13/ 17

BG

Официален вестник на Европейския съюз

10

L 281/31

ОФИЦИАЛЕН ВЕСТНИК НА ЕВРОПЕЙСКИЯ СЪЮЗ

(1)

като имат предвид, че целите на Общността, посочени в Договора, изменен с Договора за Европейския съюз, включват създаване на все по-тесен съюз между европейските народи, насърчаване на по-тесни връзки между държавите, които Общността обединява, гарантиране на икономически и социален напредък чрез общи действия с цел премахване на бариерите, които разделят Европа, насърчаване на непрекъснато подобряване на условията на живот на европейските народи, запазване и укрепване на мира и свободата и насърчаване на демокрацията въз основа на основните права, признати в конституциите и законодателството на държавите-членки и в Европейската конвенция за защита на правата на човека и основните свободи;

(2)

като имат предвид, че системите за обработка на данни са създадени с цел да служат на хората; като имат предвид, че независимо от националността или местожителството на физическите лица, те трябва да зачитат техните основни права и свободи и по-конкретно правото на личен живот, и да допринасят за икономическия и социален прогрес, развитието на търговията и благосъстоянието на хората;

(3)

като имат предвид, че създаването и функционирането на вътрешен пазар, в който, съгласно член 7а от Договора, е гарантирано свободното движение на стоки, хора, услуги и капитали, изискват не само личните данни да могат да се предават от една държава-членка в друга, но и основните права и свободи на лицата да бъдат гарантирани;

(4)

като имат предвид, че в Общността все по-често се прибягва до обработване на лични данни в различни сфери на икономическия и социален живот; като имат предвид, че напредъкът на информационните технологии съществено улеснява обработването и обмена на такива данни;

(5)

като имат предвид, че икономическата и социалната интеграция, произтичаща от създаването и функционирането на вътрешния пазар по смисъла на член 7а от Договора, ще доведе безусловно до съществено увеличение на трансграничните потоци от лични данни между всички участници в икономическия и социален живот в държавите-членки; като имат предвид, че обменът на лични данни между предприятия, установени в различните държави-членки, се развива; като имат предвид, че националните власти в отделните държави-членки са призовани, по силата на правото на Общността, да си сътрудничат и обменят лични данни с цел да изпълняват своите задължения или да осъществят задачи от името на орган на друга държава-членка в контекста на пространството без вътрешни граници, което съставлява вътрешния пазар;

(6)

като имат предвид, освен това, че засилването на научно-техническото сътрудничество и координираното въвеждане в Общността на нови далекосъобщителни мрежи изисква и улеснява трансграничните потоци от лични данни;

(7)

като имат предвид, че различните степени на защита на правата и свободите на лицата и по-конкретно правото на личен живот при обработването на лични данни, разрешено в държавите-членки, могат да предотвратят предаването на такива данни от територията на една държава-членка до територията на друга държава-членка; като има предвид, че тези различия могат поради това да се превърнат в препятствие за осъществяването на множество икономически дейности на равнище Общност, да нарушат конкуренцията и да възпрепятстват органите на властта при изпълнението на техните отговорности съгласно правото на Общността; като имат предвид, че различието в степента на защита се дължи на съществуването на голямо многообразие от национални законови, подзаконови и административни разпоредби;

(8)

като имат предвид, че с цел да се премахнат препятствията пред потоците от лични данни, степента на защита на правата и свободите на лицата при обработването на такива данни трябва да бъде еднаква във всички държави-членки; като имат предвид, че тази цел, която е от първостепенно значение за вътрешния пазар, но не може да се постигне единствено с усилията на държавите-членки, особено с оглед на мащабите на различията, които съществуват понастоящем между съответните закони на държавите-членки, и на потребността от съгласуване на законодателствата на държавите-членки, за да се гарантира, че трансграничният поток от лични данни е регламентиран по последователен начин и в съответствие с целта на вътрешния пазар, предвидена в член 7а от Договора; като имат предвид, че поради това е необходимо да се предприемат действия на равнище Общност с цел сближаване на законодателствата в тази област;

(9)

като имат предвид, че поради еднаквата защита, произтичаща от сближаването на националните законодателства, държавите-членки няма вече да могат да възпрепятстват свободното движение на лични данни помежду си, основавайки се на защитата на правата и свободите на лицата, и по-конкретно на правото им на личен живот; като имат предвид, че държавите-членки ще имат известна свобода на действие, която би могла, в контекста на прилагането на директивата, да се използва също така и от икономическите и социални партньори; като имат предвид, че следователно държавите-членки ще могат да конкретизират в своето национално законодателство общите условия, които определят законосъобразността на обработването на данни; като имат предвид, че по този начин държавите-членки се стремят да подобрят защитата, осигурена понастоящем от тяхното законодателство; като имат предвид, че в рамките на тази свобода на действие и в съответствие с правото на Общността биха могли да възникнат несъответствия при прилагането на директивата, което би оказало влияние върху движението на данни в дадена държава-членка и в Общността;

(10)

като имат предвид, че предмет на националните законодателства, отнасящи се до обработването на данни, е осигуряване спазването на основните права и свободи и по-конкретно правото на личен живот, което се признава както в член 8 на Европейската конвенция за защита на правата на човека и основните свободи, така и от общите принципи на правото на Общността; като имат предвид, че поради тази причина сближаването на тези законодателства не трябва да доведе до намаляване степента на защита, която те осигуряват, а обратно — да има за цел гарантиране на висока степен на защита в Общността;

(11)

като имат предвид, че принципите на защита на правата и свободите на лицата и по-конкретно правото на личен живот, които се съдържат в настоящата директива, дават съдържание и разширяват принципите, съдържащи се в Конвенцията на Съвета на Европа за защита на лицата при автоматизираната обработка на данни от 28 януари 1981 г.;

