai nepriklausoma atlikdama savo funkcijas; kadangi dėl savo specifinio pobūdžio ši darbo grupė privalo patarinėti Komisijai, ypač prisidėdama prie vienodo pagal šią direktyvą priimtų nacionalinių taisyklių taikymo;

(65) Whereas, at Community level, a Working Party on the Protection of Individuals with regard to the Processing of Personal Data must be set up and be completely independent in the performance of its functions; whereas, having regard to its specific nature, it must advise the Commission and, in particular, contribute to the uniform application of the national rules adopted pursuant to this Directive;

(66) kadangi, perduodant duomenis į trečiąsias šalis, šiai direktyvai taikyti reikalinga, kad Komisijai būtų suteikti įgaliojimai įgyvendinti šią direktyvą ir kad būtų nustatyta atitinkama tvarka, kaip numatyta Tarybos direktyvoje Nr. 87/373/EEB [4];

(66) Whereas, with regard to the transfer of data to third countries, the application of this Directive calls for the conferment of powers of implementation on the Commission and the establishment of a procedure as laid down in Council Decision 87/373/EEC (1);

(67) kadangi 1994 m. gruodžio 20 d. tarp Europos Parlamento, Tarybos ir Komisijos buvo sudarytas modus vivendi susitarimas dėl priemonių įgyvendinti teisės aktams, priimtiems pagal EB sutarties 189 b straipsnyje nustatytą tvarką;

(67) Whereas an agreement on a modus vivendi between the European Parliament, the Council and the Commission concerning the implementing measures for acts adopted in accordance with the procedure laid down in Article 189b of the EC Treaty was reached on 20 December 1994;

(68) kadangi šioje direktyvoje išdėstyti principai dėl asmenų teisių ir laisvių, ypač jų privatumo teisės, apsaugos tvarkant asmens duomenis gali būti papildyti arba paaiškinti, ypač tam tikrų sektorių atžvilgiu, priimant specifines tais principais pagrįstas taisykles;

(68) Whereas the principles set out in this Directive regarding the protection of the rights and freedoms of individuals, notably their right to privacy, with regard to the processing of personal data may be supplemented or clarified, in particular as far as certain sectors are concerned, by specific rules based on those principles;

(69) kadangi valstybėms narėms turėtų būti leista ne vėliau kaip per trejus metus nuo šią direktyvą perkeliančių nacionalinių priemonių įsigaliojimo pradėti vis plačiau taikyti šias naujas nacionalines taisykles visoms jau vykstančioms tvarkymo operacijoms; kadangi tam, kad būtų lengviau šias taisykles įgyvendinti taupiai, per tolesnį 12 metų laikotarpį nuo šios direktyvos priėmimo valstybėms narėms bus leidžiama užtikrinti, jog esamos rankinės rinkmenų sistemos atitiktų šios direktyvos nuostatas; kadangi jeigu tokiose rinkmenų sistemose sukaupti duomenys rankiniu būdu tvarkomi per šį pratęstą pereinamąjį laikotarpį, tos sistemos turi būti priderintos, kad atitiktų jau minėtas nuostatas tuomet, kai yra tvarkoma;

(69) Whereas Member States should be allowed a period of not more than three years from the entry into force of the national measures transposing this Directive in which to apply such new national rules progressively to all processing operations already under way; whereas, in order to facilitate their cost-effective implementation, a further period expiring 12 years after the date on which this Directive is adopted will be allowed to Member States to ensure the conformity of existing manual filing systems with certain of the Directive's provisions; whereas, where data contained in such filing systems are manually processed during this extended transition period, those systems must be brought into conformity with these provisions at the time of such processing;

(70) kadangi duomenų subjektui nebūtina kartoti savo sutikimo, kad po to, kai įsigalioja pagal šią direktyvą priimtos nacionalinės nuostatos, duomenų valdytojas galėtų toliau tvarkyti bet kokius ypatingus asmens duomenis, reikalingus vykdyti sutartį, kuri buvo sudaryta remiantis sutikimu, duotu savanoriškai ir žinomai, prieš įsigaliojant minėtoms nuostatoms;

(70) Whereas it is not necessary for the data subject to give his consent again so as to allow the controller to continue to process, after the national provisions taken pursuant to this Directive enter into force, any sensitive data necessary for the performance of a contract concluded on the basis of free and informed consent before the entry into force of these provisions;

(71) kadangi ši direktyva nekliudo valstybei narei reguliuoti prekybą, orientuotą į jos teritorijoje gyvenančius vartotojus, kol toks reguliavimas nėra susijęs su asmenų apsauga tvarkant asmens duomenis;

(71) Whereas this Directive does not stand in the way of a Member State's regulating marketing activities aimed at consumers residing in territory in so far as such regulation does not concern the protection of individuals with regard to the processing of personal data;

(72) kadangi ši direktyva leidžia įgyvendinant joje išdėstytus principus atsižvelgti į visuomenės teisę gauti oficialius dokumentus,

(72) Whereas this Directive allows the principle of public access to official documents to be taken into account when implementing the principles set out in this Directive,

PRIĖMĖ ŠIĄ DIREKTYVĄ:

HAVE ADOPTED THIS DIRECTIVE:

I SKYRIUS

BENDROSIOS NUOSTATOS

1 straipsnis

CHAPTER I GENERAL PROVISIONS

Direktyvos paskirtis

1. Pagal šią direktyvą valstybės narės saugo fizinių asmenų pagrindines teises ir laisves, o ypač jų privatumo teisę tvarkant asmens duomenis.

Article 1

2. Valstybės narės nevaržo ir nedraudžia laisvo asmens duomenų judėjimo tarp valstybių narių dėl priežasčių, susijusių su apsauga, skiriama pagal šio straipsnio 1 dalį.

Object of the Directive

2 straipsnis

1. In accordance with this Directive, Member States shall protect the fundamental rights and freedoms of natural persons, and in particular their right to privacy with respect to the processing of personal data.

Sąvokos

2. Member States shall neither restrict nor prohibit the free flow of personal data between Member States for reasons connected with the protection afforded under paragraph 1.

Šioje direktyvoje:

a) "asmens duomenys" reiškia bet kurią informaciją, susijusią su asmeniu (duomenų subjektu), kurio tapatybė yra nustatyta arba gali būti nustatyta; asmuo, kurio tapatybė gali būti nustatyta, yra tas asmuo, kurio tapatybė gali būti nustatyta tiesiogiai ar netiesiogiai, ypač pasinaudojus nurodytu asmens identifikavimo kodu arba vienu ar keliais to asmens fizinei, fiziologinei, protinei, ekonominei, kultūrinei ar socialinei tapatybei būdingais veiksniais;

Article 2

b) "asmens duomenų tvarkymas" (tvarkymas) reiškia bet kurią operaciją ar operacijų rinkinį, automatiniais arba neautomatiniais būdais atliekamus su asmens duomenimis, kaip antai: rinkimas, užrašymas, rūšiavimas, saugojimas, adaptavimas ar keitimas, atgaminimas, paieška, naudojimas, atskleidimas perduodant, platinant ar kitu būdu padarant juos prieinamus, išdėstymas reikiama tvarka ar sujungimas derinant, blokavimas, trynimas ar naikinimas;

Definitions

c) "asmens duomenų kaupimo rinkmenose sistema" (rinkmenų sistema) reiškia bet kurį susistemintą pagal specifinius kriterijus prieinamų asmens duomenų rinkinį, kuris gali būti centralizuotas, decentralizuotas arba suskirstytas funkciniu ar geografiniu pagrindu;

For the purposes of this Directive:

d) "duomenų valdytojas" reiškia tokį fizinį ar juridinį asmenį, valstybės valdžios instituciją, agentūrą ar bet kurį kitą organą, kuris vienas ar drauge su kitais nustato asmens duomenų tvarkymo tikslus ir būdus; jeigu tvarkymo tikslus ir būdus nusako nacionaliniai arba Bendrijos įstatymai bei norminiai aktai, tai duomenų valdytoją arba specifinius kriterijus, pagal kuriuos skiriamas duomenų valdytojas, gali apibrėžti nacionaliniai arba Bendrijos įstatymai;

(a) 'personal data' shall mean any information relating to an identified or identifiable natural person ('data subject'); an identifiable person is one who can be identified, directly or indirectly, in particular by reference to an identification number or to one or more factors specific to his physical, physiological, mental, economic, cultural or social identity;

e) "duomenų tvarkytojas" reiškia fizinį ar juridinį asmenį, valstybės valdžios instituciją, agentūrą ar bet kurį kitą organą, kuris tvarko asmens duomenis duomenų valdytojo vardu;

(b) 'processing of personal data' ('processing') shall mean any operation or set of operations which is performed upon personal data, whether or not by automatic means, such as collection, recording, organization, storage, adaptation or alteration, retrieval, consultation, use, disclosure by transmission, dissemination or otherwise making available, alignment or combination, blocking, erasure or destruction;

f) "trečioji šalis" reiškia bet kurį fizinį ar juridinį asmenį, valstybės valdžios instituciją, agentūrą ar bet kurį kitą organą, nesantį duomenų subjektu, duomenų valdytoju ar duomenų tvarkytoju, arba tokiu asmeniu, kuriam leidžiama tvarkyti duomenis, tiesiogiai įgaliotam duomenų valdytojo ar duomenų tvarkytojo;

(c) 'personal data filing system' ('filing system') shall mean any structured set of personal data which are accessible according to specific criteria, whether centralized, decentralized or dispersed on a functional or geographical basis;

g) "duomenų gavėjas" reiškia tokį fizinį ar juridinį asmenį, valstybės valdžios instituciją, agentūrą ar bet kurį kitą organą, kuriam atskleidžiami duomenys, net jei jis yra trečioji šalis; tačiau valdžios institucijos, kurios gauna duomenų, padavusios konkretų užklausimą, nėra laikomos gavėjomis;

(d) 'controller' shall mean the natural or legal person, public authority, agency or any other body which alone or jointly with others determines the purposes and means of the processing of personal data; where the purposes and means of processing are determined by national or Community laws or regulations, the controller or the specific criteria for his nomination may be designated by national or Community law;

h) "duomenų subjekto sutikimas" reiškia bet kurį savanoriškai ir žinomai duotą konkretų duomenų subjekto pareiškimą, kuriuo duomenų subjektas nurodo savo sutikimą, kad būtų tvarkomi su juo susiję duomenys.

(e) 'processor' shall mean a natural or legal person, public authority, agency or any other body which processes personal data on behalf of the controller;

3 straipsnis

(f) 'third party' shall mean any natural or legal person, public authority, agency or any other body other than the data subject, the controller, the processor and the persons who, under the direct authority of the controller or the processor, are authorized to process the data;

Taikymo sritis

(g) 'recipient' shall mean a natural or legal person, public authority, agency or any other body to whom data are disclosed, whether a third party or not; however, authorities which may receive data in the framework of a particular inquiry shall not be regarded as recipients;

1. Ši direktyva taikoma automatiniais būdais tvarkant asmens duomenis ištisai arba dalimis ir neautomatiniais būdais tvarkant asmens duomenis, kai tie duomenys sudaro arba yra skirti sudaryti rinkmenų sistemos dalį.

