13/Sv. 007

HR

Službeni list Europske unije

88

L 281/31

SLUŽBENI LIST EUROPSKE UNIJE

24.10.1995.

(1)

budući da ciljevi Zajednice, kako je predviđeno Ugovorom koji je izmijenjen Ugovorom o Europskoj uniji, obuhvaćaju stvaranje sve čvršćeg saveza između naroda Europe, jačajući bliskije odnose između država koje pripadaju Zajednici, osiguravajući gospodarski i socijalni napredak zajedničkom akcijom kako bi se uklonile zapreke koje razdvajaju Europu, ohrabrujući stalno poboljšanje uvjeta života svojih naroda, čuvajući i jačajući mir i slobodu i promicanje demokracije na temelju temeljnih prava priznatih u ustavu i zakonima država članica te u Europskoj konvenciji za zaštitu ljudskih prava i temeljnih sloboda;

(2)

budući da su sustavi za obradu podataka osmišljeni da služe čovjeku; budući da moraju, bez obzira na nacionalnost ili boravište fizičkih osoba, poštivati njihova temeljna prava i slobode, pravo na privatnost, te doprinositi gospodarskom i socijalnom napretku, širenju trgovine i dobrobiti pojedinaca;

(3)

budući da uspostava i funkcioniranje unutarnjeg tržišta u kojem je, u skladu s člankom 7.a Ugovora, osigurano slobodno kretanje roba, osoba, usluga i kapitala, zahtijeva ne samo slobodno kretanje osobnih podataka iz jedne države članice u drugu, nego i očuvanje temeljnih prava pojedinaca;

(4)

budući da se u Zajednici sve više pribjegava obradi osobnih podataka u raznim područjima gospodarske i socijalne aktivnosti; budući da napredak ostvaren u računalnoj tehnologiji znatno olakšava obradu i razmjenu takvih podataka;

(5)

budući da će gospodarska i socijalna integracija koja proizlazi iz uspostave i funkcioniranja unutarnjeg tržišta u smislu članka 7.a Ugovora neophodno dovesti do znatnog povećanja u prekograničnom prijenosu osobnih podataka između svih onih koji su u privatnoj ili javnoj ulozi uključeni u gospodarske i socijalne aktivnosti u državama članicama; budući da će se razmjena osobnih podataka između poduzetnika u različitim državama članicama povećati; budući da se državna tijela u raznim državama članicama na temelju prava Zajednice pozivaju na suradnju i razmjenu osobnih podataka kako bi mogli izvršavati svoje ovlasti ili izvršavati zadatke u ime nekog tijela u drugoj državi članici u smislu područja bez unutarnjih granica kako je utemeljeno unutarnjim tržištem;

(6)

budući da, nadalje, sve veća znanstvena i tehnička suradnja i koordinirano uvođenje novih telekomunikacijskih mreža u Zajednici zahtijeva i olakšava prekogranični prijenos osobnih podataka;

(7)

budući da razlika u razinama zaštite prava i sloboda pojedinaca, posebno pravo na privatnost, u vezi obrade osobnih podataka u državama članicama može spriječiti prijenos takvih podataka s područja jedne države članice na područje druge države članice; budući da ta razlika može prema tome predstavljati zapreku provedbi niza gospodarskih aktivnosti na razini Zajednice, narušiti tržišno natjecanje i spriječiti tijela u obavljanju njihovih odgovornosti na temelju prava Zajednice; budući da je ta razlika u razinama zaštite uzrokovana velikom raznolikošću nacionalnih zakona i drugih propisa;

(8)

budući da, kako bi se uklonile zapreke prijenosu osobnih podataka, razina zaštite prava i sloboda pojedinaca u vezi s obradom takvih podataka mora biti jednaka u svim državama članicama; budući da je ovaj cilj odlučan za unutarnje tržište, ali ga države članice ne mogu postići same, posebno zbog razlika koje trenutačno postoje u relevantnom zakonodavstvu država članica i potrebe usklađivanja zakonodavstava država članica kako bi se osiguralo da prekogranični prijenos osobnih podataka bude dosljedan u skladu s ciljem unutarnjeg tržišta kako je predviđeno člankom 7.a Ugovora; budući da je prema tome potrebno da Zajednica uskladi ta zakonodavstva;

(9)

budući da, s obzirom na jednaku zaštitu koja je posljedica usklađivanja nacionalnih zakonodavstava, države članice više neće moći priječiti međusobno slobodno kretanje osobnih podataka na temelju zaštite prava i sloboda pojedinaca te posebno prava na privatnost; budući da će države članice imati prostor za djelovanje koji u smislu provedbe Direktive također mogu koristiti i poslovni i socijalni partneri; budući da će države članice biti u mogućnosti utvrditi u svojem nacionalnom zakonodavstvu opće uvjete koji određuju zakonitost obrade podataka; budući da će u tome države članice nastojati poboljšati zaštitu koju njihovo zakonodavstvo sada predviđa; budući da se, u okviru ovog prostora za djelovanje i u skladu s pravom Zajednice, mogu pojaviti različitosti u provedbi Direktive što bi moglo utjecati na kretanje podataka u nekoj državi članici te u Zajednici;

(10)

budući da je cilj nacionalnog zakonodavstva u vezi obrade osobnih podataka zaštiti temeljna prava i slobode, posebno pravo na privatnost koje je priznato u članku 8. Europske konvencije za zaštitu ljudskih prava i temeljnih sloboda te u općim načelima prava Zajednice; budući da iz tog razloga usklađivanje tih zakona ne smije dovesti do bilo kakvog smanjenja zaštite koju pružaju, nego naprotiv moraju težiti tome da osiguraju visoku razinu zaštite u Zajednici;

(11)

budući da načela zaštite prava i sloboda pojedinaca, posebno pravo na privatnost koje je obuhvaćeno ovom Direktivom, daju sadržaj i jačaju načela iz Konvencije Vijeća Europe od 28. siječnja 1981. za zaštitu pojedinaca u vezi s automatskom obradom osobnih podataka;

(12)

budući da se načela zaštite moraju primjenjivati na svaku obradu osobnih podataka koju provodi bilo koja osoba čije su aktivnosti uređene pravom Zajednice; budući da je potrebno isključiti obradu podataka koju provodi fizička osoba izvršavanjem aktivnosti koje su isključivo osobne ili domaće naravi, kao što je dopisivanje i vođenje evidencije adresata;

