ISSN 1977-0847

Službeni list

Europske unije

L 119

European flag  

Hrvatsko izdanje

Zakonodavstvo

Svezak 59.
4. svibnja 2016.


Sadržaj

 

I.   Zakonodavni akti

Stranica

 

 

UREDBE

 

*

Uredba (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) ( 1 )

1

 

 

DIREKTIVE

 

*

Direktiva (EU) 2016/680 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka od strane nadležnih tijela u svrhe sprečavanja, istrage, otkrivanja ili progona kaznenih djela ili izvršavanja kaznenih sankcija i o slobodnom kretanju takvih podatakate o stavljanju izvan snage Okvirne odluke Vijeća 2008/977/PUP

89

 

*

Direktiva (EU) 2016/681 Europskog parlamenta i Vijeća od 27. travnja 2016. o uporabi podataka iz evidencije podataka o putnicima (PNR) u svrhu sprečavanja, otkrivanja, istrage i kaznenog progona kaznenih djela terorizma i teških kaznenih djela

132

 


 

(1)   Tekst značajan za EGP

HR

Akti čiji su naslovi tiskani običnim slovima su oni koji se odnose na svakodnevno upravljanje poljoprivrednim pitanjima, a općenito vrijede ograničeno razdoblje.

Naslovi svih drugih akata tiskani su masnim slovima, a prethodi im zvjezdica.


I. Zakonodavni akti

UREDBE

4.5.2016   

HR

Službeni list Europske unije

L 119/1


UREDBA (EU) 2016/679 EUROPSKOG PARLAMENTA I VIJEĆA

od 27. travnja 2016.

o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka)

(Tekst značajan za EGP)

EUROPSKI PARLAMENT I VIJEĆE EUROPSKE UNIJE,

uzimajući u obzir Ugovor o funkcioniranju Europske unije, a posebno njegov članak 16.,

uzimajući u obzir prijedlog Europske komisije,

nakon prosljeđivanja nacrta zakonodavnog akta nacionalnim parlamentima,

uzimajući u obzir mišljenje Europskoga gospodarskog i socijalnog odbora (1),

uzimajući u obzir mišljenje Odbora regija (2),

u skladu s redovnim zakonodavnim postupkom (3),

budući da:

(1)

Zaštita pojedinaca s obzirom na obradu osobnih podataka temeljno je pravo. Člankom 8. stavkom 1. Povelje Europske unije o temeljnim pravima („Povelja”) te člankom 16. stavkom 1. Ugovora o funkcioniranju Europske unije (UFEU) utvrđuje se da svatko ima pravo na zaštitu svojih osobnih podataka.

(2)

Načela i pravila o zaštiti pojedinaca u vezi s obradom njihovih osobnih podataka trebala bi poštovati njihova temeljna prava i slobode, a posebno njihovo pravo na zaštitu osobnih podataka, bez obzira na nacionalnost ili boravište pojedinaca. Ovom Uredbom želi se doprinijeti uspostavi područja slobode, sigurnosti i pravde te gospodarske unije, gospodarskom i socijalnom napretku, jačanju i približavanju gospodarstava na unutarnjem tržištu te dobrobiti pojedinaca.

(3)

Direktivom 95/46/EZ Europskog parlamenta i Vijeća (4) nastoji se uskladiti zaštita temeljnih prava i sloboda pojedinaca u vezi s obradom podataka kao i osigurati slobodan protok osobnih podataka između država članica.

(4)

Obrada osobnih podataka trebala bi biti osmišljena tako da bude u službi čovječanstva. Pravo na zaštitu osobnih podataka nije apsolutno pravo; mora ga se razmatrati u vezi s njegovom funkcijom u društvu te ga treba ujednačiti s drugim temeljnim pravima u skladu s načelom proporcionalnosti. Ovom se Uredbom poštuju sva temeljna prava i uvažavaju slobode i načela priznata Poveljom koja su sadržana u Ugovorima, osobito poštovanje privatnog i obiteljskog života, doma i komuniciranja, zaštita osobnih podataka, sloboda mišljenja, savjesti i vjeroispovijedi, sloboda izražavanja i informiranja, sloboda poduzetništva, pravo na učinkoviti pravni lijek i pošteno suđenje te pravo na kulturnu, vjersku i jezičnu raznolikost.

(5)

Gospodarska i društvena integracija proizašla iz funkcioniranja unutarnjeg tržišta dovela je do znatnog povećanja prekograničnih protoka osobnih podataka. Povećala se razmjena osobnih podataka između javnih i privatnih sudionika, uključujući pojedince, udruženja i poduzetnike širom Unije. U skladu s pravom Unije nacionalna tijela država članica pozivaju se na suradnju i razmjenu osobnih podataka kako bi mogla izvršavati svoje dužnosti ili izvršavati zadaće u ime tijela u drugoj državi članici.

(6)

Zbog brzog tehnološkog razvoja i globalizacije pojavili su se novi izazovi u zaštiti osobnih podataka. Opseg prikupljanja i razmjene osobnih podataka značajno se povećava. Tehnologijom se privatnim društvima i tijelima javne vlasti omogućuje uporaba osobnih podataka u dosada nedosegnutom opsegu radi ostvarenja njihovih djelatnosti. Pojedinci svoje osobne informacije sve više čine dostupnima javno i globalno. Tehnologija je preobrazila i gospodarstvo i društveni život te bi trebala dalje olakšavati slobodan protok osobnih podataka u Uniji i prijenos trećim zemljama i međunarodnim organizacijama, osiguravajući pri tome visoku razinu zaštite osobnih podataka.

(7)

Za takav razvoj potreban je čvrst i usklađeniji okvir za zaštitu podataka u Uniji koji se temelji na odlučnoj provedbi s obzirom na važnost stvaranja povjerenja koje će omogućiti razvoj digitalne ekonomije na čitavom unutarnjem tržištu. Pojedinci bi trebali imati nadzor nad vlastitim osobnim podacima. Pravnu i praktičnu sigurnost pojedinaca, gospodarskih subjekata i tijela javne vlasti trebalo bi poboljšati.

(8)

Ako se ovom Uredbom predviđaju specifikacije ili ograničenja njezinih pravila pravom države članice, države članice mogu, u mjeri u kojoj je to potrebno radi usklađenosti i kako bi nacionalne odredbe bile razumljive osobama na koje se primjenjuju, elemente ove Uredbe uključiti u svoje nacionalno pravo.

(9)

Ciljevi i načela Direktive 95/46/EZ i dalje su utemeljeni, no njome nisu spriječeni rascjepkanost provedbe zaštite podataka u Uniji, pravna nesigurnost ili rasprostranjeno javno mišljenje da osobito kod internetskih aktivnosti postoje znatni rizici povezani sa zaštitom pojedinaca. Razlike u razini zaštite prava i sloboda pojedinaca, a posebno prava na zaštitu osobnih podataka, koje pružaju države članice u vezi s obradom osobnih podataka mogu spriječiti slobodni protok osobnih podataka u Uniji. Te razlike stoga mogu predstavljati prepreku obavljanju gospodarskih djelatnosti na razini Unije, narušiti tržišno natjecanje te spriječiti nadležna tijela u ispunjenju njihovih odgovornosti na temelju prava Unije. Do takve razlike u razinama zaštite došlo je zbog postojanja razlika u provedbi i primjeni Direktive 95/46/EZ.

(10)

Kako bi se osigurala postojana i visoka razina zaštite pojedinaca te uklonile prepreke protoku osobnih podataka unutar Unije, razina zaštite prava i sloboda pojedinaca u vezi s obradom takvih podataka trebala bi biti jednaka u svim državama članicama. U čitavoj Uniji trebalo bi osigurati postojanu i homogenu primjenu pravila za zaštitu temeljnih prava i sloboda pojedinaca u vezi s obradom osobnih podataka. U pogledu obrade osobnih podataka za usklađivanje s pravnom obvezom, za izvršavanje zadaće od javnog interesa ili pri obavljanju službene ovlasti dodijeljene voditelju obrade državama članicama trebalo bi dopustiti da zadrže ili uvedu nacionalne odredbe kako bi se dodatno odredila primjena pravila iz ove Uredbe. Zajedno s općim i horizontalnim zakonodavstvom o zaštiti podataka kojim se provodi Direktiva 95/46/EZ, države članice imaju nekoliko posebnih zakona za pojedine sektore u onim područjima u kojima su potrebne konkretnije odredbe. Ovom Uredbom također se državama članicama pruža prostor za djelovanje kako bi bolje odredile njezina pravila uključujući obradu posebnih kategorija osobnih podataka („osjetljivi podaci”). U tom smislu ovom se Uredbom ne isključuje pravo države članice kojim se utvrđuju okolnosti posebnih situacija obrade, što uključuje preciznije određivanje uvjeta pod kojima je obrada osobnih podataka zakonita.

(11)

Djelotvorna zaštita osobnih podataka širom Unije zahtijeva jačanje i detaljno određivanje prava ispitanika i obveza onih koji obrađuju i određuju obradu osobnih podataka, kao i jednake ovlasti praćenja i osiguravanja poštovanja pravila za zaštitu osobnih podataka i jednake sankcije za kršenja u državama članicama.

(12)

Člankom 16. stavkom 2. UFEU-a Europskom parlamentu i Vijeću nalaže se utvrđivanje pravila o zaštiti pojedinaca s obzirom na obradu osobnih podataka i pravila u vezi sa slobodnim kretanjem takvih podataka.

(13)

Kako bi se osigurala dosljedna razina zaštite pojedinaca širom Unije i spriječila razilaženja koja ometaju slobodno kretanje osobnih podataka na unutarnjem tržištu, potrebna je Uredba radi pružanja pravne sigurnosti i transparentnosti gospodarskim subjektima, uključujući mikropoduzeća, mala i srednja poduzeća, te pružanja pojedincima u svim državama članicama istu razinu pravno primjenjivih prava i obveza te odgovornosti za voditelje obrade i izvršitelje obrade kako bi se osiguralo postojano praćenje obrade osobnih podataka i jednake sankcije u svim državama članicama, kao i djelotvornu suradnju između nadzornih tijela različitih država članica. Za ispravno funkcioniranje unutarnjeg tržišta ne ograničava se niti zabranjuje slobodno kretanje osobnih podataka u Uniji zbog razloga povezanih sa zaštitom pojedinaca u vezi s obradom osobnih podataka. Ova Uredba sadržava odstupanja za organizacije u kojima je zaposleno manje od 250 osoba s obzirom na vođenje evidencije, radi uzimanja u obzir posebnih situacija mikropoduzeća, malih i srednjih poduzeća. Osim toga, institucije i tijela Unije te države članice i njihova nadzorna tijela potiču se da u primjeni ove Uredbe uzmu u obzir posebne potrebe mikropoduzeća, malih i srednjih poduzeća. Pojam mikropoduzeća, malih i srednjih poduzeća trebao bi se temeljiti na članku 2. Priloga Preporuci Komisije 2003/361/EZ (5).

(14)

Zaštita koja se pruža ovom Uredbom u vezi s obradom osobnih podataka trebala bi se odnositi na pojedince bez obzira na njihovu nacionalnost ili boravište. Ovom se Uredbom ne obuhvaća obrada osobnih podataka koji se tiču pravnih osoba, a osobito poduzetnika koji su ustanovljeni kao pravne osobe, uključujući ime i oblik pravne osobe i kontaktne podatke pravne osobe.

(15)

Radi sprečavanja stvaranja ozbiljnog rizika zaobilaženja propisa, zaštita pojedinaca trebala bi biti tehnološki neutralna i ne bi smjela ovisiti o upotrebljavanim tehnologijama. Zaštita pojedinaca trebala bi se primjenjivati na obradu osobnih podataka automatiziranim sredstvima, kao i na ručnu obradu, ako su osobni podaci pohranjeni ili ih se namjerava pohraniti u sustav pohrane. Dokumenti ili skupovi dokumenata, kao i njihove naslovne stranice, koji nisu strukturirani prema posebnim mjerilima ne bi trebali biti obuhvaćeni područjem primjene ove Uredbe.

(16)

Ova se Uredba ne primjenjuje na pitanja zaštite temeljnih prava i sloboda ili slobodnog protoka osobnih podataka u vezi s djelatnostima koje ne ulaze u područje primjene prava Unije, kao što su djelatnosti u vezi s nacionalnom sigurnošću. Ova se Uredba ne primjenjuje na obradu osobnih podataka od strane država članica pri obavljanju djelatnosti povezanih sa zajedničkom vanjskom i sigurnosnom politikom Unije.

(17)

Uredba (EZ) br. 45/2001 Europskog parlamenta i Vijeća (6) primjenjuje se na obradu osobnih podataka koju obavljaju institucije, tijela, uredi i agencije Unije. Uredba (EZ) br. 45/2001 i drugi pravni akti Unije primjenjivi na takvu obradu osobnih podataka trebali bi se prilagoditi načelima i pravilima iz ove Uredbe i primjenjivati s obzirom na ovu Uredbu. Kako bi se osigurao čvrst i usklađen okvir za zaštitu podataka u Uniji, nakon donošenja ove Uredbe trebale bi uslijediti potrebne prilagodbe Uredbe (EZ) br. 45/2001 kako bi se omogućila istovremena primjena obiju uredaba.

(18)

Ova se Uredba ne primjenjuje na obradu osobnih podataka koju fizičke osobe obavljaju u okviru isključivo osobne ili kućne aktivnosti te stoga nije povezana s profesionalnom ili komercijalnom djelatnošću. U osobne ili kućne aktivnosti može se ubrajati korespondencija i posjedovanje adresa ili društveno umrežavanje te internetske aktivnosti poduzete u kontekstu takvih aktivnosti. Međutim, ova se Uredba primjenjuje na voditelje obrade ili izvršitelje obrade koji pružaju sredstva za obradu osobnih podataka za takve osobne ili kućne aktivnosti.

(19)

Zaštita pojedinaca s obzirom na obradu osobnih podataka koju obavljaju nadležna tijela u svrhu sprečavanja, istrage, otkrivanja ili progona kaznenih djela ili izvršavanja kaznenih sankcija, uključujući zaštitu od prijetnji javnoj sigurnosti i slobodnom kretanju takvih podataka i njihovo sprečavanje, podliježe posebnom pravnom aktu Unije. Stoga se ova Uredba ne bi trebala primjenjivati na aktivnosti obrade u te svrhe. No, osobni podaci koje su obradila tijela javne vlasti u skladu s ovom Uredbom trebali bi, kada se upotrebljavaju u te svrhe, biti uređeni posebnim pravnim aktom Unije i to Direktivom (EU) 2016/680 Europskog parlamenta i Vijeća (7). Države članice mogu povjeriti nadležnim tijelima u smislu Direktive (EU) 2016/680 zadaće koje se ne provode nužno u svrhu sprečavanja, istrage, otkrivanja ili progona kaznenih djela ili izvršavanja kaznenih sankcija, uključujući zaštitu od prijetnji javnoj sigurnosti i njihovo sprečavanje, tako da je obrada osobnih podataka za te druge svrhe, u mjeri u kojoj potpada pod područje primjene prava Unije, obuhvaćena područjem primjene ove Uredbe.

U vezi s obradom osobnih podataka koju obavljaju ta nadležna tijela u svrhe koje su obuhvaćene područjem primjene ove Uredbe, države članice trebale bi biti u mogućnosti zadržati ili uvesti preciznije odredbe kojima se prilagođava primjena pravila ove Uredbe. Tim se odredbama mogu detaljnije utvrditi posebni zahtjevi za obradu osobnih podataka koju obavljaju ta nadležna tijela u te druge svrhe, uzimajući u obzir ustavnu, organizacijsku i administrativnu strukturu dotične države članice. Kada osobne podatke obrađuju privatna tijela i takva obrada ulazi u područje primjene ove Uredbe, ova Uredba trebala bi predvidjeti mogućnost da države članice pod posebnim uvjetima zakonom ograniče određene obveze i prava kada takvo ograničenje predstavlja nužnu i proporcionalnu mjeru u demokratskom društvu za očuvanje posebnih važnih interesa, uključujući javnu sigurnost te sprečavanje, istragu, otkrivanje ili progon kaznenih djela ili izvršavanje kaznenopravnih sankcija uključujući zaštitu od prijetnji javnoj sigurnosti i njihovo sprečavanje. To je, na primjer, relevantno u okviru borbe protiv pranja novca ili djelatnosti forenzičkih laboratorija.

(20)

Iako se ova Uredba primjenjuje, među ostalim, na aktivnosti sudova i drugih pravosudnih tijela, u pravu Unije ili pravu države članice moglo bi se odrediti radnje i postupke obrade u vezi s obradom osobnih podataka koju obavljaju sudovi i druga pravosudna tijela. Nadležnost nadzornih tijela ne bi smjela obuhvaćati obradu osobnih podataka kada sudovi djeluju u sudbenom svojstvu kako bi se zaštitila neovisnost pravosuđa u obavljanju njegovih sudskih zadaća, među ostalim u donošenju odluka. Trebalo bi biti moguće povjeriti nadzor takvih radnji obrade podataka posebnim tijelima u okviru pravosudnog sustava države članice, koja bi posebno trebala osigurati sukladnost s pravilima ove Uredbe, promicati svijest djelatnika u pravosuđu s o njihovim obvezama na temelju ove Uredbe i rješavati pritužbe u vezi s takvom obradom osobnih podataka.

(21)

Ovom se Uredbom ne dovodi u pitanje primjena Direktive 2000/31/EZ Europskog parlamenta i Vijeća (8), posebno pravila o odgovornosti posrednih davatelja usluga iz članaka od 12. do 15. Tom se Direktivom nastoji doprinijeti ispravnom funkcioniranju unutarnjeg tržišta putem osiguravanja slobodnog kretanja usluga informacijskog društva između država članica.

(22)

Svaka obrada osobnih podataka u Uniji s obzirom na djelatnosti poslovnog nastana voditelja obrade ili izvršitelja obrade trebala bi se obavljati u skladu s ovom Uredbom, neovisno o tome obavlja li se sama obrada u Uniji. Poslovni nastan podrazumijeva djelotvorno i stvarno obavljanje djelatnosti putem stabilnih aranžmana. Pravni oblik takvih aranžmana, bilo kroz podružnicu ili društvo kćer s pravnom osobnošću, nije odlučujući čimbenik u tom pogledu.

(23)

Kako bi se osiguralo da pojedincima nije uskraćena zaštita na koju imaju pravo na temelju ove Uredbe, na obradu osobnih podataka ispitanika koji se nalaze u Uniji, a koju obavlja voditelj obrade ili izvršitelj obrade bez poslovnog nastana u Uniji, trebala bi se primjenjivati ova Uredba ako su aktivnosti obrade povezane s ponudom robe ili usluga takvim ispitanicima, bez obzira na to ima li ta ponuda veze s plaćanjem. Kako bi se utvrdilo nudi li takav voditelj obrade ili izvršitelj obrade robu ili usluge ispitanicima koji se nalaze u Uniji, trebalo bi utvrditi je li očito da voditelj obrade ili izvršitelj obrade namjerava ponuditi usluge ispitanicima koji se nalaze u jednoj ili više država članica Unije. Iako su sama dostupnost internetskih stranica voditelja obrade, izvršitelja obrade ili posrednika u Uniji ili adrese elektroničke pošte i drugih kontaktnih podataka ili korištenje jezikom koji je općenito u uporabi u trećoj zemlji u kojoj voditelj obrade ima poslovni nastan nedovoljni za utvrđivanje takve namjere, čimbenici kao što je korištenje jezikom ili valutom koji su općenito u uporabi u jednoj ili više država članica s mogućnošću naručivanja robe i usluga na tom drugom jeziku, ili spominjanje kupaca ili korisnika koji se nalaze u Uniji, mogu jasno pokazati da voditelj obrade namjerava nuditi robu ili usluge ispitanicima u Uniji.

(24)

Na obradu osobnih podataka ispitanika koji se nalaze u Uniji, a koju obavlja voditelj obrade ili izvršitelj obrade bez poslovnog nastana u Uniji, također bi se trebala primjenjivati ova Uredba kada se odnosi na praćenje ponašanja takvih ispitanika ako se njihovo ponašanje odvija unutar Unije. Kako bi se odredilo može li se aktivnost obrade smatrati praćenjem ponašanja ispitanika, trebalo bi utvrditi prati li se pojedince na internetu među ostalim mogućom naknadnom upotrebom tehnika obrade osobnih podataka koje se sastoje od izrade profila pojedinca, osobito radi donošenja odluka koje se odnose na njega ili radi analize ili predviđanja njegovih osobnih sklonosti, ponašanja i stavova.

(25)

Kada se pravo države članice primjenjuje na temelju međunarodnog javnog prava, ova Uredba trebala bi se primjenjivati i na voditelje obrade koji nemaju poslovni nastan u Uniji, kao na primjer u diplomatskom ili konzularnom predstavništvu države članice.

(26)

Načela zaštite podataka trebala bi se primjenjivati na sve informacije koje se odnose na pojedinca čiji je identitet utvrđen ili se može utvrditi. Osobne podatke koji su pseudonimizirani, a koji bi se mogli pripisati nekom pojedincu uporabom dodatnih informacija trebalo bi smatrati informacijama o pojedincu čiji se identitet može utvrditi. Kako bi se odredilo može li se identitet pojedinca utvrditi, trebalo bi uzeti u obzir sva sredstva, poput primjerice selekcije, koja voditelj obrade ili bilo koja druga osoba mogu po svemu sudeći upotrijebiti u svrhu izravnog ili neizravnog utvrđivanja identiteta pojedinca. Kako bi se utvrdilo je li po svemu sudeći izgledno da se upotrebljavaju sredstva za utvrđivanje identiteta pojedinca, trebalo bi uzeti u obzir sve objektivne čimbenike, kao što su troškovi i vrijeme potrebno za utvrđivanje identiteta, uzimajući u obzir i tehnologiju dostupnu u vrijeme obrade i tehnološki razvoj. Načela zaštite podataka stoga se ne bi trebala primjenjivati na anonimne informacije, odnosno informacije koje se ne odnose na pojedinca čiji je identitet utvrđen ili se može utvrditi ili na osobne podatke koji su učinjeni anonimnima na način da se identitet ispitanika ne može ili više ne može utvrditi. Ova se Uredba stoga ne odnosi na obradu takvih anonimnih informacija, među ostalim za statističke ili istraživačke svrhe.

(27)

Ova se Uredba ne primjenjuje na osobne podatke preminulih osoba. Države članice mogu predvidjeti pravila u vezi s obradom osobnih podataka preminulih osoba.

(28)

Primjena pseudonimizacije na osobne podatke može smanjiti rizike za dotične ispitanike i pomoći voditeljima obrade i izvršiteljima obrade u ispunjavanju njihovih obveza u vezi sa zaštitom podataka. Izričitim uvođenjem „pseudonimizacije” ovom se Uredbom ne namjerava isključiti bilo koje druge mjere za zaštitu podataka.

(29)

Radi poticanja primjene pseudonimizacije prilikom obrade osobnih podataka trebalo bi omogućiti da isti voditelj obrade može provoditi mjere pseudonimizacije i opću analizu u slučajevima kada je taj voditelj obrade poduzeo tehničke i organizacijske mjere potrebne za osiguravanje, u dotičnoj obradi, provedbe ove Uredbe, te zasebno čuvanje dodatnih informacija za pripisivanje osobnih podataka određenom ispitaniku. Voditelj obrade koji obrađuje osobne podatke trebao bi navesti ovlaštene osobe u okviru istog voditelja obrade.

(30)

Pojedinci mogu biti pridruženi mrežnim identifikatorima koje pružaju njihovi uređaji, aplikacije, alati i protokoli, kao što su adrese internetskog protokola, identifikatori kolačića ili drugim identifikatorima poput oznaka za radiofrekvencijsku identifikaciju. Tako mogu ostati tragovi koji se, posebno u kombinaciji s jedinstvenim identifikatorima i drugim informacijama koje primaju poslužitelji, mogu upotrijebiti za izradu profila pojedinaca i njihovu identifikaciju.

(31)

Tijela javne vlasti kojima se otkrivaju osobni podaci u skladu s pravnom obvezom izvršavanja njihovih službenih zadaća, poput poreznih i carinskih tijela, jedinica za financijsku istragu, neovisnih upravnih tijela ili tijela za financijska tržišta, odgovorna za reguliranje i nadzor tržišta vrijednosnih papira, ne bi se smjela smatrati primateljima ako prime osobne podatke koji su potrebni za provedbu određene istrage u općem interesu, u skladu s pravom Unije ili pravom države članice. Zahtjevi za otkrivanje koje šalju tijela javne vlasti trebali bi uvijek biti u pisanom obliku, obrazloženi i povremeni i ne bi se trebali odnositi na čitav sustav pohrane ili dovesti do međupovezanosti sustavâ pohrane. Ta tijela javne vlasti trebala bi obrađivati takve osobne podatke u skladu s primjenjivim pravilima za zaštitu podataka ovisno o svrhama obrade.

(32)

Privola bi se trebala davati jasnom potvrdnom radnjom kojom se izražava dobrovoljan, poseban, informiran i nedvosmislen pristanak ispitanika na obradu osobnih podataka koji se odnose na njega, poput pisane izjave, uključujući elektroničku, ili usmene izjave. To bi moglo obuhvaćati označivanje polja kvačicom pri posjetu internetskim stranicama, biranje tehničkih postavaka usluga informacijskog društva ili drugu izjavu ili ponašanje koje jasno pokazuje u tom kontekstu da ispitanik prihvaća predloženu obradu svojih osobnih podataka. Šutnja, unaprijed kvačicom označeno polje ili manjak aktivnosti stoga se ne bi smjeli smatrati privolom. Privola bi trebala obuhvatiti sve aktivnosti obrade koje se obavljaju u istu svrhu ili svrhe. Kada obrada ima višestruke svrhe, privolu bi trebalo dati za sve njih. Ako se privola ispitanika treba dati nakon zahtjeva upućenog elektroničkim putem, taj zahtjev mora biti jasan, jezgrovit i ne smije nepotrebno ometati upotrebu usluge za koju se upotrebljava.

(33)

Često nije moguće u potpunosti identificirati svrhu obrade osobnih podataka u znanstvene svrhe u trenutku prikupljanja podataka. Stoga bi se ispitanicima trebalo omogućiti da svoju privolu daju za određena područja znanstvenog istraživanja uz pridržavanje priznatih etičkih normi za znanstveno istraživanje. Ispitanici bi trebali imati priliku dati svoju privolu samo za određena područja istraživanja ili dijelove istraživačkih projekata u mjeri u kojoj to dopušta željena namjena.

(34)

Genetski podaci trebali bi se definirati kao osobni podaci u vezi s naslijeđenim ili stečenim genetskim obilježjima pojedinca koji proizlaze iz analize biološkog uzorka pojedinca o kojemu je riječ, osobito analize kromosoma, deoksiribonukleinske kiseline (DNK) ili ribonukleinske kiseline (RNK) ili iz analize drugog elementa koji omogućuje dobivanje jednakovrijedne informacije.

(35)

Osobni podaci koji se odnose na zdravlje trebali bi obuhvaćati sve podatke koji se odnose na zdravstveno stanje ispitanika, a koji otkrivaju informacije u vezi s prijašnjim, trenutačnim ili budućim fizičkim ili mentalnim zdravstvenim stanjem ispitanika. To uključuje informacije o pojedincu prikupljene tijekom registracije za ili tijekom pružanja tom pojedincu zdravstvenih usluga kako je navedeno u Direktivi 2011/24/EU Europskog parlamenta i Vijeća (9); broj, simbol ili oznaku koja je pojedincu dodijeljena u svrhu njegove jedinstvene identifikacije za zdravstvene svrhe; informacije izvedene iz testiranja ili ispitivanja dijela tijela ili tjelesne tvari, među ostalim iz genetskih podataka i bioloških uzoraka; i bilo kakvu informaciju o, na primjer, bolesti, invalidnosti, riziku od bolesti, medicinskoj povijesti, kliničkom tretmanu ili fiziološkom ili biomedicinskom stanju ispitanika neovisno o njegovu izvoru, kao na primjer od liječnika ili drugog zdravstvenog djelatnika, bolnice, medicinskog uređaja ili dijagnostičkog testa in vitro.

(36)

Glavni poslovni nastan voditelja obrade u Uniji trebalo bi biti mjesto njegove središnje uprave u Uniji, osim ako se odluke o svrhama i načinima obrade osobnih podataka donose u drugom poslovnom nastanu voditelja obrade u Uniji, u kojem slučaju taj drugi poslovni nastan trebao bi se smatrati glavnim poslovnim nastanom. Glavni poslovni nastan voditelja obrade u Uniji trebalo bi utvrditi prema objektivnim kriterijima, a pod time bi se trebalo podrazumijevati djelotvorno i stvarno obavljanje upravljačkih aktivnosti koje utvrđuju glavne odluke u vezi sa svrhama i načinima obrade putem stabilnih aranžmana. Taj kriterij ne bi smio ovisiti o tome obavljali se obrada osobnih podataka na toj lokaciji. Prisutnost i uporaba tehničkih sredstava i tehnologija za obradu osobnih podataka ili aktivnosti obrade same po sebi ne predstavljaju glavni poslovni nastan pa prema tome nisu odlučujući kriteriji za glavni poslovni nastan. Glavni poslovni nastan izvršitelja obrade trebalo bi biti mjesto njegove središnje uprave u Uniji ili, ako nema središnju upravu u Uniji, mjesto u Uniji u kojemu se odvijaju glavne aktivnosti obrade. U slučajevima koji uključuju i voditelja obrade i izvršitelja obrade, nadležno vodeće nadzorno tijelo trebalo bi ostati nadzorno tijelo države članice u kojoj voditelj obrade ima glavni poslovni nastan, ali nadzorno tijelo izvršitelja obrade trebalo bi smatrati predmetnim nadzornim tijelom te te bi to nadzorno tijelo trebalo sudjelovati u postupku suradnje koji je predviđen ovom Uredbom. U svakom slučaju, nadzorna tijela jedne države članice ili više njih u kojima izvršitelj obrade ima jedan ili više poslovnih nastana ne bi trebalo smatrati predmetnim nadzornim tijelima ako se nacrt odluke odnosi samo na voditelja obrade. Kada obradu obavlja grupa poduzetnika, glavni nastan poduzetnika u vladajućem položaju trebalo bi smatrati glavnim nastanom grupe poduzetnika, osim ako svrhe i načine obrade ne određuje drugi poduzetnik.

