1.   Toto nařízení stanoví pravidla týkající se ochrany fyzických osob v souvislosti se zpracováním osobních údajů orgány a subjekty Unie a pravidla týkající se volného pohybu osobních údajů mezi nimi navzájem nebo mezi nimi a jinými příjemci, kteří jsou usazeni v Unii.

2.   Toto nařízení chrání základní práva a svobody fyzických osob, a zejména jejich právo na ochranu osobních údajů.

3.   Evropský inspektor ochrany údajů monitoruje uplatňování tohoto nařízení na všechny operace zpracování prováděné orgánem nebo subjektem Unie.

1.   Toto nařízení se vztahuje na zpracování osobních údajů všemi orgány a subjekty Unie.

2.   Na zpracovávání operativních osobních údajů institucemi a jinými subjekty Unie při výkonu činností, které spadají do oblasti působnosti části třetí hlavy V kapitoly 4 nebo 5 Smlouvy o fungování EU, se vztahují pouze článek 3 a kapitola IX tohoto nařízení.

3.   Toto nařízení se nevztahuje na zpracovávání operativních osobních údajů Europolem a Úřadem evropského veřejného žalobce, dokud nebudou nařízení Evropského parlamentu a Rady (EU) 2016/794 (15) a nařízení Rady (EU) 2017/1939 (16) upravena v souladu s článkem 98 tohoto nařízení.

4.   Toto nařízení se nevztahuje na zpracování osobních údajů misemi uvedenými v čl. 42 odst. 1 a v článcích 43 a 44 Smlouvy o EU.

5.   Toto nařízení se vztahuje na zcela nebo částečně automatizované zpracování osobních údajů a na neautomatizované zpracování těch osobních údajů, které jsou obsaženy v evidenci nebo do ní mají být zařazeny.

1.   Osobní údaje musí být:

2.   Správce odpovídá za dodržení odstavce 1 a musí být schopen toto dodržení souladu doložit („odpovědnost“).

1.   Zpracování je zákonné, pouze pokud je splněna nejméně jedna z těchto podmínek a pouze v odpovídajícím rozsahu:

2.   Základ pro zpracování podle odst. 1 písm. a) a b) musí být stanoven právem Unie.

1.   Pokud je zpracování založeno na souhlasu, musí být správce schopen doložit, že subjekt údajů udělil souhlas se zpracováním svých osobních údajů.

2.   Pokud je souhlas subjektu údajů udělen písemným prohlášením, které se týká rovněž jiných skutečností, musí být žádost o vyjádření souhlasu předložena způsobem, který je od těchto jiných skutečností jasně odlišitelný a je srozumitelný a snadno přístupný za použití jasných a jednoduchých jazykových prostředků. Jakákoli část tohoto prohlášení, která představuje porušení tohoto nařízení, není závazná.

3.   Subjekt údajů má právo svůj souhlas kdykoli odvolat. Odvoláním souhlasu není dotčena zákonnost zpracování provedeného na základě souhlasu před jeho odvoláním. Před udělením souhlasu o tom musí být subjekt údajů informován. Odvolat souhlas musí být stejně snadné jako jej udělit.

4.   Při posuzování toho, zda je souhlas svobodný, musí být důsledně zohledněna skutečnost, zda je mimo jiné plnění smlouvy, včetně poskytnutí služby, podmíněno souhlasem se zpracováním osobních údajů, které není pro plnění dané smlouvy nutné.

1.   Pokud se použije čl. 5 odst. 1 písm. d) v souvislosti s nabídkou služeb informační společnosti přímo dítěti, je zpracování osobních údajů dítěte zákonné, je-li dítě ve věku nejméně 13 let. Je-li dítě mladší 13 let, je takové zpracování zákonné pouze tehdy a do té míry, pokud byl tento souhlas udělen nebo schválen osobou, která vykonává rodičovskou zodpovědnost k dítěti.

2.   Správce vyvine přiměřené úsilí s ohledem na dostupnou technologii, aby v takovýchto případech ověřil, že byl souhlas udělen nebo schválen osobou, která vykonává rodičovskou zodpovědnost k dítěti.

3.   Odstavcem 1 není dotčeno obecné smluvní právo členských států, například pravidla týkající se platnosti, uzavírání nebo účinků smlouvy vzhledem k dítěti.

1.   Aniž jsou dotčeny články 4, 5, 6 a 10, lze osobní údaje předávat jiným příjemcům usazeným v Unii, než jsou orgány a subjekty Unie, pouze pokud:

2.   Pokud podnět k předání údajů podle tohoto článku učiní správce, musí za použití kritérií stanovených v odst. 1 písm. a) nebo b) prokázat, že předání osobních údajů je nezbytné a přiměřené účelům předání.

3.   Orgány a subjekty Unie uvedou právo na ochranu osobních údajů do souladu s právem na přístup k dokumentům v souladu s právem Unie.

1.   Zakazuje se zpracování osobních údajů, které vypovídají o rasovém či etnickém původu, politických názorech, náboženském vyznání či filozofickém přesvědčení nebo členství v odborech, a zpracování genetických údajů, biometrických údajů za účelem jedinečné identifikace fyzické osoby a údajů o zdravotním stavu či o sexuálním životě nebo sexuální orientaci fyzické osoby.

2.   Odstavec 1 se nepoužije, pokud jde o některý z těchto případů:

3.   Osobní údaje uvedené v odstavci 1 mohou být zpracovávány pro účely uvedené v odst. 2 písm. h), jsou-li tyto údaje zpracovány pracovníkem vázaným služebním tajemstvím podle práva Unie nebo členského státu či pravidel stanovených příslušnými vnitrostátními orgány nebo na jeho odpovědnost, nebo jinou osobou, na niž se rovněž vztahuje povinnost mlčenlivosti podle práva Unie nebo členského státu či pravidel stanovených příslušnými vnitrostátními orgány.

1.   Pokud účely, pro něž správce zpracovává osobní údaje, od správce nevyžadují nebo již nevyžadují identifikaci subjektu údajů, nemá správce povinnost uchovávat, získávat nebo zpracovávat dodatečné informace za účelem identifikace subjektu údajů výlučně kvůli dosažení souladu s tímto nařízením.

2.   Je-li v případech uvedených v odstavci 1 tohoto článku správce s to doložit, že není schopen identifikovat subjekt údajů, informuje o této skutečnosti subjekt údajů, pokud je to možné. V takovýchto případech se neuplatní články 17 až 22, s výjimkou případů, kdy subjekt údajů za účelem výkonu svých práv podle uvedených článků poskytne dodatečné informace umožňující jeho identifikaci.

1.   Správce přijme vhodná opatření, aby poskytl subjektu údajů stručným, transparentním, srozumitelným a snadno přístupným způsobem za použití jasných a jednoduchých jazykových prostředků veškeré informace uvedené v článcích 15 a 16 a učinil veškerá sdělení podle článků 17 až 24 a 35 o zpracování, zejména pokud se jedná o informace určené konkrétně dítěti. Informace poskytne písemně nebo jinými prostředky, včetně ve vhodných případech v elektronické formě. Pokud si to subjekt údajů vyžádá, mohou být informace poskytnuty ústně, a to za předpokladu, že totožnost subjektu údajů je prokázána jinými způsoby.

2.   Správce usnadňuje výkon práv subjektu údajů podle článků 17 až 24. V případech uvedených v čl. 12 odst. 2 správce neodmítne vyhovět žádosti subjektu údajů za účelem výkonu jeho práv podle článků 17 až 24, ledaže doloží, že nemůže zjistit totožnost subjektu údajů.

3.   Správce poskytne subjektu údajů informace o opatřeních přijatých na žádost podle článků 17 až 24, a to bez zbytečného odkladu a v každém případě do jednoho měsíce od obdržení žádosti. Tuto lhůtu je možné v případě potřeby a s ohledem na složitost a počet žádostí prodloužit o další dva měsíce. Správce informuje subjekt údajů o jakémkoliv takovém prodloužení do jednoho měsíce od obdržení žádosti spolu s důvody pro tento odklad. Jestliže subjekt údajů podává žádost v elektronické formě, poskytnou se informace v elektronické formě, je-li to možné, pokud subjekt údajů nepožádá o jiný způsob.

4.   Pokud správce nepřijme opatření, o něž subjekt údajů požádal, informuje bezodkladně a nejpozději do jednoho měsíce od přijetí žádosti subjekt údajů o důvodech nepřijetí opatření a o možnosti podat stížnost u evropského inspektora ochrany údajů a žádat o soudní ochranu.

5.   Informace podle článků 15 a 16 a veškerá sdělení a veškerá opatření podle článků 17 až 24 a 35 se poskytují a činí bezplatně. Jsou-li žádosti podané subjektem údajů zjevně nedůvodné nebo nepřiměřené, zejména protože se opakují, může správce odmítnout žádosti vyhovět. Zjevnou nedůvodnost nebo nepřiměřenost žádosti dokládá správce.

6.   Aniž je dotčen článek 12, pokud má správce důvodné pochybnosti o totožnosti fyzické osoby, která podává žádost podle článků 17 až 23, může požádat o poskytnutí dodatečných informací nezbytných k potvrzení totožnosti subjektu údajů.

7.   Informace, které mají být subjektům údajů poskytnuty podle článků 15 a 16, mohou být doplněny standardizovanými ikonami s cílem poskytnout snadno viditelným, srozumitelným a jasným způsobem přehled o zamýšleném zpracování. Pokud jsou ikony prezentovány v elektronické formě, musí být strojově čitelné.

8.   Pokud Komise přijme akty v přenesené pravomoci v souladu s čl. 12 odst. 8 nařízení (EU) 2016/679 určující informace, které mají být sděleny pomocí ikon, a postupů pro poskytování standardizovaných ikon, poskytnou orgány a subjekty Unie tam, kde je to vhodné, informace podle článků 15 a 16 tohoto nařízení doplněné takovými standardizovanými ikonami.

1.   Pokud se osobní údaje týkající se subjektu údajů získávají od subjektu údajů, poskytne správce v okamžiku získání osobních údajů subjektu údajů tyto informace:

2.   Vedle informací uvedených v odstavci 1 poskytne správce subjektu údajů v okamžiku získání osobních údajů tyto další informace nezbytné pro zajištění korektního a transparentního zpracování:

3.   Pokud správce hodlá osobní údaje dále zpracovávat pro jiný účel, než je účel, pro který byly shromážděny, poskytne subjektu údajů ještě před uvedeným dalším zpracováním informace o tomto jiném účelu a příslušné další informace uvedené v odstavci 2.