(12)

като имат предвид, че принципите на защита трябва да се прилагат за всякакво обработване на лични данни, извършвано от всяко лице, чиято дейност се урежда от правото на Общността; като имат предвид, че трябва да се изключи обработването на данни, извършвано от физическо лице при упражняване на дейности, които са изключително лични или домашни, например кореспонденция и поддържане на адресни указатели;

(13)

като имат предвид, че дейностите, посочени в дялове V и VI на Договора за Европейския съюз, които се отнасят до обществената сигурност, отбраната, държавната сигурност или дейностите на държавата в областта на наказателното право, са извън приложното поле на правото на Общността, без да се засягат задълженията на държавите-членки съгласно член 56, параграф 2, член 57 и член 100а от Договора за създаване на Европейската общност; като имат предвид, че обработването на лични данни, необходимо за гарантиране на икономическото благосъстояние на държавите, не попада в приложното поле на настоящата директива, когато това обработване се отнася до въпроси, свързани с държавната сигурност;

(14)

като имат предвид, че поради значимостта на извършващото се понастоящем развитие в рамките на информационното общество, на техниките, използвани за улавяне, предаване, манипулиране, запис, съхранение и предаване на звук и картина, отнасящи се до физическите лица, настоящата директива следва да се прилага за обработването на такива данни;

(15)

като имат предвид, че обработката на такива данни се обхваща от настоящата директива, само ако тя е автоматизирана или ако обработваните данни се съдържат или са предназначени да се съдържат във файлова система, структурирана съгласно определени критерии, отнасящи се до лица, с цел осигуряване на лесен достъп до въпросните лични данни;

(16)

като имат предвид, че обработването на звук и картина, например при видео- наблюдение, не попада в приложното поле на настоящата директива при условие че то се извършва за целите на обществената сигурност, отбраната, националната сигурност или при държавни дейности, свързани с областта на наказателното право или с други дейности, които не попадат в приложното поле на правото на Общността;

(17)

като имат предвид, че що се отнася до обработването на звук и картина, извършвано за целите на журналистическа дейност или на литературно или художествено изразяване, и по-конкретно в областта на аудиовизията, принципите на директивата се прилагат по ограничен начин, в съответствие с разпоредбите на член 9;

(18)

като имат предвид, че с оглед да се гарантира, че лицата няма да бъдат лишени от защитата, която им се полага по силата на настоящата директива, всяко обработване на лични данни в Общността се извършва в съответствие със законодателството на една от държавите-членки; като имат предвид, в тази връзка, че обработването, извършено под ръководството на администратор, установен в дадена държава-членка, се урежда от законодателството на тази държава;

(19)

като имат предвид, че установяването на територията на държава-членка предполага ефективно и действително упражняване на дейност по силата на стабилни договорености; като имат предвид, че правната форма на подобно установяване, независимо дали става дума за обикновен клон или дъщерно дружество с правосубектност, не е решаващ фактор в това отношение; като имат предвид, че когато на територията на няколко държави-членки е установен един-единствен администратор, по-конкретно чрез дъщерни дружества, той трябва да гарантира, за да избегне всякакво заобикаляне на националните правила, че всеки от клоновете изпълнява задълженията, наложени му от националното законодателство по отношение на неговата дейност;

(20)

като имат предвид, че фактът, че обработването на данни се извършва от лице, установено в трета страна, не трябва да възпрепятства защитата на лицата, предвидена от настоящата директива; като имат предвид, че в тези случаи обработването следва да се урежда от законите на държавата-членка, в която се намират средствата, използвани за обработването на данни, и че следва да има гаранции за действително спазване на правата и задълженията, предвидени в настоящата директива;

(21)

като имат предвид, че настоящата директива не накърнява правилата за териториалност, приложими в наказателното право;

(22)

като имат предвид, че държавите-членки ще определят по-точно в приеманите от тях закони или при въвеждане в действие на мерките, предприети съгласно настоящата директива, общите обстоятелства, при които обработването на данни е законосъобразно; като имат предвид, в частност, че член 5, във връзка с членове 7 и 8, позволява на държавите-членки, независимо от общите правила, да предвидят специални условия за обработването на данни, отнасящи се до конкретни сектори и до различните категории данни, обхванати от член 8;

(23)

като имат предвид, че държавите-членки са оправомощени да гарантират прилагането на защитата на лицата, както чрез общ закон за защита на лицата при обработването на лични данни, така и чрез секторни закони, например закони, отнасящи се до статистическите институти;

(24)

като имат предвид, че законодателството, отнасящо се до защитата на юридически лица при обработването на данни, които се отнасят до тях, не се обхваща от настоящата директива;

(25)

като имат предвид, че принципите на защита трябва да бъдат отразени, от една страна, в задълженията, наложени на лицата, държавните органи, предприятията, агенциите и другите органи, отговорни за обработването, в частност по отношение на качеството на данните, техническата надеждност, уведомяването на надзорния орган и обстоятелствата, при които може да се извършва подобна обработка, и от друга страна, в правата, предоставени на лицата, чиито данни са подложени на обработване, да бъдат уведомявани за извършването на такава обработка, да имат достъп до данните, да могат да поискат поправка и дори да възразят срещу обработването на данни при определени обстоятелства;

(26)

като имат предвид, че принципите на защита трябва да се прилагат за всяка информация, отнасяща се до идентифицирано лице или подлежащо на идентификация лице; като имат предвид, че за да се определи дали едно лице подлежи на идентификация, следва да се разглежда съвкупността от всички средства, които биха могли да бъдат използвани разумно от администратора или от друго лице с цел идентифицирането на даденото лице; като имат предвид, че принципите на защита не се отнасят до данни, които са направени анонимни по начин, който прави невъзможно идентифицирането на съответното физическо лице; като имат предвид, че кодексите за поведение по смисъла на член 27 могат да бъдат полезно средство за предоставяне на указания относно начините, по които данните могат да бъдат направени анонимни и да бъдат съхранени във форма, която прави невъзможно идентифицирането на съответното физическо лице;