(37)

Grupa poduzetnika trebala bi obuhvaćati poduzetnika u vladajućem položaju i njemu podređene poduzetnike gdje bi poduzetnik u vladajućem položaju trebao biti poduzetnik koji može imati prevladavajući utjecaj nad drugim poduzetnicima na temelju, na primjer, vlasništva, financijskog sudjelovanja ili pravila kojima je ono uređeno ili ovlasti za provedbu pravila o zaštiti osobnih podataka. Poduzetnik koji nadzire obradu osobnih podataka kod poduzetnika koji su s njim povezani trebao bi se zajedno s njima smatrati „grupom poduzetnika”.

(38)

Djeca zaslužuju posebnu zaštitu u pogledu svojih osobnih podataka budući mogu biti manje svjesna rizika, posljedica i predmetnih zaštitnih mjera te svojih prava u vezi s obradom osobnih podataka. Takvo pravo na posebnu zaštitu trebalo bi se posebno odnositi na upotrebu osobnih podataka djece u svrhu marketinga ili stvaranja osobnih ili korisničkih profila te prikupljanje osobnih podataka o djeci prilikom upotrebe usluga koje se izravno nude djetetu. Privola nositelja roditeljske odgovornosti ne bi trebala biti nužna u kontekstu preventivnih usluga ili usluga savjetovanja koje su ponuđene izravno djetetu.

(39)

Svaka obrada osobnih podataka trebala bi biti zakonita i poštena. Za pojedince bi trebalo biti transparentno kako se osobni podaci koji se odnose na njih prikupljaju, upotrebljavaju, daju na uvid ili na drugi način obrađuju, kao i do koje se mjere ti osobni podaci obrađuju ili će se obrađivati. Načelom transparentnosti traži se da svaka informacija i komunikacija u vezi s obradom tih osobnih podataka bude lako dostupna i razumljiva te da se upotrebljava jasan i jednostavan jezik. To se načelo osobito odnosi na informacije ispitaniku o identitetu voditelja obrade i svrhama obrade te daljnje informacije radi osiguravanja poštenosti i transparentnosti obrade s obzirom na pojedince o kojima je riječ i njihovo pravo da dobiju potvrdu i na obavijest o osobnim podacima koji se obrađuju, a koji se odnose na njih. Pojedinci bi trebali biti upoznati s rizicima, pravilima, zaštitnim mjerama i pravima u vezi s obradom osobnih podataka i načinom ostvarenja svojih prava u vezi s obradom. Osobito,određena svrha u koju se osobni podaci obrađuju trebala bi biti izrijekom navedena i opravdana te određena u vrijeme prikupljanja osobnih podataka. Osobni podaci trebali bi biti primjereni, bitni i ograničeni na ono što je nužno za svrhe u koje se podaci obrađuju. Zbog toga je osobito potrebno osigurati da je razdoblje u kojem se osobni podaci pohranjuju ograničeno na strogi minimum. Osobni podaci trebali bi se obrađivati samo ako se svrha obrade opravdano ne bi mogla postići drugim sredstvima. Radi osiguravanja da se osobni podaci ne drže duže nego što je nužno, voditelj obrade trebao bi odrediti rok za brisanje ili periodično preispitivanje. Trebalo bi poduzeti svaki razumno opravdani korak radi osiguravanja da se netočni osobni podaci isprave ili izbrišu. Osobne podatke trebalo bi obrađivati uz odgovarajuće poštovanje sigurnosti i povjerljivosti osobnih podataka, što obuhvaća i sprečavanje neovlaštenog pristupa osobnim podacima i opremi kojom se koristi pri obradi podataka ili njihove neovlaštene upotrebe.

(40)

Kako bi obrada bila zakonita, osobne podatke trebalo bi obrađivati na temelju privole dotičnog ispitanika ili neke druge legitimne osnove, bilo propisane u ovoj Uredbi bilo u drugom pravu Unije ili pravu države članice na koji upućuje ova Uredba, uključujući obvezu poštovanja pravne obveze kojoj podliježe voditelj obrade ili obvezno izvršavanje ugovora u kojem je ispitanik jedna od stranaka ili kako bi se poduzele radnje na zahtjev ispitanika prije sklapanja ugovora.

(41)

Ako se ovom Uredbom upućuje na pravnu osnovu ili zakonodavnu mjeru, to ne znači nužno da parlament mora donijeti zakonodavni akt, ne dovodeći u pitanje zahtjeve u skladu s ustavnim poretkom dotične države članice. Međutim, takva pravna osnova ili zakonodavna mjera trebala bi biti jasna i precizna, a njezina primjena trebala bi biti predvidljiva osobama na koje se primjenjuje sukladno sudskoj praksi Suda Europske unije („Sud”) i Europskog suda za ljudska prava.

(42)

Ako se obrada temelji na privoli ispitanika, voditelj obrade trebao bi moći dokazati da je ispitanik dao privolu za postupak obrade. Zaštitnim mjerama, posebno u kontekstu pisane izjave o drugom pitanju, trebalo bi se osigurati da je ispitanik svjestan činjenice da daje privolu i do koje mjere se ona daje. U skladu s Direktivom Vijeća 93/13/EEZ (10) izjavu o privoli koju je unaprijed sastavio voditelj obrade trebalo bi ponuditi u razumljivom i lako dostupnom obliku, uz upotrebu jasnog i jednostavnog jezika te u njoj ne bi smjelo biti nepoštenih uvjeta. Da bi ispitanik mogao dati privolu informiran, trebao bi barem znati identitet voditelja obrade i svrhe obrade za koju se upotrebljavaju osobni podaci. Ne može se smatrati da je privola dana dobrovoljno ako ispitanik nema istinski ili slobodan izbor ili ako nije u mogućnosti odbiti ili povući privolu bez posljedica.

(43)

Kako bi se osiguralo da je privola dana dobrovoljno, ona ne bi smjela predstavljati valjanu pravnu osnovu za obradu osobnih podataka u određenom slučaju kada postoji jasna neravnoteža između ispitanika i voditelja obrade, posebno ako je voditelj obrade tijelo javne vlasti i stoga nije vjerojatno da je s obzirom na sve okolnostima te posebne situacije privola dana dobrovoljno. Smatra se da privola nije dana dobrovoljno ako se njome ne omogućuje davanje zasebne privole za različite postupke obrade podataka, unatoč tome što je primjerena pojedinačnom slučaju ili ako izvršenje ugovora, među ostalim i pružanje usluge, ovisi o privoli i ako takva privola nije nužna za takvo izvršenje.

(44)

Obrada bi se trebala smatrati zakonitom ako je potrebna u kontekstu ugovora ili namjere sklapanja ugovora.

(45)

Ako se obrada odvija u skladu s pravnim obvezama kojima podliježe voditelj obrade ili ako je obrada potrebna za izvršavanje zadaće koja se obavlja u javnom interesu ili pri izvršavanju službene ovlasti, obrada bi se trebala temeljiti na pravu Unije ili pravu države članice. Ovom se Uredbom ne zahtijeva potreba posebnog propisa za svaku pojedinačnu obradu. Jedan propis kao osnova za više postupaka obrade, koji se temelje na pravnoj obvezi kojoj podliježe voditelj obrade ili ako je obrada potrebna za izvršenje zadaće koja se provodi zbog javnog interesa ili pri izvršavanju službene ovlasti, može biti dovoljan. Pravom Unije ili pravom države članice također bi se trebala odrediti svrha obrade. Osim toga, tim bi se propisom mogli utvrditi opći uvjeti ove Uredbe kojima se uređuje zakonitost obrade osobnih podataka, utvrditi specifikacije za utvrđivanje voditelja obrade, vrste osobnih podataka koji podliježu obradi, dotičnih ispitanika, subjekata kojima se osobni podaci mogu otkriti, ograničenja svrhe, razdoblja pohrane i drugih mjera za osiguravanje zakonite i poštene obrade. Osim toga, pravom Unije ili pravom države članice trebalo bi odrediti bi li voditelj obrade koji obavlja zadaću u javnom interesu ili prilikom izvršavanja službene ovlasti trebao biti tijelo javne vlasti ili druga fizička ili pravna osoba koja posluje sukladno javnom pravu ili privatnom pravu, kao što je strukovno udruženje, u slučaju da je to opravdano javnim interesom, među ostalim u slučaju zdravstvenih svrha, kao što su javno zdravlje i socijalna zaštita te upravljanje službama za zdravstvenu skrb.

(46)

Obrada osobnih podataka trebala bi se također smatrati zakonitom ako je potrebna za zaštitu interesa koji je neophodan za očuvanje života ispitanika ili druge fizičke osobe. Obrada osobnih podataka na temelju životno važnih interesa druge fizičke osobe u načelu bi se smjela obavljati samo ako se obrada očito ne može temeljiti na drugoj pravnoj osnovi. Neke vrste obrade mogu poslužiti i za važne potrebe javnog interesa i životno važne interese ispitanika kao, na primjer, ako je obrada potrebna u humanitarne svrhe, među ostalim za praćenje epidemija i njihovog širenja ili u humanitarnim krizama, posebno u slučajevima prirodnih katastrofa i katastrofa uzrokovanih ljudskim djelovanjem.

(47)

Legitimni interesi voditelja obrade, među ostalim onih interesa voditelja obrade kojem se osobni podaci mogu otkriti ili treće strane, mogu predstavljati pravnu osnovu za obradu pod uvjetom da interesi ili temeljna prava i slobode ispitanika nemaju prednost, uzimajući u obzir razumna očekivanja ispitanika koja se temelje na njihovom odnosu s voditeljem obrade. Takav legitiman interes mogao bi na primjer postojati u slučaju relevantnog i odgovarajućeg odnosa ispitanika i voditelja obrade u situacijama poput one kada je ispitanik klijent voditelja obrade ili u njegovoj službi. U svakom slučaju postojanje legitimnog interesa zahtijevalo bi pažljivu procjenu, među ostalim i toga može li ispitanik u vrijeme i u kontekstu prikupljanja osobnih podataka razumno očekivati obradu u dotičnu svrhu. Interesi i temeljna prava ispitanika posebno bi mogli nadvladati interes voditelja obrade ako se osobni podaci obrađuju u okolnostima u kojima ispitanici razumno ne očekuju daljnju obradu. Budući da je zakonodavac dužan zakonski odrediti pravnu osnovu za obradu osobnih podataka koju provode tijela javne vlasti, ta pravna osnova ne bi se smjela primjenjivati na obradu koju provode tijela javne vlasti pri izvršavanju svojih zadaća. Obrada osobnih podataka koja je nužna u svrhe sprečavanja prijevara također predstavlja legitiman interes dotičnog voditelja obrade podataka. Može se smatrati da postoji legitiman interes kod obrade osobnih podataka provedene za potrebe izravnog marketinga.

(48)

Voditelji obrade koji su dio grupe poduzetnika ili institucija povezanih sa središnjim tijelom mogu imati legitimni interes za prijenos osobnih podataka unutar grupe poduzetnika za unutarnje administrativne potrebe, među ostalim za obradu osobnih podataka klijenata ili zaposlenika. Opća načela za prijenos osobnih podataka unutar grupe poduzetnika određenom poduzetniku koje se nalazi u trećoj zemlji ostaju nepromijenjena.

(49)

Obrada osobnih podataka u mjeri koja je nužna i proporcionalna za potrebe osiguravanja sigurnosti mreže i informacija, odnosno sposobnosti mreže ili informacijskog sustava da se odupre, na danom stupnju povjerljivosti, slučajnim događajima ili nezakonitim ili zlonamjernim radnjama koje ugrožavaju dostupnost, autentičnost, integritet i povjerljivost pohranjenih ili prenesenih osobnih podataka te sigurnost povezanih usluga koje nude ili koje su dostupne putem tih mreža i sustava, koju provode tijela javne vlasti, jedinice za hitne računalne intervencije (CERT-ovi), jedinice za računalne sigurnosne incidente (CSIRT-ovi), pružatelji elektroničkih komunikacijskih mreža i usluga te davatelji sigurnosnih tehnologija i usluga smatra se legitimnim interesom dotičnog voditelja obrade podataka. To bi, na primjer, moglo uključivati sprečavanje neovlaštenog pristupa elektroničkim komunikacijskim mrežama i širenja zlonamjernih kodova te zaustavljanje napada „uskraćivanjem usluge” te sprečavanje štete na računalnim i elektroničkim komunikacijskim sustavima.

(50)

Obrada osobnih podataka u svrhe različite od svrha za koje su podaci prvotno prikupljeni smjela bi se dopustiti samo ako je obrada usklađena sa svrhama za koje su osobni podaci prvotno prikupljeni. U takvom slučaju nije potrebna pravna osnova zasebna od one kojom je dopušteno prikupljanje osobnih podataka. Ako je obrada potrebna za obavljanje zadaće koja se obavlja u javnom interesu ili pri izvršavanju službene ovlasti koju ima voditelj obrade, pravom Unije ili pravom države članice mogu se utvrditi i odrediti zadaće i svrhe za koje će se nastavak obrade smatrati usklađenim i zakonitim. Nastavak obrade u svrhe arhiviranja u javnom interesu, u svrhe znanstvenog ili povijesnog istraživanja ili u statističke svrhe trebalo bi smatrati usklađenom zakonitom obradom. Pravna osnova koja se predviđa pravom Unije ili pravom države članice za obradu osobnih podataka također može činiti pravnu osnovu za daljnju obradu. Radi utvrđivanja je li svrha nastavka obrade usklađena sa svrhom prvotnog prikupljanja osobnih podataka, voditelj obrade nakon ispunjavanja svih zahtjeva zakonitosti izvorne obrade trebao bi uzeti u obzir, među ostalim, svaku vezu između te svrhe i svrhe planiranog nastavka obrade, kontekst u kojem su prikupljeni osobni podaci posebno opravdana očekivanja ispitanika koja se temelje na njihovom odnosu s voditeljem obrade u pogledu daljnje uporabe podataka, prirodu osobnih podataka, posljedice planiranog nastavka obrade za ispitanike i postojanje primjerenih zaštitnih mjera u izvornoj i planiranoj daljnjoj obradi.

Ako je ispitanik dao privolu ili se obrada temelji na pravu Unije ili pravu države članice koje čini potrebnu i razmjernu mjeru u demokratskom društvu posebno za zaštitu važnih ciljeva od općeg javnog interesa, voditelju obrade trebalo bi dopustiti daljnju obradu osobnih podataka neovisno o usklađenosti svrha. U svakom slučaju trebalo bi osigurati primjenu načela iz ove Uredbe, a osobito informirati ispitanika o tim drugim svrhama te o njegovim pravima, među ostalim o pravu na prigovor. Ukazivanje voditelja obrade na moguća kaznena djela ili prijetnje javnoj sigurnosti i prijenos relevantnih osobnih podataka nadležnom tijelu u pojedinim slučajevima ili u više njih koji se odnose na isto kazneno djelo ili prijetnje javnoj sigurnosti trebalo bi smatrati legitimnim interesom voditelja obrade. Međutim, takav prijenos u legitimnom interesu voditelja obrade ili daljnju obradu osobnih podataka trebalo bi zabraniti ako obrada nije u skladu s pravnim, profesionalnim ili drugim prisilnim obvezama poštovanja tajnosti.

(51)

Osobni podaci koji su po svojoj naravi posebno osjetljive prirode u pogledu temeljnih prava i sloboda zaslužuju posebnu zaštitu jer bi u okviru njihove obrade moglo doći do značajnih rizika za temeljna prava i slobode. Ti bi osobni podaci trebali obuhvatiti osobne podatke koji otkrivaju rasno ili etničko podrijetlo, pri čemu upotreba termina „rasno podrijetlo” u ovoj Uredbi ne podrazumijeva da Unija prihvaća teorije koje pokušavaju odrediti postojanje odvojenih ljudskih rasa. Obradu fotografija ne bi trebalo sustavno smatrati obradom posebnih kategorija osobnih podataka jer su one biti obuhvaćene samo definicijom biometrijskih podataka pri obradi posebnim tehničkim sredstvima kojima se omogućuje jedinstvena identifikacija ili autentifikacija pojedinca. Takvi osobni podaci ne bi se smjeli obrađivati osim ako je obrada dopuštena u posebnim slučajevima navedenima u ovoj Uredbi, uzimajući u obzir da pravom država članica mogu biti propisane posebne odredbe o zaštiti podataka kako bi se prilagodila primjena pravila iz ove Uredbe radi poštovanja pravne obveze ili za obavljanje zadaće koja se obavlja u javnom interesu ili pri izvršavanju službene ovlasti koju ima voditelj obrade. Osim posebnih zahtjeva za takvu obradu, trebala bi se primjenjivati opća načela i druga pravila iz ove Uredbe, posebno u pogledu uvjeta za zakonitu obradu. Odstupanja od opće zabrane obrade takvih posebnih kategorija osobnih podataka trebala bi biti izričito predviđena, među ostalim ako je ispitanik dao svoju izričitu privolu ili u vezi s posebnim potrebama, pogotovo ako se obrada provodi u sklopu legitimnih aktivnosti određenih udruženja ili zaklada čiji je cilj dopustiti ostvarivanje temeljnih sloboda.

(52)

Odstupanje od zabrane obrade posebnih kategorija osobnih podataka također bi se trebalo dopustiti kad god je to predviđeno pravom Unije ili pravom države članice i podložno odgovarajućim zaštitnim mjerama radi zaštite osobnih podataka i drugih temeljnih prava, ako je u javnom interesu da se to učini, posebno u slučaju obrade osobnih podataka u području radnog prava, prava u vezi socijalnom zaštitom, uključujući mirovine te u svrhu zdravstvene zaštite, praćenja i uzbunjivanja, sprečavanja ili kontrole zaraznih bolesti i drugih ozbiljnih opasnosti za zdravlje. Takvo se odstupanje može učiniti u zdravstvene svrhe, među ostalim za javno zdravlje i upravljanje uslugama zdravstvene skrbi, posebno kako bi se osigurala kvaliteta i isplativost postupaka koji se upotrebljavaju za rješavanje potraživanja za naknadama i uslugama u sustavu zdravstvenog osiguranja ili u svrhe arhiviranja u javnom interesu, u svrhe znanstvenih ili povijesnih istraživanja ili u statističke svrhe. Odstupanjem bi se također trebala omogućiti obrada takvih osobnih podataka ako su nužni za postavljanje, ostvarivanje ili obranu pravnih zahtjeva, neovisno je li to u sudskom ili upravnom postupku ili bilo kojem izvansudskom postupku.

(53)

Posebne kategorije osobnih podataka koje zaslužuju veći stupanj zaštite trebale bi se obrađivati samo u svrhe povezane sa zdravljem radi ostvarivanja tih svrhâ u korist pojedinaca i društva u cjelini, pogotovo u kontekstu upravljanja uslugama i sustavima zdravstvene ili socijalne skrbi, u što se ubraja i obrada takvih podataka koju u svrhu kontrole kvalitete, informacija o upravljanju i općeg nacionalnog i lokalnog nadzora sustava zdravstvene ili socijalne skrbi provode uprava i središnja nacionalna tijela nadležna za zdravlje i u svrhu osiguravanja kontinuiteta zdravstvene ili socijalne skrbi i prekogranične zdravstvene skrbi ili u svrhe zdravstvene zaštite, nadzora i uzbunjivanja, ili u svrhe arhiviranja u javnom interesu,u svrhe znanstvenih ili povijesnih istraživanja ili u statističke svrhe utemeljene na pravu Unije ili pravu države članice i čime treba ostvariti cilj od javnog interesa, kao i za studije koje se provode u javnom interesu u području javnog zdravlja. Stoga bi se ovom Uredbom trebali utvrditi usklađeni uvjeti za obradu posebnih kategorija osobnih podataka koji se odnose na zdravlje, za posebne potrebe, osobito kada obradu takvih podataka za određene zdravstvene svrhe provode osobe koje podliježu zakonskoj obvezi čuvanja poslovne tajne. Pravom Unije ili pravom države članice trebalo bi predvidjeti specifične i primjerene mjere za zaštitu temeljnih prava i osobnih podataka pojedinaca. Državama članicama trebalo bi omogućiti zadržavanje ili uvođenje dodatnih uvjeta, uključujući ograničenja, u vezi s obradom genetskih podataka, biometrijskih podataka ili podataka koji se odnose na zdravlje. Međutim, to ne bi trebalo spriječiti slobodan protok osobnih podataka unutar Unije ako se ti uvjeti primjenjuju na prekograničnu obradu takvih podataka.

(54)

Obrada posebnih kategorija osobnih podataka bez privole ispitanika može biti potrebna zbog javnog interesa u područjima javnog zdravlja. Takva bi obrada trebala podlijegati primjerenim i specifičnim mjerama kako bi se zaštitila prava i slobode pojedinaca. U tom bi kontekstu „javno zdravlje” trebalo tumačiti kako je definirano u Uredbi (EZ) br. 1338/2008 Europskog parlamenta i Vijeća (11), što znači svi elementi povezani sa zdravljem, tj. zdravstvenim stanjem, uključujući morbiditet i invaliditet, determinante koje utječu na to zdravstveno stanje, potrebe zdravstvene zaštite, sredstva dodijeljena zdravstvenoj zaštiti, pružanje zdravstvene zaštite i opća dostupnost zdravstvene zaštite, kao i troškovi i financiranje zdravstvene zaštite te uzroci smrtnosti. Takva obrada podataka koji se odnose na zdravlje za potrebe javnog interesa ne bi smjela prouzročiti obradu osobnih podataka u druge svrhe koju obavljaju treće strane kao što su poslodavci ili osiguravajuća društva i banke.

(55)

Osim toga, obrada osobnih podataka koju na temelju odredaba ustavnog prava ili međunarodnog javnog prava obavljaju službena tijela radi postizanja ciljeva službeno priznatih vjerskih udruženja, provodi se na temelju javnog interesa.

(56)

Ako tijekom izbornih aktivnosti djelovanje demokratskog sustava u državi članici zahtijeva da političke stranke prikupljaju osobne podatke o političkim mišljenjima ljudi, obrada takvih podataka može se dopustiti iz razloga javnog interesa, pod uvjetom da se uspostave odgovarajuće zaštitne mjere.

(57)

Ako voditelj obrade ne može utvrditi identitet pojedinca na temelju osobnih podataka koje obrađuje, on ne bi smio biti obvezan prikupiti dodatne informacije kako bi utvrdio identitet ispitanika isključivo radi pridržavanja bilo koje odredbe iz ove Uredbe. Međutim, voditelj obrade ne bi smio odbiti dodatne informacije koje je pružio ispitanik kako bi pružio potporu ostvarivanju svojih prava. Identifikacija bi trebala uključivati digitalnu identifikaciju ispitanika, primjerice putem mehanizma autentifikacije kao što su isti podaci kojima se ispitanik koristi da bi se prijavio za internetske usluge koje nudi voditelj obrade.

(58)

Načelom transparentnosti zahtijeva se da svaka informacija namijenjena javnosti ili ispitaniku bude sažeta, lako dostupna i razumljiva, da se upotrebljava jasan i jednostavan jezik te da se usto, prema potrebi, koristi vizualizacijom. Takva bi se informacija također mogla dati u elektroničkom obliku, na primjer na internetskim stranicama, kada je namijenjena javnosti. To je osobito bitno u situacijama u kojima zbog velikog broja sudionika i tehnološke složenosti prakse ispitaniku nije lako prepoznati i razumjeti prikupljaju li se osobni podaci o njemu, tko ih prikuplja i u koju svrhu, kao što je slučaj internetskog oglašavanja. Imajući u vidu da djeca zaslužuju posebnu zaštitu, svaka informacija i komunikacija, u slučaju da je obrada usmjerena prema djetetu, trebale bi biti na jasnom i jednostavnom jeziku koji dijete lako može razumjeti.

(59)

Trebalo bi predvidjeti modalitete kojima se olakšava ostvarivanje prava ispitanika iz ove Uredbe, uključujući mehanizme za podnošenje zahtjeva te, ako je primjenjivo, besplatno ostvarivanje, osobito zahtjeva za pristup osobnim podacima, njihovo ispravljanje ili brisanje i ostvarivanje prava na prigovor. Voditelj obrade trebao bi također pružiti sredstva za elektroničku predaju zahtjeva, osobito ako se osobni podaci obrađuju elektronički. Voditelj obrade trebao bi biti dužan odgovoriti na zahtjev ispitanika bez nepotrebnog odgađanja i najkasnije u roku od mjesec dana te iznijeti razloge ako voditelj obrade nema namjeru ispuniti bilo koji takav zahtjev.

(60)

Načelima poštene i transparentne obrade zahtijeva se da je ispitanik informiran o postupku obrade i njegovim svrhama. Voditelj obrade trebao bi ispitaniku pružiti sve dodatne informacije neophodne za osiguravanje poštene i transparentne obrade uzimajući u obzir posebne okolnosti i kontekst obrade osobnih podataka. Osim toga ispitanik bi trebao biti informiran o postupku izrade profila i posljedicama takve izrade profila. Kada se prikupljaju osobni podaci od ispitanika, trebalo bi ga također obavijestiti o tome je li obvezan pružiti osobne podatke te o posljedicama ako takve podatke ne pruži. Ova se informacija može pružiti u kombinaciji sa standardiziranim ikonama kako bi se na lako vidljiv, razumljiv i jasno čitljiv način pružio smislen pregled planirane obrade. Kada su ikone predstavljene elektroničkim putem, trebale bi biti strojno čitljive.

(61)

Ispitaniku bi tijekom prikupljanja podataka trebalo dati informacije o obradi osobnih podataka koji se odnose na njega, ili ako se osobni podaci ne uzimaju od ispitanika već su prikupljeni iz drugog izvora, u razumnom roku ovisno o okolnostima slučaja. Ako se osobni podaci legitimno mogu otkriti drugom primatelju, ispitanika bi trebalo informirati kada se osobni podaci prvi put otkrivaju primatelju. Ako voditelj obrade namjerava obrađivati osobne podatke u svrhu koja je različita od one za koju su prikupljeni, voditelj obrade bi prije te daljnje obrade ispitaniku trebao pružiti informacije o toj drugoj svrsi te druge potrebne informacije. Ako se izvor osobnih podataka ne može dati ispitaniku jer su upotrebljavani razni izvori, trebalo bi dati opće informacije.

(62)

Obvezu pružanja informacija ipak nije potrebno nametati ako ispitanik već posjeduje tu informaciju, ako je bilježenje ili otkrivanje osobnih podataka izrijekom propisano zakonom ili ako je pružanje informacije ispitaniku nemoguće ili bi zahtijevalo nerazmjeran napor. Primjer nemogućnosti pružanja informacija ili nerazmjernog napora posebno bi se mogao javiti ako se obrada obavlja u svrhe arhiviranja u javnom interesu, u svrhe znanstvenih ili povijesnih istraživanja ili u statističke svrhe. U tom smislu trebalo bi razmotriti broj ispitanika, starost podataka i bilo koje druge donesene prikladne zaštitne mjere.

(63)

Ispitanik bi trebao imati pravo pristupa prikupljenim osobnim podacima koji se na njega odnose te ostvarivati to pravo lako i u razumnim intervalima kako bi bio svjestan obrade i provjerio njezinu zakonitost. To uključuje pravo ispitanika na pristup podacima o njegovom zdravstvenom stanju, na primjer podacima u medicinskoj dokumentaciji koja sadržava informacije poput dijagnoza, rezultata pretraga, liječničkih mišljenja, liječenja ili zahvata. Svaki ispitanik stoga bi osobito trebao imati pravo znati i dobiti obavijest o svrhama obrade osobnih podataka, ako je moguće i za koje razdoblje se osobni podaci obrađuju, o primateljima osobnih podataka, o logici automatske obrade osobnih podataka i o posljedicama takve obrade, barem kad se temelji na izradi profila. Ako je moguće, voditelj obrade trebao bi imati mogućnost omogućiti daljinski pristup zaštićenom sustavu koji bi ispitaniku omogućio izravan pristup njegovim osobnim podacima. To pravo ne bi smjelo negativno utjecati na prava ili slobode drugih, uključujući i poslovne tajne ili intelektualno vlasništvo, a osobito na autorsko pravo kojima je zaštićen računalni program. Rezultat tih razmatranja ipak ne bi smjelo biti odbijanje pružanja svih informacija ispitaniku. Ako voditelj obrade obrađuje velike količine informacija koje se odnose na ispitanika, voditelj obrade trebao bi imati mogućnost prije dostave informacije zahtijevati od ispitanika da navede informacije ili aktivnosti obrade na koje se zahtjev odnosi.

(64)

Voditelj obrade trebao bi se koristiti svim razumnim mjerama kako bi utvrdio identitet ispitanika koji traži pristup, a osobito u okviru internetskih usluga i mrežnih identifikatora. Voditelj obrade ne bi smio pohraniti osobne podatke samo zato da bi mogao odgovoriti na moguće zahtjeve.

(65)

Ispitanik bi trebao imati pravo na ispravak osobnih podataka koji se na njega odnose te „pravo na zaborav” ako zadržavanje takvih podataka krši ovu Uredbu ili pravo Unije ili pravo države članice koje se primjenjuje na voditelja obrade. Ispitanici bi osobito trebali imati pravo da se njihovi osobni podaci brišu i više ne obrađuju ako ti osobni podaci više nisu potrebni s obzirom na svrhu u koju su prikupljeni ili na druge načine obrađivani, ako su ispitanici povukli svoju privolu ili ako daju prigovor na obradu osobnih podataka koji se odnose na njih ili ako obrada njihovih osobnih podataka na druge načine nije u skladu s ovom Uredbom. Ovo je pravo osobito bitno ako je ispitanik dao svoju privolu dok je bio dijete i nije bio u potpunosti svjestan rizika obrade, a kasnije želi ukloniti takve osobne podatke, osobito na internetu. Ispitanik bi trebao biti u mogućnosti ostvariti to pravo neovisno o činjenici da više nije dijete. No daljnja pohrana osobnih podataka trebala bi biti zakonita ako je nužna za ostvarivanje prava na slobodu izražavanja i na slobodu informiranja, radi poštovanja pravnih obveza, za izvršavanje zadaće od javnog interesa ili izvršavanje službene ovlasti voditelja obrade, na temelju javnog interesa u području javnog zdravlja, u svrhe arhiviranja od javnog interesa, u svrhe znanstvenih ili povijesnih istraživanja, u statističke svrhe ili za postavljanje, ostvarivanje ili obranu pravnih zahtjeva.