(13)

budući da su aktivnosti iz glava V. i VI. Ugovora o Europskoj uniji u vezi s javnom sigurnošću, obranom, nacionalnom sigurnošću ili aktivnosti države na području kaznenog prava izvan područja primjene prava Zajednice, ne dovodeći u pitanje obveze koje su države članice preuzele na temelju članka 56. stavka 2., članka 57. ili članka 100.a Ugovora o osnivanju Europske zajednice; budući da obrada osobnih podataka koja je neophodna za očuvanje gospodarske dobrobiti države nije u području primjene ove Direktive kada se takva obrada odnosi na pitanja nacionalne sigurnosti;

(14)

budući da se s obzirom na važnost aktualnog razvitka u okviru informacijskog društva, tehnika za prikupljanje, prijenos, rukovanje, snimanje, pohranjivanje ili komuniciranje zvučnih ili slikovnih podataka koji se odnose na fizičke osobe, ova Direktiva mora primijeniti na obradu koja uključuje takve podatke;

(15)

budući da je obrada takvih podataka obuhvaćena ovom Direktivom jedino ako je automatizirana ili ako su obrađeni podaci sadržani ili će biti sadržani u sustavu arhiviranja strukturiranom u skladu s posebnim mjerilima u vezi s pojedincima kako bi se omogućio lagani pristup tim osobnim podacima;

(16)

budući da obrada zvučnih i slikovnih podataka, kao u slučajevima video nadzora, nije u području primjene ove Direktive ako se provodi u svrhe javne sigurnosti, obrane, nacionalne sigurnosti ili tijekom državnih aktivnosti koje se odnose na kazneno pravo ili druge aktivnosti koje nisu u području primjene prava Zajednice;

(17)

budući da, u odnosu na obradu zvučnih i slikovnih podataka koja se provodi u svrhe novinarstva ili književnog ili umjetničkog izražavanja, posebno na audiovizualnom području, načela Direktive primjenjuju se ograničeno u skladu s odredbama predviđenim člankom 9. ove Direktive;

(18)

budući da, kako bi se osiguralo da pojedinci nisu lišeni zaštite na koju imaju pravo na temelju ove Direktive, bilo kakva obrada osobnih podataka u Zajednici mora se izvršavati u skladu sa zakonodavstvom jedne od država članica; budući da se u vezi s time obrada za koju je odgovoran nadzornik s poslovnim nastanom u državi članici treba urediti zakonodavstvom te države;

(19)

budući da poslovni nastan na području države članice podrazumijeva učinkovito i stvarno provođenje aktivnosti kroz stabilne dogovore; budući da pravni oblik takvog poslovnog nastana, bilo da je to podružnica ili društvo-kći s pravnom osobnošću, nije odlučujući činitelj u tome smislu; budući da kada pojedini nadzornik ima poslovni nastan na području nekoliko država članica, posebno putem društava-kćeri, on mora osigurati, kako bi spriječio izbjegavanje nacionalnih propisa, da svaki poslovni nastan ispunjava obveze koje nalaže nacionalno zakonodavstvo koje se primjenjuje na njegove aktivnosti;

(20)

budući da obrada podataka koju provodi osoba s poslovnim nastanom u trećoj zemlji ne smije sprečavati zaštitu pojedinaca predviđenu ovom Direktivom; budući da u tim slučajevima obrada mora biti uređena zakonodavstvom države članice u kojoj su sredstva koja se koriste smještena te da moraju postojati jamstva koja će osigurati da se prava i obveze predviđene ovom Direktivom poštuju u praksi;

(21)

budući da ova Direktiva ne dovodi u pitanje načela teritorijalnosti koja se primjenjuju u kaznenim stvarima;

(22)

budući da države članice moraju u zakonodavstvu koje donose ili kada provode na temelju ove direktive donesene propise, podrobnije utvrditi opće okolnosti u kojima je obrada zakonita; budući da posebno članak 5. ove Direktive, zajedno s člancima 7. i 8. ove Direktive, omogućava državama članicama, neovisno o općim propisima, da utvrde posebne uvjete obrade za posebna područja i za razne vrste podataka iz članka 8. ove Direktive;

(23)

budući da su države članice ovlaštene osigurati provedbu zaštite pojedinaca putem općeg zakonodavstva o zaštiti pojedinaca u vezi obrade osobnih podataka te zakonima koji se donose na raznim područjima kao što su to oni koji se odnose na statističke ustanove;

(24)

budući da ova Direktiva nema utjecaja na zakonodavstvo u vezi zaštite pravnih osoba u odnosu na obradu podataka koji se na njih odnose;

(25)

budući da se načela zaštite s jedne strane moraju odraziti u obvezama koje su preuzele osobe, javna tijela, poduzetnici, agencije ili druga tijela nadležna za obradu, posebno u vezi s kvalitetom podataka, tehničkom sigurnošću, obavješćivanjem nadzornog tijela te okolnostima pod kojima se obrada može provoditi, i s druge strane, pravima koja imaju pojedinci čiji su podaci predmet obrade da ih se izvijesti da je obrada u tijeku, da imaju uvid u podatke, da zatraže ispravak i čak da se usprotive obradi pod nekim okolnostima;

(26)

budući da se načela zaštite moraju primjenjivati na sve podatke u vezi s utvrđenim osobama ili osobama koje se mogu utvrditi; budući da je, kako bi se utvrdilo može li se osobu utvrditi, potrebno uzeti u obzir sva sredstva koja nadzornik ili bilo koja druga osoba može opravdano koristiti da utvrdi navedenu osobu; budući da se načela zaštite ne primjenjuju na podatke koji su anonimni na takav način da se osoba čiji se podaci obrađuju više ne može utvrditi; budući da pravila ponašanja u smislu članka 27. ove Direktive mogu biti korisni instrument za davanje uputa u vezi s načinom na koji se podaci mogu napraviti anonimnima i zadržati u obliku u kojem utvrđivanje identiteta osobe čiji se podaci obrađuju više nije moguća;