(27)

като имат предвид, че защитата на лицата трябва да се отнася в еднаква степен до автоматизираната обработка на данни и до ръчната им обработка; като имат предвид, че обхватът на тази защита не трябва на практика да зависи от използваните техники, защото в противен случай това би създало сериозен риск от заобикаляне на закона; като имат предвид, при все това, че що се отнася до ръчната обработка, настоящата директива обхваща само файловите системи, а не неструктурираните досиета; като имат предвид, в частност, че съдържанието на файловата система трябва да бъде структурирано според конкретни критерии, отнасящи се до лица, позволяващи лесен достъп до личните данни; като имат предвид, че в съответствие с определението в член 2, буква в) различните критерии за определяне на съставните елементи на структурирания набор от досиета, както и отделните критерии, уреждащи достъп до такъв набор, могат да бъдат определени от всяка държава-членка; като имат предвид, че досиетата или групите от досиета, както и заглавните им страници, които не са структурирани съгласно определените критерии, в никакъв случай не попадат в приложното поле на настоящата директива;

(28)

като имат предвид, че всяко обработване на лични данни трябва да бъде законосъобразно и почтено по отношение на съответните лица; като имат предвид, по-конкретно, че данните трябва да бъдат достатъчни, релевантни и да не бъдат прекомерни по отношение на целите, за които се обработват; като имат предвид, че тези цели трябва да бъдат ясно формулирани и законосъобразни и че трябва да бъдат установени при събирането на данни; като имат предвид, че целите на обработването, последващи събирането, не трябва да бъдат несъвместими с целите, определени първоначално;

(29)

като имат предвид, че по-нататъшното обработване на лични данни с историческа, статистическа или научна цел не се разглежда по принцип като несъвместимо с целите, за които тези данни са събирани, при условие че държавата-членка даде подходящи гаранции; като имат предвид, че тези гаранции трябва, в частност, да попречат на използването на данни в подкрепа на мерки или решения, отнасящи се до дадено лице;

(30)

като имат предвид, че за да бъде законосъобразно, обработването на лични данни трябва, освен това, да се извършва със съгласието на съответното физическо лице или да бъде необходимо за сключване или изпълнение на договор, задължителен за съответното физическо лице, или по отношение на законово задължение, или за изпълнението на дадена задача, която е от обществен интерес или е необходима за упражняване на публична власт, или да бъде в законен интерес на физическо или юридическо лице, при условие че интересите или правата и свободите на съответното физическо лице нямат преимущество; като имат предвид, в частност, че за да се поддържа баланс между интересите, като едновременно с това се гарантира ефективна конкуренция, държавите-членки могат да определят обстоятелствата, при които е възможно личните данни да бъдат използвани или разкривани пред трети лица в контекста на обичайните законни търговски дейности на дружествата и на други органи; като имат предвид, че държавите-членки могат също така да определят условията, при които личните данни могат да бъдат разкривани пред трети лица с цел пазарно проучване, независимо дали се извършва от организация с търговска цел или от благотворителна организация или от каквото и да е друго сдружение или фондация, примерно с политически характер, при условията на разпоредбите, позволяващи на съответното физическо лице да възрази срещу обработването на неговите данни, без каквито и да е разходи и без да е необходимо да излага съображенията си за това;

(31)

като имат предвид, че обработването на лични данни трябва също така да се счита за законосъобразно, когато се извършва с цел да бъдат защитени интереси, които са жизненоважни за съответното физическо лице;

(32)

като имат предвид, че националното законодателство следва да определи дали администраторът, изпълняващ тази задача в интерес на обществото или упражняващ публична власт, трябва да бъде държавна администрация или друго физическо или юридическо лице, подчинено на публичното право или на частно право, например професионална асоциация;

(33)

като имат предвид, че данни, които по своя характер могат да нарушат основните свободи или личния живот, не могат да бъдат обработвани, освен ако съответното физическо лице не даде изричното си съгласие за това; като имат предвид, обаче, че трябва изрично да бъдат предвидени дерогации по отношение на тази забрана, за да се задоволят конкретни нужди, в частност, когато обработването на тези данни се извършва за цели, свързани със здравословно състояние, от лица, които са задължени да пазят професионална тайна, или в хода на законосъобразна дейност на някои дружества или фондации, чиято цел е да се позволи упражняването на основните свободи;

(34)

като имат предвид, че държавите-членки трябва също така да имат право да предвидят дерогации по отношение на забраната за обработка на чувствителни категории данни, когато това се оправдава по съображения от важен обществен интерес, в области като общественото здраве и социалната закрила – особено с цел да се гарантира качеството и рентабилността на процедурите за уреждане на искове за обезщетения и услуги в системата на здравното осигуряване – при научните изследвания и държавната статистика; като имат предвид, че тяхно задължение е да осигурят специфични и подходящи гаранции за защита на основните права и личния живот на лицата;

(35)

като имат предвид, освен това, че обработването на лични данни от официални власти за постигането на цели, залегнали в конституционното право или в международното публично право, от официално признати религиозни сдружения, се извършва по съображения от значим обществен интерес;

(36)

като имат предвид, че когато демократичната система в някои държави-членки предполага по време на предизборна дейност политическите партии да събират данни за политическите възгледи на гражданите, обработването на такива данни може да бъде разрешено по съображения от значим обществен интерес, при условие че са предвидени съответни гаранции;

(37)

