1.   U ovoj se Uredbi utvrđuju pravila o zaštiti pojedinaca u pogledu obrade osobnih podataka u institucijama i tijelima te pravila povezana sa slobodnim kretanjem osobnih podataka među njima ili prema drugim primateljima koji imaju poslovni nastan u Uniji.

2.   Ovom se Uredbom štite temeljna prava i slobode pojedinaca, a posebno njihovo pravo na zaštitu osobnih podataka.

3.   Europski nadzornik za zaštitu podataka prati primjenu odredaba ove Uredbe na sve postupke obrade koje provode institucije ili tijela Unije.

1.   Ova se Uredba primjenjuje na obradu osobnih podataka u svim institucijama i tijelima Unije.

2.   Samo se članak 3. i poglavlje IX. ove Uredbe primjenjuju na obradu operativnih osobnih podataka, koju tijela, uredi i agencije Unije provode pri obavljanju aktivnosti obuhvaćenih područjem primjene trećeg dijela glave V. poglavlja 4. ili 5. UFEU-a.

3.   Ova Uredba ne primjenjuje se na obradu operativnih osobnih podataka koju provode Europol i Ured europskog javnog tužitelja dok se ne usvoje Uredba (EU) 2016/794 Europskog parlamenta i Vijeća (15) i Uredba Vijeća (EU) 2017/1939 (16) u skladu s člankom 98. ove Uredbe.

4.   Ova Uredba ne primjenjuje se na obradu osobnih podataka u misijama iz članka 42. stavka 1. i članaka 43. i 44. UEU-a.

5.   Ova se Uredba primjenjuje na potpuno ili djelomično automatiziranu obradu osobnih podataka te na neautomatiziranu obradu osobnih podataka koji su dio sustava pohrane ili su namijenjeni da budu dio sustava pohrane.

1.   Osobni podaci moraju biti:

2.   Voditelj obrade odgovoran je za usklađenost sa stavkom 1. te je mora moći dokazati („pouzdanost”).

1.   Obrada je zakonita samo ako i u onoj mjeri u kojoj je ispunjeno najmanje jedno od sljedećega:

2.   Osnova za obradu iz stavka 1. točaka (a) i (b) utvrđuje se u pravu Unije.

1.   Kad se obrada temelji na privoli, voditelj obrade mora moći dokazati da je ispitanik dao privolu za obradu svojih osobnih podataka.

2.   Ako ispitanik da privolu u vidu pisane izjave koja se odnosi i na druga pitanja, zahtjev za privolu mora biti predočen tako da se može jasno razlučiti od drugih pitanja, u razumljivom i lako dostupnom obliku uz uporabu jasnog i jednostavnog jezika. Svaki dio takve izjave koji predstavlja kršenje ove Uredbe nije obvezujući.

3.   Ispitanik ima pravo u svakom trenutku povući svoju privolu. Povlačenje privole ne utječe na zakonitost obrade na temelju privole prije njezina povlačenja. Ispitanik se o tome obavješćuje prije davanja privole. Povlačenje privole mora biti jednako jednostavno kao i njezino davanje.

4.   Kad se procjenjuje je li privola bila dobrovoljna, posebno se uzima u obzir je li, među ostalim, izvršenje ugovora, uključujući pružanje usluge, uvjetovano privolom za obradu osobnih podataka koja nije nužna za izvršenje tog ugovora.

1.   Kad se primjenjuje članak 5. stavak 1. točka (d) u pogledu nuđenja usluga informacijskog društva izravno djetetu, obrada osobnih podataka djeteta zakonita je ako dijete ima najmanje 13 godina. Ako je dijete ispod dobne granice od 13 godina, takva je obrada zakonita samo ako i u mjeri u kojoj je privolu dao ili odobrio nositelj roditeljske odgovornosti nad djetetom.

2.   Voditelj obrade mora uložiti razumne napore kako bi provjerio je li privolu u takvim slučajevima dao ili odobrio nositelj roditeljske odgovornosti nad djetetom, uzimajući u obzir dostupnu tehnologiju.

3.   Stavak 1. ne utječe na opće ugovorno pravo država članica, kao što su pravila o valjanosti, sklapanju ili učinku ugovora kad je riječ o djetetu.

1.   Ne dovodeći u pitanje članke od 4. do 6. i članak 10., osobni se podaci prenose primateljima s poslovnim nastanom u Uniji koji nisu institucije i tijela Unije samo ako:

2.   Ako voditelj obrade inicira prijenos u skladu s ovim člankom, dužan je primjenom kriterija utvrđenih u stavku 1. točki (a) ili (b) dokazati da je prijenos podataka nužan za svrhe prijenosa i razmjeran njima.

3.   Institucije i tijela Unije usklađuju pravo na zaštitu osobnih podataka s pravom pristupa dokumentima u skladu s pravom Unije.

1.   Zabranjuje se obrada osobnih podataka koji otkrivaju rasno ili etničko podrijetlo, politička mišljenja, vjerska ili filozofska uvjerenja ili članstvo u sindikatu te obrada genetskih podataka, biometrijskih podataka u svrhu jedinstvene identifikacije pojedinca, podataka koji se odnose na zdravlje ili podataka o spolnom životu ili seksualnoj orijentaciji pojedinca.

2.   Stavak 1. ne primjenjuje se ako je ispunjeno jedno od sljedećega:

3.   Osobni podaci iz stavka 1. mogu se obrađivati u svrhe navedene u stavku 2. točki (h) kada te podatke obrađuje stručno tijelo ili se podaci obrađuju pod odgovornošću stručnog tijela koje podliježe obvezi čuvanja profesionalne tajne sukladno pravu Unije ili države članice ili pravilima koja su odredila nadležna nacionalna tijela ili druga osoba koja također podliježe obvezi čuvanja tajne sukladno pravu Unije ili države članice ili pravilima koja su utvrdila nadležna nacionalna tijela.

1.   Ako se u svrhe u koje voditelj obrade obrađuje osobne podatke ne zahtijeva ili više ne zahtijeva da voditelj obrade identificira ispitanika, voditelj obrade nije obvezan zadržavati, prikupljati ili obrađivati dodatne informacije radi identificiranja ispitanika samo u svrhu poštovanja ove Uredbe.

2.   Ako u slučajevima iz stavka 1. ovog članka voditelj obrade može dokazati da nije u mogućnosti identificirati ispitanika, voditelj obrade o tome na odgovarajući način obavješćuje ispitanika, ako je moguće. U takvim slučajevima ne primjenjuju se članci od 17. do 22., osim ako ispitanik u svrhu ostvarivanja svojih prava iz tih članaka pruži dodatne informacije koje omogućuju njegovu identifikaciju.

1.   Voditelj obrade poduzima odgovarajuće mjere kako bi se ispitaniku pružile sve informacije iz članaka 15. i 16. i sva komunikacija iz članaka od 17. do 24. i članka 35. u vezi s obradom u sažetom, transparentnom, razumljivom i lako dostupnom obliku, uz uporabu jasnog i jednostavnog jezika, osobito za svaku informaciju koja je posebno namijenjena djetetu. Informacije se pružaju u pisanom obliku ili drugim sredstvima, uključujući prema potrebi elektroničkim putem. Ako to zatraži ispitanik, informacije se mogu pružiti usmenim putem, pod uvjetom da je identitet ispitanika utvrđen drugim sredstvima.

2.   Voditelj obrade olakšava ostvarivanje prava ispitanika iz članaka od 17. do 24. U slučajevima iz članka 12. stavka 2. voditelj obrade ne smije odbiti postupiti po zahtjevu ispitanika u svrhu ostvarivanja njegovih prava iz članaka od 17. do 24., osim ako voditelj obrade dokaže da nije u mogućnosti utvrditi identitet ispitanika.

3.   Voditelj obrade ispitaniku na zahtjev pruža informacije o poduzetim radnjama iz članaka od 17. do 24. bez nepotrebne odgode i u svakom slučaju u roku od mjesec dana od zaprimanja zahtjeva. Taj se rok može prema potrebi produljiti za dodatna dva mjeseca, uzimajući u obzir složenost i broj zahtjevâ. Voditelj obrade u roku od mjesec dana od zaprimanja zahtjeva obavješćuje ispitanika o svakom takvom produljenju zajedno s razlozima odgađanja. Ako ispitanik podnese zahtjev elektroničkim putem, informacije se, ako je moguće, pružaju elektroničkim putem, osim ako ispitanik zatraži drukčije.

4.   Ako voditelj obrade ne postupi po zahtjevu ispitanika, voditelj obrade bez odgode i najkasnije jedan mjesec od primitka zahtjeva izvješćuje ispitanika o razlozima zbog kojih nije postupio i o mogućnosti podnošenja pritužbe Europskom nadzorniku za zaštitu podataka i traženja pravnog lijeka.

5.   Informacije pružene u skladu s člancima 15. i 16. i sva komunikacija i djelovanja iz članaka od 17. do 24. i članka 35. pružaju se bez naknade. Ako su zahtjevi ispitanika očito neutemeljeni ili pretjerani, osobito zbog njihova učestalog ponavljanja, voditelj obrade može odbiti postupiti po zahtjevu. Teret dokazivanja očigledne neutemeljenosti ili pretjeranosti zahtjeva snosi voditelj obrade.

6.   Ne dovodeći u pitanje članak 12., ako voditelj obrade ima opravdane sumnje u pogledu identiteta pojedinca koji podnosi zahtjev iz članaka od 17. do 23., voditelj obrade može tražiti pružanje dodatnih informacija neophodnih za potvrđivanje identiteta ispitanika.

7.   Informacije koje treba pružiti ispitanicima u skladu s člancima 15. i 16. mogu se pružiti u kombinaciji sa standardiziranim ikonama kako bi se na lako vidljiv, razumljiv i jasno čitljiv način pružio smislen pregled planirane obrade. Ako su ikone prikazane elektroničkim putem, moraju biti strojno čitljive.

8.   Ako Komisija u skladu s člankom 12. stavkom 8. Uredbe (EU) 2016/679 donese delegirane akte kojima se određuju informacije koje treba prikazati ikonama te postupci za utvrđivanje standardiziranih ikona, institucije i tijela Unije prema potrebi pružaju informacije iz članaka 15. i 16. ove Uredbe u kombinaciji s takvim standardiziranim ikonama.

1.   Ako se osobni podaci koji se odnose na ispitanika prikupljaju od tog ispitanika, voditelj obrade u trenutku prikupljanja osobnih podataka predmetnom ispitaniku pruža sve sljedeće informacije:

2.   Osim informacija iz stavka 1., voditelj obrade u trenutku prikupljanja osobnih podataka pruža ispitaniku sljedeće dodatne informacije potrebne kako bi se osigurala poštena i transparentna obrada:

3.   Ako voditelj obrade namjerava dalje obrađivati osobne podatke u svrhu koja je različita od one za koju su prikupljeni, voditelj obrade prije te daljnje obrade ispitaniku pruža informacije o toj drugoj svrsi te sve druge relevantne informacije iz stavka 2.