(h) 'the data subject's consent' shall mean any freely given specific and informed indication of his wishes by which the data subject signifies his agreement to personal data relating to him being processed.

2. Ši direktyva netaikoma tvarkant asmens duomenis:

- kai yra užsiimama tokia veikla, kuri nepatenka į Bendrijos teisės taikymo sritį, kaip antai veikla, kuri numatyta Europos Sąjungos sutarties V ir VI dalyse, taip pat kai atliekamos tvarkymo operacijos, susijusios su visuomenės saugumu, gynyba, valstybės saugumu (taip pat ir valstybės ekonomine gerove, kai tvarkymo operacija susijusi su valstybės saugumo klausimais) ir su valstybės veiksmais baudžiamosios teisės srityje;

Article 3

- kai duomenis tvarko fizinis asmuo, užsiimdamas tik asmenine ar namų ūkio veikla.

Scope

4 straipsnis

1. This Directive shall apply to the processing of personal data wholly or partly by automatic means, and to the processing otherwise than by automatic means of personal data which form part of a filing system or are intended to form part of a filing system.

Taikytina nacionalinė teisė

2. This Directive shall not apply to the processing of personal data:

1. Kiekviena valstybė narė taiko nacionalines nuostatas, kurias ji priima pagal šią direktyvą, kai tvarkomi asmens duomenys, jeigu:

- in the course of an activity which falls outside the scope of Community law, such as those provided for by Titles V and VI of the Treaty on European Union and in any case to processing operations concerning public security, defence, State security (including the economic well-being of the State when the processing operation relates to State security matters) and the activities of the State in areas of criminal law,

a) tvarkoma, duomenų valdytojo padaliniui veikiant valstybės narės teritorijoje; jeigu tas pats duomenų valdytojas steigiamas kelių valstybių narių teritorijoje, jis privalo imtis reikalingų priemonių, kad kiekvienas jo padalinys vykdytų taikytinų nacionalinių įstatymų nustatytas prievoles;

- by a natural person in the course of a purely personal or household activity.

b) duomenų valdytojas įsikūręs ne valstybės narės teritorijoje, bet tokioje vietoje, kur jos nacionaliniai įstatymai galioja, remiantis tarptautine viešąja teise;

c) duomenų valdytojas įsisteigęs ne Bendrijos teritorijoje ir tvarkydamas asmens duomenis naudojasi automatine ar kitokia įranga, esančia minėtos valstybės narės teritorijoje, nebent tokia įranga būtų naudojama tiktai duomenis tranzitu persiunčiant per Bendrijos teritoriją.

Article 4

2. Susiklosčius 1 dalies c punkte nurodytoms aplinkybėms, duomenų valdytojas privalo paskirti atstovą, įsteigtą minėtos valstybės narės teritorijoje, nepažeisdamas nuostatų dėl teisinių veiksmų, kurių gali būti imtasi prieš patį duomenų valdytoją.

National law applicable

II SKYRIUS

1. Each Member State shall apply the national provisions it adopts pursuant to this Directive to the processing of personal data where:

BENDROSIOS ASMENS DUOMENŲ TVARKYMO TEISĖTUMO TAISYKLĖS

(a) the processing is carried out in the context of the activities of an establishment of the controller on the territory of the Member State; when the same controller is established on the territory of several Member States, he must take the necessary measures to ensure that each of these establishments complies with the obligations laid down by the national law applicable;

5 straipsnis

(b) the controller is not established on the Member State's territory, but in a place where its national law applies by virtue of international public law;

Kiek leidžia šio skyriaus nuostatos, valstybės narės tiksliau apibrėžia sąlygas, kuriomis asmens duomenų tvarkymas yra teisėtas.

(c) the controller is not established on Community territory and, for purposes of processing personal data makes use of equipment, automated or otherwise, situated on the territory of the said Member State, unless such equipment is used only for purposes of transit through the territory of the Community.

I SKIRSNIS

2. In the circumstances referred to in paragraph 1 (c), the controller must designate a representative established in the territory of that Member State, without prejudice to legal actions which could be initiated against the controller himself.

DUOMENŲ KOKYBĖS PRINCIPAI

6 straipsnis

CHAPTER II GENERAL RULES ON THE LAWFULNESS OF THE PROCESSING OF PERSONAL DATA

1. Valstybės narės numato, kad asmens duomenys turi būti:

a) tvarkomi teisingai ir teisėtai;

Article 5

b) surinkti įvardintais, aiškiai apibrėžtais ir teisėtais tikslais, o po to tvarkomi su šiais tikslais suderintais būdais. Tolesnis duomenų tvarkymas istoriniais, statistiniais ar moksliniais tikslais laikomas suderinamu dalyku, su sąlyga, kad valstybės narės numato atitinkamas apsaugos priemones;

Member States shall, within the limits of the provisions of this Chapter, determine more precisely the conditions under which the processing of personal data is lawful.

c) adekvatūs, susiję ir savo apimtimi neviršijantys tikslų, kuriems jie renkami ir (arba) vėliau tvarkomi;

SECTION I

d) tikslūs ir, jei būtina, nuolat atnaujinami; turi būti imtasi visų reikalingų priemonių, kad duomenys, kurie yra netikslūs ar neišsamūs, palyginti su tikslais, dėl kurių jie buvo surinkti ar po to tvarkomi, būtų ištrinti arba ištaisyti;

PRINCIPLES RELATING TO DATA QUALITY

e) laikomi tokio pavidalo, kad duomenų subjektų tapatybes būtų galima nustatyti ne ilgiau, nei tai yra reikalinga tais tikslais, dėl kurių duomenys buvo surinkti arba po to tvarkomi. Valstybės narės išdėsto asmens duomenų, ilgesnį laiką saugomų dėl istorinės, statistinės ar mokslinės paskirties, atitinkamas apsaugos priemones.

2. Duomenų valdytojo pareiga užtikrinti, kad būtų laikomasi šio straipsnio 1 dalies.

Article 6

II SKIRSNIS

1. Member States shall provide that personal data must be:

DUOMENŲ TVARKYMO TEISĖTUMO KRITERIJAI

(a) processed fairly and lawfully;

7 straipsnis

(b) collected for specified, explicit and legitimate purposes and not further processed in a way incompatible with those purposes. Further processing of data for historical, statistical or scientific purposes shall not be considered as incompatible provided that Member States provide appropriate safeguards;

Valstybės narės numato, kad asmens duomenis galima tvarkyti tik tuo atveju, jeigu:

(c) adequate, relevant and not excessive in relation to the purposes for which they are collected and/or further processed;

a) duomenų subjektas yra nedviprasmiškai davęs sutikimą;

(d) accurate and, where necessary, kept up to date; every reasonable step must be taken to ensure that data which are inaccurate or incomplete, having regard to the purposes for which they were collected or for which they are further processed, are erased or rectified;

b) tvarkyti reikia vykdant sutartį, kurią duomenų subjektas yra sudaręs kaip viena iš šalių, arba duomenų subjekto reikalavimu norint imtis priemonių prieš sudarant sutartį;

(e) kept in a form which permits identification of data subjects for no longer than is necessary for the purposes for which the data were collected or for which they are further processed. Member States shall lay down appropriate safeguards for personal data stored for longer periods for historical, statistical or scientific use.

c) tvarkyti reikia vykdant teisinę prievolę, kuri privaloma duomenų valdytojui;

2. It shall be for the controller to ensure that paragraph 1 is complied with.

d) tvarkyti reikia norint apsaugoti gyvybinius duomenų subjekto interesus;

SECTION II

e) tvarkyti reikia vykdant užduotį, atliekamą visuomenės labui, arba įgyvendinant oficialius įgaliojimus, suteiktus duomenų valdytojui arba trečiajai šaliai, kuriai atskleidžiami duomenys; arba

CRITERIA FOR MAKING DATA PROCESSING LEGITIMATE

f) tvarkyti reikia dėl teisėtų interesų, kurių siekia duomenų valdytojas arba trečioji šalis (šalys), kurioms atskleidžiami duomenys, išskyrus atvejus, kai duomenų subjekto, kuriam pagal 1 straipsnio 1 dalį reikalinga apsauga, teisės ir laisvės yra viršesnės nei šie interesai.

III SKIRSNIS

Article 7

YPATINGOS TVARKYMO KATEGORIJOS

Member States shall provide that personal data may be processed only if:

8 straipsnis

(a) the data subject has unambiguously given his consent; or

Ypatingų duomenų kategorijų tvarkymas

(b) processing is necessary for the performance of a contract to which the data subject is party or in order to take steps at the request of the data subject prior to entering into a contract; or

1. Valstybės narės uždraudžia tvarkyti asmens duomenis, kurie atskleidžia rasinę ar etninę kilmę, politines, religines ar filosofines pažiūras, priklausymą profesinėms sąjungoms, taip pat tvarkyti duomenis apie asmens sveikatą ar intymų gyvenimą.

(c) processing is necessary for compliance with a legal obligation to which the controller is subject; or

2. Šio straipsnio 1 dalis netaikoma, kai:

(d) processing is necessary in order to protect the vital interests of the data subject; or

a) duomenų subjektas davė aiškų sutikimą tvarkyti tokius duomenis, išskyrus, kai valstybės narės įstatymai numato, kad 1 dalyje nurodyto draudimo negalima panaikinti duomenų subjekto duotu sutikimu;

(e) processing is necessary for the performance of a task carried out in the public interest or in the exercise of official authority vested in the controller or in a third party to whom the data are disclosed; or

b) tvarkyti būtina, norint įgyvendinti duomenų valdytojo prievoles ir specifines teises darbo įstatymų srityje, kiek tai leidžia nacionalinės teisės aktai, numatantys atitinkamas apsaugos priemones;

(f) processing is necessary for the purposes of the legitimate interests pursued by the controller or by the third party or parties to whom the data are disclosed, except where such interests are overridden by the interests for fundamental rights and freedoms of the data subject which require protection under Article 1 (1).

c) tvarkyti būtina, kad būtų apsaugoti duomenų subjekto arba kito asmens gyvybiniai interesai, kai duomenų subjektas fiziškai neįgali arba yra juridiškai neveiksnus duoti sutikimą;

SECTION III

d) duomenis tvarko fondas, asociacija ar kita pelno nesiekianti organizacija politiniais, filosofiniais, religiniais ar su profesinėmis sąjungomis susijusiais tikslais savo teisėta veikla su atitinkamomis garantijomis ir su sąlyga, kad taip tvarkomi duomenys yra susiję tiktai su tos organizacijos nariais arba su asmenimis, kurie reguliariai palaiko ryšius su šia organizacija dėl jos siekiamų tikslų, ir kad tokie duomenys nėra atskleidžiami trečiajai šaliai be duomenų subjektų sutikimo; arba

SPECIAL CATEGORIES OF PROCESSING

e) tvarkomi tokie duomenys, kuriuos duomenų subjektas yra akivaizdžiai paskelbęs viešai arba kurie yra reikalingi nustatyti, įvykdyti ar apginti teisinius ieškinius.