4.   Odstavce 1, 2 a 3 se nepoužijí, pokud subjekt údajů již uvedené informace má, a do té míry, v níž je má.

1.   Jestliže osobní údaje nebyly získány od subjektu údajů, poskytne správce subjektu údajů tyto informace:

2.   Vedle informací uvedených v odstavci 1 poskytne správce subjektu údajů tyto další informace nezbytné pro zajištění korektního a transparentního zpracování ve vztahu k subjektu údajů:

3.   Správce poskytne informace uvedené v odstavcích 1 a 2:

4.   Pokud správce hodlá osobní údaje dále zpracovat pro jiný účel, než pro který byly získány, poskytne subjektu údajů ještě před uvedeným dalším zpracováním informace o tomto jiném účelu a příslušné další informace uvedené v odstavci 2.

5.   Odstavce 1 až 4 se nepoužijí, pokud a do té míry, v níž:

6.   V případech uvedených v odst. 5 písm. b) přijme správce vhodná opatření na ochranu práv a svobod a oprávněných zájmů subjektu údajů, včetně zveřejnění informací.

1.   Subjekt údajů má právo získat od správce potvrzení, zda osobní údaje, které se ho týkají, jsou, či nejsou zpracovávány, a pokud je tomu tak, má právo získat přístup k těmto osobním údajům a k následujícím informacím:

2.   Pokud se osobní údaje předávají do třetí země nebo mezinárodní organizaci, má subjekt údajů právo být informován o vhodných zárukách podle článku 48, které se vztahují na předání.

3.   Správce poskytne kopii zpracovávaných osobních údajů. Jestliže subjekt údajů podává žádost v elektronické formě, poskytnou se informace v elektronické formě, která se běžně používá, pokud subjekt údajů nepožádá o jiný způsob.

4.   Právem získat kopii uvedenou v odstavci 3 nesmějí být nepříznivě dotčena práva a svobody jiných osob.

1.   Subjekt údajů má právo na to, aby správce bez zbytečného odkladu vymazal osobní údaje, které se daného subjektu údajů týkají, a správce má povinnost osobní údaje bez zbytečného odkladu vymazat, pokud je dán jeden z těchto důvodů:

2.   Jestliže správce osobní údaje zveřejnil a je povinen je podle odstavce 1 vymazat, přijme s ohledem na dostupnou technologii a náklady na provedení přiměřené kroky, včetně technických opatření, aby informoval správce, nebo správce jiné než orgány a subjekty Unie, kteří tyto osobní údaje zpracovávají, že je subjekt údajů žádá, aby vymazali veškeré odkazy na tyto osobní údaje, jejich kopie či replikace.

3.   Odstavce 1 a 2 se neuplatní, pokud je zpracování nezbytné:

1.   Subjekt údajů má právo vymoci si u správce omezení zpracování v kterémkoli z těchto případů:

2.   Pokud bylo zpracování omezeno podle odstavce 1, mohou být tyto osobní údaje, s výjimkou jejich uložení, zpracovány pouze se souhlasem subjektu údajů nebo z důvodu určení, výkonu nebo obhajoby právních nároků, z důvodu ochrany práv jiné fyzické nebo právnické osoby nebo z důvodů důležitého veřejného zájmu Unie nebo některého členského státu.

3.   Subjekt údajů, který dosáhl omezení zpracování podle odstavce 1, je správcem informován před zrušením omezení zpracování.

4.   V automatizovaných evidencích je omezení zpracování v zásadě zajišťováno technickými prostředky. V systému je uvedeno, že zpracování daných osobních údajů je omezeno, aby bylo jasné, že tyto osobní údaje nelze používat.

1.   Subjekt údajů má právo získat osobní údaje, které se ho týkají a jež poskytl správci, ve strukturovaném, běžně používaném a strojově čitelném formátu a právo předat tyto údaje jinému správci, aniž by tomu správce, kterému byly osobní údaje poskytnuty, bránil, a to v případě, že:

2.   Při výkonu svého práva na přenositelnost údajů podle odstavce 1 má subjekt údajů právo na to, aby osobní údaje byly předány přímo jedním správcem správci druhému nebo správcům jiným než orgány a subjekty Unie, je-li to technicky proveditelné.

3.   Výkonem práva uvedeného v odstavci 1 tohoto článku není dotčen článek 19. Toto právo se neuplatní na zpracování nezbytné pro splnění úkolu prováděného ve veřejném zájmu nebo při výkonu veřejné moci, kterým je správce pověřen.

4.   Právem uvedeným v odstavci 1 nesmějí být nepříznivě dotčena práva a svobody jiných osob.

1.   Subjekt údajů má z důvodů týkajících se jeho konkrétní situace právo kdykoli vznést námitku proti zpracování osobních údajů, které se jej týkají, na základě čl. 5 odst. 1 písm. a), včetně profilování založeného na tomto ustanovení. Správce osobní údaje dále nezpracovává, pokud neprokáže závažné oprávněné důvody pro zpracování, které převažují nad zájmy nebo právy a svobodami subjektu údajů, nebo pro určení, výkon nebo obhajobu právních nároků.

2.   Subjekt údajů je na právo uvedené v odstavci 1 výslovně upozorněn a toto právo je uvedeno zřetelně a odděleně od jakýchkoli jiných informací, a to nejpozději v okamžiku první komunikace se subjektem údajů.

3.   Aniž jsou dotčeny články 36 a 37, může subjekt údajů v souvislosti s využíváním služeb informační společnosti uplatnit své právo vznést námitku automatizovanými prostředky pomocí technických specifikací.

4.   Jsou-li osobní údaje zpracovávány pro účely vědeckého či historického výzkumu nebo pro statistické účely, má subjekt údajů, z důvodů týkajících se jeho konkrétní situace, právo vznést námitku proti zpracování osobních údajů, které se ho týkají, ledaže je zpracování nezbytné pro splnění úkolu prováděného z důvodů veřejného zájmu.

1.   Subjekt údajů má právo nebýt předmětem žádného rozhodnutí založeného výhradně na automatizovaném zpracování, včetně profilování, které má pro něho právní účinky nebo se ho obdobným způsobem významně dotýká.

2.   Odstavec 1 se nepoužije, pokud je rozhodnutí:

3.   V případech uvedených v odst. 2 písm. a) a c) provede správce vhodná opatření s cílem zaručit práva a svobody a oprávněné zájmy subjektu údajů, alespoň práva na lidský zásah ze strany správce, práva vyjádřit svůj názor a práva napadnout rozhodnutí.

4.   Rozhodnutí uvedená v odstavci 2 tohoto článku se nesmějí opírat o zvláštní kategorie osobních údajů uvedené v čl. 10 odst. 1, pokud se neuplatní čl. 10 odst. 2 písm. a) nebo g) a nejsou zavedena vhodná opatření s cílem zaručit práva a svobody a oprávněné zájmy subjektu údajů.

1.   Právní akty přijaté na základě Smluv nebo, v záležitostech souvisejících s fungováním orgánů a subjektů Unie, vnitřní předpisy přijaté orgány a subjekty Unie mohou omezit použití článků 14 až 22, 35 a 36, jakož i článku 4 v rozsahu, v jakém jeho ustanovení odpovídají právům a povinnostem stanoveným v článcích 14 až 22, jestliže takové omezení respektuje podstatu základních práv a svobod a představuje nezbytné a přiměřené opatření v demokratické společnosti s cílem zaručit:

2.   Každý právní akt nebo vnitřní předpis uvedený v odstavci 1 zejména obsahuje konkrétní ustanovení alespoň, je-li to relevantní, pokud jde o:

3.   Jsou-li osobní údaje zpracovávány pro účely vědeckého či historického výzkumu nebo pro statistické účely, může právo Unie, včetně vnitřních předpisů přijatých orgány a subjekty Unie v záležitostech souvisejících s jejich fungováním, stanovit odchylky od práv uvedených v článcích 17, 18, 20 a 23, s výhradou podmínek a záruk uvedených v článku 13, pokud je pravděpodobné, že by daná práva znemožnila nebo vážně ohrozila splnění zvláštních účelů, a tyto odchylky jsou pro splnění těchto účelů nezbytné.

4.   Jsou-li osobní údaje zpracovávány pro účely archivace ve veřejném zájmu, může právo Unie, včetně vnitřních předpisů přijatých orgány a subjekty Unie v záležitostech souvisejících s jejich fungováním, stanovit odchylky od práv uvedených v článcích 17, 18, 20, 21, 22 a 23, s výhradou podmínek a záruk uvedených v článku 13, pokud je pravděpodobné, že by daná práva znemožnila nebo vážně ohrozila splnění zvláštních účelů, a tyto odchylky jsou pro splnění těchto účelů nezbytné.

5.   Vnitřní předpisy uvedené v odstavcích 1, 3 a 4 musí být jasné a přesné akty s obecnou působností, které mají právní účinky vůči subjektům údajů, jsou přijaty na nejvyšší úrovni řízení orgánů a subjektů Unie a podléhají zveřejnění v Úředním věstníku Evropské unie.

6.   Uplatňuje-li se omezení podle odstavce 1, je subjekt údajů v souladu s právem Unie informován o hlavních důvodech pro použití omezení a o svém právu podat stížnost u evropského inspektora ochrany údajů.

7.   Je-li omezení podle odstavce 1 uloženo za účelem odepření přístupu subjektu údajů, sdělí evropský inspektor ochrany údajů při posuzování stížnosti subjektu údajů, zda byly údaje zpracovány řádně, a pokud nebyly, zda byla učiněna příslušná náprava.

8.   Poskytnutí informací uvedených odstavcích 6 a 7 tohoto článku a v čl. 45 odst. 2 lze odložit, neprovést nebo odepřít, pokud by mařilo účinek omezení uloženého podle odstavce 1 tohoto článku.

1.   S přihlédnutím k povaze, rozsahu, kontextu a účelům zpracování i k různě pravděpodobným a různě závažným rizikům pro práva a svobody fyzických osob zavede správce vhodná technická a organizační opatření, aby zajistil a byl schopen doložit, že zpracování je prováděno v souladu s tímto nařízením. Tato opatření musí být podle potřeby revidována a aktualizována.