4.   Stavci 1., 2. i 3. ne primjenjuju se ako i u onoj mjeri u kojoj ispitanik već raspolaže informacijama.

1.   Ako osobni podaci nisu dobiveni od ispitanika, voditelj obrade ispitaniku pruža sljedeće informacije:

2.   Osim informacija iz stavka 1. voditelj obrade ispitaniku pruža sljedeće dodatne informacije neophodne za osiguravanje poštene i transparentne obrade s obzirom na ispitanika:

3.   Voditelj obrade pruža informacije iz stavaka 1. i 2.:

4.   Ako voditelj obrade namjerava dalje obrađivati osobne podatke u svrhu koja je različita od one za koju su osobni podaci dobiveni, voditelj obrade prije te daljnje obrade ispitaniku pruža informacije o toj drugoj svrsi te sve druge relevantne informacije iz stavka 2.

5.   Stavci od 1. do 4. ne primjenjuju se ako i u mjeri u kojoj:

6.   U slučajevima o kojima je riječ u stavku 5. točki (b) voditelj obrade poduzima odgovarajuće mjere za zaštitu prava i sloboda te legitimnih interesa ispitanika, među ostalim i javnim obznanjivanjem informacija.

1.   Ispitanik ima pravo od voditelja obrade dobiti potvrdu o tome obrađuju li se osobni podaci koji se odnose na njega te, ako se obrađuju, pristup tim osobnim podacima i informacije o sljedećem:

2.   Ako se osobni podaci prenose u treću zemlju ili međunarodnu organizaciju, ispitanik ima pravo biti informiran o odgovarajućim zaštitnim mjerama u skladu s člankom 48. koje se odnose na prijenos.

3.   Voditelj obrade osigurava kopiju osobnih podataka koji se obrađuju. Ako ispitanik podnese zahtjev u elektroničkom obliku, informacije se pružaju u uobičajenom elektroničkom obliku, osim ako ispitanik zatraži drukčije.

4.   Pravo na dobivanje kopije iz stavka 3. ne smije negativno utjecati na prava i slobode drugih.

1.   Ispitanik ima pravo od voditelja obrade ishoditi brisanje osobnih podataka koji se na njega odnose bez nepotrebne odgode te voditelj obrade ima obvezu izbrisati osobne podatke bez nepotrebne odgode ako je ispunjen jedan od sljedećih uvjeta:

2.   Ako je voditelj obrade javno objavio osobne podatke i dužan je u skladu sa stavkom 1. izbrisati te osobne podatke, uzimajući u obzir dostupnu tehnologiju i trošak provedbe, voditelj obrade poduzima razumne mjere, uključujući tehničke mjere, kako bi informirao voditelje obrade ili voditelje obrade koji nisu institucije i tijela Unije koji obrađuju osobne podatke da je ispitanik zatražio da izbrišu sve poveznice do njih ili kopiju ili rekonstrukciju tih osobnih podataka.

3.   Stavci 1. i 2. ne primjenjuju se u mjeri u kojoj je obrada nužna:

1.   Ispitanik ima pravo od voditelja obrade ishoditi ograničenje obrade ako je ispunjeno jedno od sljedećega:

2.   Ako je obrada ograničena stavkom 1., takvi osobni podaci smiju se, uz iznimku pohrane, obrađivati samo uz privolu ispitanika ili za postavljanje, ostvarivanje ili obranu pravnih zahtjeva ili zaštitu prava druge fizičke ili pravne osobe ili zbog važnog javnog interesa Unije ili države članice.

3.   Ispitanika koji je ishodio ograničenje obrade na temelju stavka 1. voditelj obrade obavješćuje prije nego što ograničenje obrade bude ukinuto.

4.   U automatiziranim sustavima pohrane ograničavanje obrade osobnih podataka u načelu se osigurava tehničkim sredstvima. Činjenica da su osobni podaci ograničeni naznačuje se u sustavu tako da bude jasno da se predmetni osobni podaci ne smiju upotrijebiti.

1.   Ispitanik ima pravo zaprimiti osobne podatke koji se odnose na njega, a koje je pružio voditelju obrade u strukturiranom, uobičajeno upotrebljavanom i strojno čitljivom formatu te ima pravo prenijeti te podatke drugom voditelju obrade, bez ometanja od strane voditelja obrade kojem su osobni podaci pruženi, ako se:

2.   Prilikom ostvarivanju svojeg prava na prenosivost podataka na temelju stavka 1. ispitanik ima pravo na izravni prijenos osobnih podataka od jednog voditelja obrade drugome ili voditeljima obrade koji nisu institucije i tijela Unije, ako je to tehnički izvedivo.

3.   Ostvarivanjem prava iz stavka 1. ovog članka ne dovodi se u pitanje članak 19. To se pravo ne primjenjuje na obradu nužnu za obavljanje zadaće od javnog interesa ili pri izvršavanju službene ovlasti voditelja obrade.

4.   Pravo iz stavka 1. ne smije negativno utjecati na prava i slobode drugih.

1.   Ispitanik ima pravo, u skladu s člankom 5. stavkom 1. točkom (a), na temelju svoje posebne situacije u svakom trenutku podnijeti prigovor na obradu osobnih podataka koji se odnose na njega, uključujući izradu profila koja se temelji na toj odredbi. Voditelj obrade više ne smije obrađivati osobne podatke osim ako dokaže da postoje uvjerljivi legitimni razlozi za obradu koji imaju prednost pred interesima, pravima i slobodama ispitanika ili radi postavljanja, ostvarivanja ili obrane pravnih zahtjeva.

2.   Ispitaniku se najkasnije u trenutku prve komunikacije s njim izričito mora skrenuti pozornost na pravo iz stavka 1. te se to mora učiniti na jasan način i odvojeno od svih drugih informacija.

3.   Ne dovodeći u pitanje članke 36. i 37., u kontekstu korištenja usluga informacijskog društva ispitanik može ostvariti svoje pravo na prigovor automatiziranim putem, uporabom tehničkih specifikacija.

4.   Ako se osobni podaci obrađuju u svrhe znanstvenog ili povijesnog istraživanja ili u statističke svrhe ispitanik na temelju svoje posebne situacije ima pravo podnijeti prigovor na obradu osobnih podataka koji se na njega odnose, osim ako je obrada nužna za izvršavanje zadaće zbog javnog interesa.

1.   Ispitanik ima pravo da se na njega ne odnosi odluka koja se temelji isključivo na automatiziranoj obradi, uključujući izradu profila, koja proizvodi pravne učinke koji se na njega odnose ili na sličan način znatno na njega utječu.

2.   Stavak 1. ne primjenjuje se ako je odluka:

3.   U slučajevima iz stavka 2. točaka (a) i (c) voditelj obrade provodi odgovarajuće mjere zaštite prava i sloboda te legitimnih interesa ispitanika, barem prava na ljudsku intervenciju voditelja obrade, prava izražavanja vlastitog stajališta te prava na osporavanje odluke.

4.   Odluke iz stavka 2. ovog članka ne smiju se temeljiti na posebnim kategorijama osobnih podataka iz članka 10. stavka 1., osim ako se primjenjuje članak 10. stavak 2. točka (a) ili (g) te ako su uspostavljene odgovarajuće mjere zaštite prava i sloboda te legitimnih interesa ispitanika.

1.   Pravnim aktima donesenima na temelju Ugovorâ ili, u pitanjima koja se odnose na djelovanje institucija i tijela Unije, internih pravila koja su donijele te institucije i tijela može se ograničiti primjena članaka od 14. do 22. te članak 35. i 36., kao i članak i 4. ako njegove odredbe odgovaraju pravima i obvezama predviđenima u člancima od 14. do 22., ako se takvim ograničenjem poštuje bit temeljnih prava i sloboda te je ono nužna i razmjerna mjera u demokratskom društvu za zaštitu:

2.   Svaki zakonodavni akt ili interno pravilo iz stavka 1. osobito sadrži, prema potrebi, posebne odredbe o:

3.   Ako se osobni podaci obrađuju u svrhe znanstvenog ili povijesnog istraživanja ili u statističke svrhe, pravom Unije, koje može uključivati interna pravila koja su donijela institucije i tijela Unije u pitanjima koja se odnose na njihovo djelovanje, mogu se predvidjeti odstupanja od prava navedenih u člancima 17., 18., 20. i 23., uz primjenu uvjeta i mjera zaštite iz članka 13., u mjeri u kojoj je vjerojatno da bi se takvim pravima moglo onemogućiti ili ozbiljno ugroziti postizanje tih posebnih svrha te su takva odstupanja neophodna za postizanje tih svrha.

4.   Ako se osobni podaci obrađuju u svrhe arhiviranja u javnom interesu, pravom Unije, koje može uključivati interna pravila koja su donijela institucije i tijela Unije u pitanjima koja se odnose na njihovo djelovanje, mogu se predvidjeti odstupanja od prava iz članaka 17., 18., 20., 21., 22. i 23., uz primjenu uvjeta i mjera zaštite iz članka 13., u mjeri u kojoj je vjerojatno da bi se takvim pravima moglo onemogućiti ili ozbiljno ugroziti postizanje tih posebnih svrha te su takva odstupanja neophodna za postizanje tih svrha.

5.   Interna pravila iz stavaka 1., 3. i 4. su jasni i precizni akti opće primjene kojima se proizvode pravni učinci u odnosu na ispitanike, doneseni na najvišoj rukovodećoj razini institucija i tijela Unije te se moraju objaviti u Službenom listu Europske unije.

6.   Ako se uvede ograničenje u skladu sa stavkom 1., ispitanika se mora obavijestiti, u skladu s pravom Unije, o glavnim razlozima na kojima se temelji primjena ograničenja te o njegovu pravu na podnošenje pritužbe Europskom nadzorniku za zaštitu podataka.

7.   Ako se ograničenje uvedeno u skladu sa stavkom 1. primjenjuje kako bi se ispitaniku uskratio pristup, Europski nadzornik za zaštitu podataka pri ispitivanju pritužbe obavješćuje ispitanika samo o tome jesu li podaci obrađeni ispravno te, ako nisu, jesu li izvršeni svi potrebni ispravci.

8.   Obavješćivanje iz stavaka 6. i 7. ovog članka te iz članka 45. stavka 2. može se odgoditi, izostaviti ili uskratiti ako bi poništilo učinak ograničenja uvedenog u skladu sa stavkom 1. ovog članka.

1.   Uzimajući u obzir prirodu, opseg, kontekst i svrhe obrade te rizike različitih razina vjerojatnosti i ozbiljnosti za prava i slobode pojedinaca, voditelj obrade provodi odgovarajuće tehničke i organizacijske mjere kako bi osigurao i mogao dokazati da se obrada provodi u skladu s ovom Uredbom. Te se mjere prema potrebi preispituju i ažuriraju.

2.   Ako su razmjerne u odnosu na aktivnosti obrade, mjere iz stavka 1. uključuju odgovarajuće politike zaštite podataka koje provodi voditelj obrade.