3. Šio straipsnio 1 dalis netaikoma, kai duomenis reikia tvarkyti teikiant profilaktines medicinos, medicininės diagnostikos, medicinos priežiūros, gydymo, sveikatos apsaugos paslaugas ir kai tokius duomenis tvarko sveikatos apsaugos darbuotojas, kuriam pagal nacionalinius įstatymus arba nacionalinių kompetentingų institucijų nustatytas taisykles galioja profesinės paslapties saugojimo pareiga, arba kitas asmuo, kuriam irgi galioja lygiavertė paslapties saugojimo prievolė.

Article 8

4. Dėl svarbių visuomenės interesų valstybės narės greta šio straipsnio 2 dalyje išdėstytų išimčių nacionaliniais įstatymais ar priežiūros institucijų sprendimais gali numatyti kitas išimtis, bet turi užtikrinti tinkamas apsaugos priemones.

The processing of special categories of data

5. Duomenys, susiję su nusikaltimais, nuteisimais ar valstybės saugumo priemonėmis, gali būti tvarkomi tik tuo atveju, jeigu tai kontroliuoja oficiali valdžios institucija arba jeigu nacionaliniai įstatymai užtikrina tinkamas saugumo priemones, bet galioja išimtys, kurias valstybė narė gali leisti pagal nacionalines nuostatas, numatančias tinkamas konkrečias apsaugos priemones. Tačiau išsamus nuteisimų registras gali būti vedamas tiktai kontroliuojant oficialiai valdžios institucijai.

1. Member States shall prohibit the processing of personal data revealing racial or ethnic origin, political opinions, religious or philosophical beliefs, trade-union membership, and the processing of data concerning health or sex life.

Valstybės narės gali numatyti, kad duomenys, susiję su administracinėmis sankcijomis ar teismo sprendimais civilinėse bylose turi būti tvarkomi kontroliuojant oficialiai valdžios institucijai.

2. Paragraph 1 shall not apply where:

6. Apie 4 ir 5 dalyse numatytas nuostatas, leidžiančias nukrypti nuo 1 dalies, turi būti pranešta Komisijai.

(a) the data subject has given his explicit consent to the processing of those data, except where the laws of the Member State provide that the prohibition referred to in paragraph 1 may not be lifted by the data subject's giving his consent; or

7. Valstybės narės apibrėžia sąlygas, kuriomis gali būti tvarkomas nacionalinis asmens identifikavimo kodas ar bet kuris kitas bendrojo taikymo žymuo tapatybei nustatyti.

(b) processing is necessary for the purposes of carrying out the obligations and specific rights of the controller in the field of employment law in so far as it is authorized by national law providing for adequate safeguards; or

9 straipsnis

(c) processing is necessary to protect the vital interests of the data subject or of another person where the data subject is physically or legally incapable of giving his consent; or

Asmens duomenų tvarkymas ir laisvė reikšti savo mintis ir įsitikinimus

(d) processing is carried out in the course of its legitimate activities with appropriate guarantees by a foundation, association or any other non-profit-seeking body with a political, philosophical, religious or trade-union aim and on condition that the processing relates solely to the members of the body or to persons who have regular contact with it in connection with its purposes and that the data are not disclosed to a third party without the consent of the data subjects; or

Valstybės narės numato išimtis ir nukrypimus nuo šio skyriaus bei IV ir VI skyriaus, kai asmens duomenys tvarkomi tik žurnalistiniais sumetimais arba meninės ar literatūrinės raiškos tikslais, bet tiktai tuomet, jeigu šios išimtys reikalingos, norint privatumo teisę suderinti su laisve reikšti savo mintis ir įsitikinimus reglamentuojančiomis taisyklėmis.

(e) the processing relates to data which are manifestly made public by the data subject or is necessary for the establishment, exercise or defence of legal claims.

IV SKIRSNIS

3. Paragraph 1 shall not apply where processing of the data is required for the purposes of preventive medicine, medical diagnosis, the provision of care or treatment or the management of health-care services, and where those data are processed by a health professional subject under national law or rules established by national competent bodies to the obligation of professional secrecy or by another person also subject to an equivalent obligation of secrecy.

DUOMENŲ SUBJEKTO INFORMAVIMAS

4. Subject to the provision of suitable safeguards, Member States may, for reasons of substantial public interest, lay down exemptions in addition to those laid down in paragraph 2 either by national law or by decision of the supervisory authority.

10 straipsnis

5. Processing of data relating to offences, criminal convictions or security measures may be carried out only under the control of official authority, or if suitable specific safeguards are provided under national law, subject to derogations which may be granted by the Member State under national provisions providing suitable specific safeguards. However, a complete register of criminal convictions may be kept only under the control of official authority.

Informavimas renkant duomenis iš duomenų subjekto

Member States may provide that data relating to administrative sanctions or judgements in civil cases shall also be processed under the control of official authority.

Valstybės narės numato, kad duomenų valdytojas arba jo atstovas privalo duomenų subjektui, iš kurio renkami su juo susiję duomenys, suteikti bent tokią informaciją, jeigu jis jos dar neturi:

6. Derogations from paragraph 1 provided for in paragraphs 4 and 5 shall be notified to the Commission.

a) duomenų valdytojo arba jo atstovo, jei toks yra, tapatybė;

7. Member States shall determine the conditions under which a national identification number or any other identifier of general application may be processed.

b) tikslai, dėl kurių ketinama tvarkyti šiuos duomenis;

c) bet kokia platesnė informacija, kaip antai:

Article 9

- duomenų gavėjai ar gavėjų kategorijos,

Processing of personal data and freedom of expression

- ar į klausimus atsakoma privaloma tvarka, ar savanoriškai, taip pat galimos neatsakymo pasekmės,

Member States shall provide for exemptions or derogations from the provisions of this Chapter, Chapter IV and Chapter VI for the processing of personal data carried out solely for journalistic purposes or the purpose of artistic or literary expression only if they are necessary to reconcile the right to privacy with the rules governing freedom of expression.

- teisės gauti informaciją ir teisės pataisyti duomenis apie save buvimas;

SECTION IV

kiek tokios platesnės informacijos reikia, atsižvelgus į specifines duomenų rinkimo aplinkybes, kad būtų garantuotas teisingas subjekto duomenų tvarkymas.

INFORMATION TO BE GIVEN TO THE DATA SUBJECT

11 straipsnis

Informavimas kai duomenys gaunami ne iš duomenų subjekto

Article 10

1. Kai duomenys gaunami ne iš duomenų subjekto, valstybės narės numato, kad tuo metu, kai imamasi užrašinėti asmens duomenis, arba, jeigu numatoma duomenis atskleisti trečiajai šaliai, ne vėliau kaip iki to laiko, kai duomenys atskleidžiami pirmą kartą, duomenų valdytojas arba jos atstovas privalo duomenų subjektui suteikti bent tokią informaciją, jeigu jis jos dar neturi:

Information in cases of collection of data from the data subject

a) duomenų valdytojo arba jo atstovo, jei toks yra, tapatybė;

Member States shall provide that the controller or his representative must provide a data subject from whom data relating to himself are collected with at least the following information, except where he already has it:

b) tikslai, dėl kurių tvarkoma;

(a) the identity of the controller and of his representative, if any;

c) bet kokia platesnė informacija, kaip antai:

(b) the purposes of the processing for which the data are intended;

- tvarkomų duomenų kategorijos,

(c) any further information such as

- duomenų gavėjai ar gavėjų kategorijos,

- the recipients or categories of recipients of the data,

- teisės gauti informaciją ar teisės pataisyti duomenis apie save buvimas,

- whether replies to the questions are obligatory or voluntary, as well as the possible consequences of failure to reply,

kiek tokios platesnės informacijos reikia, atsižvelgus į specifines duomenų tvarkymo aplinkybes, kad būtų garantuotas teisingas subjekto duomenų tvarkymas.

- the existence of the right of access to and the right to rectify the data concerning him

2. Šio straipsnio 1 dalis netaikoma, ypač tvarkant duomenis statistiniais sumetimais arba istorinių ar mokslinių tyrimų tikslais, kai tokią informaciją pateikti būtų neįmanoma arba pernelyg sunku, arba jeigu įstatymai aiškiai reikalauja duomenis įrašyti ar atskleisti. Tokiais atvejais valstybės narės užtikrina tinkamas apsaugos priemones.

in so far as such further information is necessary, having regard to the specific circumstances in which the data are collected, to guarantee fair processing in respect of the data subject.

V SKIRSNIS

DUOMENŲ SUBJEKTO TEISĖ GAUTI INFORMACIJĄ

Article 11

12 straipsnis

Information where the data have not been obtained from the data subject

Teisė gauti informaciją

1. Where the data have not been obtained from the data subject, Member States shall provide that the controller or his representative must at the time of undertaking the recording of personal data or if a disclosure to a third party is envisaged, no later than the time when the data are first disclosed provide the data subject with at least the following information, except where he already has it:

Valstybės narės garantuoja kiekvienam duomenų subjektui teisę reikalauti, kad duomenų valdytojas:

(a) the identity of the controller and of his representative, if any;

a) be apribojimų, priimtinais laiko tarpais, per daug nedelsdamas ir be pernelyg didelių išlaidų, pateiktų:

(b) the purposes of the processing;

- patvirtinimą, ar su juo susiję duomenys yra tvarkomi, ir informaciją bent jau apie tvarkymo tikslus, duomenų kategorijas, gavėjus, kuriems atskleidžiami duomenys, arba jų kategorijas,

(c) any further information such as

- pranešimą suprantamu pavidalu apie tvarkomus duomenis ir bet kurią prieinamą informaciją apie jų šaltinius,

- the categories of data concerned,

- žinias apie loginius metodus, naudojamus automatiškai tvarkant duomenis apie duomenų subjektą, bent 15 straipsnio 1 dalyje nurodytų automatinių sprendimų atveju;

- the recipients or categories of recipients,

b) tinkamai ištaisytų, ištrintų arba blokuotų duomenis, kurie tvarkomi nesilaikant šios direktyvos nuostatų, o ypač, kai tie duomenys yra neišsamūs ar netikslūs;

- the existence of the right of access to and the right to rectify the data concerning him

c) praneštų trečiosioms šalims, kurioms duomenys buvo atskleisti, kad pagal b punktą duomenys buvo ištaisyti, ištrinti ar blokuoti, nebent tai padaryti būtų neįmanoma arba pernelyg sunku.

in so far as such further information is necessary, having regard to the specific circumstances in which the data are processed, to guarantee fair processing in respect of the data subject.

VI SKIRSNIS

2. Paragraph 1 shall not apply where, in particular for processing for statistical purposes or for the purposes of historical or scientific research, the provision of such information proves impossible or would involve a disproportionate effort or if recording or disclosure is expressly laid down by law. In these cases Member States shall provide appropriate safeguards.