2.   Pokud je to s ohledem na činnosti zpracování přiměřené, zahrnují opatření uvedená v odstavci 1 uplatňování vhodných koncepcí v oblasti ochrany údajů správcem.

3.   Jedním z prvků, jimiž lze doložit, že správce plní své povinnosti, je dodržování schválených mechanismů pro vydávání osvědčení uvedených v článku 42 nařízení (EU) 2016/679.

1.   S přihlédnutím ke stavu techniky, nákladům na provedení, povaze, rozsahu, kontextu a účelům zpracování i k různě pravděpodobným a různě závažným rizikům pro práva a svobody fyzických osob, jež s sebou zpracování nese, zavede správce jak v době určení prostředků pro zpracování, tak v době zpracování samotného vhodná technická a organizační opatření, jako je pseudonymizace, jejichž účelem je účinným způsobem provádět zásady ochrany údajů, jako je minimalizace údajů, a začlenit do zpracování nezbytné záruky tak, aby splnil požadavky tohoto nařízení a ochránil práva subjektů údajů.

2.   Správce zavede vhodná technická a organizační opatření k zajištění toho, aby se standardně zpracovávaly pouze osobní údaje, jež jsou pro každý konkrétní účel daného zpracování nezbytné. Tato povinnost se týká množství shromážděných osobních údajů, rozsahu jejich zpracování, doby jejich uložení a jejich dostupnosti. Tato opatření zejména zajistí, aby osobní údaje nebyly standardně bez zásahu člověka zpřístupněny neomezenému počtu fyzických osob.

3.   Jedním z prvků, jimiž lze doložit plnění požadavků stanovených v odstavcích 1 a 2 tohoto článku, je schválený mechanismus pro vydávání osvědčení podle článku 42 nařízení (EU) 2016/679.

1.   Pokud účely a prostředky zpracování stanoví společně dva nebo více správců, anebo dva nebo více správců společně s jedním nebo více správci jinými než orgány a subjekty Unie, jsou společnými správci. Společní správci mezi sebou transparentním ujednáním vymezí své podíly na odpovědnosti za plnění svých povinností týkajících se ochrany údajů, zejména pokud jde o výkon práv subjektu údajů, a své povinnosti poskytovat informace uvedené v článcích 15 a 16, pokud tuto odpovědnost společných správců nestanoví právo Unie nebo členského státu, které se na společné správce vztahuje. V ujednání může být určeno kontaktní místo pro subjekty údajů.

2.   Ujednání uvedené v odstavci 1 náležitě zohlední úlohy společných správců a jejich vztahy vůči subjektům údajů. Subjekt údajů musí být o podstatných prvcích ujednání informován.

3.   Bez ohledu na podmínky ujednání uvedeného v odstavci 1 může subjekt údajů vykonávat svá práva podle tohoto nařízení ohledně každého ze správců i vůči každému z nich.

1.   Pokud má být zpracování provedeno za správce, využije správce pouze ty zpracovatele, kteří poskytují dostatečné záruky zavedení vhodných technických a organizačních opatření tak, aby dané zpracování splňovalo požadavky tohoto nařízení a aby byla zajištěna ochrana práv subjektu údajů.

2.   Zpracovatel nezapojí do zpracování žádného dalšího zpracovatele bez předchozího konkrétního nebo obecného písemného povolení správce. V případě obecného písemného povolení zpracovatel správce informuje o veškerých zamýšlených změnách týkajících se přijetí dalších zpracovatelů nebo jejich nahrazení, a poskytne tak správci příležitost vyslovit vůči těmto změnám námitky.

3.   Zpracování zpracovatelem se řídí smlouvou nebo jiným právním aktem podle práva Unie nebo členského státu, které zavazují zpracovatele vůči správci a v nichž je stanoven předmět a doba trvání zpracování, povaha a účel zpracování, typ osobních údajů a kategorie subjektů údajů a povinnosti a práva správce. Tato smlouva nebo jiný právní akt zejména stanoví, že zpracovatel:

Pokud jde o první pododstavec písm. h), informuje zpracovatel neprodleně správce v případě, že podle jeho názoru určitý pokyn porušuje toto nařízení nebo jiné předpisy Unie nebo členského státu týkající se ochrany údajů.

4.   Pokud zpracovatel zapojí dalšího zpracovatele, aby za správce provedl určité činnosti zpracování, musí být tomuto dalšímu zpracovateli uloženy na základě smlouvy nebo jiného právního aktu podle práva Unie nebo členského státu stejné povinnosti v oblasti ochrany údajů, jaké jsou uvedeny ve smlouvě nebo jiném právním aktu mezi správcem a zpracovatelem podle odstavce 3, a to zejména poskytnutí dostatečných záruk, pokud jde o zavedení vhodných technických a organizačních opatření tak, aby zpracování splňovalo požadavky tohoto nařízení. Neplní-li uvedený další zpracovatel své povinnosti v oblasti ochrany údajů, odpovídá správci za plnění povinností uvedeného dalšího zpracovatele i nadále plně prvotní zpracovatel.

5.   Není-li zpracovatel orgánem nebo subjektem Unie, je jedním z prvků, jimiž lze doložit dostatečné záruky podle odstavců 1 a 4 tohoto článku, skutečnost, že zpracovatel dodržuje schválený kodex chování uvedený v čl. 40 odst. 5 nařízení (EU) 2016/679 nebo schválený mechanismus pro vydávání osvědčení uvedený v článku 42 nařízení (EU) 2016/679.

6.   Aniž jsou dotčeny individuální smlouvy mezi správcem a zpracovatelem, mohou být smlouvy nebo jiné právní akty podle odstavců 3 a 4 tohoto článku založeny zcela nebo částečně na standardních smluvních doložkách podle odstavců 7 a 8 tohoto článku, mimo jiné i v případě, že jsou součástí osvědčení uděleného zpracovateli jinému než orgán nebo subjekt Unie podle článku 42 nařízení (EU) 2016/679.

7.   Pro záležitosti uvedené v odstavcích 3 a 4 tohoto článku může standardní smluvní doložky stanovit Komise přezkumným postupem podle čl. 96 odst. 2.

8.   Pro záležitosti uvedené v odstavcích 3 a 4 může standardní smluvní doložky přijmout evropský inspektor ochrany údajů.

9.   Smlouva nebo jiný právní akt podle odstavců 3 a 4 musí být vyhotoveny písemně, v to počítaje i elektronickou formu.

10.   Aniž jsou dotčeny články 65 a 66, pokud zpracovatel poruší toto nařízení tím, že určí účely a prostředky zpracování, považuje se ve vztahu k takovému zpracování za správce.

1.   Každý správce vede záznamy o činnostech zpracování, za něž odpovídá. Tyto záznamy obsahují všechny tyto informace:

2.   Každý zpracovatel vede záznamy o všech kategoriích činností zpracování prováděných za správce, jež obsahují:

3.   Záznamy podle odstavců 1 a 2 se vyhotovují písemně, v to počítaje i elektronickou formu.

4.   Orgány a subjekty Unie poskytnou záznamy na požádání evropskému inspektorovi ochrany údajů.

5.   Orgány a subjekty Unie uchovávají své záznamy o zpracování v centrálním rejstříku, ledaže to není přiměřené vzhledem k velikosti daného orgánu či subjektu Unie. Tento rejstřík zpřístupní veřejnosti.

1.   S přihlédnutím ke stavu techniky, nákladům na provedení, povaze, rozsahu, kontextu a účelům zpracování i k různě pravděpodobným a různě závažným rizikům pro práva a svobody fyzických osob zavedou správce a zpracovatel vhodná technická a organizační opatření, aby zajistili úroveň zabezpečení odpovídající danému riziku, případně včetně:

2.   Při posuzování náležité úrovně zabezpečení se zohlední zejména rizika, která představuje zpracování, zejména náhodné nebo protiprávní zničení, ztráta, pozměňování, neoprávněné zpřístupnění předávaných, uložených nebo jinak zpracovávaných osobních údajů, nebo neoprávněný přístup k nim.

3.   Správce a zpracovatel přijmou opatření pro zajištění toho, aby jakákoliv fyzická osoba, která jedná z pověření správce nebo zpracovatele a má přístup k osobním údajům, zpracovávala tyto osobní údaje pouze na pokyn správce, pokud jí jejich zpracování již neukládá právo Unie.

4.   Jedním z prvků, jimiž lze doložit soulad s požadavky stanovenými v odstavci 1 tohoto článku, je dodržování schváleného mechanismu pro vydávání osvědčení uvedeného v článku 42 nařízení (EU) 2016/679.

1.   Jakékoli porušení zabezpečení osobních údajů správce bez zbytečného odkladu a pokud možno do 72 hodin od okamžiku, kdy se o něm dozvěděl, ohlásí evropskému inspektorovi ochrany údajů, ledaže je nepravděpodobné, že by toto porušení mělo za následek riziko pro práva a svobody fyzických osob. Pokud není ohlášení evropskému inspektorovi ochrany údajů učiněno do 72 hodin, musí být současně s ním uvedeny důvody tohoto zpoždění.

2.   Jakmile zpracovatel zjistí porušení zabezpečení osobních údajů, ohlásí je bez zbytečného odkladu správci.

3.   Ohlášení uvedené v odstavci 1 musí přinejmenším obsahovat:

4.   Není-li možné poskytnout informace současně, mohou být poskytnuty postupně bez dalšího zbytečného odkladu.

5.   Správce informuje o porušení zabezpečení osobních údajů pověřence pro ochranu osobních údajů.

6.   Správce dokumentuje veškeré případy porušení zabezpečení osobních údajů, přičemž uvede skutečnosti, které se týkají daného porušení, jeho účinky a přijatá nápravná opatření. Tato dokumentace musí evropskému inspektorovi ochrany údajů umožnit ověření souladu s tímto článkem.

1.   Pokud je pravděpodobné, že určitý případ porušení zabezpečení osobních údajů bude mít za následek vysoké riziko pro práva a svobody fyzických osob, oznámí správce toto porušení bez zbytečného odkladu subjektu údajů.

2.   V oznámení určeném subjektu údajů podle odstavce 1 tohoto článku se za použití jasných a jednoduchých jazykových prostředků popíše povaha porušení zabezpečení osobních údajů a uvedou se v něm přinejmenším informace a opatření uvedené v čl. 34 odst. 3 písm. b), c) a d).