3.   Poštovanje odobrenih mehanizama certificiranja iz članka 42. Uredbe (EU) 2016/679 može se iskoristiti kao element za dokazivanje poštovanja obveza voditelja obrade.

1.   Uzimajući u obzir najnovija dostignuća, trošak provedbe i prirodu, opseg, kontekst i svrhe obrade te rizike različitih razina vjerojatnosti i ozbiljnosti za prava i slobode pojedinaca koji proizlaze iz obrade podataka, voditelj obrade, i u vrijeme određivanja sredstava obrade i u vrijeme same obrade, provodi odgovarajuće tehničke i organizacijske mjere, kao što je pseudonimizacija, za omogućavanje učinkovite primjene načela zaštite podataka, kao što je smanjenje količine podataka, te za uključenje potrebnih zaštitnih mjera u obradu kako bi se ispunili zahtjevi iz ove Uredbe i zaštitila prava ispitanika.

2.   Voditelj obrade provodi odgovarajuće tehničke i organizacijske mjere kojima se osigurava da integriranim načinom budu obrađeni samo osobni podaci koji su nužni za svaku posebnu svrhu obrade. Ta se obveza primjenjuje na količinu prikupljenih osobnih podataka, opseg njihove obrade, razdoblje pohrane i njihovu dostupnost. Točnije, takvim se mjerama osigurava da osobni podaci nisu automatski dostupni neograničenom broju fizičkih osoba bez intervencije pojedinca.

3.   Odobren mehanizam certificiranja sukladno članku 42. Uredbe (EU) 2016/679 može se iskoristiti kao element za dokazivanje sukladnosti sa zahtjevima iz stavaka 1. i 2. ovog članka.

1.   Ako dva ili više voditelja obrade ili jedan ili više voditelja obrade zajedno s jednim ili više voditelja obrade koji nisu institucije i tijela Unije, zajednički odrede svrhe i načine obrade, oni su zajednički voditelji obrade. Oni na transparentan način određuju svoje odgovornosti za poštovanje obveza u vezi sa zaštitom podataka, posebno u pogledu ostvarivanja prava ispitanika, i svojih dužnosti u vezi s pružanjem informacija iz članaka 15. i 16. te to čine međusobnim dogovorom, osim ako su i u mjeri u kojoj su odgovornosti zajedničkih voditeljâ obrade utvrđene pravom Unije ili pravom države članice kojem zajednički voditelji obrade podliježu. Dogovorom se može odrediti kontaktna točka za ispitanike.

2.   Dogovor iz stavka 1. mora propisno odražavati uloge i odnose zajedničkih voditelja obrade u odnosu na ispitanike. Bit dogovora je dostupna ispitaniku.

3.   Bez obzira na uvjete dogovora iz stavka 1., ispitanik može ostvarivati svoja prava iz ove Uredbe u vezi sa svakim voditeljem obrade, kao i protiv svakog od njih.

1.   Ako se obrada provodi u ime voditelja obrade, voditelj obrade surađuje samo s izvršiteljima obrade koji u dovoljnoj mjeri jamče provedbu odgovarajućih tehničkih i organizacijskih mjera na način da je obrada u skladu sa zahtjevima iz ove Uredbe i da se njome osigurava zaštita prava ispitanika.

2.   Izvršitelj obrade ne smije angažirati drugog izvršitelja obrade bez prethodnog posebnog ili općeg pisanog odobrenja voditelja obrade. U slučaju općeg pisanog odobrenja, izvršitelj obrade obavješćuje voditelja obrade o svim planiranim izmjenama u vezi s dodavanjem ili zamjenom drugih izvršitelja obrade kako bi time voditelju obrade omogućio da podnese prigovor na takve izmjene.

3.   Obrada koju provodi izvršitelj obrade uređuje se ugovorom ili drugim pravnim aktom u skladu s pravom Unije ili pravom države članice, koji izvršitelja obrade obvezuje prema voditelju obrade, a u kojem se navode predmet i trajanje obrade, priroda i svrha obrade, vrsta osobnih podataka i kategorije ispitanika te obveze i prava voditelja obrade. Tim se ugovorom ili drugim pravnim aktom osobito određuje da izvršitelj obrade:

U pogledu točke (h) prvog podstavka izvršitelj obrade bez odgode obavješćuje voditelja obrade ako se prema njegovu mišljenju određenom uputom krši ova Uredba ili druge odredbe Unije ili države članice o zaštiti podataka.

4.   Ako izvršitelj obrade angažira drugog izvršitelja obrade za provođenje posebnih aktivnosti obrade u ime voditelja obrade, iste obveze za zaštitu podataka kao one koje su navedene u ugovoru ili drugom pravnom aktu između voditelja obrade i izvršitelja obrade iz stavka 3. nameću se tom drugom izvršitelju obrade ugovorom ili drugim pravnim aktom u skladu s pravom Unije ili pravom države članice, a posebno obveza davanja dostatnih jamstava za provedbu odgovarajućih tehničkih i organizacijskih mjera na način da se obradom udovoljava zahtjevima iz ove Uredbe. Ako taj drugi izvršitelj obrade ne ispunjava obveze zaštite podataka, početni izvršitelj obrade ostaje u cijelosti odgovoran voditelju obrade za izvršavanje obveza tog drugog izvršitelja obrade.

5.   Ako izvršitelj obrade nije institucija ili tijelo Unije, njegovo poštovanje odobrenog kodeksa ponašanja iz članka 40. stavka 5. Uredbe (EU) 2016/679 ili odobrenog mehanizma certificiranja iz članka 42. Uredbe (EU) 2016/679 može se upotrijebiti kao element za dokazivanje dostatnih jamstava iz stavaka 1. i 4. ovog članka.

6.   Ne dovodeći u pitanje bilo koji pojedinačni ugovor između voditelja obrade i izvršitelja obrade, ugovor ili drugi pravni akt iz stavaka 3. i 4. ovog članka može se temeljiti, u cijelosti ili djelomično, na standardnim ugovornim klauzulama iz stavaka 7. i 8. ovog članka, među ostalim i onda kada su one dio certifikata dodijeljenog izvršitelju obrade koji nije institucija ili tijelo Unije u skladu s člankom 42. Uredbe (EU) 2016/679.

7.   Komisija može utvrditi standardne ugovorne klauzule za pitanja iz stavka 3. i 4. ovog članka, u skladu s postupkom ispitivanja iz članka 96. stavka 2.

8.   Europski nadzornik za zaštitu podataka može donijeti standardne ugovorne klauzule za pitanja iz stavaka 3. i 4.

9.   Ugovor ili drugi pravni akt iz stavaka 3. i 4. mora biti u pisanom obliku, uključujući elektronički oblik.

10.   Ne dovodeći u pitanje članke 65. i 66., ako izvršitelj obrade krši ovu Uredbu utvrđivanjem svrhe i načina obrade podataka, izvršitelj obrade smatra se voditeljem obrade u pogledu te obrade.

1.   Svaki voditelj obrade vodi evidenciju aktivnosti obrade za koje je odgovoran. Ta evidencija sadržava sve sljedeće informacije:

2.   Svaki izvršitelj obrade vodi evidenciju svih kategorija aktivnosti obrade koje se obavljaju za voditelja obrade, koja sadržava:

3.   Evidencija iz stavaka 1. i 2. mora biti u pisanom obliku, uključujući elektronički oblik.

4.   Institucije i tijela Unije na zahtjev stavljaju evidenciju na raspolaganje Europskom nadzorniku za zaštitu podataka.

5.   Osim ako to zbog veličine institucije ili tijela Unije nije primjereno, institucije i tijela Unije vode evidenciju aktivnosti obrade u obliku središnjeg registra. Oni osiguravaju javnu dostupnost registra.

1.   Uzimajući u obzir najnovija dostignuća, troškove provedbe te prirodu, opseg, kontekst i svrhe obrade kao i rizike različitih razina vjerojatnosti i ozbiljnosti za prava i slobode pojedinaca, voditelj obrade i izvršitelj obrade provode odgovarajuće tehničke i organizacijske mjere kako bi osigurali odgovarajuću razinu sigurnosti s obzirom na rizik, uključujući prema potrebi:

2.   Prilikom procjene odgovarajuće razine sigurnosti u obzir se posebno uzimaju rizici koje predstavlja obrada, posebno rizici od slučajnog ili nezakonitog uništenja, gubitka, izmjene, neovlaštenog otkrivanja osobnih podataka ili neovlaštenog pristupa osobnim podacima koji su preneseni, pohranjeni ili na drugi način obrađivani.

3.   Voditelj obrade i izvršitelj obrade poduzimaju mjere kako bi osigurali da svaki pojedinac koji djeluje pod odgovornošću voditelja obrade ili izvršitelja obrade, a koji ima pristup osobnim podacima, ne obrađuje te podatke ako to nije prema uputama voditelja obrade, osim ako je to obvezan učiniti prema pravu Unije ili pravu države članice.

4.   Poštovanje odobrenog mehanizma certificiranja sukladno članku 42. Uredbe (EU) 2016/679 može se iskoristiti kao element za dokazivanje sukladnosti sa zahtjevima iz stavka 1. ovog članka.

1.   U slučaju povrede osobnih podataka voditelj obrade bez nepotrebne odgode i, ako je to izvedivo, najkasnije 72 sata nakon saznanja o toj povredi, izvješćuje Europskog nadzornika za zaštitu podataka o toj povredi, osim ako nije vjerojatno da će ta povreda osobnih podataka prouzročiti rizik za prava i slobode pojedinaca. Ako izvješćivanje Europskog nadzornika za zaštitu podataka nije učinjeno unutar 72 sata, ono mora biti popraćeno razlozima za kašnjenje.

2.   Nakon što sazna za povredu osobnih podataka, izvršitelj obrade bez nepotrebne odgode o tome izvješćuje voditelja obrade.

3.   U izvješćivanju iz stavka 1. mora se barem:

4.   Ako i u onoj mjeri u kojoj nije moguće istodobno pružiti informacije, moguće ih je pružati postupno, bez nepotrebne daljnje odgode.

5.   Voditelj obrade obavješćuje službenika za zaštitu podataka o povredi osobnih podataka.

6.   Voditelj obrade dokumentira sve povrede osobnih podataka, uključujući činjenice vezane za povredu osobnih podataka, njezine posljedice i poduzete korektivne mjere. Ta dokumentacija omogućuje Europskom nadzorniku za zaštitu podataka provjeru usklađenosti s ovim člankom.

1.   U slučaju povrede osobnih podataka koja će vjerojatno prouzročiti visok rizik za prava i slobode pojedinaca, voditelj obrade bez nepotrebne odgode obavješćuje ispitanika o povredi osobnih podataka.

2.   Obavijesti ispitaniku iz stavka 1. ovog članka opisuje prirodu povrede osobnih podataka uporabom jasnog i jednostavnog jezika te ono sadržava barem informacije i mjere iz članka 34. stavka 3. točaka (b), (c) i (d).