(27)

budući da zaštita pojedinaca mora primjenjivati kako automatsku obradu podataka, tako i ručnu obradu; budući da područje primjene ove zaštite ne smije ovisiti o tehnikama koje se koriste, jer bi to u suprotnom stvorilo ozbiljan rizik od onemogućavanja; budući da u odnosu na ručnu obradu, ova Direktiva obuhvaća jedino sustave arhiviranja, a ne nestrukturiranu dokumentaciju; budući da posebno, sadržaj sustava arhiviranja mora biti strukturiran u skladu s posebnim mjerilima u vezi s pojedincima omogućavajući lakši pristup osobnim podacima; budući da, u skladu s pojmom iz članka 2. stavka (c) ove Direktive, različita mjerila za utvrđivanje sastavnih dijelova strukturiranog skupa osobnih podataka i različita mjerila koja uređuju pristup takvome nizu, može propisati svaka država članica; budući da dokumentacija ili skup dokumentacija kao i njihove naslovne stranice koje nisu strukturirane prema posebnim mjerilima ni pod kojim okolnostima nisu u području primjene ove Direktive;

(28)

budući da bilo koja obrada osobnih podataka mora biti zakonita i poštena prema tim pojedincima; budući da, posebno, podaci moraju biti odgovarajući, relevantni i ne smiju biti pretjerani u odnosu na svrhu zbog koje se obrađuju; budući da ta svrha mora biti izričita i opravdana i mora biti utvrđena u trenutku prikupljanja podataka; budući da svrha obrade nakon prikupljanja ne smije biti nespojiva sa svrhom koja je prvobitno određena;

(29)

budući da se daljnja obrada osobnih podataka u povijesne, statističke ili znanstvene svrhe općenito ne smatra nespojivom sa svrhom za koju su podaci prethodno prikupljeni pod uvjetom da države članice osiguraju odgovarajuću zaštitu; budući da ta zaštita mora posebno isključiti uporabu podataka kao potpora mjerama ili odlukama u vezi nekog pojedinca;

(30)

budući da, kako bi bila zakonita, se obrada osobnih podataka mora izvršiti uz suglasnost osobe čiji se podaci obrađuju ili biti neophodna za sklapanje ili izvršavanje ugovora koji obvezuje osobu čiji se podaci obrađuju, ili kao zakonski uvjet, ili za izvršavanje zadatka koji se provodi u javnom interesu ili u obavljanju javnih ovlasti, ili u zakonitom interesu fizičke ili pravne osobe, pod uvjetom da interesi ili prava i slobode osobe čiji se podaci obrađuju nisu prekršeni; budući da, posebno, kako bi se održala ravnoteža između interesa koji uključuju jamstvo učinkovitog natjecanja, države članice mogu utvrditi okolnosti u kojima se osobni podaci mogu koristiti ili otkriti trećoj stranci u smislu zakonitih uobičajenih poslovnih aktivnosti poduzetnika ili drugih tijela; budući da države članice mogu na sličan način utvrditi uvjete pod kojima se osobni podaci mogu otkriti trećoj stranci u svrhe oglašavanja bilo da se provodi u svrhe trgovine ili da ih provodi dobrotvorna organizacija ili bilo koja druga udruga ili ustanova koja je na primjer političke naravi, podložno odredbama koje omogućavaju osobi čiji se podaci obrađuju da se usprotivi obradi podataka koji se na nju odnose, bez troškova i da ne mora navesti razlog;

(31)

budući da se obrada osobnih podataka isto tako mora smatrati zakonitom kada se provodi radi zaštite nekog interesa koji je neophodan za život osobe čiji se podaci obrađuju;

(32)

budući da je zadatak nacionalnog zakonodavstva utvrditi hoće li nadzornik koji izvršava zadatak u javnom interesu ili pri izvršavanju javnih ovlasti biti državna uprava ili druga fizička ili pravna osoba kako je uređeno javnim ili privatnim pravom kao što je to neka profesionalna udruga;

(33)

budući da se podaci koji po svojoj prirodi mogu prekršiti temeljne slobode ili privatnost ne smiju obrađivati ako osoba čiji se podaci obrađuju nije dala svoju izričitu suglasnost; budući međutim da se odstupanja od ove zabrane moraju izričito navesti za posebne potrebe, posebno kada obradu podataka u zdravstvene svrhe provodi osoba na koju se odnosi zakonska obveza čuvanja profesionalne tajne ili kada neke udruge ili ustanove čija je svrha omogućavanje ostvarenja temeljnih sloboda tijekom obavljanja zakonitih aktivnosti;

(34)

budući da države članice također moraju biti ovlaštene, kada je to opravdano na temelju važnog javnog interesa, za odstupanje od zabrane obrađivanja osjetljivih kategorija podataka kada to opravdavaju važni razlozi javnog interesa na područjima kao što je javno zdravstvo i socijalna zaštita – posebno kako bi se osigurala kvaliteta i isplativost postupaka koji se koriste za rješavanje zahtjeva za ostvarenje pogodnosti i usluga iz sustava zdravstvenog osiguranja – znanstveno istraživanje i vladine statistike; budući da im je dužnost da pruže konkretnu i odgovarajuću zaštitu temeljnih prava i privatnosti pojedinaca;

(35)

budući da se, uz to, obrada osobnih podataka službeno priznatih vjerskih zajednica koju provode državna tijela u svrhe postizanja ciljeva predviđenih ustavnim pravom ili međunarodnim javnim pravom provodi radi važnog javnog interesa;

(36)

budući da kada tijekom izbornih aktivnosti djelovanje demokratskog sustava zahtijeva u određenim državama članicama da političke stranke prikupe podatke o političkom mišljenju ljudi, obrada takvih podataka može se dopustiti na temelju važnog javnog interesa, pod uvjetom da se uspostavi odgovarajuća zaštita;

(37)

budući da je obradu osobnih podataka u svrhe novinarstva ili književnog ili umjetničkog izražavanja, posebno na audiovizualnom području, potrebno izuzeti od zahtjeva nekih odredbi ove Direktive u onoj mjeri u kojoj je to potrebno da bi se uskladila temeljna prava pojedinaca sa slobodom obavješćivanja i posebno s pravom na dobivanje i pružanje podataka, kako je zajamčeno posebno člankom 10. Europske konvencije za zaštitu ljudskih prava i temeljnih sloboda; budući da bi prema tome države članice morale propisati iznimke i odstupanja potrebna u svrhu uspostave ravnoteže između temeljnih prava u odnosu na opće mjere o opravdanosti obrade podataka, mjera o prijenosu podataka trećim zemljama i ovlasti nadzornih tijela; budući da to međutim ne bi trebalo navesti države članice da propišu iznimke od mjera za osiguravanje sigurnost obrade; budući da bi barem nadzorna tijela za ovo područje morala imati i neke naknadne ovlasti, na primjer da objave redovito izvješće ili da upute predmet sudskim tijelima;