3.   Oznámení subjektu údajů uvedené v odstavci 1 se nevyžaduje, je-li splněna kterákoli z těchto podmínek:

4.   Jestliže správce dotčenému subjektu údajů ještě neoznámil porušení zabezpečení osobních údajů, může evropský inspektor ochrany údajů po posouzení pravděpodobnosti toho, že dané porušení bude mít za následek vysoké riziko, požadovat, aby tak učinil, nebo může rozhodnout, že je splněna některá z podmínek uvedených v odstavci 3.

1.   Osobní údaje uvedené v seznamech uživatelů a přístup k těmto seznamům jsou omezeny na to, co je nezbytně nutné pro zvláštní účely seznamu.

2.   Orgány a subjekty Unie přijmou všechna nezbytná opatření, aby zabránily použití osobních údajů obsažených v těchto seznamech bez ohledu na to, zda jsou, či nejsou dostupné veřejnosti, pro účely přímého marketingu.

1.   Pokud je pravděpodobné, že určitý druh zpracování, zejména při využití nových technologií, bude s přihlédnutím k povaze, rozsahu, kontextu a účelům zpracování mít za následek vysoké riziko pro práva a svobody fyzických osob, provede správce před zpracováním posouzení vlivu zamýšlených operací zpracování na ochranu osobních údajů. Pro soubor podobných operací zpracování, které představují podobné vysoké riziko, může stačit jedno posouzení.

2.   Při provádění posouzení vlivu na ochranu osobních údajů si správce vyžádá posudek pověřence pro ochranu osobních údajů.

3.   Posouzení vlivu na ochranu osobních údajů podle odstavce 1 je nutné zejména v těchto případech:

4.   Evropský inspektor ochrany údajů sestaví a zveřejní seznam druhů operací zpracování, na něž se vztahuje požadavek na posouzení vlivu na ochranu osobních údajů podle odstavce 1.

5.   Evropský inspektor ochrany údajů může rovněž sestavit a zveřejnit seznam druhů operací zpracování, u nichž není posouzení vlivu na ochranu osobních údajů nutné.

6.   Před přijetím seznamů podle odstavců 4 a 5 tohoto článku evropský inspektor ochrany údajů požádá Evropský sbor pro ochranu údajů, zřízený článkem 68 nařízení (EU) 2016/679, aby tyto seznamy přezkoumal v souladu s čl. 70 odst. 1 písm. e) uvedeného nařízení, pokud se týkají operací zpracování prováděných společně dvěma nebo více správci jinými než orgány a subjekty Unie.

7.   Posouzení obsahuje alespoň:

8.   Dodržování schválených kodexů chování podle článku 40 nařízení (EU) 2016/679 příslušnými zpracovateli jinými než orgány a subjekty Unie se řádně zohlední při posuzování dopadu operací zpracování prováděných těmito zpracovateli, zejména pro účely posouzení vlivu na ochranu osobních údajů.

9.   Správce ve vhodných případech získá k zamýšlenému zpracování stanovisko subjektů údajů nebo jejich zástupců, aniž by byla dotčena ochrana veřejných zájmů nebo zabezpečení operací zpracování.

10.   Pokud má zpracování podle čl. 5 odst. 1 písm. a) nebo b) právní základ v právním aktu přijatém na základě Smluv, který upravuje konkrétní operaci nebo soubor operací zpracování, a pokud bylo posouzení vlivu na ochranu osobních údajů již provedeno jakožto součást obecného posouzení dopadů v souvislosti s přijetím uvedeného právního aktu, odstavce 1 až 6 tohoto článku se nepoužijí, ledaže by dotyčný právní akt stanovil jinak.

11.   Správce případně provede přezkum s cílem posoudit, zda je zpracování prováděno v souladu s posouzením vlivu na ochranu osobních údajů alespoň v případech, kdy dojde ke změně rizika, jež představují operace zpracování.

1.   Pokud z posouzení vlivu na ochranu osobních údajů podle článku 39 vyplývá, že by zpracování v případě neexistence záruk, bezpečnostních opatření ani mechanismů ke zmírnění rizika představovalo vysoké riziko pro práva a svobody fyzických osob, a pokud je správce toho názoru, že riziko nelze zmírnit prostředky přiměřenými z hlediska dostupných technologií a nákladů na provedení, musí před zahájením zpracování konzultovat evropského inspektora ochrany údajů. Správce se poradí s pověřencem pro ochranu osobních údajů, zda je potřeba předchozí konzultace.

2.   Pokud se evropský inspektor ochrany údajů domnívá, že by zamýšlené zpracování uvedené v odstavci 1 porušilo toto nařízení, zejména pokud správce nedostatečně určil či zmírnil riziko, upozorní na to správce a případně zpracovatele údajů písemně ve lhůtě nejvýše osmi týdnů od obdržení žádosti o konzultaci a může uplatnit kteroukoli ze svých pravomocí uvedených v článku 58. Tato lhůta může být s ohledem na složitost zamýšleného zpracování prodloužena o šest týdnů. Evropský inspektor ochrany údajů informuje správce a případně zpracovatele o každém takovém prodloužení a o jeho důvodech do jednoho měsíce od obdržení žádosti o konzultaci. Tyto lhůty mohou být pozastaveny, dokud evropský inspektor ochrany údajů neobdrží veškeré informace, o které požádal pro účely konzultace.

3.   Při konzultaci evropského inspektora ochrany údajů podle odstavce 1 mu správce poskytne informace o těchto aspektech:

4.   Komise může prostřednictvím prováděcího aktu stanovit seznam případů, ve kterých správci musí konzultovat evropského inspektora ochrany údajů a získat od něj předchozí povolení, pokud jde o zpracování osobních údajů správcem za účelem vykonání úkolu ve veřejném zájmu, včetně zpracování v souvislosti se sociální ochranou a veřejným zdravím.

1.   Orgány a subjekty Unie uvědomí evropského inspektora ochrany údajů o vypracování správních opatření a vnitřních předpisů souvisejících se zpracováním osobních údajů orgánem nebo subjektem Unie, ať již samostatně, nebo společně s jinými orgány či subjekty.

2.   Orgány a subjekty Unie konzultují s evropským inspektorem ochrany údajů při vypracovávání vnitřních předpisů uvedených v článku 25.

1.   Po přijetí návrhů legislativních aktů, doporučení nebo návrhů pro Radu podle článku 218 Smlouvy o fungování EU a při přípravě aktů v přenesené pravomoci nebo prováděcích aktů konzultuje Komise evropského inspektora ochrany údajů, mají-li vliv na ochranu práv a svobod fyzických osob v souvislosti se zpracováváním osobních údajů.

2.   Má-li akt uvedený v odstavci 1 zvláštní význam pro ochranu práv a svobod fyzických osob v souvislosti se zpracováním osobních údajů, může Komise rovněž konzultovat Evropský sbor pro ochranu osobních údajů. V takových případech evropský inspektor ochrany údajů a Evropský sbor pro ochranu údajů koordinují svou práci s cílem vydat společné stanovisko.

3.   Poradenství uvedené v odstavcích 1 a 2 se poskytuje písemně ve lhůtě osmi týdnů od obdržení žádosti o konzultaci uvedenou v odstavcích 1 a 2. V naléhavých nebo jinak vhodných případech může Komise tuto lhůtu zkrátit.

4.   Tento článek se nepoužije, musí-li Komise podle nařízení (EU) 2016/679 konzultovat Evropský sbor pro ochranu údajů.

1.   Každý orgán nebo subjekt Unie jmenuje pověřence pro ochranu osobních údajů.

2.   Orgány a subjekty Unie mohou jmenovat jediného pověřence pro ochranu osobních údajů pro několik z nich, s přihlédnutím ke své organizační struktuře a velikosti.

3.   Pověřenec pro ochranu osobních údajů musí být jmenován na základě svých profesních kvalit, zejména na základě svých odborných znalostí práva a praxe v oblasti ochrany údajů a své schopnosti plnit úkoly stanovené v článku 45.

4.   Pověřenec pro ochranu osobních údajů musí být zaměstnancem orgánu nebo subjektu Unie. Orgány a subjekty Unie mohou s přihlédnutím ke své velikosti a za podmínky, že možnost stanovená v odstavci 2 není využita, jmenovat inspektora ochrany údajů, který plní své úkoly na základě smlouvy o poskytování služeb.

5.   Orgány a subjekty Unie zveřejní kontaktní údaje pověřence pro ochranu osobních údajů a sdělí je evropskému inspektorovi ochrany údajů.

1.   Orgány a subjekty Unie zajistí, aby byl pověřenec pro ochranu osobních údajů náležitě a včas zapojen do veškerých záležitostí souvisejících s ochranou osobních údajů.

2.   Orgány a subjekty Unie podporují pověřence pro ochranu osobních údajů při plnění úkolů uvedených v článku 45 tím, že mu poskytují zdroje nezbytné k plnění těchto úkolů, přístup k osobním údajům a operacím zpracování a zdroje nezbytné k udržování jeho odborných znalostí.

3.   Orgány a subjekty Unie zajistí, aby pověřenec pro ochranu osobních údajů nedostával žádné pokyny týkající se výkonu těchto úkolů. V souvislosti s plněním svých úkolů nesmí být správcem nebo zpracovatelem propuštěn ani sankcionován. Pověřenec pro ochranu osobních údajů je přímo podřízen vrcholovým řídícím pracovníkům správce nebo zpracovatele.

4.   Subjekty údajů se mohou obracet na pověřence pro ochranu osobních údajů ve všech záležitostech souvisejících se zpracováním jejich osobních údajů a výkonem jejich práv podle tohoto nařízení.

5.   Pověřenec pro ochranu osobních údajů a jeho zaměstnanci jsou v souvislosti s výkonem svých úkolů vázáni tajemstvím nebo důvěrností, v souladu s právem Unie.

6.   Pověřenec pro ochranu osobních údajů může plnit i jiné úkoly a povinnosti. Správce nebo zpracovatel zajistí, aby žádné z těchto úkolů a povinností nevedly ke střetu zájmů.

7.   Správce a zpracovatel, příslušný výbor zaměstnanců nebo jakákoli fyzická osoba mohou pověřence pro ochranu osobních údajů konzultovat přímo v jakékoli záležitosti týkající se výkladu nebo používání tohoto nařízení, aniž by využívali úřední cesty. Nikomu nesmí být na újmu, že upozornil příslušného pověřence pro ochranu osobních údajů na skutečnost, při níž podle něj došlo k porušení tohoto nařízení.