3.   Obavješćivanje ispitanika iz stavka 1. nije obvezno ako je ispunjen bilo koji od sljedećih uvjeta:

4.   Ako voditelj obrade nije do tog trenutka obavijestio ispitanika o povredi osobnih podataka, Europski nadzornik za zaštitu podataka nakon razmatranja vjerojatnosti da će povreda osobnih podataka prouzročiti visok rizik može od njega zahtijevati da to učini ili može zaključiti da je ispunjen neki od uvjeta iz stavka 3.

1.   Osobni podaci sadržani u imenicima korisnika te pristup takvim imenicima ograničeni su na ono što je neophodno za točno određene namjene imenika.

2.   Institucije i tijela Unije poduzimaju sve potrebne mjere kako bi spriječili da se osobni podaci sadržani u tim imenicima, bez obzira na to jesu li dostupni javnosti ili nisu, upotrebljavaju u svrhu izravnog marketinga.

1.   Ako je vjerojatno da će neka vrsta obrade, osobito putem novih tehnologija i uzimajući u obzir prirodu, opseg, kontekst i svrhe obrade, prouzročiti visok rizik za prava i slobode pojedinaca, voditelj obrade prije obrade provodi procjenu učinka predviđenih postupaka obrade na zaštitu osobnih podataka. Jedna procjena može se odnositi na niz sličnih postupaka obrade koji predstavljaju slične visoke rizike.

2.   Pri provođenju procjene učinka na zaštitu podataka voditelj obrade traži savjet od službenika za zaštitu podataka.

3.   Procjena učinka na zaštitu podataka iz stavka 1. obvezna je posebno u slučaju:

4.   Europski nadzornik za zaštitu podataka sastavlja i javno objavljuje popis vrsta postupaka obrade koje podliježu zahtjevu za procjenu učinka na zaštitu podataka u skladu sa stavkom 1.

5.   Europski nadzornik za zaštitu podataka može isto tako sastaviti i objaviti popis vrsta postupaka obrade za koje nije potrebna procjena učinka na zaštitu podataka.

6.   Prije usvajanja popisâ iz stavaka 4. i 5. ovog članka, Europski nadzornik za zaštitu podataka Europskom odboru za zaštitu podataka uspostavljenom člankom 68 Uredbe (EU) 2016/679 upućuje zahtjev da te popise ispita u skladu s člankom 70. stavkom 1. točkom (e) te uredbe ako se odnose na postupke obrade koje voditelj obrade provodi zajednički s jednim ili više voditelja obrade koji nisu institucije i tijela Unije.

7.   Procjena sadržava barem:

8.   Pri procjeni učinka postupaka obrade koje provode izvršitelji obrade koji nisu institucije i tijela Unije uzima se u obzir poštuju li takvi izvršitelji obrade odobrene kodekse ponašanja iz članka 40. Uredbe (EU) 2016/679, posebno u svrhe procjene učinka na zaštitu podataka.

9.   Prema potrebi voditelj obrade od ispitanika ili njihovih predstavnika traži mišljenje o planiranoj obradi ne dovodeći u pitanje zaštitu javnih interesa ili sigurnost postupaka obrade.

10.   Ako obrada u skladu s člankom 5. stavkom 1. točkom (a) ili (b) ima pravnu osnovu u pravnom aktu koji je donesen na temelju Ugovora i kojim se uređuju posebni postupci obrade ili skupina predmetnih postupaka te je procjena učinka na zaštitu podataka već provedena kao dio opće procjene učinka prije donošenja pravnog akta, stavci od 1. do 6. ovog članka ne primjenjuju se, osim ako je tim pravnim aktom predviđeno drukčije.

11.   Prema potrebi voditelj obrade provodi preispitivanje kako bi procijenio je li obrada provedena u skladu s procjenom učinka na zaštitu podataka barem onda kada postoji promjena u razini rizika koji predstavljaju postupci obrade.

1.   Ako se u procjeni učinka na zaštitu podataka iz članka 39. pokaže da bi obrada u nedostatku zaštitnih mjera, sigurnosnih mjera i mehanizama za umanjivanje rizika dovela do visokog rizika za prava i slobode pojedinaca, a voditelj obrade smatra da se taj rizik ne može umanjiti razumnim mjerama u pogledu dostupne tehnologije i troškova provedbe, voditelj obrade mora se prije obrade savjetovati s Europskim nadzornikom za zaštitu podataka. Voditelj obrade traži savjet službenika za zaštitu podataka o potrebi za prethodnim savjetovanjem.

2.   Ako Europski nadzornik za zaštitu podataka smatra da bi se planiranom obradom iz stavka 1. kršila ova Uredba, osobito ako voditelj obrade nije u dovoljnoj mjeri utvrdio ili umanjio rizik, Europski nadzornik za zaštitu podataka u roku od najviše osam tjedana od zaprimanja zahtjeva za savjetovanje pisanim putem savjetuje voditelja obrade i, prema potrebi, izvršitelja obrade te može iskoristiti bilo koju od svojih ovlasti iz članka 58. Taj se rok može produžiti za šest tjedana uzimajući u obzir složenost planirane obrade. Europski nadzornik za zaštitu podataka u roku od mjesec dana od zaprimanja zahtjeva obavješćuje voditelja obrade i, prema potrebi, izvršitelja obrade o svakom takvom produljenju i o razlozima odgode. Ti se rokovi mogu obustaviti sve dok Europski nadzornik za zaštitu podataka ne dobije informacije koje je zatražio u svrhe savjetovanja.

3.   Prilikom savjetovanja s Europskim nadzornikom za zaštitu podataka u skladu sa stavkom 1., voditelj obrade mu dostavlja:

4.   Komisija može provedbenim aktom utvrditi popis slučajeva u kojima se voditelji obrade moraju savjetovati s Europskim nadzornikom za zaštitu podataka i od njega dobiti odobrenje u pogledu obrade osobnih podataka u svrhu izvršavanja zadaće koju voditelj obrade obavlja u javnom interesu, uključujući obradu takvih podataka povezanu sa socijalnom zaštitom i javnim zdravljem.

1.   Institucije i tijela Unije obavješćuju Europskog nadzornika za zaštitu podataka kad pripremaju administrativne mjere i interna pravila koja se odnose na obradu osobnih podataka koju institucija ili tijelo Unije provodi samostalno ili zajedno s ostalima.

2.   Institucije i tijela Unije savjetuju se s Europskim nadzornikom za zaštitu podataka prilikom sastavljanja internih pravila iz članka 25.

1.   Nakon donošenja prijedloga zakonodavnog akta, preporuka ili prijedloga Vijeću u skladu s člankom 218. UFEU-a ili pri pripremanju delegiranih akata ili provedbenih akata kada oni utječu na zaštitu prava i sloboda fizičkih osoba u pogledu obrade osobnih podataka Komisija se savjetuje s Europskim nadzornikom za zaštitu podataka.

2.   Ako je akt iz stavka 1. posebno važan za zaštitu prava i sloboda pojedinaca u pogledu obrade osobnih podataka, Komisija se može savjetovati i s Europskim odborom za zaštitu podataka. U tim slučajevima Europski nadzornik za zaštitu podataka i Europski odbor za zaštitu podataka koordiniraju svoj rad s ciljem donošenja zajedničkog mišljenja.

3.   Savjet iz stavaka 1. i 2. daje se u pisanom obliku u roku od najviše osam tjedana od zaprimanja zahtjeva za savjetovanje iz stavaka 1. i 2. U hitnim slučajevima ili ako je to inače potrebno Komisija može skratiti taj rok.

4.   Ovaj se članak ne primjenjuje kad se Komisija u skladu s Uredbom (EU) 2016/679 mora savjetovati s Europskim odborom za zaštitu podataka.

1.   Svaka institucija ili tijelo Unije imenuje službenika za zaštitu podataka.

2.   Nekoliko institucija i tijela Unije može zajednički imenovati jednog službenika za zaštitu podataka, uzimajući u obzir svoju organizacijsku strukturu i veličinu.

3.   Službenik za zaštitu podataka imenuje se na temelju stručnih kvalifikacija, a posebno stručnog znanja o pravu i praksama u području zaštite podataka te sposobnosti izvršavanja zadaća iz članka 45.

4.   Službenik za zaštitu podataka je član osoblja institucije ili tijela Unije. Uzimajući u obzir njihovu veličinu i ako opcija iz stavka 2. nije iskorištena, institucije i tijela Unije mogu imenovati službenika za zaštitu podataka koji ispunjava svoje zadaće na temelju ugovora o djelu.

5.   Institucije i tijela Unije objavljuju podatke za kontakt službenika za zaštitu podataka i priopćuju ih Europskom nadzorniku za zaštitu podataka.

1.   Institucije i tijela Unije osiguravaju da je službenik za zaštitu podataka na primjeren način i pravodobno uključen u sva pitanja u pogledu zaštite osobnih podataka.

2.   Institucije i tijela Unije podupiru službenika za zaštitu podataka u izvršavanju zadaća iz članka 45. pružajući mu potrebna sredstva za izvršavanje tih zadaća i pristup osobnim podacima i postupcima obrade te za održavanje njegova stručnog znanja.

3.   Institucije i tijela Unije osiguravaju da službenik za zaštitu podataka ne prima nikakve upute u pogledu izvršenja tih zadaća. Voditelj obrade ili izvršitelj obrade ne smiju ga razriješiti dužnosti ili kazniti zbog izvršavanja njegovih zadaća. Službenik za zaštitu podataka izravno odgovara najvišoj rukovodećoj razini voditelja obrade ili izvršitelja obrade.

4.   Ispitanici se mogu obratiti službeniku za zaštitu podataka u pogledu svih pitanja povezanih s obradom svojih osobnih podataka i ostvarivanja svojih prava iz ove Uredbe.

5.   Službenik za zaštitu podataka i njegovo osoblje obvezani su tajnošću ili povjerljivošću u vezi s obavljanjem svojih zadaća, u skladu s pravom Unije.

6.   Službenik za zaštitu podataka može ispunjavati i druge zadaće i dužnosti. Voditelj obrade ili izvršitelj obrade osigurava da takve zadaće i dužnosti ne dovedu do sukoba interesa.

7.   Voditelj obrade i izvršitelj obrade, predmetni odbor za osoblje i bilo koji pojedinac o svakom se pitanju koje se odnosi na tumačenje ili primjenu ove Uredbe mogu savjetovati sa službenikom za zaštitu podataka, a da se pritom ne moraju koristiti službenim kanalima. Nitko ne smije pretrpjeti štetu zbog predmeta na koji je skrenuta pozornost nadležnom službeniku za zaštitu podataka u kojem je navodno došlo do kršenja odredaba ove Uredbe.

8.   Službenik za zaštitu podataka imenuje se na razdoblje od tri do pet godina te ima pravo biti ponovno imenovan. Službenika za zaštitu podataka dužnosti može razriješiti institucija ili tijelo Unije koje ga je imenovalo, ako službenik za zaštitu podataka više ne ispunjava uvjete potrebne za obavljanje svojih dužnosti i samo uz suglasnost Europskog nadzornika za zaštitu podataka.