(38)

budući da ako obrada podataka treba biti pravedna, osoba čiji se podaci obrađuju mora imati mogućnost upoznati se s postupkom obrade i, kada se podaci prikupljaju od nje, moraju se dati točni i potpuni podaci, imajući na umu okolnosti prikupljanja;

(39)

budući da neki postupci obrade uključuju podatke koje nadzornik nije izravno prikupio od osobe čiji se podaci obrađuju; budući da se nadalje podaci mogu opravdano otkriti trećoj stranci, čak i ako otkrivanje nije bilo predviđeno u trenutku kada su podaci prikupljani od osobe čiji se podaci obrađuju; budući da je u svim tim slučajevima, osobu čiji se podaci obrađuju potrebno obavijestiti kada su podaci evidentirani ili barem kada su po prvi puta otkriveni trećoj stranci;

(40)

budući da, međutim, nije potrebno nametnuti tu obvezu ako osoba čiji se podaci obrađuju već ima taj podatak; budući štoviše da neće biti takve obveze ako je evidentiranje ili otkrivanje izričito propisano zakonodavstvom ili ako se davanje podataka osobi čiji se podaci obrađuju pokaže nemogućim ili bi uključilo nerazmjerni napor što bi mogao biti slučaj kada se obrada provodi u povijesne, statističke ili znanstvene svrhe; budući da se u tome smislu broj osoba čiji se podaci obrađuju, starost podataka te sve donesene zamjenske mjere mogu uzeti u obzir;

(41)

budući da svaka osoba mora biti u mogućnosti ostvariti pravo na pristup podacima koji se na nju odnose, a koji se obrađuju kako bi posebno provjerila točnost podataka te zakonitost obrade; budući da iz istih razloga svaka osoba čiji se podaci obrađuju također ima pravo znati logiku u automatskoj obradi podataka, barem u slučaju automatskih odluka iz članka 15. stavka 1. ove Direktive; budući da to pravo ne smije utjecati na poslovne tajne ili intelektualno vlasništvo te posebno na autorska prava kojim se štiti programska oprema; budući da ta pitanja međutim ne smiju dovesti do toga da se osobi čiji se podaci obrađuju odbiju svi podaci;

(42)

budući da države članice mogu, u interesu osoba čiji se podaci obrađuju ili kako bi se zaštitila prava i slobode drugih, ograničiti prava na pristup i podacima; budući da one na primjer mogu utvrditi da se pristup zdravstvenim podacima može dobiti jedino preko zdravstvenih radnika;

(43)

budući da na sličan način države članice mogu nametnuti ograničenja prava na pristup i podatke i na neke obveze nadzornika u onoj mjeri u kojoj su potrebna za očuvanje, na primjer, nacionalne sigurnosti, obrane, javne sigurnosti ili važnih gospodarskih ili financijskih interesa neke države članice ili Unije te kaznenih istraga, progona i radnji u vezi kršenja etike u zakonskim uređenim djelatnostima; budući da popis iznimaka i ograničenja mora uključivati zadaće nadziranja, inspekciju ili uređivanje potrebne za posljednja tri navedena područja u vezi s javnom sigurnošću, gospodarskim ili financijskim interesima i sprečavanjem kriminala; budući da popisivanje zadaća na ta tri područja ne utječe na opravdanost iznimaka ili ograničenja zbog nacionalne sigurnosti ili obrane;

(44)

budući da države članice također mogu, na temelju odredbi prava Zajednice, propisati iznimke od odredbi ove Direktive u vezi s pravom na pristup, obveza obavješćivanja pojedinaca i kvalitete podataka kako bi osigurali neke gore navedene svrhe;

(45)

budući da u slučajevima kada se podaci mogu zakonito obraditi na temelju javnog interesa, javne ovlasti ili zakonitih interesa fizičkih ili pravnih osoba, bilo koja osoba čiji se podaci obrađuju mora imati pravo iz zakonitih i jakih razloga u vezi s njezinim posebnim položajem, usprotiviti se obradi bilo kojih podataka koji se na nju odnose; budući da države članice mogu usprkos tome propisati protivne nacionalne odredbe;

(46)

budući da zaštita prava i sloboda u vezi osoba čiji se podaci obrađuju s obzirom na obradu podataka zahtijeva da se poduzmu odgovarajuće tehničke i organizacijske mjere, kako u trenutku planiranja sustava obrade, tako i u trenutku same obrade, posebno kako bi se zadržala sigurnost i tako spriječila neovlaštena obrada; budući da su države članice obvezne osigurati da se nadzornici pridržavaju tih mjera; budući da te mjere moraju osigurati odgovarajuću razinu sigurnosti, uzimajući u obzir najnovija dostignuća i troška njihove provedbe u vezi rizika u obradi i naravi podataka koje je potrebno zaštititi;

(47)

budući da kada se poruka koja sadrži osobne podatke prenosi putem telekomunikacija ili elektroničkom poštom čija je jedina svrha prijenos takvih poruka, smatrat će se da poruka potječe od nadzornika u pogledu osobnih podataka sadržanih u poruci, a ne od osobe koja pruža usluge prijenosa; budući da se oni koji nude takve usluge obično smatraju nadzornicima u pogledu obrade dodatnih osobnih podataka potrebnih za djelovanje službe;

(48)

budući da su postupci za obavješćivanje nadzornog tijela osmišljeni da osiguraju otkrivanje svrha i glavnih karakteristika bilo kojeg postupka obrade radi provjere da je taj postupak u skladu s nacionalnim mjerama poduzetima na temelju ove Direktive;