8.   Pověřenec pro ochranu osobních údajů je jmenován na funkční období tří až pěti let a může být jmenován opětovně. Přestane-li splňovat podmínky požadované pro výkon své funkce, může jej z funkce pověřence pro ochranu osobních údajů odvolat orgán nebo subjekt Unie, který ho jmenoval, a to pouze se souhlasem evropského inspektora ochrany údajů.

9.   Po jmenování pověřence pro ochranu osobních údajů sdělí orgán nebo subjekt Unie, který jej jmenoval, jeho jméno evropskému inspektorovi ochrany údajů.

1.   Pověřenec pro ochranu osobních údajů vykonává tyto úkoly:

2.   Pověřenec pro ochranu osobních údajů může správci a zpracovateli vydávat doporučení o praktických zlepšeních a poskytovat jim poradenství o záležitostech týkajících se uplatňování ustanovení na ochranu údajů. Dále může z vlastního podnětu nebo na žádost správce nebo zpracovatele, příslušného výboru zaměstnanců nebo jakékoli fyzické osoby vyšetřovat otázky a skutečnosti, které přímo souvisejí s jeho úkoly a které mu byly oznámeny, a podat zprávu osobě, která o prošetření požádala, nebo správci nebo zpracovateli.

3.   Další prováděcí pravidla týkající se pověřence pro ochranu osobních údajů si přijímá každý orgán nebo subjekt Unie. Tato prováděcí pravidla se týkají zejména úkolů, povinností a pravomocí pověřence pro ochranu osobních údajů.

1.   Předávání osobních údajů do určité třetí země nebo určité mezinárodní organizaci se může uskutečnit, jestliže Komise rozhodla podle čl. 45 odst. 3 nařízení (EU) 2016/679 nebo čl. 36 odst. 3 směrnice (EU) 2016/680, že tato třetí země, určité území nebo jedno či více konkrétních odvětví v této třetí zemi, nebo tato mezinárodní organizace zajišťují odpovídající úroveň ochrany, a jestliže jsou osobní údaje předány pouze s cílem umožnit plnění úkolů v mezích pravomoci správce.

2.   Orgány a subjekty Unie informují Komisi a evropského inspektora ochrany údajů o případech, kdy se domnívají, že dotčená třetí země, dotčené území či konkrétní odvětví v určité třetí zemi nebo mezinárodní organizace nezajišťují odpovídající úroveň ochrany ve smyslu odstavce 1.

3.   Orgány a subjekty Unie přijmou nezbytná opatření, aby vyhověly rozhodnutím přijatým Komisí, která v souladu s čl. 45 odst. 3 nebo 5 nařízení (EU) 2016/679 nebo s čl. 36 odst. 3 nebo 5 směrnice (EU) 2016/680 stanoví, že určitá třetí země, určité území či konkrétní odvětví v určité třetí zemi nebo určitá mezinárodní organizace zajišťuje, nebo již nezajišťuje, odpovídající úroveň ochrany.

1.   Jestliže neexistuje rozhodnutí podle čl. 45 odst. 3 nařízení (EU) 2016/679 nebo podle čl. 36 odst. 3 směrnice (EU) 2016/680, může správce nebo zpracovatel předat osobní údaje do třetí země nebo mezinárodní organizaci, pouze pokud poskytl vhodné záruky a za podmínky, že jsou k dispozici vymahatelná práva subjektu údajů a účinná právní ochrana subjektů údajů.

2.   Vhodné záruky uvedené v odstavci 1 mohou být stanoveny, aniž je zapotřebí jakékoli zvláštní povolení evropského inspektora ochrany údajů, pomocí:

3.   S výhradou povolení od evropského inspektora ochrany údajů mohou být vhodné záruky uvedené v odstavci 1 rovněž stanoveny zejména pomocí:

4.   Povolení evropského inspektora ochrany údajů na základě čl. 9 odst. 7 nařízení (ES) č. 45/2001 zůstávají platná až do chvíle, kdy je evropský inspektor ochrany údajů v případě potřeby změní, nahradí nebo zruší.

5.   Orgány a subjekty Unie uvědomí evropského inspektora ochrany údajů o kategoriích případů, v nichž se tento článek uplatnil.

1.   Jestliže neexistují rozhodnutí o odpovídající ochraně podle čl. 45 odst. 3 nařízení (EU) 2016/679 nebo podle čl. 36 odst. 3 směrnice (EU) 2016/680 ani vhodné záruky podle článku 48 tohoto nařízení, může se předání nebo soubor předání osobních údajů do třetí země nebo mezinárodní organizaci uskutečnit pouze při splnění jedné z následujících podmínek:

2.   Ustanovení odst. 1 písm. a), b) a c) se nevztahují na činnosti prováděné orgány a subjekty Unie při výkonu jejich úředních pravomocí.

3.   Veřejný zájem uvedený v odst. 1 písm. d) musí být uznán právem Unie.

4.   Předmětem předání podle odst. 1 písm. g) nejsou veškeré osobní údaje nebo veškeré kategorie osobních údajů, které jsou v rejstříku obsaženy, není-li to povoleno právem Unie. Má-li rejstřík sloužit k nahlížení osobám majícím oprávněný zájem, předání se uskuteční, pouze pokud o to tyto osoby požádají nebo pokud tyto osoby mají být příjemcem.

5.   V případě neexistence rozhodnutí o odpovídající ochraně může právo Unie z důležitých důvodů veřejného zájmu výslovně stanovit omezení předání konkrétních kategorií osobních údajů do třetí země nebo mezinárodní organizaci.

6.   Orgány a subjekty Unie uvědomí evropského inspektora ochrany údajů o kategoriích případů, v nichž se tento článek uplatnil.

1.   Zřizuje se evropský inspektor ochrany údajů.

2.   V oblasti zpracování osobních údajů evropský inspektor ochrany údajů zajišťuje, aby orgány a subjekty Unie dodržovaly základní práva a svobody fyzických osob, zejména jejich právo na ochranu údajů.

3.   Evropský inspektor ochrany údajů monitoruje uplatňování ustanovení tohoto nařízení a všech ostatních aktů Unie souvisejících s ochranou základních práv a svobod fyzických osob v souvislosti se zpracováním osobních údajů orgánem či subjektem Unie, zajišťuje uplatňování těchto ustanovení a poskytuje orgánům a subjektům Unie a subjektům údajů poradenství ve všech otázkách, které se týkají zpracování osobních údajů. Za tímto účelem plní povinnosti stanovené v článku 57 a vykonává pravomoci stanovené v článku 58.

4.   Na dokumenty, které má evropský inspektor ochrany údajů k dispozici, se vztahuje nařízení (ES) č. 1049/2001. Evropský inspektor ochrany údajů přijímá s ohledem na tyto dokumenty podrobná prováděcí pravidla k nařízení (ES) č. 1049/2001.

1.   Evropský parlament a Rada vzájemnou dohodou jmenují evropského inspektora ochrany údajů na dobu pěti let ze seznamu sestaveného Komisí po veřejné výzvě k přihlášení uchazečů. Tato výzva musí umožnit všem zájemcům v Unii, aby podali svou přihlášku. Seznam uchazečů sestavený Komisí je veřejný a skládá se nejméně ze tří uchazečů. Na základě seznamu vypracovaného Komisí může příslušný výbor Evropského parlamentu uspořádat slyšení, aby mohl vyjádřit některému uchazeči svou přednostní podporu.

2.   Na seznam uchazečů uvedených v odstavci 1 se zapisují osoby, o jejichž nezávislosti není pochybnost a jež prokázaly odborné znalosti v oblasti ochrany údajů i zkušenosti a dovednosti potřebné k výkonu povinností evropského inspektora ochrany údajů.

3.   Evropského inspektora ochrany údajů lze jmenovat na jedno další funkční období.

4.   Evropský inspektor ochrany údajů pozbývá funkce za těchto okolností:

5.   Evropského inspektora ochrany údajů může z funkce odvolat nebo zbavit nároku na důchod nebo jej nahrazující požitky Soudní dvůr na žádost Evropského parlamentu, Rady nebo Komise, nesplňuje-li nadále podmínky nezbytné k výkonu svých povinností nebo porušil-li závažným způsobem své povinnosti.

6.   V případě pravidelné obměny nebo dobrovolného odstoupení zůstává evropský inspektor ochrany údajů ve funkci, dokud není nahrazen.

7.   Na evropského inspektora ochrany údajů se vztahují články 11 až 14 a 17 Protokolu o výsadách a imunitách Evropské unie.

1.   Pokud jde o určování odměny, náhrad, starobního důchodu a všech dalších náhrad poskytovaných místo odměny, považuje se evropský inspektor ochrany údajů za rovnocenného soudci Soudního dvora.

2.   Rozpočtový orgán zajistí, aby měl evropský inspektor ochrany údajů k dispozici lidské a finanční zdroje nutné pro výkon svých úkolů.

3.   Rozpočet evropského inspektora ochrany údajů je veden v samostatném rozpočtovém okruhu v oddíle souhrnného rozpočtu Unie týkajícím se správních výdajů.

4.   Evropskému inspektorovi ochrany údajů je nápomocen sekretariát. Úředníky a ostatní zaměstnance sekretariátu jmenuje a řídí evropský inspektor ochrany údajů. Tyto osoby podléhají výlučně jeho pokynům. O jejich počtu se rozhoduje každý rok v rozpočtovém procesu. Na zaměstnance evropského inspektora ochrany údajů, kteří vykonávají úkoly svěřené právem Unie Evropskému sboru pro ochranu osobních údajů, se vztahuje čl. 75 odst. 2 nařízení (EU) 2016/679.

5.   Na úředníky a ostatní zaměstnance sekretariátu evropského inspektora ochrany údajů se vztahují pravidla a nařízení platná pro úředníky a ostatní zaměstnance Unie.

6.   Sídlem evropského inspektora ochrany údajů je Brusel.

1.   Evropský inspektor ochrany údajů jedná při plnění svých úkolů a při výkonu svých pravomocí podle tohoto nařízení zcela nezávisle.

