DIRECTIVE 95/46/EC OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL

Dyrektywa 95/46/WE Parlamentu Europejskiego i Rady

of 24 October 1995

z dnia 24 października 1995 r.

on the protection of individuals with regard to the processing of personal data and on the free movement of such data

w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych

PARLAMENT EUROPEJSKI I RADA UNII EUROPEJSKIEJ,

THE EUROPEAN PARLIAMENT AND THE COUNCIL OF THE EUROPEAN UNION,

uwzględniając Traktat ustanawiający Wspólnotę Europejską, w szczególności jego art. 100a,

Having regard to the Treaty establishing the European Community, and in particular Article 100a thereof,

uwzględniając wniosek Komisji [1],

Having regard to the proposal from the Commission (1),

uwzględniając opinię Komitetu Ekonomiczno-Społecznego [2],

Having regard to the opinion of the Economic and Social Committee (2),

stanowiąc zgodnie z procedurą określoną w art. 189b Traktatu [3],

Acting in accordance with the procedure referred to in Article 189b of the Treaty (3),

a także mając na uwadze, co następuje:

(1) Whereas the objectives of the Community, as laid down in the Treaty, as amended by the Treaty on European Union, include creating an ever closer union among the peoples of Europe, fostering closer relations between the States belonging to the Community, ensuring economic and social progress by common action to eliminate the barriers which divide Europe, encouraging the constant improvement of the living conditions of its peoples, preserving and strengthening peace and liberty and promoting democracy on the basis of the fundamental rights recognized in the constitution and laws of the Member States and in the European Convention for the Protection of Human Rights and Fundamental Freedoms;

(1) Cele Wspólnoty, określone w Traktacie, zmienionym Traktatem o Unii Europejskiej, obejmują tworzenie coraz ściślejszego związku między narodami Europy, kształtowanie bliższych stosunków między państwami należącymi do Wspólnoty, zapewnienie postępu gospodarczego i społecznego poprzez wspólne działania na rzecz likwidacji barier dzielących Europę, pobudzanie ciągłej poprawy warunków życia jej narodów, ochronę i umacnianie pokoju i wolności oraz wspieranie demokracji w oparciu o prawa podstawowe uznane w konstytucji i ustawodawstwach Państw Członkowskich oraz w Europejskiej Konwencji o ochronie praw człowieka i podstawowych wolności.

(2) Whereas data-processing systems are designed to serve man; whereas they must, whatever the nationality or residence of natural persons, respect their fundamental rights and freedoms, notably the right to privacy, and contribute to economic and social progress, trade expansion and the well-being of individuals;

(2) Systemy przetwarzania danych są tworzone po to, aby służyły człowiekowi; muszą one, niezależnie od obywatelstwa czy miejsca stałego zamieszkania osób fizycznych, szanować ich podstawowe prawa i wolności, szczególnie prawo do prywatności, oraz przyczyniać się do postępu gospodarczego i społecznego, rozwoju handlu oraz dobrobytu jednostek.

(3) Whereas the establishment and functioning of an internal market in which, in accordance with Article 7a of the Treaty, the free movement of goods, persons, services and capital is ensured require not only that personal data should be able to flow freely from one Member State to another, but also that the fundamental rights of individuals should be safeguarded;

(3) Ustanowienie i funkcjonowanie rynku wewnętrznego, na którym zgodnie z art. 7a Traktatu, zapewniony jest swobodny przepływ towarów, osób, usług i kapitału, wymaga nie tylko zapewnienia swobodnego przepływu danych osobowych z jednego Państwa Członkowskiego do drugiego, lecz również ochrony praw podstawowych osób fizycznych.

(4) Whereas increasingly frequent recourse is being had in the Community to the processing of personal data in the various spheres of economic and social activity; whereas the progress made in information technology is making the processing and exchange of such data considerably easier;

(4) Coraz częściej we Wspólnocie korzysta się z przetwarzania danych osobowych w różnych sferach życia gospodarczego i społecznego; postęp w dziedzinie technologii informatycznych sprawia, że przetwarzanie i wymiana takich danych stają się coraz łatwiejsze.

(5) Whereas the economic and social integration resulting from the establishment and functioning of the internal market within the meaning of Article 7a of the Treaty will necessarily lead to a substantial increase in cross-border flows of personal data between all those involved in a private or public capacity in economic and social activity in the Member States; whereas the exchange of personal data between undertakings in different Member States is set to increase; whereas the national authorities in the various Member States are being called upon by virtue of Community law to collaborate and exchange personal data so as to be able to perform their duties or carry out tasks on behalf of an authority in another Member State within the context of the area without internal frontiers as constituted by the internal market;

(5) Integracja gospodarcza i społeczna będąca wynikiem ustanowienia i funkcjonowania rynku wewnętrznego w rozumieniu art. 7a Traktatu będzie prowadzić do znacznego zwiększenia transgranicznego przepływu danych osobowych między wszystkimi podmiotami zaangażowanymi prywatnie lub publicznie w działalność gospodarczą i społeczną w Państwach Członkowskich; wzrośnie wymiana danych osobowych między przedsiębiorstwami działającymi w różnych Państwach Członkowskich; władze krajowe poszczególnych Państw Członkowskich podejmują się na mocy prawa wspólnotowego współpracy i wymiany danych osobowych dla celu wykonywania swoich obowiązków oraz realizacji zadań w imieniu władz innego Państwa Członkowskiego w kontekście obszaru bez granic wewnętrznych, ustanowionego przez rynek wewnętrzny.

(6) Whereas, furthermore, the increase in scientific and technical cooperation and the coordinated introduction of new telecommunications networks in the Community necessitate and facilitate cross-border flows of personal data;

(6) Ponadto zwiększenie współpracy naukowej i technicznej oraz proces skoordynowanego wprowadzania nowych sieci telekomunikacyjnych we Wspólnocie narzuca konieczność i ułatwia transgraniczny przepływ danych osobowych.

(7) Whereas the difference in levels of protection of the rights and freedoms of individuals, notably the right to privacy, with regard to the processing of personal data afforded in the Member States may prevent the transmission of such data from the territory of one Member State to that of another Member State; whereas this difference may therefore constitute an obstacle to the pursuit of a number of economic activities at Community level, distort competition and impede authorities in the discharge of their responsibilities under Community law; whereas this difference in levels of protection is due to the existence of a wide variety of national laws, regulations and administrative provisions;

(7) Różnica w stopniu ochrony praw i wolności jednostek, szczególnie prawa do prywatności, w odniesieniu do przetwarzania danych osobowych, zapewnionego w poszczególnych Państwach Członkowskich może uniemożliwiać przesyłanie tych danych z terytorium jednego Państwa Członkowskiego do drugiego Państwa Członkowskiego; różnica ta może zatem stanowić przeszkodę w realizacji szeregu przedsięwzięć ekonomicznych na poziomie wspólnotowym, zakłócać konkurencję i utrudniać władzom wykonywanie ich obowiązków wynikających z przepisów prawa wspólnotowego; wspomniana różnica w stopniu ochrony jest wynikiem istnienia wielkiej różnorodności krajowych przepisów ustawowych, wykonawczych i administracyjnych.

(8) Whereas, in order to remove the obstacles to flows of personal data, the level of protection of the rights and freedoms of individuals with regard to the processing of such data must be equivalent in all Member States; whereas this objective is vital to the internal market but cannot be achieved by the Member States alone, especially in view of the scale of the divergences which currently exist between the relevant laws in the Member States and the need to coordinate the laws of the Member States so as to ensure that the cross-border flow of personal data is regulated in a consistent manner that is in keeping with the objective of the internal market as provided for in Article 7a of the Treaty; whereas Community action to approximate those laws is therefore needed;

(8) W celu zniesienia przeszkód w przepływie danych osobowych, stopień ochrony praw i wolności jednostek w zakresie przetwarzania tych danych musi być jednakowy we wszystkich Państwach Członkowskich; cel ten ma żywotne znaczenie dla rynku wewnętrznego, lecz nie może on być osiągnięty przez same Państwa Członkowskie, szczególnie mając na uwadze skalę rozbieżności, jakie obecnie występują między odpowiednimi ustawodawstwami krajowymi oraz potrzebę dokonania koordynacji ustawodawstw Państw Członkowskich w celu zapewnienia jednolitej regulacji transgranicznego przepływu danych osobowych, zgodnie z celem rynku wewnętrznego przewidzianego w art. 7a Traktatu; konieczne są wspólnotowe działania na rzecz zbliżenia ustawodawstw.

(9) Whereas, given the equivalent protection resulting from the approximation of national laws, the Member States will no longer be able to inhibit the free movement between them of personal data on grounds relating to protection of the rights and freedoms of individuals, and in particular the right to privacy; whereas Member States will be left a margin for manoeuvre, which may, in the context of implementation of the Directive, also be exercised by the business and social partners; whereas Member States will therefore be able to specify in their national law the general conditions governing the lawfulness of data processing; whereas in doing so the Member States shall strive to improve the protection currently provided by their legislation; whereas, within the limits of this margin for manoeuvre and in accordance with Community law, disparities could arise in the implementation of the Directive, and this could have an effect on the movement of data within a Member State as well as within the Community;

(9) Biorąc pod uwagę równoważną ochronę wynikającą ze zbliżania ustawodawstw krajowych, Państwa Członkowskie nie będą już mogły utrudniać między sobą swobodnego przepływu danych osobowych na podstawie ochrony praw i wolności jednostek, a zwłaszcza prawa do prywatności; Państwa Członkowskie będą miały pozostawiony margines swobody działania, z którego mogą również, w kontekście wykonania dyrektywy korzystać partnerzy handlowi i społeczni; Państwa Członkowskie będą zatem mogły określić w swoim ustawodawstwie ogólne zasady regulujące legalność procesu przetwarzania danych; podejmując te działania, Państwa Członkowskie będą dokładać starań w celu poprawy ochrony gwarantowanej przez ich obecne ustawodawstwo; w granicach wspomnianego marginesu swobody działania oraz zgodnie z prawem wspólnotowym mogą wystąpić rozbieżności w wykonaniu dyrektywy, co może mieć wpływ na przepływ danych w Państwie Członkowskim jak również we Wspólnocie.

(10) Whereas the object of the national laws on the processing of personal data is to protect fundamental rights and freedoms, notably the right to privacy, which is recognized both in Article 8 of the European Convention for the Protection of Human Rights and Fundamental Freedoms and in the general principles of Community law; whereas, for that reason, the approximation of those laws must not result in any lessening of the protection they afford but must, on the contrary, seek to ensure a high level of protection in the Community;

(10) Celem krajowych przepisów prawa dotyczących przetwarzania danych osobowych jest ochrona podstawowych praw i wolności, szczególnie prawa do prywatności, które zostało uznane zarówno w art. 8 Europejskiej Konwencji o ochronie praw człowieka i podstawowych wolności oraz w zasadach ogólnych prawa wspólnotowego; z tego powodu zbliżanie przepisów prawa nie powinno wpłynąć na zmniejszenie ochrony, jaką gwarantują, lecz przeciwnie, musi dążyć do zapewnienia jak najwyższego stopnia ochrony we Wspólnocie.

(11) Whereas the principles of the protection of the rights and freedoms of individuals, notably the right to privacy, which are contained in this Directive, give substance to and amplify those contained in the Council of Europe Convention of 28 January 1981 for the Protection of Individuals with regard to Automatic Processing of Personal Data;

(11) Zasady ochrony praw i wolności jednostek, szczególnie prawa do prywatności, które zawarte są w niniejszej dyrektywie, utrwalają i umacniają zasady wyrażone w Konwencji Rady Europy z dnia 28 stycznia 1981 r. w sprawie ochrony jednostek w zakresie automatycznego przetwarzania danych osobowych.

(12) Whereas the protection principles must apply to all processing of personal data by any person whose activities are governed by Community law; whereas there should be excluded the processing of data carried out by a natural person in the exercise of activities which are exclusively personal or domestic, such as correspondence and the holding of records of addresses;

(12) Zasady ochrony muszą odnosić się do całokształtu przetwarzania danych osobowych przez każdą osobę, której działania podlegają przepisom prawa wspólnotowego; należy wyłączyć przetwarzanie danych dokonywane przez osobę fizyczną w wykonywaniu działań o charakterze wyłącznie osobistym lub domowym, jak np. korespondencja i przechowywanie spisów adresów.

(13) Whereas the acitivities referred to in Titles V and VI of the Treaty on European Union regarding public safety, defence, State security or the acitivities of the State in the area of criminal laws fall outside the scope of Community law, without prejudice to the obligations incumbent upon Member States under Article 56 (2), Article 57 or Article 100a of the Treaty establishing the European Community; whereas the processing of personal data that is necessary to safeguard the economic well-being of the State does not fall within the scope of this Directive where such processing relates to State security matters;

(13) Działania określone w tytułach V i VI Traktatu o Unii Europejskiej dotyczące bezpieczeństwa publicznego, obronności, bezpieczeństwa państwa w dziedzinie prawa karnego nie wchodzą w zakres stosowania prawa wspólnotowego, bez wpływu na obowiązki nałożone na Państwa Członkowskie na mocy art. 56 ust. 2, art. 57 i art. 100a Traktatu ustanawiającego Wspólnotę Europejską; przetwarzanie danych osobowych konieczne dla zapewnienia ochrony dobrego stanu gospodarczego państwa nie wchodzi w zakres stosowania niniejszej dyrektywy, o ile takie przetwarzanie dotyczy spraw bezpieczeństwa państwa.

(14) Whereas, given the importance of the developments under way, in the framework of the information society, of the techniques used to capture, transmit, manipulate, record, store or communicate sound and image data relating to natural persons, this Directive should be applicable to processing involving such data;

(14) Jeżeli w ramach społeczeństwa informacyjnego ma znaczenie rozwój technik gromadzenia, przekazywania, kompilowania, rejestrowania, przechowywania i przesyłania danych dźwiękowych i obrazowych osób fizycznych, niniejsza dyrektywa powinna mieć zastosowanie do przetwarzania takich danych.

(15) Whereas the processing of such data is covered by this Directive only if it is automated or if the data processed are contained or are intended to be contained in a filing system structured according to specific criteria relating to individuals, so as to permit easy access to the personal data in question;

(15) Przetwarzanie tych danych jest objęte niniejszą dyrektywą tylko wówczas, gdy jest ono zautomatyzowane lub jeśli dane zawarte są lub przeznaczone do umieszczenia w zamkniętym układzie zbiorów, zorganizowanym według określonych kryteriów dotyczących osób fizycznych w celu zapewnienia łatwego dostępu do wspomnianych danych osobowych.

(16) Whereas the processing of sound and image data, such as in cases of video surveillance, does not come within the scope of this Directive if it is carried out for the purposes of public security, defence, national security or in the course of State activities relating to the area of criminal law or of other activities which do not come within the scope of Community law;

(16) Przetwarzanie danych dźwiękowych i obrazowych, np. w przypadku nadzoru kamer wideo, nie wchodzi w zakres stosowania niniejszej dyrektywy, jeśli dokonywane jest dla potrzeb bezpieczeństwa publicznego, obronności, bezpieczeństwa narodowego lub też w trakcie działań państwowych w dziedzinie prawa karnego lub innych działań niewchodzących w zakres prawa wspólnotowego.

(17) Whereas, as far as the processing of sound and image data carried out for purposes of journalism or the purposes of literary or artistic expression is concerned, in particular in the audiovisual field, the principles of the Directive are to apply in a restricted manner according to the provisions laid down in Article 9;

(17) Jeśli chodzi o przetwarzanie danych dźwiękowych i obrazowych dla potrzeb dziennikarstwa lub dla potrzeb literackich lub artystycznych, zwłaszcza w dziedzinie techniki audiowizualnej, zasady dyrektywy mają ograniczone zastosowanie, zgodnie z przepisami przewidzianymi w art. 9.

(18) Whereas, in order to ensure that individuals are not deprived of the protection to which they are entitled under this Directive, any processing of personal data in the Community must be carried out in accordance with the law of one of the Member States; whereas, in this connection, processing carried out under the responsibility of a controller who is established in a Member State should be governed by the law of that State;

(18) Aby nie dopuścić do pozbawienia jednostek ochrony, do której mają prawo na mocy niniejszej dyrektywy, wszelkie przetwarzanie danych osobowych we Wspólnocie musi być przeprowadzane zgodnie z ustawodawstwem jednego z Państw Członkowskich; w związku z tym przetwarzanie danych przeprowadzane na odpowiedzialność administratora danych, który prowadzi działalność gospodarczą na terenie Państwa Członkowskiego, powinno być regulowane przez ustawodawstwo tego państwa.

(19) Whereas establishment on the territory of a Member State implies the effective and real exercise of activity through stable arrangements; whereas the legal form of such an establishment, whether simply branch or a subsidiary with a legal personality, is not the determining factor in this respect; whereas, when a single controller is established on the territory of several Member States, particularly by means of subsidiaries, he must ensure, in order to avoid any circumvention of national rules, that each of the establishments fulfils the obligations imposed by the national law applicable to its activities;

(19) Prowadzenie działalności gospodarczej na terytorium Państwa Członkowskiego zakłada efektywne i rzeczywiste prowadzenie działań poprzez stabilne rozwiązania; forma prawna prowadzonej działalności gospodarczej, niezależnie czy jest to oddział lub filia posiadająca osobowość prawną, nie jest w tym względzie czynnikiem decydującym; w przypadku ustanowienia jednego administratora danych na terytorium kilku Państw Członkowskich, szczególnie w postaci filii, musi on zapewnić, w celu uniknięcia obejścia przepisów krajowych, że każda z prowadzonych działalności gospodarczych będzie spełniać obowiązki wynikające z prawa krajowego.