9.   Službenika za zaštitu podataka nakon njegova imenovanja institucija ili tijelo koje ga je imenovalo registrira pri Europskom nadzorniku za zaštitu podataka.

1.   Službenik za zaštitu podataka obavlja sljedeće zadaće:

2.   Službenik za zaštitu podataka može voditelju obrade i izvršitelju obrade dati preporuke za praktično poboljšanje zaštite podataka te ih savjetovati o pitanjima u vezi s primjenom odredaba o zaštiti podataka. Nadalje, službenik za zaštitu podataka može na vlastitu inicijativu ili na zahtjev voditelja obrade ili izvršitelja obrade, predmetnog odbora za osoblje ili bilo koje fizičke osobe istražiti pitanja i događaje koji su izravno povezani s njegovim zadaćama, a koje je zapazio te povratno o tome povratno izvijestiti osobu koja je zatražila istragu ili voditelja obrade ili izvršitelja obrade.

3.   Dodatna provedbena pravila koja se odnose na službenika za zaštitu podataka donosi svaka institucija ili tijelo Unije. Provedbena pravila posebno se odnose na zadaće, dužnosti i ovlasti službenika za zaštitu podataka.

1.   Prijenos osobnih podataka trećoj zemlji ili međunarodnoj organizaciji može se izvršiti kad Komisija u skladu s člankom 45. stavkom 3. Uredbe (EU) 2016/679 ili člankom 36. stavkom 3. Direktive (EU) 2016/680 odluči da predmetna treća zemlja, područje ili jedan ili više određenih sektora unutar te treće zemlje ili međunarodna organizacija osigurava primjerenu razinu zaštite te kada se osobni podaci prenose isključivo kako bi voditelj obrade mogao izvršiti zadaće za koje je nadležan.

2.   Institucije i tijela Unije obavješćuju Komisiju i Europskog nadzornika za zaštitu podataka o slučajevima za koje smatraju da predmetna treća zemlja, područje ili jedan ili više određenih sektora unutar te treće zemlje ili međunarodna organizacija ne osigurava primjerenu razinu zaštite u smislu stavka 1.

3.   Institucije i tijela Unije poduzimaju potrebne mjere za poštovanje odluka Komisije kad Komisija u skladu s člankom 45. stavkom 3. ili 5. Uredbe (EU) 2016/679 ili s člankom 36. stavkom 3. ili 5. Direktive (EU) 2016/680 utvrdi da treća zemlja, područje ili jedan ili više određenih sektora unutar te treće zemlje ili međunarodna organizacija osigurava primjerenu razinu zaštite ili da je više ne osigurava.

1.   Ako nije donesena odluka na temelju članka 45. stavka 3. Uredbe (EU) 2016/679 ili članka 36. stavka 3. Direktive (EU) 2016/680, voditelj obrade ili izvršitelj obrade može prenijeti osobne podatke trećoj zemlji ili međunarodnoj organizaciji samo ako je predvidio odgovarajuće zaštitne mjere i pod uvjetom da su ispitanicima na raspolaganju provediva prava i učinkoviti pravni lijekovi.

2.   Odgovarajuće zaštitne mjere iz stavka 1. mogu, bez potrebe za ikakvim posebnim odobrenjem Europskog nadzornika za zaštitu podataka, pružati:

3.   Pod uvjetom da to odobri Europski nadzornik za zaštitu podataka, odgovarajuće zaštitne mjere iz stavka 1. konkretno mogu pružiti i:

4.   Odobrenja koja izda Europski nadzornik za zaštitu podataka na temelju članka 9. stavka 7. Uredbe (EZ) br. 45/2001 ostaju valjana dok ih Europski nadzornik za zaštitu podataka prema potrebi ne izmijeni, zamijeni ili stavi izvan snage.

5.   Institucije i tijela Unije obavješćuju Europskog nadzornika za zaštitu podataka o kategorijama slučajeva u kojima je primijenjen ovaj članak.

1.   Ako ne postoji odluka o primjerenosti u skladu s člankom 45. stavkom 3. Uredbe (EU) 2016/679 ili člankom 36. stavkom 3. Direktive (EU) 2016/680 ili odgovarajuće zaštitne mjere u skladu s člankom 48. ove Uredbe, prijenos ili skup prijenosa osobnih podataka u treću zemlju ili međunarodnu organizaciju ostvaruje se samo pod jednim od sljedećih uvjeta:

2.   Stavak 1. točke (a), (b) i (c) ne primjenjuju se na aktivnosti koje provode institucije i tijela Unije u izvršavanju svojih javnih ovlasti.

3.   Javni interes iz stavka 1. točke (d) mora biti priznat u pravu Unije.

4.   Prijenos na temelju stavka 1. točke (g) ne uključuje cjelokupne osobne podatke u cjelini ni cijele kategorije osobnih podataka sadržanih u registru, osim ako je to dopušteno pravom Unije. Kada je registar namijenjen uvidu osoba koje imaju legitimni interes, prijenos se obavlja samo na zahtjev tih osoba ili ako su one primatelji.

5.   Ako ne postoji odluka o primjerenosti, pravo Unije može iz važnih razloga javnog interesa izričito odrediti ograničenja prijenosa određenih kategorija osobnih podataka trećoj zemlji ili međunarodnoj organizaciji.

6.   Institucije i tijela Unije obavješćuju Europskog nadzornika za zaštitu podataka o kategorijama slučajeva u kojima je primijenjen ovaj članak.

1.   Uspostavlja se Europski nadzornik za zaštitu podataka.

2.   U vezi s obradom osobnih podataka Europski nadzornik za zaštitu podataka dužan je osigurati da institucije i tijela Unije poštuju temeljna prava i slobode fizičkih osoba, a posebno njihovo pravo na zaštitu podataka.

3.   Europski nadzornik za zaštitu podataka odgovoran je za praćenje i osiguravanje primjene odredaba ove Uredbe i svih ostalih akata Unije koji se odnose na zaštitu temeljnih prava i sloboda fizičkih osoba u vezi s obradom osobnih podataka u instituciji ili tijelu Unije, kao i za savjetovanje institucija i tijela Unije te ispitanika o svim pitanjima u vezi s obradom osobnih podataka. U tu svrhu Europski nadzornik za zaštitu podataka obavlja zadaće predviđene člankom 57. te izvršava ovlasti koje su mu dodijeljene člankom 58.

4.   Na dokumente koje posjeduje Europski nadzornik za zaštitu podataka primjenjuje se Uredba (EZ) br. 1049/2001. Europski nadzornik za zaštitu podataka donosi detaljna pravila za primjenu Uredbe (EZ) br. 1049/2001 u vezi s tim dokumentima.

1.   Europski parlament i Vijeće sporazumno imenuju Europskog nadzornika za zaštitu podataka na mandat od pet godina na temelju popisa koji je Komisija sastavila nakon javnog natječaja za kandidate. Natječaj za kandidate omogućuje svim zainteresiranim stranama u cijeloj Uniji da podnesu svoje prijave. Popis kandidata koji je sastavila Komisija javan je i na njega su uvrštena najmanje tri kandidata. Na temelju popisa koji je sastavila Komisija nadležni odbor Europskog parlamenta može odlučiti da će održati raspravu kako bi mogao izraziti svoje mišljenje o tome kojem kandidatu daje prednost.

2.   Na popisu kandidata iz stavka 1. nalaze se osobe čija je neovisnost neupitna i koje su priznate kao osobe sa stručnim znanjem u području zaštite podataka te iskustvom i vještinama potrebnima za obavljanje dužnosti Europskog nadzornika za zaštitu podataka.

3.   Mandat Europskog nadzornika za zaštitu podataka može se jedanput obnoviti.

4.   Dužnosti Europskog nadzornika za zaštitu podataka prestaju u sljedećim okolnostima:

5.   Na zahtjev Europskog parlamenta, Vijeća ili Komisije, Sud može Europskog nadzornika za zaštitu podataka razriješiti dužnosti ili mu oduzeti pravo na mirovinu ili na druge zamjenske pogodnosti ako više ne ispunjava uvjete neophodne za obavljanje svojih dužnosti ili ako je kriv za ozbiljne propuste.

6.   U slučaju uobičajene zamjene ili dobrovoljnog odstupanja s dužnosti Europski nadzornik za zaštitu podataka ostaje na položaju dok mu se ne pronađe zamjena.

7.   Članci od 11. do 14. i članak 17. Protokola o povlasticama i imunitetima Europske unije primjenjuju se i na Europskog nadzornika za zaštitu podataka.

1.   Europski nadzornik za zaštitu podataka je u pogledu određivanja primitka od rada, dodataka, starosne mirovine te svih drugih naknada na osnovi rada izjednačen sa sucem Suda.

2.   Tijelo nadležno za proračun dužno je osigurati da Europski nadzornik za zaštitu podataka dobije osoblje i financijska sredstva potrebna za obavljanje svojih zadataka.

3.   Proračun Europskog nadzornika za zaštitu podataka prikazuje se kao posebna proračunska stavka u odjeljku općeg proračuna Unije povezanom s administrativnim rashodima.

4.   Europskom nadzorniku za zaštitu podataka pomaže tajništvo. Dužnosnike i ostale članove osoblja tajništva imenuje Europski nadzornik za zaštitu podataka i on je njihov nadređeni. Oni rade isključivo prema njegovim uputama. Njihov se broj određuje svake godine kao dio postupka izrade proračuna. Članak 75. stavak 2. Uredbe (EU) 2016/679 primjenjuje se na osoblje Europskog nadzornika za zaštitu podataka uključeno u obavljanje zadaća povjerenih Europskom odboru za zaštitu podataka na temelju prava Unije.

5.   Dužnosnici i ostali članovi osoblja tajništva Europskog nadzornika za zaštitu podataka podliježu pravilima i propisima koji se primjenjuju na dužnosnike i ostale službenike Unije.

6.   Sjedište Europskog nadzornika za zaštitu podataka nalazi se u Bruxellesu.

1.   Europski nadzornik za zaštitu podataka djeluje potpuno neovisno pri obavljanju svojih dužnosti i izvršavanju svojih ovlasti u skladu s ovom Uredbom.

2.   Pri obavljanju svojih dužnosti i izvršavanju svojih ovlasti u skladu s ovom Uredbom, Europski nadzornik za zaštitu podataka mora biti slobodan od izravnog ili neizravnog vanjskog utjecaja te ni od koga ne smije tražiti ni primati upute.

3.   Europski nadzornik za zaštitu podataka suzdržava se od svih radnji koje nisu u skladu s njegovim dužnostima te se tijekom svojeg mandata ne smije baviti ni jednim drugim zanimanjem, ni plaćenim ni neplaćenim.

4.   Nakon isteka mandata Europski nadzornik za zaštitu podataka dužan je ponašati se časno i suzdržano u pogledu prihvaćanja imenovanja i povlastica.