като имат предвид, че обработването на лични данни за целите на журналистиката или за цели, свързани с литературно или художествено изразяване, и по-конкретно в областта на аудиовизията, трябва да отговарят на условията за освобождаване от изискванията на някои разпоредби на настоящата директива, доколкото това е необходимо, за да се постигне баланс между основните права на лицето и свободата на информация, и по-конкретно на пра вото на всяко лице да получава и предава информация, както е гарантирано изрично в член 10 от Европейската конвенция за защита на правата на човека и основните свободи; като имат предвид, че държавите-членки са длъжни поради тази причина да приемат изключения и дерогации, необходими за постигането на равновесие между основните права по отношение на общите мерки за законосъобразност на обработването на данни, мерките за предаване на данни на трети страни и правомощията на надзорния орган; като имат предвид, че това не може обаче да накара държавите-членки да предвидят изключения от мерките за гарантиране на надеждност на обработването; като имат предвид, че поне на надзорния орган, отговарящ за този сектор, трябва също да се предоставят последващи правомощия, например да публикува редовен доклад или да отнася въпроси до съдебните власти;

(38)

като имат предвид, че за да може процесът на обработка на данните да бъде справедлив, съответното физическо лице трябва да може да научи за съществуването на операция по обработката, и когато данните се събират от него, трябва да получи точна и пълна информация, като се отчитат обстоятелствата по събирането на тези данни;

(39)

като имат предвид, че някои операции по обработката се отнасят до данни, които администраторът не е събирал непосредствено от съответното физическо лице; като имат предвид освен това, че данните могат да се съобщават законно на трети лица, дори в случаите, когато това не е било предвидено при събирането им от съответното физическо лице; като имат предвид, че при всички тези случаи, съответното физическо лице трябва да бъде уведомено за това, кога данните са записани или, най-малкото, кога данните са били съобщени за първи път на трето лице;

(40)

като имат предвид, обаче, че не е необходимо да се налага това задължение, ако съответното физическо лице вече притежава необходимата информация; като имат предвид също така че това задължение не е предвидено, ако записването или разкриването на данните са изрично предвидени от закона или ако предоставянето на информация на съответното физическо лице е невъзможно или е свързано с прекомерни усилия, какъвто например би бил случаят, когато обработването на данни се извършва с историческа, статистическа или научна цел; като имат предвид в тази връзка, че броят на съответните физически лица, възрастта на данните, както и приетите компенсационни мерки могат да се вземат под внимание;

(41)

като имат предвид, че всяко лице трябва да може да упражнява правото си на достъп до данните, свързани с него, които се обработват, за да провери, в частност, точността на данните и законосъобразността на обработването; като имат предвид, поради същите съображения, че всяко физическо лице трябва също да има право да познава логиката, залегнала в автоматичната обработка на данните, отнасящи се до него, най-малкото в случаите на автоматични решения, посочени в член 15, параграф 1; като имат предвид, че това право не трябва да влияе неблагоприятно върху търговската тайна или интелектуалната собственост и по-конкретно върху авторското право, закрилящо софтуера; като имат предвид, от друга страна, че настоящите съображения не трябва да водят до отказ на информация за съответното физическо лице;

(42)

като имат предвид, че държавите-членки, в интерес на съответното физическо лице или с оглед защита на правата и свободите на други лица, могат да ограничат правата на достъп и на информация; като имат предвид, че те могат, например, да уточнят, че достъпът до медицински данни може да бъде получен единствено чрез медицински служител;

(43)

като имат предвид, че държавите-членки могат също така да предвидят ограничения по отношение на правата на достъп и на информация и на някои задължения на администратора, доколкото те са необходими за гарантиране, примерно, на националната сигурност, отбраната, обществената сигурност или на важни икономически или финансови интереси на държава-членка или на Съюза, както и за наказателно разследване, преследване и искове, свързани с нарушение на етиката при регламентираните професии; като имат предвид, че списъкът с изключенията и ограниченията съдържа задачи, свързани с контрол, проверка и регламентиране, необходими в трите последно упоменати по-горе области, отнасящи се до обществената сигурност, икономическите и финансовите интереси и превенцията на престъпността; като имат предвид, че изброяването на задачите в тези три области не засяга законосъобразността на изключенията или ограниченията по съображения, свързани с държавната сигурност или отбраната;

(44)

като имат предвид, че държавите-членки могат също, по силата на разпоредбите на правото на Общността, да решат да дерогират разпоредбите на настоящата директива по отношение на правото на достъп, задължението за уведомление на лицата и качеството на данните, за да гарантират някои от горепосочените цели;

(45)

като имат предвид, че в случаите, когато данните биха могли законно да бъдат обработени по съображения, свързани с обществен интерес, с упражняване на дейността на държавен орган или със законните интереси на дадено физическо или юридическо лице, всяко физическо лице би трябвало, при все това, да има право, въз основа на законни и първостепенни съображения, свързани с особеното му положение, на възражение срещу обработването на данни, свързани с него; като имат предвид, че въпреки това, държавите-членки могат да предвидят национални разпоредби в обратен смисъл;

(46)

като имат предвид, че защитата на правата и свободите на съответните физически лица, по отношение на обработването на лични данни, изисква да бъдат взети съответни технически и организационни мерки, както при разработването на системата за обработка, така и по време на самата обработка, и по-конкретно с цел да се поддържа сигурността и по такъв начин да се предотврати всякаква неразрешена обработка; като имат предвид, че държавите-членки са длъжни да гарантират, че администраторите съблюдават тези мерки; като имат предвид, че тези мерки осигуряват подходящо ниво на сигурност, като отчитат нивото на развитие на техниката и разходите за прилагането им по отношение на рисковете, свързани с обработването и с естеството на данните, които следва да бъдат защитени;

(47)