(66)

Kako bi se ojačalo „pravo na zaborav” u internetskom okruženju, pravo na brisanje također bi trebalo proširiti tako da bi voditelj obrade koji je objavio osobne podatke bio obvezan obavijestiti voditelje obrade koji takve osobne podatke obrađuju da obrišu sve poveznice s tim osobnim podacima ili kopijama ili replikama tih osobnih podataka. Pritom bi voditelj obrade trebao poduzeti razumne mjere, uzimajući u obzir dostupnu tehnologiju i sredstva dostupna voditelju obrade, uključujući tehničke mjere da obavijesti voditelje obrade, koji obrađuju osobne podatke, o zahtjevu ispitanika.

(67)

Metode kojima se ograničava obrada osobnih podataka mogle bi, među ostalim, uključivati privremeno premještanje odabranih osobnih podataka u drugi sustav obrade, činjenje odabranih podataka nedostupnima za korisnike ili privremeno uklanjanje objavljenih podataka s internetske stranice. U automatiziranim sustavima pohrane ograničavanje obrade u načelu bi trebalo osigurati tehničkim sredstvima na način da osobni podaci nisu predmet daljnjih obrada i da se ne mogu mijenjati. Činjenicu da je obrada osobnih podataka ograničena trebalo bi jasno navesti u sustavu.

(68)

Radi dodatnog jačanja nadzora nad vlastitim podacima, kada se obrada obavlja automatskim putem, ispitaniku bi se također trebalo dopustiti da osobne podatke koji se odnose na njega, a koje je dao voditelju obrade dobije u strukturiranom, uobičajeno upotrebljavanom, strojno čitljivom i interoperabilnom formatu i da ih prenese drugom voditelju obrade. Voditelje obrade trebalo bi poticati na razvijanje interoperabilnih formata koji omogućuju prenosivost podataka. To bi se pravo trebalo primjenjivati u slučajevima kad je ispitanik osobne podatke da ona temelju svoje privole ili kad je obrada nužna za izvršenje ugovora. To se pravo ne bi smjelo primjenjivati ako se obrada temelji na drugoj pravnoj osnovi koja nije privola ili ugovor. Samom svojom prirodom to se pravo ne može ostvariti u slučaju da voditelji obrade osobne podatke obrađuju u okviru svojih javnih dužnosti. Stoga se ono ne bi smjelo primjenjivati ako je obrada osobnih podataka nužna kako bi se poštovala pravna obveza kojoj voditelj obrade podliježe ili za izvršavanje zadaće od javnog interesa ili pri izvršavanju službene ovlasti voditelja obrade. Pravo ispitanika na prijenos ili primanje osobnih podataka koji se odnose na njega ne bi trebalo obvezivati voditelja obrade da upotrebljava ili održava tehnički kompatibilne sustave za obradu. Ako se određeni skup osobnih podataka odnosi na više ispitanika, pravo na primanje tih osobnih podataka ne bi smjelo dovoditi u pitanje prava i sloboda ostalih ispitanika u skladu s ovom Uredbom. Nadalje, tim pravom također se ne bi smjelo dovoditi u pitanje pravo ispitanika na brisanje osobnih podataka, kao i ograničenja tog prava, kako je navedeno u ovoj Uredbi, te ono osobito ne bi smjelo podrazumijevati brisanje osobnih podataka koji se odnose na ispitanika, koje je on dostavio u svrhu izvršavanja ugovora, u mjeri u kojoj su ti osobni podaci potrebni za izvršavanje tog ugovora i koliko god su potrebni. Ako je tehnički izvedivo, ispitanik bi trebao imati pravo na to se osobni podaci prenose izravno između voditelja obrade.

(69)

Ako bi se osobni podaci mogli zakonito obrađivati jer je obrada potrebna za izvršavanje zadaće od javnog interesa ili pri izvršavanju službene ovlasti voditelja obrade ili na temelju legitimnih interesa voditelja obrade ili treće strane, svaki bi ispitanik ipak trebao imati pravo prigovora na obradu bilo kojih osobnih podataka povezanih s njegovom posebnom situacijom. Voditelj obrade trebao bi pokazati da njegovi uvjerljivi legitimni interesi imaju prednost pred interesima temeljnih prava i sloboda ispitanika.

(70)

Ako se osobni podaci obrađuju u svrhu izravnog marketinga, ispitanik bi trebao imati pravo prigovora na takvu obradu, uključujući izradu profila u mjeri u kojoj je povezana s takvim izravnim marketingom, bilo u odnosu na početnu ili daljnju obradu, u bilo koje vrijeme i besplatno. To bi se pravo ispitaniku trebalo izričito dati na znanje i predstaviti mu se jasno i odvojeno od svih drugih informacija.

(71)

Ispitanik bi trebao imati pravo na to da se na njega ne odnosi odluka, što može obuhvaćati mjeru, kojom se procjenjuju osobni aspekti u vezi s njim koja se isključivo temelji na automatiziranoj obradi i koja proizvodi pravne učinke koji se odnose na njega ili slično na njega znatno utječu, poput automatskog odbijanja zahtjeva za kreditom putem interneta ili prakse zapošljavanja putem interneta bez ikakve ljudske intervencije. Takva obrada uključuje „izradu profila” koja se odnosi na svaki oblik automatizirane obrade osobnih podataka kojom se procjenjuju osobni aspekti u vezi s pojedincem, osobito analizu i predviđanje aspekata ispitanikovog učinka na poslu, ekonomskog stanja, zdravlja, osobnih preferencija ili interesa, pouzdanosti ili ponašanja, lokacije ili kretanja kada ona proizvodi pravne učinke koji se odnose na ispitanika ili na njega snažno utječu. Međutim, donošenje odluka koje se temelji na takvoj obradi, što uključuje i izradu profila, trebalo bi se dopustiti ako se to izričito dopušta pravom Unije ili pravom države članice kojem podliježe voditelj obrade, među ostalim u svrhe praćenja i sprečavanja prijevare i porezne utaje, što se provodi u skladu s propisima, standardima i preporukama institucija Unije ili nacionalnih nadzornih tijela te osiguravanja sigurnosti i pouzdanosti usluge koju pruža voditelj obrade ili ako je nužno za sklapanje ili izvršavanje ugovora između ispitanika i voditelja obrade ili kada je ispitanik izričito dao svoju privolu. U svakom slučaju na takve bi se obrade trebale primjenjivati odgovarajuće zaštitne mjere, koje bi trebale uključivati davanje određenih informacija ispitaniku i pravo na ljudsku intervenciju, pravo na izražavanje vlastitog stajališta, na dobivanje pojašnjenja odluke donesene nakon takve procjene i pravo na osporavanje odluke. Takve se mjere ne bi smjele odnositi na djecu.

Kako bi se osigurala poštena i transparentna obrada podataka s obzirom na ispitanika, uzimajući u obzir posebne okolnosti i kontekst u kojem se osobni podaci obrađuju, voditelj obrade trebao bi poduzeti odgovarajuće matematičke i statističke postupke za izradu profila, provesti odgovarajuće tehničke i organizacijske mjere kako bi se posebno osiguralo da budu ispravljeni čimbenici koji dovode do netočnosti u osobnim podacima i da se rizici od pojave pogrešaka svedu na minimum, te osobne podatke osigurati na način kojim se uzima u obzir potencijalne rizike za interese i prava ispitanika i kojim se, među ostalim, sprečavaju diskriminacijski učinci na pojedince na temelju rasnog ili etničkog porijekla, političkog mišljenja, vjere ili uvjerenja, članstva u sindikatu, genetskog ili zdravstvenog stanja ili spolne orijentacije, ili koji rezultiraju mjerama koje imaju takav učinak. Automatizirane odluke i izrada profila na temelju posebnih kategorija osobnih podataka smjele bi se dopustiti samo pod posebnim uvjetima.

(72)

Izrada profila podliježe pravilima ove Uredbe kojima se uređuje obrada osobnih podataka, kao što su pravna osnova obrade ili načela zaštite podataka. Europski odbor za zaštitu podataka osnovan ovom Uredbom („Odbor”) trebao bi imati mogućnost izdati smjernice u tom kontekstu.

(73)

Pravom Unije ili pravom države članice mogu se uvesti ograničenja s obzirom na posebna načela te s obzirom na ograničenja prava na informacije, pristup i ispravak ili brisanje osobnih podataka te ograničenja prava na prenosivost podataka, prava na prigovor, odluka koje se temelje na izradi profila, kao i ograničenja obavješćivanja ispitanika o povredi osobnih podataka te ograničenja određenih povezanih obveza voditelja obrade, u mjeri u kojoj je to nužno i proporcionalno u demokratskom društvu kako bi se zaštitila javna sigurnost, među ostalim ljudski život posebno kao odgovor na prirodne katastrofe ili one koje je izazvao čovjek te sprečavanje, istraga i progon kaznenih djela ili izvršavanje kaznenopravnih sankcija, uključujući zaštitu od prijetnji javnoj sigurnosti i njihovo sprečavanje ili kršenja etike zakonski uređenih djelatnosti, kako bi se zaštitili drugi važni ciljevi koji su u javnom interesu Unije ili države članice, a posebno važan gospodarski ili financijski interes Unije ili države članice, vođenje javne evidencije u svrhu općeg javnog interesa, daljnja obrada arhiviranih osobnih podataka za potrebe pružanja posebnih informacija u vezi s političkim ponašanjem za vrijeme bivših totalitarnih državnih režima ili zaštita ispitanika ili prava i sloboda drugih osoba, među ostalim u svrhu socijalne zaštite, javnog zdravlja i u humanitarne svrhe. Ta ograničenja trebala bi biti u skladu sa zahtjevima utvrđenima u Povelji i Europskoj konvenciji za zaštitu ljudskih prava i temeljnih sloboda.

(74)

Trebalo bi uspostaviti dužnosti i odgovornosti voditelja obrade za svaku obradu osobnih podataka koju provede sm voditelj obrade ili netko drugi u ime voditelja obrade. Osobito, voditelj obrade trebao bi imati obvezu provođenja odgovarajućih i djelotvornih mjera te biti u mogućnosti dokazati usklađenost aktivnosti obrade s ovom Uredbom uključujući i djelotvornost mjera. Tim bi mjerama u obzir trebalo uzeti prirodu, opseg, kontekst i svrhe obrade te rizik za prava i slobode pojedinaca.

(75)

Rizik za prava i obveze pojedinaca, različitih vjerojatnosti i ozbiljnosti, može proizaći iz obrade osobnih podataka koja bi mogla prouzročiti fizičku, materijalnu ili nematerijalnu štetu, posebno ako ta obrada može dovesti do diskriminacije, krađe identiteta ili prijevare, financijskog gubitka, štete za ugled, gubitka povjerljivosti osobnih podataka zaštićenih poslovnom tajnom, neovlaštenog obrnutog postupka pseudonimizacije, ili bilo koje druge znatne gospodarske ili društvene štete; ili ako ispitanici mogu biti uskraćeni za svoja prava i slobode ili spriječeni u obavljanju nadzora nad svojim osobnim podacima; ako se obrađuju osobni podaci koji odaju rasno ili etničko podrijetlo, politička mišljenja, vjerska ili filozofska uvjerenja, članstvo u sindikatu i ako je riječ o obradi genetičkih podataka, podataka koji se odnose na zdravlje ili spolni život ili kaznene osude i kažnjiva djela ili povezane sigurnosne mjere; ako se procjenjuju osobni aspekti, osobito analiza ili predviđanje aspekata u vezi s učinkom na poslu, ekonomskim stanjem, zdravljem, osobnim preferencijama ili interesima, pouzdanošću ili ponašanjem, lokacijom ili kretanjem kako bi se izradili ili upotrebljavali osobni profili; ako se obrađuju osobni podaci osjetljivih pojedinaca, osobito djece; ili ako obrada uključuje veliku količinu osobnih podataka i utječe na velik broj ispitanika.

(76)

Vjerojatnost i ozbiljnost rizika za prava i slobode ispitanika trebala bi se određivati s obzirom na prirodu, opseg, kontekst i svrhe obrade. Rizik bi trebalo procjenjivati na temelju objektivne procjene kojom se utvrđuje uključuju li postupci obrade podataka rizik ili visoki rizik.

(77)

Upute za provedbu odgovarajućih mjera i za dokazivanje poštovanja odredaba od strane voditelja obrade ili izvršitelja obrade, posebno u pogledu utvrđivanja rizika povezanog s obradom, njihove procjene s obzirom na podrijetlo, prirodu, vjerojatnost i težinu te utvrđivanje najboljih praksi za umanjivanje rizika, osobito bi se mogle pružiti putem odobrenih kodeksa ponašanja, odobrenih certifikata, smjernica koje pruža Odbor ili naznakama koje pruža službenik za zaštitu podataka. Odbor može također izdati smjernice o postupcima obrade za koje se smatra da nije vjerojatno da će dovesti do visokog rizika za prava i slobode pojedinaca i navesti koje mjere mogu u takvim slučajevima biti dovoljne za suočavanje s navedenim rizikom.

(78)

Zaštita prava i sloboda pojedinaca s obzirom na obradu osobnih podataka zahtijeva da se poduzmu odgovarajuće tehničke i organizacijske mjere radi osiguravanja poštovanja uvjeta ove Uredbe. Radi dokazivanja sukladnosti s ovom Uredbom voditelj obrade trebao bi uvesti interne politike i provesti mjere koje osobito ispunjavaju načela tehničke zaštite podataka i integrirane zaštite podataka. Takve mjere mogle bi se, među ostalim, sastojati od smanjenja količine obrade osobnih podataka, pseudonimizacije osobnih podataka što je prije moguće, transparentnosti u vezi s funkcijama i obradom osobnih podataka, omogućavanja ispitaniku da prati obradu podataka, omogućavanja voditelju obrade da stvara i poboljšava sigurnosne značajke. Prilikom razvijanja, osmišljavanja, odabira i upotrebe aplikacija, usluga i proizvoda koji se temelje na obradi osobnih podataka ili obrađuju osobne podatke kako bi ispunili svoju zadaću, proizvođače proizvoda, usluga i aplikacija trebalo bi poticati da uzmu u obzir pravo na zaštitu podataka prilikom razvijanja i osmišljavanja takvih proizvoda, usluga i aplikacija i da uzimajući u obzir najnovija dostignuća osiguraju da voditelji obrade i izvršitelji obrade mogu ispuniti svoje obveze u pogledu zaštite podataka. Načela tehničke i integrirane zaštite podataka trebalo bi također uzeti u obzir u kontekstu javnih natječaja.

(79)

Zaštita prava i sloboda ispitanikâ, kao i dužnost i odgovornost voditeljâ obrade i izvršiteljâ obrade, također u vezi s praćenjem i mjerama koje provode nadzorna tijela, zahtijevaju jasno utvrđivanje dužnosti u skladu s ovom Uredbom, među ostalim u slučajevima u kojima voditelj obrade određuje svrhe i sredstva obrade zajedno s drugim voditeljima obrade ili kada se postupak obrade provodi u ime voditelja obrade.

(80)

Ako voditelj obrade ili izvršitelj obrade koji nema poslovni nastan u Uniji obrađuje osobne podatke ispitanikâ u Uniji čije su aktivnosti obrade povezane s ponudom robe ili usluga, bez obzira na to je li potrebno plaćanje ispitanika, za takve bi ispitanike u Uniji, ili za praćenje njihova ponašanja dok se ono odvija unutar Unije, voditelj obrade ili izvršitelj obrade trebali bi imenovati predstavnika, osim ako se obrada obavlja povremeno, ne uključuje opsežnu obradu posebnih kategorija osobnih podataka ili je obrada osobnih podataka povezana s kaznenim presudama i kažnjivim djelima te vjerojatno neće dovesti do rizika za prava i slobode pojedinaca, uzimajući u obzir prirodu, kontekst, opseg i svrhe obrade ili ako je voditelj obrade tijelo javne vlasti ili javno tijelo. Predstavnik bi trebao djelovati u ime voditelja obrade ili izvršitelja obrade i može mu se obratiti svako nadzorno tijelo. Voditelj obrade ili izvršitelj obrade trebao bi izričito, pisanim ovlaštenjem imenovati predstavnika da djeluje u njegovo ime s obzirom na obveze voditelja obrade i izvršitelja obrade na temelju ove Uredbe. Imenovanje takvog predstavnika ne utječe na dužnost ili odgovornost voditelja obrade ili izvršitelja obrade na temelju ove Uredbe. Takav bi predstavnik svoje zadaće trebao obavljati u skladu s mandatom dobivenim od voditelja obrade ili izvršitelja obrade, uključujući suradnju s nadležnim nadzornim tijelima u vezi sa svakom radnjom poduzetom za osiguravanje poštovanja ove Uredbe. U slučaju da voditelj obrade ili izvršitelj obrade krši pravila, imenovani bi predstavnik trebao podlijegati postupku izvršavanja zakonodavstva.

(81)

Kako bi se osiguralo poštovanje zahtjeva iz ove Uredbe u vezi s obradom koju provodi izvršitelj obrade u ime voditelja obrade, pri povjeravanju aktivnosti obrade izvršitelju obrade, voditelj obrade trebao bi angažirati samo izvršitelje obrade koji u zadovoljavajućoj mjeri jamče, osobito u pogledu stručnog znanja, pouzdanosti i resursa, provedbu tehničkih i organizacijskih mjera koje udovoljavaju zahtjevima iz ove Uredbe, među ostalim u pogledu sigurnosti obrade. Poštovanje odobrenog kodeksa ponašanja ili mehanizma certificiranja odobrenog od strane izvršitelja obrade može se upotrijebiti kao element u dokazivanju poštovanja obveza voditelja obrade. Provođenje obrade od strane izvršitelja obrade trebalo bi biti uređeno ugovorom ili drugim pravnim aktom u skladu s pravom Unije ili pravom države članice koji izvršitelja obrade obvezuje prema voditelju obrade, a u kojemu su navedeni predmet i trajanje obrade, priroda i svrhe obrade, vrsta osobnih podataka te kategorije ispitanika, uzimajući u obzir posebne zadaće i odgovornosti izvršitelja obrade u kontekstu obrade koju treba provesti te rizika za prava i slobode ispitanika. Voditelj obrade i izvršitelj obrade mogu izabrati pojedinačni ugovor ili standardne ugovorne klauzule koje je ili izravno donijela Komisija ili ih je donijelo nadzorno tijelo u skladu s mehanizmom konzistentnosti, a potom donijela Komisija. Nakon što završi obradu u ime voditelja obrade, izvršitelj obrade trebao bi, prema izboru voditelja obrade, vratiti ili izbrisati osobne podatke osim ako postoji obveza pohrane osobnih podataka sukladno pravu Unije ili pravu države članice kojem izvršitelj obrade podliježe.

(82)

Voditelj obrade ili izvršitelj obrade trebao bi voditi evidenciju o aktivnostima obrade pod svojom odgovornošću radi dokazivanja sukladnosti s ovom Uredbom. Svaki voditelj obrade i izvršitelj obrade trebao bi imati obvezu surađivati s nadzornim tijelom i omogućiti mu na zahtjev uvid u tu evidenciju kako bi mu mogla poslužiti za praćenje postupaka obrade.

(83)

Kako bi se očuvala sigurnost i spriječila obrada kojom se krši ova Uredba, voditelj obrade ili izvršitelj obrade trebali bi procijeniti rizike povezane s obradom i provesti mjere za njihovo umanjivanje, kao što je enkripcija. Tim bi se mjerama trebala osigurati odgovarajuća razina zaštite uključujući povjerljivost, uzimajući u obzir najnovija dostignuća i troškove provedbe u odnosu na rizike i prirodu osobnih podataka koji se trebaju zaštititi Prilikom procjene rizika za sigurnost podataka u obzir bi trebalo uzeti rizike koje predstavlja obrada osobnih podataka poput slučajnog ili nezakonitog uništenja, gubitka, izmjene, neovlaštenog odavanja ili pristupa osobnim podacima koji su preneseni, pohranjeni ili na drugi način obrađivani, a što osobito može dovesti do fizičke, materijalne ili nematerijalne štete.

(84)

Radi poboljšanja sukladnosti s ovom Uredbom kada postupci obrade vjerojatno mogu dovesti do visokog stupnja rizika za prava i slobode pojedinaca, voditelj obrade trebao bi biti odgovoran za provođenje procjene učinka na zaštitu podataka kako bi se osobito procijenili izvor, priroda, osobitost i ozbiljnost tog rizika. Ishod procjene trebao bi se uzeti u obzir pri utvrđivanju odgovarajućih mjera radi dokazivanja da je obrada osobnih podataka sukladna s ovom Uredbom. Ako se u procjeni učinka na zaštitu podataka pokaže da postupci obrade uključuju visok rizik koji voditelj obrade ne može umanjiti odgovarajućim mjerama u smislu dostupne tehnologije i troškova provedbe, prije obrade trebalo bi se savjetovati s nadzornim tijelom.

(85)

Ako se povreda osobnih podataka ne rješava na odgovarajući način i pravodobno, ona može prouzročiti fizičku, materijalnu ili nematerijalnu štetu pojedincima, kao što su gubitak nadzora nad osobnim podacima ili ograničavanje njihovih prava, diskriminacija, krađa identiteta ili prijevara, financijski gubici, neovlašteni obrnuti postupak pseudonimizacije, šteta za ugled, gubitak povjerljivosti osobnih podataka zaštićenih poslovnom tajnom ili bilo koju drugu ekonomsku ili društvenu štetu za dotičnog pojedinca. Stoga, čim voditelj obrade primijeti da je došlo do povrede osobnih podataka, trebao bi o tome izvijestiti nadležno nadzorno tijelo bez nepotrebnog odgađanja i to, ako je izvedivo, najkasnije 72 sata nakon saznanja o toj povredi osobnih podataka, osim ako voditelj obrade može dokazati, u skladu s načelom odgovornosti, da povreda osobnih podataka vjerojatno neće prouzročiti rizik za prava i slobode pojedinaca. Ako se takvo obavješćivanje ne može postići u roku od 72 sata, obavijest bi trebala biti popraćena razlozima kašnjenja, a informacije se mogu pružiti u fazama bez nepotrebnog daljnjeg odgađanja.

(86)

Voditelj obrade trebao bi bez nepotrebnog odlaganja obavijestiti ispitanika o povredi osobnih podataka ako je vjerojatno da će povreda osobnih podataka prouzročiti visoki rizik za prava i slobode pojedinca, kako bi on mogao poduzeti potrebne mjere opreza. U obavijesti bi trebalo opisati prirodu povrede osobnih podataka kao i preporuke kako bi dotični pojedinac mogao ublažiti potencijalne negativne učinke. Takva bi se obavijest ispitanicima trebala pružiti što je prije, u razumnim granicama, izvedivo i u bliskoj suradnji s nadzornim tijelom, poštujući njegove upute ili upute drugih relevantnih tijela vlasti,kao što su tijela za izvršavanje zakonodavstva. Na primjer, o potrebi za umanjivanjem neposrednog rizika od štete bilo bi potrebno odmah obavijestiti ispitanike, dok potreba za provedbom odgovarajućih mjera protiv daljnje ili slične povrede osobnih podataka može opravdati duži rok za obavijest.

(87)

Trebalo bi se utvrditi jesu li provedene sve odgovarajuće mjere tehnološke zaštite i organizacijske mjere da bi se odmah utvrdilo je li došlo do povrede osobnih podataka i odmah obavijestilo nadzorno tijelo i ispitanika. Trebalo bi utvrditi činjenicu je li obavijest pružena bez nepotrebnog odgađanja posebno uzimajući u obzir prirodu i ozbiljnost povrede osobnih podataka i njezine posljedice i negativne učinke za ispitanika. Takva obavijest može dovesti do intervencije nadzornog tijela u skladu s njegovim zadaćama i ovlastima predviđenima ovom Uredbom.

(88)

Pri određivanju detaljnih pravila o formatu i postupcima primjenjivima na obavješćivanje o povredi osobnih podataka trebalo bi posvetiti dužnu pažnju okolnostima povrede, među ostalim jesu li osobni podaci bili zaštićeni odgovarajućim mjerama tehničke zaštite, djelotvorno ograničavajući vjerojatnost zlouporabe identiteta ili druge oblike zlouporabe. Osim toga takva pravila i postupci trebali bi uzeti u obzir legitimne interese tijelâ za izvršavanje zakonodavstva kada rano otkrivanje može nepotrebno naškoditi istrazi okolnosti povrede osobnih podataka.

(89)

Direktivom 95/46/EZ predviđena je opća obveza izvješćivanja nadzornih tijela o obradi osobnih podataka. Nametanjem te obveze stvara se administrativni i financijski teret, a ona nije u svim slučajevima dovela do poboljšanja zaštite osobnih podataka. Trebalo bi, stoga, ukinuti takve sveobuhvatne obveze općeg obavješćivanja i zamijeniti ih djelotvornim postupcima i mehanizmima koji se umjesto toga usredotočuju na one vrste postupaka obrade koji vjerojatno mogu prouzročiti visok rizik za prava i slobode pojedinaca zbog svoje prirode, opsega, konteksta i svrha. Takve vrste postupaka obrade mogu biti osobito one koje uključuju upotrebu novih tehnologija ili one koje su nove vrste i s obzirom na koje voditelj obrade još nije proveo procjenu učinka na zaštitu podataka ili za koje je procjena učinka na zaštitu podataka postala potrebna s obzirom na vrijeme koje je proteklo od prvotne obrade.

(90)

U takvim slučajevima, voditelj obrade trebao bi provesti procjenu učinka na zaštitu podataka prije obrade radi procjene osobite vjerojatnosti i ozbiljnosti visokog rizika, uzimajući u obzir prirodu, opseg, kontekst i svrhe obrade te izvore rizika. Ta bi procjena učinka trebala posebno uključivati mjere, zaštitne mjere i mehanizme predviđene za umanjivanje tog rizika, za osiguravanje zaštite osobnih podataka i dokazivanje sukladnosti s ovom Uredbom.

(91)

To bi se osobito trebalo primjenjivati na postupke obrade velikog opsega kojima se nastoji obraditi znatna količina osobnih podataka na regionalnoj, nacionalnoj ili nadnacionalnoj razini i koji bi mogli utjecati na velik broj ispitanika i koji će vjerojatno dovesti do visokog rizika, primjerice zbog osjetljivosti, u kojima se u skladu s postignutom razinom tehnološkog znanja novom tehnologijom koristi u velikom opsegu, kao i na druge postupke obrade koji dovode do visokog rizika za prava i slobode ispitanika, osobito ako ti postupci ispitanicima otežavaju ostvarenje njihovih prava. Procjena učinka na zaštitu podataka osobito bi se trebala provoditi kada se osobni podaci obrađuju radi donošenja odluka o određenim pojedincima na temelju bilo kakve sustavne i opsežne procjene osobnih aspekata u vezi s pojedincima koja se temelji na izradi profila iz tih podataka ili na temelju obrade posebnih kategorija osobnih podataka, biometrijskih podataka ili podataka o kaznenim osudama i kažnjivim djelima ili povezanim mjerama sigurnosti. Procjena učinka na zaštitu podataka jednako je potrebna za opsežno praćenje javno dostupnih područja, posebno ako se upotrebljavaju optičko-elektronički uređaji, ili za bilo koje druge postupke za koje nadležno nadzorno tijelo smatra će obrada vjerojatno dovesti do visokog rizika za prava i slobode ispitanika, osobito zato što se njima ispitanike sprečava u ostvarivanju prava ili upotrebi usluge ili ugovora, ili zato što se opsežna obrada provodi sustavno. Obradu osobnih podataka ne bi trebalo smatrati opsežnom ako se odnosi na osobne podatke pacijenata ili klijenata pojedinih liječnika, zdravstvenih djelatnika ili odvjetnika. U takvim slučajevima procjena učinka na zaštitu podataka ne bi trebala biti obvezna.

(92)

U nekim okolnostima može biti razumno i ekonomično da procjena učinka na zaštitu podataka obuhvaća više od jednog projekta i tematski šire područje, na primjer ako tijela javne vlasti ili javna tijela namjeravaju uspostaviti zajedničku aplikaciju ili platformu za obradu ili ako nekoliko voditelja obrade namjerava uvesti zajedničku aplikaciju ili okruženje za obradu u cijeli jedan industrijski sektor ili segment ili za horizontalnu djelatnost široke uporabe.

(93)

U kontekstu donošenja zakonodavstva države članice na kojem se temelji izvršavanje zadaća tijela javne vlasti ili javnog tijela i kojim se uređuju dotični posebni postupci obrade ili skup postupaka, države članice mogu smatrati potrebnom provedbu takve procjene prije obrade.

(94)

Ako se u procjeni učinka na zaštitu podataka pokaže da bi obrada u nedostatku zaštitnih mjera, sigurnosnih mjera i mehanizama za umanjivanje rizika dovela do visokog rizika za prava i slobode pojedinaca, a voditelj obrade smatra da se taj rizik ne može umanjiti razumnim mjerama u pogledu dostupne tehnologije i troškova provedbe, prije početka obrade trebalo bi se savjetovati s nadzornim tijelom. Takav visok rizik vjerojatno će proizaći iz određenih vrsta obrade i opsega i učestalosti obrade, što može također prouzročiti štetu ili ometanje prava i slobode ispitanika. Nadzorno tijelo trebalo bi odgovoriti na zahtjev za savjetovanje u određenom vremenskom roku. Međutim, izostanak reakcije nadzornog tijela u tom roku ne bi smio utjecati na bilo koju intervenciju nadzornog tijela u skladu sa njegovim zadaćama i ovlastima iz ove Uredbe, uključujući ovlast da zabrani postupke obrade. Rezultat procjene učinka na zaštitu podataka koja je provedena u vezi s dotičnom obradom može se kao dio tog postupka savjetovanja dostaviti nadzornom tijelu, a osobito mjere predviđene za umanjivanje rizika za prava i slobode pojedinaca.

(95)

Prema potrebi i na zahtjev, izvršitelj obrade trebao bi pomagati voditelju obrade u osiguravanju usklađenosti s obvezama koje proizlaze iz provedbe procjene učinka na zaštitu podataka i iz prethodnog savjetovanja s nadzornim tijelom.

(96)

Savjetovanje s nadležnim tijelom također bi se trebalo održati tijekom izrade zakonodavne ili regulatorne mjere koja propisuje obradu osobnih podataka radi osiguravanja usklađenosti predviđene obrade s ovom Uredbom te osobito radi umanjivanja rizika za ispitanika.