2.   Evropský inspektor ochrany údajů musí při plnění svých úkolů a výkonu svých pravomocí podle tohoto nařízení zůstávat nezávislý na vnějším vlivu, přímém či nepřímém, a od nikoho nesmí vyžadovat ani přijímat pokyny.

3.   Evropský inspektor ochrany údajů se zdrží jakéhokoliv jednání neslučitelného se svou funkcí a během svého funkčního období nesmí vykonávat žádnou výdělečnou ani nevýdělečnou pracovní činnost.

4.   Po skončení svého funkčního období je evropský inspektor ochrany údajů povinen při přijímání určitých funkcí a výhod jednat čestně a uvážlivě.

1.   Aniž jsou dotčeny další úkoly stanovené tímto nařízením, evropský inspektor ochrany údajů:

2.   Evropský inspektor ochrany údajů usnadňuje podávání stížností uvedených v odst. 1 písm. e) poskytnutím formuláře pro podávání stížností, který lze vyplnit i v elektronické formě, aniž jsou vyloučeny jiné komunikační prostředky.

3.   Plnění úkolů Evropského inspektora ochrany údajů je pro subjekt údajů bezplatné.

4.   Jsou-li žádosti zjevně nedůvodné nebo nepřiměřené, zejména protože se opakují, může evropský inspektor ochrany údajů odmítnout žádosti vyhovět. Zjevnou nedůvodnost nebo nepřiměřenost žádosti dokládá evropský inspektor ochrany údajů.

1.   Evropský inspektor ochrany údajů má tyto vyšetřovací pravomoci:

2.   Evropský inspektor ochrany údajů má tyto nápravné pravomoci:

3.   Evropský inspektor ochrany údajů má tyto povolovací a poradní pravomoci:

4.   Evropský inspektor ochrany údajů má pravomoc předložit věc Soudnímu dvoru za podmínek stanovených ve Smlouvách a vstupovat jako vedlejší účastník do řízení před Soudním dvorem.

5.   Výkon pravomocí svěřených tímto článkem evropskému inspektorovi ochrany údajů podléhá vhodným zárukám, včetně účinné soudní ochrany a spravedlivého procesu, stanoveným v právu Unie.

1.   Evropský inspektor ochrany údajů předkládá výroční zprávu o své činnosti Evropskému parlamentu, Radě a Komisi a zároveň ji zveřejňuje.

2.   Evropský inspektor ochrany údajů předá zprávu uvedenou v odstavci 1 ostatním orgánům a subjektům Unie, které mohou předložit připomínky k případnému přezkumu zprávy Evropským parlamentem.

1.   Pokud akt Unie odkazuje na tento článek, spolupracují evropský inspektor ochrany údajů a vnitrostátní dozorové úřady v mezích svých pravomocí aktivně v rámci plnění svých úkolů na zajištění účinného dozoru nad velkými informačními systémy a nad institucemi a jinými subjekty Unie.

2.   Evropský inspektor ochrany údajů a vnitrostátní dozorové úřady si v rámci svých příslušných pravomocí a svých úkolů podle potřeby navzájem vyměňují relevantní informace, pomáhají si vzájemně při provádění auditů a inspekcí, přezkoumávají potíže s výkladem nebo uplatňováním tohoto nařízení a jiných použitelných aktů Unie, zkoumají potíže s výkonem nezávislého dozoru nebo s výkonem práv subjektů údajů, vypracovávají harmonizované návrhy řešení problémů a zvyšují informovanost o právech na ochranu údajů.

3.   Pro účely uvedené v odstavci 2 se evropský inspektor ochrany údajů schází s vnitrostátními dozorovými úřady nejméně dvakrát ročně v Evropském sboru pro ochranu údajů. Za tímto účelem může Evropský sbor pro ochranu údajů podle potřeby vypracovat další pracovní metody.

4.   Jednou za dva roky zašle Evropský sbor pro ochranu údajů Evropskému parlamentu, Radě a Komisi společnou zprávu o koordinovaných činnostech dozoru.

1.   Aniž jsou dotčeny jakékoli prostředky soudní, správní nebo mimosoudní ochrany, má každý subjekt údajů právo podat stížnost u evropského inspektora ochrany údajů, pokud se domnívá, že zpracováním jeho osobních údajů je porušeno toto nařízení.

2.   Evropský inspektor ochrany údajů informuje stěžovatele o pokroku v řešení stížnosti a o jeho výsledku, jakož i o možnosti soudní ochrany podle článku 64.

3.   Pokud se evropský inspektor ochrany údajů stížností nezabývá nebo neinformuje subjekt údajů do tří měsíců o pokroku v řešení stížnosti, má se za to, že evropský inspektor ochrany údajů stížnost zamítl.

1.   Soudní dvůr má soudní pravomoc pro řešení všech sporů, které se týkají tohoto nařízení, včetně žalob o náhradu škody.

2.   Proti rozhodnutím evropského inspektora ochrany údajů, včetně rozhodnutí podle čl. 63 odst. 3, lze podat žalobu k Soudnímu dvoru.

3.   Soudní dvůr má neomezenou pravomoc přezkoumávat správní pokuty uvedené v článku 66. Tyto pokuty může v mezích stanovených v článku 66 zrušit, snížit nebo zvýšit.

1.   Jestliže orgán nebo subjekt Unie nesplní příkaz evropského inspektora ochrany údajů podle čl. 58 odst. 2 písm. d) až h) a j), může mu evropský inspektor ochrany údajů uložit správní pokutu podle okolností každého jednotlivého případu. Při rozhodování o tom, zda uložit správní pokutu, a rozhodování o výši správní pokuty v jednotlivých případech řádně zohlední tyto okolnosti:

2.   Za porušení povinností orgánu nebo subjektu Unie podle článků 8, 12, 27 až 35, 39, 40, 43, 44 a 45 se uloží v souladu s odstavcem 1 tohoto článku správní pokuty až do výše 25 000 EUR za jednotlivé porušení a 250 000 EUR celkem za rok.

3.   Za porušení následujících ustanovení orgánem nebo subjektem Unie se uloží v souladu s odstavcem 1 správní pokuty až do výše 50 000 EUR za jednotlivé porušení a 500 000 EUR celkem za rok:

4.   Pokud orgán nebo subjekt Unie u stejných nebo souvisejících nebo trvajících operací zpracování poruší více ustanovení tohoto nařízení nebo několikrát stejné ustanovení tohoto nařízení, nesmí celková výše správní pokuty překročit výši stanovenou pro nejzávažnější porušení.

5.   Před přijetím rozhodnutí podle tohoto článku poskytne evropský inspektor ochrany údajů orgánu nebo subjektu Unie, se kterým vede řízení, příležitost vyjádřit své stanovisko k záležitostem, ke kterým vznesl námitky. Evropský inspektor ochrany údajů zakládá své rozhodnutí pouze na námitkách, ke kterým se dotčené osoby mohly vyjádřit. Stěžovatelé jsou do řízení úzce zapojeni.

6.   Při řízení musí být plně dodržováno právo dotyčných stran na obhajobu. Musí mít přístup do spisu evropského inspektora ochrany údajů, s výhradou oprávněného zájmu jednotlivců nebo podniků na ochraně jejich osobních údajů nebo obchodního tajemství.

7.   Prostředky vybrané ukládáním pokut podle tohoto článku jsou příjmem souhrnného rozpočtu Unie.

1.   Operativní osobní údaje musí být:

2.   Zpracování stejným nebo jiným správcem pro kterýkoli účel uvedený v právním aktu, jímž se zřizuje instituce nebo jiný subjekt Unie, odlišný od účelu, pro nějž byly operativní osobní údaje shromážděny, je přípustné:

3.   Zpracování stejným nebo jiným správcem může zahrnovat archivaci ve veřejném zájmu či vědecké, statistické či historické použití pro účely uvedené v právním aktu, jímž se zřizuje instituce nebo jiný subjekt Unie, pod podmínkou vhodných záruk práv a svobod subjektů údajů.

4.   Správce odpovídá za dodržení odstavců 1, 2 a 3 a musí být schopen toto dodržení doložit.

1.   Zpracování operativních osobních údajů je zákonné pouze tehdy a do té míry, pokud je nezbytné ke splnění úkolů prováděných institucemi a jinými subjekty Unie při výkonu činností, které spadají do oblasti působnosti části třetí hlavy V kapitoly 4 nebo 5 Smlouvy o fungování EU, a pokud má základ v právu Unie.

2.   Zvláštní právní akty Unie upravující zpracování v oblasti působnosti této kapitoly určí přinejmenším cíle zpracování, operativní osobní údaje, jež mají být zpracovány, účel zpracování a lhůty pro jejich uložení nebo pro pravidelný přezkum nutnosti prodloužení doby jejich uložení.

1.   Správce pokud možno rozlišuje operativní osobní údaje založené na skutečnostech a operativní osobní údaje založené na osobních hodnoceních.

2.   Správce učiní veškerá rozumná opatření s cílem zajistit, aby nebyly předávány ani zpřístupňovány operativní osobní údaje, které jsou nepřesné či neúplné nebo již nejsou aktuální. Za tímto účelem správce v příslušném případě ověří, je-li to proveditelné, kvalitu operativních osobních údajů před jejich předáním nebo zpřístupněním, například prostřednictvím konzultace s příslušným orgánem, od něhož údaje pocházejí. Při každém předání operativních osobních údajů k nim správce pokud možno doplní nezbytné informace, jež umožní příjemci zhodnotit míru jejich přesnosti, úplnosti, spolehlivosti a aktuálnosti.

3.   Zjistí-li se, že došlo k předání nesprávných operativních osobních údajů nebo že operativní osobní údaje byly předány protiprávně, musí o tom být příjemce neprodleně vyrozuměn. V takovém případě musí být dotčené operativní osobní údaje opraveny nebo vymazány nebo být omezeno jejich zpracování v souladu s článkem 82.

1.   Jestliže právo Unie použitelné na předávajícího správce stanoví zvláštní podmínky pro zpracování údajů, informuje správce příjemce takových osobních údajů o těchto podmínkách a o nutnosti je dodržovat.

2.   Správce dodržuje zvláštní podmínky pro zpracování údajů stanovené předávajícím příslušným orgánem v souladu s čl. 9 odst. 3 a 4 směrnice (EU) 2016/680.