IŠIMTYS IR APRIBOJIMAI

SECTION V

13 straipsnis

THE DATA SUBJECT'S RIGHT OF ACCESS TO DATA

Išimtys ir apribojimai

1. Valstybės narės gali priimti teisines priemones, kad apribotų 6 straipsnio 1 dalyje, 10 straipsnyje, 11 straipsnio 1 dalyje bei 12 ir 21 straipsniuose numatytų prievolių ir teisių mastą, kai toks apribojimas yra reikalinga apsaugos priemonė norint užtikrinti:

Article 12

a) nacionalinį saugumą;

Right of access

b) gynybą;

Member States shall guarantee every data subject the right to obtain from the controller:

c) visuomenės saugumą;

(a) without constraint at reasonable intervals and without excessive delay or expense:

d) kriminalinių nusikaltimų bei reglamentuojamų profesijų etikos pažeidimų prevenciją, tyrimą, išaiškinimą ir persekiojimą;

- confirmation as to whether or not data relating to him are being processed and information at least as to the purposes of the processing, the categories of data concerned, and the recipients or categories of recipients to whom the data are disclosed,

e) svarbius ekonominius ar finansinius valstybės narės ar Europos Sąjungos interesus, įskaitant ir monetarinius, biudžeto ar mokesčių klausimus;

- communication to him in an intelligible form of the data undergoing processing and of any available information as to their source,

f) kontrolės, tikrinimo ar taisyklių nustatymo funkciją, kuri susijusi, bent atsitiktinai, su įgaliojimų vykdymu c, d ir e punktuose nurodytais atvejais;

- knowledge of the logic involved in any automatic processing of data concerning him at least in the case of the automated decisions referred to in Article 15 (1);

g) duomenų subjekto apsaugą arba kitų asmenų teisių ir laisvių apsaugą.

(b) as appropriate the rectification, erasure or blocking of data the processing of which does not comply with the provisions of this Directive, in particular because of the incomplete or inaccurate nature of the data;

2. Tuomet, kai nėra jokio pavojaus pažeisti duomenų subjekto privatumą, valstybės narės gali teisine priemone apriboti 12 straipsnyje numatytas teises, jeigu duomenys yra tvarkomi tik mokslinių tyrimų tikslais arba jeigu jie yra laikomi asmens duomenų pavidalu ne ilgiau, nei yra reikalinga tik statistikos sumetimais, tačiau laikomasi nuostatos dėl adekvačių teisinių apsaugos priemonių, ypač nuostatos, kad duomenys nebūtų naudojami taikant priemones ar priimant sprendimus dėl bet kurio konkretaus asmens.

(c) notification to third parties to whom the data have been disclosed of any rectification, erasure or blocking carried out in compliance with (b), unless this proves impossible or involves a disproportionate effort.

VII skirsnis

SECTION VI

DUOMENŲ SUBJEKTO TEISĖ PRIEŠTARAUTI

EXEMPTIONS AND RESTRICTIONS

14 straipsnis

Duomenų subjekto teisė prieštarauti

Article 13

Valstybės narės suteikia duomenų subjektui teisę:

Exemptions and restrictions

a) bent 7 straipsnio e ir f punktuose nurodytais atvejais privalomu teisėtu pagrindu, susijusiu su jo konkrečia padėtimi, prieštarauti duomenų apie jį tvarkymui, išskyrus, kai nacionaliniai įstatymai nustato kitaip. Kai prieštaraujama pagrįstai, tvarkant duomenų valdytojo iniciatyva, tokie duomenys nebegali būti toliau tvarkomi;

1. Member States may adopt legislative measures to restrict the scope of the obligations and rights provided for in Articles 6 (1), 10, 11 (1), 12 and 21 when such a restriction constitutes a necessary measures to safeguard:

b) prieštarauti, paprašius ir nemokamai, tam, kad būtų tvarkomi su juo susiję duomenys, kuriuos duomenų valdytojas įtaria esant tvarkomus tiesioginio pardavimo tikslais, arba būti informuotam, prieš atskleidžiant asmens duomenis trečiosioms šalims pirmą kartą arba prieš panaudojant juos trečiųjų šalių vardu tiesioginio pardavimo tikslais, ir gauti aiškų pasiūlymą pasinaudoti teise nemokamai prieštarauti tam, kad duomenys tokiu būdu būtų atskleisti ar panaudoti.

(a) national security;

Valstybės narės imasi reikalingų priemonių užtikrinti, kad duomenų subjektai būtų supažindinti su b punkto pirmoje pastraipoje nurodytos teisės buvimu.

(b) defence;

15 straipsnis

(c) public security;

Automatiniai individualūs sprendimai

(d) the prevention, investigation, detection and prosecution of criminal offences, or of breaches of ethics for regulated professions;

1. Valstybės narės suteikia kiekvienam asmeniui teisę, kad jo atžvilgiu nebus daromas sprendimas, kuris sukuria jam teisinį poveikį arba kuris ženkliai paveikia jį ir kuris yra paremtas tiktai automatiniu duomenų tvarkymu, skirtu įvertinti tam tikrus asmeniškus su juo susijusius aspektus, kaip antai: jo darbingumas, kreditingumas, patikimumas, elgesys ir kt.

(e) an important economic or financial interest of a Member State or of the European Union, including monetary, budgetary and taxation matters;

2. Laikydamosi ir kitų šios direktyvos straipsnių, valstybės narės numato, kad asmens atžvilgiu gali būti daromas 1 dalyje nurodyto pobūdžio sprendimas, jeigu tas sprendimas:

(f) a monitoring, inspection or regulatory function connected, even occasionally, with the exercise of official authority in cases referred to in (c), (d) and (e);

a) yra priimtas, sudarant arba vykdant sutartį, su sąlyga, kad duomenų subjekto paduotas prašymas sudaryti ar vykdyti sutartį buvo patenkintas arba kad yra tinkamų priemonių jo teisėtiems interesams apsaugoti, pavyzdžiui, atitinkama tvarka, leidžianti jam pareikšti savo nuomonę;

(g) the protection of the data subject or of the rights and freedoms of others.

b) yra leidžiamas įstatymo, kuris taip pat išdėsto priemones apsaugoti duomenų subjekto teisėtus interesus.

2. Subject to adequate legal safeguards, in particular that the data are not used for taking measures or decisions regarding any particular individual, Member States may, where there is clearly no risk of breaching the privacy of the data subject, restrict by a legislative measure the rights provided for in Article 12 when data are processed solely for purposes of scientific research or are kept in personal form for a period which does not exceed the period necessary for the sole purpose of creating statistics.

VIII SKIRSNIS

SECTION VII

TVARKYMO KONFIDENCIALUMAS IR SAUGUMAS

THE DATA SUBJECT'S RIGHT TO OBJECT

16 straipsnis

Tvarkymo konfidencialumas

Article 14

Bet kuriam asmeniui, veikiančiam pagal duomenų valdytojo ar duomenų tvarkytojo įgaliojimus, įskaitant ir patį duomenų tvarkytoją, galinčiam gauti asmens duomenų, draudžiama tvarkyti juos kitaip, kaip tiktai duomenų valdytojo nurodymu, nebent jo tai padaryti reikalautų įstatymas.

The data subject's right to object

17 straipsnis

Member States shall grant the data subject the right:

Tvarkymo saugumas

(a) at least in the cases referred to in Article 7 (e) and (f), to object at any time on compelling legitimate grounds relating to his particular situation to the processing of data relating to him, save where otherwise provided by national legislation. Where there is a justified objection, the processing instigated by the controller may no longer involve those data;

1. Valstybės narės numato, kad duomenų valdytojas privalo įgyvendinti tinkamas technines ir organizacines priemones, skirtas apsaugoti, kad asmens duomenys nebūtų netyčia ar neteisėtai sunaikinti ar netyčia prarasti, pakeisti, neleistinai atskleisti ar palikti prieinami, ypač, kai tvarkomus duomenis tenka perduoti tinklu, taip pat apsaugoti nuo bet kokių kitų neteisėtų tvarkymo būdų.

(b) to object, on request and free of charge, to the processing of personal data relating to him which the controller anticipates being processed for the purposes of direct marketing, or to be informed before personal data are disclosed for the first time to third parties or used on their behalf for the purposes of direct marketing, and to be expressly offered the right to object free of charge to such disclosures or uses.

Atsižvelgus į technologijų lygį ir jų įdiegimo išlaidas, minėtos priemonės turi užtikrinti tokį saugumo lygį, kuris atitiktų tvarkymo keliamą riziką ir saugotinų duomenų pobūdį.

Member States shall take the necessary measures to ensure that data subjects are aware of the existence of the right referred to in the first subparagraph of (b).

2. Valstybės narės numato, kad kai duomenys tvarkomi duomenų valdytojo vardu, jis privalo parinkti tokį kitą duomenų tvarkytoją, kuris garantuotų reikiamas techninio saugumo ir organizacines priemones, taikomas tvarkant numatytus duomenis, ir privalo užtikrinti, kad tokių priemonių būtų laikomasi.

3. Kai duomenys tvarkomi su bet kurio duomenų tvarkytojo pagalba, tai turi reglamentuoti sutartis arba teisės aktas, kuriuo nustatomas duomenų tvarkytojo prievolės duomenų valdytojui ir kuris ypač aiškiai numato, kad:

Article 15

- duomenų tvarkytojas gali veikti tiktai pagal duomenų valdytojo nurodymus,

Automated individual decisions

- šio straipsnio 1 dalyje išdėstytos prievolės, kaip jas apibrėžia valstybės narės, kurioje įsikūręs duomenų tvarkytojas, įstatymai, taip pat yra privalomos duomenų tvarkytojui.

1. Member States shall grant the right to every person not to be subject to a decision which produces legal effects concerning him or significantly affects him and which is based solely on automated processing of data intended to evaluate certain personal aspects relating to him, such as his performance at work, creditworthiness, reliability, conduct, etc.

4. Kad vėliau būtų galima pasiremti įrodymais, sutarties ar teisės akto dalys, susijusios su duomenų apsauga, ir reikalavimai, susiję su šio straipsnio 1 dalyje nurodytomis priemonėmis, turi būti sudaryti raštu ar turėti kitą lygiavertį pavidalą.

2. Subject to the other Articles of this Directive, Member States shall provide that a person may be subjected to a decision of the kind referred to in paragraph 1 if that decision:

IX SKIRSNIS

(a) is taken in the course of the entering into or performance of a contract, provided the request for the entering into or the performance of the contract, lodged by the data subject, has been satisfied or that there are suitable measures to safeguard his legitimate interests, such as arrangements allowing him to put his point of view; or

PRANEŠIMAS

(b) is authorized by a law which also lays down measures to safeguard the data subject's legitimate interests.

18 straipsnis

SECTION VIII

Pareiga pranešti priežiūros institucijai

CONFIDENTIALITY AND SECURITY OF PROCESSING

1. Valstybės narės numato, kad duomenų valdytojas arba jo atstovas, jei toks yra, privalo pranešti 28 straipsnyje nurodytai priežiūros institucijai, prieš atlikdamas bet kurią visiškai ar iš dalies automatinę tvarkymo operaciją arba operacijų grupę, numatytą vienam tikslui ar keletui susijusių tikslų.