(97)

Ako obradu provodi tijelo javne vlasti, uz iznimku sudova i neovisnih pravosudnih tijela kada djeluju u okviru svoje sudske nadležnosti, ako, u privatnom sektoru, obradu provodi voditelj obrade čije su osnovne djelatnosti postupci obrade koji zahtijevaju redovno i sustavno opsežno praćenje ispitanika, ili ako se osnovne djelatnosti voditelja obrade ili izvršitelja obrade sastoje od opsežne obrade posebnih kategorija osobnih podataka i podataka koji se odnose na kaznene osude i kažnjiva djela, osoba sa stručnim znanjem prava i prakse zaštite podataka trebala bi pomagati voditelju obrade ili izvršitelju obrade pri praćenju unutarnje usklađenosti s ovom Uredbom. U privatnom sektoru, osnovne djelatnosti voditelja obrade odnose se na njegove primarne djelatnosti i ne odnose se na obradu osobnih podataka kao dodatne djelatnosti. Nužna razina stručnog znanja trebala bi se utvrditi posebno u odnosu na postupke obrade podataka koji se provode te na zaštitu koju za obrađene osobne podatke zahtijeva voditelj obrade ili izvršitelj obrade. Takvi službenici za zaštitu podataka, bez obzira jesu li zaposlenici voditelja obrade, trebali bi moći obavljati svoje dužnosti i zadaće na neovisan način.

(98)

Udruženja ili druga tijela koja predstavljaju kategorije voditelja obrade ili izvršitelja obrade trebalo bi poticati da izrade kodekse ponašanja unutar granica ove Uredbe kako bi se olakšala djelotvorna primjena ove Uredbe, uzimajući u obzir posebna obilježja obrade koja se provodi u određenim sektorima i posebne potrebe mikropoduzeća, malih i srednjih poduzeća. Posebno, takvim bi se kodeksima ponašanja mogle definirati obveze voditelja obrade i izvršitelja obrade, uzimajući u obzir rizik za prava i slobode pojedinaca koji može proizaći iz obrade.

(99)

Prilikom izrade kodeksa ponašanja ili kada se mijenja ili proširuje takav kodeks, udruženja i druga tijela koja predstavljaju kategorije voditelja obrade ili izvršitelja obrade trebali bi se savjetovati s odgovarajućim dionicima, uključujući ispitanike ako je to izvedivo i uzimati u obzir primljene podneske i izražena mišljenja kao odgovore na takva savjetovanja.

(100)

Kako bi se povećala transparentnost i usklađenost s ovom Uredbom, trebalo bi se poticati uvođenje mehanizama certificiranja te pečata i oznaka za zaštitu podataka, što bi ispitanicima omogućilo brzu procjenu razine zaštite podataka za relevantne proizvode i usluge.

(101)

Tokovi osobnih podataka u zemlje izvan Unije i međunarodne organizacije i iz njih neophodni su za širenje međunarodne trgovine i međunarodne suradnje. Povećanje takvih tokova dovelo je do novih izazova i zabrinutosti u vezi sa zaštitom osobnih podataka. Međutim kada se osobni podaci prenose iz Unije voditeljima obrade, izvršiteljima obrade ili drugim primateljima u trećim zemljama ili međunarodnim organizacijama, ne bi smjela biti narušena razina zaštite pojedinaca osigurana ovom Uredbom u Uniji, među ostalim u slučajevima daljnjih prijenosa osobnih podataka iz treće zemlje ili međunarodne organizacije voditeljima obrade, izvršiteljima obrade u istoj ili nekoj drugoj trećoj zemlji ili međunarodnoj organizaciji. U svakom slučaju, prijenosi u treće zemlje i međunarodne organizacije mogu se obavljati isključivo uz puno poštovanje ove Uredbe. Prijenos bi se smio obavljati isključivo ako, u skladu s drugim odredbama ove Uredbe, voditelj obrade ili izvršitelj obrade ispunjavaju uvjete utvrđene u odredbama ove Uredbe vezanim za prijenos osobnih podataka trećim zemljama ili međunarodnim organizacijama.

(102)

Ovom Uredbom ne dovode se u pitanje međunarodni sporazumi sklopljeni između Unije i trećih zemalja kojima se uređuje prijenos osobnih podataka, uključujući odgovarajuće zaštitne mjere za ispitanike. Države članice mogu sklapati međunarodne sporazume koji uključuju prijenos osobnih podataka u treće zemlje ili međunarodne organizacije u onoj mjeri u kojoj takvi sporazumi ne utječu na ovu Uredbu ili bilo koje druge odredbe prava Unije i koji uključuju odgovarajuću razinu zaštite temeljnih prava ispitanikâ.

(103)

Komisija može odlučiti s učinkom na cijelu Uniju da treća zemlja, područje ili posebni sektor u trećoj zemlji, ili međunarodna organizacija pruža odgovarajuću razinu zaštite podataka te na taj način pruža pravnu sigurnost i ujednačenost u cijeloj Uniji kad je riječ o trećoj zemlji ili međunarodnoj organizaciji za koju se smatra da pruža takvu razinu zaštite. U takvim slučajevima prijenosi osobnih podataka u te treću zemlju ili međunarodnu organizaciju mogu se obavljati bez potrebe za dobivanjem daljnjeg ovlaštenja. Komisija također može odlučiti da povuče takvu odluku, nakon što trećoj zemlji ili međunarodnoj organizaciji uputi obavijest i izjavu u kojoj se navode razlozi.

(104)

Sukladno s temeljnim vrijednostima na kojima se temelji Unija, osobito zaštitom ljudskih prava, pri svojoj procjeni treće zemlje ili područja ili posebnog sektora u trećoj zemlji Komisija bi trebala uzeti u obzir kako određena treća zemlja poštuje vladavinu prava, pristup pravosuđu kao i međunarodne norme i standarde ljudskih prava i njihove opće i sektorske zakone, uključujući zakonodavstvo o javnoj sigurnosti, obrani i nacionalnoj sigurnosti kao i javni poredak i kazneno pravo. Pri donošenju odluke o primjerenosti u vezi s područjem ili posebnim sektorom u trećoj zemlji trebalo bi uzeti u obzir jasne i objektivne kriterije, kao što su specifične aktivnosti obrade i područje primjene mjerodavnih zakonskih normi i zakonodavstva koji su na snaziu trećoj zemlji. Treća zemlja trebala bi ponuditi jamstva kojima se osigurava primjerena razina zaštite, u načelu istovjetna onoj koja je osigurana u Uniji, posebno kada se osobni podaci obrađuju u jednom ili više određenih sektora. Konkretno, treća zemlja trebala bi osigurati učinkovit neovisan nadzor zaštite podataka te mehanizme suradnje s tijelima država članica za zaštitu podataka dok bi ispitanici trebali imati učinkovita i ostvariva prava te učinkovitu upravnu i sudsku zaštitu.

(105)

Osim međunarodnih obveza koje su treća zemlja ili međunarodna organizacija preuzele, Komisija bi trebala uzeti u obzir obveze koje proizlaze iz sudjelovanja treće zemlje ili međunarodne organizacije u multilateralnim ili regionalnim sustavima, posebno u odnosu na zaštitu osobnih podataka, kao i provedbu tih obveza. Posebno bi trebalo uzeti u obzir pristupanje treće zemlje Konvenciji Vijeća Europe od 28. siječnja 1981. o zaštiti pojedinaca vezanoj uz automatsku obradu osobnih podataka te njezin Dodatni protokol. Komisija bi se trebala savjetovati s Odborom kada ocjenjuje razinu zaštite u trećim zemljama ili međunarodnim organizacijama.

(106)

Komisija bi trebala pratiti djelovanje odluka o razini zaštite u trećoj zemlji, području ili posebnom sektoru u trećoj zemlji, ili u međunarodnoj organizaciji, te pratiti djelovanje odluka koje su donesene na temelju članka 25. stavka 6. i članka 26. stavka 4. Direktive 95/46/EZ. U svojim odlukama o primjerenosti Komisija bi trebala predvidjeti mehanizam periodičnog preispitivanja njihova funkcioniranja. To bi se periodično preispitivanje trebalo provesti uz savjetovanje s dotičnom trećom zemljom ili međunarodnom organizacijom i uzeti u obzir sve relevantne događaje u trećoj zemlji ili međunarodnoj organizaciji. Za potrebe praćenja i provođenja periodičnih preispitivanja Komisija bi trebala uzeti u obzir stajališta i zaključke Europskog parlamenta i Vijeća, kao i ostalih relevantnih tijela i izvora. Komisija bi trebala ocijeniti, u razumnom roku, funkcioniranje potonjih odluka i o svim relevantnim nalazima izvijestiti Odbor u smislu Uredbe (EU) br. 182/2011 Europskog parlamenta i Vijeća (12) kako je ustanovljen na temelju ove Uredbe, te Europski parlament i Vijeće.

(107)

Komisija može utvrditi da treća zemlja, područje ili posebni sektor u trećoj zemlji, ili međunarodna organizacija više ne osiguravaju primjereni stupanj zaštite podataka. Stoga bi se prijenos osobnih podataka u tu treću zemlju ili međunarodnu organizaciju trebao zabraniti, osim ako su ispunjeni uvjeti iz ove Uredbe koji se odnose na prijenose koji podliježu odgovarajućim zaštitnim mjerama, uključujući obvezujuća korporativna pravila, te odstupanja za posebne situacije. U tom slučaju trebalo bi predvidjeti savjetovanje između Komisije i takvih trećih zemalja ili međunarodnih organizacija. Komisija bi trebala pravodobno obavijestiti treću državu ili međunarodnu organizaciju o razlozima i započeti savjetovanja s njom kako bi se riješila situacija.

(108)

Ako nije donesena odluka o primjerenosti voditelj obrade ili izvršitelj obrade trebali bi poduzeti mjere kojima će se nadomjestiti nedostatak zaštite podataka u trećoj zemlji putem odgovarajućih zaštitnih mjera za ispitanika. Takve odgovarajuće zaštitne mjere mogu obuhvaćati uporabu obvezujućih korporativnih pravila, standardne klauzule o zaštiti podataka koje je usvojila Komisija, standardne klauzule o zaštiti podataka koje je usvojilo nadzorno tijelo ili ugovorne klauzule koje je odobrilo nadzorno tijelo. Tim zaštitnim mjerama trebalo bi osigurati sukladnost sa zahtjevima za zaštitu podataka i prava ispitanikâ primjereno obradi unutar Unije, uključujući dostupnost provedivih prava ispitanika i učinkovitih pravnih lijekova, među ostalim onih za dobivanje učinkovite upravne ili sudske zaštite i traženje naknade, u Uniji ili u trećoj zemlji. One bi se trebale osobito odnositi na usklađivanje s općim načelima koja se odnose na obradu osobnih podataka, načela tehničke i integrirane zaštite podataka. Tijela javne vlasti ili tijela s javnim ovlastima ili tijela u trećim zemljama ili pri međunarodnim organizacijama s odgovarajućim dužnostima ili ovlastima mogu također obavljati prijenose, među ostalim na temelju odredaba koje se uključuju u administrativne aranžmane poput memoranduma o razumijevanju, kojima se ispitaniku osiguravaju ostvariva i učinkovita prava. Kada se zaštitne mjere predviđaju u administrativnim aranžmanima koji nisu pravno obvezujući, trebalo bi ishoditi ovlaštenje nadležnog nadzornog tijela.

(109)

Mogućnost da se voditelj obrade ili izvršitelja obrade koristi standardnim klauzulama o zaštiti podataka koje je donijela Komisija ili nadzorno tijelo ne bi trebala sprečavati mogućnost voditelja obrade ili izvršitelja obrade ni da uključe standardne klauzule o zaštiti podataka u širi ugovor, kao što je ugovor između izvršitelja obrade i drugog izvršitelja obrade, ni da dodaju druge klauzule ili dodatne zaštitne mjere pod uvjetom da one izravno ili neizravno ne proturječe standardnim ugovornim klauzulama koje je donijela Komisija ili nadzorno tijelo ili ne dovode u pitanje temeljna prava ili slobode ispitanika. Voditelje obrade i izvršitelje obrade trebalo bi poticati da osiguraju dodatne zaštitne mjere putem dodatnih ugovornih obveza koje nadopunjuju standardne klauzule o zaštiti.

(110)

Grupa poduzetnika ili grupa poduzeća angažiranih u zajedničkoj gospodarskoj aktivnosti trebala bi moći koristiti odobrena obvezujuća korporativna pravila za svoje međunarodne prijenose iz Unije u organizacije unutar iste grupe poduzetnika ili grupe poduzeća angažiranih u zajedničkoj gospodarskoj aktivnosti, ako korporativna pravila obuhvaćaju sva osnovna načela i provediva prava za osiguranje odgovarajućih zaštitnih mjera za prijenose ili kategorije prijenosa osobnih podataka.

(111)

Trebalo bi predvidjeti odredbe za mogućnost prijenosa u određenim okolnostima kada je ispitanik dao izričitu privolu, ako je prijenos povremen i nužan s obzirom na ugovor ili pravni zahtjev, neovisno o tome je li u sudskom, upravnom ili bilo kojem izvansudskom postupku, uključujući i postupke pred regulatornim tijelima. Trebalo bi također omogućiti prijenose u slučaju važnih razloga od javnog interesa propisanih pravom Unije ili pravom države članice ili kada se prijenos obavlja iz registra uspostavljenog zakonom i namijenjenog uvidu javnosti ili osoba koje imaju legitiman interes. U potonjem slučaju takav prijenos ne bi trebao uključivati cjelokupne osobne podatke ili cijele kategorije podataka koje sadrži evidencija i, ako je evidencija namijenjena uvidu osoba koje imaju legitimni interes, prijenos bi se trebao obaviti samo na zahtjev tih osoba ili ako su te osobe primatelji, u potpunosti uzimajući u obzir interese i temeljna prava ispitanika.

(112)

Ta bi se odstupanja posebno trebala primjenjivati na prijenose podataka koji se traže i nužni su iz važnih razloga od javnog interesa, na primjer u slučajevima međunarodne razmjene podataka između tijela nadležnih za tržišno natjecanje, poreznih i carinskih uprava, među financijskim nadzornim tijelima, među službama nadležnim za pitanja socijalne sigurnosti ili za javno zdravlje, na primjer u slučaju praćenja kontakata kod zaraznih bolesti ili kako bi se smanjio i/ili uklonio doping u sportu. Prijenos osobnih podataka trebalo bi također smatrati zakonitim ako je nužan za zaštitu interesa koji je temeljan za vitalne interese ispitanika ili druge osobe, uključujući tjelesni integritet ili život, ako ispitanik nije u stanju dati privolu. Ako ne postoji odluka o primjerenosti, pravom Unije ili pravom države članice mogu se, iz važnih razloga od javnog interesa, izričito odrediti ograničenja prijenosa određenih kategorija podataka trećoj zemlji ili međunarodnoj organizaciji. Države članice trebale bi izvijestiti Komisiju o takvim odredbama. Svaki prijenos osobnih podataka ispitanika koji tjelesno ili pravno nije u stanju dati privolu u međunarodnu humanitarnu organizaciju, s ciljem izvršenja zadaće obuhvaćene ženevskim konvencijama ili poštovanja međunarodnog humanitarnog prava mjerodavnog u oružanim sukobima, mogao bi se smatrati nužnim zbog važnosti javnog interesa ili zbog toga što je od vitalnog interesa za ispitanika.

(113)

Prijenosi koji se ne mogu smatrati ponavljajućim i koji se odnose samo na ograničen broj ispitanika mogli bi također biti mogući u svrhe uvjerljivih, legitimnih interesa voditelja obrade, kada ti interesi nisu podređeni interesima ili pravima i slobodama ispitanika i kada je voditelj obrade procijenio sve okolnosti prijenosa podataka. Voditelj obrade posebnu bi pozornost trebao obratiti na prirodu osobnih podataka, namjenu i trajanje predložene obrade ili predloženih obrada, kao i na situaciju u zemlji porijekla, trećoj zemlji i zemlji konačnog odredišta te bi trebao predvidjeti odgovarajuće zaštitne mjere temeljnih prava i sloboda pojedinaca u vezi s obradom njihovih osobnih podataka. Takvi prijenosi trebali bi biti mogući samo u preostalim slučajevima kada nikakvi drugi razlozi za prijenos nisu primjenjivi. Za potrebe obrade u svrhe znanstvenog ili povijesnog istraživanja ili u statističke svrhe trebalo bi uzeti u obzir legitimna očekivanja društva za povećanjem znanja. Voditelj obrade o prijenosu bi trebao obavijestiti nadzorno tijelo i ispitanika.

(114)

U svakom slučaju, ako Komisija nije donijela odluku o odgovarajućoj razini zaštite podataka u trećoj zemlji, voditelj obrade ili izvršitelj obrade trebali bi iskoristiti rješenja koja ispitanicima osiguravaju ostvariva i učinkovita prava u pogledu obrade njihovih podataka u Uniji nakon što su ti podaci preneseni tako da će i dalje uživati zaštitu koju nude temeljna prava i zaštitne mjere.

(115)

Neke treće zemlje donose zakone, propise i druge pravne akte radi izravne regulacije aktivnosti obrade fizičkih i pravnih osoba pod jurisdikcijom država članica. To može uključivati presude sudova ili odluke upravnih tijela u trećim zemljama kojima se od voditelja obrade ili izvršitelja obrade traži prijenos ili otkrivanje osobnih podataka i koje se ne temelje na međunarodnom sporazumu, poput ugovora o uzajamnoj pravnoj pomoći, koji vrijede između treće zemlje koja je podnijela zahtjev i Unije ili države članice. Izvanteritorijalna primjena tih zakona, propisa i drugih pravnih akata može predstavljati kršenje međunarodnog prava i može ometati postizanje zaštite pojedinaca koja se ovom Uredbom osigurava u Uniji. Prijenosi bi se smjeli dopustiti samo ako su ispunjeni uvjeti ove Uredbe za prijenos u treće zemlje. Ovo može, među ostalim, biti slučaj kada je otkrivanje nužno iz važnih razloga javnog interesa priznatog pravom Unije ili pravom države članice koje se primjenjuje na voditelja obrade.

(116)

Kada se osobni podaci kreću preko granica izvan Unije, može se povećati rizik koji prijeti sposobnosti pojedinaca da ostvare svoja prava zaštite podataka, osobito da se zaštite od nezakonite uporabe ili otkrivanja tih informacija. Nadzorna tijela mogu istodobno otkriti da nisu u stanju rješavati pritužbe ili voditi istrage u vezi s aktivnostima izvan svojih granica. Njihove napore da rade zajedno u prekograničnom kontekstu također mogu omesti nedovoljne ovlasti za sprečavanje ili ispravljanje, nedosljedni pravni režimi i praktične prepreke kao što su ograničeni resursi. Stoga postoji potreba da se promiče bliska suradnja između nadzornih tijela za zaštitu podataka kako bi im se pomoglo u razmjeni informacija i provođenju istraga s njihovom međunarodnim partnerima. Za potrebe razvoja mehanizama međunarodne suradnje za olakšavanje i pružanje međunarodne međusobne pomoći u provedbi zakonodavstva zaštite osobnih podataka Komisija i nadzorna tijela trebali bi razmjenjivati informacije i surađivati u aktivnostima povezanima s izvršavanjem svojih ovlasti s nadležnim tijelima trećih zemalja na temelju reciprociteta i u skladu s odredbama ovom Uredbom.

(117)

Ključnu sastavnicu zaštite pojedinaca s obzirom na obradu njihovih osobnih podataka predstavlja osnivanje nadzornih tijela u državama članicama, ovlaštenih obavljati svoje zadaće i izvršavati svoje ovlasti potpuno neovisno. Države članice trebale bi imati mogućnost osnovati više od jednog nadzornog tijela radi usklađivanja sa svojom ustavnom, organizacijskom i upravnom strukturom.

(118)

Neovisnost nadzornih tijela ne bi trebala značiti da se nadzorna tijela ne smiju podvrgnuti mehanizmu nadzora ili praćenja u vezi s financijskim izdacima ili sudskom preispitivanju.

(119)

Ako država članica osnuje nekoliko nadzornih tijela, zakonom bi trebala uspostaviti mehanizme za osiguravanje djelotvornog sudjelovanja tih nadzornih tijela u mehanizmu konzistentnosti. Ta bi država članica osobito trebala imenovati nadzorno tijelo koje djeluje kao jedinstvena kontaktna točka za djelotvorno sudjelovanje tih tijela u mehanizmu kako bi se osigurala brza i neometana suradnja s drugim nadzornim tijelima, Odborom i Komisijom.

(120)

Svako nadzorno tijelo trebalo bi imati na raspolaganju financijske i ljudske resurse, prostorije i infrastrukturu, potrebne za djelotvorno izvršavanje njihovih zadaća, uključujući one povezane s uzajamnom pomoći i suradnjom s drugim nadzornim tijelima u Uniji. Svako nadzorno tijelo trebalo bi imati odvojeni, javni godišnji proračun koji može biti dio ukupnog državnog ili nacionalnog proračuna.

(121)

Opći uvjeti za člana ili članove nadzornog tijela trebali bi biti zakonski propisani u svakoj državi članici i posebno bi trebali osiguravati da te članove imenuju u transparentnom postupku parlament, vlada ili šef države dotične države članice na temelju prijedloga vlade, člana vlade, parlamenta ili doma parlamenta, ili neovisno tijelo kojem je to povjereno pravom države članice. Radi osiguravanja neovisnosti nadzornog tijela član ili članovi trebali bi se ponašati pošteno, suzdržavati od svake radnje koja nije u skladu s njihovim dužnostima i ne bi se smjeli tijekom obavljanja mandata baviti bilo kakvom djelatnošću koja nije u skladu s tom funkcijom, bez obzira na to je li ona plaćena ili ne. Nadzorno bi tijelo trebalo imati vlastito osoblje, koje je izabralo nadzorno tijelo ili neovisno tijelo utvrđeno pravom države članice, koje bi trebalo biti pod isključivim vodstvom člana ili članova nadzornog tijela.

(122)

Svako nadzorno tijelo trebalo bi biti nadležno na području svoje države članice za izvršavanje ovlasti i obavljanje zadaća koje su mu povjerene u skladu s ovom Uredbom. To bi posebno trebalo obuhvatiti obradu u kontekstu aktivnosti poslovnog nastana voditelja obrade ili izvršitelja obrade na državnom području njegove države članice, obradu osobnih podataka koju obavljaju tijela javne vlasti ili privatna tijela koja djeluju u javnom interesu obrađujući dotične ispitanike na svom državnom području ili obradu koju obavlja voditelj obrade ili izvršitelj obrade koji nema poslovni nastan u Uniji kada ciljni ispitanici borave na njegovu državnom području. To bi trebalo uključivati rješavanje pritužbi koje je podnio ispitanik, provođenje istraga o primjeni ove Uredbe i promicanje javne svijesti o rizicima, pravilima, zaštitnim mjerama i pravima u vezi s obradom osobnih podataka.

(123)

Nadzorna tijela trebala bi pratiti primjenu odredaba iz ove Uredbe i doprinositi njezinoj dosljednoj primjeni u cijeloj Uniji kako bi zaštitila pojedince s obzirom na obradu njihovih osobnih podataka i olakšala slobodni protok osobnih podataka na unutarnjem tržištu. U tu svrhu nadzorna tijela trebala bi surađivati međusobno i s Komisijom, bez potrebe za bilo kakvim dogovorom između država članica o pružanju uzajamne pomoći ili o takvoj suradnji.

(124)

Ako se obrada osobnih podataka odvija u kontekstu aktivnosti poslovnog nastana voditelja obrade ili izvršitelja obrade u Uniji, a voditelj obrade ili izvršitelj obrade imaju poslovni nastan u više od jedne države članice ili ako obrada koja se odvija u kontekstu aktivnosti jedinog poslovnog nastana voditelja obrade ili izvršitelja obrade u Uniji bitno utječe ili je izgledno da će bitno utjecati na ispitanike u više od jedne države članice, nadzorno tijelo za glavni poslovni nastan voditelja obrade ili izvršitelja obrade ili za jedini poslovni nastan voditelja obrade ili izvršitelja obrade trebalo bi djelovati kao vodeće tijelo. Ono bi trebalo surađivati s drugim predmetnim tijelima zato što voditelj obrade ili izvršitelj obrade ima poslovni nastan na državnom području njihove države članice, zato što to bitno utječe na ispitanike koji imaju boravište na njihovom državnom području ili zato što im je podnesena pritužba. Također, ako je pritužbu podnio ispitanik koji nema boravište u toj državi članici, nadzorno tijelo kojem je takva pritužba podnesena također bi trebalo biti predmetno nadzorno tijelo. U okviru zadaća za izdavanje smjernica o bilo kojem pitanju koje obuhvaća primjenu ove Uredbe, Odbor bi trebao imati mogućnost izdati smjernice posebno o kriterijima koje treba uzeti u obzir kako bi se utvrdilo utječe li predmetna obrada bitno na ispitanike u više od jedne države članice i o tome što predstavlja relevantan i obrazložen prigovor.

(125)

Vodeće tijelo trebalo bi biti nadležno za donošenje obvezujućih odluka o mjerama kojima se primjenjuju ovlasti koje su mu dodijeljene u skladu s ovom Uredbom. U svojem svojstvu vodećeg tijela nadzorno bi tijelo trebalo u velikoj mjeri uključivati i usklađivati predmetna nadzorna tijela u postupku donošenja odluka. Ako se donese odluka o odbacivanju pritužbe ispitanika u cijelosti ili djelomično, tu bi odluku trebalo donijeti nadzorno tijelo kojem je pritužba podnesena.

(126)

O odluci bi se trebali zajednički dogovoriti vodeće nadzorno tijelo i predmetno nadzorno tijelo te bi ona trebala biti usmjerena na glavni ili jedini poslovni nastan voditelja obrade ili izvršitelja obrade i biti obvezujuća za voditelja obrade i izvršitelja obrade. Voditelj obrade ili izvršitelj obrade trebali bi poduzeti potrebne mjere kako bi osigurali sukladnost s ovom Uredbom i provedbu odluke o kojoj je vodeće tijelo dalo obavijest glavnom nastanu voditelja obrade ili izvršitelja obrade u pogledu aktivnosti obrade u Uniji.

(127)

Svako nadzorno tijelo koje ne djeluje kao vodeće nadzorno tijelo trebalo bi biti nadležno za rješavanje lokalnih slučajeva ako voditelj obrade ili izvršitelj obrade ima poslovni nastan u više od jedne države članice, ali se predmet posebne obrade odnosi samo na obradu obavljenu u jednoj državi članici koja uključuje samo ispitanike u toj jednoj državi članici, na primjer, ako se predmet odnosi na obradu osobnih podataka o zaposlenicima u posebnom kontekstu zaposlenja u određenoj državi članici. U takvim slučajevima nadzorno tijelo trebalo bi o tom pitanju bez odgode obavijestiti vodeće nadzorno tijelo. Nakon što primi obavijest, vodeće nadzorno tijelo trebalo bi odlučiti o tome hoće li predmet rješavati na temelju odredbe o suradnji između vodećeg nadzornog tijela i drugih predmetnih nadzornih tijela („jedinstveni mehanizam”), ili bi ga na lokalnoj razini trebalo rješavati nadzorno tijelo koje mu je uputilo obavijest. Pri donošenju odluke o tome hoće li rješavati predmet, vodeće nadzorno tijelo trebalo bi voditi računa o tome ima li voditelj obrade ili izvršitelj obrade poslovni nastan u državi članici nadzornog tijela koje je uputilo obavijest, kako bi se osiguralo djelotvorno izvršenje odluke u odnosu na voditelja obrade ili izvršitelja obrade. Kada vodeće nadzorno tijelo odluči rješavati predmet, nadzorno tijelo koje mu je uputilo obavijest trebalo bi biti u mogućnosti podnijeti nacrt odluke, koji bi vodeće nadzorno tijelo trebalo što je više moguće uzeti u obzir prilikom pripreme svojeg nacrta odluke u okviru jedinstvenog mehanizma.

(128)

Pravila o vodećem nadzornom tijelu i jedinstvenom mehanizmu ne bi se smjela primjenjivati ako obradu obavljaju tijela javne vlasti ili privatna tijela koja djeluju u javnom interesu. U takvim slučajevima jedino nadzorno tijelo nadležno za izvršavanje ovlasti koje su mu dodijeljene u skladu s ovom Uredbom trebalo bi biti nadzorno tijelo države članice u kojoj tijelo javne vlasti ili privatno tijelo ima poslovni nastan.

(129)

Kako bi se osiguralo dosljedno praćenje i provedba ove Uredbe u cijeloj Uniji, nadzorna tijela trebala bi u svakoj državi članici imati iste zadaće i stvarne ovlasti, među ostalim ovlasti za vođenje istrage, korektivne ovlasti i sankcije te ovlasti za davanje odobrenja i savjetodavne ovlasti, posebno u slučajevima pritužbi pojedinaca, te ne dovodeći u pitanje ovlasti tijelâ kaznenog progona u skladu s pravom države članice, za upozoravanje pravosudnih tijela na kršenja ove Uredbe i sudjelovanje u pravnim postupcima. Takve bi ovlasti također trebale obuhvaćati ovlast za izricanje privremenog ili konačnog ograničenja obrade, uključujući zabranu. Države članice mogu navesti druge zadaće u vezi sa zaštitom osobnih podataka u skladu s ovom Uredbom. Ovlasti nadzornih tijela trebale bi se izvršavati u skladu s primjerenim postupovnim zaštitnim mjerama utvrđenima u pravu Unije i pravu države članice nepristrano, pošteno i u razumnom roku. Konkretno, svaka bi mjera trebala biti primjerena, nužna i proporcionalna s ciljem osiguranja sukladnosti s ovom Uredbom, uzimajući u obzir okolnosti svakog pojedinačnog slučaja, poštovanje prava svake osobe da se sasluša prije poduzimanja bilo koje pojedinačne mjere koja bi štetno utjecala na nju te izbjegavanje suvišnih troškova i prekomjernih neugodnosti za dotične osobe. Ovlasti za vođenje istrage u pogledu pristupa objektima trebale bi se izvršavati u skladu s posebnim zahtjevima postupovnog prava države članice, poput zahtjeva za dobivanje prethodnog sudskog ovlaštenja. Svaka pravno obvezujuća mjera nadzornog tijela trebala bi biti u pisanom obliku, biti jasna i jednoznačna, navoditi nadzorno tijelo koje je izdalo mjeru, datum izdavanja mjere, sadržavati potpis predsjednika ili člana nadzornog tijela kojeg je on ovlastio, navoditi razloge za tu mjeru i upućivati na pravo na učinkoviti pravni lijek. Time se ne bi trebali isključiti dodatni zahtjevi na temelju postupovnog prava države članice. Donošenje pravno obvezujuće odluke podrazumijeva da to može dovesti do sudskog preispitivanja u državi članici nadzornog tijela koje je donijelo određenu odluku.