1.   Ne dovodeći u pitanje ostale zadaće utvrđene ovom Uredbom, Europski nadzornik za zaštitu podataka obavlja sljedeće:

2.   Europski nadzornik za zaštitu podataka olakšava podnošenje pritužbi iz stavka 1. točke (e) mjerama poput obrasca za podnošenje pritužbe koji se može ispuniti i elektroničkim putem, ne isključujući ostala sredstva komunikacije.

3.   Izvršavanje zadaća Europskog nadzornika za zaštitu podataka besplatno je za ispitanika.

4.   Ako su zahtjevi ispitanika očito neutemeljeni ili pretjerani, osobito zbog učestalog ponavljanja, Europski nadzornik za zaštitu podataka može odbiti postupiti po zahtjevu. Teret dokazivanja očigledne neutemeljenosti ili pretjeranosti zahtjeva snosi Europski nadzornik za zaštitu podataka.

1.   Europski nadzornik za zaštitu podataka ima sljedeće istražne ovlasti:

2.   Europski nadzornik za zaštitu podataka ima sljedeće korektivne ovlasti:

3.   Europski nadzornik za zaštitu podataka ima sljedeće ovlasti za davanje odobrenja i savjetodavne ovlasti:

4.   Europski nadzornik za zaštitu podataka ima ovlast uputiti predmet Sudu pod uvjetima propisanima Ugovorima te intervenirati u postupcima pred Sudom.

5.   Izvršavanje ovlasti dodijeljenih Europskom nadzorniku za zaštitu podataka u skladu s ovim člankom podliježe odgovarajućim zaštitnim mjerama utvrđenima u pravu Unije, među ostalim učinkovitom pravnom lijeku i odgovarajućem postupku.

1.   Europski nadzornik za zaštitu podataka podnosi godišnje izvješće o svojim aktivnostima Europskom parlamentu, Vijeću i Komisiji te ga istodobno objavljuje.

2.   Europski nadzornik za zaštitu podataka upućuje izvješće iz stavka 1. ostalim institucijama i tijelima Unije koji mogu iznijeti svoje primjedbe radi mogućeg preispitivanja izvješća u Europskom parlamentu.

1.   Ako se u aktu Unije upućuje na ovaj članak, Europski nadzornik za zaštitu podataka i nacionalna nadzorna tijela, djelujući u okviru svojih nadležnosti, aktivno surađuju u okviru svojih odgovornosti kako bi osigurali djelotvoran nadzor nad velikim informacijskim sustavima i tijelima te nad uredima i agencijama Unije.

2.   Oni, prema potrebi, u okviru svojih nadležnosti i odgovornosti razmjenjuju relevantne informacije, pomažu si međusobno u obavljanju revizija i inspekcija, ispituju poteškoće u tumačenju ili primjeni ove Uredbe i drugih mjerodavnih akata Unije, proučavaju probleme koji se javljaju pri izvršavanju neovisnog nadzora ili ostvarivanju prava ispitanika, izrađuju usklađene prijedloge za rješavanje problema te promiču osviještenost o pravima zaštite podataka.

3.   Za svrhe utvrđene u stavku 2. Europski nadzornik za zaštitu podataka i nacionalna nadzorna tijela sastaju se najmanje dvaput godišnje u okviru Europskog odbora za zaštitu podataka. Europski odbor za zaštitu podataka može u te svrhe po potrebi razviti daljnje metode rada.

4.   Europski nadzornik za zaštitu podataka svake dvije godine šalje Europskom parlamentu, Vijeću i Komisiji zajedničko izvješće o aktivnostima koordiniranog nadzora.

1.   Ne dovodeći u pitanje bilo koji pravni lijek u sudskom, upravnom ili izvansudskom postupku, svaki ispitanik ima pravo podnijeti pritužbu Europskom nadzorniku za zaštitu podataka ako ispitanik smatra da obrada osobnih podataka koja se odnosi na njega krši ovu Uredbu.

2.   Europski nadzornik za zaštitu podataka obavješćuje podnositelja pritužbe o napretku i ishodu pritužbe, uključujući mogućnost pravnog lijeka na temelju članka 64.

3.   Ako Europski nadzornik za zaštitu podataka ne riješi pritužbu ili ne obavijesti ispitanika u roku od tri mjeseca o napretku ili ishodu pritužbe, smatra se da je Europski nadzornik za zaštitu podataka donio negativnu odluku.

1.   Sud je nadležan za rješavanje svih sporova koji se odnose na odredbe ove Uredbe, uključujući i zahtjeve za odštetu.

2.   Postupci protiv odluka Europskog nadzornika za zaštitu podataka, uključujući odluke iz članka 63. stavka 3., pokreću se pred Sudom.

3.   Sud ima neograničenu nadležnost za preispitivanje upravnih novčanih kazni iz članka 66. On može ukinuti, smanjiti ili povećati te novčane kazne u skladu s ograničenjima iz članka 66.

1.   Europski nadzornik za zaštitu podataka može institucijama i tijelima Unije izreći upravnu novčanu kaznu, ovisno o okolnostima svakog pojedinog slučaja, ako institucija ili tijelo Unije ne postupi u skladu s naredbom Europskog nadzornika za zaštitu podataka iz članka 58. stavka 2. točaka od (d) do (h) i točke (j). Pri odlučivanju o izricanju upravne novčane kazne i o njezinu iznosu u svakom pojedinom slučaju, dužna se pozornost posvećuje sljedećem:

2.   Ako institucija ili tijelo Unije prekrši obvezu iz članaka 8., 12., od 27. do 35., 39., 40., 43., 44. i 45., izriču se, u skladu sa stavkom 1., upravne novčane kazne u iznosu do 25 000 EUR po kršenju te do ukupnog iznosa od 250 000 EUR godišnje.

3.   Za kršenja sljedećih odredaba koje počini institucija ili tijelo Unije izriču se, u skladu sa stavkom 1., upravne novčane kazne u iznosu do 50 000 EUR po kršenju te do ukupnog iznosa od 500 000 EUR godišnje:

4.   Ako za iste ili povezane ili kontinuirane postupke obrade institucija ili tijelo Unije prekrši nekoliko odredaba ove Uredbe ili prekrši istu odredbu ove Uredbe više puta, ukupan iznos upravne novčane kazne ne smije biti veći od iznosa utvrđenog za najteže kršenje.

5.   Prije donošenja odluka u skladu s ovim člankom Europski nadzornik za zaštitu podataka pruža instituciji ili tijelu Unije protiv kojeg vodi postupak mogućnost da se očituje na njegove prigovore. Europski nadzornik za zaštitu podataka temelji svoje odluke isključivo na prigovorima u pogledu kojih su se stranke mogle očitovati. Podnositelji pritužbe moraju biti uključeni u postupke.

6.   U postupcima se u potpunosti poštuje pravo stranaka na obranu. Imaju pravo na uvid u spis Europskog nadzornika za zaštitu podataka uz uvjet da se poštuju legitimni interesi pojedinaca ili poduzeća da štite svoje osobne podatke ili poslovne tajne.

7.   Sredstva ostvarena naplatom novčanih kazni iz ovog članka prihod su općeg proračuna Unije.

1.   Operativni osobni podaci:

2.   Obrada koju obavlja isti ili neki drugi voditelj obrade u bilo koju svrhu utvrđenu u pravnom aktu kojim se osniva tijelo, ured ili agencija Unije različitu od one za koju su osobni operativni podaci prikupljeni dopuštena je:

3.   Obrada koju obavlja isti ili neki drugi voditelj obrade može uključivati arhiviranje u javnom interesu, u znanstvene, statističke ili povijesne svrhe, u svrhe utvrđene u pravnom aktu kojim se osniva tijelo, ured ili agencija Unije, podložno odgovarajućim zaštitnim mjerama u pogledu prava i sloboda ispitanika.

4.   Voditelj obrade odgovoran je za usklađenost sa stavcima 1., 2. i 3. te je mora moći dokazati.

1.   Obrada operativnih osobnih podataka zakonita je samo ako i u onoj mjeri u kojoj je takva obrada potrebna za izvršavanje zadaće koju tijela, uredi i agencije Unije obavljaju pri izvršavanju aktivnosti obuhvaćenih područjem primjene dijela trećeg glave V. poglavlja 4. ili poglavlja 5. UFEU-a te u mjeri u kojoj se takva obrada temelji na pravu Unije.

2.   U posebnim pravnim aktima Unije kojima se uređuje obrada unutar područja primjene ovog poglavlja navode se barem ciljevi obrade, operativni osobni podaci koji će se obraditi, svrhe obrade i rokovi za pohranu operativnih osobnih podataka ili za periodično preispitivanje potrebe za daljnjom pohranom operativnih osobnih podataka.

1.   Voditelj obrade razlikuje što je više moguće operativne osobne podatke utemeljene na činjenicama od operativnih osobnih podataka utemeljenih na osobnim procjenama.

2.   Voditelj obrade poduzima sve razumne mjere kako bi osigurao da se operativni osobni podaci koji su netočni, nepotpuni ili nisu više ažurni ne prenose niti stavljaju na raspolaganje. U tu svrhu voditelj obrade, koliko je to izvedivo i po potrebi, provjerava kvalitetu operativnih osobnih podataka prije njihova prenošenja ili stavljanja na raspolaganje, na primjer tako da se savjetuje s nadležnim tijelom od kojeg podaci potječu. Koliko god je to moguće, voditelj obrade pri svim prijenosima operativnih osobnih podataka dodaje potrebne informacije koje primatelju omogućuju da ocijeni stupanj točnosti, potpunosti i pouzdanosti operativnih osobnih podataka, kao i mjeru u kojoj su ažurirani.

3.   Pokaže li se da su preneseni netočni operativni osobni podaci ili da su operativni osobni podaci preneseni nezakonito, primatelj mora biti obaviješten bez odgode. U takvom se slučaju predmetni operativni osobni podaci ispravljaju ili brišu ili se obrada ograničava u skladu s člankom 82.

1.   Kad se u skladu s mjerodavnim pravom Unije osiguravaju posebni uvjeti obrade, voditelj obrade obavješćuje primatelja takvih operativnih osobnih podataka o tim uvjetima i zahtjevu za poštovanje tih uvjeta.

2.   Voditelj obrade poštuje posebne uvjete obrade za obradu koju obavlja nadležno tijelo koje prenosi podatke u skladu s člankom 9. stavcima 3. i 4. Direktive (EU) 2016/680.

1.   Obrada operativnih osobnih podataka koji otkrivaju rasno ili etničko podrijetlo, politička mišljenja, religijska ili filozofska vjerovanja ili članstvo u sindikatu te obrada genetskih podataka, biometrijskih podataka u svrhu jedinstvene identifikacije pojedinca, operativnih osobnih podataka koji se odnose na zdravlje ili podataka o spolnom životu ili seksualnoj orijentaciji pojedinca dopuštena je samo ako je to nužno u operativne svrhe, u okviru mandata predmetnog tijela, ureda ili agencije Unije te uz poštovanje odgovarajućih zaštitnih mjera u pogledu prava i sloboda ispitanika. Zabranjena je diskriminacija pojedinaca na temelju takvih osobnih podataka.