(20) Whereas the fact that the processing of data is carried out by a person established in a third country must not stand in the way of the protection of individuals provided for in this Directive; whereas in these cases, the processing should be governed by the law of the Member State in which the means used are located, and there should be guarantees to ensure that the rights and obligations provided for in this Directive are respected in practice;

(20) Przetwarzanie danych przez osobę prowadzącą działalność w państwie trzecim nie może stać na przeszkodzie ochronie osób fizycznych przewidzianej w niniejszej dyrektywie; w tych przypadkach przetwarzanie danych powinno podlegać przepisom prawa Państwa Członkowskiego, w którym znajdują się wykorzystywane do tego celu środki oraz powinny istnieć gwarancje zapewniające przestrzeganie w praktyce praw i obowiązków przewidzianych w niniejszej dyrektywie.

(21) Whereas this Directive is without prejudice to the rules of territoriality applicable in criminal matters;

(21) Niniejsza dyrektywa pozostaje bez uszczerbku dla zasad terytorialności, stosowanych w sprawach karnych.

(22) Whereas Member States shall more precisely define in the laws they enact or when bringing into force the measures taken under this Directive the general circumstances in which processing is lawful; whereas in particular Article 5, in conjunction with Articles 7 and 8, allows Member States, independently of general rules, to provide for special processing conditions for specific sectors and for the various categories of data covered by Article 8;

(22) Państwa Członkowskie dokładniej sprecyzują w ogłaszanych prawach lub przy wprowadzaniu w życie środków podjętych na podstawie niniejszej dyrektywy ogólne warunki, w których przetwarzanie danych jest zgodne z prawem; w szczególności art. 5 w połączeniu z art. 7 i 8, umożliwia Państwom Członkowskim, niezależnie od zasad ogólnych, zapewnienie szczególnych warunków przetwarzania danych dla poszczególnych sektorów oraz dla różnych kategorii danych objętych art. 8.

(23) Whereas Member States are empowered to ensure the implementation of the protection of individuals both by means of a general law on the protection of individuals as regards the processing of personal data and by sectorial laws such as those relating, for example, to statistical institutes;

(23) Państwa Członkowskie są upoważnione do zapewnienia ochrony osobom fizycznym zarówno poprzez ogólne przepisy prawa o ochronie jednostek w odniesieniu do przetwarzania danych osobowych oraz poprzez ustawodawstwo sektorowe, jak np. odnoszące się do urzędów statystycznych.

(24) Whereas the legislation concerning the protection of legal persons with regard to the processing data which concerns them is not affected by this Directive;

(24) Niniejsza dyrektywa nie dotyczy ustawodawstwa dotyczącego ochrony osób prawnych w odniesieniu do przetwarzania ich danych.

(25) Whereas the principles of protection must be reflected, on the one hand, in the obligations imposed on persons, public authorities, enterprises, agencies or other bodies responsible for processing, in particular regarding data quality, technical security, notification to the supervisory authority, and the circumstances under which processing can be carried out, and, on the other hand, in the right conferred on individuals, the data on whom are the subject of processing, to be informed that processing is taking place, to consult the data, to request corrections and even to object to processing in certain circumstances;

(25) Zasady ochrony muszą znajdować odzwierciedlenie, z jednej strony w obowiązkach nałożonych na osoby, władze publiczne, przedsiębiorstwa, agencje i inne organy odpowiedzialne za przetwarzanie danych, zwłaszcza w zakresie jakości danych, bezpieczeństwa technicznego, zawiadamiania organu nadzorczego oraz okoliczności, w których może odbywać się przetwarzanie danych, jak również, z drugiej strony, w prawie osób, których dane są przedmiotem przetwarzania, do uzyskania informacji, że takie przetwarzanie danych ma miejsce, do konsultowania danych, żądania poprawek lub nawet sprzeciwu wobec przetwarzania danych w niektórych przypadkach.

(26) Whereas the principles of protection must apply to any information concerning an identified or identifiable person; whereas, to determine whether a person is identifiable, account should be taken of all the means likely reasonably to be used either by the controller or by any other person to identify the said person; whereas the principles of protection shall not apply to data rendered anonymous in such a way that the data subject is no longer identifiable; whereas codes of conduct within the meaning of Article 27 may be a useful instrument for providing guidance as to the ways in which data may be rendered anonymous and retained in a form in which identification of the data subject is no longer possible;

(26) Zasady ochrony danych muszą odnosić się do wszelkich informacji dotyczących zidentyfikowanych lub możliwych do zidentyfikowania osób; w celu ustalenia, czy daną osobę można zidentyfikować, należy wziąć pod uwagę wszystkie sposoby, jakimi może posłużyć się administrator danych lub inna osoba w celu zidentyfikowania owej osoby; zasady ochrony danych nie mają zastosowania do danych, którym nadano anonimowy charakter w taki sposób, że podmiot danych nie będzie mógł być zidentyfikowany; zasady postępowania w rozumieniu art. 27 mogą być przydatnym instrumentem w udzielaniu wskazówek co do sposobów nadawania danym charakteru anonimowego oraz zachowania w formie, w której identyfikacja osoby, której dane dotyczą, nie jest dłużej możliwa.

(27) Whereas the protection of individuals must apply as much to automatic processing of data as to manual processing; whereas the scope of this protection must not in effect depend on the techniques used, otherwise this would create a serious risk of circumvention; whereas, nonetheless, as regards manual processing, this Directive covers only filing systems, not unstructured files; whereas, in particular, the content of a filing system must be structured according to specific criteria relating to individuals allowing easy access to the personal data; whereas, in line with the definition in Article 2 (c), the different criteria for determining the constituents of a structured set of personal data, and the different criteria governing access to such a set, may be laid down by each Member State; whereas files or sets of files as well as their cover pages, which are not structured according to specific criteria, shall under no circumstances fall within the scope of this Directive;

(27) Ochrona osób fizycznych musi odnosić się zarówno do automatycznego przetwarzania danych, jak i ręcznego przetwarzania; zakres tej ochrony nie może w swym skutku być zależny od zastosowanych technik, ponieważ w przeciwnym razie wystąpiłoby poważne ryzyko obchodzenia zasad; niemniej odnośnie do ręcznego przetwarzania danych, niniejsza dyrektywa obejmuje jedynie zbiory danych, nie zaś niezorganizowane zbiory; w szczególności zawartość zbiorów musi być zorganizowana według określonych kryteriów dotyczących osób fizycznych, zapewniających łatwy dostęp do danych; zgodnie z definicją zawartą w art. 2 lit. c), poszczególne Państwa Członkowskie mogą określić różne kryteria określania części składowych zorganizowanego zestawu danych oraz różne kryteria dostępu do takiego zestawu; zbiory lub zestawy zbiorów oraz ich strony tytułowe, które nie są zorganizowane według określonych kryteriów nie powinny w żadnych okolicznościach wchodzić w zakres niniejszej dyrektywy.

(28) Whereas any processing of personal data must be lawful and fair to the individuals concerned; whereas, in particular, the data must be adequate, relevant and not excessive in relation to the purposes for which they are processed; whereas such purposes must be explicit and legitimate and must be determined at the time of collection of the data; whereas the purposes of processing further to collection shall not be incompatible with the purposes as they were originally specified;

(28) Przetwarzanie danych osobowych musi być zgodne z prawem i rzetelne wobec zainteresowanych osób; w szczególności dane muszą być adekwatne, właściwe i nie wykraczać poza cele, dla których są przetwarzane; cele takie muszą być jednoznaczne i uzasadnione oraz określone w czasie gromadzenia danych; potrzeby dalszego przetwarzania danych dla potrzeb ich gromadzenia nie mogą być niezgodne z pierwotnie określonymi celami.

(29) Whereas the further processing of personal data for historical, statistical or scientific purposes is not generally to be considered incompatible with the purposes for which the data have previously been collected provided that Member States furnish suitable safeguards; whereas these safeguards must in particular rule out the use of the data in support of measures or decisions regarding any particular individual;

(29) Dalsze przetwarzanie danych osobowych do celów historycznych, statystycznych i naukowych nie jest na ogół uważane za niezgodne z celami, dla których dane były pierwotnie gromadzone, pod warunkiem zapewnienia przez Państwo Członkowskie odpowiednich środków zabezpieczających; środki te muszą w szczególności wykluczać wykorzystywanie danych na rzecz działań lub decyzji dotyczących konkretnej osoby.

(30) Whereas, in order to be lawful, the processing of personal data must in addition be carried out with the consent of the data subject or be necessary for the conclusion or performance of a contract binding on the data subject, or as a legal requirement, or for the performance of a task carried out in the public interest or in the exercise of official authority, or in the legitimate interests of a natural or legal person, provided that the interests or the rights and freedoms of the data subject are not overriding; whereas, in particular, in order to maintain a balance between the interests involved while guaranteeing effective competition, Member States may determine the circumstances in which personal data may be used or disclosed to a third party in the context of the legitimate ordinary business activities of companies and other bodies; whereas Member States may similarly specify the conditions under which personal data may be disclosed to a third party for the purposes of marketing whether carried out commercially or by a charitable organization or by any other association or foundation, of a political nature for example, subject to the provisions allowing a data subject to object to the processing of data regarding him, at no cost and without having to state his reasons;

(30) Zgodnie z prawem proces przetwarzania danych osobowych wymaga ponadto, aby dokonywane było ono za zgodą osoby, której dane dotyczą lub było konieczne dla zawarcia lub realizacji umowy wiążącej w sprawie osoby, której dane dotyczą, bądź miało charakter wymogu prawnego, lub też służyło realizacji zadania wykonywanego w interesie publicznym lub wykonywaniu władzy publicznej, bądź też w uzasadnionym interesie osoby fizycznej lub prawnej, pod warunkiem że interesy lub prawa i wolności osoby, której dane dotyczą, nie mają charakteru nadrzędnego; w celu utrzymania równowagi między wspomnianymi interesami a gwarantowaniem skutecznej konkurencji, Państwa Członkowskie mogą określić okoliczności, w których dane osobowe mogą być wykorzystane lub ujawnione osobie trzeciej w kontekście uprawnionych zwykłych czynności handlowych spółek i innych instytucji; Państwa Członkowskie mogą w podobny sposób określać warunki, w jakich dane osobowe mogą być ujawnione osobie trzeciej do celów marketingu o charakterze komercyjnym, lub realizowanego przez organizację charytatywną, lub też przez inne stowarzyszenie lub fundację, np. o charakterze politycznym, z zastrzeżeniem przepisów dopuszczających prawo sprzeciwu przysługujące osobie, której te dane dotyczą wobec przetwarzania tych danych, bezpłatnie i bez konieczności podania uzasadnienia.

(31) Whereas the processing of personal data must equally be regarded as lawful where it is carried out in order to protect an interest which is essential for the data subject's life;

(31) Przetwarzanie danych osobowych musi być również uznawane za zgodne z prawem, kiedy dokonywane jest w celu zapewnienia ochrony interesu, który jest niezbędny dla życia osoby, której dane dotyczą.

(32) Whereas it is for national legislation to determine whether the controller performing a task carried out in the public interest or in the exercise of official authority should be a public administration or another natural or legal person governed by public law, or by private law such as a professional association;

(32) Ustawodawstwo krajowe powinno określić, czy administrator danych wykonujący zadanie realizowane w interesie publicznym powinien być organem administracji publicznej czy inną osobą fizyczną lub prawną podlegającą prawu publicznemu lub prawu prywatnemu, jak np. stowarzyszenie zawodowe.

(33) Whereas data which are capable by their nature of infringing fundamental freedoms or privacy should not be processed unless the data subject gives his explicit consent; whereas, however, derogations from this prohibition must be explicitly provided for in respect of specific needs, in particular where the processing of these data is carried out for certain health-related purposes by persons subject to a legal obligation of professional secrecy or in the course of legitimate activities by certain associations or foundations the purpose of which is to permit the exercise of fundamental freedoms;

(33) Dane mogące ze względu na ich charakter powodować naruszenie podstawowych wolności lub prywatności nie powinny być przetwarzane, o ile osoba, której dotyczą, nie udzieli wyraźnej zgody; należy jednak przewidzieć odstępstwa od tego zakazu dla szczególnych potrzeb, zwłaszcza w przypadkach gdy przetwarzanie danych odbywa się w określonych celach zdrowotnych przez osoby podlegające prawnemu obowiązkowi zachowania tajemnicy zawodowej, lub też w trakcie legalnych działań niektórych stowarzyszeń lub fundacji, których celem jest umożliwienie realizacji podstawowych wolności.

(34) Whereas Member States must also be authorized, when justified by grounds of important public interest, to derogate from the prohibition on processing sensitive categories of data where important reasons of public interest so justify in areas such as public health and social protection - especially in order to ensure the quality and cost-effectiveness of the procedures used for settling claims for benefits and services in the health insurance system - scientific research and government statistics; whereas it is incumbent on them, however, to provide specific and suitable safeguards so as to protect the fundamental rights and the privacy of individuals;

(34) Państwa Członkowskie muszą być również uprawnione, w sytuacjach, kiedy jest to uzasadnione ważnym interesem publicznym, do uchylania zakazu przetwarzania sensytywnych kategorii danych w takich dziedzinach, jak zdrowie publiczne i ochrona socjalna – szczególnie w celu zapewnienia odpowiedniej jakości i zasadności ekonomicznej procedur stosowanych do rozstrzygania roszczeń w sprawie świadczeń i usług w ramach systemu ubezpieczeń zdrowotnych – badania naukowe i statystyka rządowa; obowiązkiem ich jest jednak stworzenie konkretnych i odpowiednich zabezpieczeń dla ochrony podstawowych praw i prywatności osób.

(35) Whereas, moreover, the processing of personal data by official authorities for achieving aims, laid down in constitutional law or international public law, of officially recognized religious associations is carried out on important grounds of public interest;

(35) Ponadto przetwarzanie danych osobowych przez władze publiczne dla osiągnięcia określonych w prawie konstytucyjnym lub międzynarodowym prawie publicznym, celów oficjalnie uznanych związków religijnych jest dokonywane z ważnych względów wynikających z interesu publicznego.

(36) Whereas where, in the course of electoral activities, the operation of the democratic system requires in certain Member States that political parties compile data on people's political opinion, the processing of such data may be permitted for reasons of important public interest, provided that appropriate safeguards are established;

(36) W przypadku gdy w trakcie czynności wyborczych, funkcjonowanie systemu demokratycznego w niektórych Państwach Członkowskich wymaga gromadzenia przez partie polityczne danych na temat opinii politycznych obywateli, przetwarzanie tych danych może być dozwolone ze względu na ważny interes publiczny, pod warunkiem ustanowienia odpowiednich środków zabezpieczających.

(37) Whereas the processing of personal data for purposes of journalism or for purposes of literary of artistic expression, in particular in the audiovisual field, should qualify for exemption from the requirements of certain provisions of this Directive in so far as this is necessary to reconcile the fundamental rights of individuals with freedom of information and notably the right to receive and impart information, as guaranteed in particular in Article 10 of the European Convention for the Protection of Human Rights and Fundamental Freedoms; whereas Member States should therefore lay down exemptions and derogations necessary for the purpose of balance between fundamental rights as regards general measures on the legitimacy of data processing, measures on the transfer of data to third countries and the power of the supervisory authority; whereas this should not, however, lead Member States to lay down exemptions from the measures to ensure security of processing; whereas at least the supervisory authority responsible for this sector should also be provided with certain ex-post powers, e.g. to publish a regular report or to refer matters to the judicial authorities;

(37) Przetwarzanie danych osobowych dla potrzeb dziennikarstwa lub wypowiedzi o charakterze literackim lub artystycznym, zwłaszcza w dziedzinie techniki audiowizualnej, powinno kwalifikować się do zwolnienia z wymagań niektórych przepisów niniejszej dyrektywy, o ile jest to konieczne, aby pogodzić prawa podstawowe osób fizycznych z wolnością informacji, a zwłaszcza prawem do uzyskiwania i udzielania informacji, co gwarantuje w szczególności art. 10 Europejskiej Konwencji o ochronie praw człowieka i podstawowych wolności; Państwa Członkowskie powinny w związku z tym ustalić zwolnienia i odstępstwa konieczne dla zapewnienia równowagi pomiędzy prawami podstawowymi odnoszącymi się do ogólnych środków w sprawie legalności przetwarzania danych, środków w sprawie przesyłania danych do państw trzecich i kompetencjami organów nadzorczych; nie powinno to jednak powodować wprowadzenia przez Państwa Członkowskie uregulowań stanowiących odstępstwo od obowiązku zapewnienia bezpieczeństwa przetwarzania danych; przynajmniej organ nadzorczy odpowiedzialny za tę dziedzinę powinien być również wyposażony w niektóre uprawnienia ex post, np. publikowania regularnych sprawozdań lub kierowania spraw do władz sądowych.

(38) Whereas, if the processing of data is to be fair, the data subject must be in a position to learn of the existence of a processing operation and, where data are collected from him, must be given accurate and full information, bearing in mind the circumstances of the collection;

(38) Jeżeli przetwarzanie danych ma być rzetelne, osoba, której dane dotyczą, musi mieć możliwość dotarcia do informacji o wystąpieniu czynności przetwarzania danych oraz, jeżeli dane są uzyskiwane od niej, musi otrzymać dokładne i pełne informacje, uwzględniające okoliczności pozyskiwania danych.

(39) Whereas certain processing operations involve data which the controller has not collected directly from the data subject; whereas, furthermore, data can be legitimately disclosed to a third party, even if the disclosure was not anticipated at the time the data were collected from the data subject; whereas, in all these cases, the data subject should be informed when the data are recorded or at the latest when the data are first disclosed to a third party;

(39) Niektóre czynności w zakresie przetwarzania danych angażują dane, których administrator danych nie uzyskał bezpośrednio od osoby, której te dane dotyczą; ponadto dane mogą być legalnie ujawnione osobie trzeciej, nawet jeżeli ich ujawnienie nie było przewidywane w czasie, kiedy uzyskiwano dane od osoby, której dotyczą; we wszystkich tych przypadkach osoba, której dane dotyczą, powinna być informowana przy rejestracji danych lub też najpóźniej kiedy dane są po raz pierwszy ujawnione osobie trzeciej.