като имат предвид, че когато съобщение, съдържащо лични данни, се предава чрез телекомуникационна услуга или по електронна поща, чиято единствената цел е да предава такива съобщения, обикновено лицето, което предава съобщението, а не лицето, което предлага услуги за предаване, се счита за администратор по отношение на обработването на личните данни, съдържащи се в съобщението; като имат предвид, въпреки това, че лицата, предлагащи подобни услуги, обикновено се считат за администратори по отношение на обработването на допълнителни лични данни, необходими за извършването на услугата;

(48)

като имат предвид, че процедурите за уведомление на надзорния орган са предназначени да гарантират разкриване на целите и основните характеристики на всяка операция за обработка на данни, за да се провери, че операцията е в съответствие с националните мерки, предприети съгласно настоящата директива;

(49)

като имат предвид, че за да се избегнат някои неподходящи административни формалности, държавите-членки могат да предвидят освобождаване от задължението за уведомление или опростяване на процедурата на уведомление в случаите, когато обработването не би могло да накърнява правата и свободите на съответните физически лица, при условие че това е в съответствие с мярка, предприета от държавата-членка, която определя границите ѝ; като имат предвид, че освобождаването или опростяването могат да бъдат предвидени по същия начин от държавата-членка и в случаите, когато лице, назначено от администратора, гарантира, че обработването на данни не може да накърнява правата и свободите на съответните физически лица; като имат предвид, че такъв служител, който отговаря за защитата на данните, независимо от това, дали е подчинен на администратора или не, трябва да е в състояние да упражнява своите функции напълно независимо;

(50)

като имат предвид, че освобождаването или опростяването биха могли да бъдат предвидени в случаи на операции по обработването, които имат за цел единствено поддържането на регистър, чието предназначение, съгласно националното право, е да предоставя информация на обществеността и да бъде достъпен за справки за гражданите или всяко друго лице, което предявява законен интерес;

(51)

като имат предвид, че въпреки това, опростяването или освобождаването от задължението за уведомление не освобождава администратора от нито едно от другите му задължения, произтичащи от настоящата директива;

(52)

като имат предвид, че в този контекст извършваната от компетентните власти последваща проверка трябва, по принцип, да се счита за достатъчна мярка;

(53)

като имат предвид, въпреки това, че някои операции по обработката могат да създадат конкретен риск за правата и свободите на съответните физически лица поради тяхното естество, обхвата или целите им, като изключване на дадено лице от ползване на конкретно право, помощи или договор, или поради специфичното използване на нови технологии; като имат предвид, че държавите-членки са в правото си да конкретизират тези рискове в тяхното законодателство, ако желаят това;

(54)

като имат предвид, че по отношение на всички обработки, осъществявани в обществото, броят на тези, които създават такива специфични рискове, трябва да бъде силно ограничен; като имат предвид, че държавите-членки трябва да предвидят, че надзорният орган или длъжностното лице, отговарящо за защитата на данните съвместно с този орган, проверяват обработката, преди тя да бъде осъществена; като имат предвид, че след тази първоначална проверка надзорният орган може, в съответствие с националното законодателство, да даде становище или разрешение за обработката; като имат предвид, че тази проверка може да се извърши също така по време на изготвянето на законодателна мярка от националния парламент или на мярка, основаваща се на такава законодателна мярка, която определя естеството на обработката и уточнява подходящи гаранции;

(55)

като имат предвид, че националното законодателство трябва да предвиди средство за правна защита в случай, че администраторът не зачита правата на съответните физически лица; като имат предвид, че всички вреди, които дадено лице би претърпяло в резултат на незаконосъобразната обработка, трябва да бъдат възстановени от администратора, който може да бъде освободен от отговорност, ако докаже, че не е виновен за вредите, в частност в случаите, когато той установи грешка от страна на съответното физическо лице или в случай на непреодолима сила; като имат предвид, че трябва да се налагат санкции, както от частното така и от публичното право, на всяко лице, което не спазва националните мерки, приети в съответствие с настоящата директива;

(56)

като имат предвид, че трансграничните потоци от лични данни са необходими за разширяването на международната търговия; като имат предвид, че защитата на лицата, гарантирана в Общността от настоящата директива, не възпрепятства предаването на лични данни на трети страни, които гарантират подходяща степен на защита; като имат предвид, че трябва да се прецени адекватността на степента на защита, предоставяна от трета страна, в светлината на всички обстоятелства, свързани с операцията по предаването или с набора операции по предаването;

(57)

като имат предвид, от друга страна, че предаването на лични данни в трета страна, която не гарантира достатъчно висока степен на защита, трябва да бъде забранено;

(58)

като имат предвид, че трябва да се предвидят изключения от тази забрана при някои обстоятелства, например, когато съответното физическо лице е дало съгласието си, когато предаването е необходимо във връзка с договор или предявен иск, когато това се налага във връзка с важни обществени интереси, например в случаи на международно предаване на данни между данъчни или митнически администрации или между служби, компетентни в областта на общественото осигуряване, или когато предаването се извършва от регистър, създаден по закон и предназначен за обществен достъп или за достъп до него на лица, които имат законен интерес; като имат предвид, че в такива случаи предаването не би трябвало да включва всички данни или всички категории от данни, съдържащи се в регистъра, а когато регистърът е предназначен за достъп до него на лица, които имат законен интерес, предаването се извършва единствено по молба на тези лица или ако те са получателите;

(59)

като имат предвид, че могат да бъдат предприети конкретни мерки за компенсиране на липсата на защита в трета страна в случаите, когато администраторът предлага подходящи гаранции; като имат предвид, още повече, че е необходимо да се предвидят процедури за преговори между Общността и такива трети страни;

(60)

като имат предвид, че във всички случаи предаването за трети страни може да се извършва единствено при пълно спазване на разпоредбите, приети от държавите-членки съгласно настоящата директива, и по-конкретно на член 8 от директивата;