2.   Službenik za zaštitu podataka bez nepotrebne odgode se obavješćuje o primjeni ovog članka.

1.   Zabranjuje se svaka odluka utemeljena samo na automatiziranoj obradi, među ostalim i na izradi profila, koja proizvodi negativne pravne učinke na ispitanika ili na njega znatno utječe, osim ako je odobrena pravom Unije kojem podliježe voditelj obrade te koje propisuje odgovarajuće zaštitne mjere za prava i slobode ispitanika, barem pravo na osobnu intervenciju voditelja obrade.

2.   Odluke iz stavka 1. ovog članka ne smiju se temeljiti na posebnim kategorijama osobnih podataka iz članka 76., osim ako su uspostavljene odgovarajuće zaštitne mjere u pogledu prava, sloboda te legitimnih interesa ispitanika.

3.   Zabranjuje se izrada profila koja dovodi do diskriminacije pojedinaca na temelju posebnih kategorija osobnih podataka iz članka 76., u skladu s pravom Unije.

1.   Voditelj obrade poduzima razumne korake kako bi se ispitaniku pružile sve informacije iz članka 79. te daje ispitaniku sve obavijesti u pogledu članaka od 80. do 84. te članka 92. u vezi s obradom u jezgrovitom, razumljivom i lako dostupnom obliku, upotrebljavajući jasan i jednostavan jezik. Informacije se pružaju bilo kojim odgovarajućim sredstvom, uključujući elektronička sredstva. U pravilu voditelj obrade pruža informacije u istom obliku u kojem je zahtjev.

2.   Voditelj obrade olakšava ostvarivanje prava ispitanika iz članaka od 79. do 84.

3.   Voditelj obrade u pisanom obliku obavješćuje ispitanika o daljnjem postupanju nakon njegova zahtjeva bez nepotrebne odgode, a u svakom slučaju najkasnije tri mjeseca nakon primanja zahtjeva ispitanika.

4.   Voditelj obrade osigurava da se informacije na temelju članka 79. te sve obavijesti pružene ili mjere poduzete na temelju članaka od 80. do 84. i članka 92. pružaju odnosno poduzimaju bez naknade. Ako su zahtjevi ispitanika očito neutemeljeni ili pretjerani, osobito zbog njihova učestalog ponavljanja, voditelj obrade može odbiti postupiti po zahtjevu. Teret dokazivanja očigledne neutemeljenosti ili pretjeranosti zahtjeva snosi voditelj obrade.

5.   Ako ima opravdane sumnje u pogledu identiteta pojedinca koji podnosi zahtjev iz članka 80. ili 82., voditelj obrade može tražiti pružanje dodatnih informacija potrebnih za potvrđivanje identiteta ispitanika.

1.   Voditelj obrade ispitaniku stavlja na raspolaganje barem sljedeće informacije:

2.   Uz informacije iz stavka 1., voditelj obrade u posebnim slučajevima predviđenima pravom Unije i kako bi se ispitaniku omogućilo ostvarivanje njegovih prava, ispitaniku daje dodatne informacije o:

3.   Voditelj obrade može odgoditi, ograničiti ili uskratiti pružanje informacija ispitaniku na temelju stavka 2. u onoj mjeri i u onom trajanju u kojem takva mjera predstavlja potrebnu i razmjernu mjeru u demokratskom društvu uz dužno poštovanje temeljnih prava i legitimnih interesa dotične fizičke osobe, kako bi se:

1.   Voditelj obrade može u cijelosti ili djelomično ograničiti pravo pristupa ispitanika u onoj mjeri i u onom trajanju u kojem takvo djelomično ili potpuno ograničavanje čini neophodnu i razmjernu mjeru u demokratskom društvu uz dužno poštovanje temeljnih prava i legitimnih interesa dotičnog pojedinca, kako bi se:

2.   U slučajevima iz stavka 1. voditelj obrade bez nepotrebne odgode pisanim putem obavješćuje ispitanika o svakom odbijanju ili ograničavanju pristupa te o razlozima odbijanja ili ograničavanja. To se ne primjenjuje ako bi pružanje takvih informacija dovelo u pitanje neku od svrha iz stavka 1. Voditelj obrade obavješćuje ispitanika o mogućnosti da Europskom nadzorniku za zaštitu podataka podnese pritužbu ili da zatraži pravni lijek na Sudu. Voditelj obrade bilježi činjenične ili pravne razloge na kojima se odluka temelji. Te se informacije na zahtjev stavljaju na raspolaganje Europskom nadzorniku za zaštitu podataka.

1.   Ispitanik ima pravo od voditelja obrade bez nepotrebne odgode ishoditi ispravak netočnih operativnih osobnih podataka koji se na njega odnose. Uzimajući u obzir svrhe obrade, ispitanik ima pravo dopuniti nepotpune operativne osobne podatke, među ostalim i davanjem dodatne izjave.

2.   Voditelj obrade briše operativne osobne podatke bez nepotrebne odgode, a ispitanik ima pravo od voditelja obrade ishoditi brisanje operativnih osobnih podataka koji se na njega odnose bez nepotrebne odgode ako se obradom krše odredbe članka 71., članka 72. stavka 1. ili članka 76. ili ako se operativni osobni podaci moraju izbrisati radi poštovanja pravne obveze kojoj voditelj obrade podliježe.

3.   Umjesto brisanja voditelj obrade ograničava obradu ako:

Ako je obrada ograničena na temelju prvog podstavka točke (a), voditelj obrade obavješćuje ispitanika prije uklanjanja ograničenja obrade.

Podaci obuhvaćeni ograničenjem obrađuju se samo u onu svrhu zbog koje nisu bili izbrisani.

4.   Voditelj obrade obavješćuje ispitanika u pisanom obliku o svakom odbijanju ispravljanja ili brisanja operativnih osobnih podataka ili ograničavanja obrade te o razlozima odbijanja. Voditelj obrade može u cijelosti ili djelomično ograničiti pružanje takvih informacija u onoj mjeri u kojoj takvo ograničavanje čini nužnu i razmjernu mjeru u demokratskom društvu uz dužno poštovanje temeljnih prava i legitimnih interesa dotičnog pojedinca, i kako bi se:

Voditelj obrade obavješćuje ispitanika o mogućnosti da Europskom nadzorniku za zaštitu podataka podnese pritužbu ili da zatraži pravni lijek na Sudu.

5.   Voditelj obrade o ispravku netočnih operativnih osobnih podataka obavješćuje nadležno tijelo od kojeg potječu netočni operativni osobni podaci.

6.   Ako su operativni osobni podaci bili ispravljeni ili izbrisani ili je obrada bila ograničena na temelju stavaka 1., 2. ili 3., voditelj obrade to priopćuje primateljima i obavješćuje ih o tome da moraju ispraviti ili izbrisati operativne osobne podatke ili ograničiti obradu operativnih osobnih podataka za koje su odgovorni.

1.   U slučajevima iz članka 79. stavka 3., članka 81. i članka 82. stavka 4. prava ispitanika mogu se ostvariti i preko Europskog nadzornika za zaštitu podataka.

2.   Voditelj obrade obavješćuje ispitanika o mogućnosti ostvarivanja njegovih prava preko Europskog nadzornika za zaštitu podataka u skladu sa stavkom 1.

3.   Ako se ostvaruje pravo iz stavka 1., Europski nadzornik za zaštitu podataka obavješćuje ispitanika barem o tome da je proveo sve potrebne provjere ili preispitivanje. Europski nadzornik za zaštitu podataka obavješćuje ispitanika i o njegovu pravu da zatraži pravni lijek na Sudu.

1.   Uzimajući u obzir najnovija dostignuća, trošak provedbe te prirodu, opseg, kontekst i svrhe obrade, kao i rizike različitih razina vjerojatnosti i ozbiljnosti za prava i slobode pojedinaca koji proizlaze iz obrade podataka, voditelj obrade, i u vrijeme određivanja sredstava obrade i u vrijeme same obrade, provodi odgovarajuće tehničke i organizacijske mjere, poput pseudonimizacije, za omogućavanje učinkovite primjene načela zaštite podataka, kao što je smanjenje količine podataka, te uključenje potrebnih zaštitnih mjera u obradu, kako bi se ispunili zahtjevi iz ove Uredbe i pravnog akta kojim se on osniva i zaštitila prava ispitanika.

2.   Voditelj obrade provodi odgovarajuće tehničke i organizacijske mjere kojima se osigurava da integriranim načinom budu obrađeni samo operativni osobni podaci koji su prikladni i relevantni te nisu pretjerani u odnosu na svrhe u koje se obrađuju. Ta se obveza primjenjuje na količinu prikupljenih operativnih osobnih podataka, opseg njihove obrade, razdoblje pohrane i njihovu dostupnost. Točnije, takvim se mjerama osigurava da operativni osobni podaci nisu automatski dostupni neograničenom broju fizičkih osoba bez intervencije pojedinca.

1.   Ako dva ili više voditelja obrade ili jedan ili više voditelja obrade zajedno s jednim ili više voditelja obrade koji nisu institucije i tijela Unije, zajednički odrede svrhe i načine obrade, oni su zajednički voditelji obrade. Oni na transparentan način određuju svoje odgovornosti za poštovanje obveza u vezi sa zaštitom podataka, posebno u pogledu ostvarivanja prava ispitanika, i svojih dužnosti u vezi s pružanjem informacija iz članka 79. te to čine međusobnim dogovorom, osim ako su, i u mjeri u kojoj su, odgovornosti zajedničkih voditeljâ obrade utvrđene pravom Unije ili pravom države članice kojem zajednički voditelji obrade podliježu. Dogovorom se može odrediti kontaktna točka za ispitanike.

2.   Dogovor iz stavka 1. mora propisno odražavati uloge i odnose zajedničkih voditelja obrade u odnosu na ispitanike. Bit dogovora je dostupna ispitaniku.

3.   Bez obzira na uvjete dogovora iz stavka 1., ispitanik može ostvarivati svoja prava iz ove Uredbe u vezi sa svakim voditeljem obrade, kao i protiv svakog od njih.

1.   Ako se obrada provodi u ime voditelja obrade, voditelj obrade surađuje samo s izvršiteljima obrade koji u dovoljnoj mjeri jamče provedbu odgovarajućih tehničkih i organizacijskih mjera na način da je obrada u skladu sa zahtjevima iz ove Uredbe i pravnog akta kojim se osniva voditelj obrade te da se njome osigurava zaštita prava ispitanika.

2.   Izvršitelj obrade ne smije angažirati drugog izvršitelja obrade bez prethodnog posebnog ili općeg pisanog odobrenja voditelja obrade. U slučaju općeg pisanog odobrenja izvršitelj obrade obavješćuje voditelja obrade o svim planiranim izmjenama u vezi s dodavanjem ili zamjenom drugih izvršitelja obrade kako bi time voditelju obrade omogućio da podnese prigovor na takve izmjene.