(40) Whereas, however, it is not necessary to impose this obligation of the data subject already has the information; whereas, moreover, there will be no such obligation if the recording or disclosure are expressly provided for by law or if the provision of information to the data subject proves impossible or would involve disproportionate efforts, which could be the case where processing is for historical, statistical or scientific purposes; whereas, in this regard, the number of data subjects, the age of the data, and any compensatory measures adopted may be taken into consideration;

(40) Nie jest jednak konieczne nakładanie takiego obowiązku, kiedy osoba, której dane dotyczą, posiada już tę informację; ponadto obowiązek taki nie występuje wówczas, gdy rejestracja lub ujawnianie danych jest wyraźnie przewidziane przez prawo lub jeżeli dostarczanie informacji osobie, której dane dotyczą, okazuje się niemożliwe lub wymagałoby niewspółmiernie dużego wysiłku, co może mieć miejsce w przypadku przetwarzania danych do celów historycznych, statystycznych lub naukowych; pod tym względem można brać pod uwagę liczbę osób, których dane dotyczą, wiek danych oraz przyjęte środki wyrównawcze.

(41) Whereas any person must be able to exercise the right of access to data relating to him which are being processed, in order to verify in particular the accuracy of the data and the lawfulness of the processing; whereas, for the same reasons, every data subject must also have the right to know the logic involved in the automatic processing of data concerning him, at least in the case of the automated decisions referred to in Article 15 (1); whereas this right must not adversely affect trade secrets or intellectual property and in particular the copyright protecting the software; whereas these considerations must not, however, result in the data subject being refused all information;

(41) Każda osoba musi mieć możliwość skorzystania z prawa dostępu do dotyczących jej danych, które poddane są przetwarzaniu, w celu zweryfikowania zwłaszcza prawidłowości danych oraz legalności ich przetwarzania; z tych samych powodów każda osoba, której dane dotyczą, musi również mieć prawo zapoznania się z zasadami automatycznego przetwarzania danych, które jej dotyczą, przynajmniej w przypadku zautomatyzowanego procesu decyzyjnego określonego w art. 15 ust. 1; prawo to nie powinno w niekorzystny sposób wpływać na stan tajemnicy handlowej lub własności intelektualnej, w szczególności na prawo autorskie chroniące oprogramowanie; względy te nie powinny jednak powodować odmowy udzielenia osobie, której dane dotyczą wszystkich informacji.

(42) Whereas Member States may, in the interest of the data subject or so as to protect the rights and freedoms of others, restrict rights of access and information; whereas they may, for example, specify that access to medical data may be obtained only through a health professional;

(42) Państwa Członkowskie mogą, w interesie osoby, której dane dotyczą, lub w celu zapewnienia ochrony praw i wolności innych osób, ograniczać prawo dostępu do danych i informacji; mogą one np. postanowić, że dostęp do danych medycznych może uzyskać tylko personel medyczny.

(43) Whereas restrictions on the rights of access and information and on certain obligations of the controller may similarly be imposed by Member States in so far as they are necessary to safeguard, for example, national security, defence, public safety, or important economic or financial interests of a Member State or the Union, as well as criminal investigations and prosecutions and action in respect of breaches of ethics in the regulated professions; whereas the list of exceptions and limitations should include the tasks of monitoring, inspection or regulation necessary in the three last-mentioned areas concerning public security, economic or financial interests and crime prevention; whereas the listing of tasks in these three areas does not affect the legitimacy of exceptions or restrictions for reasons of State security or defence;

(43) Ograniczenia prawa dostępu i informacji oraz niektórych obowiązków administratora danych mogą w podobny sposób być wprowadzane przez Państwa Członkowskie, o ile jest to konieczne dla zapewnienia np. ochrony bezpieczeństwa narodowego, obronności, bezpieczeństwa publicznego lub ważnych ekonomicznych lub finansowych interesów Państwa Członkowskiego lub Unii, jak również dla ochrony dochodzenia i prowadzenia spraw karnych oraz działań w związku z naruszeniem zasad etyki w zawodach podlegających regulacji; wykaz wyłączeń i ograniczeń powinien obejmować zadania z zakresu monitorowania, kontroli i regulacji koniecznych w trzech wymienionych wyżej dziedzinach dotyczących bezpieczeństwa publicznego, interesów ekonomicznych lub finansowych oraz walki z przestępczością; sporządzenie wykazu zadań we wspomnianych trzech dziedzinach nie wpływa na zasadność wprowadzenia wyłączeń i ograniczeń ze względu na bezpieczeństwo lub obronność państwa.

(44) Whereas Member States may also be led, by virtue of the provisions of Community law, to derogate from the provisions of this Directive concerning the right of access, the obligation to inform individuals, and the quality of data, in order to secure certain of the purposes referred to above;

(44) Państwa Członkowskie mogą również, na mocy przepisów prawa wspólnotowego, odstąpić od przepisów niniejszej dyrektywy odnośnie do prawa dostępu, obowiązku informowania obywateli oraz jakości danych w celu zapewnienia realizacji niektórych celów określonych powyżej.

(45) Whereas, in cases where data might lawfully be processed on grounds of public interest, official authority or the legitimate interests of a natural or legal person, any data subject should nevertheless be entitled, on legitimate and compelling grounds relating to his particular situation, to object to the processing of any data relating to himself; whereas Member States may nevertheless lay down national provisions to the contrary;

(45) W przypadkach gdy dane mogą być legalnie przetwarzane ze względu na interes publiczny, władzę publiczną, oficjalne uprawnienia lub uzasadnione prawo osoby fizycznej lub prawnej, osoba, której dane te dotyczą powinna jednakże mieć prawo do sprzeciwienia się przetwarzaniu tych danych, ze względu na uzasadnione i ważkie przyczyny związane z jej sytuacją; Państwa Członkowskie mogą jednak ustalić przepisy prawa krajowego o przeciwnej treści.

(46) Whereas the protection of the rights and freedoms of data subjects with regard to the processing of personal data requires that appropriate technical and organizational measures be taken, both at the time of the design of the processing system and at the time of the processing itself, particularly in order to maintain security and thereby to prevent any unauthorized processing; whereas it is incumbent on the Member States to ensure that controllers comply with these measures; whereas these measures must ensure an appropriate level of security, taking into account the state of the art and the costs of their implementation in relation to the risks inherent in the processing and the nature of the data to be protected;

(46) Ochrona praw i wolności osób, których dotyczą przetwarzane dane osobowe wymaga przyjęcia odpowiednich rozwiązań technicznych i organizacyjnych, zarówno przy opracowywaniu systemu przetwarzania danych, jak i podczas samego ich przetwarzania, szczególnie w celu utrzymania bezpieczeństwa i niedopuszczenia do niedozwolonego przetwarzania danych; na Państwie Członkowskim spoczywa obowiązek zapewnienia stosowania tych rozwiązań przez administratora danych; uregulowania te muszą zapewnić odpowiedni stopień bezpieczeństwa, uwzględniając stan wiedzy w tej dziedzinie oraz koszty ich realizacji w odniesieniu do ryzyka wynikającego z przetwarzania danych oraz charakteru danych podlegających ochronie.

(47) Whereas where a message containing personal data is transmitted by means of a telecommunications or electronic mail service, the sole purpose of which is the transmission of such messages, the controller in respect of the personal data contained in the message will normally be considered to be the person from whom the message originates, rather than the person offering the transmission services; whereas, nevertheless, those offering such services will normally be considered controllers in respect of the processing of the additional personal data necessary for the operation of the service;

(47) W przypadku przekazywania komunikatu zawierającego dane osobowe przy pomocy urządzeń telekomunikacyjnych lub poczty elektronicznej, których wyłącznym przeznaczeniem jest przekazywanie takich komunikatów, za administratora danych osobowych zawartych w takim komunikacie uważać się będzie osobę, od której komunikat wychodzi, nie zaś osobę wykonującą usługę w zakresie transmisji danych; podmioty wykonujące takie usługi są z reguły uważane za administratorów danych w odniesieniu do przetwarzania dodatkowych danych osobowych potrzebnych do wykonywania usług.

(48) Whereas the procedures for notifying the supervisory authority are designed to ensure disclosure of the purposes and main features of any processing operation for the purpose of verification that the operation is in accordance with the national measures taken under this Directive;

(48) Procedury dotyczące zawiadamiania organu nadzorczego są skonstruowane w taki sposób, aby zapewnić ujawnienie celów i głównych cech operacji przetwarzania danych dla ustalenia, czy operacja taka jest zgodna z krajowymi przepisami przyjętymi na podstawie niniejszej dyrektywy.

(49) Whereas, in order to avoid unsuitable administrative formalities, exemptions from the obligation to notify and simplification of the notification required may be provided for by Member States in cases where processing is unlikely adversely to affect the rights and freedoms of data subjects, provided that it is in accordance with a measure taken by a Member State specifying its limits; whereas exemption or simplification may similarly be provided for by Member States where a person appointed by the controller ensures that the processing carried out is not likely adversely to affect the rights and freedoms of data subjects; whereas such a data protection official, whether or not an employee of the controller, must be in a position to exercise his functions in complete independence;

(49) W celu uniknięcia zbędnych formalności Państwa Członkowskie mogą wprowadzić zwolnienia z obowiązku zawiadamiania oraz uproszczenia procedury zawiadamiania w przypadkach gdy mało prawdopodobne jest, aby przetwarzanie danych mogło niekorzystnie wpłynąć na prawa i wolności osób, których dane dotyczą, jeżeli jest to zgodne ze środkiem podjętym przez Państwo Członkowskie określającym jego zakres; Państwa Członkowskie mogą również wprowadzić zwolnienia i uproszczenia w przypadku gdy osoba wyznaczona przez administratora zapewni, że przetwarzanie danych wpłynie niekorzystnie na prawa i wolności osób, których dane dotyczą; urzędnik odpowiedzialny za ochronę danych będący lub niebędący pracownikiem administratora danych, musi mieć możliwość wykonywania swoich funkcji w sposób całkowicie niezależny.

(50) Whereas exemption or simplification could be provided for in cases of processing operations whose sole purpose is the keeping of a register intended, according to national law, to provide information to the public and open to consultation by the public or by any person demonstrating a legitimate interest;

(50) Wspomniane zwolnienie lub uproszczenie procedury mogłoby być stosowane w przypadku operacji przetwarzania danych, których wyłącznym celem jest prowadzenie rejestru mającego służyć, zgodnie z prawem krajowym, za źródło informacji dla ogółu społeczeństwa, otwarte dla obywateli i każdej osoby wykazującej uzasadniony interes.

(51) Whereas, nevertheless, simplification or exemption from the obligation to notify shall not release the controller from any of the other obligations resulting from this Directive;

(51) Jednak uproszczenie procedury lub zwolnienie z obowiązku zawiadamiania nie będzie zwalniać administratora danych z innych obowiązków wynikających z niniejszej dyrektywy.

(52) Whereas, in this context, ex post facto verification by the competent authorities must in general be considered a sufficient measure;

(52) W tym kontekście kontrola ex post przeprowadzana przez właściwe organy musi z reguły być uznawana za wystarczający środek.

(53) Whereas, however, certain processing operation are likely to pose specific risks to the rights and freedoms of data subjects by virtue of their nature, their scope or their purposes, such as that of excluding individuals from a right, benefit or a contract, or by virtue of the specific use of new technologies; whereas it is for Member States, if they so wish, to specify such risks in their legislation;

(53) Jednak niektóre operacje przetwarzania danych mogą stwarzać określone zagrożenia dla praw i wolności osób, których dane dotyczą ze względu na ich charakter, ich zakres lub przeznaczenie, jak np. pozbawienie jednostki przysługującego jej prawa, korzyści lub kontraktu, lub ze względu na szczególne zastosowanie nowych technologii; do Państw Członkowskich należy, jeżeli tego sobie życzą, określenie takich zagrożeń w ich ustawodawstwie.

(54) Whereas with regard to all the processing undertaken in society, the amount posing such specific risks should be very limited; whereas Member States must provide that the supervisory authority, or the data protection official in cooperation with the authority, check such processing prior to it being carried out; whereas following this prior check, the supervisory authority may, according to its national law, give an opinion or an authorization regarding the processing; whereas such checking may equally take place in the course of the preparation either of a measure of the national parliament or of a measure based on such a legislative measure, which defines the nature of the processing and lays down appropriate safeguards;

(54) W stosunku do wszystkich operacji przetwarzania danych podejmowanych w społeczeństwie, liczba tych, które niosą ze sobą określone zagrożenia, jest bardzo ograniczona; Państwa Członkowskie muszą zapewnić kontrolę przetwarzania danych przez organ nadzorczy lub urzędnika odpowiedzialnego za ochronę danych, współpracującego z tym organem przed ich przetworzeniem; po takiej wstępnej kontroli, organ nadzorczy może, zgodnie z prawem krajowym, wydać opinię lub zezwolenie na przetwarzanie danych; kontrola taka może również następować w trakcie opracowywania środka ustawodawczego wydanego przez parlament narodowy lub środka opartego na takim środku prawnym, który określa charakter przetwarzania danych oraz stwarza odpowiednie zabezpieczenia.

(55) Whereas, if the controller fails to respect the rights of data subjects, national legislation must provide for a judicial remedy; whereas any damage which a person may suffer as a result of unlawful processing must be compensated for by the controller, who may be exempted from liability if he proves that he is not responsible for the damage, in particular in cases where he establishes fault on the part of the data subject or in case of force majeure; whereas sanctions must be imposed on any person, whether governed by private of public law, who fails to comply with the national measures taken under this Directive;

(55) Na wypadek nieprzestrzegania przez administratora danych praw osób, których dane dotyczą, ustawodawstwa krajowe muszą przewidywać odpowiednie środki zaskarżenia; szkody, jakie osoba może ponieść wskutek niezgodnego z prawem przetwarzania danych, muszą być wyrównane przez administratora danych, który może być zwolniony z odpowiedzialności w przypadku udowodnienia, że szkoda nie powstała z jego winy, szczególnie wówczas gdy stwierdzi wystąpienie winy po stronie osoby, której dane dotyczą lub w przypadku siły wyższej; należy nakładać sankcje na każdą osobę, podlegającą prawu prywatnemu lub publicznemu, która nie spełnia wymagań wynikających z przyjętych krajowych przepisów wprowadzonych na podstawie niniejszej dyrektywy.

(56) Whereas cross-border flows of personal data are necessary to the expansion of international trade; whereas the protection of individuals guaranteed in the Community by this Directive does not stand in the way of transfers of personal data to third countries which ensure an adequate level of protection; whereas the adequacy of the level of protection afforded by a third country must be assessed in the light of all the circumstances surrounding the transfer operation or set of transfer operations;

(56) Transgraniczny przepływ danych osobowych jest koniecznym warunkiem rozwoju handlu międzynarodowego; ochrona osób jaką niniejsza dyrektywa gwarantuje we Wspólnocie nie stanowi przeszkody dla przekazywania danych osobowych do państw trzecich, które zapewniają odpowiedni stopień ochrony; prawidłowość stopnia ochrony danych zapewnianej przez państwo trzecie należy oceniać w świetle wszystkich okoliczności dotyczących operacji przekazywania danych lub zestawu takich operacji.

(57) Whereas, on the other hand, the transfer of personal data to a third country which does not ensure an adequate level of protection must be prohibited;

(57) Z drugiej strony należy zakazać przekazywania danych osobowych do państwa trzeciego, które nie zapewnia odpowiedniego stopnia ochrony.

(58) Whereas provisions should be made for exemptions from this prohibition in certain circumstances where the data subject has given his consent, where the transfer is necessary in relation to a contract or a legal claim, where protection of an important public interest so requires, for example in cases of international transfers of data between tax or customs administrations or between services competent for social security matters, or where the transfer is made from a register established by law and intended for consultation by the public or persons having a legitimate interest; whereas in this case such a transfer should not involve the entirety of the data or entire categories of the data contained in the register and, when the register is intended for consultation by persons having a legitimate interest, the transfer should be made only at the request of those persons or if they are to be the recipients;

(58) Należy ustanowić, w niektórych okolicznościach, przepisy dla zwolnienia z tego zakazu, jeżeli osoba, której dane dotyczą, wyrazi na to zgodę, jeżeli przekazanie danych jest konieczne w związku z umową lub roszczeniem prawnym, jeżeli wymagać tego będzie ochrona ważnego interesu publicznego, jak np. przesyłanie danych za granicę przez władze podatkowe lub administrację celną lub przez służby odpowiedzialne za sprawy ubezpieczeń społecznych, lub w przypadku przekazania danych z rejestru utworzonego na mocy prawa i przeznaczonego do wglądu dla ogółu społeczeństwa lub osób wykazujących uzasadniony interes; w tym przypadku przekazanie danych nie powinno obejmować ich całości lub całych kategorii danych oraz, jeżeli rejestr jest przeznaczony do wglądu dla osób wykazujących uzasadniony interes, przekazanie danych powinno nastąpić jedynie na wniosek tych osób, lub wówczas gdy osoby te mają być odbierającymi dane.

(59) Whereas particular measures may be taken to compensate for the lack of protection in a third country in cases where the controller offers appropriate safeguards; whereas, moreover, provision must be made for procedures for negotiations between the Community and such third countries;

(59) Podejmowane mogą być konkretne działania w celu zrekompensowania braku ochrony w państwie trzecim, jeżeli administrator danych oferuje właściwe środki zabezpieczające; ponadto, należy uwzględnić procedury negocjacji między Wspólnotą a państwami trzecimi.

(60) Whereas, in any event, transfers to third countries may be effected only in full compliance with the provisions adopted by the Member States pursuant to this Directive, and in particular Article 8 thereof;

(60) W każdym przypadku przekazywanie danych do państw trzecich może następować jedynie w pełnej zgodności z przepisami przyjętymi przez Państwa Członkowskie na podstawie niniejszej dyrektywy, w szczególności jej art. 8.