(130)

Ako nadzorno tijelo kojem je podnesena pritužba nije vodeće nadzorno tijelo, vodeće nadzorno tijelo trebalo bi usko surađivati s nadzornim tijelom kojem je podnesena pritužba u skladu s odredbama o suradnji i konzistentnosti iz ove Uredbe. U takvim slučajevima vodeće nadzorno tijelo trebalo bi, kada poduzima mjere kojima se proizvode pravni učinci, među ostalim nametanje upravnih novčanih kazni, osobito voditi računa o mišljenju nadzornog tijela kojem je podnesena pritužba i koje bi trebalo ostati nadležno za provedbu istrage na državnom području svoje države članice u vezi s vodećim nadzornim tijelom.

(131)

Kada bi drugo nadzorno tijelo trebalo djelovati kao vodeće nadzorno tijelo za aktivnosti obrade voditelja obrade ili izvršitelja obrade, ali se konkretni predmet pritužbe ili moguća povreda odnosi samo na aktivnosti obrade voditelja obrade ili izvršitelja obrade u državi članici u kojoj je podnesena pritužba ili otkrivena moguća povreda i predmet znatno ne utječe ili vjerojatno neće znatno utjecati na ispitanike u drugim državama članicama, nadzorno tijelo koje zaprimi pritužbu ili otkrije situacije u kojima dolazi do mogućih kršenja ove Uredbe ili je o njima na drugi način obaviješteno trebalo bi težiti sporazumnom rješenju s voditeljem obrade i, ako se to pokaže neuspješnim, primijeniti sve svoje ovlasti. To bi trebalo uključivati posebnu obradu koja se obavlja na državnom području države članice nadzornog tijela ili u pogledu ispitanika na državnom području te države članice, obradu koja se obavlja u kontekstu ponude robe ili usluga koja je posebno namijenjena ispitanicima na državnom području države članice nadzornog tijela, ili obradu koja se treba procijeniti uzimajući u obzir relevantne pravne obveze u skladu s pravom države članice.

(132)

Aktivnosti nadzornih tijela za podizanje svijesti javnosti trebale bi uključivati posebne mjere za voditelje obrade i izvršitelje obrade, uključujući mikropoduzeća, mala i srednja poduzeća kao i pojedince, posebno u kontekstu obrazovanja.

(133)

Nadzorna tijela trebala bi pomagati jedna drugima u obavljanju svojih zadaća i pružati si uzajamnu pomoć radi osiguravanja dosljedne primjene i provedbe Uredbe na unutarnjem tržištu. Nadzorno tijelo koje zatraži uzajamnu pomoć može donijeti privremenu mjeru ako ne primi odgovor na zahtjev za uzajamnu pomoć u roku od mjesec dana od primitka zahtjeva od strane drugog nadzornog tijela.

(134)

Svako nadzorno tijelo trebalo bi prema potrebi sudjelovati u zajedničkim operacijama s drugim nadzornim tijelima. Nadzorno tijelo koje primi zahtjev trebalo bi biti obvezno odgovoriti na zahtjev u zadanom roku.

(135)

Radi osiguravanja dosljedne primjene ove Uredbe u cijeloj Uniji trebalo bi uspostaviti mehanizam konzistentnosti za suradnju među nadzornim tijelima. Taj bi se mehanizam posebno trebao primjenjivati ako nadzorno tijelo namjerava donijeti mjeru kojom se poduzimaju pravni učinci u pogledu postupaka obrade koji bitno utječu na veliki broj ispitanika u više država članica. Također bi se trebao primjenjivati kada bilo koje predmetno nadzorno tijelo ili Komisija traži da se takva pitanja rješavaju mehanizmom konzistentnosti. Taj mehanizam ne bi trebao utjecati na bilo koje mjere koje Komisija može poduzeti za izvršavanje svojih ovlasti prema Ugovorima.

(136)

Primjenjujući mehanizam konzistentnosti, Odbor bi trebao u određenom vremenskom roku dati mišljenje, ako većina njegovih članova tako odluči ili ako to zatraži bilo koje predmetno nadzorno tijelo ili Komisija. Odbor bi također trebao biti ovlašten za donošenje pravno obvezujućih odluka u slučaju sporova između nadzornih tijela. U tu svrhu trebao bi izdati, u načelu dvotrećinskom većinom svojih članova, pravno obvezujuće odluke u jasno određenim slučajevima u kojima postoje sukobljena stajališta među nadzornim tijelima posebno u mehanizmu za suradnju između vodećeg nadzornog tijela i predmetnog nadzornog tijela o meritumu predmeta, osobito o tome je li došlo do kršenja ove Uredbe.

(137)

Može doći do hitne potrebe za djelovanjem kako bi se zaštitila prava i slobode ispitanika, osobito ako postoji opasnost da bi se provedba prava ispitanika mogla u većoj mjeri narušiti. Nadzorno tijelo trebalo bi imati mogućnost donijeti opravdane privremene mjere na svojem državnom području s utvrđenim razdobljem valjanosti koje ne bi trebalo biti duže od tri mjeseca.

(138)

Primjena takvog mehanizma trebala bi biti uvjet za zakonitost mjere nadzornog tijela kojom se proizvode pravni učinci u slučajevima kada je njezina primjena obvezna. U ostalim slučajevima od prekogranične važnosti trebalo bi primijeniti mehanizam za suradnju između vodećeg nadzornog tijela i predmetnih nadzornih tijela te bi se među predmetnim nadzornim tijelima mogla davati uzajamna pomoć i obavljati zajedničke operacije na bilateralnoj ili multilateralnoj osnovi, bez aktiviranja mehanizma konzistentnosti.

(139)

Kako bi se promicala dosljedna primjena ove Uredbe, Odbor bi trebalo osnovati kao neovisno tijelo Unije. Kako bi ispunio svoje ciljeve, Europski odbor za zaštitu podataka trebao bi imati pravnu osobnost. Odbor bi trebao predstavljati njegov predsjednik. On bi trebao zamijeniti Radnu skupinu za zaštitu pojedinaca u vezi s obradom osobnih podataka osnovanu Direktivom 95/46/EZ. Trebao bi se sastojati od predsjednika nadzornog tijela svake države članice i Europskog nadzornika za zaštitu podataka ili njihovih zamjenika. Komisija bi trebala sudjelovati u aktivnostima Odbora bez prava glasa, a Europski nadzornik za zaštitu podataka trebao bi imati posebno pravo glasa. Odbor bi trebao doprinijeti dosljednoj primjeni ove Uredbe u cijeloj Uniji, među ostalim savjetovanjem Komisije, osobito o razini zaštite u trećim zemljama ili međunarodnim organizacijama, te promicanjem suradnje nadzornih tijela u cijeloj Uniji. Pri izvršavanju svojih zadaća Odbor bi trebao djelovati neovisno.

(140)

Odboru bi trebalo pomagati tajništvo koje osigurava Europski nadzornik za zaštitu podataka. Osoblje Europskog nadzornika za zaštitu podataka koje sudjeluje u izvršavanju zadaća povjerenih Odboru temeljem ove Uredbe trebalo bi biti odgovorno predsjedniku Odbora te svoje zadaće obavljati isključivo prema njegovim uputama.

(141)

Svaki bi ispitanik trebao imati pravo podnijeti pritužbu jednom nadzornom tijelu, posebno u državi članici u kojoj ima uobičajeno boravište i imati pravo na učinkoviti pravni lijek u skladu s člankom 47. Povelje ako ispitanik smatra da su prekršena njegova prava iz ove Uredbe ili ako nadzorno tijelo ne postupi po pritužbi, djelomično ili u potpunosti odbaci ili odbije pritužbu ili ne djeluje kada je takvo djelovanje nužno radi zaštite prava ispitanika. Nakon pritužbe trebalo bi provesti istragu, podložno sudskom preispitivanju, u onoj mjeri u kojoj je to određenom slučaju prikladno. Nadzorno bi tijelo trebalo u razumnom roku izvijestiti ispitanika o napretku i ishodu pritužbe. Ako slučaj zahtijeva dodatnu istragu ili koordinaciju s drugim nadzornim tijelom, ispitaniku bi trebalo dati privremene informacije. Kako bi se olakšalo podnošenje pritužbi, svako nadzorno tijelo trebalo bi poduzeti mjere poput osiguranja obrasca za podnošenje pritužbe koji se može ispuniti i elektroničkim putem, ne isključujući ostala sredstva komunikacije.

(142)

Ako ispitanik smatra da su prekršena njegova prava iz ove Uredbe, trebao bi imati pravo ovlastiti neprofitno tijelo, organizaciju ili udruženje osnovano u skladu s pravom države članice, u čijem se statutu navode ciljevi od javnog interesa i koje je aktivno u području zaštite osobnih podataka, da nadzornom tijelu podnese pritužbu u njegovo ime, da ostvari pravo na pravni lijek u ime ispitanikâ ili da ostvari pravo na naknadu u ime ispitanikâ ako je to predviđeno pravom države članice. Država članica može predvidjeti da takvo tijelo, organizacija ili udruženje ima pravo, neovisno o mandatu ispitanika, podnijeti u toj državi članici pritužbu i imati pravo na učinkoviti pravni lijek ako ima razloga smatrati da je do kršenja prava ispitanika došlo zbog obrade osobnih podataka kojom se krši ova Uredba. Tom tijelu, organizaciji ili udruženju ne smije biti dopušteno tražiti naknadu u ime ispitanika neovisno o mandatu ispitanika.

(143)

Svaka fizička ili pravna osoba ima pravo pokrenuti postupak za poništenje odluka Odbora pred Sudom u skladu s uvjetima iz članka 263. UFEU-a. Kao primatelji takvih odluka, predmetna nadzorna tijela koja ih žele osporiti moraju pokrenuti postupak u roku od dva mjeseca od zaprimanja obavijesti o njima, u skladu s člankom 263. UFEU-a. Kada se odluke Odbora izravno odnose na pojedinog voditelja obrade, izvršitelja obrade ili podnositelja pritužbe, ta osoba može pokrenuti postupak za poništenje tih odluka u roku od dva mjeseca od njihove objave na internetskim stranicama Odbora, u skladu s člankom 263. UFEU-a. Ne dovodeći u pitanje to pravo u skladu s člankom 263. UFEU-a, svaka fizička ili pravna osoba trebala bi imati učinkovit pravni lijek pred nadležnim nacionalnim sudom protiv odluke nadzornog tijela koja proizvodi pravne učinke prema toj osobi. Takva odluka posebno se odnosi na provedbu istražnih, korektivnih i autorizacijskih ovlasti nadzornog tijela ili odbacivanje ili odbijanje pritužbi. Pravo na učinkovit pravni lijek međutim ne obuhvaća mjere nadzornih tijela koje nisu pravno obvezujuće poput mišljenja ili savjeta koja je dalo nadzorno tijelo. Postupci protiv nadzornog tijela trebali bi se pokrenuti pred sudovima države članice u kojoj nadzorno tijelo ima poslovni nastan te bi se trebali voditi u skladu s postupovnim pravom te države članice. Ti bi sudovi trebali imati punu nadležnost koja bi trebala obuhvaćati nadležnost za ispitivanje svih činjeničnih i pravnih pitanja bitnih za konkretni spor.

Ako je nadzorno tijelo pritužbu odbilo ili odbacilo, podnositelj pritužbe može postupak pokrenuti pred sudovima iste države članice. U kontekstu pravnih lijekova povezanih s primjenom ove Uredbe, nacionalni sudovi koji smatraju odluku o određenom pitanju nužnom za donošenje presude, mogu, ili ako je riječ o slučaju iz članka 267. UFEU-a, moraju, zatražiti od Suda da donese odluku o prethodnim pitanjima u vezi s tumačenjem prava Unije, među ostalim i ove Uredbe. Nadalje, ako se odluka nadležnog tijela o primjeni odluke Odbora osporava pred nacionalnim sudom te je u pitanju valjanost odluke Odbora, taj nacionalni sud nije ovlašten proglasiti odluku Odbora nevaljanom, već, kad god odluku smatra nevaljanom, pitanje o valjanosti mora uputiti Sudu u skladu s člankom 267. UFEU-a kako ga tumači Sud. Međutim, nacionalni sud ne može uputiti pitanje o valjanosti odluke Odbora na zahtjev fizičke ili pravne osobe koja je imala priliku pokrenuti postupak za poništenje te odluke, ali to nije učinila u razdoblju utvrđenom u članku 263. UFEU-a, osobito ako se odluka izravno i pojedinačno odnosila na nju.

(144)

Ako sud na kojem se vodi postupak protiv odluke nadzornog tijela ima razloga vjerovati da se postupci u vezi s istom obradom, poput istog predmeta u smislu aktivnosti obrade istog voditelja obrade ili izvršitelja obrade ili istog razloga za pokretanje postupka, vode na nadležnom sudu u drugoj državi članici, trebao bi kontaktirati s tim sudom kako bi potvrdio postojanje takvih povezanih postupaka. Ako se povezani postupci vode na sudu druge države članice, svaki sud osim suda na kojem je prvo pokrenut postupak može zastati sa svojim postupcima ili se može, na zahtjev jedne od strana, proglasiti nenadležnim i prepustiti nadležnost sudu na kojem je prvo pokrenut postupak ako je taj sud nadležan za predmetne postupke, a pravo koje se na njemu primjenjuje omogućuje povezivanje takvih povezanih postupaka. Smatra se da su postupci povezani kada su međusobno tako tijesno u vezi da je opravdano njihovo zajedničko saslušanje i zajedničko odlučivanje o njima kako bi se izbjegla opasnost od proturječnih presuda u odvojenim postupcima.

(145)

Za postupke koji se vode protiv voditelja obrade ili izvršitelja obrade tužitelj bi trebao imati mogućnost pokretanja spora pred sudovima država članica gdje voditelj obrade ili izvršitelj obrade imaju poslovni nastan ili gdje ispitanik ima boravište, osim u slučaju kada je voditelj obrade tijelo javne vlasti koje djeluje u svojstvu izvršitelja svojih javnih ovlasti.

(146)

Voditelj obrade ili izvršitelj obrade trebao bi nadoknaditi svaku štetu koju osoba može pretrpjeti zbog obrade kojom se krši ova Uredba. Voditelj obrade ili izvršitelj obrade trebao bi biti izuzet od odgovornosti ako dokaže da nije ni na koji način odgovoran za štetu. Pojam štete trebalo bi široko tumačiti s obzirom na sudsku praksu Suda tako da se u potpunosti odražavaju ciljevi ove Uredbe. Time se ne dovode u pitanje zahtjevi za naknadu štete koja proizlazi iz kršenja drugih pravila prava Unije ili prava države članice. Obrada kojom se krši ova Uredba također uključuje obradu kojom se krše delegirani i provedbeni akti doneseni u skladu s ovom Uredbom i pravom države članice kojim se razrađuju pravila ove Uredbe. Ispitanici bi trebali dobiti potpunu i učinkovitu naknadu za štetu koju su pretrpjeli. Ako su voditelji obrade ili izvršitelji obrade uključeni u istu obradu, svaki voditelj obrade ili izvršitelja obrade trebalo bi smatrati odgovornim za cjelokupnu štetu. Međutim ako su povezani u isti sudski postupak, u skladu s pravom države članice, naknada se može raspodijeliti u skladu s odgovornošću svakog voditelja obrade ili izvršitelja obrade za štetu uzrokovanu obradom, pod uvjetom da se osigura puna i učinkovita naknada ispitaniku koji je pretrpio štetu. Svaki voditelj obrade ili izvršitelj obrade koji je platio punu naknadu, može naknadno pokrenuti postupak za regres protiv drugih voditelja obrade ili izvršitelja obrade uključenih u istu obradu.

(147)

Ako su posebna pravila o nadležnosti sadržana u ovoj Uredbi, posebno u vezi s postupcima kojima se traži pravni lijek, među ostalim i naknada, od voditelja obrade ili izvršitelja obrade, opća pravila o nadležnosti poput pravila iz Uredbe (EU) br. 1215/2012 Europskog parlamenta i Vijeća (13) ne bi smjela dovoditi u pitanje primjenu takvih posebnih pravila.

(148)

Kako bi se poboljšalo izvršavanje pravila ove Uredbe, trebale bi se propisati sankcije, uključujući upravne novčane kazne, za svako kršenje ove Uredbe, uz odgovarajuće mjere koje propisuje nadzorno tijelo u skladu s ovom Uredbom ili umjesto njih. U slučaju lakšeg kršenja ili ako bi moguća novčana kazna nerazmjerno opteretila fizičku osobu, umjesto novčane kazne može se izdati upozorenje. Međutim, posebna bi se pozornost trebala posvetiti naravi, ozbiljnosti i trajanju kršenja, namjeri kršenja, mjerama poduzetim za ublažavanje pretrpljene štete, stupnju odgovornosti ili svim relevantnim prethodnim kršenjima, načinu na koji je nadzorno tijelo doznalo za kršenje, usklađenosti s mjerama naloženima protiv voditelja obrade ili izvršitelja obrade, pridržavanju kodeksa ponašanja te svakom drugom otegotnom ili olakotnom čimbeniku. Propisivanje sankcija, uključujući upravne novčane kazne, trebalo bi podlijegati odgovarajućim postupovnim zaštitnim mjerama u skladu s općim načelima prava Unije i Poveljom, uključujući i učinkovitu sudsku zaštitu i pravilno postupanje.

(149)

Države članice trebale bi imati mogućnost propisati pravila o kaznenim sankcijama za kršenja ove Uredbe, uključujući i kršenja nacionalnih pravila donesenih na temelju ove Uredbe i unutar njezinih granica. Te kaznene sankcije mogu obuhvaćati i oduzimanje dobiti stečene kršenjem ove Uredbe. Međutim, izricanje kazni za povrede takvih nacionalnih pravila i upravnih sankcija ne bi smjelo dovesti do kršenja načela ne bis in idem, kako ga tumači Sud.

(150)

Kako bi se ojačale i uskladile upravne sankcije za kršenje ove Uredbe, svako nadzorno tijelo trebalo bi imati ovlasti izricati upravne novčane kazne. U ovoj Uredbi trebalo bi navesti kršenja te gornju granicu i kriterije za određivanje povezanih upravnih novčanih kazni, što bi za svaki pojedinačni slučaj trebalo odrediti nadležno nadzorno tijelo, uzimajući u obzir sve bitne okolnosti posebne situacije, vodeći računa osobito o prirodi, težini i trajanju kršenja i njegovim posljedicama te mjerama poduzetim da bi se osiguralo poštovanje obveza iz ove Uredbe te spriječile ili ublažile posljedice kršenja. Kada se upravne kazne izriču poduzetniku, poduzetnik bi se u te svrhe trebao shvatiti poduzetnik u skladu s člancima 101. i 102. UFEU-a. Ako su upravne kazne izrečene osobama koje nisu poduzetnik, prilikom razmatranja odgovarajućeg iznosa novčane kazne nadzorno tijelo trebalo bi uzeti u obzir opću razinu dohotka u državi članici te ekonomsko stanje osobe. Također se može primijeniti mehanizam konzistentnosti radi promicanja konzistentne primjene upravnih novčanih kazni. Države članice trebale bi utvrditi i trebaju li i do koje mjere primjenjivati upravne novčane kazne za državna tijela. Izricanje upravne novčane kazne ili upozorenja ne utječe na primjenu ovlasti nadzornih tijela ili drugih sankcija na temelju ove Uredbe.

(151)

U pravnim sustavima Danske i Estonije nisu dopuštene upravne novčane kazne kako su navedene u ovoj Uredbi. Pravila za upravne novčane kazne mogu se primjenjivati na način da u Danskoj nadležni nacionalni sudovi izriču novčanu kaznu kao kaznenu sankciju, a da u Estoniji nadzorno tijelo izriče novčanu kaznu u okviru prekršajnog postupka, pod uvjetom da takva primjena pravilâ u tim državama članicama ima istovrijedni učinak kao i upravne novčane kazne koje izriču nadzorna tijela. Stoga bi nadležni nacionalni sudovi trebali uzeti u obzir preporuku nadzornog tijela koje ukaže na novčanu kaznu. U svakom slučaju novčane kazne trebale bi biti učinkovite, proporcionalne i odvraćajuće.

(152)

Ako ovom Uredbom nisu usklađene upravne novčane kazne ili ako je to potrebno u drugim slučajevima, primjerice u slučajevima teških kršenja ove Uredbe, države članice trebale bi uvesti sustav kojim se predviđaju učinkovite, proporcionalne i odvraćajuće sankcije. Prirodu tih sankcija kaznenih ili upravnih, trebalo bi odrediti pravom države članice.

(153)

U pravu država članica trebalo bi uskladiti pravila kojima se uređuje sloboda izražavanja i informiranja, među ostalim novinarskog, akademskog, umjetničkog i/ili književnog izražavanja s pravom na zaštitu osobnih podataka u skladu s ovom Uredbom. Na obradu osobnih podataka isključivo u novinarske svrhe ili u svrhe akademskog, umjetničkog ili književnog izražavanja trebalo bi primjenjivati odstupanja ili izuzeća od određenih odredaba ove Uredbe, ako je to potrebno kako bi se uskladilo pravo na zaštitu osobnih podataka s pravom na slobodu izražavanja i informiranja, kako je utvrđeno u članku 11. Povelje. To bi se posebno trebalo primjenjivati na obradu osobnih podataka u audiovizualnom području te u novinskim i medijskim arhivima. Stoga bi države članice trebale donijeti zakonodavne mjere kojima bi se predvidjela izuzeća i odstupanja potrebna radi usklađivanja tih temeljnih prava. Države članice trebale bi usvojiti takva izuzeća i odstupanja u pogledu općih načela, pravâ ispitanika, u pogledu voditelja obrade i izvršitelja obrade, prijenosa osobnih podataka u treće zemlje ili međunarodne organizacije, neovisnih nadzornih tijela, suradnje i usklađenosti te posebnih slučajeva obrade podataka. Ako se ta izuzeća i odstupanja razlikuju od jedne države članice do druge trebalo bi se primjenjivati pravo države članice koje se primjenjuje na voditelja obrade. Radi uzimanja u obzir važnosti prava na slobodu izražavanja u svakom demokratskom društvu potrebno je široko tumačiti pojmove u vezi s tom slobodom, kao što je novinarstvo.

(154)

Ovom se Uredbom omogućuje uzimanje u obzir načela javnog pristupa službenim dokumentima kada se primjenjuje ova Uredba. Može se smatrati da je javni pristup službenim dokumentima u javnom interesu. Tijelo javne vlasti ili javno tijelo trebalo bi imati mogućnost javno objaviti osobne podatke iz dokumenata koje takvo tijelo javne vlasti ili javno tijelo posjeduje ako je ta objava predviđena pravom Unije ili pravom države članice koje se primjenjuje na to tijelo javne vlasti ili javno tijelo. Takvim propisima trebali bi se uskladiti javni pristup službenim dokumentima i ponovna uporaba informacija iz javnog sektora s pravom na zaštitu osobnih podataka te bi se njima stoga moglo predvidjeti potrebno usklađivanje s pravom na zaštitu osobnih podataka u skladu s ovom Uredbom. Upućivanje na tijela javne vlasti i javna tijela trebalo bi u ovom kontekstu obuhvaćati sva tijela vlasti ili druga tijela obuhvaćena pravom države članice u pogledu javnog pristupa dokumentima. Direktivom 2003/98/EZ Europskog parlamenta i Vijeća (14) ne mijenja se niti se u bilo kojem pogledu utječe na razinu zaštite pojedinaca s obzirom na obradu osobnih podataka na temelju odredaba iz prava Unije i prava države članice, a osobito se njome ne mijenjaju obveze i prava utvrđena u ovoj Uredbi. Ta se Direktiva osobito ne bi smjela primjenjivati na dokumente kojima je pristup izuzet ili ograničen režimima pristupa radi zaštite osobnih podataka te na dijelove dokumenata kojima se može pristupiti pomoću tih režima, a koji sadrže osobne podatke čija je ponovna upotreba predviđena zakonom kao upotreba koja nije u skladu s pravom u pogledu zaštite pojedinaca s obzirom na obradu osobnih podataka.

(155)

Pravom države članice ili kolektivnim ugovorima, uključujući „ugovore o radovima”, mogu se predvidjeti posebna pravila za obradu osobnih podataka zaposlenikâ u kontekstu zaposlenja, posebno za uvjete pod kojima se osobni podaci u kontekstu zaposlenja mogu obrađivati na temelju privole zaposlenika, za potrebe zapošljavanja, izvršavanja ugovora o radu, uključujući ispunjavanje zakonski propisanih obveza ili obveza propisanih kolektivnim ugovorima, za potrebe upravljanja radom i njegova planiranja i organizacije, jednakosti i različitosti na radnom mjestu, zdravlja i sigurnosti na radu i za potrebe ostvarenja i uživanja prava i koristi iz radnog odnosa, na individualnoj ili kolektivnoj osnovi, te za potrebe prestanka radnog odnosa.

(156)

Obrada osobnih podataka u svrhe arhiviranja u javnom interesu, u svrhe znanstvenog ili povijesnog istraživanja ili u statističke svrhe trebala bi podlijegati odgovarajućim zaštitnim mjerama za prava i slobode ispitanika u skladu s ovom Uredbom. Tim zaštitnim mjerama trebalo bi osigurati da su tehničke i organizacijske mjere na snazi kako bi se osobito zajamčilo načelo smanjenja količine podataka. Daljnja obrada osobnih podataka u svrhe arhiviranja u javnom interesu, u svrhe znanstvenog ili povijesnog istraživanja ili u statističke svrhe provodi se kada voditelj obrade procijeni izvedivost ispunjavanja tih svrha obradom osobnih podataka koji ne omogućuju ili više ne omogućuju identifikaciju ispitanikâ, pod uvjetom da postoje odgovarajuće zaštitne mjere (poput, primjerice, pseudonimizacije osobnih podataka). Države članice trebale bi osigurati odgovarajuće zaštitne mjere za obradu osobnih podataka u svrhe arhiviranja u javnom interesu, u svrhe znanstvenog ili povijesnog istraživanja ili u statističke svrhe. Države članice trebale bi biti ovlaštene predvidjeti, pod posebnim uvjetima i uz primjenu odgovarajućih zaštitnih mjera za ispitanike, specifikacije i odstupanja u pogledu zahtjevâ za informiranjem, pravâ na ispravak, na brisanje, na zaborav, na ograničavanja obrade, na prenosivost podataka te na podnošenje prigovora pri obradi osobnih podataka u svrhe arhiviranja u javnom interesu, u svrhe znanstvenog ili povijesnog istraživanja ili u statističke svrhe. Dotični uvjeti i zaštitne mjere mogu podrazumijevati posebne postupke za ispitanike kako bi oni mogli ostvarivati ta prava ako je to primjereno s obzirom na svrhu posebne obrade, uz tehničke i organizacijske mjere usmjerene na smanjenje obrade osobnih podataka na najmanju mjeru kako bi se poštovala načela proporcionalnosti i nužnosti. Obrada osobnih podataka u znanstvene svrhe također bi trebala biti u skladu s drugim relevantnim zakonodavstvom, poput zakonodavstva o kliničkim ispitivanjima.

(157)

Povezivanjem informacija iz registara istraživači mogu steći novo znanje od velike vrijednosti u pogledu raširenih medicinskih stanja kao što su kardiovaskularne bolesti, rak i depresija. Na temelju registara rezultati istraživanja mogu se unaprijediti jer se temelje na većem broju stanovnika. U okviru društvenih znanosti, istraživanje na temelju registara omogućuje istraživačima da steknu ključno znanje o dugoročnoj povezanosti brojnih društvenih čimbenika, kao što su nezaposlenost i obrazovanje s drugim životnim čimbenicima. Rezultati istraživanja dobiveni putem registara dovode do pouzdanih, visokokvalitetnih spoznaja koje mogu biti temelj za oblikovanje i provedbu politike koja se temelji na znanju; njima se poboljšava kvaliteta života velikog broja ljudi te učinkovitost društvenih usluga. Kako bi se olakšalo znanstveno istraživanje, osobni se podaci mogu obrađivati u svrhe znanstvenog istraživanja, što podliježe odgovarajućim uvjetima i zaštitnim mjerama određenima u pravu Unije ili pravu države članice.

(158)

Ako se osobni podaci obrađuju u svrhe arhiviranja, ova Uredba trebala bi se također primjenjivati na takvu obradu, imajući u vidu da se ova Uredba ne bi trebala primjenjivati na osobne podatke preminulih osoba. Tijela javne vlasti ili javna ili privatna tijela koja posjeduju evidenciju od javnog interesa trebala bi biti službe koje, na temelju prava Unije ili prava države članice, imaju pravnu obvezu stjecati, čuvati, ocjenjivati, slagati, opisivati, komunicirati, promicati, širiti i pružati pristup evidencijama od trajne vrijednosti za opći javni interes. Države članice također bi trebale biti ovlaštene predvidjeti daljnju obradu osobnih podataka u svrhe arhiviranja, na primjer s ciljem pružanja posebnih informacija u vezi s političkim ponašanjem za vrijeme bivših totalitarističkih državnih režima, genocida, zločinâ protiv čovječnosti, posebice holokausta, ili ratnih zločina.