2. Valstybės narės gali supaprastinti reikalavimą pranešti arba atleisti nuo jo, tačiau tiktai šiais atvejais ir sąlygomis:

Article 16

- kai, esant tvarkymo operacijų kategorijoms, kurios, atsižvelgus į tvarkytinus duomenis, neturėtų neigiamai paveikti duomenų subjektų teisių ir laisvių, valstybės narės nurodo, kokie yra tvarkymo tikslai, tvarkomi duomenys arba jų kategorijos, duomenų subjektų kategorija arba kategorijos, gavėjai, kuriems duomenys turi būti atskleidžiami, arba jų kategorijos bei numatoma duomenų saugojimo trukmė, ir (arba)

Confidentiality of processing

- kai duomenų valdytojas, laikydamasis jam taikomų nacionalinių įstatymų, paskiria pareigūną asmens duomenų apsaugai, kuris privalo:

Any person acting under the authority of the controller or of the processor, including the processor himself, who has access to personal data must not process them except on instructions from the controller, unless he is required to do so by law.

- nepriklausomai veikdamas užtikrinti, kad duomenų valdytojas laikytųsi pagal šią direktyvą priimtų nacionalinių nuostatų,

- pildyti duomenų valdytojo atliktų tvarkymo operacijų registrą, kuriame būtų pateikta 21 straipsnio 2 dalyje nurodyta informacija,

Article 17

tokiu būdu užtikrindamos, kad tvarkymo operacijos negalės neigiamai paveikti duomenų subjektų teisių ir laisvių.

Security of processing

3. Valstybės narės gali numatyti, kad šio straipsnio 1 dalis netaikoma tuomet, kai duomenys tvarkomi tik pildant registrą, kuris pagal įstatymus ir norminius aktus turėtų suteikti informacijos visuomenei, ir kuriuo gali naudotis plačioji visuomenė arba bet kuris teisėtai reikalaujantis asmuo.

1. Member States shall provide that the controller must implement appropriate technical and organizational measures to protect personal data against accidental or unlawful destruction or accidental loss, alteration, unauthorized disclosure or access, in particular where the processing involves the transmission of data over a network, and against all other unlawful forms of processing.

4. Valstybės narės gali atleisti nuo prievolės pranešti arba supaprastinti pranešimo tvarką 8 straipsnio 2 dalies d punkte nurodytų tvarkymo operacijų atveju.

Having regard to the state of the art and the cost of their implementation, such measures shall ensure a level of security appropriate to the risks represented by the processing and the nature of the data to be protected.

5. Valstybės narės gali nustatyti, kad turi būti pranešama apie kai kurias arba visas ne automatines tvarkymo operacijas, susijusias su asmens duomenimis, arba gali numatyti, kad šioms tvarkymo operacijoms taikoma supaprastinta pranešimo tvarka.

2. The Member States shall provide that the controller must, where processing is carried out on his behalf, choose a processor providing sufficient guarantees in respect of the technical security measures and organizational measures governing the processing to be carried out, and must ensure compliance with those measures.

19 straipsnis

3. The carrying out of processing by way of a processor must be governed by a contract or legal act binding the processor to the controller and stipulating in particular that:

Pranešimo turinys

- the processor shall act only on instructions from the controller,

1. Valstybės narės nurodo, kokią informaciją reikia pateikti pranešime. Jame turi būti nurodyta bent:

- the obligations set out in paragraph 1, as defined by the law of the Member State in which the processor is established, shall also be incumbent on the processor.

a) duomenų valdytojo ir jo atstovo, jei toks yra, pavadinimas ir adresas;

4. For the purposes of keeping proof, the parts of the contract or the legal act relating to data protection and the requirements relating to the measures referred to in paragraph 1 shall be in writing or in another equivalent form.

b) tvarkymo tikslas ar tikslai;

SECTION IX

c) duomenų subjekto kategorija ar kategorijos bei su jais susijusių duomenų ar jų kategorijų aprašas;

NOTIFICATION

d) gavėjai, kuriems gali būti atskleisti duomenys, arba jų kategorijos;

e) siūlomi duomenų perdavimai į trečiąsias šalis;

Article 18

f) bendras aprašas, leidžiantis iš anksto įvertinti, ar priemonės, kurių imamasi pagal 17 straipsnį, yra tinkamos tvarkymo saugumui užtikrinti.

Obligation to notify the supervisory authority

2. Valstybės narės nurodo, kokia tvarka turi būti pranešama priežiūros institucijoms apie bet kokį šio straipsnio 1 dalyje nurodytos informacijos pasikeitimą.

1. Member States shall provide that the controller or his representative, if any, must notify the supervisory authority referred to in Article 28 before carrying out any wholly or partly automatic processing operation or set of such operations intended to serve a single purpose or several related purposes.

20 straipsnis

2. Member States may provide for the simplification of or exemption from notification only in the following cases and under the following conditions:

Išankstinė patikra

- where, for categories of processing operations which are unlikely, taking account of the data to be processed, to affect adversely the rights and freedoms of data subjects, they specify the purposes of the processing, the data or categories of data undergoing processing, the category or categories of data subject, the recipients or categories of recipient to whom the data are to be disclosed and the length of time the data are to be stored, and/or

1. Valstybės narės nusprendžia, kurios tvarkymo operacijos gali kelti konkretų pavojų duomenų subjekto teisėms ir laisvėms, ir tikrina, ar šios tvarkymo operacijos yra ištiriamos prieš jas pradedant.

- where the controller, in compliance with the national law which governs him, appoints a personal data protection official, responsible in particular:

2. Tokias išankstines patikras atlieka priežiūros institucija, gavusi pranešimą iš duomenų valdytojo, arba duomenų apsaugos pareigūnas, kuris, kilus abejonių, privalo tartis su priežiūros institucija.

- for ensuring in an independent manner the internal application of the national provisions taken pursuant to this Directive

3. Valstybės narės gali tokias patikras atlikti tuomet, kai rengiama nacionalinio parlamento priimama priemonė arba tokia teisine priemone pagrįsta priemonė, kuri apibrėžia tvarkymo pobūdį ir nurodo tinkamus apsaugos būdus.

- for keeping the register of processing operations carried out by the controller, containing the items of information referred to in Article 21 (2),

21 straipsnis

thereby ensuring that the rights and freedoms of the data subjects are unlikely to be adversely affected by the processing operations.

Tvarkymo operacijų skelbimas viešai

3. Member States may provide that paragraph 1 does not apply to processing whose sole purpose is the keeping of a register which according to laws or regulations is intended to provide information to the public and which is open to consultation either by the public in general or by any person demonstrating a legitimate interest.

1. Valstybės narės imasi priemonių užtikrinti, kad tvarkymo operacijos būtų skelbiamos viešai.

4. Member States may provide for an exemption from the obligation to notify or a simplification of the notification in the case of processing operations referred to in Article 8 (2) (d).

2. Valstybės narės numato, kad priežiūros institucija turi registruoti tvarkymo operacijas, apie kurias reikia pranešti pagal 18 straipsnį.

5. Member States may stipulate that certain or all non-automatic processing operations involving personal data shall be notified, or provide for these processing operations to be subject to simplified notification.

Šiame registre pateikiama bent 19 straipsnio 1 dalies nuo a–e punktuose nurodyta informacija.

Su tokiu registru gali susipažinti kiekvienas asmuo.

Article 19

3. Dėl tvarkymo operacijų, apie kurias neprivalu pranešti, valstybės narės numato, kad duomenų valdytojas ar kita valstybės narės paskirta institucija bent 19 straipsnio 1 dalies nuo a–e punktuose nurodytą informaciją padaro tinkamu pavidalu prieinamą bet kuriam besikreipiančiam asmeniui.

Contents of notification

Valstybės narės gali numatyti, kad ši nuostata netaikoma tuomet, kai duomenys tvarkomi tik pildant registrą, kuris pagal įstatymus ir kitus norminius aktus turėtų suteikti informacijos visuomenei ir kuriuo gali naudotis plačioji visuomenė ar bet kuris teisėtai reikalaujantis asmuo.

1. Member States shall specify the information to be given in the notification. It shall include at least:

III SKYRIUS

(a) the name and address of the controller and of his representative, if any;

TEISĖS GYNIMO BŪDAI, TURTINĖ ATSAKOMYBĖ IR SANKCIJOS

(b) the purpose or purposes of the processing;

22 straipsnis

(c) a description of the category or categories of data subject and of the data or categories of data relating to them;

Teisės gynimo būdai

(d) the recipients or categories of recipient to whom the data might be disclosed;

Nepažeidžiant jokių nuostatų dėl administracinio poveikio priemonių, kurios, inter alia, gali būti numatytos prieš perduodant klausimą 28 straipsnyje nurodytai priežiūros institucijai ir prieš kreipiantis į teismo instituciją, valstybės narės numato, kad kiekvienas asmuo turi teisę į teisminę gynybą, jei pažeidžiamos teisės, kurias jam garantuoja nacionaliniai įstatymai, taikomi tvarkant tam tikru aptariamu būdu.

(e) proposed transfers of data to third countries;

23 straipsnis

(f) a general description allowing a preliminary assessment to be made of the appropriateness of the measures taken pursuant to Article 17 to ensure security of processing.

Turtinė atsakomybė

2. Member States shall specify the procedures under which any change affecting the information referred to in paragraph 1 must be notified to the supervisory authority.

1. Valstybės narės numato, kad bet kuris asmuo, patyręs nuostolių dėl neteisėtos tvarkymo operacijos ar bet kokio veiksmo, nesuderinamo su nacionalinėmis nuostatomis, priimtomis pagal šią direktyvą, turi teisę iš duomenų valdytojo gauti kompensaciją už patirtus nuostolius.

2. Duomenų valdytojas gali būti visiškai ar iš dalies atleistas nuo šios turtinės atsakomybės, jeigu įrodo nesantis atsakingas už nuostolius sukėlusį veiksmą.

Article 20

24 straipsnis

Prior checking

Sankcijos

1. Member States shall determine the processing operations likely to present specific risks to the rights and freedoms of data subjects and shall check that these processing operations are examined prior to the start thereof.

Valstybės narės priima tinkamas priemones užtikrinti, kad šios direktyvos nuostatos būtų visiškai įgyvendintos, ir būtinai išdėsto sankcijas, kurios taikomos pažeidus pagal šią direktyvą priimtas nuostatas.

2. Such prior checks shall be carried out by the supervisory authority following receipt of a notification from the controller or by the data protection official, who, in cases of doubt, must consult the supervisory authority.

IV SKYRIUS

3. Member States may also carry out such checks in the context of preparation either of a measure of the national parliament or of a measure based on such a legislative measure, which define the nature of the processing and lay down appropriate safeguards.

ASMENS DUOMENŲ PERDAVIMAS Į TREČIĄSIAS ŠALIS

25 straipsnis

Article 21

Principai

Publicizing of processing operations

1. Valstybės narės numato, kad asmens duomenys, kurie yra tvarkomi arba kuriuos juos perdavus ketinama tvarkyti, gali būti perduodami į trečiąją šalį tik tuo atveju, jeigu nepažeidžiant nacionalinių nuostatų, priimtų pagal kitas šios direktyvos nuostatas, ši trečioji šalis užtikrina adekvatų apsaugos lygį.