(61) Whereas Member States and the Commission, in their respective spheres of competence, must encourage the trade associations and other representative organizations concerned to draw up codes of conduct so as to facilitate the application of this Directive, taking account of the specific characteristics of the processing carried out in certain sectors, and respecting the national provisions adopted for its implementation;

(61) Państwa Członkowskie i Komisja muszą, w zakresie swoich kompetencji, zachęcać zainteresowane stowarzyszenia handlowe i inne zainteresowane organizacje reprezentatywne do opracowania kodeksów postępowania w celu ułatwienia stosowania niniejszej dyrektywy, biorąc pod uwagę szczególne cechy procesu przetwarzania danych w niektórych sektorach, z poszanowaniem przepisów prawa krajowego przyjętych w celu jej wykonania.

(62) Whereas the establishment in Member States of supervisory authorities, exercising their functions with complete independence, is an essential component of the protection of individuals with regard to the processing of personal data;

(62) Utworzenie w Państwach Członkowskich organów nadzorczych, wykonujących swoje funkcje w sposób całkowicie niezależny jest zasadniczym elementem ochrony osób fizycznych w zakresie przetwarzania danych osobowych.

(63) Whereas such authorities must have the necessary means to perform their duties, including powers of investigation and intervention, particularly in cases of complaints from individuals, and powers to engage in legal proceedings; whereas such authorities must help to ensure transparency of processing in the Member States within whose jurisdiction they fall;

(63) Organy te muszą dysponować określonymi środkami do realizacji swoich obowiązków, włączając uprawnienia do przeprowadzania dochodzenia i interwencji, szczególnie w przypadkach skarg od obywateli, jak również uprawnienia do brania udziału w postępowaniu sądowym; organy te muszą przyczyniać się do zapewnienia przejrzystości przetwarzania danych w Państwach Członkowskich, których właściwości podlegają.

(64) Whereas the authorities in the different Member States will need to assist one another in performing their duties so as to ensure that the rules of protection are properly respected throughout the European Union;

(64) Władze różnych Państw Członkowskich muszą wspierać się wzajemnie w wykonywaniu swoich obowiązków w celu zapewnienia właściwego poszanowania zasad ochrony danych w całej Unii Europejskiej.

(65) Whereas, at Community level, a Working Party on the Protection of Individuals with regard to the Processing of Personal Data must be set up and be completely independent in the performance of its functions; whereas, having regard to its specific nature, it must advise the Commission and, in particular, contribute to the uniform application of the national rules adopted pursuant to this Directive;

(65) Na poziomie wspólnotowym należy powołać zespół roboczy do spraw ochrony osób fizycznych w zakresie przetwarzania danych osobowych, który będzie całkowicie niezależny w realizacji swoich funkcji; ze względu na jego szczególny charakter, musi on służyć radą Komisji oraz, w szczególności, przyczyniać się do jednolitego stosowania przepisów krajowych przyjętych na mocy niniejszej dyrektywy.

(66) Whereas, with regard to the transfer of data to third countries, the application of this Directive calls for the conferment of powers of implementation on the Commission and the establishment of a procedure as laid down in Council Decision 87/373/EEC (1);

(66) W odniesieniu do przekazywania danych do państw trzecich, stosowanie niniejszej dyrektywy wymaga nadania Komisji uprawnień wykonawczych oraz ustanowienia procedury zgodnie z decyzją Rady 87/373/EWG [4].

(67) Whereas an agreement on a modus vivendi between the European Parliament, the Council and the Commission concerning the implementing measures for acts adopted in accordance with the procedure laid down in Article 189b of the EC Treaty was reached on 20 December 1994;

(67) Dnia 20 grudnia 1994 r. zawarta została między Parlamentem Europejskim, Radą i Komisją umowa w sprawie modus vivendi dotycząca środków wykonawczych do aktów przyjętych w trybie określonym w art. 189b Traktatu WE.

(68) Whereas the principles set out in this Directive regarding the protection of the rights and freedoms of individuals, notably their right to privacy, with regard to the processing of personal data may be supplemented or clarified, in particular as far as certain sectors are concerned, by specific rules based on those principles;

(68) Zasady ustanowione w niniejszej dyrektywie dotyczące ochrony praw i wolności osób fizycznych, szczególnie ich prawa do prywatności w odniesieniu do przetwarzania danych osobowych, mogą być uzupełniane lub wyjaśniane, zwłaszcza w przypadku niektórych sektorów, w formie szczegółowych przepisów opartych na wspomnianych zasadach.

(69) Whereas Member States should be allowed a period of not more than three years from the entry into force of the national measures transposing this Directive in which to apply such new national rules progressively to all processing operations already under way; whereas, in order to facilitate their cost-effective implementation, a further period expiring 12 years after the date on which this Directive is adopted will be allowed to Member States to ensure the conformity of existing manual filing systems with certain of the Directive's provisions; whereas, where data contained in such filing systems are manually processed during this extended transition period, those systems must be brought into conformity with these provisions at the time of such processing;

Należy wyznaczyć Państwom Członkowskim okres nie dłuższy niż trzy lata od wejścia w życie krajowych środków wykonujących dyrektywę, w którym będą one zobowiązane do (69) progresywnego stosowania nowych przepisów krajowych w odniesieniu do wszystkich realizowanych już operacji przetwarzania danych; dla ułatwienia ich realizacji przy uzasadnionych ekonomicznie kosztach, kolejny okres 12 lat od daty przyjęcia niniejszej dyrektywy wyznaczony zostanie Państwom Członkowskim w celu zapewnienia zgodności istniejących ręcznych systemów ewidencji danych z niektórymi przepisami dyrektywy; jeżeli we wspomnianym przedłużonym okresie przejściowym dane zawarte w owych systemach będą przetwarzane ręcznie, konieczne będzie doprowadzenie do zgodności tych systemów ze wspomnianymi przepisami w czasie przetwarzania danych.

(70) Whereas it is not necessary for the data subject to give his consent again so as to allow the controller to continue to process, after the national provisions taken pursuant to this Directive enter into force, any sensitive data necessary for the performance of a contract concluded on the basis of free and informed consent before the entry into force of these provisions;

(70) Nie jest konieczne, aby osoba, której dane dotyczą, udzieliła ponownej zgody dla umożliwienia administratorowi danych dalsze przetwarzanie, po wejściu w życie krajowych przepisów przyjętych na mocy niniejszej dyrektywy, wszelkich sensytywnych danych koniecznych do realizacji umowy zawartej na warunkach dobrowolnej zgody stron przed wejściem w życie wspomnianych przepisów.

(71) Whereas this Directive does not stand in the way of a Member State's regulating marketing activities aimed at consumers residing in territory in so far as such regulation does not concern the protection of individuals with regard to the processing of personal data;

(71) Niniejsza dyrektywa nie stanowi przeszkody dla wprowadzania przez Państwo Członkowskie regulującej działalności marketingowej, skierowanej na konsumentów zamieszkałych na jego terytorium, o ile regulacja ta nie będzie dotyczyć ochrony osób fizycznych w zakresie przetwarzania danych osobowych.

(72) Whereas this Directive allows the principle of public access to official documents to be taken into account when implementing the principles set out in this Directive,

(72) Niniejsza dyrektywa zezwala na uwzględnianie zasady publicznego dostępu do oficjalnych dokumentów przy realizacji zasad ustanowionych w niniejszej dyrektywie,

HAVE ADOPTED THIS DIRECTIVE:

PRZYJMUJĄ NINIEJSZĄ DYREKTYWĘ:

ROZDZIAŁ I

PRZEPISY OGÓLNE

CHAPTER I GENERAL PROVISIONS

Artykuł 1

Cel dyrektywy

Article 1

1. Zgodnie z przepisami niniejszej dyrektywy, Państwa Członkowskie zobowiązują się chronić podstawowe prawa i wolności osób fizycznych, w szczególności ich prawo do prywatności w odniesieniu do przetwarzania danych osobowych.

Object of the Directive

2. Państwa Członkowskie nie będą ograniczać ani zakazywać swobodnego przepływu danych osobowych między Państwami Członkowskimi ze względów związanych z ochroną przewidzianą w ust. 1.

1. In accordance with this Directive, Member States shall protect the fundamental rights and freedoms of natural persons, and in particular their right to privacy with respect to the processing of personal data.

Artykuł 2

2. Member States shall neither restrict nor prohibit the free flow of personal data between Member States for reasons connected with the protection afforded under paragraph 1.

Definicje

Do celów niniejszej dyrektywy:

Article 2

a) "dane osobowe" oznacza wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej ("osoby, której dane dotyczą"); osoba możliwa do zidentyfikowania to osoba, której tożsamość można ustalić bezpośrednio lub pośrednio, szczególnie przez powołanie się na numer identyfikacyjny lub jeden bądź kilka szczególnych czynników określających jej fizyczną, fizjologiczną, umysłową, ekonomiczną, kulturową lub społeczną tożsamość;

Definitions

b) "przetwarzanie danych osobowych" ("przetwarzanie") oznacza każdą operację lub zestaw operacji dokonywanych na danych osobowych przy pomocy środków zautomatyzowanych lub innych, jak np. gromadzenie, rejestracja, porządkowanie, przechowywanie, adaptacja lub modyfikacja, odzyskiwanie, konsultowanie, wykorzystywanie, ujawnianie poprzez transmisję, rozpowszechnianie lub udostępnianie w inny sposób, układanie lub kompilowanie, blokowanie, usuwanie lub niszczenie;

For the purposes of this Directive:

c) "zbiór danych" ("zbiór") oznacza każdy uporządkowany zestaw danych osobowych, dostępnych według określonych kryteriów, scentralizowanych, zdecentralizowanych lub rozproszonych funkcjonalnie lub geograficznie;

(a) 'personal data' shall mean any information relating to an identified or identifiable natural person ('data subject'); an identifiable person is one who can be identified, directly or indirectly, in particular by reference to an identification number or to one or more factors specific to his physical, physiological, mental, economic, cultural or social identity;

d) "administrator danych" oznacza osobę fizyczną lub prawną, władzę publiczną, agencję lub inny organ, który samodzielnie lub wspólnie z innymi podmiotami określa cele i sposoby przetwarzania danych; jeżeli cele i sposoby przetwarzania danych są określane w przepisach ustawowych i wykonawczych lub przepisach wspólnotowych, administrator danych może być powoływany lub kryteria jego powołania mogą być ustalane przez ustawodawstwo krajowe lub wspólnotowe;

(b) 'processing of personal data' ('processing') shall mean any operation or set of operations which is performed upon personal data, whether or not by automatic means, such as collection, recording, organization, storage, adaptation or alteration, retrieval, consultation, use, disclosure by transmission, dissemination or otherwise making available, alignment or combination, blocking, erasure or destruction;

e) "przetwarzający" oznacza osobę fizyczną lub prawną, władzę publiczną, agencję lub inny organ przetwarzający dane osobowe w imieniu administratora danych;

(c) 'personal data filing system' ('filing system') shall mean any structured set of personal data which are accessible according to specific criteria, whether centralized, decentralized or dispersed on a functional or geographical basis;

f) "osoba trzecia" oznacza osobę fizyczną lub prawną, władzę publiczną, agencję lub inny organ niebędący osobą, której dane dotyczą, ani administratorem danych, ani przetwarzającym lub jedną z osób, które pod bezpośrednim zwierzchnictwem administratora danych lub przetwarzającego upoważnione są do przetwarzania danych;

(d) 'controller' shall mean the natural or legal person, public authority, agency or any other body which alone or jointly with others determines the purposes and means of the processing of personal data; where the purposes and means of processing are determined by national or Community laws or regulations, the controller or the specific criteria for his nomination may be designated by national or Community law;

g) "odbierający dane" oznacza osobę fizyczną lub prawną, władzę publiczną, agencję lub inny organ, któremu ujawniane są dane, będący lub niebędący osobą trzecią; jednakże władze, które mogą otrzymywać dane w ramach konkretnego dochodzenia, nie są uważane za odbiorcę;

(e) 'processor' shall mean a natural or legal person, public authority, agency or any other body which processes personal data on behalf of the controller;

h) "zgoda osoby, której dane dotyczą" oznacza konkretne i świadome, dobrowolne wskazanie przez osobę, której dane dotyczą na to, że wyraża przyzwolenie na przetwarzanie odnoszących się do niej danych osobowych.

(f) 'third party' shall mean any natural or legal person, public authority, agency or any other body other than the data subject, the controller, the processor and the persons who, under the direct authority of the controller or the processor, are authorized to process the data;

Artykuł 3

(g) 'recipient' shall mean a natural or legal person, public authority, agency or any other body to whom data are disclosed, whether a third party or not; however, authorities which may receive data in the framework of a particular inquiry shall not be regarded as recipients;

Zakres obowiązywania

(h) 'the data subject's consent' shall mean any freely given specific and informed indication of his wishes by which the data subject signifies his agreement to personal data relating to him being processed.

1. Niniejsza dyrektywa stosuje się do przetwarzania danych osobowych w całości lub w części w sposób zautomatyzowany oraz innego przetwarzania danych osobowych, stanowiących część zbioru danych lub mających stanowić część zbioru danych.

2. Niniejsza dyrektywa nie ma zastosowania do przetwarzania danych osobowych:

Article 3

- w ramach działalności wykraczającej poza zakres prawa Wspólnoty, jak np. dane, o których stanowi tytuł V i VI Traktatu o Unii Europejskiej, a w żadnym razie do działalności na rzecz bezpieczeństwa publicznego, obronności, bezpieczeństwa państwa (łącznie z dobrą kondycją gospodarcza państwa, gdy działalność ta dotyczy spraw związanych z bezpieczeństwem państwa) oraz działalności państwa w obszarach prawa karnego,

Scope

- przez osobę fizyczną w trakcie czynności o czysto osobistym lub domowym charakterze.

1. This Directive shall apply to the processing of personal data wholly or partly by automatic means, and to the processing otherwise than by automatic means of personal data which form part of a filing system or are intended to form part of a filing system.

Artykuł 4

2. This Directive shall not apply to the processing of personal data:

Odpowiednie prawo krajowe

- in the course of an activity which falls outside the scope of Community law, such as those provided for by Titles V and VI of the Treaty on European Union and in any case to processing operations concerning public security, defence, State security (including the economic well-being of the State when the processing operation relates to State security matters) and the activities of the State in areas of criminal law,

1. Każde Państwo Członkowskie stosuje, w odniesieniu do przetwarzania danych osobowych, przepisy prawa krajowego przyjmowane na mocy niniejszej dyrektywy wówczas, gdy:

- by a natural person in the course of a purely personal or household activity.

a) przetwarzanie danych odbywa się w kontekście prowadzenia przez administratora danych działalności gospodarczej na terytorium Państwa Członkowskiego; jeżeli ten sam administrator danych prowadzi działalność gospodarczą na terytorium kilku Państw Członkowskich, musi on podjąć niezbędne działania, aby zapewnić, że każde z tych przedsiębiorstw wywiązuje się z obowiązków przewidzianych w odpowiednich przepisach prawa krajowego;

b) administrator danych nie prowadzi działalności gospodarczej na terytorium Państwa Członkowskiego, lecz w miejscu, gdzie jego prawo krajowe obowiązuje na mocy międzynarodowego prawa publicznego;

Article 4

c) administrator danych nie prowadzi działalności gospodarczej na terytorium Wspólnoty a do celów przetwarzania danych osobowych wykorzystuje środki, zarówno zautomatyzowane jak i inne, znajdujące się na terytorium wymienionego Państwa Członkowskiego, o ile środki te nie są wykorzystywane wyłącznie do celów tranzytu przez terytorium Wspólnoty.

National law applicable

2. W okolicznościach określonych w ust. 1 lit. c), administrator danych musi wyznaczyć swojego przedstawiciela na terytorium tego Państwa Członkowskiego, bez uszczerbku dlapostępowań sądowych, jakie mogłyby być podjęte przeciwko samemu administratorowi danych.

1. Each Member State shall apply the national provisions it adopts pursuant to this Directive to the processing of personal data where:

ROZDZIAŁ II

(a) the processing is carried out in the context of the activities of an establishment of the controller on the territory of the Member State; when the same controller is established on the territory of several Member States, he must take the necessary measures to ensure that each of these establishments complies with the obligations laid down by the national law applicable;

OGÓLNE ZASADY LEGALNOŚCI PRZETWARZANIA DANYCH OSOBOWYCH

(b) the controller is not established on the Member State's territory, but in a place where its national law applies by virtue of international public law;

Artykuł 5

(c) the controller is not established on Community territory and, for purposes of processing personal data makes use of equipment, automated or otherwise, situated on the territory of the said Member State, unless such equipment is used only for purposes of transit through the territory of the Community.

Państwa Członkowskie określą, w granicach przepisów zawartych w niniejszym rozdziale, bardziej szczegółowe warunki ustalania legalności przetwarzania danych osobowych.

2. In the circumstances referred to in paragraph 1 (c), the controller must designate a representative established in the territory of that Member State, without prejudice to legal actions which could be initiated against the controller himself.

SEKCJA 1

ZASADY DOTYCZĄCE JAKOŚCI DANYCH

CHAPTER II GENERAL RULES ON THE LAWFULNESS OF THE PROCESSING OF PERSONAL DATA

Artykuł 6

1. Państwa Członkowskie zapewniają, aby dane osobowe były:

Article 5

a) przetwarzane rzetelnie i legalnie;

Member States shall, within the limits of the provisions of this Chapter, determine more precisely the conditions under which the processing of personal data is lawful.

b) gromadzone do określonych, jednoznacznych i legalnych celów oraz nie były poddawane dalszemu przetwarzaniu w sposób niezgodny z tym celem. Dalsze przetwarzanie danych w celach historycznych, statystycznych lub naukowych nie jest uważane za niezgodne z przepisami pod warunkiem ustanowienia przez Państwa Członkowskie odpowiednich środków zabezpieczających;

SECTION I

c) prawidłowe, stosowne oraz nienadmierne ilościowo w stosunku do celów, dla których zostały zgromadzone i/lub dalej przetworzone;

PRINCIPLES RELATING TO DATA QUALITY

d) prawidłowe oraz, w razie konieczności, aktualizowane; należy podjąć wszelkie uzasadnione działania, aby zapewnić usunięcie lub poprawienie nieprawidłowych lub niekompletnych danych, biorąc pod uwagę cele, dla których zostały zgromadzone lub dla których są dalej przetwarzane;

e) przechowywane w formie umożliwiającej identyfikację osób, których dane dotyczą, przez czas nie dłuższy niż jest to konieczne do celów, dla których dane zostały zgromadzone lub dla których są dalej przetwarzane. Państwa Członkowskie ustanowią odpowiednie środki zabezpieczające dla danych przechowywanych przez dłuższe okresy dla potrzeb historycznych, statystycznych i naukowych.