(49)

budući da, kako bi se izbjegle neprimjerene upravne formalnosti, države članice mogu predvidjeti iznimke od obveze obavješćivanja i pojednostavljivanja obavješćivanja u slučajevima kada nije vjerojatno da će obrada negativno utjecati na prava i slobode osobe čiji se podaci obrađuju, pod uvjetom da je u skladu s mjerama koje je poduzela država članica kojima se utvrđuju njegova ograničenja; budući da države članice mogu na sličan način predvidjeti izuzimanje ili pojednostavljivanje kada osoba koju je imenovao nadzornik osigura da izvršena obrada neće negativno utjecati na prava i slobode osobe čiji se podaci obrađuju; budući da takav službenik za zaštitu podataka, bilo da se radi o zaposleniku nadzornika ili ne, mora biti u stanju izvršavati svoju dužnost uz potpunu neovisnost;

(50)

budući da se izuzimanje ili pojednostavljivanje može predvidjeti u slučajevima obrade čija je jedina svrha vođenje evidencije kojoj je cilj u skladu s nacionalnim zakonodavstvom osigurati podatke javnosti i da javnost ili bilo koja osoba koja ima zakoniti interes ima mogućnost uvida u nju;

(51)

buduća da usprkos tome pojednostavljenje ili izuzimanje od obveza obavješćivanja ne oslobađa nadzornika od bilo kojih drugih obveza iz ove Direktive;

(52)

budući da se u ovom smislu naknadna provjera nadležnih tijela općenito smatra dovoljnom mjerom;

(53)

budući da, međutim, neki postupci obrade mogu predstavljati poseban rizik za prava i slobode osoba čiji se podaci obrađuju zbog njihove prirode, područja primjene ili svrhe, kao što je isključivanje pojedinaca od prava, pogodnosti ili ugovora, ili posebnom uporabom novih tehnologija; budući da je na državama članicama, ako to žele, da utvrde takve rizike u svojem zakonodavstvu;

(54)

budući da u pogledu svake obrade koja se poduzima u društvu, područje primjene koje predstavlja taj poseban rizik treba biti vrlo ograničeno; budući da države članice moraju predvidjeti da nadzorno tijelo ili službenik za zaštitu podataka u suradnji s vlastima provjeri takvu obradu prije nego što se ona izvrši; budući da prije takve provjere, nadzorno tijelo može, u skladu sa svojim nacionalnim zakonodavstvom, dati mišljenje ili odobrenje u vezi obrade; budući da se takva provjera može isto tako odvijati tijekom priprema mjera nacionalnog parlamenta ili mjera koje se temelje na takvoj zakonodavnoj mjeri kojom se utvrđuje narav obrade i propisuje odgovarajuća zaštita;

(55)

budući da, ako nadzornik ne poštuje prava osoba čiji se podaci obrađuju, nacionalno zakonodavstvo mora predvidjeti sudsku zaštitu; budući da nadzornik mora nadoknaditi bilo koju štetu koju osoba može pretrpjeti kao rezultat nezakonite obrade, koji se može izuzeti od odgovornosti ako dokaže da nije odgovoran za štetu, posebno u slučajevima kada utvrdi grešku osobe čiji se podaci obrađuju ili u slučaju više sile; budući da se moraju nametnuti sankcije bilo kojoj osobi, uređene privatnim ili javnim pravom, koja se ne pridržava nacionalnih mjera poduzetih u okviru ove Direktive;

(56)

budući da je prekogranični prijenos osobnih podataka potreban radi širenja međunarodne trgovine; budući da zaštita pojedinaca zajamčena u Zajednici ovom Direktivom ne priječi prijenos osobnih podataka trećim zemljama koje osiguravaju odgovarajuću razinu zaštite; budući da se odgovarajuća razina zaštite koju pruža treća zemlja procjenjuje ovisno o svim okolnostima oko prijenosa ili skupa postupaka prijenosa;

(57)

budući da se, s druge strane, prijenos osobnih podataka trećoj zemlji koja ne pruža odgovarajuću razinu zaštite mora zabraniti;

(58)

budući da je potrebno propisati iznimke od ove zabrane u nekim okolnostima kada je osoba čiji se podaci obrađuju dala svoju suglasnost, kada je prijenos potreban u vezi s ugovorom ili pravnim zahtjevom, kada zaštita nekog važnog javnog interesa to zahtijeva, na primjer u slučajevima međunarodnog prijenosa podataka između poreznih i carinskih tijela ili između službi nadležnih za pitanja socijalnog osiguranja, ili kada se prijenos obavlja iz evidencije ustrojene zakonom s namjerom da u nju imaju uvid javnost ili osobe koje za to imaju zakonit interes; budući da u tom slučaju prijenos ne bi smio uključivati cjelokupne podatke ili sve vrste podataka sadržanih u evidenciji i kada je namjena evidencije da se s njom savjetuju osobe koje imaju zakoniti interes, prijenos je potrebno izvršiti na zahtjev tih osoba ako će one biti primatelji;

(59)

budući da se mogu poduzeti posebne mjere da se nadoknadi pomanjkanje zaštite u trećim zemljama u slučajevima kada nadzornik daje odgovarajuću zaštitu; budući da je, štoviše, potrebno predvidjeti pregovore između Zajednice i takvih trećih zemalja;

(60)

budući da se u svakom slučaju prijenos u treće zemlje može izvršiti jedino uz potpuno poštivanje odredbi koje su donijele države članice u skladu s ovom Direktivom, a posebno njenim člankom 8.;

(61)

budući da države članice i Komisija u skladu sa svojim nadležnostima moraju potaknuti trgovačke i druge interesne organizacije na izradu pravila ponašanja kako bi olakšala primjenu ove Direktive, uzimajući u obzir posebne karakteristike obrade koja se provodi u nekim područjima te poštujući nacionalne propise donesene za njezinu provedbu;

(62)

budući da je osnivanje potpuno neovisnih nadzornih tijela u državama članicama osnovni dio zaštite pojedinaca u vezi obrade osobnih podataka;

(63)

budući da ta tijela moraju imati potrebna sredstva za izvršavanje svojih dužnosti, uključujući ovlasti istrage i intervencije, posebno u slučajevima žalbi pojedinaca, te ovlasti za sudjelovanje u sudskim postupcima; budući da takva tijela moraju pomoći osigurati preglednost obrade u državama članicama u čijoj su nadležnosti;

(64)

budući da tijela u različitim državama članicama moraju pomagati jedna drugoj u obavljanju svojih dužnosti kako bi osiguralo odgovarajuće poštivanje propisa o zaštiti u cijeloj Europskoj uniji;