1. Member States shall take measures to ensure that processing operations are publicized.

2. Apsaugos, kurią suteikia trečioji šalis, lygio adekvatumas įvertinamas atsižvelgiant į duomenų perdavimo operacijos ar operacijų grupės aplinkybes; ypatingas dėmesys atkreipiamas į duomenų pobūdį, siūlomos tvarkymo operacijos ar operacijų tikslą ir trukmę, duomenų kilmės bei paskirties valstybę ar valstybes, bendrųjų ir atskiriems sektoriams taikomų įstatymų, galiojančių trečiojoje šalyje, nuostatas, taip pat profesines taisykles ir saugumo priemones, kurių laikomasi toje valstybėje.

2. Member States shall provide that a register of processing operations notified in accordance with Article 18 shall be kept by the supervisory authority.

3. Valstybės narės ir Komisija praneša vienos kitoms apie tokius atvejus, kai jos mano, kad kuri nors trečioji šalis neužtikrina adekvataus apsaugos lygio, kaip numatyta šio straipsnio 2 dalyje.

The register shall contain at least the information listed in Article 19 (1) (a) to (e).

4. Jeigu 31 straipsnio 2 dalyje numatyta tvarka Komisija išsiaiškina, kad kuri nors trečioji šalis neužtikrina adekvataus apsaugos lygio, kaip numatyta šio straipsnio 2 dalyje, valstybės narės imasi reikalingų priemonių, kad to tipo duomenys aptariamai trečiajai šaliai nebūtų perduoti.

The register may be inspected by any person.

5. Reikiamu metu Komisija pradeda derybas, kad ištaisytų padėtį, susidariusią pagal šio straipsnio 4 dalį išsiaiškinus apsaugos stoką.

3. Member States shall provide, in relation to processing operations not subject to notification, that controllers or another body appointed by the Member States make available at least the information referred to in Article 19 (1) (a) to (e) in an appropriate form to any person on request.

6. 31 straipsnio 2 dalyje nurodyta tvarka Komisija gali išsiaiškinti, kad adekvatų apsaugos lygį, kaip numatyta šio straipsnio 2 dalyje, trečioji šalis užtikrina savo šalies įstatymais arba tarptautiniais įsipareigojimais, kuriuos ji yra prisiėmusi, ypač po 5 dalyje nurodytų derybų dėl asmenų privataus gyvenimo ir pagrindinių laisvių bei teisių apsaugos.

Member States may provide that this provision does not apply to processing whose sole purpose is the keeping of a register which according to laws or regulations is intended to provide information to the public and which is open to consultation either by the public in general or by any person who can provide proof of a legitimate interest.

Valstybės narės imasi reikalingų priemonių, kad būtų laikomasi Komisijos sprendimo.

26 straipsnis

CHAPTER III JUDICIAL REMEDIES, LIABILITY AND SANCTIONS

Nukrypimai

1. Nesilaikydamos 25 straipsnio nuostatų, išskyrus, kai konkrečius atvejus reglamentuojantys šalies įstatymai numato ką kita, valstybės narės numato, kad asmens duomenys gali būti perduodami trečiajai šaliai, kuri neužtikrina adekvataus apsaugos lygio, kaip numatyta 25 straipsnio 2 dalyje, su sąlyga, kad:

Article 22

a) duomenų subjektas yra nedviprasmiškai davęs sutikimą perduoti siūlomus duomenis; arba

Remedies

b) duomenis perduoti būtina, kad būtų įvykdyti sutarties tarp duomenų subjekto ir duomenų valdytojo reikalavimai, arba kad būtų įgyvendintos priemonės, kurių prieš pasirašant sutartį imamasi duomenų subjekto prašymu; arba

Without prejudice to any administrative remedy for which provision may be made, inter alia before the supervisory authority referred to in Article 28, prior to referral to the judicial authority, Member States shall provide for the right of every person to a judicial remedy for any breach of the rights guaranteed him by the national law applicable to the processing in question.

c) duomenis perduoti būtina, kad duomenų subjekto labui būtų sudaryta duomenų valdytojo ir trečios šalies sutartis ar būtų įvykdyti tokios sutarties reikalavimai; arba

d) duomenis perduoti būtina arba įstatymų numatyta dėl svarbių visuomenės interesų arba norint nustatyti, įvykdyti ar apginti teisinius ieškinius; arba

Article 23

e) duomenis perduoti būtina, kad būtų apsaugoti gyvybiniai duomenų subjektų interesai; arba

Liability

f) duomenys perduodami iš registro, kuris pagal įstatymus ir norminius aktus turėtų suteikti informacijos visuomenei ir kuriuo gali naudotis plačioji visuomenė arba bet kuris teisėtai reikalaujantis asmuo, tačiau kiekvienu konkrečiu atveju turi būti įvykdytos įstatymo numatytos naudojimosi tokiu registru sąlygos.

1. Member States shall provide that any person who has suffered damage as a result of an unlawful processing operation or of any act incompatible with the national provisions adopted pursuant to this Directive is entitled to receive compensation from the controller for the damage suffered.

2. Nepažeisdama šio straipsnio 1 dalies nuostatų, valstybė narė gali leisti perduoti asmens duomenis į trečiąją šalį, kuri neužtikrina adekvataus apsaugos lygio pagal 25 straipsnio 2 dalį, jeigu domenų valdytojas pateikia adekvačias apsaugos priemones asmenų privatumui ir pagrindinėms teisėms bei laisvėms apsaugoti ir atitinkamoms teisėms įgyvendinti; tokios apsaugos priemonės gali būti išdėstytos atitinkamuose sutarčių punktuose.

2. The controller may be exempted from this liability, in whole or in part, if he proves that he is not responsible for the event giving rise to the damage.

3. Valstybės narės informuoja Komisiją ir kitas valstybes nares apie leidimus, kuriuos ji suteikia pagal šio straipsnio 2 dalį.

Jei valstybė narė arba Komisija prieštarauja pagrįstai, siekdamos apsaugoti asmenų privatumą ir pagrindines teises bei laisves, Komisija imasi atitinkamų priemonių 31 straipsnio 2 dalyje nurodyta tvarka.

Article 24

Valstybės narės imasi reikalingų priemonių, kad būtų laikomasi Komisijos sprendimo.

Sanctions

4. Jei 31 straipsnio 2 dalyje nurodyta tvarka Komisija nusprendžia, kad atitinkami standartiniai sutarčių punktai numato pakankamas apsaugos priemones, kaip reikalauja šio straipsnio 2 dalies nuostatos, valstybės narės imasi reikalingų priemonių, kad būtų laikomasi Komisijos sprendimo.

The Member States shall adopt suitable measures to ensure the full implementation of the provisions of this Directive and shall in particular lay down the sanctions to be imposed in case of infringement of the provisions adopted pursuant to this Directive.

V SKYRIUS

ETIKOS KODEKSAI

CHAPTER IV TRANSFER OF PERSONAL DATA TO THIRD COUNTRIES

27 straipsnis

1. Valstybės narės ir Komisija skatina pastangas parengti etikos kodeksus, kurie padėtų tinkamai įgyvendinti nacionalines nuostatas, valstybių narių priimtas pagal šią direktyvą, atsižvelgiant į specifinius įvairių sektorių bruožus.

Article 25

2. Valstybės narės numato, kad prekybos asociacijos ar kitos institucijos, atstovaujančios kitoms duomenų valdytojų kategorijoms, kurios parengia nacionalinių kodeksų projektus arba ketina pataisyti ar papildyti galiojančius nacionalinius kodeksus, turi pateikti juos nacionalinei valdžios institucijai įvertinti.

Principles

Valstybės narės numato, kad ši valdžios institucija greta kitų dalykų turi išsiaiškinti, ar jai pateikti projektai atitinka pagal šią direktyvą priimtas nacionalines nuostatas. Prireikus ši valdžios institucija aiškinasi duomenų subjektų arba jų atstovų nuomones.

1. The Member States shall provide that the transfer to a third country of personal data which are undergoing processing or are intended for processing after transfer may take place only if, without prejudice to compliance with the national provisions adopted pursuant to the other provisions of this Directive, the third country in question ensures an adequate level of protection.

3. Bendrijos kodeksų projektai ir galiojančių Bendrijos kodeksų pataisos ar papildymai gali būti pateikti 29 straipsnyje nurodytai darbo grupei. Ši darbo grupė greta kitų dalykų sprendžia, ar jai pateikti dokumentai atitinka pagal šią direktyvą priimtas nacionalines nuostatas. Prireikus ši institucija aiškinasi duomenų subjektų arba jų atstovų nuomones. Komisija gali užtikrinti reikiamą darbo grupės patvirtintų kodeksų viešumą.

2. The adequacy of the level of protection afforded by a third country shall be assessed in the light of all the circumstances surrounding a data transfer operation or set of data transfer operations; particular consideration shall be given to the nature of the data, the purpose and duration of the proposed processing operation or operations, the country of origin and country of final destination, the rules of law, both general and sectoral, in force in the third country in question and the professional rules and security measures which are complied with in that country.

VI SKYRIUS

3. The Member States and the Commission shall inform each other of cases where they consider that a third country does not ensure an adequate level of protection within the meaning of paragraph 2.

PRIEŽIŪROS INSTITUCIJA IR DARBO GRUPĖ ASMENŲ APSAUGAI TVARKANT ASMENS DUOMENIS

4. Where the Commission finds, under the procedure provided for in Article 31 (2), that a third country does not ensure an adequate level of protection within the meaning of paragraph 2 of this Article, Member States shall take the measures necessary to prevent any transfer of data of the same type to the third country in question.

28 straipsnis

5. At the appropriate time, the Commission shall enter into negotiations with a view to remedying the situation resulting from the finding made pursuant to paragraph 4.

Priežiūros institucija

6. The Commission may find, in accordance with the procedure referred to in Article 31 (2), that a third country ensures an adequate level of protection within the meaning of paragraph 2 of this Article, by reason of its domestic law or of the international commitments it has entered into, particularly upon conclusion of the negotiations referred to in paragraph 5, for the protection of the private lives and basic freedoms and rights of individuals.

1. Kiekviena valstybė narė numato, kad viena ar daugiau valdžios institucijų privalo kontroliuoti, kaip jos teritorijoje yra taikomos pagal šią direktyvą valstybių narių priimtos nuostatos.

Member States shall take the measures necessary to comply with the Commission's decision.

Šios valdžios institucijos veikia visiškai nepriklausomai, vykdydamos joms patikėtas funkcijas.

2. Kiekviena valstybė narė numato, kad su priežiūros institucijomis turi būti tariamasi, kai rengiamos administracinės priemonės ar taisyklės dėl asmenų teisių ir laisvių apsaugos tvarkant asmens duomenis.