Article 6

2. Na administratorze danych spoczywa obowiązek zapewnienia przestrzegania przepisów ust. 1.

1. Member States shall provide that personal data must be:

SEKCJA II

(a) processed fairly and lawfully;

KRYTERIA LEGALNOŚCI PRZETWARZANIA DANYCH

(b) collected for specified, explicit and legitimate purposes and not further processed in a way incompatible with those purposes. Further processing of data for historical, statistical or scientific purposes shall not be considered as incompatible provided that Member States provide appropriate safeguards;

Artykuł 7

(c) adequate, relevant and not excessive in relation to the purposes for which they are collected and/or further processed;

Państwa Członkowskie zapewniają, że dane osobowe mogą być przetwarzane tylko wówczas gdy:

(d) accurate and, where necessary, kept up to date; every reasonable step must be taken to ensure that data which are inaccurate or incomplete, having regard to the purposes for which they were collected or for which they are further processed, are erased or rectified;

a) osoba, której dane dotyczą, jednoznacznie wyraziła na to zgodę; lub

(e) kept in a form which permits identification of data subjects for no longer than is necessary for the purposes for which the data were collected or for which they are further processed. Member States shall lay down appropriate safeguards for personal data stored for longer periods for historical, statistical or scientific use.

b) przetwarzanie danych jest konieczne dla realizacji umowy, której stroną jest osoba, której dane dotyczą, lub w celu podjęcia działań na życzenie osoby, której dane dotyczą, przed zawarciem umowy; lub

2. It shall be for the controller to ensure that paragraph 1 is complied with.

c) przetwarzanie danych jest konieczne dla wykonania zobowiązaniea prawnego, któremu administrator danych podlega; lub

SECTION II

d) przetwarzanie danych jest konieczne dla ochrony żywotnych interesów osób, których dane dotyczą; lub

CRITERIA FOR MAKING DATA PROCESSING LEGITIMATE

e) przetwarzanie danych jest konieczne dla realizacji zadania wykonywanego w interesie publicznym lub dla wykonywania władzy publicznej przekazanej administratorowi danych lub osobie trzeciej, przed którą ujawnia się dane; lub

f) przetwarzanie danych jest konieczne dla potrzeb wynikających z uzasadnionych interesów administratora danych lub osoby trzeciej, lub osobom, którym dane są ujawniane, z wyjątkiem sytuacji, kiedy interesy takie podporządkowane są interesom związanym z podstawowymi prawami i wolnościami osoby, której dane dotyczą, które gwarantują ochronę na podstawie art. 1 ust. 1.

Article 7

SEKCJA III

Member States shall provide that personal data may be processed only if:

SZCZEGÓLNE KATEGORIE PRZETWARZANIA DANYCH

(a) the data subject has unambiguously given his consent; or

Artykuł 8

(b) processing is necessary for the performance of a contract to which the data subject is party or in order to take steps at the request of the data subject prior to entering into a contract; or

Przetwarzanie szczególnych kategorii danych

(c) processing is necessary for compliance with a legal obligation to which the controller is subject; or

1. Państwa Członkowskie zabraniają przetwarzania danych osobowych ujawniających pochodzenie rasowe lub etniczne, opinie polityczne, przekonania religijne lub filozoficzne, przynależność do związków zawodowych, jak również przetwarzanie danych dotyczących zdrowia i życia seksualnego.

(d) processing is necessary in order to protect the vital interests of the data subject; or

2. Ustęp 1 nie ma zastosowania w przypadku gdy:

(e) processing is necessary for the performance of a task carried out in the public interest or in the exercise of official authority vested in the controller or in a third party to whom the data are disclosed; or

a) osoba, której dane dotyczą, udzieliła wyraźnej zgody na ich przetwarzanie, chyba że ustawodawstwo Państwa Członkowskiego przewiduje, że zakaz określony w ust. 1 nie może być uchylony mimo udzielonej zgody przez osobę, której dane dotyczą; lub

(f) processing is necessary for the purposes of the legitimate interests pursued by the controller or by the third party or parties to whom the data are disclosed, except where such interests are overridden by the interests for fundamental rights and freedoms of the data subject which require protection under Article 1 (1).

b) przetwarzanie danych jest konieczne do wypełniania obowiązków i szczególnych uprawnień administratora danych w dziedzinie prawa pracy, o ile jest to dozwolone przez prawo krajowe przewidujące odpowiednie środki zabezpieczające; lub

SECTION III

c) przetwarzanie danych jest konieczne dla ochrony żywotnych interesów osoby, której dane dotyczą lub innej osoby, w przypadku gdy osoba, której dane dotyczą, jest fizycznie lub prawnie niezdolna do udzielenia zgody; lub

SPECIAL CATEGORIES OF PROCESSING

d) przetwarzanie danych jest dokonywane w ramach legalnej działalności wspartej odpowiednimi gwarancjami przez fundację, stowarzyszenie lub inną instytucję nienastawioną na osiąganie zysku, której cele mają charakter polityczny, filozoficzny, religijny lub związkowy, pod warunkiem że przetwarzanie danych odnosi się wyłącznie do członków tej instytucji lub osób mających z nią regularny kontakt w związku z jej celami oraz, że dane nie zostaną ujawnione osobie trzeciej bez zgody osób, których dane dotyczą; lub

e) przetwarzanie dotyczy danych, które są podawane do wiadomości publicznej przez osobę, której dane dotyczą, lub jest konieczne do ustalenia, wykonania lub ochrony roszczeń prawnych.

Article 8

3. Ustęp 1 nie ma zastosowania w przypadku gdy przetwarzanie danych wymagane jest do celów medycyny prewencyjnej, diagnostyki medycznej, świadczenia opieki lub leczenia, lub też zarządzania opieką zdrowotną, jak również w przypadkach, gdy dane są przetwarzane przez pracownika służby zdrowia zgodnie z przepisami prawa krajowego lub zasadami określonymi przez właściwe krajowe instytucje, podlegającemu obowiązkowi zachowania tajemnicy zawodowej lub przez inną osobę również zobowiązaną do zachowania tajemnicy.

The processing of special categories of data

4. Pod warunkiem ustanowienia odpowiednich środków zabezpieczających, Państwa Członkowskie mogą, ze względu na istotny interes publiczny, ustalić dodatkowe wyłączenia, poza tymi, które zostały przewidziane w ust. 2, na mocy ustawy krajowej lub decyzji organu nadzorczego.

1. Member States shall prohibit the processing of personal data revealing racial or ethnic origin, political opinions, religious or philosophical beliefs, trade-union membership, and the processing of data concerning health or sex life.

5. Przetwarzanie danych dotyczących przestępstw, wyroków skazujących lub środków bezpieczeństwa może być dokonywane jedynie pod kontrolą władz publicznych, lub też, jeżeli zgodnie z prawem krajowym ustanowiono określone środki zabezpieczające, z zachowaniem odstępstw, które Państwo Członkowskie może udzielić zgodnie z obowiązującymi przepisami prawa krajowego, zapewniając zachowanie odpowiednich zabezpieczeń. Jednak kompletny rejestr przestępstw kryminalnych może być prowadzony tylko pod kontrolą władzy publicznej.

2. Paragraph 1 shall not apply where:

Państwa Członkowskie mogą ustanowić przepisy zobowiązujące oficjalny organ do sprawowania kontroli nad przetwarzaniem danych dotyczących sankcji administracyjnych lub orzeczeń w sprawach cywilnych.

(a) the data subject has given his explicit consent to the processing of those data, except where the laws of the Member State provide that the prohibition referred to in paragraph 1 may not be lifted by the data subject's giving his consent; or

6. Odstępstwa od ust. 1, przewidziane w ust. 4 i 5, są notyfikowane Komisji.

(b) processing is necessary for the purposes of carrying out the obligations and specific rights of the controller in the field of employment law in so far as it is authorized by national law providing for adequate safeguards; or

7. Państwa Członkowskie określą warunki, w których może następować przetwarzanie krajowego numeru identyfikacyjnego lub innego identyfikatora ogólnego stosowania.

(c) processing is necessary to protect the vital interests of the data subject or of another person where the data subject is physically or legally incapable of giving his consent; or

Artykuł 9

(d) processing is carried out in the course of its legitimate activities with appropriate guarantees by a foundation, association or any other non-profit-seeking body with a political, philosophical, religious or trade-union aim and on condition that the processing relates solely to the members of the body or to persons who have regular contact with it in connection with its purposes and that the data are not disclosed to a third party without the consent of the data subjects; or

Przetwarzanie danych osobowych i wolność wypowiedzi

(e) the processing relates to data which are manifestly made public by the data subject or is necessary for the establishment, exercise or defence of legal claims.

Państwa Członkowskie wprowadzają możliwość wyłączenia lub odstąpienia od przepisów niniejszego rozdziału, rozdziału IV i VI w przypadku przetwarzania danych osobowych wyłącznie w celach dziennikarskich lub w celu uzyskania wyrazu artystycznego lub literackiego jedynie wówczas, gdy jest to konieczne dla pogodzenia prawa do zachowania prywatności z przepisami dotyczącymi wolności wypowiedzi.

3. Paragraph 1 shall not apply where processing of the data is required for the purposes of preventive medicine, medical diagnosis, the provision of care or treatment or the management of health-care services, and where those data are processed by a health professional subject under national law or rules established by national competent bodies to the obligation of professional secrecy or by another person also subject to an equivalent obligation of secrecy.

SEKCJA IV

4. Subject to the provision of suitable safeguards, Member States may, for reasons of substantial public interest, lay down exemptions in addition to those laid down in paragraph 2 either by national law or by decision of the supervisory authority.

PRZEKAZYWANIE INFORMACJI OSOBIE, KTÓREJ DANE DOTYCZĄ

5. Processing of data relating to offences, criminal convictions or security measures may be carried out only under the control of official authority, or if suitable specific safeguards are provided under national law, subject to derogations which may be granted by the Member State under national provisions providing suitable specific safeguards. However, a complete register of criminal convictions may be kept only under the control of official authority.

Artykuł 10

Member States may provide that data relating to administrative sanctions or judgements in civil cases shall also be processed under the control of official authority.

Informacje w przypadku gromadzeniadanych od osoby, której dane dotyczą

6. Derogations from paragraph 1 provided for in paragraphs 4 and 5 shall be notified to the Commission.

Państwa Członkowskie zapewniają, aby administrator danych lub jego przedstawiciel miał obowiązek przedstawienia osobie, której dane dotyczą i od której gromadzone są dane, co najmniej następujących informacji, z wyjątkiem przypadku, kiedy informacje takie już posiada:

7. Member States shall determine the conditions under which a national identification number or any other identifier of general application may be processed.

a) tożsamości administratora danych i ewentualnie jego przedstawiciela;

b) celów przetwarzania danych, do których dane są przeznaczone;

Article 9

c) wszelkich dalszych informacji, jak np.:

Processing of personal data and freedom of expression

- odbiorcy lub kategorie odbierających dane,

Member States shall provide for exemptions or derogations from the provisions of this Chapter, Chapter IV and Chapter VI for the processing of personal data carried out solely for journalistic purposes or the purpose of artistic or literary expression only if they are necessary to reconcile the right to privacy with the rules governing freedom of expression.

- tego, czy odpowiedzi na pytania są obowiązkowe czy dobrowolne oraz ewentualne konsekwencje nieudzielenia odpowiedzi,

SECTION IV

- istnienie prawa wglądu do swoich danych oraz ich sprostowania,

INFORMATION TO BE GIVEN TO THE DATA SUBJECT

o ile takie dalsze informacje są potrzebne, biorąc od uwagę szczególne okoliczności, w których dane są gromadzone, w celu zagwarantowania rzetelnego przetwarzania danych w stsunku doosoby, której dane dotyczą.

Artykuł 11

Article 10

Informacje w przypadku uzyskiwania danych z innych źródeł niż osoba, której dane dotyczą

Information in cases of collection of data from the data subject

1. W przypadku gdy dane uzyskiwane są z innych źródeł niż osoba, której dane dotyczą, Państwa Członkowskie zapewniają, aby administrator danych lub jego przedstawiciel był zobowiązany od początku gromadzenia danych osobowych lub w przypadku ujawnienia danych osobie trzeciej, nie później niż do momentu, gdy dane są ujawniane po raz pierwszy, dostarczyć osobie, której dane dotyczą, co najmniej następujące informacje, z wyjątkiem przypadku, kiedy posiada już ona takie informacje:

Member States shall provide that the controller or his representative must provide a data subject from whom data relating to himself are collected with at least the following information, except where he already has it:

- tożsamość administratora i ewentualnie jego przedstawiciela;

(a) the identity of the controller and of his representative, if any;

- cele przetwarzania danych;

(b) the purposes of the processing for which the data are intended;

- wszelkie dalsze informacji, jak np.:

(c) any further information such as

- kategorie potrzebnych danych,

- the recipients or categories of recipients of the data,

- odbiorcy lub kategorie odbierających dane,

- whether replies to the questions are obligatory or voluntary, as well as the possible consequences of failure to reply,

- istnienie prawa wglądu do swoich danych oraz ichsprostowania,

- the existence of the right of access to and the right to rectify the data concerning him

o ile takie dalsze informacje są konieczne, biorąc od uwagę szczególne okoliczności, w których dane są gromadzone, w celu zagwarantowania rzetelnego przetwarzania danych w stosunku doosoby, której dane dotyczą.

in so far as such further information is necessary, having regard to the specific circumstances in which the data are collected, to guarantee fair processing in respect of the data subject.

2. Ustęp 1 nie ma zastosowania w przypadku gdy, szczególnie w przypadku przetwarzania danych do celów statystycznych, historycznych lub naukowych, dostarczenie takich informacji wymagałoby niewspółmiernie dużego wysiłku lub jeżeli gromadzenie lub ujawnianie informacji jest wyraźnie przewidziane przez prawo. W takich przypadkach Państwa Członkowskie zapewniają odpowiednie środki zabezpieczające.

SEKCJA V

Article 11

PRAWO UZYSKANIA PRZEZ OSOBĘ, KTÓREJ DANE DOTYCZĄ DOSTĘPU DO DANYCH

Information where the data have not been obtained from the data subject

Artykuł 12

1. Where the data have not been obtained from the data subject, Member States shall provide that the controller or his representative must at the time of undertaking the recording of personal data or if a disclosure to a third party is envisaged, no later than the time when the data are first disclosed provide the data subject with at least the following information, except where he already has it:

Prawo dostępu do danych

(a) the identity of the controller and of his representative, if any;

Państwa Członkowskie zapewniają każdej osobie, której dane dotyczą, prawo do uzyskania od administratora danych:

(b) the purposes of the processing;

a) bez ograniczeń, w odpowiednich odstępach czasu oraz bez nadmiernego opóźnienia lub kosztów:

(c) any further information such as

- potwierdzenia, czy dotyczące jej dane są przetwarzane oraz co najmniej informacji o celach przetwarzania danych, kategoriach danych oraz odbiorcach lub kategoriach odbiorców, którym dane te są ujawniane,

- the categories of data concerned,

- wyrażonej w zrozumiałej formie informacji o danych przechodzących przetwarzanie oraz posiadanych informacji o ich źródłach,

- the recipients or categories of recipients,

- wiadomości na temat zasad automatycznego przetwarzania dotyczących jej danych przynajmniej w przypadku zautomatyzowanego procesu decyzyjnego określonego w art. 15 ust. 1;

- the existence of the right of access to and the right to rectify the data concerning him

b) odpowiednio do przypadku, sprostowania, usunięcia lub zablokowania danych, których przetwarzanie jest niezgodne z przepisami niniejszej dyrektywy, szczególnie ze względu na niekompletność lub niedokładność danych;

in so far as such further information is necessary, having regard to the specific circumstances in which the data are processed, to guarantee fair processing in respect of the data subject.

c) zawiadomienia osób trzecich, którym dane zostały ujawnione, o ewentualnym sprostowaniu, usunięciu lub zablokowaniu danych zgodnie z lit. b), o ile nie okaże się to niemożliwe lub nie będzie wymagało niewspółmiernie dużego wysiłku.

2. Paragraph 1 shall not apply where, in particular for processing for statistical purposes or for the purposes of historical or scientific research, the provision of such information proves impossible or would involve a disproportionate effort or if recording or disclosure is expressly laid down by law. In these cases Member States shall provide appropriate safeguards.

SEKCJA VI

SECTION V

WYŁĄCZENIA I OGRANICZENIA

THE DATA SUBJECT'S RIGHT OF ACCESS TO DATA

Artykuł 13

Zwolnienia i ograniczenia

Article 12

1. Państwo Członkowskie może przyjąć środki ustawodawcze w celu ograniczenia zakresu praw i obowiązków, przewidzianego w art. 6 ust. 1, art. 10, art. 11 ust. 1, art. 12 oraz 21, kiedy ograniczenie takie stanowi środek konieczny dla zabezpieczenia:

Right of access

a) bezpieczeństwa narodowego;

Member States shall guarantee every data subject the right to obtain from the controller:

b) obronności;

(a) without constraint at reasonable intervals and without excessive delay or expense:

c) bezpieczeństwa publicznego;

- confirmation as to whether or not data relating to him are being processed and information at least as to the purposes of the processing, the categories of data concerned, and the recipients or categories of recipients to whom the data are disclosed,

d) działań prewencyjnych, prowadzonych czynności dochodzeniowo-śledczych i prokuratorskich w sprawach karnych lub sprawach o naruszenie zasad etyki w zawodach podlegających regulacji;

- communication to him in an intelligible form of the data undergoing processing and of any available information as to their source,

e) ważnego interesu ekonomicznego lub finansowego Państwa Członkowskiego lub Unii Europejskiej, łącznie z kwestiami pieniężnymi, budżetowymi i podatkowymi;

- knowledge of the logic involved in any automatic processing of data concerning him at least in the case of the automated decisions referred to in Article 15 (1);

f) funkcji kontrolnych, inspekcyjnych i regulacyjnych związanych, nawet sporadycznie, z wykonywaniem władzy publicznej w przypadkach wymienionych w lit. c)–e);

(b) as appropriate the rectification, erasure or blocking of data the processing of which does not comply with the provisions of this Directive, in particular because of the incomplete or inaccurate nature of the data;

g) ochrony osoby, której dane dotyczą oraz praw i wolności innych osób.