(65)

budući da je na razini Zajednice potrebno osnovati Radnu skupinu za zaštitu pojedinaca u vezi s obradom osobnih podataka koja mora potpuno neovisno obavljati svoje funkcije; budući da, uzimajući u obzir njezinu posebnu prirodu, mora obavijestiti Komisiju i posebno doprinijeti jednoobraznoj primjeni nacionalnih propisa donesenih u skladu s ovom Direktivom;

(66)

budući da, u odnosu na prijenos podataka trećim zemljama, primjena ove Direktive zahtijeva dodjelu provedbenih ovlasti Komisiji i uspostavu postupka iz Odluke Vijeća 87/373/EEZ (4);

(67)

budući da je 20. prosinca 1994. sklopljen sporazum o modus vivendi između Europskog parlamenta, Vijeća i Komisije u vezi s provedbom mjera za akte donesene u skladu s postupkom iz članka 189.b Ugovora o EZ-u;

(68)

budući da se načela izložena u ovoj Direktivi u vezi sa zaštitom prava i sloboda pojedinaca, posebno njihova prava na privatnost, u vezi s obradom osobnih podataka mogu nadopuniti ili pojasniti, naročito u odnosu na neka područja, posebnim pravilima koja se temelje na tim načelima;

(69)

budući da državama članicama treba omogućiti razdoblje od najviše tri godine od stupanja na snagu nacionalnih propisa kojima se prenosi ova Direktiva u kojima će se ova nova nacionalna pravila postupno primijeniti na sve postupke obrade koji su već u tijeku; budući da će se, kako bi se osigurala usklađenost postojećeg ručnog sustava arhiviranja s nekim odredbama Direktive, državama članicama radi bolje isplativosti primjene tih mjera odobriti daljnje razdoblje koje istječe 12 godina od dana donošenja ove Direktive; budući da se, kada se podaci sadržani u takvim sustavima arhiviranja obrađuju ručno, tijekom tog produženog prijelaznog razdoblja spomenuti sustavi moraju uskladiti s tim odredbama u trenutku obrade;

(70)

budući da nije neophodno da osoba čiji se podaci obrađuju ponovi svoju suglasnost kako bi nadzornik nakon stupanja na snagu nacionalnih propisa donesenih u skladu s ovom Direktivom nastavio s obradom bilo kojih osjetljivih podataka potrebnih za izvršavanje ugovora sklopljenog na temelju slobodne i informirane suglasnosti prije stupanja na snagu ovih odredbi;

(71)

budući da ova Direktiva ne priječi države članice da propišu trgovačke aktivnosti namijenjene potrošačima s prebivalištem na području u onoj mjeri u kojoj se taj propis ne odnosi na zaštitu pojedinaca u vezi s obradom osobnih podataka;

(72)

budući da ova Direktiva dopušta da se pri provedbi načela iz ove Direktive uzme u obzir načelo pristupa javnosti službenim dokumentima,

(a)

„osobni podaci” znači bilo koji podaci koji se odnose na utvrđenu fizičku osobu ili fizičku osobu koju se može utvrditi („osoba čiji se podaci obrađuju”); osoba koja se može utvrditi je osoba čiji je identitet moguće utvrditi, izravno ili neizravno, a posebno navođenjem identifikacijskog broja ili jednog ili više činitelja značajnih za njegov fizički, fiziološki, mentalni, gospodarski, kulturni ili socijalni identitet;

(b)

„obrada osobnih podataka” („obrada”) znači bilo koji postupak ili skup postupaka koji se provode nad osobnim podacima, bilo automatskim putem ili ne, kao što je prikupljanje, snimanje, organiziranje, pohrana, prilagođavanje ili mijenjanje, vraćanje, obavljanje uvida, uporaba, otkrivanje prijenosom i širenjem ili stavljanje na raspolaganje drugim načinom, poravnavanje ili kombiniranje, blokiranje, brisanje ili uništavanje;

c)

„sustav arhiviranja osobnih podataka” („sustav arhiviranja”) znači bilo koji strukturirani skup osobnih podataka koji je dostupan prema posebnim mjerilima, bilo da su centralizirani, decentralizirani ili raspršeni na funkcionalnoj ili zemljopisnoj osnovi;

(d)

„nadzornik” znači fizička ili pravna osoba, javno tijelo, agencija ili bilo koje drugo tijelo koje samo ili zajedno s drugima utvrđuje svrhu i načine obrade osobnih podataka; kada su svrha i načini obrade utvrđeni nacionalnim zakonodavstvom ili pravom Zajednice, nadzornik ili posebna mjerila za njegovo imenovanje mogu se utvrditi nacionalnim zakonodavstvom ili pravom Zajednice;

(e)

„obrađivač” znači fizička ili pravna osoba, javno tijelo, agencija ili bilo koje drugo tijelo koje obrađuje osobne podatke u ime nadzornika;

(f)

„treća stranka” znači bilo koja fizička ili pravna osoba, javno tijelo, agencija ili bilo koje drugo tijelo osim osobe čiji se podaci obrađuju, nadzornika, obrađivača i osoba koje su na temelju izravne ovlasti nadzornika ili obrađivača ovlaštene obrađivati podatke;

(g)

„primatelj” znači fizička ili pravna osoba, javno tijelo, agencija ili bilo koje drugo tijelo kojem se podaci otkrivaju, bilo da je treća strana ili ne; međutim, tijela koja dobivaju podatke u okviru posebnog upita ne smatraju se primateljima;

(h)

„suglasnost osobe čiji se podaci obrađuju” znači svaka dobrovoljno dana, posebna i informirana izjava volje, kojom osoba čiji se podaci obrađuju daje svoju suglasnost da se obrade osobni podaci koji se na nju odnose.

—

tijekom aktivnosti koja je izvan područja primjene prava Zajednice, kao što je predviđeno u glavama V. i VI. Ugovora o Europskoj uniji i u svakom slučaju na postupke obrade koji se odnose na javnu sigurnost, obranu, nacionalnu sigurnost (uključujući gospodarsku dobrobit države kada se operacija obrade odnosi na pitanja nacionalne sigurnosti) i aktivnosti države u području kaznenog prava,

—

koju provodi fizička osoba tijekom aktivnosti isključivo osobne ili domaće naravi.