Article 26

3. Kiekvienai valdžios institucijai suteikiami:

Derogations

- įgaliojimai tirti, kaip antai: įgaliojimai sužinoti tvarkymo operacijų turinį ar įgaliojimai surinkti visą informaciją, reikalingą priežiūros funkcijoms atlikti,

1. By way of derogation from Article 25 and save where otherwise provided by domestic law governing particular cases, Member States shall provide that a transfer or a set of transfers of personal data to a third country which does not ensure an adequate level of protection within the meaning of Article 25 (2) may take place on condition that:

- įgaliojimai veiksmingai įsikišti, pavyzdžiui, įgaliojimai pareikšti nuomonę, iš anksto įvertinus tvarkymo operacijas pagal 20 straipsnį, ir užtikrinti, kad tokios nuomonės būtų tinkamu būdu skelbiamos viešai, taip pat įgaliojimai nurodyti blokuoti, ištrinti arba sunaikinti duomenis, laikinai arba visiškai uždrausti tvarkyti duomenis, įspėti arba papeikti duomenų valdytoją arba įgaliojimai perduoti klausimą nacionaliniams parlamentams ar kitoms politinėms institucijoms svarstyti,

(a) the data subject has given his consent unambiguously to the proposed transfer; or

- įgaliojimai dalyvauti teismo procesuose, kai pažeidžiamos pagal šią direktyvą priimtos nacionalinės nuostatos, arba atkreipti teismo institucijų dėmesį į tokius pažeidimus.

(b) the transfer is necessary for the performance of a contract between the data subject and the controller or the implementation of precontractual measures taken in response to the data subject's request; or

Priežiūros institucijų priimti sprendimai, sukėlę nusiskundimų, gali būti skundžiami teismuose.

(c) the transfer is necessary for the conclusion or performance of a contract concluded in the interest of the data subject between the controller and a third party; or

4. Kiekviena priežiūros institucija nagrinėja bet kurio asmens ar tam asmeniui atstovaujančios asociacijos iškeltus ieškinius dėl jo teisių ir laisvių apsaugos tvarkant asmens duomenis. Suinteresuotam asmeniui pranešama apie ieškinio baigtį.

(d) the transfer is necessary or legally required on important public interest grounds, or for the establishment, exercise or defence of legal claims; or

Kiekviena priežiūros institucija taip pat nagrinėja bet kurio asmens iškeltus ieškinius, reikalaujant patikrinti duomenų tvarkymo teisėtumą tais atvejais, kai taikomos pagal šios direktyvos 13 straipsnį priimtos nacionalinės nuostatos. Bet kuriu atveju asmeniui pranešama, kad patikra buvo atlikta.

(e) the transfer is necessary in order to protect the vital interests of the data subject; or

5. Kiekviena priežiūros institucija reguliariai parengia ataskaitą apie savo veiklą. Ši ataskaita skelbiama viešai.

(f) the transfer is made from a register which according to laws or regulations is intended to provide information to the public and which is open to consultation either by the public in general or by any person who can demonstrate legitimate interest, to the extent that the conditions laid down in law for consultation are fulfilled in the particular case.

6. Kad ir kokie nacionaliniai įstatymai būtų taikomi tvarkant aptariamus duomenis, kiekviena priežiūros institucija yra kompetentinga savo valstybės narės teritorijoje naudotis pagal šio straipsnio 3 dalį jai suteiktais įgaliojimais. Kiekviena valdžios institucija gali būti kitos valstybės narės valdžios institucijos paprašyta pasinaudoti savo įgaliojimais.

2. Without prejudice to paragraph 1, a Member State may authorize a transfer or a set of transfers of personal data to a third country which does not ensure an adequate level of protection within the meaning of Article 25 (2), where the controller adduces adequate safeguards with respect to the protection of the privacy and fundamental rights and freedoms of individuals and as regards the exercise of the corresponding rights; such safeguards may in particular result from appropriate contractual clauses.

Priežiūros institucijos tarpusavyje bendradarbiauja tiek, kiek tai reikalinga jų pareigoms vykdyti, ypač keisdamosi visa naudinga informacija.

3. The Member State shall inform the Commission and the other Member States of the authorizations it grants pursuant to paragraph 2.

7. Valstybės narės numato, kad priežiūros institucijos nariai ir personalas, netgi jau nebedirbantys, privalo laikytis profesinės paslapties saugojimo prievolės dėl jų gaunamos konfidencialios informacijos.

If a Member State or the Commission objects on justified grounds involving the protection of the privacy and fundamental rights and freedoms of individuals, the Commission shall take appropriate measures in accordance with the procedure laid down in Article 31 (2).

29 straipsnis

Member States shall take the necessary measures to comply with the Commission's decision.

Darbo grupė asmenų apsaugai tvarkant asmens duomenis

4. Where the Commission decides, in accordance with the procedure referred to in Article 31 (2), that certain standard contractual clauses offer sufficient safeguards as required by paragraph 2, Member States shall take the necessary measures to comply with the Commission's decision.

1. Įkuriama darbo grupė asmenų apsaugai tvarkant asmens duomenis (toliau – darbo grupė).

Ji turi patariamąjį statusą ir veikia nepriklausomai.

CHAPTER V CODES OF CONDUCT

2. Darbo grupę sudaro kiekvienos valstybės narės paskirtos priežiūros institucijos ar institucijų atstovas, Bendrijos institucijoms ir organams įsteigtos valdžios institucijos ar institucijų atstovas ir Komisijos atstovas.

Kiekvieną darbo grupės narį skiria jo atstovaujama institucija ar institucijos. Jeigu valstybė narė paskiria daugiau nei vieną priežiūros instituciją, pastarosios išrenka vieną bendrą atstovą. Tas pats taikoma Bendrijos institucijoms ir organams įsteigtų valdžios institucijų atžvilgiu.

Article 27

3. Darbo grupė priima sprendimus paprasta priežiūros institucijų atstovų dauguma.

1. The Member States and the Commission shall encourage the drawing up of codes of conduct intended to contribute to the proper implementation of the national provisions adopted by the Member States pursuant to this Directive, taking account of the specific features of the various sectors.

4. Darbo grupė išsirenka pirmininką. Pirmininko kadencija yra dveji metai. Jis gali būti perrinktas.

2. Member States shall make provision for trade associations and other bodies representing other categories of controllers which have drawn up draft national codes or which have the intention of amending or extending existing national codes to be able to submit them to the opinion of the national authority.

5. Darbo grupei sekretoriatą skiria Komisija.

Member States shall make provision for this authority to ascertain, among other things, whether the drafts submitted to it are in accordance with the national provisions adopted pursuant to this Directive. If it sees fit, the authority shall seek the views of data subjects or their representatives.

6. Darbo grupė priima savo darbo tvarkos taisykles.

3. Draft Community codes, and amendments or extensions to existing Community codes, may be submitted to the Working Party referred to in Article 29. This Working Party shall determine, among other things, whether the drafts submitted to it are in accordance with the national provisions adopted pursuant to this Directive. If it sees fit, the authority shall seek the views of data subjects or their representatives. The Commission may ensure appropriate publicity for the codes which have been approved by the Working Party.

7. Darbo grupė svarsto klausimus, kuriuos į jos darbotvarkę įtraukia pirmininkas savo iniciatyva arba priežiūros institucijų atstovo ar Komisijos prašymu.

30 straipsnis

CHAPTER VI SUPERVISORY AUTHORITY AND WORKING PARTY ON THE PROTECTION OF INDIVIDUALS WITH REGARD TO THE PROCESSING OF PERSONAL DATA

1. Darbo grupė:

a) nagrinėja bet kurį klausimą, iškilusį taikant nacionalines nuostatas, priimtas pagal šią direktyvą, siekdama padėti vienodai taikyti šias priemones;

Article 28

b) pareiškia Bendrijai savo nuomonę, įvertinusi apsaugos lygį Bendrijoje ir trečiosiose šalyse;

Supervisory authority

c) pataria Bendrijai dėl siūlomų šios direktyvos pakeitimų, taip pat dėl papildomų ar specifinių priemonių, skirtų apsaugoti fizinių asmenų teises ir laisves tvarkant asmens duomenis, ir dėl kitų siūlomų Bendrijos priemonių, galinčių turėti įtakos tokioms teisėms ir laisvėms;

1. Each Member State shall provide that one or more public authorities are responsible for monitoring the application within its territory of the provisions adopted by the Member States pursuant to this Directive.

d) pareiškia savo nuomonę dėl Bendrijos lygiu parengtų etikos kodeksų.

These authorities shall act with complete independence in exercising the functions entrusted to them.

2. Jeigu darbo grupė išsiaiškina, kad tarp įvairių valstybių narių įstatymų ar praktinių metodų atsiranda skirtumų, kurie gali turėti įtakos asmenų apsaugos tvarkant asmens duomenis lygiavertiškumui Bendrijoje, ji apie tai praneša Komisijai.

2. Each Member State shall provide that the supervisory authorities are consulted when drawing up administrative measures or regulations relating to the protection of individuals' rights and freedoms with regard to the processing of personal data.

3. Darbo grupė gali savo iniciatyva siūlyti rekomendacijas visais klausimais, susijusiais su asmenų apsauga tvarkant asmens duomenis Bendrijoje.

3. Each authority shall in particular be endowed with:

4. Darbo grupės nuomonės ir rekomendacijos perduodamos Komisijai ir 31 straipsnyje nurodytam komitetui.

- investigative powers, such as powers of access to data forming the subject-matter of processing operations and powers to collect all the information necessary for the performance of its supervisory duties,

5. Komisija praneša darbo grupei apie veiksmus, kurių ji ėmėsi reaguodama į darbo grupės pastabas ir rekomendacijas. Tokie veiksmai aptariami ataskaitoje, kuri taip pat perduodama Europos Parlamentui ir Tarybai. Ši ataskaita skelbiama viešai.

- effective powers of intervention, such as, for example, that of delivering opinions before processing operations are carried out, in accordance with Article 20, and ensuring appropriate publication of such opinions, of ordering the blocking, erasure or destruction of data, of imposing a temporary or definitive ban on processing, of warning or admonishing the controller, or that of referring the matter to national parliaments or other political institutions,

6. Darbo grupė parengia metinę ataskaitą apie susidariusią fizinių asmenų apsaugos tvarkant asmens duomenis būklę Bendrijoje ir trečiosiose šalyse ir perduoda ją Komisijai, Europos Parlamentui ir Tarybai. Ši ataskaita skelbiama viešai.

- the power to engage in legal proceedings where the national provisions adopted pursuant to this Directive have been violated or to bring these violations to the attention of the judicial authorities.

VII SKYRIUS

Decisions by the supervisory authority which give rise to complaints may be appealed against through the courts.

BENDRIJOS ĮGYVENDINIMO PRIEMONĖS

4. Each supervisory authority shall hear claims lodged by any person, or by an association representing that person, concerning the protection of his rights and freedoms in regard to the processing of personal data. The person concerned shall be informed of the outcome of the claim.

31 straipsnis

Each supervisory authority shall, in particular, hear claims for checks on the lawfulness of data processing lodged by any person when the national provisions adopted pursuant to Article 13 of this Directive apply. The person shall at any rate be informed that a check has taken place.

Komitetas

5. Each supervisory authority shall draw up a report on its activities at regular intervals. The report shall be made public.