(c) notification to third parties to whom the data have been disclosed of any rectification, erasure or blocking carried out in compliance with (b), unless this proves impossible or involves a disproportionate effort.

2. Z zastrzeżeniem obowiązku zapewnienia odpowiedniego stopnia ochronyprawnej, w szczególności, aby dane nie były wykorzystywane do podejmowania działań lub decyzji dotyczących konkretnych osób, Państwa Członkowskie mogą w przypadku gdy wyraźnie nie występuje ryzyko naruszenia prywatności osoby, której dane dotyczą, ograniczyć przy pomocy środków legislacyjnych prawa przewidziane w art. 12, gdy dane są przetwarzane wyłącznie do celów badań naukowych lub przechowywane są w formie osobistej przez okres nieprzekraczający okresu koniecznegowyłącznie w celusporządzenia statystyk.

SECTION VI

SEKCJA VII

EXEMPTIONS AND RESTRICTIONS

PRAWO SPRZECIWU PRZYSŁUGUJĄCE OSOBIE, KTÓREJ DANE DOTYCZĄ

Artykuł 14

Article 13

Prawo sprzeciwu przysługujące osobie, której dane dotyczą

Exemptions and restrictions

Państwa Członkowskie przyznają osobie, której dane dotyczą, prawo:

1. Member States may adopt legislative measures to restrict the scope of the obligations and rights provided for in Articles 6 (1), 10, 11 (1), 12 and 21 when such a restriction constitutes a necessary measures to safeguard:

a) przynajmniej w przypadkach wymienionych w art. 7 lit. e) i f), w dowolnym czasie z ważnych i uzasadnionych przyczyn wynikających z jego konkretnej sytuacji, sprzeciwu co do przetwarzania dotyczących jej danych, z zastrzeżeniem odmiennych postanowień ustawodawstwa krajowego. W przypadku uzasadnionego sprzeciwu przetwarzanie danych przez administratora danych nie może już obejmować tych danych;

(a) national security;

b) sprzeciwu, na wniosek i bez opłaty, wobec przetwarzania dotyczących jej danych osobowych, dla potrzeb bezpośredniego obrotu, lub prawo bycia poinformowanym przed ujawnieniem danych osobowych po raz pierwszy osobom trzecim lub ich wykorzystaniem w ich imieniu dla potrzeb bezpośredniego obrotu, jak również prawo wyraźnego powoływania się na prawo sprzeciwu, bez opłat, wobec ujawniania lub wykorzystywania danych.

(b) defence;

Państwa Członkowskie podejmują konieczne działania, aby osoby, których dane dotyczą, były świadome istnienia praw wymienionych w lit. b) akapit pierwszy.

(c) public security;

Artykuł 15

(d) the prevention, investigation, detection and prosecution of criminal offences, or of breaches of ethics for regulated professions;

Zautomatyzowane decyzje indywidualne

(e) an important economic or financial interest of a Member State or of the European Union, including monetary, budgetary and taxation matters;

1. Państwa Członkowskie przyznają każdej osobie prawo do nieobjęcia jej decyzją, która wywołuje skutki prawne, które jej dotyczą lub mają na nią istotny wpływ, oraz która oparta jest wyłącznie na zautomatyzowanym przetwarzaniu danych, którego celem jest dokonanie oceny niektórych dotyczących ją aspektów o charakterze osobistym, jak np. wyniki osiągane w pracy, zdolność kredytowa, wiarygodność, sposób zachowania itp.

(f) a monitoring, inspection or regulatory function connected, even occasionally, with the exercise of official authority in cases referred to in (c), (d) and (e);

2. Z zastrzeżeniem przepisów innych artykułów niniejszej dyrektywy, Państwa Członkowskie zapewniają, że każda osoba będzie mogła być wyłączona z zakresu objętego decyzją określoną w ust. 1, jeżeli decyzja taka:

(g) the protection of the data subject or of the rights and freedoms of others.

a) zostanie podjęta w trakcie zawierania lub realizacji umowy, pod warunkiem że wniosek w sprawie zawarcia lub realizacji umowy, wniesiony przez osobę, której dane dotyczą, zostanie przyjęty, lub że istnieją odpowiednie sposoby zabezpieczenia jego uzasadnionych interesów, jak np. uregulowania umożliwiające mu przedstawienie swojego punktu widzenia; lub

2. Subject to adequate legal safeguards, in particular that the data are not used for taking measures or decisions regarding any particular individual, Member States may, where there is clearly no risk of breaching the privacy of the data subject, restrict by a legislative measure the rights provided for in Article 12 when data are processed solely for purposes of scientific research or are kept in personal form for a period which does not exceed the period necessary for the sole purpose of creating statistics.

b) zostanie dozwolona przez prawo, które określa również sposoby zabezpieczenia uzasadnionych interesów osoby, której dane dotyczą.

SECTION VII

SEKCJA VIII

THE DATA SUBJECT'S RIGHT TO OBJECT

POUFNOŚĆ I BEZPIECZEŃSTWO PRZETWARZANIA DANYCH

Artykuł 16

Article 14

Poufność przetwarzania danych

The data subject's right to object

Żadna osoba działająca z upoważnienia administratora danych lub przetwarzającego, włączając samego przetwarzającego, który ma dostęp do danych osobowych, nie może przetwarzać ich bez polecenia administratora danych, chyba że wymaga tego prawo.

Member States shall grant the data subject the right:

Artykuł 17

(a) at least in the cases referred to in Article 7 (e) and (f), to object at any time on compelling legitimate grounds relating to his particular situation to the processing of data relating to him, save where otherwise provided by national legislation. Where there is a justified objection, the processing instigated by the controller may no longer involve those data;

Bezpieczeństwo przetwarzania danych

(b) to object, on request and free of charge, to the processing of personal data relating to him which the controller anticipates being processed for the purposes of direct marketing, or to be informed before personal data are disclosed for the first time to third parties or used on their behalf for the purposes of direct marketing, and to be expressly offered the right to object free of charge to such disclosures or uses.

1. Państwa Członkowskie zapewniają, aby administrator danych wprowadził odpowiednie środki techniczne i organizacyjne w celu ochrony danych osobowych przed przypadkowym lub nielegalnym zniszczeniem lub przypadkową utratą, zmianą, niedozwolonym ujawnieniem lub dostępem, szczególnie wówczas gdy przetwarzanie danych obejmuje transmisję danych w sieci, jak również przed wszelkimi innymi nielegalnymi formami przetwarzania.

Member States shall take the necessary measures to ensure that data subjects are aware of the existence of the right referred to in the first subparagraph of (b).

Uwzględniając stan wiedzy w tej dziedzinie oraz koszt realizacji, przyjęte zostaną takie środki, które zapewnią poziom bezpieczeństwa odpowiedni do zagrożeń wynikających z przetwarzania danych oraz charakteru danych objętych ochroną.

2. Państwa Członkowskie zobowiązują administratora danych, w przypadku przetwarzania danych w jego imieniu, do wybrania przetwarzającego, o wystarczających gwarancjach odnośnie do technicznych środków bezpieczeństwa oraz rozwiązań organizacyjnych, regulujących przetwarzanie danych, oraz zapewnienia stosowania tych środków i rozwiązań.

Article 15

3. Przetwarzanie danych przez przetwarzającego musi być regulowane przez umowę lub akt prawny, na mocy których przetwarzający podlega administratorowi danych i które w szczególności postanawiają, że:

Automated individual decisions

- przetwarzający działa wyłącznie na polecenie administratora danych,

1. Member States shall grant the right to every person not to be subject to a decision which produces legal effects concerning him or significantly affects him and which is based solely on automated processing of data intended to evaluate certain personal aspects relating to him, such as his performance at work, creditworthiness, reliability, conduct, etc.

- obowiązki wymienione w ust. 1, określone przez ustawodawstwo Państwa Członkowskiego, w którym przetwarzający prowadzi działalność gospodarczą, dotyczą również przetwarzającego.

2. Subject to the other Articles of this Directive, Member States shall provide that a person may be subjected to a decision of the kind referred to in paragraph 1 if that decision:

4. Do celów zachowania dowodów, części umowy lub aktu prawnego dotyczącego ochrony danych i wymagań dotyczących środków wymienionych w ust. 1 są sporządzane na piśmie lub w innej równorzędnej formie.

(a) is taken in the course of the entering into or performance of a contract, provided the request for the entering into or the performance of the contract, lodged by the data subject, has been satisfied or that there are suitable measures to safeguard his legitimate interests, such as arrangements allowing him to put his point of view; or

SEKCJA IX

(b) is authorized by a law which also lays down measures to safeguard the data subject's legitimate interests.

ZAWIADOMIENIE

SECTION VIII

Artykuł 18

CONFIDENTIALITY AND SECURITY OF PROCESSING

Obowiązek zawiadamiania organu nadzorczego

1. Państwa Członkowskie zobowiązują administratora danych lub jego ewentualnego przedstawiciela do zawiadomienia organu nadzorczego, wymienionego w art. 28, przed przeprowadzeniem całościowej lub częściowej operacji automatycznego przetwarzania danych lub zestawu takich operacji mających służyć jednemu celowi lub wielu powiązanym ze sobą celom.

Article 16

2. Państwa Członkowskie mogą wprowadzić uproszczenie procedury lub zwolnienie z obowiązku zawiadomienia tylko w następujących sytuacjach oraz na następujących warunkach:

Confidentiality of processing

- jeżeli, w przypadku kategorii operacji przetwarzania, co do których mało prawdopodobne jest, biorąc pod uwagę dane przeznaczone do przetworzenia, aby niekorzystnie wpłynęły na prawa i wolności osób, których dane dotyczą, określą cele przetwarzania danych, dane lub kategorie danych przechodzących proces przetwarzania, kategorię lub kategorie osób, których dane dotyczą, odbiorców lub kategorie odbiorców, którym dane mają być ujawnione oraz długość okresu przechowywania danych i/lub

Any person acting under the authority of the controller or of the processor, including the processor himself, who has access to personal data must not process them except on instructions from the controller, unless he is required to do so by law.

- jeżeli administrator danych, zgodnie z dotyczącymi go przepisami krajowymi, powoła urzędnika do spraw ochrony danych osobowych, odpowiedzialnego w szczególności:

- za zapewnienie w niezależny sposób wewnętrznego stosowania przepisów prawa krajowego przyjętych na mocy niniejszej dyrektywy,

Article 17

- za prowadzenie rejestru operacji przetwarzania danych wykonywanych przez administratora danych i zawierających informacje określone w art. 21 ust. 2,

Security of processing

zapewniając przy tym, że nie zostaną naruszone prawa i wolności osób, których dane dotyczą.

1. Member States shall provide that the controller must implement appropriate technical and organizational measures to protect personal data against accidental or unlawful destruction or accidental loss, alteration, unauthorized disclosure or access, in particular where the processing involves the transmission of data over a network, and against all other unlawful forms of processing.

3. Państwa Członkowskie mogą ustalić, że ust. 1 nie odnosi się do przetwarzania danych, którego wyłącznym celem jest prowadzenie rejestru, który zgodnie z obowiązującymi przepisami ustawowymi lub wykonawczymi ma służyć za źródło informacji dla społeczeństwa oraz który będzie przeznaczony do wglądu dla ogółu społeczeństwa lub osób wykazujących uzasadniony interes.

Having regard to the state of the art and the cost of their implementation, such measures shall ensure a level of security appropriate to the risks represented by the processing and the nature of the data to be protected.

4. Państwa Członkowskie mogą wprowadzić wyłączenie odobowiązku zawiadamiania lub uprościć procedurę zawiadamiania w przypadku operacji przetwarzania danych określonych w art. 8 ust. 2 lit. d).

2. The Member States shall provide that the controller must, where processing is carried out on his behalf, choose a processor providing sufficient guarantees in respect of the technical security measures and organizational measures governing the processing to be carried out, and must ensure compliance with those measures.

5. Państwa Członkowskie mogą postanowić, że niektóre lub wszystkie niezautomatyzowane operacje przetwarzania danych osobowych będą zgłaszane lub ustalą dla takich operacji uproszczony tryb zawiadamiania.

3. The carrying out of processing by way of a processor must be governed by a contract or legal act binding the processor to the controller and stipulating in particular that:

Artykuł 19

- the processor shall act only on instructions from the controller,

Treść zawiadomienia

- the obligations set out in paragraph 1, as defined by the law of the Member State in which the processor is established, shall also be incumbent on the processor.

1. Państwa Członkowskie ustalają, jakie informacje zostaną podane w zawiadomieniu. Obejmują one, co najmniej:

4. For the purposes of keeping proof, the parts of the contract or the legal act relating to data protection and the requirements relating to the measures referred to in paragraph 1 shall be in writing or in another equivalent form.

a) nazwę (nazwisko) i adres administratora danych i ewentualnie jego przedstawiciela;

SECTION IX

b) cel lub cele przetwarzania danych;

NOTIFICATION

c) opis kategorii osób, których dane dotyczą oraz danych lub kategorii danych, które się do nich odnoszą;

d) odbiorcę lub kategorie odbiorców, którym dane mogą być ujawnione;

Article 18

e) propozycje przekazania danych do państw trzecich;

Obligation to notify the supervisory authority

f) ogólny opis umożliwiający dokonanie wstępnej oceny prawidłowości uregulowań przyjętych w związku z art. 17 w celu zapewnienia bezpieczeństwa przetwarzania danych.

1. Member States shall provide that the controller or his representative, if any, must notify the supervisory authority referred to in Article 28 before carrying out any wholly or partly automatic processing operation or set of such operations intended to serve a single purpose or several related purposes.

2. Państwa Członkowskie określą procedury w myśl, których wszelkie zmiany mające wpływ na informacje określone w ust. 1 muszą być zgłaszane organowi nadzorczemu.

2. Member States may provide for the simplification of or exemption from notification only in the following cases and under the following conditions:

Artykuł 20

- where, for categories of processing operations which are unlikely, taking account of the data to be processed, to affect adversely the rights and freedoms of data subjects, they specify the purposes of the processing, the data or categories of data undergoing processing, the category or categories of data subject, the recipients or categories of recipient to whom the data are to be disclosed and the length of time the data are to be stored, and/or

Kontrola wstępna

- where the controller, in compliance with the national law which governs him, appoints a personal data protection official, responsible in particular:

1. Państwa Członkowskie definiują operacje przetwarzania danych mogące stwarzać określone zagrożenia dla praw i wolności osób, których dane dotyczą oraz kontrolują, czy dane te są badane przed ich rozpoczęciem.

- for ensuring in an independent manner the internal application of the national provisions taken pursuant to this Directive

2. Kontrole wstępne są przeprowadzane przez organ nadzorczy po przyjęciu od administratora danych lub urzędnika odpowiedzialnego za ochronę danych zawiadomienia, którzy w razie wątpliwości powinni zasięgać opinii organu nadzorczego.

- for keeping the register of processing operations carried out by the controller, containing the items of information referred to in Article 21 (2),

3. Państwa Członkowskie mogą również przeprowadzać takie kontrole w kontekście opracowywania odpowiedniego środka w parlamencie narodowym lub środka opartego na takim rozwiązaniu legislacyjnym, które określa charakter przetwarzania danych oraz stwarza odpowiednie zabezpieczenia.

thereby ensuring that the rights and freedoms of the data subjects are unlikely to be adversely affected by the processing operations.

Artykuł 21

3. Member States may provide that paragraph 1 does not apply to processing whose sole purpose is the keeping of a register which according to laws or regulations is intended to provide information to the public and which is open to consultation either by the public in general or by any person demonstrating a legitimate interest.

Podawanie do wiadomości publicznej operacji przetwarzania danych

4. Member States may provide for an exemption from the obligation to notify or a simplification of the notification in the case of processing operations referred to in Article 8 (2) (d).

1. Państwa Członkowskie podejmują odpowiednie środki, aby zapewnić podanie do wiadomości publicznej operacji przetwarzania danych.

5. Member States may stipulate that certain or all non-automatic processing operations involving personal data shall be notified, or provide for these processing operations to be subject to simplified notification.

2. Państwa Członkowskie zapewniają, aby organ nadzorczy prowadził rejestr operacji przetwarzania danych zgłoszonych zgodnie z art. 18.

Rejestr zawiera co najmniej informacje wymienione w art. 19 ust. 1 lit. a)–e).

Article 19

Rejestr może być sprawdzany przez dowolną osobę.

Contents of notification

3. Państwa Członkowskie zapewniają, w odniesieniu do operacji przetwarzania danych niepodlegających zgłoszeniu, aby administratorzy danych lub inne instytucje powołane przez Państwa Członkowskie udostępniały przynajmniej informacje określone w art. 19 ust. 1 lit. a)–e), w odpowiedniej formie każdej osobie na żądanie.

1. Member States shall specify the information to be given in the notification. It shall include at least:

Państwa Członkowskie mogą ustalić, że przepis ten nie będzie dotyczyć przetwarzania danych, którego wyłącznym celem jest prowadzenie rejestru mającego służyć, na mocy przepisów ustawowych i wykonawczych, za źródło informacji dla ogółu społeczeństwa, otwartego dla obywateli i każdej osoby wykazującej uzasadniony interes.