(159)

Ako se osobni podaci obrađuju u svrhe znanstvenog istraživanja, ova bi se Uredba trebala primjenjivati i na tu obradu. Za potrebe ove Uredbe, obrada osobnih podataka u svrhe znanstvenog istraživanja trebala bi se tumačiti u širokom smislu, uključujući primjerice tehnološki razvoj i demonstracijske aktivnosti, temeljno istraživanje, primijenjeno istraživanje, istraživanje koje se financira iz privatnih izvora. Dodatno, njome bi se trebao uzeti u obzir cilj Unije na temelju članka 179. stavka 1. UFEU-a u vezi s uspostavom europskog istraživačkog prostora. Svrhe znanstvenog istraživanja trebale bi također obuhvaćati studije koje se provode u javnom interesu u području javnog zdravlja. Kako bi se poštovale posebnosti obrade osobnih podataka u svrhe znanstvenog istraživanja, trebali bi se primjenjivati posebni uvjeti, osobito u pogledu objavljivanja ili druge vrste otkrivanja osobnih podataka u kontekstu svrha znanstvenog istraživanja. Ako su slijedom rezultata znanstvenog istraživanja, osobito u kontekstu zdravlja, potrebne dodatne mjere u interesu ispitanika, u pogledu tih mjera trebala bi se primjenjivati opća pravila iz ove Uredbe.

(160)

Ako se osobni podaci obrađuju u svrhe povijesnog istraživanja, ova Uredba trebala bi se primjenjivati i na takvu obradu. To bi također trebalo obuhvaćati povijesno istraživanje i istraživanje u genealoške svrhe, imajući u vidu da se ova Uredba ne bi trebala primjenjivati na preminule osobe.

(161)

Za potrebe pristanka za sudjelovanje u aktivnostima znanstvenog istraživanja u okviru kliničkih ispitivanja trebale bi se primjenjivati relevantne odredbe Uredbe (EU) br. 536/2014 Europskog parlamenta i Vijeća (15).

(162)

Ako se osobni podaci obrađuju u statističke svrhe, ova bi se Uredba trebala primjenjivati na takvu obradu. U pravu Unije ili pravu država članica trebalo bi, u okviru ograničenja ove Uredbe, utvrditi statistički sadržaj, nadzor pristupa, specifikacije za obradu osobnih podataka u statističke svrhe i primjerene mjere kako bi se zaštitila prava i slobode ispitanika te kako bi se osigurala statistička povjerljivost. Statističke svrhe znače svako prikupljanje i obradu osobnih podataka potrebnih za statistička istraživanja ili za proizvodnju statističkih rezultata. Ti statistički rezultati mogu se dalje upotrijebiti u različite svrhe, među ostalim u svrhu znanstvenog istraživanja. Pod statističkom svrhom podrazumijeva se da rezultat obrade u statističke svrhe nisu osobni podaci, već agregirani podaci te da se taj rezultat ili podaci ne upotrebljavaju kao potpora mjerama ili odlukama u vezi nekog pojedinca.

(163)

Trebalo bi zaštititi povjerljive informacije koje statistička tijela Unije i nacionalna statistička tijela prikupljaju za potrebe sastavljanja službene europske i nacionalne statistike. Europsku statistiku trebalo bi razvijati, izrađivati i diseminirati u skladu sa statističkim načelima kako je određeno u članku 338. stavku 2. UFEU-a, dok bi nacionalna statistika trebala biti i u skladu s pravom države članice. U Uredbi (EZ) br. 223/2009 Europskog parlamenta i Vijeća (16) predviđaju se daljnje pojedinosti u pogledu statističke povjerljivosti europske statistike.

(164)

U vezi s ovlastima nadzornih tijela za dobivanje pristupa osobnim podacima i prostorijama od voditelja obrade ili izvršitelja obrade, države članice mogu zakonskim putem, u okviru ograničenja ove Uredbe, donijeti posebna pravila radi očuvanja profesionalnih ili drugih odgovarajućih obveza čuvanja tajnosti podataka, u mjeri u kojoj je nužno uskladiti pravo na zaštitu osobnih podataka s obvezom čuvanja profesionalne tajne. Time se ne dovode u pitanje postojeće obveze država članica da primijene pravila o čuvanju profesionalne tajne kada pravo Unije tako nalaže.

(165)

Ovom Uredbom poštuje se i ne dovodi se u pitanje status crkava i vjerskih udruženja ili zajednica u državama članicama prema postojećem ustavnom pravu, kako je priznato člankom 17. UFEU-a.

(166)

Kako bi se ostvarili ciljevi ove Uredbe, odnosno zaštitila temeljna prava i slobode pojedinaca, a osobito njihova prava na zaštitu osobnih podataka i osiguravanje slobodnog kretanja osobnih podataka unutar Unije, Komisiji bi trebalo delegirati ovlast za donošenje akata u skladu s člankom 290. UFEU-a. Konkretnije, delegirane akte trebalo bi donositi poštujući kriterije i zahtjeve za mehanizme certificiranja, informacije koje se iznose putem standardiziranih ikona i postupke za utvrđivanje takvih ikona. Posebno je važno da Komisija tijekom svojeg pripremnog rada provede odgovarajuća savjetovanja, uključujući ona na razini stručnjaka. Prilikom pripreme i izrade delegiranih akata, Komisija bi trebala osigurati da se relevantni dokumenti Europskom parlamentu i Vijeću šalju istodobno, na vrijeme i na primjeren način.

(167)

Radi osiguranja jedinstvenih uvjeta za provedbu ove Uredbe, provedbene ovlasti trebalo bi dodijeliti Komisija kada je to predviđeno ovom Uredbom. Te bi ovlasti trebalo izvršavati u skladu s Uredbom (EU) br. 182/2011. U tom kontekstu Komisija bi trebala razmotriti posebne mjere za mikropoduzeća te mala i srednja poduzeća.

(168)

Za donošenje provedbenih akata o standardnim ugovornim klauzulama između voditelja obrade i izvršitelja obrade te među izvršiteljima obrade; kodeksima ponašanja; tehničkim standardima i mehanizmima certificiranja; primjerenom stupnju zaštite u trećoj zemlji, na području ili u određenom sektoru unutar treće zemlje ili u međunarodnoj organizaciji; standardnim klauzulama o zaštiti; formatima i postupcima za razmjenu informacija elektroničkim putem među voditeljima obrade, izvršiteljima obrade i nadzornim tijelima za obvezujuća korporativna pravila; uzajamnoj pomoći; sustavima za razmjenu informacija elektroničkim putem između nadzornih tijela i između nadzornih tijela i Odbora trebalo primjenjivati postupak ispitivanja.

(169)

Komisija bi trebala donijeti provedbene akte koji se odmah primjenjuju kada se temeljem raspoloživih dokaza otkrije da treća zemlja, područje ili određeni sektor unutar te treće zemlje, ili međunarodna organizacija ne osigurava primjereni stupanj zaštite, te to zahtijevaju krajnje hitni razlozi.

(170)

S obzirom na to da cilj ove Uredbe, odnosno osiguravanje jednakovrijedne razine zaštite pojedinaca i slobodnog protoka osobnih podataka širom Unije, ne mogu dostatno ostvariti države članice, nego se zbog opsega ili učinaka radnji oni na bolji način mogu ostvariti na razini Unije, Unija može donijeti mjere u skladu s načelom supsidijarnosti utvrđenim u članku 5. Ugovora o Europskoj uniji (UEU). U skladu s načelom proporcionalnosti, utvrđenim u tom članku, ova Uredba ne prelazi ono što je potrebno za ostvarivanje tih ciljeva.

(171)

Direktiva 95/46/EZ trebala bi se ovom Uredbom staviti izvan snage. Obrade koje su već u tijeku na datum početka primjene ove Uredbe trebalo bi uskladiti s ovom Uredbom u roku od dvije godine nakon što ova Uredba stupi na snagu. Ako se obrada temelji na privoli na temelju Direktive 95/46/EZ te ako je način na koji je ta privola dana u skladu s uvjetima iz ove Uredbe, nije potrebno da ispitanik ponovno daje svoju privolu kako bi se voditelju obrade omogućio nastavak takve obrade nakon datuma početka primjene ove Uredbe. Donesene odluke Komisije i odobrenja nadzornih tijela koja se temelje na Direktivi 95/46/EZ ostaju na snazi dok ih se ne izmijeni, zamijeni ili stavi izvan snage.

(172)

Provedeno je savjetovanje s Europskim nadzornikom za zaštitu podataka u skladu s člankom 28. stavkom 2. Uredbe (EZ) br. 45/2001 Europskog parlamenta i Vijeća koji je dao mišljenje 7. ožujka 2012. (17).

(173)

Ova bi se Uredba trebala primjenjivati na sva pitanja u vezi sa zaštitom temeljnih prava i sloboda u odnosu na obradu osobnih podataka koja ne podliježu posebnim obvezama s istim ciljem koji je utvrđen Direktivom 2002/58/EZ Europskog parlamenta i Vijeća (18), uključujući obveze voditelja obrade i prava pojedinaca. Kako bi se pojasnio odnos između ove Uredbe i Direktive 2002/58/EZ, tu bi Direktivu trebalo izmijeniti na odgovarajući način. Nakon donošenja ove Uredbe, Direktivu 2002/58/EZ trebalo bi preispitati posebno kako bi se osigurala usklađenost s ovom Uredbom,

DONIJELI SU OVU UREDBU:

POGLAVLJE I.

Opće odredbe

Članak 1.

Predmet i ciljevi

1.   Ovom se Uredbom utvrđuju pravila povezana sa zaštitom pojedinaca u pogledu obrade osobnih podataka i pravila povezana sa slobodnim kretanjem osobnih podataka.

2.   Ovom se Uredbom štite temeljna prava i slobode pojedinaca, a posebno njihovo pravo na zaštitu osobnih podataka.

3.   Slobodno kretanje osobnih podataka unutar Unije ne ograničava se ni zabranjuje iz razloga povezanih sa zaštitom pojedinaca u pogledu obrade osobnih podataka.

Članak 2.

Glavno područje primjene

1.   Ova se Uredba primjenjuje na obradu osobnih podataka koja se u cijelosti obavlja automatizirano te na neautomatiziranu obradu osobnih podataka koji čine dio sustava pohrane ili su namijenjeni biti dio sustava pohrane.

2.   Ova se Uredba ne odnosi na obradu osobnih podataka:

(a)

tijekom djelatnosti koja nije obuhvaćena opsegom prava Unije;

(b)

koju obavljaju države članice kada obavljaju aktivnosti koje su obuhvaćene područjem primjene glave V. poglavlja 2. UEU-a;

(c)

koju provodi fizička osoba tijekom isključivo osobnih ili kućnih aktivnosti;

(d)

koju obavljaju nadležna tijela u svrhu sprečavanja, istrage, otkrivanja ili progona kaznenih djela ili izvršavanja kaznenih sankcija, uključujući zaštitu od prijetnji javnoj sigurnosti i njihova sprečavanja.

3.   Na obradu osobnih podataka koju obavljaju institucije, tijela, uredi i agencije Unije primjenjuje se Uredba (EZ) br. 45/2001. Uredba (EZ) br. 45/2001 i drugi pravni akti Unije primjenjivi na takvu obradu osobnih podataka moraju se prilagoditi načelima i pravilima ove Uredbe u skladu s člankom 98.

4.   Ovom se Uredbom ne dovodi u pitanje primjena Direktive 2000/31/EZ, osobito pravilâ o odgovornosti posrednih davatelja usluga iz članaka od 12. do 15. te direktive.

Članak 3.

Teritorijalno područje primjene

1.   Ova se Uredba odnosi na obradu osobnih podataka u okviru aktivnosti poslovnog nastana voditelja obrade ili izvršitelja obrade u Uniji, neovisno o tome obavlja li se obrada u Uniji ili ne.

2.   Ova se Uredba primjenjuje na obradu osobnih podataka ispitanikâ u Uniji koju obavlja voditelj obrade ili izvršitelj obrade bez poslovnog nastana u Uniji, ako su aktivnosti obrade povezane s:

(a)

nuđenjem robe ili usluga takvim ispitanicima u Uniji, neovisno o tome treba li ispitanik izvršiti plaćanje; ili

(b)

praćenjem njihova ponašanja dokle god se njihovo ponašanje odvija unutar Unije.

3.   Ova se Uredba primjenjuje na obradu osobnih podataka koju obavlja voditelj obrade koji nema poslovni nastan u Uniji, već na mjestu gdje se pravo države članice primjenjuje na temelju međunarodnog javnog prava.

Članak 4.

Definicije

Za potrebe ove Uredbe:

1.

„osobni podaci” znači svi podaci koji se odnose na pojedinca čiji je identitet utvrđen ili se može utvrditi („ispitanik”); pojedinac čiji se identitet može utvrditi jest osoba koja se može identificirati izravno ili neizravno, osobito uz pomoć identifikatora kao što su ime, identifikacijski broj, podaci o lokaciji, mrežni identifikator ili uz pomoć jednog ili više čimbenika svojstvenih za fizički, fiziološki, genetski, mentalni, ekonomski, kulturni ili socijalni identitet tog pojedinca;

2.

„obrada” znači svaki postupak ili skup postupaka koji se obavljaju na osobnim podacima ili na skupovima osobnih podataka, bilo automatiziranim bilo neautomatiziranim sredstvima kao što su prikupljanje, bilježenje, organizacija, strukturiranje, pohrana, prilagodba ili izmjena, pronalaženje, obavljanje uvida, uporaba, otkrivanje prijenosom, širenjem ili stavljanjem na raspolaganje na drugi način, usklađivanje ili kombiniranje, ograničavanje, brisanje ili uništavanje;

3.

„ograničavanje obrade” znači označivanje pohranjenih osobnih podataka s ciljem ograničavanja njihove obrade u budućnosti;

4.

„izrada profila” znači svaki oblik automatizirane obrade osobnih podataka koji se sastoji od uporabe osobnih podataka za ocjenu određenih osobnih aspekata povezanih s pojedincem, posebno za analizu ili predviđanje aspekata u vezi s radnim učinkom, ekonomskim stanjem, zdravljem, osobnim sklonostima, interesima, pouzdanošću, ponašanjem, lokacijom ili kretanjem tog pojedinca;

5.

„pseudonimizacija” znači obrada osobnih podataka na način da se osobni podaci više ne mogu pripisati određenom ispitaniku bez uporabe dodatnih informacija, pod uvjetom da se takve dodatne informacije drže odvojeno te da podliježu tehničkim i organizacijskim mjerama kako bi se osiguralo da se osobni podaci ne mogu pripisati pojedincu čiji je identitet utvrđen ili se može utvrditi;

6.

„sustav pohrane” znači svaki strukturirani skup osobnih podataka dostupnih prema posebnim kriterijima, bilo da su centralizirani, decentralizirani ili raspršeni na funkcionalnoj ili zemljopisnoj osnovi;

7.

„voditelj obrade” znači fizička ili pravna osoba, tijelo javne vlasti, agencija ili drugo tijelo koje samo ili zajedno s drugima određuje svrhe i sredstva obrade osobnih podataka; kada su svrhe i sredstva takve obrade utvrđeni pravom Unije ili pravom države članice, voditelj obrade ili posebni kriteriji za njegovo imenovanje mogu se predvidjeti pravom Unije ili pravom države članice;

8.

„izvršitelj obrade” znači fizička ili pravna osoba, tijelo javne vlasti, agencija ili drugo tijelo koje obrađuje osobne podatke u ime voditelja obrade;

9.

„primatelj” znači fizička ili pravna osoba, tijelo javne vlasti, agencija ili drugo tijelo kojem se otkrivaju osobni podaci, neovisno o tome je li on treća strana. Međutim, tijela javne vlasti koja mogu primiti osobne podatke u okviru određene istrage u skladu s pravom Unije ili države članice ne smatraju se primateljima; obrada tih podataka koju obavljaju ta tijela javne vlasti mora biti u skladu s primjenjivim pravilima o zaštiti podataka prema svrhama obrade;

10.

„treća strana” znači fizička ili pravna osoba, tijelo javne vlasti, agencija ili drugo tijelo koje nije ispitanik, voditelj obrade, izvršitelj obrade ni osobe koje su ovlaštene za obradu osobnih podataka pod izravnom nadležnošću voditelja obrade ili izvršitelja obrade;

11.

„privola” ispitanika znači svako dobrovoljno, posebno, informirano i nedvosmisleno izražavanje želja ispitanika kojim on izjavom ili jasnom potvrdnom radnjom daje pristanak za obradu osobnih podataka koji se na njega odnose;

12.

„povreda osobnih podataka” znači kršenje sigurnosti koje dovodi do slučajnog ili nezakonitog uništenja, gubitka, izmjene, neovlaštenog otkrivanja ili pristupa osobnim podacima koji su preneseni, pohranjeni ili na drugi način obrađivani;

13.

„genetski podaci” znači osobni podaci koji se odnose na naslijeđena ili stečena genetska obilježja pojedinca koja daju jedinstvenu informaciju o fiziologiji ili zdravlju tog pojedinca, i koji su dobiveni osobito analizom biološkog uzorka dotičnog pojedinca;

14.

„biometrijski podaci” znači osobni podaci dobiveni posebnom tehničkom obradom u vezi s fizičkim obilježjima, fiziološkim obilježjima ili obilježjima ponašanja pojedinca koja omogućuju ili potvrđuju jedinstvenu identifikaciju tog pojedinca, kao što su fotografije lica ili daktiloskopski podaci;

15.

„podaci koji se odnose na zdravlje” znači osobni podaci povezani s fizičkim ili mentalnim zdravljem pojedinca, uključujući pružanje zdravstvenih usluga, kojima se daju informacije o njegovu zdravstvenom statusu;

16.

„glavni poslovni nastan” znači:

(a)

što se tiče voditelja obrade s poslovnim nastanima u više od jedne države članice, mjesto njegove središnje uprave u Uniji, osim ako se odluke o svrhama i sredstvima obrade osobnih podataka donose u drugom poslovnom nastanu voditelja obrade u Uniji te je potonji poslovni nastan ovlašten provoditi takve odluke, u kojem seslučaju poslovni nastan u okviru kojeg se donose takve odluke treba smatrati glavnim poslovnim nastanom;

(b)

što se tiče izvršitelja obrade s poslovnim nastanima u više od jedne države članice, mjesto njegove središnje uprave u Uniji, ili, ako izvršitelj obradenema središnju upravu u Uniji, poslovni nastan izvršitelja obrade u Uniji u kojem se odvijaju glavne aktivnosti obrade u kontekstu aktivnosti poslovnog nastana izvršitelja obrade u mjeri u kojoj izvršitelj obrade podliježe posebnim obvezama u skladu s ovom Uredbom;

17.

„predstavnik” znači fizička ili pravna osoba s poslovnim nastanom u Uniji koju je voditelj obrade ili izvršitelj obrade imenovao pisanim putem u skladu s člankom 27., a koja predstavlja voditelja obrade ili izvršitelja obrade u pogledu njihovih obveza na temelju ove Uredbe;

18.

„poduzeće” znači fizička ili pravna osoba koja se bavi gospodarskom djelatnošću, bez obzira na pravni oblik te djelatnosti, uključujući partnerstva ili udruženja koja se redovno bave gospodarskom djelatnošću;

19.

„grupa poduzetnika” znači poduzetnik u vladajućem položaju te njemu podređeni poduzetnici;

20.

„obvezujuća korporativna pravila” znači politike zaštite osobnih podataka kojih se voditelj obrade ili izvršitelj obrade s poslovnim nastanom na državnom području države članice pridržava za prijenose ili skupove prijenosa osobnih podataka voditelju obrade ili izvršitelju obrade u jednoj ili više trećih zemalja unutar grupe poduzetnika ili grupe poduzeća koja se bave zajedničkom gospodarskom djelatnošću;

21.

„nadzorno tijelo” znači neovisno tijelo javne vlasti koje je osnovala država članica u skladu s člankom 51.;

22.

„predmetno nadzorno tijelo” znači nadzorno tijelo koje je povezano s obradom osobnih podataka zato što:

(a)

voditelj obrade ili izvršitelj obrade ima poslovni nastan na državnom području države članice tog nadzornog tijela;

(b)

obrada bitno utječe ili je izgledno da će bitno utjecati na ispitanike koji borave u državi članici tog nadzornog tijela; ili

(c)

podnesena je pritužba tom nadzornom tijelu.

23.

„prekogranična obrada” znači ili:

(a)

obrada osobnih podataka koja se odvija u Uniji u kontekstu aktivnosti poslovnih nastana u više od jedne države članice voditelja obrade ili izvršitelja obrade, a voditelj obrade ili izvršitelj obrade ima poslovni nastan u više od jedne države članice; ili

(b)

obrada osobnih podataka koja se odvija u Uniji u kontekstu aktivnosti jedinog poslovnog nastana voditelja obrade ili izvršitelja obrade, ali koja bitno utječe ili je izgledno da će bitno utjecati na ispitanike u više od jedne države članice.

24.

„relevantni i obrazloženi prigovor” znači prigovor na nacrt odluke kao i na to je li došlo do kršenja ove Uredbe, ili je li djelovanje predviđeno u vezi s voditeljem obrade ili izvršiteljem obrade u skladu s ovom Uredbom, koji jasno pokazuje važnost rizika koje predstavlja nacrt odluke u pogledu temeljnih prava i sloboda ispitanika i, ako je primjenjivo, slobodnog protoka osobnih podataka unutar Unije;

25.

„usluga informacijskog društva” znači usluga kako je definirana člankom 1. stavkom 1. točkom 2. Direktive 2015/1535 Europskog parlamenta i Vijeća (19);

26.

„međunarodna organizacija” znači organizacija i njezina podređena tijela uređena međunarodnim javnim pravom ili bilo koje drugo tijelo koje su sporazumom ili na osnovi sporazuma osnovale dvije ili više zemalja.

POGLAVLJE II.

Načela

Članak 5.

Načela obrade osobnih podataka

1.   Osobni podaci moraju biti:

(a)

zakonito, pošteno i transparentno obrađivani s obzirom na ispitanika („zakonitost, poštenosti transparentnost”);

(b)

prikupljeni u posebne, izričite i zakonite svrhe te se dalje ne smiju obrađivati na način koji nije u skladu s tim svrhama; daljnja obrada u svrhe arhiviranja u javnom interesu, u svrhe znanstvenog ili povijesnog istraživanja ili u statističke svrhe, u skladu s člankom 89. stavkom 1. ne smatra se neusklađenom s prvotnim svrhama („ograničavanje svrhe”);

(c)

primjereni, relevantni i ograničeni na ono što je nužno u odnosu na svrhe u koje se obrađuju („smanjenje količine podataka”);

(d)

točni i prema potrebi ažurni; mora se poduzeti svaka razumna mjera radi osiguravanja da se osobni podaci koji nisu točni, uzimajući u obzir svrhe u koje se obrađuju, bez odlaganja izbrišu ili isprave („točnost”);

(e)

čuvani u obliku koji omogućuje identifikaciju ispitanikâ samo onoliko dugo koliko je potrebno u svrhe radi kojih se osobni podaci obrađuju; osobni podaci mogu se pohraniti na dulja razdoblja ako će se osobni podaci obrađivati isključivo u svrhe arhiviranja u javnom interesu, u svrhe znanstvenog ili povijesnog istraživanja ili u statističke svrhe u skladu s člankom 89. stavkom 1., što podliježe provedbi primjerenih tehničkih i organizacijskih mjera propisanih ovom Uredbom radi zaštite prava i sloboda ispitanika („ograničenje pohrane”);

(f)

obrađivani na način kojim se osigurava odgovarajuća sigurnost osobnih podataka, uključujući zaštitu od neovlaštene ili nezakonite obrade te od slučajnog gubitka, uništenja ili oštećenja primjenom odgovarajućih tehničkih ili organizacijskih mjera („cjelovitost i povjerljivost”);

2.   Voditelj obrade odgovoran je za usklađenost sa stavkom 1. te je mora biti u mogućnosti dokazati („pouzdanost”).

Članak 6.

Zakonitost obrade

1.   Obrada je zakonita samo ako i u onoj mjeri u kojoj je ispunjeno najmanje jedno od sljedećega:

(a)

ispitanik je dao privolu za obradu svojih osobnih podataka u jednu ili više posebnih svrha;

(b)

obrada je nužna za izvršavanje ugovora u kojem je ispitanik stranka ili kako bi se poduzele radnje na zahtjev ispitanika prije sklapanja ugovora;

(c)

obrada je nužna radi poštovanja pravnih obveza voditelja obrade;

(d)

obrada je nužna kako bi se zaštitili ključni interesi ispitanika ili druge fizičke osobe;

(e)

obrada je nužna za izvršavanje zadaće od javnog interesa ili pri izvršavanju službene ovlasti voditelja obrade;

(f)

obrada je nužna za potrebe legitimnih interesa voditelja obrade ili treće strane, osim kada su od tih interesa jači interesi ili temeljna prava i slobode ispitanika koji zahtijevaju zaštitu osobnih podataka, osobito ako je ispitanik dijete.

Točka (f) prvog podstavka ne odnosi se na obradu koju provode tijela javne vlasti pri izvršavanju svojih zadaća.

2.   Države članice mogu zadržati ili uvesti posebne odredbe kako bi se primjena pravila ove Uredbe s obzirom na obradu prilagodila radi usklađivanja sa stavkom 1. točkama (c) i (e) tako da se preciznije odrede posebni uvjeti za obradu te druge mjere za osiguravanje zakonite i poštene obrade, među ostalim za druge posebne situacije obrade kako je predviđeno u poglavlju IX.

3.   Pravna osnova za obradu iz stavka 1. točaka (c) i (e) utvrđuje se u:

(a)

pravu Unije; ili

(b)

pravu države članice kojem voditelj obrade podliježe.

Svrha obrade određuje se tom pravnom osnovom ili, u pogledu obrade iz stavka 1. točke (e), mora biti nužna za izvršavanje zadaće od javnog interesa ili izvršavanje službene ovlasti voditelja obrade. Ta pravna osnova može sadržavati posebne odredbe kako bi se prilagodila primjena pravila ove Uredbe, među ostalim opće uvjete kojima se uređuje zakonitost obrade od strane voditelja obrade, vrste podataka koji su predmet obrade, dotične ispitanike, subjekte kojima se osobni podaci mogu otkriti i svrhe u koje se podaci mogu otkriti, ograničavanje svrhe, razdoblje pohrane te aktivnosti obrade i postupke obrade, uključujući mjere za osiguravanje zakonite i poštene obrade, kao i za druge posebne situacije obrade kako je navedeno u poglavlju IX. Pravom Unije ili pravom države članice mora se ostvariti cilj od javnog interesa te ono mora biti razmjerno zakonitom cilju koji se želi postići.

4.   Ako se obrada u svrhu koja je različita od svrhe u koju su podaci prikupljeni ne temelji na privoli ispitanika ili na pravu Unije ili pravu države članice koje predstavlja nužnu i razmjernu mjeru u demokratskom društvu za zaštitu ciljeva iz članka 23. stavka 1., voditelj obrade, s ciljem utvrđivanja je li obrada u drugu svrhu u skladu sa svrhom u koju su osobni podaci prvotno prikupljeni, uzima u obzir, među ostalim:

(a)

svaku vezu između svrha prikupljanja osobnih podataka i svrha namjeravanog nastavka obrade;

(b)

kontekst u kojem su prikupljeni osobni podaci, posebno u pogledu odnosa između ispitanikâ i voditelja obrade;

(c)

prirodu osobnih podataka, osobito činjenicu obrađuju li se posebne kategorije osobnih podataka u skladu s člankom 9. ili osobni podaci koji se odnose na kaznene osude i kažnjiva djela u skladu s člankom 10.;

(d)

moguće posljedice namjeravanog nastavka obrade za ispitanike;

(e)

postojanje odgovarajućih zaštitnih mjera, koje mogu uključivati enkripciju ili pseudonimizaciju.

Članak 7.

Uvjeti privole

1.   Kada se obrada temelji na privoli, voditelj obrade mora moći dokazati da je ispitanik dao privolu za obradu svojih osobnih podataka.

2.   Ako ispitanik da privolu u vidu pisane izjave koja se odnosi i na druga pitanja, zahtjev za privolu mora biti predočen na način da ga se može jasno razlučiti od drugih pitanja, u razumljivom i lako dostupnom obliku uz uporabu jasnog i jednostavnog jezika. Svaki dio takve izjave koji predstavlja kršenje ove Uredbe nije obvezujući.

3.   Ispitanik ima pravo u svakom trenutku povući svoju privolu. Povlačenje privole ne utječe na zakonitost obrade na temelju privole prije njezina povlačenja. Prije davanja privole, ispitanika se o tome obavješćuje. Povlačenje privole mora biti jednako jednostavno kao i njezino davanje.

4.   Kada se procjenjuje je li privola bila dobrovoljna, u najvećoj mogućoj mjeri uzima se u obzir je li, među ostalim, izvršenje ugovora, uključujući pružanje usluge, uvjetovano privolom za obradu osobnih podataka koja nije nužna za izvršenje tog ugovora.

Članak 8.

Uvjeti koji se primjenjuju na privolu djeteta u odnosu na usluge informacijskog društva

1.   Kada se primjenjuje članak 6. stavak 1. točka (a), u pogledu nuđenja usluga informacijskog društva izravno djetetu, obrada osobnih podataka djeteta zakonita je ako dijete ima najmanje 16 godina. Ako je dijete ispod dobne granice od 16 godina takva je obrada zakonita samo ako i u mjeri u kojoj je privolu dao ili odobrio nositelj roditeljske odgovornosti nad djetetom.

Države članice mogu u te svrhe zakonom predvidjeti nižu dobnu granicu, pod uvjetom da takva niža dobna granica nije niža od 13 godina.

2.   Voditelj obrade mora uložiti razumne napore u provjeru je li privolu u takvim slučajevima dao ili odobrio nositelj roditeljske odgovornosti nad djetetom, uzimajući u obzir dostupnu tehnologiju.

3.   Stavak 1. ne utječe na opće ugovorno pravo država članica kao što su pravila o valjanosti, sklapanju ili učinku ugovora kada je riječ o djetetu.

Članak 9.

Obrada posebnih kategorija osobnih podataka

1.   Zabranjuje se obrada osobnih podataka koji otkrivaju rasno ili etničko podrijetlo, politička mišljenja, vjerska ili filozofska uvjerenja ili članstvo u sindikatu te obrada genetskih podataka, biometrijskih podataka u svrhu jedinstvene identifikacije pojedinca, podataka koji se odnose na zdravlje ili podataka o spolnom životu ili seksualnoj orijentaciji pojedinca.