1. Komisijai padeda komitetas, kurį sudaro valstybių narių atstovai ir kuriam pirmininkauja Komisijos atstovas.

6. Each supervisory authority is competent, whatever the national law applicable to the processing in question, to exercise, on the territory of its own Member State, the powers conferred on it in accordance with paragraph 3. Each authority may be requested to exercise its powers by an authority of another Member State.

2. Komisijos atstovas pateikia komitetui priemonių, kurių turi būti imtasi, projektą. Komitetas savo nuomonę dėl projekto pareiškia per tokį laiką, kurį nustato pirmininkas atsižvelgdamas į klausimo skubumą.

The supervisory authorities shall cooperate with one another to the extent necessary for the performance of their duties, in particular by exchanging all useful information.

Nuomonė pareiškiama Sutarties 148 straipsnio 2 dalyje nustatyta balsų dauguma. Valstybių narių atstovų komitete balsai paskirstomi taip, kaip nustatyta tame straipsnyje. Pirmininkas nebalsuoja.

7. Member States shall provide that the members and staff of the supervisory authority, even after their employment has ended, are to be subject to a duty of professional secrecy with regard to confidential information to which they have access.

Komisija priima priemones, kurios taikomos nedelsiant. Tačiau jeigu šios priemonės neatitinka komiteto nuomonės, Komisija apie jas praneša Tarybai. Tokiu atveju:

- Komisija atideda priemonių, dėl kurių ji priėmė sprendimą, taikymą trims mėnesiams nuo pranešimo dienos,

Article 29

- Taryba, nustatytajai daugumai pritarus, per pirmojoje pastraipoje nurodytą laiką gali priimti kitokį sprendimą.

Working Party on the Protection of Individuals with regard to the Processing of Personal Data

BAIGIAMOSIOS NUOSTATOS

1. A Working Party on the Protection of Individuals with regard to the Processing of Personal Data, hereinafter referred to as 'the Working Party', is hereby set up.

32 straipsnis

It shall have advisory status and act independently.

1. Valstybės narės priima įstatymus ir kitus teisės aktus, būtinus šios direktyvos įgyvendinimui ne vėliau kaip per trejus metus nuo direktyvos priėmimo dienos.

2. The Working Party shall be composed of a representative of the supervisory authority or authorities designated by each Member State and of a representative of the authority or authorities established for the Community institutions and bodies, and of a representative of the Commission.

Valstybės narės, priimdamos šias priemones, daro jose nuorodą į šią direktyvą arba tokia nuoroda daroma jas oficialiai skelbiant. Nuorodos darymo tvarką nustato valstybės narės.

Each member of the Working Party shall be designated by the institution, authority or authorities which he represents. Where a Member State has designated more than one supervisory authority, they shall nominate a joint representative. The same shall apply to the authorities established for Community institutions and bodies.

2. Valstybės narės užtikrina, kad jeigu įsigaliojant nacionalinėms nuostatoms, priimtoms pagal šią direktyvą, duomenys jau buvo tvarkomi, tai šių nuostatų reikia pradėti laikytis per trejus metus nuo jų įsigaliojimo dienos.

3. The Working Party shall take decisions by a simple majority of the representatives of the supervisory authorities.

Nukrypdamos nuo pirmos pastraipos, valstybės narės gali numatyti, kad kai tvarkomi duomenys, kurie jau buvo sukaupti rankinėse rinkmenų sistemose, įsigaliojant nacionalinėms nuostatoms, priimtoms įgyvendinant šią direktyvą, tai šios direktyvos 6, 7 ir 8 straipsnių reikia pradėti laikytis per 12 metų nuo direktyvos priėmimo dienos. Nepaisant to, valstybės narės suteikia duomenų subjektui teisę jo prašymu, o ypač jam naudojantis savo teise gauti informaciją, išsireikalauti, kad duomenys, kurie yra neišsamūs, netikslūs arba laikomi tokiu būdu, kuris nesuderinamas su duomenų valdytojo teisėtais tikslais, būtų ištaisyti, ištrinti arba blokuoti.

4. The Working Party shall elect its chairman. The chairman's term of office shall be two years. His appointment shall be renewable.

3. Nukrypdamos nuo šio straipsnio 2 dalies, bet užtikrindamos tinkamas apsaugos priemones, valstybės narės gali numatyti, kad laikant duomenis tik dėl istorinių tyrimų, nereikia pradėti laikytis šios direktyvos 6, 7 ir 8 straipsnių.

5. The Working Party's secretariat shall be provided by the Commission.

4. Valstybės narės pateikia Komisijai šios direktyvos taikymo srityje priimtų vidaus teisės aktų nuostatų tekstus.

6. The Working Party shall adopt its own rules of procedure.

33 straipsnis

7. The Working Party shall consider items placed on its agenda by its chairman, either on his own initiative or at the request of a representative of the supervisory authorities or at the Commission's request.

Ne vėliau kaip po trejų metų nuo 32 straipsnio 1 dalyje nurodytos dienos Komisija pradeda reguliariai atsiskaityti Tarybai ir Europos Parlamentui, kaip įgyvendinama ši direktyva, prie savo ataskaitos pridėdama, jei reikia, tinkamus pataisų siūlymus. Ši ataskaita skelbiama viešai.

Komisija nagrinėja, kaip ši direktyva taikoma tvarkant garsinius ir vaizdinius duomenis, susijusius su fiziniais asmenimis, ir teikia visus atitinkamus siūlymus, kurie yra būtini atsižvelgiant į informacinės technologijos plėtrą ir informacinės visuomenės lygį.

Article 30

34 straipsnis

1. The Working Party shall:

Ši direktyva skirta valstybėms narėms.

(a) examine any question covering the application of the national measures adopted under this Directive in order to contribute to the uniform application of such measures;

(b) give the Commission an opinion on the level of protection in the Community and in third countries;

Priimta Liuksemburge, 1995 m. spalio 24 d.

(c) advise the Commission on any proposed amendment of this Directive, on any additional or specific measures to safeguard the rights and freedoms of natural persons with regard to the processing of personal data and on any other proposed Community measures affecting such rights and freedoms;

Europos Parlamento vardu

(d) give an opinion on codes of conduct drawn up at Community level.

Pirmininkas

2. If the Working Party finds that divergences likely to affect the equivalence of protection for persons with regard to the processing of personal data in the Community are arising between the laws or practices of Member States, it shall inform the Commission accordingly.

K. Haensch

3. The Working Party may, on its own initiative, make recommendations on all matters relating to the protection of persons with regard to the processing of personal data in the Community.

Tarybos vardu

4. The Working Party's opinions and recommendations shall be forwarded to the Commission and to the committee referred to in Article 31.

Pirmininkas

5. The Commission shall inform the Working Party of the action it has taken in response to its opinions and recommendations. It shall do so in a report which shall also be forwarded to the European Parliament and the Council. The report shall be made public.

L. Atienza Serna

6. The Working Party shall draw up an annual report on the situation regarding the protection of natural persons with regard to the processing of personal data in the Community and in third countries, which it shall transmit to the Commission, the European Parliament and the Council. The report shall be made public.

[1] OL C 277, 1990 11 5, p. 3 ir OL C 311, 1992 11 27, p. 30.

[2] OL C 159, 1991 6 17, p. 38.

CHAPTER VII COMMUNITY IMPLEMENTING MEASURES

[3] 1992 m. kovo 11 d. Europos Parlamento nuomonė (OL C 94, 1992 4 13, p. 198), patvirtinta 1993 m. gruodžio 2 d. (OL C 342, 1993 12 20, p. 30); 1995 m. vasario 20 d. Tarybos bendroji nuomonė (OL C 93, 1995 4 13, p. 1) ir 1995 m. birželio 15 d. Europos Parlamento sprendimas (OL C 166, 1995 7 3).

[4] OL L 197, 1987 7 18, p. 33.

Article 31

--------------------------------------------------

The Committee

1. The Commission shall be assisted by a committee composed of the representatives of the Member States and chaired by the representative of the Commission.

2. The representative of the Commission shall submit to the committee a draft of the measures to be taken. The committee shall deliver its opinion on the draft within a time limit which the chairman may lay down according to the urgency of the matter.

The opinion shall be delivered by the majority laid down in Article 148 (2) of the Treaty. The votes of the representatives of the Member States within the committee shall be weighted in the manner set out in that Article. The chairman shall not vote.

The Commission shall adopt measures which shall apply immediately. However, if these measures are not in accordance with the opinion of the committee, they shall be communicated by the Commission to the Council forthwith. It that event:

- the Commission shall defer application of the measures which it has decided for a period of three months from the date of communication,

- the Council, acting by a qualified majority, may take a different decision within the time limit referred to in the first indent.

FINAL PROVISIONS

Article 32

1. Member States shall bring into force the laws, regulations and administrative provisions necessary to comply with this Directive at the latest at the end of a period of three years from the date of its adoption.

When Member States adopt these measures, they shall contain a reference to this Directive or be accompanied by such reference on the occasion of their official publication. The methods of making such reference shall be laid down by the Member States.

2. Member States shall ensure that processing already under way on the date the national provisions adopted pursuant to this Directive enter into force, is brought into conformity with these provisions within three years of this date.

By way of derogation from the preceding subparagraph, Member States may provide that the processing of data already held in manual filing systems on the date of entry into force of the national provisions adopted in implementation of this Directive shall be brought into conformity with Articles 6, 7 and 8 of this Directive within 12 years of the date on which it is adopted. Member States shall, however, grant the data subject the right to obtain, at his request and in particular at the time of exercising his right of access, the rectification, erasure or blocking of data which are incomplete, inaccurate or stored in a way incompatible with the legitimate purposes pursued by the controller.

3. By way of derogation from paragraph 2, Member States may provide, subject to suitable safeguards, that data kept for the sole purpose of historical research need not be brought into conformity with Articles 6, 7 and 8 of this Directive.

4. Member States shall communicate to the Commission the text of the provisions of domestic law which they adopt in the field covered by this Directive.

Article 33

The Commission shall report to the Council and the European Parliament at regular intervals, starting not later than three years after the date referred to in Article 32 (1), on the implementation of this Directive, attaching to its report, if necessary, suitable proposals for amendments. The report shall be made public.

The Commission shall examine, in particular, the application of this Directive to the data processing of sound and image data relating to natural persons and shall submit any appropriate proposals which prove to be necessary, taking account of developments in information technology and in the light of the state of progress in the information society.

Article 34

This Directive is addressed to the Member States.

Done at Luxembourg, 24 October 1995.

For the European Parliament

The President

K. HAENSCH

For the Council

The President

L. ATIENZA SERNA

(1) OJ No C 277, 5. 11. 1990, p. 3 and OJ No C 311, 27. 11. 1992, p. 30.

(2) OJ No C 159, 17. 6. 1991, p 38.

(3) Opinion of the European Parliament of 11 March 1992 (OJ No C 94, 13. 4. 1992, p. 198), confirmed on 2 December 1993 (OJ No C 342, 20. 12. 1993, p. 30); Council common position of 20 February 1995 (OJ No C 93, 13. 4. 1995, p. 1) and Decision of the European Parliament of 15 June 1995 (OJ No C 166, 3. 7. 1995).

(1) OJ No L 197, 18. 7. 1987, p. 33.