(a)

se obrada provodi u smislu aktivnosti poslovnog nastana nadzornika na području države članice; kada taj nadzornik ima poslovni nastan na području nekoliko država članica, on mora poduzeti potrebne mjere kako bi osigurao da svaki od tih poslovnih nastana ispunjava obveze propisane važećim nacionalnim pravom;

(b)

nadzornik nema poslovni nastan na području države članice, nego na mjestu na kojem se njeno nacionalno pravo primjenjuje na temelju međunarodnog javnog prava;

(c)

nadzornik nema poslovni nastan na području Zajednice i u svrhu obrade osobnih podataka koristi opremu, bilo da je automatizirana ili ne, smještenu na području navedene države članice, ako se takva oprema ne koristi isključivo u svrhe prijenosa preko područja Zajednice.

(a)

obrađeni pošteno i zakonito;

(b)

prikupljeni u posebne, izričite i zakonite svrhe te da ih se dalje ne obrađuje na način koji bi bio nespojiv s tom svrhom. Daljnja obrada podataka u povijesne, statističke ili znanstvene svrhe ne smatra se nespojivom pod uvjetom da ta država članica osigura odgovarajuću zaštitu;

(c)

prikladni, relevantni i da nisu pretjerani u odnosu na svrhu zbog koje se prikupljaju i/ili dalje obrađuju;

(d)

točni i, po potrebi, dopunjeni; potrebno je poduzeti sve odgovarajuće mjere da se podaci koji su netočni ili nepotpuni izbrišu ili isprave, uzimajući u obzir svrhu zbog koje se prikupljaju ili zbog koje se dalje obrađuju;

(e)

čuvani u obliku koji omogućava identifikaciju osoba čiji se podaci obrađuju samo tijekom razdoblja potrebnog u svrhe zbog kojih se podaci prikupljaju ili zbog kojih se dalje obrađuju. Države članice dužne su predvidjeti odgovarajuću zaštitu za pohranu osobnih podataka za duža razdoblja ili za povijesnu, statističku ili znanstvenu uporabu.

(a)

je osoba čiji se podaci obrađuju nedvosmisleno dala svoju suglasnost; ili

(b)

je obrada potrebna za izvršavanje ugovora kojem je osoba čiji se podaci obrađuju stranka ili kako bi se poduzele mjere na zahtjev osobe čiji se podaci obrađuju prije sklapanja ugovora; ili

(c)

je obrada potrebna za sukladnost sa zakonskom obvezom kojoj nadzornik podliježe; ili

(d)

je obrada potrebna kako bi se zaštitili vitalni interesi osobe čiji se podaci obrađuju; ili

(e)

je obrada potrebna za izvršavanje zadatka koji se provodi zbog javnog interesa ili pri izvršavanju javne ovlasti koju ima nadzornik ili treća stranka kojoj se podaci otkrivaju; ili

(f)

je obrada potrebna u svrhe zakonitog interesa kojeg ima nadzornik ili treća stranka ili stranke kojima se podaci otkrivaju, osim kada su ti podaci podređeni interesu za temeljna prava i slobode osobe čiji se podaci obrađuju koja zahtijeva zaštitu na temelju članka 1. stavka 1. ove Direktive.

(a)

osoba čiji se podaci obrađuju dala svoju izričitu suglasnost za obradu tih podataka, osim kada je zakonodavstvom države članice predviđeno da se zabrana iz stavka 1. ovog članka ne može ukinuti na način da osoba čiji se podaci obrađuju da svoju suglasnost; ili

(b)

obrada potrebna u svrhe izvršavanja obveza i posebnih prava nadzornika na području zakonodavstva o zapošljavanju u onoj mjeri u kojoj je to dopušteno nacionalnim zakonodavstvom koje pruža odgovarajuću zaštitu; ili

(c)

obrada potrebna radi zaštite vitalnih interesa osobe čiji se podaci obrađuju ili druge osobe kada osoba čiji se podaci obrađuju nije fizički ili pravno sposobna dati svoju suglasnost; ili

(d)

obradu provodi tijekom svojih zakonitih aktivnosti uz odgovarajuću zaštitu ustanova, udruga ili nekog drugog neprofitnog tijela s političkim, filozofskim, vjerskim ili sindikalnim ciljem i pod uvjetom da se obrada odnosi jedino na članove tijela ili na osobe koje su u redovitom kontaktu s njime u pogledu njihove svrhe te da se podaci ne otkrivaju trećoj stranci bez suglasnosti osobe čiji se podaci obrađuju; ili

(e)

obrada se odnosi na podatke koje je objavila osoba čiji se podaci obrađuju ili kada je potrebno radi uspostave, provedbe ili obrane pravnih zahtjeva.

(a)

identitet nadzornika i njegovog zastupnika, ako ga ima;

(b)

svrhu obrade podataka;

(c)

bilo koje daljnje podatke kao što su

ako su takvi daljnji podaci potrebni, uzimajući u obzir posebne okolnosti u kojima se podaci prikupljaju, osigurati poštenu obradu u odnosu na osobu čiji se podaci obrađuju.

(a)

identitet nadzornika i njegovog zastupnika, ako ga ima;

(b)

svrhu obrade;

(c)

bilo koje daljnje podatke kao što su

ako su daljnji podaci potrebni, uzimajući u obzir posebne okolnosti u kojima se podaci obrađuju, jamstvo poštene obrade u odnosu na osobu čiji se podaci obrađuju.

(a)

bez prisile, u razumnim rokovima te bez pretjerane odgode ili troška:

(b)

prema potrebi, ispravak, brisanje ili blokiranje podataka čija obrada nije u skladu s ovom Direktivom, posebno zbog nepotpunih ili netočnih podataka;

(c)

obavijest trećim strankama kojima su podaci otkriveni o svim ispravcima, brisanjima ili blokiranju izvršenom u skladu s točkom (b), ako se to pokaže nemogućim ili uključuje nerazmjeran napor.

(a)

nacionalne sigurnosti;

(b)

obrane;

(c)

javne sigurnosti;

(d)

sprečavanja, istrage, otkrivanja i progona kaznenih djela ili kršenja etike zakonom uređenih djelatnosti;

(e)

važnoga gospodarskog ili financijskog interesa države članice ili Europske unije, uključujući novčana, proračunska i porezna pitanja;

(f)

nadzora, inspekcije ili regulatorne funkcije povezane, čak i povremeno, s izvršavanjem javnih ovlasti u slučajevima iz točke (c), (d) i (e);

(g)

zaštite osobe čiji se podaci obrađuju ili prava i slobode drugih.