(a) the name and address of the controller and of his representative, if any;

ROZDZIAŁ III

(b) the purpose or purposes of the processing;

ŚRODKI SĄDOWE, ODPOWIEDZIALNOŚĆ I SANKCJE

(c) a description of the category or categories of data subject and of the data or categories of data relating to them;

Artykuł 22

(d) the recipients or categories of recipient to whom the data might be disclosed;

Środki sądowe

(e) proposed transfers of data to third countries;

Bez uszczerbku dla wszystkich odwoławczych środków administracyjnych, które mogą być wprowadzone przez organ nadzorczy określony w art. 28, przed wszczęciem postępowania sądowego Państwa Członkowskie zapewnią każdej osobie prawo do korzystania ze środków prawnych w związku z naruszeniem praw zagwarantowanych jej przez przepisy krajowe dotyczące przetwarzania danych.

(f) a general description allowing a preliminary assessment to be made of the appropriateness of the measures taken pursuant to Article 17 to ensure security of processing.

Artykuł 23

2. Member States shall specify the procedures under which any change affecting the information referred to in paragraph 1 must be notified to the supervisory authority.

Odpowiedzialność

1. Państwa Członkowskie zapewniają, że każdej osobie, która poniosła szkodę wskutek niezgodnej z prawem operacji przetwarzania danych lub innej czynności niezgodnej z przepisami krajowymi przyjętymi zgodnie z niniejszą dyrektywą, przysługuje od administratora danych odszkodowanie za poniesioną szkodę.

Article 20

2. Administrator danych może zastać zwolniony od tej odpowiedzialności w całości lub w części, jeżeli udowodni, że nie jest odpowiedzialny za zdarzenie, które spowodowało szkodę.

Prior checking

Artykuł 24

1. Member States shall determine the processing operations likely to present specific risks to the rights and freedoms of data subjects and shall check that these processing operations are examined prior to the start thereof.

Sankcje

2. Such prior checks shall be carried out by the supervisory authority following receipt of a notification from the controller or by the data protection official, who, in cases of doubt, must consult the supervisory authority.

Państwa Członkowskie przyjmą odpowiednie środki w celu zapewnienia pełnej realizacji przepisów niniejszej dyrektywy oraz w szczególności określą sankcje, jakie należy nałożyć w przypadku naruszenia przepisów przyjętych zgodnie z niniejszą dyrektywą.

3. Member States may also carry out such checks in the context of preparation either of a measure of the national parliament or of a measure based on such a legislative measure, which define the nature of the processing and lay down appropriate safeguards.

ROZDZIAŁ IV

PRZEKAZYWANIE DANYCH OSOBOWYCH DO PAŃSTW TRZECICH

Article 21

Artykuł 25

Publicizing of processing operations

Zasady

1. Member States shall take measures to ensure that processing operations are publicized.

1. Państwa Członkowskie zapewniają, aby przekazywanie do państwa trzeciego danych osobowych poddawanych przetwarzaniu lub przeznaczonych do przetwarzania po ich przekazaniu mogło nastąpić tylko wówczas gdy, niezależnie od zgodności z krajowymi przepisami przyjętymi na podstawie innych przepisów niniejszej dyrektywy, dane państwo trzecie zapewni odpowiedni stopień ochrony.

2. Member States shall provide that a register of processing operations notified in accordance with Article 18 shall be kept by the supervisory authority.

2. Odpowiedni stopień ochrony danych zapewnianej przez państwo trzecie należy oceniać w świetle wszystkich okoliczności dotyczących operacji przekazania danych lub zbiorutakich operacji; szczególną uwagę zwracać się będzie na charakter danych, cel i czas trwania proponowanych operacji przetwarzania danych, kraj pochodzenia i kraj ostatecznego przeznaczenia, przepisy prawa, zarówno ogólne jak i branżowe, obowiązujące w państwie trzecim oraz przepisy zawodowe i środki bezpieczeństwa stosowane w tym państwie.

The register shall contain at least the information listed in Article 19 (1) (a) to (e).

3. Państwa Członkowskie i Komisja będą informować się wzajemnie o przypadkach, kiedy uznają, że państwo trzecie nie zapewnia odpowiedniego stopnia ochrony w znaczeniu ust. 2.

The register may be inspected by any person.

4. Jeżeli Komisja stwierdzi, na podstawie procedury przewidzianej w art. 31 ust. 2, że państwo trzecie nie zapewnia odpowiedniego stopnia ochrony w znaczeniu ust. 2 niniejszego artykułu, Państwa Członkowskie podejmą konieczne środki, aby nie dopuścić do przekazania jakichkolwiek danych tego samego rodzaju do wspomnianego państwa trzeciego.

3. Member States shall provide, in relation to processing operations not subject to notification, that controllers or another body appointed by the Member States make available at least the information referred to in Article 19 (1) (a) to (e) in an appropriate form to any person on request.

5. We właściwym czasie Komisja przystąpi do negocjacji w celu zaradzenia sytuacji stwierdzonej na podstawie ust. 4.

Member States may provide that this provision does not apply to processing whose sole purpose is the keeping of a register which according to laws or regulations is intended to provide information to the public and which is open to consultation either by the public in general or by any person who can provide proof of a legitimate interest.

6. Komisja może stwierdzić, zgodnie z procedurą określoną w art. 31 ust. 2, że państwo trzecie zapewnia prawidłowy stopień ochrony w znaczeniu ust. 2 niniejszego artykułu, co wynika z jego prawa krajowego lub międzynarodowych zobowiązań, jakie państwo to przyjęło, szczególnie po zakończeniu negocjacji określonych w ust. 5, w zakresie ochrony życia prywatnego i podstawowych praw i wolności osób fizycznych.

Państwa Członkowskie podejmują środki niezbędne w celu wykonania decyzji Komisji.

CHAPTER III JUDICIAL REMEDIES, LIABILITY AND SANCTIONS

Artykuł 26

Odstępstwa

Article 22

1. W drodze odstępstwa od przepisów art. 25 oraz, z zastrzeżeniem odmiennych przepisów prawa krajowego dotyczącego konkretnych przypadków, Państwa Członkowskie zapewnią, że przekazanie lub przekazywanie danych osobowych do państwa trzeciego, który nie zapewnia odpowiedniego stopnia ochrony w znaczeniu art. 25 ust. 2 może nastąpić pod warunkiem że:

Remedies

a) osoba, której dane dotyczą, jednoznacznie udzieli zgody na proponowane przekazanie danych; lub

Without prejudice to any administrative remedy for which provision may be made, inter alia before the supervisory authority referred to in Article 28, prior to referral to the judicial authority, Member States shall provide for the right of every person to a judicial remedy for any breach of the rights guaranteed him by the national law applicable to the processing in question.

b) przekazanie danych jest konieczne dla realizacji umowy między osobą, której dane dotyczą i administratorem danych lub dla wprowadzenia w życie ustaleń poprzedzających zawarcie umowy na wniosek osoby, której dane dotyczą; lub

c) przekazanie danych jest konieczne dla zawarcia lub wykonania umowy zawartej między administratorem danych i osobą trzecią, w interesie osoby, której dane dotyczą, lub

Article 23

d) przekazanie danych jest konieczne lub wymagane przez prawo z ważnych względów publicznych lub w celu ustanowienia, wykonania lub obrony tytułu prawnego; lub

Liability

e) przekazanie danych jest konieczne dla zapewnienia ochrony żywotnych interesów osoby, której dane dotyczą; lub

1. Member States shall provide that any person who has suffered damage as a result of an unlawful processing operation or of any act incompatible with the national provisions adopted pursuant to this Directive is entitled to receive compensation from the controller for the damage suffered.

f) przekazanie danych następuje z rejestru, który ma służyć, zgodnie z obowiązującymi przepisami ustawowymi lub wykonawczymi, za źródło informacji dla ogółu społeczeństwa, udostępnionego do konsultacji obywateli i każdej osoby wykazującej uzasadniony interes, o ile warunki określone przez prawo odnośnie do wglądu do takiego rejestru zostały w danym przypadku spełnione.

2. The controller may be exempted from this liability, in whole or in part, if he proves that he is not responsible for the event giving rise to the damage.

2. Bez uszczerbku dla ust. 1, Państwo Członkowskie może zezwolić na przekazanie lub przekazywanie danych osobowych do państwa trzeciego, które nie zapewnia odpowiedniego stopnia ochrony w znaczeniu art. 25 ust. 2, jeżeli administrator danych zaleci odpowiednie zabezpieczenia odnośnie do ochrony prywatności oraz podstawowych praw i wolności osoby oraz odnośnie do wykonywania odpowiednich praw; takie środki zabezpieczające mogą w szczególności wynikać z odpowiednich klauzul umownych.

3. Państwo Członkowskie powiadamia Komisję i inne Państwa Członkowskie o upoważnieniach wydanych na podstawie ust. 2.

Article 24

Jeżeli Państwo Członkowskie lub Komisja zgłaszają sprzeciw w oparciu o uzasadnione przyczyny związane z ochroną prywatności oraz podstawowych praw i wolności osób fizycznych, Komisja podejmuje właściwe środki zgodnie z procedurą określoną w art. 31 ust. 2.

Sanctions

Państwa Członkowskie podejmą konieczne środki w celu zastosowania się do decyzji Komisji.

The Member States shall adopt suitable measures to ensure the full implementation of the provisions of this Directive and shall in particular lay down the sanctions to be imposed in case of infringement of the provisions adopted pursuant to this Directive.

4. Jeżeli Komisja postanowi, zgodnie z procedurą określoną w art. 31 ust. 2, że określone klauzule umowne zapewniają odpowiednie środki zabezpieczające wymagane w ust. 2, Państwa Członkowskie podejmą konieczne środki w celu zastosowania się do decyzji Komisji.

ROZDZIAŁ V

CHAPTER IV TRANSFER OF PERSONAL DATA TO THIRD COUNTRIES

KODEKSY POSTĘPOWANIA

Artykuł 27

Article 25

1. Państwa Członkowskie i Komisja zachęcają do opracowywania kodeksów postępowania, których celem będzie usprawnienie procesu prawidłowego wprowadzania krajowych przepisów przyjętych przez Państwa Członkowskie na mocy niniejszej dyrektywy, uwzględniając szczególne cechy różnych sektorów.

Principles

2. Państwa Członkowskie umożliwiają związkom zawodowym i innym instytucjom reprezentującym inne kategorie administratorów danych, które opracowały projekty krajowych kodeksów postępowania lub, które zamierzają dokonać zmiany lub uzupełnienia istniejących krajowych kodeksów postępowania, przedstawienie ich do zaopiniowania władzy publicznej.

1. The Member States shall provide that the transfer to a third country of personal data which are undergoing processing or are intended for processing after transfer may take place only if, without prejudice to compliance with the national provisions adopted pursuant to the other provisions of this Directive, the third country in question ensures an adequate level of protection.

Państwa Członkowskie doprowadzą do ustalenia przez wspomniany organ, m.in. czy przedstawiony mu projekt jest zgodny z przepisami krajowymi przyjętymi zgodnie z niniejszą dyrektywą. Jeżeli wspomniany organ uzna to za stosowne, będzie zwracać się o opinie osób, których dane dotyczą lub ich przedstawicieli.

2. The adequacy of the level of protection afforded by a third country shall be assessed in the light of all the circumstances surrounding a data transfer operation or set of data transfer operations; particular consideration shall be given to the nature of the data, the purpose and duration of the proposed processing operation or operations, the country of origin and country of final destination, the rules of law, both general and sectoral, in force in the third country in question and the professional rules and security measures which are complied with in that country.

3. Projekty kodeksów wspólnotowych, jak również zmiany i uzupełnienia istniejących kodeksów wspólnotowych, mogą być przedstawione grupie roboczej określonej w art. 29. Grupa robocza ustali m.in., czy przedstawione jej projekty są zgodne z przepisami krajowymi przyjętymi zgodnie z niniejszą dyrektywą. Komisja może zapewnić odpowiednie rozpowszechnienie kodeksów zatwierdzonych przez grupę roboczą.

3. The Member States and the Commission shall inform each other of cases where they consider that a third country does not ensure an adequate level of protection within the meaning of paragraph 2.

ROZDZIAŁ VI

4. Where the Commission finds, under the procedure provided for in Article 31 (2), that a third country does not ensure an adequate level of protection within the meaning of paragraph 2 of this Article, Member States shall take the measures necessary to prevent any transfer of data of the same type to the third country in question.

ORGAN NADZORCZY I GRUPA ROBOCZA DS. OCHRONY OSÓB FIZYCZNYCH W ZAKRESIE PRZETWARZANIA DANYCH OSOBOWYCH

5. At the appropriate time, the Commission shall enter into negotiations with a view to remedying the situation resulting from the finding made pursuant to paragraph 4.

Artykuł 28

6. The Commission may find, in accordance with the procedure referred to in Article 31 (2), that a third country ensures an adequate level of protection within the meaning of paragraph 2 of this Article, by reason of its domestic law or of the international commitments it has entered into, particularly upon conclusion of the negotiations referred to in paragraph 5, for the protection of the private lives and basic freedoms and rights of individuals.

Organ nadzorczy

Member States shall take the measures necessary to comply with the Commission's decision.

1. Każde Państwo Członkowskie zapewni, że jeden lub więcej organów władzy publicznej będzie odpowiedzialnych za kontrolę stosowania na jego terytorium przepisów przyjętych przez Państwa Członkowskie na mocy niniejszej dyrektywy.

Organy te postępują w sposób całkowicie niezależny przy wykonywaniu powierzonych im funkcji.

Article 26

2. Każde Państwo Członkowskie wprowadza obowiązek konsultowania się z organami nadzorczymi przy opracowywaniu środków administracyjnych lub przepisów dotyczących ochrony praw i wolności osób fizycznych w zakresie przetwarzania danych osobowych.

Derogations

3. Każdy organ jest w szczególności wyposażony w:

1. By way of derogation from Article 25 and save where otherwise provided by domestic law governing particular cases, Member States shall provide that a transfer or a set of transfers of personal data to a third country which does not ensure an adequate level of protection within the meaning of Article 25 (2) may take place on condition that:

- uprawienia dochodzeniowe, jak np. prawo dostępu do danych stanowiących przedmiot operacji przetwarzania danych oraz prawo gromadzenia wszelkich informacji potrzebnych do wykonywania jego funkcji nadzorczych,

(a) the data subject has given his consent unambiguously to the proposed transfer; or

- skuteczne uprawnienia interwencyjne, jak np. prawo do wyrażania opinii przed przystąpieniem do operacji przetwarzania danych zgodnie z art. 20, oraz zapewnienia odpowiedniej publikacji swoich opinii, zarządzania blokady, usunięcia lub zniszczenia danych, nakładania czasowego lub ostatecznego zakazu przetwarzania danych, ostrzegania lub upominania administratora danych, lub też prawo kierowania sprawy do parlamentów narodowych lub innych instytucji politycznych,

(b) the transfer is necessary for the performance of a contract between the data subject and the controller or the implementation of precontractual measures taken in response to the data subject's request; or

- prawo pozywania w przypadku naruszenia krajowych przepisów przyjętych zgodnie z niniejszą dyrektywą lub powiadomienie organów sądowych o takim naruszeniu.

(c) the transfer is necessary for the conclusion or performance of a contract concluded in the interest of the data subject between the controller and a third party; or

Od decyzji organu nadzorczego, co do którego zgłaszane są zastrzeżenia, przysługuje odwołanie do właściwego sądu.

(d) the transfer is necessary or legally required on important public interest grounds, or for the establishment, exercise or defence of legal claims; or

4. Każdy organ nadzorczy rozpatruje skargi zgłaszane przez dowolną osobę lub przez stowarzyszenie ją reprezentujące, odnośnie do ochrony jej praw i wolności w zakresie przetwarzania danych osobowych. Zainteresowana osoba zostanie poinformowana o wyniku sprawy.

(e) the transfer is necessary in order to protect the vital interests of the data subject; or

Każdy organ nadzorczy w szczególności rozpatruje skargi dotyczące kontroli legalności przetwarzania danych, zgłaszane przez dowolną osobę, kiedy mają zastosowanie krajowe przepisy przyjęte zgodnie z art. 13 niniejszej dyrektywy. Osoba ta zostanie w każdym przypadku poinformowana o przeprowadzeniu kontroli.

(f) the transfer is made from a register which according to laws or regulations is intended to provide information to the public and which is open to consultation either by the public in general or by any person who can demonstrate legitimate interest, to the extent that the conditions laid down in law for consultation are fulfilled in the particular case.

5. Każdy organ nadzorczy regularnie sporządza sprawozdanie ze swojej działalności. Sprawozdanie jest podawane do wiadomości publicznej.

2. Without prejudice to paragraph 1, a Member State may authorize a transfer or a set of transfers of personal data to a third country which does not ensure an adequate level of protection within the meaning of Article 25 (2), where the controller adduces adequate safeguards with respect to the protection of the privacy and fundamental rights and freedoms of individuals and as regards the exercise of the corresponding rights; such safeguards may in particular result from appropriate contractual clauses.

6. Każdy organ nadzorczy jest właściwy, niezależnie od krajowych przepisów dotyczących danego przypadku przetwarzania danych, do wykonywaniana terytorium Państwa Członkowskiego uprawnień powierzonych mu zgodnie z ust. 3. Do każdego organu można sie zwrócić z żądaniem wykonania jegou prawnień przez odpowiedni organ innego Państwa Członkowskiego.

3. The Member State shall inform the Commission and the other Member States of the authorizations it grants pursuant to paragraph 2.

Organy nadzorcze współpracują ze sobą w zakresie koniecznym do wykonywania swoich obowiązków, zwłaszcza poprzez wymianę wszelkich przydatnych informacji.

If a Member State or the Commission objects on justified grounds involving the protection of the privacy and fundamental rights and freedoms of individuals, the Commission shall take appropriate measures in accordance with the procedure laid down in Article 31 (2).

7. Państwa Członkowskie dopilnują, aby członkowie kierownictwa i personel organu nadzorczego podlegali obowiązkowi zachowania tajemnicy zawodowej również po rozwiązaniu stosunku pracy, w odniesieniu do poufnych informacji, do których mają dostęp.

Member States shall take the necessary measures to comply with the Commission's decision.