2.   Stavak 1. ne primjenjuje se ako je ispunjen jedno od sljedećeg:

(a)

ispitanik je dao izričitu privolu za obradu tih osobnih podataka za jednu ili više određenih svrha, osim ako se pravom Unije ili pravom države članice propisuje da ispitanik ne može ukinuti zabranu iz stavka 1.;

(b)

obrada je nužna za potrebe izvršavanja obveza i ostvarivanja posebnih prava voditelja obrade ili ispitanika u području radnog prava i prava o socijalnoj sigurnosti te socijalnoj zaštiti u mjeri u kojoj je to odobreno u okviru prava Unije ili prava države članice ili kolektivnog ugovora u skladu s pravom države članice koje propisuje odgovarajuće zaštitne mjere za temeljna prava i interese ispitanika;

(c)

obrada je nužna za zaštitu životno važnih interesa ispitanika ili drugog pojedinca ako ispitanik fizički ili pravno nije u mogućnosti dati privolu;

(d)

obrada se provodi u sklopu legitimnih aktivnosti s odgovarajućim zaštitnim mjerama zaklade, udruženja ili drugog neprofitnog tijela s političkim, filozofskim, vjerskim ili sindikalnim ciljem te pod uvjetom da se obrada odnosi samo na članove ili bivše članove tijela ili na osobe koje imaju redovan kontakt s njom u vezi s njezinim svrhama i da osobni podaci nisu priopćeni nikome izvan tog tijela bez privole ispitanika;

(e)

obrada se odnosi na osobne podatke za koje je očito da ih je objavio ispitanik;

(f)

obrada je nužna za uspostavu, ostvarivanje ili obranu pravnih zahtjeva ili kad god sudovi djeluju u sudbenom svojstvu;

(g)

obrada je nužna za potrebe značajnog javnog interesa na temelju prava Unije ili prava države članice koje je razmjerno željenom cilju te kojim se poštuje bit prava na zaštitu podataka i osiguravaju prikladne i posebne mjere za zaštitu temeljnih prava i interesa ispitanika;

(h)

obrada je nužna u svrhu preventivne medicine ili medicine rada radi procjene radne sposobnosti zaposlenika, medicinske dijagnoze, pružanja zdravstvene ili socijalne skrbi ili tretmana ili upravljanja zdravstvenim ili socijalnim sustavima i uslugama na temelju prava Unije ili prava države članice ili u skladu s ugovorom sa zdravstvenim radnikom te u skladu s uvjetima i zaštitnim mjerama iz stavka 3.;

(i)

obrada je nužna u svrhu javnog interesa u području javnog zdravlja kao što je zaštita od ozbiljnih prekograničnih prijetnji zdravlju ili osiguravanje visokih standarda kvalitete i sigurnosti zdravstvene skrbi te lijekova i medicinskih proizvoda, na temelju prava Unije ili prava države članice kojim se propisuju odgovarajuće i posebne mjere za zaštitu prava i sloboda ispitanika, posebno čuvanje profesionalne tajne;

(j)

obrada je nužna u svrhe arhiviranja u javnom interesu, u svrhe znanstvenog ili povijesnog istraživanja ili u statističke svrhe u skladu s člankom 89. stavkom 1. na temelju prava Unije ili prava države članice koje je razmjerno cilju koji se nastoji postići te kojim se poštuje bit prava na zaštitu podataka i osiguravaju prikladne i posebne mjere za zaštitu temeljnih prava i interesa ispitanika.

3.   Osobni podaci iz stavka 1. mogu se obrađivati u svrhe navedene u stavku 2. točki (h) kada te podatke obrađuje stručno tijelo ili se podaci obrađuju pod odgovornošću stručnog tijela koje podliježe obvezi čuvanja poslovne tajne sukladno pravu Unije ili pravu države članice ili pravilima koja su odredila nadležna nacionalna tijela ili druga osoba koja također podliježe obvezi čuvanja tajne sukladno pravu Unije ili pravu države članice ili pravilima koja su utvrdila nadležna nacionalna tijela.

4.   Države članice mogu zadržati ili uvesti dodatne uvjete, uključujući ograničenja s obzirom na obradu genetskih podataka, biometrijskih podataka ili podataka koji se odnose na zdravlje.

Članak 10.

Obrada osobnih podataka koji se odnose na kaznene osude i kažnjiva djela

Obrada osobnih podataka koji se odnose na kaznene osude i kažnjiva djela ili povezane mjere sigurnosti na temelju članka 6. stavka 1. provodi se samo pod nadzorom službenog tijela ili kada je obrada odobrena pravom Unije ili pravom države članice kojim se propisuju odgovarajuće zaštitne mjere za prava i slobode ispitanikâ. Svaki sveobuhvatni registar kaznenih osuda vodi se samo pod nadzorom službenog tijela vlasti.

Članak 11.

Obrada koja ne zahtijeva identifikaciju

1.   Ako se u svrhe u koje voditelj obrade obrađuje osobne podatke ne zahtijeva ili više ne zahtijeva da voditelj obrade identificira ispitanika, voditelj obrade nije obvezan zadržavati, stjecati ili obrađivati dodatne informacije radi identificiranja ispitanika samo u svrhu poštovanja ove Uredbe.

2.   Ako u slučajevima iz stavka 1.ovog članka voditelj obrade može dokazati da nije u mogućnosti identificirati ispitanika, voditelj obrade o tome na odgovarajući način obavješćuje ispitanika, ako je to moguće. U takvim slučajevima ne primjenjuju se članci od 15. do 20., osim ako ispitanik u svrhu ostvarivanja svojih prava iz tih članaka pruži dodatne informacije koje omogućuju njegovu identifikaciju.

POGLAVLJE III.

Prava ispitanika

Odjeljak 1.

Transparentnost i modaliteti

Članak 12.

Transparentne informacije, komunikacija i modaliteti za ostvarivanje prava ispitanika

1.   Voditelj obrade poduzima odgovarajuće mjere kako bi se ispitaniku pružile sve informacije iz članaka 13. i 14. i sve komunikacije iz članaka od 15. do 22. i članka 34. u vezi s obradom u sažetom, transparentnom, razumljivom i lako dostupnom obliku, uz uporabu jasnog i jednostavnog jezika, osobito za svaku informaciju koja je posebno namijenjena djetetu. Informacije se pružaju u pisanom obliku ili drugim sredstvima, među ostalim, ako je prikladno, elektroničkim putem. Ako to zatraži ispitanik, informacije se mogu pružiti usmenim putem, pod uvjetom da je drugim sredstvima utvrđen identitet ispitanika.

2.   Voditelj obrade olakšava ostvarivanje prava ispitanika iz članaka od 15. do 22. U slučajevima iz članka 11. stavka 1. voditelj obrade ne smije odbiti postupiti po zahtjevu ispitanika u svrhu ostvarivanja njegovih prava iz članaka od 15. do 22., osim ako voditelj obrade dokaže da nije u mogućnosti utvrditi identitet ispitanika.

3.   Voditelj obrade ispitaniku na zahtjev pruža informacije o poduzetim radnjama iz članaka od 15. do 22. bez nepotrebnog odgađanja i u svakom slučaju u roku od mjesec dana od zaprimanja zahtjeva. Taj se rok može prema potrebi produljiti za dodatna dva mjeseca, uzimajući u obzir složenost i broj zahtjevâ. Voditelj obrade obavješćuje ispitanika o svakom takvom produljenju u roku od mjesec dana od zaprimanja zahtjeva, zajedno s razlozima odgađanja. Ako ispitanik podnese zahtjev elektroničkim putem, informacije se pružaju elektroničkim putem ako je to moguće, osim ako ispitanik zatraži drugačije.

4.   Ako voditelj obrade ne postupi po zahtjevu ispitanika, voditelj obrade bez odgađanja i najkasnije jedan mjesec od primitka zahtjeva izvješćuje ispitanika o razlozima zbog kojih nije postupio i o mogućnosti podnošenja pritužbe nadzornom tijelu i traženja pravnog lijeka.

5.   Informacije pružene u skladu s člancima 13. i 14. i sva komunikacija i djelovanja iz članaka od 15. do 22. i članka 34. pružaju se bez naknade. Ako su zahtjevi ispitanika očito neutemeljeni ili pretjerani, osobito zbog njihova učestalog ponavljanja, voditelj obrade može:

(a)

naplatiti razumnu naknadu uzimajući u obzir administrativne troškove pružanja informacija ili obavijesti ili postupanje po zahtjevu; ili

(b)

odbiti postupiti po zahtjevu.

Teret dokaza očigledne neutemeljenosti ili pretjeranosti zahtjeva jest na voditelju obrade.

6.   Ne dovodeći u pitanje članak 11., ako voditelj obrade ima opravdane sumnje u pogledu identiteta pojedinca koji podnosi zahtjev iz članaka od 15. do 21., voditelj obrade može tražiti pružanje dodatnih informacija neophodnih za potvrđivanje identiteta ispitanika.

7.   Informacije koje treba pružiti ispitanicima u skladu s člancima 13. i 14. mogu se pružiti u kombinaciji sa standardiziranim ikonama kako bi se na lako vidljiv, razumljiv i jasno čitljiv način pružio smislen pregled namjeravane obrade. Ako su ikone prikazane elektroničkim putem, one moraju biti strojno čitljive.

8.   Komisija je ovlaštena donositi delegirane akte u skladu s člankom 92. u svrhu određivanja informacija koje se prikazuju ikonama te postupaka za utvrđivanje standardiziranih ikona.

Odjeljak 2.

Informacije i pristup osobnim podacima

Članak 13.

Informacije koje treba dostaviti ako se osobni podaci prikupljaju od ispitanika

1.   Ako su osobni podaci koji se odnose na ispitanika prikupljeni od ispitanika, voditelj obrade u trenutku prikupljanja osobnih podataka ispitaniku pruža sve sljedeće informacije:

(a)

identitet i kontaktne podatke voditelja obrade i, ako je primjenjivo, predstavnika voditelja obrade;

(b)

kontaktne podatke službenika za zaštitu podataka, ako je primjenjivo;

(c)

svrhe obrade radi kojih se upotrebljavaju osobni podaci kao i pravnu osnovu za obradu;

(d)

ako se obrada temelji na članku 6. stavku 1. točki (f), legitimne interese voditelja obrade ili treće strane;

(e)

primatelje ili kategorije primatelja osobnih podataka, ako ih ima; i

(f)

ako je primjenjivo, činjenicu da voditelja obrade namjerava osobne podatke prenijeti trećoj zemlji ili međunarodnoj organizaciji te postojanje ili nepostojanje odluke Komisije o primjerenosti, ili u slučaju prijenosâ iz članaka 46. ili 47. ili članka 49. stavka 1. drugog podstavka upućivanje na prikladne ili odgovarajuće zaštitne mjere i načine pribavljanja njihove kopije ili mjesta na kojem su stavljene na raspolaganje.

2.   Osim informacija iz stavka 1., voditelj obrade u trenutku kada se osobni podaci prikupljaju pruža ispitaniku sljedeće dodatne informacije potrebne kako bi se osigurala poštena i transparentna obrada:

(a)

razdoblje u kojem će osobni podaci biti pohranjeni ili, ako to nije moguće, kriterije kojima se utvrdilo to razdoblje;

(b)

postojanje prava da se od voditelja obrade zatraži pristup osobnim podacima i ispravak ili brisanje osobnih podataka ili ograničavanje obrade koji se odnose na ispitanika ili prava na ulaganje prigovora na obradu takvih te prava na prenosivost podataka;

(c)

ako se obrada temelji na članku 6. stavku 1. točki (a) ili članku 9. stavku 2. točki (a), postojanje prava da se u bilo kojem trenutku povuče privolu, a da to ne utječe na zakonitost obrade koja se temeljila na privoli prije nego što je ona povučena;

(d)

pravo na podnošenje prigovora nadzornom tijelu;

(e)

informaciju o tome je li pružanje osobnih podataka zakonska ili ugovorna obveza ili uvjet nužan za sklapanje ugovora te ima li ispitanik obvezu pružanja osobnih podataka i koje su moguće posljedice ako se takvi podaci ne pruže;

(f)

postojanje automatiziranog donošenja odluka, što uključuje izradu profila iz članka 22. stavaka 1. i 4. te, barem u tim slučajevima, smislene informacije o tome o kojoj je logici riječ, kao i važnost i predviđene posljedice takve obrade za ispitanika.

3.   Ako voditelj obrade namjerava dodatno obrađivati osobne podatke u svrhu koja je različita od one za koju su osobni podaci prikupljeni, voditelj obrade prije te dodatne obrade ispitaniku pruža informacije o toj drugoj svrsi te sve druge relevantne informacije iz stavka 2.

4.   Stavci 1., 2. i 3. ne primjenjuju se ako i u onoj mjeri u kojoj ispitanik već raspolaže informacijama.

Članak 14.

Informacije koje se trebaju pružiti ako osobni podaci nisu dobiveni od ispitanika

1.   Ako osobni podaci nisu dobiveni od ispitanika, voditelj obrade ispitaniku pruža sljedeće informacije:

(a)

identitet i kontaktne podatke voditelja obrade i predstavnika voditelja obrade, ako je primjenjivo;

(b)

kontaktne podatke službenika za zaštitu podataka, ako je primjenjivo;

(c)

svrhe obrade kojoj su namijenjeni osobni podaci kao i pravnu osnovu za obradu;

(d)

kategorije osobnih podataka o kojima je riječ;

(e)

primatelje ili kategorije primatelja osobnih podataka, prema potrebi;

(f)

ako je primjenjivo, namjeru voditelja obrade da osobne podatke prenese primatelju u trećoj zemlji ili međunarodnoj organizaciji te postojanje ili nepostojanje odluke Komisije o primjerenosti, ili u slučaju prijenosâ iz članka 46. ili 47., ili članka 49. stavka 1. drugog podstavka upućivanje na prikladne ili odgovarajuće zaštitne mjere i načine pribavljanja njihove kopije ili mjesta na kojem su stavljene na raspolaganje;

2.   Osim informacija iz stavka 1. voditelj obrade ispitaniku pruža sljedeće informacije neophodne za osiguravanje poštene i transparentne obrade s obzirom na ispitanika:

(a)

razdoblje u kojem će se osobni podaci pohranjivati ili, ako to nije moguće, kriterije kojima se utvrdilo to razdoblje;

(b)

ako se obrada temelji na članku 6. stavku 1. točki (f), legitimne interese voditelja obrade ili treće strane;

(c)

postojanje prava da se od voditelja obrade zatraži pristup osobnim podacima i ispravak ili brisanje osobnih podataka ili ograničavanje obrade koji se odnose na ispitanika i prava na ulaganje prigovora na obradu te prava na prenosivost podataka;

(d)

ako se obrada temelji na članku 6. stavku 1. točki (a) ili članku 9. stavku 2. točki (a), postojanje prava da se u bilo kojem trenutku povuče privolu, a da to ne utječe na zakonitost obrade koja se temeljila na privoli prije nego što je ona povučena;

(e)

pravo na podnošenje prigovora nadzornom tijelu;

(f)

izvor osobnih podataka i, prema potrebi, dolaze li iz javno dostupnih izvora;

(g)

postojanje automatiziranog donošenja odluka, što uključuje izradu profila iz članka 22. stavaka 1. i 4. te, barem u tim slučajevima, smislene informacije o tome o kojoj je logici riječ, kao i važnost i predviđene posljedice takve obrade za ispitanika.

3.   Voditelj obrade pruža informacije iz stavaka 1. i 2.:

(a)

unutar razumnog roka nakon dobivanja osobnih podataka, a najkasnije u roku od jednog mjeseca, uzimajući u obzir posebne okolnosti obrade osobnih podataka;

(b)

ako se osobni podaci trebaju upotrebljavati za komunikaciju s ispitanikom, najkasnije u trenutku prve komunikacije ostvarene s tim ispitanikom; ili

(c)

ako je predviđeno otkrivanje podataka drugom primatelju, najkasnije u trenutku kada su osobni podaci prvi put otkriveni.

4.   Ako voditelj obrade namjerava dodatno obrađivati osobne podatke u svrhu koja je različita od one za koju su osobni podaci dobiveni, voditelj obrade prije te dodatne obrade ispitaniku pruža informacije o toj drugoj svrsi te sve druge relevantne informacije iz stavka 2.

5.   Stavci od 1. do 4. ne primjenjuju se ako i u mjeri u kojoj:

(a)

ispitanik već posjeduje informacije;

(b)

pružanje takvih informacija nemoguće je ili bi zahtijevalo nerazmjerne napore; posebno za obrade u svrhe arhiviranja u javnom interesu, u svrhe znanstvenog ili povijesnog istraživanja ili u statističke svrhe, podložno uvjetima i zaštitnim mjerama iz članka 89. stavka 1. ili u mjeri u kojoj je vjerojatno da se obvezom iz stavka 1. ovog članka može onemogućiti ili ozbiljno ugroziti postizanje ciljeva te obrade. U takvim slučajevima voditelj obrade poduzima odgovarajuće mjere zaštite prava i sloboda te legitimnih interesa ispitanikâ, među ostalim stavljanjem informacija na raspolaganje javnosti;

(c)

dobivanje ili otkrivanje podataka izrijekom je propisano pravom Unije ili pravom države članice kojem podliježe voditelj obrade, a koje predviđa odgovarajuće mjere zaštite legitimnih interesa ispitanika; ili

(d)

ako osobni podaci moraju ostati povjerljivi u skladu s obvezom čuvanja profesionalne tajne koju uređuje pravo Unije ili pravo države članice, uključujući obvezu čuvanja tajne koja se navodi u statutu.

Članak 15.

Pravo ispitanika na pristup

1.   Ispitanik ima pravo dobiti od voditelja obrade potvrdu obrađuju li se osobni podaci koji se odnose na njega te ako se takvi osobni podaci obrađuju, pristup osobnim podacima i sljedećim informacijama:

(a)

svrsi obrade;

(b)

kategorijama osobnih podataka o kojima je riječ;

(c)

primateljima ili kategorijama primatelja kojima su osobni podaci otkriveni ili će im biti otkriveni, osobito primateljima u trećim zemljama ili međunarodnim organizacijama;

(d)

ako je to moguće, predviđenom razdoblju u kojem će osobni podaci biti pohranjeni ili, ako to nije moguće, kriterijima korištenima za utvrđivanje tog razdoblja;

(e)

postojanju prava da se od voditelja obrade zatraži ispravak ili brisanje osobnih podataka ili ograničavanje obrade osobnih podataka koji se odnose na ispitanika ili prava na prigovor na takvu obradu

(f)

pravu na podnošenje pritužbe nadzornom tijelu;

(g)

ako se osobni podaci ne prikupljaju od ispitanika, svakoj dostupnoj informaciji o njihovu izvoru;

(h)

postojanju automatiziranog donošenja odluka, što uključuje izradu profila iz članka 22. stavaka 1. i 4. te, barem u tim slučajevima, smislenim informacijama o tome o kojoj je logici riječ, kao i važnosti i predviđenim posljedicama takve obrade za ispitanika.

2.   Ako se osobni podaci prenose u treću zemlju ili međunarodnu organizaciju, ispitanik ima pravo biti informiran o odgovarajućim zaštitnim mjerama u skladu s člankom 46. koje se odnose na prijenos.

3.   Voditelj obrade osigurava kopiju osobnih podataka koji se obrađuju. Za sve dodatne kopije koje zatraži ispitanik voditelj obrade može naplatiti razumnu naknadu na temelju administrativnih troškova. Ako ispitanik podnese zahtjev elektroničkim putem te osim ako ispitanik zatraži drukčije, informacije se pružaju u uobičajenom elektroničkom obliku.

4.   Pravo na dobivanje kopije iz stavka 3. ne smije negativno utjecati na prava i slobode drugih.

Odjeljak 3.

Ispravak i brisanje

Članak 16.

Pravo na ispravak

Ispitanik ima pravo bez nepotrebnog odgađanja ishoditi od voditelja obrade ispravak netočnih osobnih podataka koji se na njega odnose. Uzimajući u obzir svrhe obrade, ispitanik ima pravo dopuniti nepotpune osobne podatke, među ostalim i davanjem dodatne izjave.

Članak 17.

Pravo na brisanje („pravo na zaborav”)

1.   Ispitanik ima pravo od voditelja obrade ishoditi brisanje osobnih podataka koji se na njega odnose bez nepotrebnog odgađanja te voditelj obrade ima obvezu obrisati osobne podatke bez nepotrebnog odgađanja ako je ispunjen jedan od sljedećih uvjeta:

(a)

osobni podaci više nisu nužni u odnosu na svrhe za koje su prikupljeni ili na drugi način obrađeni;

(b)

ispitanik povuče privolu na kojoj se obrada temelji u skladu s člankom 6. stavkom 1. točkom (a) ili člankom 9. stavkom 2. točkom (a) i ako ne postoji druga pravna osnova za obradu;

(c)

ispitanik uloži prigovor na obradu u skladu s člankom 21. stavkom 1. te ne postoje jači legitimni razlozi za obradu, ili ispitanik uloži prigovor na obradu u skladu s člankom 21. stavkom 2.;

(d)

osobni podaci nezakonito su obrađeni;

(e)

osobni podaci moraju se brisati radi poštovanja pravne obveze iz prava Unije ili prava države članice kojem podliježe voditelj obrade;

(f)

osobni podaci prikupljeni su u vezi s ponudom usluga informacijskog društva iz članka 8. stavka 1.

2.   Ako je voditelj obrade javno objavio osobne podatke i dužan je u skladu sa stavkom 1. obrisati te osobne podatke, uzimajući u obzir dostupnu tehnologiju i trošak provedbe, voditelj obrade poduzima razumne mjere, uključujući tehničke mjere, kako bi informirao voditelje obrade koji obrađuju osobne podatke da je ispitanik zatražio od tih voditelja obrade da izbrišu sve poveznice do njih ili kopiju ili rekonstrukciju tih osobnih podataka.

3.   Stavci 1. i 2. ne primjenjuju se u mjeri u kojoj je obrada nužna:

(a)

radi ostvarivanja prava na slobodu izražavanja i informiranja;

(b)

radi poštovanja pravne obveze kojom se zahtijeva obrada u pravu Unije ili pravu države članice kojem podliježe voditelj obrade ili za izvršavanje zadaće od javnog interesa ili pri izvršavanju službene ovlasti voditelja obrade;

(c)

zbog javnog interesa u području javnog zdravlja u skladu s člankom 9. stavkom 2. točkama (h) i (i) kao i člankom 9. stavkom 3.;

(d)

u svrhe arhiviranja u javnom interesu, u svrhe znanstvenog ili povijesnog istraživanja ili u statističke svrhe u skladu s člankom 89. stavkom 1. u mjeri u kojoj je vjerojatno da se pravom iz stavka 1. može onemogućiti ili ozbiljno ugroziti postizanje ciljeva te obrade; ili

(e)

radi postavljanja, ostvarivanja ili obrane pravnih zahtjeva.

Članak 18.

Pravo na ograničenje obrade

1.   Ispitanik ima pravo od voditelja obrade ishoditi ograničenje obrade ako je ispunjeno jedno od sljedećeg:

(a)

ispitanik osporava točnost osobnih podataka, na razdoblje kojim se voditelju obrade omogućuje provjera točnosti osobnih podataka;

(b)

obrada je nezakonita i ispitanik se protivi brisanju osobnih podataka te umjesto toga traži ograničenje njihove uporabe;

(c)

voditelj obrade više ne treba osobne podatke za potrebe obrade, ali ih ispitanik traži radi postavljanja, ostvarivanja ili obrane pravnih zahtjeva;

(d)

ispitanik je uložio prigovor na obradu na temelju članka 21. stavka 1. očekujući potvrdu nadilaze li legitimni razlozi voditelja obrade razloge ispitanika.

2.   Ako je obrada ograničena stavkom 1., takvi osobni podaci smiju se obrađivati samo uz privolu ispitanika, uz iznimku pohrane, ili za postavljanje, ostvarivanje ili obranu pravnih zahtjeva ili zaštitu prava druge fizičke ili pravne osobe ili zbog važnog javnog interesa Unije ili države članice.

3.   Ispitanika koji je ishodio ograničenje obrade na temelju stavka 1. voditelj obrade izvješćuje prije nego što ograničenje obrade bude ukinuto.

Članak 19.

Obveza izvješćivanja u vezi s ispravkom ili brisanjem osobnih podataka ili ograničenjem obrade

Voditelj obrade priopćuje svaki ispravak ili brisanje osobnih podataka ili ograničenje obrade provedeno u skladu s člankom 16., člankom 17. stavkom 1. i člankom 18. svakom primatelju kojem su otkriveni osobni podaci, osim ako se to pokaže nemogućim ili zahtijeva nerazmjeran napor. Voditelj obrade obavješćuje ispitanika o tim primateljima ako to ispitanik zatraži.

Članak 20.

Pravo na prenosivost podataka

1.   Ispitanik ima pravo zaprimiti osobne podatke koji se odnose na njega, a koje je pružio voditelju obrade u strukturiranom, uobičajeno upotrebljavanom i strojno čitljivom formatu te ima pravo prenijeti te podatke drugom voditelju obrade bez ometanja od strane voditelja obrade kojem su osobni podaci pruženi, ako:

(a)

obrada se temelji na privoli u skladu s člankom 6. stavkom 1. točkom (a) ili člankom 9. stavkom 2. točkom (a) ili na ugovoru u skladu s člankom 6. stavkom 1. točkom (b); i

(b)

obrada se provodi automatiziranim putem.

2.   Prilikom ostvarivanja svojih prava na prenosivost podataka na temelju stavka 1. ispitanik ima pravo na izravni prijenos od jednog voditelja obrade drugome ako je to tehnički izvedivo.

3.   Ostvarivanjem prava iz stavka 1. ovog članka ne dovodi se u pitanje članak 17. To se pravo ne primjenjuje na obradu nužnu za obavljanje zadaće od javnog interesa ili pri izvršavanju službene ovlasti dodijeljene voditelju obrade.

4.   Pravo iz stavka 1. ne smije negativno utjecati na prava i slobode drugih.

Odjeljak 4.

Pravo na prigovor i automatizirano pojedinačno donošenje odluka

Članak 21.

Pravo na prigovor

1.   Ispitanik ima pravo na temelju svoje posebne situacije u svakom trenutku uložiti prigovor na obradu osobnih podataka koji se odnose na njega, u skladu s člankom 6. stavkom 1. točkom (e) ili (f), uključujući izradu profila koja se temelji na tim odredbama. Voditelj obrade više ne smije obrađivati osobne podatke osim ako voditelj obrade dokaže da postoje uvjerljivi legitimni razlozi za obradu koji nadilaze interese, prava i slobode ispitanika ili radi postavljanja, ostvarivanja ili obrane pravnih zahtjeva.

2.   Ako se osobni podaci obrađuju za potrebe izravnog marketinga, ispitanik u svakom trenutku ima pravo uložiti prigovor na obradu osobnih podataka koji se odnose na njega za potrebe takvog marketinga, što uključuje izradu profila u mjeri koja je povezana s takvim izravnim marketingom.

3.   Ako se ispitanik protivi obradi za potrebe izravnog marketinga, osobni podaci više se ne smiju obrađivati u takve svrhe.

4.   Najkasnije u trenutku prve komunikacije s ispitanikom, ispitaniku se izričito mora skrenuti pozornost na pravo iz stavaka 1. i 2. te se to mora učiniti na jasan način i odvojeno od bilo koje druge informacije.

5.   U kontekstu služenja uslugama informacijskog društva i neovisno o Direktivi 2002/58/EZ ispitanik može ostvariti svoje pravo na prigovor automatiziranim putem koji se koristi tehničkim specifikacijama.

6.   Ako se osobni podaci obrađuju u svrhe znanstvenog ili povijesnog istraživanja ili u statističke svrhe na temelju članka 89. stavka 1., ispitanik na temelju svoje posebne situacije ima pravo uložiti prigovor na obradu osobnih podataka koji se na njega odnose, osim ako je obrada nužna za provođenje zadaće koja se obavlja zbog javnog interesa.

Članak 22.

Automatizirano pojedinačno donošenje odluka, uključujući izradu profila

1.   Ispitanik ima pravo da se na njega ne odnosi odluka koja se temelji isključivo na automatiziranoj obradi, uključujući izradu profila, koja proizvodi pravne učinke koji se na njega odnose ili na sličan način značajno na njega utječu.

2.   Stavak 1. ne primjenjuje se ako je odluka:

(a)

potrebna za sklapanje ili izvršenje ugovora između ispitanika i voditelja obrade podataka;

(b)

dopuštena pravom Unije ili pravom države članice kojem podliježe voditelj obrade te koje također propisuje odgovarajuće mjere zaštite prava i sloboda te legitimnih interesa ispitanika; ili

(c)

temeljena na izričitoj privoli ispitanika.

3.   U slučajevima iz stavka 2. točaka (a) i (c) voditelj obrade provodi odgovarajuće mjere zaštite prava i sloboda te legitimnih interesa ispitanika, barem prava na ljudsku intervenciju voditelja obrade, prava izražavanja vlastitog stajališta te prava na osporavanje odluke.

4.   Odluke iz stavka 2. ne smiju se temeljiti na posebnim kategorijama osobnih podataka iz članka 9. stavka 1., osim ako se primjenjuje članak 9. stavak 2. točka (a) ili (g) te ako su uspostavljene odgovarajuće mjere zaštite prava i sloboda te legitimnih interesa ispitanika.

Odjeljak 5.

Ograničenja

Članak 23.

Ograničenja

1.   Na temelju prava Unije ili prava države članice kojem podliježu voditelj obrade podataka ili izvršitelj obrade zakonskom mjerom može se ograničiti opseg obveza i prava iz članaka od 12. do 22. i članka 34. te članka 5. ako te odredbe odgovaraju pravima i obvezama predviđenima u člancima od 12. do 22., ako se takvim ograničenjem poštuje bit temeljnih prava i sloboda te ono predstavlja nužnu i razmjernu mjeru u demokratskom društvu za zaštitu:

(a)

nacionalne sigurnosti;

(b)

obrane;

(c)

javne sigurnosti;

(d)

sprečavanja, istrage, otkrivanja ili progona kaznenih djela ili izvršavanja kaznenopravnih sankcija, uključujući zaštitu od prijetnji javnoj sigurnosti i njihovo sprečavanje;

(e)

drugih važnih ciljeva od općeg javnog interesa Unije ili države članice, osobito važnog gospodarskog ili financijskog interesa Unije ili države članice, što uključuje monetarna, proračunska i porezna pitanja, javno zdravstvo i socijalnu sigurnost;

(f)

zaštite neovisnosti pravosuđa i sudskih postupaka;

(g)

sprečavanja, istrage, otkrivanja i progona kršenja etike za regulirane struke;

(h)

funkcije praćenja, inspekcije ili regulatorne funkcije koja je, barem povremeno, povezana s izvršavanjem službene ovlasti u slučajevima iz točaka od (a) do (e) i točke (g);

(i)

zaštite ispitanika ili prava i sloboda drugih;

(j)

ostvarivanja potraživanja u građanskim sporovima.