1.   Zpracování operativních osobních údajů, které vypovídají o rasovém či etnickém původu, politických názorech, náboženském vyznání či filosofickém přesvědčení nebo členství v odborech, a zpracovaní genetických údajů, biometrických údajů za účelem jedinečné identifikace fyzické osoby, operativních osobních údajů o zdravotním stavu nebo údajů o sexuálním životě či sexuální orientaci fyzické osoby je povoleno pouze tehdy, pokud je to zcela nezbytné pro operativní účely, spadá to do pravomoci dotčené instituce nebo jiného subjektu Unie a existují vhodné záruky práv a svobod subjektu údajů. Diskriminace fyzických osob na základě těchto osobních údajů je zakázána.

2.   O použití tohoto článku musí být neprodleně informován pověřenec pro ochranu osobních údajů.

1.   Rozhodování založené výhradně na automatizovaném zpracování včetně profilování, které má pro subjekt údajů nepříznivé právní účinky nebo se ho významně dotýká, je zakázáno, není-li povoleno právem Unie, které se na správce vztahuje a které poskytuje vhodné záruky práv a svobod subjektu údajů, alespoň práva na lidský zásah ze strany správce.

2.   Rozhodnutí uvedená v odstavci 1 tohoto článku se nesmějí opírat o zvláštní kategorie osobních údajů uvedené v článku 76, pokud nejsou zavedena vhodná opatření s cílem zaručit práva, svobody a oprávněné zájmy subjektu údajů.

3.   Profilování, které vede k diskriminaci fyzických osob na základě zvláštních kategorií osobních údajů uvedených v článku 76, je v souladu s právem Unie zakázáno.

1.   Správce podnikne všechny přiměřené kroky k tomu, aby subjektu údajů poskytl stručným, srozumitelným a snadno přístupným způsobem za použití jasných a jednoduchých jazykových prostředků veškeré informace uvedené v článku 79 a učinil veškerá sdělení s ohledem na články 80 až 84 a 92 o zpracování. Informace jsou poskytovány jakýmikoliv vhodnými prostředky, a to i v elektronické formě. Obecně platí, že správce poskytne informace ve stejné podobě jako žádost.

2.   Správce usnadňuje výkon práv subjektu údajů podle článků 79 až 84.

3.   Správce písemně bez zbytečného odkladu, a v každém případě do tří měsíců od obdržení žádosti subjektu údajů, informuje subjekt údajů o tom, jaké kroky se podnikají v návaznosti na jeho žádost.

4.   Správce poskytuje informace podle článku 79 a činí veškerá sdělení a veškeré úkony podle článků 80 až 84 a 92 bezplatně. Jsou-li žádosti podané subjektem údajů zjevně nedůvodné nebo nepřiměřené, zejména protože se opakují, může správce odmítnout žádosti vyhovět. Zjevnou nedůvodnost nebo nepřiměřenost žádosti dokládá správce.

5.   Pokud má správce důvodné pochybnosti o totožnosti fyzické osoby, která podává žádost podle článku 80 nebo 82, může požádat o poskytnutí dodatečných informací nezbytných k potvrzení totožnosti subjektu údajů.

1.   Správce poskytne subjektu údajů alespoň tyto informace:

2.   Vedle informací uvedených v odstavci 1 poskytne správce subjektu údajů ve zvláštních případech vymezených právem Unie tyto další informace s cílem umožnit výkon jeho práv:

3.   Správce může poskytnutí informací subjektu údajů podle odstavce 2 odložit, omezit či od něho upustit v takovém rozsahu a na takovou dobu, jak je to v demokratické společnosti s náležitým přihlédnutím k základním právům a oprávněným zájmům dotčené fyzické osoby nutné a přiměřené, s cílem:

1.   Správce může právo subjektu údajů na přístup k informacím úplně nebo částečně omezit v takovém rozsahu a na takovou dobu, jak je to v demokratické společnosti s náležitým přihlédnutím k základním právům a oprávněným zájmům dotčené fyzické osoby nutné a přiměřené, s cílem:

2.   V případech uvedených v odstavci 1 správce bez zbytečného odkladu písemně informuje subjekt údajů o jakémkoli odmítnutí nebo omezení přístupu a o důvodech tohoto odmítnutí nebo omezení. Tyto informace není třeba uvádět, pokud by jejich poskytnutí ohrožovalo některý z účelů podle odstavce 1. Správce informuje subjekt údajů o možnosti podat stížnost u evropského inspektora ochrany údajů nebo žádat o soudní ochranu u Soudního dvora. Správce zdokumentuje věcné či právní důvody, na nichž se rozhodnutí zakládá. Tyto informace se na požádání zpřístupní evropskému inspektorovi ochrany údajů.

1.   Každý subjekt údajů má právo požadovat po správci opravu nepřesných operativních osobních údajů, které se ho týkají, a to bez zbytečného odkladu. S přihlédnutím k účelům zpracování má subjekt údajů právo na doplnění neúplných operativních osobních údajů, a to i poskytnutím dodatečného prohlášení.

2.   Správce vymaže operativní osobní údaje bez zbytečného odkladu a subjekt údajů má právo požadovat po správci, aby bez zbytečného odkladu vymazal operativní osobní údaje, které se ho týkají, jestliže zpracování porušuje článek 71, čl. 72 odst. 1 nebo článek 76 nebo jestliže operativní osobní údaje musí být vymazány ke splnění právní povinnosti správce.

3.   Namísto výmazu osobních údajů správce omezí zpracování:

Pokud je zpracování omezeno ve smyslu prvního pododstavce písm. a), informuje správce subjekt údajů před zrušením omezení zpracování.

Údaje podléhající omezení lze zpracovat pouze za účelem, který zabránil jejich výmazu.

4.   Správce informuje subjekt údajů písemně o jakémkoli odmítnutí opravy či výmazu operativních osobních údajů nebo omezení zpracování a o důvodech tohoto odmítnutí. Správce může poskytnutí těchto informací úplně nebo částečně omezit v takovém rozsahu, jak je to v demokratické společnosti s náležitým přihlédnutím k základním právům a oprávněným zájmům dotčené fyzické osoby nutné a přiměřené, s cílem:

Správce informuje subjekty údajů o možnosti podat stížnost u evropského inspektora ochrany údajů nebo žádat o soudní ochranu u Soudního dvora.

5.   Správce uvědomí o opravě nepřesných operativních osobních údajů příslušný orgán, od něhož tyto nepřesné operativní osobní údaje pocházejí.

6.   V případech, kdy byly operativní osobní údaje opraveny nebo vymazány nebo zpracování bylo omezeno podle odstavců 1, 2 nebo 3, správce vyrozumí příjemce a informuje je, že musí opravit či vymazat operativní osobní údaje, za které odpovídají, nebo omezit jejich zpracování.

1.   V případech uvedených v čl. 79 odst. 3, článku 81 a čl. 82 odst. 4 může práva subjektu údajů vykonávat rovněž evropský inspektor ochrany údajů.

2.   Správce informuje subjekt údajů o možnosti vykonávat svá práva prostřednictvím evropského inspektora ochrany údajů podle odstavce 1.

3.   V případě výkonu práva podle odstavce 1 informuje evropský inspektor ochrany údajů subjekt údajů přinejmenším o tom, že provedl veškerá nezbytná ověření nebo přezkum. Evropský inspektor ochrany údajů rovněž subjekt údajů informuje o jeho právu žádat o soudní ochranu u Soudního dvora.

1.   S přihlédnutím ke stavu techniky, nákladům na provedení, povaze, rozsahu, kontextu a účelům zpracování i k různě pravděpodobným a různě závažným rizikům pro práva a svobody fyzických osob, jež s sebou zpracování nese, zavede správce jak v době určení prostředků pro zpracování, tak v době zpracování samotného vhodná technická a organizační opatření, jako je pseudonymizace, jejichž účelem je účinným způsobem provádět zásady ochrany údajů, jako je minimalizace údajů, a začlenit do zpracování nezbytné záruky tak, aby splnil požadavky tohoto nařízení a právního aktu, kterým se správce zřizuje, a rovněž ochránil práva subjektů údajů.

2.   Správce zavede vhodná technická a organizační opatření k zajištění toho, aby se standardně zpracovávaly pouze operativní osobní údaje, jež jsou přiměřené, relevantní a omezené na nezbytný rozsah ve vztahu k účelu, pro který jsou zpracovávány. Tato povinnost se týká množství shromážděných operativních osobních údajů, rozsahu jejich zpracování, doby jejich uložení a jejich dostupnosti. Tato opatření zejména zajistí, aby operativní osobní údaje nebyly standardně bez zásahu člověka zpřístupněny neomezenému počtu fyzických osob.

1.   Pokud účely a prostředky zpracování stanoví společně dva nebo více správců, anebo dva nebo více správců společně s jedním nebo více správci jinými než orgány a subjekty Unie, jsou společnými správci. Společní správci mezi sebou transparentním ujednáním vymezí své podíly na odpovědnosti za plnění svých povinností týkajících se ochrany údajů, zejména pokud jde o výkon práv subjektu údajů, a své povinnosti poskytovat informace uvedené v článku 79, pokud tuto odpovědnost společných správců nestanoví právo Unie nebo členského státu, které se na společné správce vztahuje. V ujednání může být určeno kontaktní místo pro subjekty údajů.

2.   Ujednání uvedené v odstavci 1 náležitě zohlední úlohy společných správců a jejich vztahy vůči subjektu údajů. Subjekt údajů musí být o podstatných prvcích ujednání informován.

3.   Bez ohledu na podmínky ujednání uvedeného v odstavci 1 může subjekt údajů vykonávat svá práva podle tohoto nařízení ohledně každého ze správců i vůči každému z nich.

1.   Pokud má být zpracování provedeno za správce, využije správce pouze ty zpracovatele, kteří poskytují dostatečné záruky zavedení vhodných technických a organizačních opatření tak, aby dané zpracování splňovalo požadavky tohoto nařízení a právního aktu, kterým se správce zřizuje, a aby byla zajištěna ochrana práv subjektu údajů.

2.   Zpracovatel nezapojí do zpracování žádného dalšího zpracovatele bez předchozího konkrétního nebo obecného písemného povolení správce. V případě obecného písemného povolení zpracovatel správce informuje o veškerých zamýšlených změnách týkajících se přijetí dalších zpracovatelů nebo jejich nahrazení, a poskytne tak správci příležitost vyslovit vůči těmto změnám námitky.