Artykuł 29

4. Where the Commission decides, in accordance with the procedure referred to in Article 31 (2), that certain standard contractual clauses offer sufficient safeguards as required by paragraph 2, Member States shall take the necessary measures to comply with the Commission's decision.

Grupa robocza ds. ochrony osób fizycznych w zakresie przetwarzania danych osobowych

1. Niniejszym powołuje się grupę roboczą ds. ochrony osób fizycznych w zakresie przetwarzania danych osobowych, zwaną dalej "grupą roboczą".

CHAPTER V CODES OF CONDUCT

Ma ona charakter doradczy i działa w sposób niezależny.

2. W skład grupy roboczej wchodzą przedstawiciele organu lub organów nadzorczych, powołanych przez każde Państwo Członkowskie oraz przedstawiciel organu lub organów ustanowionych dla instytucji i organów wspólnotowych, oraz przedstawiciel Komisji.

Article 27

Każdy członek grupy roboczej jest powoływany przez instytucję, organ lub organy, które reprezentuje. Jeżeli Państwo Członkowskie powoła więcej niż jeden organ nadzorczy, organy te wyznaczają wspólnego przedstawiciela. Ta sama zasada dotyczy organów utworzonych przez instytucje i organy wspólnotowe.

1. The Member States and the Commission shall encourage the drawing up of codes of conduct intended to contribute to the proper implementation of the national provisions adopted by the Member States pursuant to this Directive, taking account of the specific features of the various sectors.

3. Grupa robocza podejmuje decyzje zwykłą większością głosów przedstawicieli organów nadzorczych.

2. Member States shall make provision for trade associations and other bodies representing other categories of controllers which have drawn up draft national codes or which have the intention of amending or extending existing national codes to be able to submit them to the opinion of the national authority.

4. Grupa robocza wybiera swojego przewodniczącego. Kadencja przewodniczącego trwa dwa lata. Jego mandat jest odnawialny.

Member States shall make provision for this authority to ascertain, among other things, whether the drafts submitted to it are in accordance with the national provisions adopted pursuant to this Directive. If it sees fit, the authority shall seek the views of data subjects or their representatives.

5. Komisja zapewnia obsługę sekretariatu grupy roboczej.

3. Draft Community codes, and amendments or extensions to existing Community codes, may be submitted to the Working Party referred to in Article 29. This Working Party shall determine, among other things, whether the drafts submitted to it are in accordance with the national provisions adopted pursuant to this Directive. If it sees fit, the authority shall seek the views of data subjects or their representatives. The Commission may ensure appropriate publicity for the codes which have been approved by the Working Party.

6. Grupa robocza przyjmuje swój regulamin.

7. Grupa robocza rozważa pozycje zamieszczone w porządku dziennym przez przewodniczącego, z jego inicjatywy bądź na wniosek przedstawiciela organu nadzorczego lub na wniosek Komisji.

CHAPTER VI SUPERVISORY AUTHORITY AND WORKING PARTY ON THE PROTECTION OF INDIVIDUALS WITH REGARD TO THE PROCESSING OF PERSONAL DATA

Artykuł 30

1. Grupa robocza:

Article 28

a) bada każdą kwestię dotyczącą stosowania krajowych środków przyjętych na mocy niniejszej dyrektywy, aby przyczynić się w ten sposób do jednolitego stosowania tych środków;

Supervisory authority

b) przekazuje Komisji opinie na temat stopnia ochrony we Wspólnocie i w państwach trzecich;

1. Each Member State shall provide that one or more public authorities are responsible for monitoring the application within its territory of the provisions adopted by the Member States pursuant to this Directive.

c) doradza Komisji w sprawie wszelkich proponowanych zmian niniejszej dyrektywy, dodatkowych lub szczególnych środków mających na celu zabezpieczenie praw i wolności osób fizycznych w zakresie przetwarzania danych osobowych oraz innych proponowanych środków wspólnotowych dotyczących praw i wolności;

These authorities shall act with complete independence in exercising the functions entrusted to them.

d) wydaje opinie na temat kodeksów postępowania opracowywanych na poziomie wspólnotowym.

2. Each Member State shall provide that the supervisory authorities are consulted when drawing up administrative measures or regulations relating to the protection of individuals' rights and freedoms with regard to the processing of personal data.

2. Jeżeli grupa robocza stwierdza występowanie rozbieżności między przepisami i praktyką przyjętą w poszczególnych Państwach Członkowskich, mogących wpływać na równoważność ochrony osób fizycznych w zakresie przetwarzania danych osobowych we Wspólnocie, grupa powiadamia o tym Komisję.

3. Each authority shall in particular be endowed with:

3. Grupa robocza może z własnej inicjatywy formułować zalecenia we wszystkich sprawach dotyczących ochrony osób fizycznych w zakresie przetwarzania danych osobowych we Wspólnocie.

- investigative powers, such as powers of access to data forming the subject-matter of processing operations and powers to collect all the information necessary for the performance of its supervisory duties,

4. Opinie i zalecenia grupy roboczej są przekazywane Komisji oraz komitetowi, określonemu w art. 31.

- effective powers of intervention, such as, for example, that of delivering opinions before processing operations are carried out, in accordance with Article 20, and ensuring appropriate publication of such opinions, of ordering the blocking, erasure or destruction of data, of imposing a temporary or definitive ban on processing, of warning or admonishing the controller, or that of referring the matter to national parliaments or other political institutions,

5. Komisja informuje grupę roboczą o podejmowanych działaniach w odpowiedzi na jego opinie i zalecenia. Czyni to w formie sprawozdania, które przekazywane jest również Parlamentowi Europejskiemu i Radzie. Sprawozdanie jest udostępniane opinii publicznej.

- the power to engage in legal proceedings where the national provisions adopted pursuant to this Directive have been violated or to bring these violations to the attention of the judicial authorities.

6. Grupa robocza sporządza roczne sprawozdanie na temat sytuacji dotyczącej ochrony osób fizycznych w zakresie przetwarzania danych osobowych we Wspólnocie oraz w państwach trzecich, które przekazuje Komisji, Parlamentowi Europejskiemu i Radzie. Sprawozdanie jest udostępniane opinii publicznej.

Decisions by the supervisory authority which give rise to complaints may be appealed against through the courts.

ROZDZIAŁ VII

4. Each supervisory authority shall hear claims lodged by any person, or by an association representing that person, concerning the protection of his rights and freedoms in regard to the processing of personal data. The person concerned shall be informed of the outcome of the claim.

WSPÓLNOTOWE ŚRODKI WYKONAWCZE

Each supervisory authority shall, in particular, hear claims for checks on the lawfulness of data processing lodged by any person when the national provisions adopted pursuant to Article 13 of this Directive apply. The person shall at any rate be informed that a check has taken place.

Artykuł 31

5. Each supervisory authority shall draw up a report on its activities at regular intervals. The report shall be made public.

Komitet

6. Each supervisory authority is competent, whatever the national law applicable to the processing in question, to exercise, on the territory of its own Member State, the powers conferred on it in accordance with paragraph 3. Each authority may be requested to exercise its powers by an authority of another Member State.

1. Komisja wspierana jest przez komitet składający się z przedstawicieli Państw Członkowskich, na którego czele stoi przedstawiciel Komisji.

The supervisory authorities shall cooperate with one another to the extent necessary for the performance of their duties, in particular by exchanging all useful information.

2. Przedstawiciel Komisji przedstawia komitetowi projekt środków, które należy podjąć. Komitet wydaje opinię o projekcie w terminie wyznaczonym przez przewodniczącego zależnie od pilności sprawy.

7. Member States shall provide that the members and staff of the supervisory authority, even after their employment has ended, are to be subject to a duty of professional secrecy with regard to confidential information to which they have access.

Opinia zostaje przyjęta większością głosów ustanowioną w art. 148 ust. 2 Traktatu. Głosy przedstawicieli Państw Członkowskich w komitecie są ważone w sposób określony w tym artykule. Przewodniczący nie bierze udziału w głosowaniu.

Komisja przyjmuje środki, które stosuje się niezwłocznie. Jeżeli jednak środki te nie są zgodne z opinią komitetu, Komisja niezwłocznie powiadamia o tym Radę. W takim przypadku:

Article 29

- Komisja odracza stosowanie podjętych środków o trzy miesiące od daty takiego powiadomienia;

Working Party on the Protection of Individuals with regard to the Processing of Personal Data

- Rada, stanowiąc większością kwalifikowaną, może podjąć inną decyzję w terminie określonym w tiret pierwsze.

1. A Working Party on the Protection of Individuals with regard to the Processing of Personal Data, hereinafter referred to as 'the Working Party', is hereby set up.

PRZEPISY KOŃCOWE

It shall have advisory status and act independently.

Artykuł 32

2. The Working Party shall be composed of a representative of the supervisory authority or authorities designated by each Member State and of a representative of the authority or authorities established for the Community institutions and bodies, and of a representative of the Commission.

1. Państwa Członkowskie wprowadzą w życie przepisy ustawowe, wykonawcze i administracyjne niezbędne do wykonania niniejszej dyrektywy nie później niż w trzy lata od daty jej przyjęcia.

Each member of the Working Party shall be designated by the institution, authority or authorities which he represents. Where a Member State has designated more than one supervisory authority, they shall nominate a joint representative. The same shall apply to the authorities established for Community institutions and bodies.

Wymienione środki zawierają odniesienie do niniejszej dyrektywy lub odniesienie to towarzyszy ich urzędowej publikacji. Metody dokonywania takiego odniesienia ustanawiane są przez Państwa Członkowskie.

3. The Working Party shall take decisions by a simple majority of the representatives of the supervisory authorities.

2. Państwa Członkowskie zapewniają, aby przetwarzanie danych, będące już w toku w dniu, w którym przepisy krajowe przyjęte zgodnie z niniejszą dyrektywą weszły w życie, zostało dostosowane do tych przepisów w terminie trzech lat od wspomnianej daty.

4. The Working Party shall elect its chairman. The chairman's term of office shall be two years. His appointment shall be renewable.

W drodze odstępstwa od poprzedniego akapitu Państwa Członkowskie mogą wprowadzić wymóg, aby przetwarzanie danych, które są już przechowywane w ręcznych systemach ewidencji w dniu wejścia w życie krajowych przepisów przyjętych w ramach wykonania niniejszej dyrektywy zostały dostosowane do wymogów art. 6–8 niniejszej dyrektywy w ciągu 12 lat od daty ich przyjęcia. Państwa Członkowskie przyznają osobie, której dane dotyczą, prawo uzyskania, na jej wniosek, w szczególności w czasie wykonywania przysługującego jej prawa dostępu, sprostowania, usunięcia lub zablokowania danych, które są niekompletne, nieprawidłowe lub przechowywane w sposób niezgodny z uzasadnionymi celami realizowanymi przez administratora danych.

5. The Working Party's secretariat shall be provided by the Commission.

3. W drodze odstępstwa od ust. 2, Państwa Członkowskie mogą ustalić, z zastrzeżeniem odpowiednich zabezpieczeń, że dane przechowywane wyłącznie dla potrzeb badań historycznych nie muszą być dostosowywane do wymogów art. 6–8 niniejszej dyrektywy.

6. The Working Party shall adopt its own rules of procedure.

4. Państwa Członkowskie przekażą Komisji teksty podstawowych przepisów prawa krajowego, przyjętych w dziedzinach objętych niniejszą dyrektywą.

7. The Working Party shall consider items placed on its agenda by its chairman, either on his own initiative or at the request of a representative of the supervisory authorities or at the Commission's request.

Artykuł 33

Komisja składa Radzie i Parlamentowi Europejskiemu regularne sprawozdania, począwszy nie później niż trzy lata od daty wskazanej w art. 32 ust. 1, na temat wykonania niniejszej dyrektywy, załączając do sprawozdania, w razie potrzeby, odpowiednie propozycje zmian. Sprawozdaniejest podawane do publicznej wiadomości.

Article 30

Komisja bada w szczególności stosowanie niniejszej dyrektywy w odniesieniu do przetwarzania danych dźwiękowych i obrazowych dotyczących osób fizycznych oraz przedstawia odpowiednie propozycje, jakie okażą się konieczne, biorąc pod uwagę rozwój technologii informatycznych oraz stan postępu zachodzącego w społeczeństwie informacyjnym.

1. The Working Party shall:

Artykuł 34

(a) examine any question covering the application of the national measures adopted under this Directive in order to contribute to the uniform application of such measures;

Niniejsza dyrektywa skierowana jest do Państw Członkowskich.

(b) give the Commission an opinion on the level of protection in the Community and in third countries;

(c) advise the Commission on any proposed amendment of this Directive, on any additional or specific measures to safeguard the rights and freedoms of natural persons with regard to the processing of personal data and on any other proposed Community measures affecting such rights and freedoms;

Sporządzono w Luksemburgu, dnia 24 października 1995 r.

(d) give an opinion on codes of conduct drawn up at Community level.

W imieniu Parlamentu Europejskiego

2. If the Working Party finds that divergences likely to affect the equivalence of protection for persons with regard to the processing of personal data in the Community are arising between the laws or practices of Member States, it shall inform the Commission accordingly.

K. Hänsch

3. The Working Party may, on its own initiative, make recommendations on all matters relating to the protection of persons with regard to the processing of personal data in the Community.

Przewodniczący

4. The Working Party's opinions and recommendations shall be forwarded to the Commission and to the committee referred to in Article 31.

W imieniu Rady

5. The Commission shall inform the Working Party of the action it has taken in response to its opinions and recommendations. It shall do so in a report which shall also be forwarded to the European Parliament and the Council. The report shall be made public.

L. Atienza Serna

6. The Working Party shall draw up an annual report on the situation regarding the protection of natural persons with regard to the processing of personal data in the Community and in third countries, which it shall transmit to the Commission, the European Parliament and the Council. The report shall be made public.

Przewodniczący

[1] Dz.U. C 277 z 5.11.1990, str. 3 oraz Dz.U. C 311 z 27.11.1992, str. 30.

CHAPTER VII COMMUNITY IMPLEMENTING MEASURES

[2] Dz.U. C 159 z 17.6.1991, str. 38.

[3] Opinia Parlamentu Europejskiego z dnia 11 marca 1992 r. (Dz.U. C 94 z 13.4.1992, str. 198), potwierdzona dnia 2 grudnia 1993 r. (Dz.U. C 342 z 20.12.1993, str. 30); wspólne stanowisko Rady z dnia 20 lutego 1995 r. (Dz.U. C 93 z 13.4.1995, str. 1) i decyzja Parlamentu Europejskiego z dnia 15 czerwca 1995 r. (Dz.U. C 166 z 3.7.1995).

Article 31

[4] Dz.U. L 197 z 18.7.1987, str. 33.

The Committee

--------------------------------------------------

1. The Commission shall be assisted by a committee composed of the representatives of the Member States and chaired by the representative of the Commission.

2. The representative of the Commission shall submit to the committee a draft of the measures to be taken. The committee shall deliver its opinion on the draft within a time limit which the chairman may lay down according to the urgency of the matter.

The opinion shall be delivered by the majority laid down in Article 148 (2) of the Treaty. The votes of the representatives of the Member States within the committee shall be weighted in the manner set out in that Article. The chairman shall not vote.

The Commission shall adopt measures which shall apply immediately. However, if these measures are not in accordance with the opinion of the committee, they shall be communicated by the Commission to the Council forthwith. It that event:

- the Commission shall defer application of the measures which it has decided for a period of three months from the date of communication,

- the Council, acting by a qualified majority, may take a different decision within the time limit referred to in the first indent.

FINAL PROVISIONS

Article 32

1. Member States shall bring into force the laws, regulations and administrative provisions necessary to comply with this Directive at the latest at the end of a period of three years from the date of its adoption.

When Member States adopt these measures, they shall contain a reference to this Directive or be accompanied by such reference on the occasion of their official publication. The methods of making such reference shall be laid down by the Member States.

2. Member States shall ensure that processing already under way on the date the national provisions adopted pursuant to this Directive enter into force, is brought into conformity with these provisions within three years of this date.

By way of derogation from the preceding subparagraph, Member States may provide that the processing of data already held in manual filing systems on the date of entry into force of the national provisions adopted in implementation of this Directive shall be brought into conformity with Articles 6, 7 and 8 of this Directive within 12 years of the date on which it is adopted. Member States shall, however, grant the data subject the right to obtain, at his request and in particular at the time of exercising his right of access, the rectification, erasure or blocking of data which are incomplete, inaccurate or stored in a way incompatible with the legitimate purposes pursued by the controller.

3. By way of derogation from paragraph 2, Member States may provide, subject to suitable safeguards, that data kept for the sole purpose of historical research need not be brought into conformity with Articles 6, 7 and 8 of this Directive.

4. Member States shall communicate to the Commission the text of the provisions of domestic law which they adopt in the field covered by this Directive.

Article 33

The Commission shall report to the Council and the European Parliament at regular intervals, starting not later than three years after the date referred to in Article 32 (1), on the implementation of this Directive, attaching to its report, if necessary, suitable proposals for amendments. The report shall be made public.

The Commission shall examine, in particular, the application of this Directive to the data processing of sound and image data relating to natural persons and shall submit any appropriate proposals which prove to be necessary, taking account of developments in information technology and in the light of the state of progress in the information society.

Article 34

This Directive is addressed to the Member States.

Done at Luxembourg, 24 October 1995.

For the European Parliament

The President

K. HAENSCH

For the Council

The President

L. ATIENZA SERNA

(1) OJ No C 277, 5. 11. 1990, p. 3 and OJ No C 311, 27. 11. 1992, p. 30.

(2) OJ No C 159, 17. 6. 1991, p 38.

(3) Opinion of the European Parliament of 11 March 1992 (OJ No C 94, 13. 4. 1992, p. 198), confirmed on 2 December 1993 (OJ No C 342, 20. 12. 1993, p. 30); Council common position of 20 February 1995 (OJ No C 93, 13. 4. 1995, p. 1) and Decision of the European Parliament of 15 June 1995 (OJ No C 166, 3. 7. 1995).

(1) OJ No L 197, 18. 7. 1987, p. 33.