(a)

barem u slučajevima iz članka 7. stavaka (e) i (f) ove Direktive, da prigovori u bilo kojem trenutku zbog jakih i zakonitih razloga u vezi njezine određene situacije na obradu podataka koji se odnose na nju, osim kada je drugačije propisano nacionalnim zakonodavstvom. Ako je prigovor osnovan, obrada koju je započeo nadzornik ne smije više obuhvaćati te podatke;

(b)

da, na zahtjev i besplatno, prigovori obradi osobnih podataka koji se odnose na nju za koje nadzornik predviđa da će se obrađivati u svrhe izravne trgovine ili da je se obavijesti prije nego li se osobni podaci otkriju po prvi puta trećim strankama ili koriste u njihovo ime u svrhe izravne trgovine te da dobije izričito pravo na besplatni prigovor na takvo otkrivanje ili uporabu.

(a)

donesena tijekom sklapanja ili izvršenja ugovora, pod uvjetom da je zahtjev za sklapanje ili izvršenje ugovora kojeg je podnijela osoba čiji podaci se obrađuju, ispunjen ili da postoje odgovarajuće mjere za zaštitu njezinih zakonitih interesa, kao što su dogovori koji joj omogućavaju izražavanje svog mišljenja; ili

(b)

dopuštena zakonodavstvom koje također utvrđuje mjere za zaštitu zakonitih interesa osobe čiji se podaci obrađuju.

—

obrađivač djeluje jedino na temelju uputa nadzornika,

—

obveze iz stavka 1. ovog članka, kako je utvrđeno zakonodavstvom države članice u kojoj obrađivač ima poslovni nastan, također obvezuju i obrađivača.

—

kada se, za vrste obrade za koje s obzirom na podatke koje je potrebno obraditi nije vjerojatno da će negativno utjecati na prava i slobode osoba čiji se podaci obrađuju, navode svrhe obrade, podaci ili vrste podataka koji se obrađuju, vrste ili vrste osoba čiji podaci se obrađuju, primatelji ili vrste primatelja kojima se podaci otkrivaju, te razdoblje tijekom kojeg će se podaci čuvati, i/ili

—

kada nadzornik, u skladu s nacionalnim zakonodavstvom koje se odnosi na njegovo poslovanje, imenuje službenika za zaštitu podataka koja je posebno nadležna:

osiguravajući time da operacije obrade neće negativno utjecati na prava i slobode osoba čiji se podaci obrađuju.

(a)

ime i adresu nadzornika i njegovog zastupnika, ako ga ima;

(b)

svrhu ili svrhe obrade;

(c)

opis vrste ili vrsta osoba čiji se podaci obrađuju i podataka i vrsta podataka koji se odnose na njih;

(d)

primatelje ili vrste primatelja kojima se podaci mogu otkriti;

(e)

predloženi prijenos podataka trećim zemljama;

(f)

opći opis koji omogućava prethodnu procjenu prikladnosti mjera donesenih u skladu s člankom 17. ove Direktive kako bi se osigurala sigurnost obrade.

(a)

da je osoba čiji se podaci obrađuju dala svoju nedvosmislenu suglasnost predloženom prijenosu; ili

(b)

da je prijenos potreban radi izvršenja ugovora između osobe čiji se podaci obrađuju i nadzornika ili provedbe predugovornih mjera poduzetih na zahtjev osobe čiji se podaci obrađuju; ili

(c)

da je prijenos potreban za sklapanje ili izvršenje ugovora sklopljenog u interesu osobe čiji se podaci obrađuju između nadzornika i treće stranke; ili

(d)

da je prijenos potreban ili propisan zakonom radi važnog javnog interesa ili uspostave, izvršenja ili obrane prava na pravne zahtjeve; ili

(e)

da je prijenos potreban kako bi se zaštitili vitalni interesi osobe čiji se podaci obrađuju; ili

(f)

prijenos se obavlja iz evidencije koja u skladu sa zakonima ili propisima treba javnosti pružiti podatke i koja je na raspolaganju javnosti općenito ili svakoj osobi koja može dokazati svoj zakoniti interes u mjeri u kojoj su u određenom slučaju ispunjeni uvjeti u vezi dostupnosti propisani zakonom.

—

istražne ovlasti, kao što je ovlast pristupa podacima koji su predmet postupaka obrade i ovlasti za prikupljanje svih podataka potrebnih za izvršavanje svojih nadzornih dužnosti,

—

učinkovite ovlasti za posredovanje, kao što je na primjer davanje mišljenja prije nego li se izvrše postupci obrade, u skladu s člankom 20. ove Direktive, te osiguranje odgovarajuće objave takvih mišljenja te ovlasti naređivanja blokiranja, brisanja ili uništavanja podataka, nametanja privremene ili konačne zabrane obrade, upozoravanja ili opominjanja nadzornika ili upućivanja predmeta nacionalnim parlamentima ili drugim političkim institucijama,

—

ovlast za sudjelovanje u sudskim postupcima ako su prekršene nacionalne odredbe donesene u skladu s ovom Direktivom ili za upoznavanje sudskih tijela tim kršenjima

(a)

ispituje bilo koje pitanje u vezi s primjenom nacionalnih mjera donesenih na temelju ove Direktive radi doprinosa jednoobraznoj primjeni takvih mjera;

(b)

daje Komisiji mišljenje o razini zaštite u Zajednici i trećim zemljama;

(c)

savjetuje Komisiju u vezi bilo koje predložene izmjene ove Direktive, bilo kojih dodatnih ili posebnih mjera za očuvanje prava i sloboda fizičkih osoba u vezi obrade osobnih podataka i bilo kojih drugih predloženih mjera Zajednice koje utječu na ta prava i slobode;

(d)

daje mišljenje u vezi pravila ponašanja sastavljenih na razini Zajednice.

—

Komisija odgađa primjenu mjera koje je donijela na rok od tri mjeseca od datuma priopćenja,

—

Vijeće može u roku iz alineje prve kvalificiranom većinom donijeti drugačiju odluku.