3.   Zpracování zpracovatelem se řídí smlouvou nebo jiným právním aktem podle práva Unie nebo práva členského státu, jenž zavazuje zpracovatele vůči správci a v němž je stanoven předmět a doba trvání zpracování, povaha a účel zpracování, typ operativních osobních údajů a kategorie subjektů údajů a povinnosti a práva správce. Tato smlouva nebo jiný právní akt zejména stanoví, že zpracovatel:

4.   Smlouva nebo jiný právní akt uvedený v odstavci 3 musí být vyhotoveny písemně, a to i v elektronické formě.

5.   Pokud zpracovatel poruší toto nařízení nebo právní akt, kterým se správce zřizuje, tím, že určí účely a prostředky zpracování, považuje se ve vztahu k takovému zpracování za správce.

1.   Správce vede logy o veškerých těchto operacích zpracování v automatizovaných systémech zpracování: shromáždění, pozměnění, zpřístupnění, sdělení, včetně předání, zkombinování a výmaz operativních osobních údajů a nahlédnutí do nich. Logy o nahlédnutí a zpřístupnění musí umožňovat zjištění důvodů těchto operací, datum a čas, kdy byly učiněny, a totožnosti osoby, která do operativních osobních údajů nahlédla nebo která je zpřístupnila, a pokud možno totožnosti příjemců těchto operativních osobních údajů.

2.   Logy se používají pouze pro ověření zákonnosti zpracování, vlastní kontrolu, pro zajištění neporušenosti a zabezpečení operativních osobních údajů a pro trestní řízení. Pokud nejsou tyto logy vyžadovány pro probíhající kontrolu, vymaží se po uplynutí tří let.

3.   Správce na požádání poskytne tyto logy k nahlédnutí svému pověřenci pro ochranu osobních údajů a evropskému inspektorovi ochrany údajů.

1.   Pokud je pravděpodobné, že určitý druh zpracování, zejména při využití nových technologií, bude s přihlédnutím k povaze, rozsahu, kontextu a účelům zpracování mít za následek vysoké riziko pro práva a svobody fyzických osob, provede správce před zpracováním posouzení vlivu zamýšlených operací zpracování na ochranu operativních osobních údajů.

2.   Posouzení uvedené v odstavci 1 obsahuje alespoň obecný popis zamýšlených operací zpracování, posouzení rizik z hlediska práv a svobod subjektů údajů, plánovaná opatření k řešení těchto rizik, záruky, bezpečnostní opatření a mechanismy k zajištění ochrany operativních osobních údajů a k doložení souladu s pravidly pro ochranu údajů, s přihlédnutím k právům a oprávněným zájmům subjektů údajů a dalších dotčených osob.

1.   Správce konzultuje s evropským inspektorem ochrany údajů před zpracováním osobních údajů, které budou součástí nové evidence, jež má být vytvořena, pokud:

2.   Evropský inspektor ochrany údajů může sestavit seznam operací zpracování, které podléhají předchozí konzultaci podle odstavce 1.

3.   Správce poskytne evropskému inspektorovi ochrany údajů posouzení vlivu na ochranu osobních údajů podle článku 89 a na požádání mu poskytne jakékoli další informace, jež evropskému inspektorovi ochrany údajů umožní posoudit soulad zpracování s tímto nařízením, a zejména posoudit rizika z hlediska ochrany operativních osobních údajů subjektu údajů a související záruky.

4.   V případě, že se evropský inspektor ochrany údajů domnívá, že by zamýšlené zpracování uvedené v odstavci 1 porušilo toto nařízení nebo právní akt, kterým se daná instituce nebo jiný subjekt Unie zřizuje, zejména pokud správce nedostatečně určil či zmírnil riziko, upozorní ho na to písemně ve lhůtě nejvýše šesti týdnů od obdržení žádosti o konzultaci. Tato lhůta může být s ohledem na složitost zamýšleného zpracování prodloužena o jeden měsíc. Evropský inspektor ochrany údajů informuje správce o každém takovém prodloužení a o jeho důvodech do jednoho měsíce od obdržení žádosti o konzultaci.

1.   S přihlédnutím ke stavu techniky, nákladům na provedení, povaze, rozsahu, kontextu a účelům zpracování i k různě pravděpodobným a různě závažným rizikům pro práva a svobody fyzických osob zavedou správce a zpracovatel vhodná technická a organizační opatření, aby zajistili úroveň zabezpečení odpovídající danému riziku, zejména pokud jde o zpracování zvláštních kategorií operativních osobních údajů.

2.   Pokud jde o automatizované zpracování údajů, zavedou správce a zpracovatel po zhodnocení rizik opatření s cílem:

1.   Jakékoli porušení zabezpečení osobních údajů správce ohlásí evropskému inspektorovi ochrany údajů bez zbytečného odkladu a pokud možno do 72 hodin od okamžiku, kdy se o něm dozvěděl, ledaže je nepravděpodobné, že by toto porušení mělo za následek riziko pro práva a svobody fyzických osob. Pokud není ohlášení evropskému inspektorovi ochrany údajů učiněno do 72 hodin, musí být současně s ním uvedeny důvody tohoto zpoždění.

2.   Ohlášení uvedené v odstavci 1 musí přinejmenším obsahovat:

3.   Není-li možné poskytnout informace uvedené v odstavci 2 současně, mohou být poskytnuty postupně bez dalšího zbytečného odkladu.

4.   Správce dokumentuje veškeré případy porušení zabezpečení osobních údajů uvedené v odstavci 1, přičemž uvede skutečnosti, které se týkají daného porušení, jeho účinky a přijatá nápravná opatření. Tato dokumentace musí evropskému inspektorovi ochrany údajů umožnit ověření souladu s tímto článkem.

5.   V případě, že se porušení zabezpečení osobních údajů týká operativních osobních údajů, které byly předány příslušnými orgány nebo příslušným orgánům, sdělí správce informace uvedené v odstavci 2 bez zbytečného odkladu dotčeným příslušným orgánům.

1.   Pokud je pravděpodobné, že určitý případ porušení zabezpečení osobních údajů bude mít za následek vysoké riziko pro práva a svobody fyzických osob, oznámí správce toto porušení bez zbytečného odkladu subjektu údajů.

2.   V oznámení určeném subjektu údajů podle odstavce 1 tohoto článku se za použití jasných a jednoduchých jazykových prostředků popíše povaha porušení zabezpečení osobních údajů a uvedou se v něm přinejmenším informace a doporučení uvedené v čl. 92 odst. 2 písm. b), c) a d).

3.   Oznámení subjektu údajů uvedené v odstavci 1 se nevyžaduje, je-li splněna kterákoli z těchto podmínek:

4.   Jestliže správce dotčenému subjektu údajů ještě neoznámil porušení zabezpečení osobních údajů, může evropský inspektor ochrany údajů po posouzení pravděpodobnosti toho, že dané porušení bude mít za následek vysoké riziko, požadovat, aby tak učinil, nebo může rozhodnout, že je splněna některá z podmínek uvedených v odstavci 3.

5.   Oznámení subjektu údajů podle odstavce 1 tohoto článku lze odložit, omezit či lze od něho upustit za podmínek uvedených v čl. 79 odst. 3 a z důvodů v něm stanovených.

1.   S výhradou omezení a podmínek stanovených v právních aktech, jimiž se zřizuje instituce nebo jiný subjekt Unie, může správce předat operativní osobní údaje orgánu třetí země nebo mezinárodní organizaci, je-li toto předání nezbytné pro výkon úkolů a pouze jsou-li splněny podmínky stanovené v tomto článku, totiž:

2.   Právní akty, jimiž se zřizují instituce a jiné subjekty Unie, mohou zachovat nebo zavést konkrétnější ustanovení o podmínkách pro mezinárodní předávání operativních osobních údajů, zejména pro předávání s dostatečnými zárukami a odchylkami pro specifické situace.

3.   Správce na svých internetových stránkách zveřejní a průběžně aktualizuje seznam rozhodnutí o odpovídající ochraně uvedených v odst. 1 písm. a) a dohod, správních ujednání a dalších nástrojů souvisejících s předáváním operativních osobních údajů v souladu s odstavcem 1.

4.   Správce uchovává podrobné záznamy o všech předáních uskutečněných podle tohoto článku.

1.   Komisi je nápomocen výbor zřízený článkem 93 nařízení (EU) 2016/679. Tento výbor je výborem ve smyslu nařízení (EU) č. 182/2011.

2.   Odkazuje-li se na tento odstavec, použije se článek 5 nařízení (EU) č. 182/2011.

1.   Do 30. dubna 2022 Komise přezkoumá právní akty přijaté na základě Smluv a upravující zpracování operativních osobních údajů institucemi a jinými subjekty Unie při výkonu činností, které spadají do oblasti působnosti části třetí hlavy V kapitol 4 nebo 5 Smlouvy o fungování EU, za účelem:

2.   Aby byla zajištěna jednotná a důsledná ochrana fyzických osob v souvislosti se zpracováváním údajů, může Komise na základě přezkumu předložit vhodné legislativní návrhy, zejména s cílem dosáhnout toho, aby se kapitola IX tohoto nařízení vztahovala na Europol a Úřad evropského veřejného žalobce, v případě potřeby včetně úprav kapitoly IX tohoto nařízení.

1.   Tímto nařízením není dotčeno rozhodnutí Evropského parlamentu a Rady 2014/886/EU (20) a stávající funkční období evropského inspektora ochrany údajů a zástupce inspektora.

2.   Pokud jde o určování odměny, náhrad, starobního důchodu a všech dalších náhrad poskytovaných místo odměny, považuje se zástupce inspektora za rovnocenného tajemníkovi Soudního dvora.

3.   Ustanovení čl. 53 odst. 4, 5 a 7 a článků 55 a 56 tohoto nařízení se vztahují na stávajícího zástupce inspektora do konce jeho funkčního období.

4.   Zástupce inspektora napomáhá evropskému inspektorovi ochrany údajů s plněním všech jeho povinností a zastupuje ho, když je evropský inspektor ochrany údajů nepřítomen nebo nemůže plnit tyto povinnosti, až do konce stávajícího funkčního období zástupce inspektora.

1.   Toto nařízení vstupuje v platnost dvacátým dnem po vyhlášení v Úředním věstníku Evropské unie.

2.   Toto nařízení se však použije na zpracování osobních údajů Eurojustem ode dne 12. prosince 2019.