(61)

като имат предвид, че държавите-членки и Комисията, в съответните си сфери на компетентност, трябва да насърчават търговските сдружения и другите заинтересовани представителни организации да разработват кодекси на поведение с цел да улесняват изпълнението на настоящата директива, като отчитат спецификата на обработването на данни в някои сектори и спазват националните разпоредби, приети за прилагането на директивата;

(62)

като имат предвид, че създаването в държавите-членки на надзорни органи, които изпълняват функциите при пълна независимост, е съществен елемент от защитата на лицата по отношение на обработването на личните им данни;

(63)

като имат предвид, че тези органи трябва да разполагат с необходимите средства, за да изпълняват своите задължения, включително правомощия за разследване и намеса, особено в случаи на жалби от лица, както и правомощия за участие в съдебни производства; като имат предвид, че тези органи трябва да допринесат за осигуряване на прозрачност при обработването в държавите-членки, под чиято юрисдикция попадат;

(64)

като имат предвид, че властите в различните държави-членки ще бъдат призовани да си съдействат взаимно при изпълнението на техните задължения, за да гарантират, че правилата на защита се спазват надлежно на цялата територия на Европейския съюз;

(65)

като имат предвид, че на равнище Общност трябва да се създаде работна група за защита на лицата при обработването на лични данни, и тя да бъде напълно независима при изпълнението на своите задачи; като имат предвид, че с оглед на специфичния си характер тя трябва да съветва Комисията и по-конкретно да допринася за еднаквото прилагане на националните правила, приети въз основа на настоящата директива;

(66)

като имат предвид, че по отношение на предаването на данни за трети страни, прилагането на настоящата директива е свързано с предоставянето на правомощия за изпълнение от страна на Комисията и с разработването на процедура съгласно Решение на Съвета 87/373/ЕИО (4);

(67)

като имат предвид, че на 20 декември 1994 г. беше подписано споразумение за modus vivendi между Европейския парламент, Съвета и Комисията относно мерките за прилагане на актовете, приети в съответствие с процедурата, постановена в член 189б от Договора за ЕО;

(68)

като имат предвид, че принципите, залегнали в настоящата директива, по отношение на защитата на правата и свободите на лицата и по-конкретно на правото им на личен живот при обработването на лични данни, могат да бъдат допълвани или доизяснявани, в частност, по отношение на някои сектори, чрез конкретни правила, основаващи се на тези принципи;

(69)

като имат предвид, че следва да се предостави на държавите-членки срок, който да не е по-дълъг от три години след влизането в сила на националните мерки, въвеждащи настоящата директива, за да могат да приложат постепенно нови национални правила за всички операции на обработката, която се извършва в момента; като имат предвид, че с цел да се улесни рентабилното им прилагане, се предоставя допълнителен период от 12 години след датата на приемане на настоящата директива, за да се гарантира съответствие между съществуващите ръчни файлови системи с някои разпоредби на директивата; като имат предвид, че в случаите, когато данните, съдържащи се в подобни файлови системи, се обработват ръчно по време на удължения преходен период, то тези системи трябва да бъдат приведени в съответствие с настоящите разпоредби при извършване на обработването;

(70)

като имат предвид, че не е необходимо след влизането в сила на националните разпоредби в съответствие с настоящата директива съответното физическо лице да дава отново съгласието си, за да позволи на администратора да продължи обработването на всякакви чувствителни данни, необходими за изпълнението на даден договор, сключен въз основа на свободното и съзнателно съгласие, дадено от същото лице преди влизането в сила на тези разпоредби;

(71)

като имат предвид, че настоящата директива не пречи на държава-членка да регулира дейности, свързани с пазарни проучвания, насочени към потребителите, живущи на нейна територия, доколкото подобно регулиране не се отнася до защитата на лицата при обработването на личните им данни;

(72)

като имат предвид, че настоящата директива позволява да се вземе под внимание принципът на обществения достъп до официалните документи при прилагането на правилата, определени в настоящата директива,

a)

„лични данни“ означава всяка информация, свързана с идентифицирано или подлежащо на идентификация лице („съответно физическо лице“); за подлежащо на идентифициране лице се смята това лице, което може да бъде идентифицирано, пряко или непряко, по-специално чрез идентификационен номер или един или повече специфични признаци, отнасящи се до неговата физическа, физиологическа, психологическа, умствена, икономическа, културна или социална самолично ст;

б)

„обработване на лични данни“ („обработване“) означава всяка операция или набор от операции, извършвани или не с автоматични средства, прилагани към личните данни, като събиране, запис, организиране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друга форма на предоставяне на данните, актуализиране или комбиниране, блокиране, изтриване или унищожаване;

в)

„файл с лични данни“ („файл“) означава всеки структуриран набор от лични данни, достъпен по определени критерии, централизиран, децентрализиран или разпределен по функционален или географски принцип;

г)

„администратор“ означава физическо или юридическо лице, държавен орган, агенция или друг орган, който сам или съвместно с други определя целите и средствата на обработка на лични данни; когато целите и средствата на обработката се определят от национални или общностни законови или подзаконови разпоредби, администраторът или специфичните критерии за неговото назначаване могат да бъдат определени в националното право или в правото на Общността;

д)

„обработващ лични данни“ означава физическо или юридическо лице, държавен орган, агенция или друг орган, който обработва личните данни от името на администратора;

е)

„трето лице“ означава всяко физическо или юридическо лице, държавен орган, агенция или друг орган, различни от съответното физическо лице, администратора, обработващия данните и лицата, които под прякото ръководство на администратора или обработващия данните, имат право да обработват данните;

ж)

„получател“ означава физическо или юридическо лице, държавен орган, агенция или друг орган, пред което се разкриват данни, независимо дали е трето лице или не; от друга страна, органите, които могат да получават данни в рамките на конкретно проучване, не се считат за получатели;

з)

„съгласие на съответното физическо лице“ означава всяко свободно изразено, конкретно и информирано указание за волята на съответното физическо лице, с което то дава израз на своето съгласие за обработка на личните данни, които се отнасят до него.