3.   Obrada koju provodi izvršitelj obrade uređuje se ugovorom ili drugim pravnim aktom u skladu s pravom Unije ili pravom države članice, koji izvršitelja obrade obvezuje prema voditelju obrade, a koji navodi predmet i trajanje obrade, prirodu i svrhu obrade, vrstu operativnih osobnih podataka i kategorije ispitanika te obveze i prava voditelja obrade. Tim se ugovorom ili drugim pravnim aktom osobito određuje da izvršitelj obrade:

4.   Ugovor ili drugi pravni akt iz stavka 3. mora biti u pisanom obliku, što uključuje elektronički oblik.

5.   Ako izvršitelj obrade krši ovu Uredbu ili pravni akt kojim se osniva voditelj obrade utvrđivanjem svrha i načina obrade, taj se izvršitelj obrade smatra voditeljem obrade u pogledu te obrade.

1.   Voditelj obrade bilježi zapise o svim sljedećim postupcima obrade u automatiziranim sustavima obrade: prikupljanju, izmjeni, pristupu, obavljanju uvida, otkrivanju, uključujući prijenose, kombiniranje i brisanje operativnih osobnih podataka. Zapisi o obavljanju uvida i otkrivanju podataka omogućuju da se ustanovi obrazloženje, datum i vrijeme takvih postupaka, identitet osobe koja je imala uvid u operativne osobne podatke ili ih je otkrila te, u mjeri u kojoj je to moguće, identitet primatelja tih operativnih osobnih podataka.

2.   Zapisi se upotrebljavaju samo u svrhe provjere zakonitosti obrade, samopraćenja, osiguravanja cjelovitosti i sigurnosti operativnih osobnih podataka te za kaznene postupke. Takvi zapisi brišu se nakon tri godine, osim ako su potrebni za nadzor koji je u tijeku.

3.   Voditelj obrade na zahtjev stavlja zapise na raspolaganje svojem službeniku za zaštitu podataka i Europskom nadzorniku za zaštitu podataka.

1.   Ako je vjerojatno da će neka vrsta obrade, osobito putem novih tehnologija i uzimajući u obzir prirodu, opseg, kontekst i svrhe te obrade, prouzročiti visoki rizik za prava i slobode pojedinaca, voditelj obrade prije obrade provodi procjenu učinka predviđenih postupaka obrade na zaštitu operativnih osobnih podataka.

2.   Procjena iz stavka 1. sadrži barem općenit opis predviđenih postupaka obrade, procjenu rizika za prava i slobode ispitanika, predviđene mjere za te rizike, zaštitne mjere, sigurnosne mjere i mehanizme kako bi se osigurala zaštita operativnih osobnih podataka i dokazala usklađenost s pravilima o zaštiti podataka, uzimajući pritom u obzir prava i legitimne interese ispitanika i drugih uključenih osoba.

1.   Prije obrade koja će biti dio novog sustava pohrane koji se treba uspostaviti voditelj obrade savjetuje se s Europskim nadzornikom za zaštitu podataka u sljedećim slučajevima ako:

2.   Europski nadzornik za zaštitu podataka može izraditi popis postupaka obrade za koje je potrebno obaviti prethodno savjetovanje u skladu sa stavkom 1.

3.   Voditelj obrade dostavlja Europskom nadzorniku za zaštitu podataka procjenu učinka na zaštitu podataka iz članka 89. te na zahtjev pruža sve ostale informacije kako bi Europskom nadzorniku za zaštitu podataka omogućio da provede procjenu usklađenosti obrade te posebno procjenu rizika za zaštitu operativnih osobnih podataka ispitanika i procjenu povezanih zaštitnih mjera.

4.   Ako Europski nadzornik za zaštitu podataka smatra da bi se namjeravanom obradom iz stavka 1. kršila ova Uredba ili pravni akt kojim se osniva tijelo, ured ili agencija Unije te osobito ako voditelj obrade nije u dovoljnoj mjeri utvrdio ili ublažio rizik, Europski nadzornik za zaštitu podataka, u roku od najviše šest tjedana od zaprimanja zahtjeva za savjetovanje, pisanim putem savjetuje voditelja obrade. Taj se rok može produljiti za mjesec dana, uzimajući u obzir složenost planirane obrade. Europski nadzornik za zaštitu podataka u roku od mjesec dana od zaprimanja zahtjeva za savjetovanje obavješćuje voditelja obrade o svakom takvom produljenju kao i o razlozima odgode.

1.   Uzimajući u obzir najnovija dostignuća, troškove provedbe te prirodu, opseg, kontekst i svrhe obrade, kao i rizik različite razine vjerojatnosti i ozbiljnosti za prava i slobode pojedinaca, voditelj obrade i izvršitelj obrade provode odgovarajuće tehničke i organizacijske mjere kako bi osigurali odgovarajuću razinu sigurnosti s obzirom na rizik, osobito u pogledu obrade posebnih kategorija operativnih osobnih podataka.

2.   U pogledu automatizirane obrade voditelj obrade i izvršitelj obrade nakon procjene rizika provode mjere čija je svrha:

1.   U slučaju povrede osobnih podataka voditelj obrade bez nepotrebne odgode i, ako je to izvedivo, najkasnije 72 sata nakon što saznanja za tu povredu, izvješćuje Europskog nadzornika za zaštitu podataka o toj povredi, osim ako nije vjerojatno da će ta povreda osobnih podataka prouzročiti rizik za prava i slobode pojedinaca. Ako izvješćivanje Europskog nadzornika za zaštitu podataka nije učineno u roku od 72 sata, ono mora biti popraćeno razlozima za kašnjenje.

2.   U izvješćivanju iz stavka 1. se barem:

3.   Ako nije moguće istodobno pružiti informacije iz stavka 2. i u onoj mjeri u kojoj to nije moguće, te informacije mogu se pružati postupno, bez nepotrebne daljnje odgode.

4.   Voditelj obrade bilježi svaku povredu osobnih podataka iz stavka 1., uključujući činjenice povezane s povredom osobnih podataka, njezine učinke i poduzete korektivne mjere. Ta dokumentacija omogućuje Europskom nadzorniku za zaštitu podataka provjeru usklađenosti s ovim člankom.

5.   Ako se povreda osobnih podataka odnosi na operativne osobne podatke koje je prenijelo nadležno tijelo ili koji su preneseni nadležnom tijelu, voditelj obrade priopćava informacije iz stavka 2. tom nadležnom tijelu bez nepotrebne odgode.

1.   Ako je vjerojatno da će povreda osobnih podataka rezultirati visokim rizikom za prava i slobode pojedinaca, voditelj obrade bez nepotrebne odgode obavješćuje ispitanika o povredi osobnih podataka.

2.   U obavijesti ispitaniku iz stavka 1. ovog članka jasnim i jednostavnim jezikom opisuje se priroda povrede osobnih podataka i navode barem informacije i preporuke iz članka 92. stavka 2. točaka (b), (c) i (d).

3.   Obavješćivanje ispitanika iz stavka 1. nije obvezno ako je ispunjen bilo koji od sljedećih uvjeta:

4.   Ako voditelj obrade još nije obavijestio ispitanika o povredi osobnih podataka, Europski nadzornik za zaštitu podataka, nakon razmatranja vjerojatnosti da će povreda osobnih podataka prouzročiti visoki rizik, može od voditelja obrade tražiti da to učini ili može zaključiti da je ispunjen neki od uvjeta iz stavka 3.

5.   Obavješćivanje ispitanika iz stavka 1. ovog članka može se odgoditi, ograničiti ili uskratiti pod uvjetima i na temelju razloga iz članka 79. stavka 3.

1.   Podložno svim ograničenjima i pod uvjetima iz pravnih akata kojima se osnivaju tijelo, ured ili agencija Unije voditelj obrade može prenositi operativne osobne podatke tijelu treće zemlje ili međunarodnoj organizaciji ako je takav prijenos potreban za izvršavanje zadaća voditelja obrade i samo ako su ispunjeni uvjeti utvrđeni u ovom članku, odnosno:

2.   Pravni akti kojima se osnivaju tijela, uredi ili agencije Unije mogu zadržati ili uvesti preciznije odredbe o uvjetima za međunarodni prijenos operativnih osobnih podataka, posebno o prijenosu podataka uz odgovarajuće zaštitne mjere i odstupanjima za posebne situacije.

3.   Voditelj obrade na svojim internetskim stranicama objavljuje i ažurira popis odluka o primjerenosti iz stavka 1. točke (a), sporazuma, administrativnih dogovora i drugih instrumenata koji se odnose na prijenos operativnih osobnih podataka u skladu sa stavkom 1.

4.   Voditelj obrade vodi detaljnu evidenciju o svim prijenosima provedenima na temelju ovog članka.

1.   Komisiji pomaže odbor osnovan člankom 93. Uredbe (EU) 2016/679. Navedeni odbor je odbor u smislu Uredbe (EU) br. 182/2011.

2.   Ako se upućuje na ovaj stavak, primjenjuje se članak 5. Uredbe (EU) br. 182/2011.

1.   Do 30. travnja 2022. Komisija preispituje pravne akte donesene na temelju Ugovora kojima se uređuje obrada operativnih osobnih podataka koju obavljaju tijela, uredi ili agencije Unije pri obavljanju aktivnosti obuhvaćenih područjem primjene dijela trećeg glave V. poglavlja 4. ili 5. UFEU-a kako bi se:

2.   Na temelju tog preispitivanja, kako bi se zajamčila ujednačena i dosljedna zaštita pojedinaca u vezi s obradom, Komisija može podnijeti odgovarajuće zakonodavne prijedloge, posebno radi primjene poglavlja IX. ove Uredbe na Europol i Ured europskog javnog tužitelja i uključujući prilagodbe poglavlja IX. ove Uredbe, ako je to potrebno.

1.   Ova Uredba ne utječe na Odluku 2014/886/EU Europskog parlamenta i Vijeća (20) te na sadašnji mandat Europskog nadzornika za zaštitu podataka i pomoćnika nadzornika.

2.   Pomoćnik nadzornika je u pogledu određivanja primitka od rada, dodataka, starosne mirovine te svih drugih naknada na osnovi rada izjednačen s tajnikom Suda.

3.   Članak 53. stavci 4., 5. i 7. te članci 55. i 56. ove Uredbe primjenjuju se na sadašnjeg pomoćnika nadzornika do isteka njegova mandata.

4.   Pomoćnik nadzornika do isteka svojeg tekućeg mandata pomaže Europskom nadzorniku za zaštitu podataka u izvršavanju njegovih dužnosti te ga zamjenjuje kad je Europski nadzornik za zaštitu podataka odsutan ili spriječen u obavljanju tih dužnosti.

1.   Ova Uredba stupa na snagu dvadesetog dana od dana objave u Službenom listu Europske unije.

2.   Međutim, ova se Uredba primjenjuje na obradu osobnih podataka koju provodi Eurojust od 18. prosinca 2000..