—

при извършване на дейности, извън приложното поле на правото на Общността, например дейностите, предвидени в дял V и дял VI от Договора за Европейския съюз, и във всички случаи при дейности по обработването на данни, отнасящи се до обществената сигурност, отбраната, държавната сигурност (включително икономическото благосъстояние на държавата, когато процесът на обработка е свързани с държавната сигурност) и при дейности на държавата в областта на наказателното право,

—

когато се извършва от физическо лице в хода на предимно лични или домашни занимания.

а)

обработването се извършва в контекста на дейностите на клон на администратора на територията на държавата-членка; когато същият администратор е установен на територията на няколко държави-членки, той трябва да вземе необходимите мерки, за да гарантира, че всеки от тези клонове спазва задълженията, установени от националното право;

б)

администраторът не е установен на територията на държава-членка, но се намира на място, в което националното право е приложимо по силата на международното публично право;

в)

администраторът не е установен на територията на Общността, и за целите на обработването на лични данни използва автоматизирано или друго оборудване, намиращо се на територията на дадената държава-членка, освен ако оборудването се използва само за целите на транзитното преминаване през територията на Общността.

а)

да се обработват справедливо и законно;

б)

да се събират за конкретни, ясно формулирани и законни цели и да не бъдат допълнително обработени по начин, който е несъвместим с тези цели. Допълнителната обработка на данните за исторически, статистически или научни цели няма да се разглежда като несъвместима, при условие че държавите-членки предоставят необходимите гаранции за това;

в)

да бъдат адекватни, релевантни, и да не са прекомерни по отношение на целите, за които се събират и/или обработват допълнително;

г)

да бъдат точни и при необходимост да се актуализират; трябва да се предприемат всички възможни разумни стъпки, за да се гарантира, че данни, които са неточни или непълни по отношение на целите, за които са събрани, или за които се обработват допълнително, се изтриват или поправят;

д)

да се поддържат във форма, която позволява идентифицирането на съответните физически лица за срок не по-дълъг от необходимия за целите, за които тези данни са събрани или обработени допълнително. Държавите-членки предвиждат подходящи гаранции за личните данни, съхранявани за по-дълъг срок за исторически, статистически или научни цели.

а)

съответното физическо лице е дало недвусмислено своето съгласие за това; или

б)

обработването е необходимо за изпълнението на договор, по който съответното физическо лице е страна, или за да се предприемат стъпки по искане на съответното физическо лице преди сключването на договора; или

в)

обработването е необходимо за спазването на правно задължение, чийто субект е администраторът; или

г)

обработването е необходимо, за да бъдат защитени жизнено важни интереси на съответното физическо лице; или

д)

обработването е необходимо за изпълнението на задача, която се осъществява в обществен интерес или при упражняване на официалните правомощия, които са предоставени на администратора или трето лице, на което се разкриват данните; или

е)

обработването е необходимо за целите на законните интереси, преследвани от администратора или от трето лице или лица, на които се разкриват данните, с изключение на случаите, когато пред тези интереси имат преимущество интереси, свързани с основните права и свободи на съответното физическо лице, които изискват защита по силата на член 1, параграф 1.

а)

съответното физическо лице е дало изричното си съгласие за обработването на такива данни, освен ако законодателството на държавата-членка предвижда, че забраната, посочена в параграф 1, не може да бъде вдигната чрез съгласието на съответното физическо лице; или

б)

обработването е необходимо за целите на изпълнението на задълженията и специфичните права на администратора в областта на трудовото право, доколкото това е позволено от националното законодателство, което предвижда достатъчни гаранции за защита; или

в)

обработването е необходимо за защита на жизнените интереси на съответното физическо лице или на друго лице, ако съответното физическо лице е физически или юридически неспособно да даде своето съгласие; или

г)

обработването се извършва в хода на законосъобразната му дейност и с подходящи гаранции от фондация, сдружение или друга организация с нестопанска цел, с политическа, философска, религиозна или профсъюзна цел, при условие че обработването е свързано единствено с членовете на тази организация или с лица, които поддържат редовни контакти с нея във връзка с нейните цели, и че данните не се разкриват на трети лица без съгласието на съответното физическо лице; или

д)

обработването е свързано с данни, които явно са направени публично достояние от съответното физическо лице, или ако то е необходимо за установяването, упражняването или защитата на правните искове.

а)

самоличността на администратора или на неговия представител, когато има такъв;

б)

целта на обработването, за което данните са предназначени;

в)

всякаква друга информация, например:

доколкото подобна допълнителна информация е необходима като се отчитат конкретните обстоятелства, при които се събират данните, за гарантиране на справедливата им обработка по отношение на съответното физическо лице.

а)

самоличността на администратора или на неговия представител, когато има такъв;

б)

целите на обработването;

в)

всякаква допълнителна информация, като:

доколкото подобна информация е необходима, като се отчитат конкретните обстоятелства, при които се обработват данните, за гарантиране на справедливата им обработка по отношение на съответното физическо лице.

а)

без принуда, на разумни интервали от време и без прекалено забавяне или разходи:

б)

според случая, поправянето, изтриването или блокирането на данните, чиято обработка не е в съответствие с разпоредбите на настоящата директива, и по-конкретно поради непълнота или неточност на самите данни;

в)

уведомление до трети страни, на които е разкрита информация за каквото и да е поправяне, изтриване или блокиране, извършени в съответствие с разпоредбите на буква б), освен ако това се окаже невъзможно или е свързано с прекомерни усилия.

а)

националната сигурност;

б)

отбраната;

в)

обществената сигурност;

г)

предотвратяването, разследването, разкриването и преследването на углавни престъпления или за нарушения на етичните кодекси при регламентираните професии;

д)

важни икономически и финансови интереси на държавата-членка или на Европейския съюз, включително валутни, бюджетни и данъчни въпроси;

е)

функции по наблюдение, проверка или регламентиране, свързани, дори случайно, с упражняването на официални правомощия в случаите, посочени в букви в), г) и д);

ж)

защита на съответното физическо лице или на правата и свободите на други лица.

а)

най-малкото в случаите, упоменати в член 7, букви д) и е), на възражение по всяко време, въз основа на неопровержими законови основания, свързани с неговото конкретно положение във връзка с обработваните данни, освен ако националното законодателство не е предвидило друго. В случаите, когато възражението е оправдано, обработването, започнато от администратора, не може вече да съдържа посочените данни;

б)

да възрази, с молба и безплатно, срещу обработването на личните данни, отнасящи се до него, които администраторът очаква да бъдат обработени за целите на директен маркетинг, или да бъде уведомено, преди личните данни да бъдат разкрити за пръв път на трети страни или да бъдат използвани от тяхно име за целите на директен маркетинг, както и изрично да ползва правото на безплатно възражение срещу подобно разкриване или употреба.

а)

е взето по време на сключването или изпълнението на договор, при условие че молбата за сключване или изпълнение на договора, подадена от съответното физическо лице, е била удовлетворена или че съществуват подходящи мерки за гарантиране на неговите законни интереси, като възможности, които му позволяват да изложи своето мнение; или

б)

е разрешено от закона, който също постановява мерки за гарантиране на законните интереси на съответното физическо лице.

—

обработващият данни действа само по указания на администратора,

—

задълженията, посочени в параграф 1 и определени от законодателството на държавата-членка, в която е установен обработващият данни, също са възложени на обработващия данни.

—

когато по отношение на категории операции по обработването, за които няма вероятност, като се имат предвид данните, подлежащи на обработка, че могат да окажат неблагоприятно влияние върху правата и свободите на съответните физически лица, се посочват целите на обработването, данните или категориите данни, подлежащи на обработка, категорията или категориите физически лица, получателите или категориите получатели, пред които следва да се разкриват данните, както и срока, на съхраняване на данните, и/или

—

когато администраторът, в съответствие с националното право, на което е подчинен, назначи служебно лице за защита на личните данни, което отговаря, в частност, за следното:

като по този начин гарантират, че няма вероятност правата и свободите на съответните физически лица да бъдат неблагоприятно засегнати от операциите по обработката.

а)

името и адреса на администратора и неговия представител, ако има такъв;

б)

целта или целите на обработването;

в)

описание на категорията или категориите на съответното физическо лице и на данните или категориите от данни, свързани с него;

г)

получателите или категориите получатели, пред които данните биха могли да бъдат разкрити;

д)

предлагано предаване на данни за трети страни;

е)

общо описание, което позволява изготвянето на предварителна оценка на целесъобразността на мерките, предприети съгласно член 17, за осигуряване надеждността на обработването.

а)

съответното физическо лице е дало изричното си съгласие за предлаганото предаване на данни; или

б)

предаването е необходимо за изпълнението на договор между съответното физическо лице и администратора или за изпълнението на мерки по предварителен договор, предприети по искане на съответното физическо лице; или

в)

предаването е необходимо за сключването или изпълнението на договор, сключен в интерес на съответното физическо лице между администратора и трета страна; или

г)

предаването е необходимо или изисквано от закона по съображения от важен обществен интерес или за установяването, упражняването или защитата на правото на иск; или

д)

предаването е необходимо за защита на жизнените интереси на съответното физическо лице; или

е)

предаването се извършва от регистър, който съгласно законови или подзаконови разпоредби, е предназначен да предоставя информация на обществеността и е достъпен за справка от обществеността по принцип или от всяко лице, което може да докаже, че има законен интерес за това, доколкото условията за справка, посочени в закона, са изпълнени в конкретния случай.

—

правомощия по разследване, като право на достъп до данните, съставляващи предмет на операциите по обработка, както и право на събиране на цялата информация, необходима за изпълнението на функциите по надзора,

—

ефективни правомощия на намеса, като например право на предоставяне на становища, преди извършването на операции по обработка на данни съгласно член 20, и гарантиране на подходяща публичност на подобни становища; право на разпореждане на блокиране, изтриване или унищожаване на данни, на въвеждане на временна или окончателна забрана върху обработването, на отправяне на предупреждение или строга забележка към администратора, както и право да сезира националния парламент или други политически институции,

—

правомощие да води съдебни дела, когато са нарушени националните разпоредби, приети в съответствие с настоящата директива, или свеждане на тези нарушения до знанието на съдебните власти.

а)

разглежда всеки въпрос, отнасящ се до прилагането на националните мерки, приети съгласно настоящата директива, с цел да допринесе за еднаквото прилагане на тези мерки;

б)

предоставя на Комисията становище относно степента на защита в Общността и в трети страни;

в)

дава съвет на Комисията във връзка с всяко предложение за изменение на настоящата директива, за всички допълнителни или конкретни мерки за гарантиране на правата и свободите на физическите лица при обработването на лични данни, както и всякакви други предложени общностни мерки, засягащи тези права и свободи;

г)

дава становище относно кодексите за поведение, разработвани на равнище на Общността.

—

Комисията отлага прилагането на мерките, за които е взела решение, за период от три месеца от датата на съобщаването,

—

Съветът може да вземе различно решение с квалифицирано мнозинство в срока, посочен по-горе.