2.   Osobito, svaka zakonodavna mjera iz stavka 1. sadrži posebne odredbe, prema potrebi, najmanje o:

(a)

svrhama obrade ili kategorijama obrade,

(b)

kategorijama osobnih podataka,

(c)

opsegu uvedenih ograničenja,

(d)

zaštitnim mjerama za sprečavanje zlouporabe ili nezakonitog pristupa ili prijenosa;

(e)

specifikaciji voditelja obrade ili kategorija voditeljâ obrade,

(f)

razdoblju pohrane i zaštitnim mjerama koje se mogu primijeniti uzimajući u obzir prirodu, opseg i svrhe obrade ili kategorije obrade;

(g)

rizicima za prava i slobode ispitanika; i

(h)

pravu ispitanika da budu obaviješteni o ograničenju, osim ako može biti štetno za svrhu tog ograničenja.

POGLAVLJE IV.

Voditelj obrade i izvršitelj obrade

Odjeljak 1.

Opće obveze

Članak 24.

Obveze voditelja obrade

1.   Uzimajući u obzir prirodu, opseg, kontekst i svrhe obrade, kao i rizike različitih razina vjerojatnosti i ozbiljnosti za prava i slobode pojedinaca, voditelj obrade provodi odgovarajuće tehničke i organizacijske mjere kako bi osigurao i mogao dokazati da se obrada provodi u skladu s ovom Uredbom. Te se mjere prema potrebi preispituju i ažuriraju.

2.   Ako su razmjerne u odnosu na aktivnosti obrade, mjere iz stavka 1. uključuju provedbu odgovarajućih politika zaštite podataka od strane voditelja obrade.

3.   Poštovanje odobrenih kodeksa ponašanja iz članka 40. ili odobrenih mehanizama certificiranja iz članka 42. može se iskoristiti kao element za dokazivanje sukladnosti s obvezama voditelja obrade.

Članak 25.

Tehnička i integrirana zaštita podataka

1.   Uzimajući u obzir najnovija dostignuća, trošak provedbe te prirodu, opseg, kontekst i svrhe obrade, kao i rizike različitih razina vjerojatnosti i ozbiljnosti za prava i slobode pojedinaca koji proizlaze iz obrade podataka, voditelj obrade, i u vrijeme određivanja sredstava obrade i u vrijeme same obrade, provodi odgovarajuće tehničke i organizacijske mjere, poput pseudonimizacije, za omogućavanje učinkovite primjene načela zaštite podataka, kao što je smanjenje količine podataka, te uključenje zaštitnih mjera u obradu kako bi se ispunili zahtjevi iz ove Uredbe i zaštitila prava ispitanika.

2.   Voditelj obrade provodi odgovarajuće tehničke i organizacijske mjere kojima se osigurava da integriranim načinom budu obrađeni samo osobni podaci koji su nužni za svaku posebnu svrhu obrade. Ta se obveza primjenjuje na količinu prikupljenih osobnih podataka, opseg njihove obrade, razdoblje pohrane i njihovu dostupnost. Točnije, takvim se mjerama osigurava da osobni podaci nisu automatski, bez intervencije pojedinca, dostupni neograničenom broju pojedinca.

3.   Odobren mehanizam certificiranja sukladno članku 42. može se iskoristiti kao element za dokazivanje sukladnosti sa zahtjevima iz stavaka 1. i 2. ovog članka.

Članak 26.

Zajednički voditelji obrade

1.   Ako dvoje ili više voditelja obrade zajednički odrede svrhe i načine obrade, oni su zajednički voditelji obrade. Oni na transparentan način određuju svoje odgovornosti za poštovanje obveza iz ove Uredbe, osobito s obzirom na ostvarivanje prava ispitanika i svojih dužnosti u pogledu pružanja informacija iz članaka 13. i 14., te to čine međusobnim dogovorom, osim ako su odgovornosti voditeljâ obrade utvrđene pravom Unije ili pravom države članice kojem voditelji obrade podliježu i u mjeri u kojoj su one utvrđene. Dogovorom se može odrediti kontaktna točka za ispitanike.

2.   Dogovor iz stavka 1. mora odražavati pojedinačne uloge i odnose zajedničkih voditelja obrade u odnosu na ispitanike. Bit dogovora mora biti dostupna ispitaniku.

3.   Bez obzira na uvjete dogovora iz stavka 1. ispitanik može ostvarivati svoja prava iz ove Uredbe u vezi sa svakim voditeljem obrade, kao i protiv svakog od njih.

Članak 27.

Predstavnici voditeljâ obrade ili izvršitelja obrade koji nemaju poslovni nastan u Uniji

1.   Ako se primjenjuje članak 3. stavak 2., voditelj obrade ili izvršitelj obrade pisanim putem imenuju predstavnika u Uniji.

2.   Ova se obveza iz stavka 1. ovog članka ne primjenjuje na:

(a)

obradu koja je povremena, ne uključuje u velikoj mjeri obradu posebnih kategorija podataka iz članka 9. stavka 1. ili obradu osobnih podataka u vezi s kaznenim osudama i kažnjivim djelima iz članka 10. te za koju nije vjerojatno da će prouzročiti rizik za prava i slobode pojedinaca uzimajući u obzir prirodu, kontekst, opseg i svrhe obrade; ili

(b)

tijelo javne vlasti ili javno tijelo.

3.   Predstavnik mora imati poslovni nastan u jednoj od država članica u kojoj se nalaze ispitanici čiji se osobni podaci obrađuju u vezi s robom ili uslugama koje im se nude ili čije se ponašanje prati.

4.   Voditelj obrade ili izvršitelj obrade ovlašćuju predstavnika kako bi se, uz obraćanje voditelju obrade ili izvršitelju obrade ili umjesto obraćanja njima, njemu obraćali osobito nadzorna tijela i ispitanici u pogledu svih pitanja u vezi s obradom za potrebe osiguravanja sukladnosti s ovom Uredbom.

5.   Imenovanje predstavnika voditelja obrade ili izvršitelja obrade ne utječe na pravne zahtjeve koji bi mogle biti postavljeni protiv samog voditelja obrade ili izvršitelja obrade.

Članak 28.

Izvršitelj obrade

1.   Ako se obrada provodi u ime voditelja obrade, voditelj obrade koristi se jedino izvršiteljima obrade koji u dovoljnoj mjeri jamče provedbu odgovarajućih tehničkih i organizacijskih mjera na način da je obrada u skladu sa zahtjevima iz ove Uredbe i da se njome osigurava zaštita prava ispitanika.

2.   Izvršitelj obrade ne smije angažirati drugog izvršitelja obrade bez prethodnog posebnog ili općeg pisanog odobrenja voditelja obrade. U slučaju općeg pisanog odobrenja, izvršitelj obrade obavješćuje voditelja obrade o svim planiranim izmjenama u vezi s dodavanjem ili zamjenom drugih izvršitelja obrade kako bi time voditelju obrade omogućio da uloži prigovor na takve izmjene.

3.   Obrada koju provodi izvršitelj obrade uređuje se ugovorom ili drugim pravnim aktom u skladu s pravom Unije ili pravom države članice, koji izvršitelja obrade obvezuje prema voditelju obrade, a koji navodi predmet i trajanje obrade, prirodu i svrhu obrade, vrstu osobnih podataka i kategoriju ispitanika te obveze i prava voditelja obrade. Tim se ugovorom ili drugim pravnim aktom osobito određuje da izvršitelj obrade:

(a)

obrađuje osobne podatke samo prema zabilježenim uputama voditelja obrade, među ostalim s obzirom na prijenose osobnih podataka trećoj zemlji ili međunarodnoj organizaciji, osim ako to nalaže pravo Unije ili pravo države članice kojem podliježe izvršitelj obrade; u tom slučaju izvršitelj obrade izvješćuje voditelja obrade o tom pravnom zahtjevu prije obrade, osim ako se tim pravom zabranjuje takvo izvješćivanje zbog važnih razloga od javnog interesa;

(b)

osigurava da su se osobe ovlaštene za obradu osobnih podataka obvezale na poštovanje povjerljivosti ili da podliježu zakonskim obvezama o povjerljivosti;

(c)

poduzima sve potrebne mjere u skladu s člankom 32.;

(d)

poštuje uvjete iz stavaka 2. i 4. za angažiranje drugog izvršitelja obrade;

(e)

uzimajući u obzir prirodu obrade, pomaže voditelju obrade putem odgovarajućih tehničkih i organizacijskih mjera, koliko je to moguće, da ispuni obvezu voditelja obrade u pogledu odgovaranja na zahtjeve za ostvarivanje prava ispitanika koja su utvrđena u poglavlju III.;

(f)

pomaže voditelju obrade u osiguravanju usklađenosti s obvezama u skladu s člancima od 32. do 36., uzimajući u obzir prirodu obrade i informacije koje su dostupne izvršitelju obrade;

(g)

po izboru voditelja, briše ili vraća voditelju obrade sve osobne podatke nakon dovršetka pružanja usluga vezanih za obradu te briše postojeće kopije osim ako sukladno pravu Unije ili pravu države članice postoji obveza pohrane osobnih podataka;

(h)

voditelju obrade stavlja na raspolaganje sve informacije koje su neophodne za dokazivanje poštovanja obveza utvrđenih u ovom članku i koje omogućuju revizije, uključujući inspekcije, koje provodi voditelj obrade ili drugi revizor kojeg je ovlastio voditelj obrade, te im doprinose.

U pogledu točke (h) prvog podstavka, izvršitelj obrade odmah obavješćuje voditelja obrade ako prema njegovu mišljenju određena uputa krši ovu Uredbu ili druge odredbe Unije ili države članice o zaštiti podataka.

4.   Ako izvršitelj obrade angažira drugog izvršitelja obrade za provođenje posebnih aktivnosti obrade u ime voditelja obrade, iste obveze za zaštitu podataka kao one koje su navedene u ugovoru ili drugom pravnom aktu između voditelja obrade i izvršitelja obrade iz stavka 3. nameću se tom drugom izvršitelju obrade ugovorom ili drugim pravnim aktom u skladu s pravom Unije ili pravom države članice, a osobito obveza davanja dostatnih jamstava za provedbu odgovarajućih tehničkih i organizacijskih mjera na način da se obradom udovoljava zahtjevima iz ove Uredbe. Ako taj drugi izvršitelj obrade ne ispunjava obveze zaštite podataka, početni izvršitelj obrade ostaje u cijelosti odgovoran voditelju obrade za izvršavanje obveza tog drugog izvršitelja obrade.

5.   Poštovanje od strane izvršitelja obrade odobrenih kodeksa ponašanja iz članka 40. ili odobrenog mehanizma certificiranja iz članka 42. može se koristiti kao element za dokazivanje pružanja dovoljnih jamstava iz stavaka 1. i 4. ovog članka.

6.   Ne dovodeći u pitanje pojedinačni ugovor između voditelja obrade i izvršitelja obrade, ugovor ili drugi pravni akt iz stavaka 3. i 4.ovog članka može se temeljiti, u cijelosti ili djelomično, na standardnim ugovornim klauzulama iz stavaka 7. i 8. ovog članka, među ostalim klauzulama koje su dio certifikata dodijeljenog voditelju obrade ili izvršitelju obrade u skladu s člancima 42. i 43.

7.   Komisija može utvrditi standardne ugovorne klauzule za pitanja iz stavka 3. i 4.ovog članka,a u skladu s postupkom ispitivanja iz članka 93. stavka 2.

8.   Nadzorno tijelo može donijeti standardne ugovorne klauzule za pitanja iz stavka 3. i 4.ovog članka, a u skladu s mehanizmom za usklađivanje iz članka 63.

9.   Ugovor ili drugi pravni akt iz stavaka 3. i 4. mora biti upisanom obliku, uključujući elektronički oblik.

10.   Ne dovodeći u pitanje članke 82., 83. i 84., ako izvršitelj obrade krši ovu Uredbu utvrđivanjem svrhe i načine obrade podataka, izvršitelj obrade smatra se voditeljem obrade u pogledu te obrade.

Članak 29.

Obrada pod vodstvom voditelja obrade ili izvršitelja obrade

Izvršitelj obrade i bilo koja osoba koja djeluje pod vodstvom voditelja obrade ili izvršitelja obrade koja ima pristup osobnim podacima, ne obrađuje te podatke ako to ne zatraži voditelj obrade, osim ako to nalaže pravo Unije ili pravo države članice.

Članak 30.

Evidencija aktivnosti obrade

1.   Svaki voditelj obrade i predstavnik voditelja obrade, ako je primjenjivo, vodi evidenciju aktivnosti obrade za koje je odgovoran. Ta evidencija sadržava sve sljedeće informacije:

(a)

ime i kontaktne podatke voditelja obrade i, ako je primjenjivo, zajedničkog voditelja obrade, predstavnika voditelja obrade i službenika za zaštitu podataka;

(b)

svrhe obrade;

(c)

opis kategorija ispitanika i kategorija osobnih podataka;

(d)

kategorije primateljâ kojima su osobni podaci otkriveni ili će im biti otkriveni, uključujući primatelje u trećim zemljama ili međunarodne organizacije;

(e)

ako je primjenjivo, prijenose osobnih podataka u treću zemlju ili međunarodnu organizaciju, uključujući identificiranje te treće zemlje ili međunarodne organizacije te, u slučaju prijenosa iz članka 49. stavka 1. drugog podstavka, dokumentaciju o odgovarajućim zaštitnim mjerama;

(f)

ako je to moguće, predviđene rokove za brisanje različitih kategorija podataka;

(g)

ako je moguće, opći opis tehničkih i organizacijskih sigurnosnih mjera iz članka 32. stavka 1.

2.   Svaki izvršitelj obrade i predstavnik izvršitelja obrade, ako je primjenjivo, vodi evidenciju svih kategorija aktivnosti obrade koje se obavljaju za voditelja obrade, koja sadržava:

(a)

ime i kontaktne podatke jednog ili više izvršitelja obrade i svakog voditelja obrade u čije ime izvršitelj obrade djeluje te, ako je primjenjivo, predstavnika voditelja obrade ili izvršitelja obrade te službenika za zaštitu podataka;

(b)

kategorije obrade koje se obavljaju u ime svakog voditelja obrade;

(c)

ako je primjenjivo, prijenos osobnih podataka u treću zemlju ili međunarodnu organizaciju, uključujući identificiranje te treće zemlje ili međunarodne organizacije te, u slučaju prijenosa iz članka 49. stavka 1. točke (h), dokumentaciju o odgovarajućim zaštitnim mjerama;

(d)

ako je moguće, opći opis tehničkih i organizacijskih sigurnosnih mjera iz članka 32. stavka 1.

3.   Evidencija iz stavaka 1. i 2. mora biti u pisanom obliku, uključujući elektronički oblik.

4.   Voditelj obrade ili izvršitelj obrade te predstavnik voditelja obrade ili izvršitelja obrade, ako je primjenjivo, na zahtjev daju nadzornom tijelu uvid u evidenciju.

5.   Obveze iz stavaka 1. i 2. ne primjenjuju se na poduzeće ili organizaciju u kojoj je zaposleno manje od 250 osoba, osim ako će obrada koju provodi vjerojatno prouzročiti visok rizik za prava i slobode ispitanika, ako obrada nije povremena ili obrada uključuje posebne kategorije podataka iz članka 9. stavka 1. ili je riječ o osobnim podacima u vezi s kaznenim osudama i kažnjivim djelima iz članka 10.

Članak 31.

Suradnja s nadzornim tijelom

Voditelj obrade i izvršitelj obrade te, ako je to primjenjivo, njihovi predstavnici, na zahtjev surađuju s nadzornim tijelom u ispunjavanju njegovih zadaća.

Odjeljak 2.

Sigurnost osobnih podataka

Članak 32.

Sigurnost obrade

1.   Uzimajući u obzir najnovija dostignuća, troškove provedbe te prirodu, opseg, kontekst i svrhe obrade, kao i rizik različitih razina vjerojatnosti i ozbiljnosti za prava i slobode pojedinaca, voditelj obrade i izvršitelj obrade provode odgovarajuće tehničke i organizacijske mjere kako bi osigurali odgovarajuću razinu sigurnosti s obzirom na rizik, uključujući prema potrebi:

(a)

pseudonimizaciju i enkripciju osobnih podataka;

(b)

sposobnost osiguravanja trajne povjerljivosti, cjelovitosti, dostupnosti i otpornosti sustava i usluga obrade;

(c)

sposobnost pravodobne ponovne uspostave dostupnosti osobnih podataka i pristupa njima u slučaju fizičkog ili tehničkog incidenta;

(d)

proces za redovno testiranje, ocjenjivanje i procjenjivanje učinkovitosti tehničkih i organizacijskih mjera za osiguravanje sigurnosti obrade.

2.   Prilikom procjene odgovarajuće razine sigurnosti u obzir se posebno uzimaju rizici koje predstavlja obrada, posebno rizici od slučajnog ili nezakonitog uništenja, gubitka, izmjene, neovlaštenog otkrivanja osobnih podataka ili neovlaštenog pristupa osobnim podacima koji su preneseni, pohranjeni ili na drugi način obrađivani.

3.   Poštovanje odobrenog kodeksa ponašanja iz članka 40. ili odobrenog mehanizma certificiranja iz članka 42. može se iskoristiti kao element za dokazivanje sukladnosti sa zahtjevima iz stavka 1. ovog članka.

4.   Voditelj obrade i izvršitelj obrade poduzimaju mjere kako bi osigurali da svaki pojedinac koji djeluje pod odgovornošću voditelja obrade ili izvršitelja obrade, a koji ima pristup osobnim podacima, ne obrađuje te podatke ako to nije prema uputama voditelja obrade, osim ako je to obvezan učiniti prema pravu Unije ili pravu države članice.

Članak 33.

Izvješćivanje nadzornog tijela o povredi osobnih podataka

1.   U slučaju povrede osobnih podataka voditelj obrade bez nepotrebnog odgađanja i, ako je izvedivo, najkasnije 72 sata nakon saznanja o toj povredi, izvješćuje nadzorno tijelo nadležno u skladu s člankom 55. o povredi osobnih podataka, osim ako nije vjerojatno da će povreda osobnih podataka prouzročiti rizik za prava i slobode pojedinaca. Ako izvješćivanje nije učinjeno unutar 72 sata, mora biti popraćeno razlozima za kašnjenje.

2.   Izvršitelj obrade bez nepotrebnog odgađanja izvješćuje voditelja obrade nakon što sazna za povredu osobnih podataka.

3.   U izvješćivanju iz stavka 1. mora se barem:

(a)

opisati priroda povrede osobnih podataka, uključujući, ako je moguće, kategorije i približan broj dotičnih ispitanika te kategorije i približan broj dotičnih evidencija osobnih podataka;

(b)

navesti ime i kontaktne podatke službenika za zaštitu podataka ili druge kontaktne točke od koje se može dobiti još informacija;

(c)

opisati vjerojatne posljedice povrede osobnih podataka;

(d)

opisati mjere koje je voditelj obrade poduzeo ili predložio poduzeti za rješavanje problema povrede osobnih podataka, uključujući prema potrebi mjere umanjivanja njezinih mogućih štetnih posljedica.

4.   Ako i u onoj mjeri u kojoj nije moguće istodobno pružiti informacije, informacije je moguće postupno pružati bez nepotrebnog daljnjeg odgađanja.

5.   Voditelj obrade dokumentira sve povrede osobnih podataka, uključujući činjenice vezane zapovredu osobnih podataka, njezine posljedice i mjere poduzete za popravljanje štete. Ta dokumentacija nadzornom tijelu omogućuje provjeru poštovanja ovog članka.

Članak 34.

Obavješćivanje ispitanika o povredi osobnih podataka

1.   U slučaju povrede osobnih podataka koje će vjerojatno prouzročiti visok rizik za prava i slobode pojedinaca, voditelj obrade bez nepotrebnog odgađanja obavješćuje ispitanika o povredi osobnih podataka.

2.   Obavješćivanjem ispitanika iz stavka 1. ovog članka opisuje se priroda povrede osobnih podataka uporabom jasnog i jednostavnog jezika te ono sadržava barem informacije i mjere iz članka 33. stavka 3. točaka (b), (c) i (d).

3.   Obavješćivanje ispitanika iz stavka 1. nije obvezno ako je ispunjen bilo koji od sljedećih uvjeta:

(a)

voditelj obrade poduzeo je odgovarajuće tehničke i organizacijske mjere zaštite i te su mjere primijenjene na osobne podatke pogođene povredom osobnih podataka, posebno one koje osobne podatke čine nerazumljivima bilo kojoj osobi koja im nije ovlaštena pristupiti, kao što je enkripcija;

(b)

voditelj obrade poduzeo je naknadne mjere kojima se osigurava da više nije vjerojatno da će doći do visokog rizika za prava i slobode ispitanika iz stavka 1.;

(c)

time bi se zahtijevao nerazmjeran napor. U takvom slučaju mora postojati javno obavješćivanje ili slična mjera kojom se ispitanici obavješćuju na jednako djelotvoran način.

4.   Ako voditelj obrade nije do tog trenutka obavijestio ispitanika o povredi osobnih podataka, nakon razmatranja razine vjerojatnosti da će povreda osobnih podataka prouzročiti visok rizik, nadzorno tijelo može od njega zahtijevati da to učini ili može zaključiti da je ispunjen neki od uvjeta navedenih u stavku 3.

Odjeljak 3.

Procjena učinka na zaštitu podataka i prethodno savjetovanje

Članak 35.

Procjena učinka na zaštitu podataka

1.   Ako je vjerojatno da će neka vrsta obrade, osobito putem novih tehnologija i uzimajući u obzir prirodu, opseg, kontekst i svrhe obrade, prouzročiti visok rizik za prava i slobode pojedinaca, voditelj obrade prije obrade provodi procjenu učinka predviđenih postupaka obrade na zaštitu osobnih podataka. Jedna procjena može se odnositi na niz sličnih postupaka obrade koji predstavljaju slične visoke rizike.

2.   Pri provođenju procjene učinka na zaštitu podataka voditelj obrade traži savjet od službenika za zaštitu podataka, ako je on imenovan.

3.   Procjena učinka na zaštitu podataka iz stavka 1. obvezna je osobito u slučaju:

(a)

sustavne i opsežne procjene osobnih aspekata u vezi s pojedincima koja se temelji na automatiziranoj obradi, uključujući izradu profila, i na temelju koje se donose odluke koje proizvode pravne učinke koji se odnose na pojedinca ili na sličan način značajno utječu na pojedinca;

(b)

opsežne obrade posebnih kategorija osobnih podataka iz članka 9. stavka 1. ili podataka u vezi s kaznenim osudama i kažnjivim djelima iz članka 10.; ili

(c)

sustavnog praćenja javno dostupnog područja u velikoj mjeri.

4.   Nadzorno tijelo uspostavlja i javno objavljuje popis vrsta postupaka obrade koje podliježu zahtjevu za procjenu učinka na zaštitu podataka u skladu sa stavkom 1. Nadzorno tijelo priopćuje te popise Odboru iz članka 68.

5.   Nadzorno tijelo može također uspostaviti i javno objaviti popis vrsta postupaka obrade za koje nije potrebna procjena učinka na zaštitu podataka. Nadzorno tijelo priopćuje te popise Odboru.

6.   Prije usvajanja popisa iz stavaka 4. i 5. nadležno nadzorno tijelo primjenjuje mehanizam konzistentnosti iz članka 63. kada takvi popisi obuhvaćaju aktivnosti obrade koje su povezane s ponudom robe ili usluga ispitanicima ili s praćenjem njihova ponašanja u nekoliko država članica ili koje mogu znatno utjecati na slobodno kretanje osobnih podataka unutar Unije.

7.   Procjena sadrži barem:

(a)

sustavan opis predviđenih postupaka obrade i svrha obrade, uključujući, ako je primjenjivo, legitimni interes voditelja obrade;

(b)

procjenu nužnosti i proporcionalnosti postupaka obrade povezanih s njihovim svrhama;

(c)

procjenu rizika za prava i slobode ispitanikâ iz stavka 1.; i

(d)

mjere predviđene za rješavanje problema rizika, što uključuje zaštitne mjere, sigurnosne mjere i mehanizme za osiguravanje zaštite osobnih podataka i dokazivanje sukladnosti s ovom Uredbom, uzimajući u obzir prava i legitimne interese ispitanika i drugih uključenih osoba.

8.   Poštovanje odobrenih kodeksa ponašanja iz članka 40. od strane relevantnih voditelja obrade ili izvršitelja obrade uzima se u obzir pri procjeni učinka postupaka obrade koje provode ti voditelji obrade ili izvršitelji obrade, posebno u svrhe procjene učinka na zaštitu podataka.

9.   Prema potrebi voditelj obrade od ispitanika ili njihovih predstavnika traži mišljenje o namjeravanoj obradi, ne dovodeći u pitanje komercijalne ili javne interese ili sigurnost postupka obrade.

10.   Ako obrada u skladu s člankom 6. stavkom 1. točkom (c) ili (e) ima pravnu osnovu u pravu Unije ili pravu države članice kojem voditelj obrade podliježe, ako su tim pravom uređuju posebni postupci obrade ili skupina dotičnih postupaka te je procjena učinka na zaštitu podataka već provedena kao dio opće procjene učinka u kontekstu donošenja pravne osnove, stavci od 1. do 7. ne primjenjuju se, osim ako države članice smatraju da je potrebnoprovesti takvu procjenu prije aktivnosti obrade.

11.   Prema potrebi voditelj obrade provodi preispitivanje kako bi procijenio je li obrada provedena u skladu s procjenom učinka na zaštitu podataka barem onda kada postoji promjena u razini rizika koji predstavljaju postupci obrade.

Članak 36.

Prethodno savjetovanje

1.   Voditelj obrade savjetuje se s nadzornim tijelom prije obrade ako se procjenom učinka na zaštitu podataka iz članka 35. pokazalo da bi, u slučaju da voditelj obrade ne donese mjere za ublažavanje rizika, obrada dovela do visokog rizika.

2.   Ako nadzorno tijelo smatra da bi se namjeravanom obradom iz stavka 1. kršila ova Uredba, osobito ako voditelj obrade nije u dovoljnoj mjeri utvrdio ili umanjio rizik, nadzorno tijelo u roku od najviše osam tjedana od zaprimanja zahtjeva za savjetovanje pisanim putem savjetuje voditelja obrade i, prema potrebi, izvršitelja obrade, te može iskoristiti bilo koju od svojih ovlasti iz članka 58. Taj se rok može prema potrebi produžiti za šest tjedana, uzimajući u obzir složenost namjeravane obrade. Nadzorno tijelo u roku od mjesec dana od zaprimanja zahtjeva obavješćuje voditelja obrade, i, prema potrebi, izvršitelja obrade o svakom takvom produljenju i o razlozima odgode. Ti se rokovi mogu suspendirati sve dok nadzorno tijelo ne dobije informacije koje je moglo zatražiti u svrhe savjetovanja.

3.   Prilikom savjetovanja s nadzornim tijelom u skladu sa stavkom 1. voditelj obrade nadzornom tijelu dostavlja:

(a)

ako je primjenjivo, odgovarajuće odgovornosti voditelja obrade, zajedničkih voditelja obrade i izvršitelja obrade uključenih u obradu, osobito za obrade unutar grupe poduzetnika;

(b)

svrhu i sredstva namjeravane obrade;

(c)

zaštitne mjere i druge mjere za zaštitu prava i sloboda ispitanika u na temelju ove Uredbe;

(d)

ako je primjenjivo, kontaktne podatke službenika za zaštitu podataka;

(e)

procjenu učinka na zaštitu podataka kako je predviđena u članku 35.; i

(f)

sve druge informacije koje nadzorno tijelo zatraži.

4.   Države članice savjetuju se s nadzornim tijelom tijekom izrade prijedloga zakonodavne mjere koju donosi nacionalni parlament ili podzakonske mjere koja se temelji na takvoj zakonodavnoj mjeri, a koja se odnosi na obradu.

5.   Neovisno ostavku 2., od voditelja obrade se pravom države članice može zahtijevati da se savjetuju s nadzornim tijelom i od njega dobiju prethodno odobrenje u pogledu obrade koju obavlja voditelj obrade za izvršenje zadaće koju voditelj obrade provodi u javnom interesu, uključujući i obradu u vezi sa socijalnom zaštitom i javnim zdravljem.

Odjeljak 4.

Službenik za zaštitu podataka

Članak 37.

Imenovanje službenika za zaštitu podataka

1.   Voditelj obrade i izvršitelj obrade imenuju službenika za zaštitu podataka u svakom slučaju u kojem:

(a)

obradu provodi tijelo javne vlasti ili javno tijelo, osim za sudove koji djeluju u okviru svoje sudske nadležnosti,

(b)

osnovne djelatnosti voditelja obrade ili izvršitelja obrade sastoje se od postupaka obrade koji zbog svoje prirode, opsega i/ili svrha iziskuju redovito i sustavno praćenje ispitanika u velikoj mjeri, ili

(c)

osnovne djelatnosti voditelja obrade ili izvršitelja obrade sastoje se od opsežne obrade posebnih kategorija podataka na temelju članka 9. i osobnih podataka u vezi s kaznenim osudama i kažnjivim djelima iz članka 10.

2.   Grupa poduzetnika može imenovati jednog službenika za zaštitu podataka pod uvjetom da je službenik za zaštitu podataka lako dostupan iz svakog poslovnog nastana.

3.   Ako je voditelj obrade ili izvršitelj obrade tijelo javne vlasti ili javno tijelo, za nekoliko takvih vlasti ili tijela može se imenovati jedan službenik za zaštitu podataka, uzimajući u obzir njihovu organizacijsku strukturu i veličinu.

4.   U slučajevima osim onih iz stavka 1. voditelj obrade ili izvršitelj obrade ili udruženja i druga tijela koji predstavljaju kategoriju voditeljâ obrade ili izvršitelja obrade mogu ili, ako to nalaže pravo Unije ili pravo države članice, moraju imenovati službenika za zaštitu podataka. Službenik za zaštitu podataka može djelovati za takva udruženja i druga tijela koji predstavljaju voditelje obrade ili izvršitelje obrade.

5.   Službenik za zaštitu podataka imenuje se na temelju stručnih kvalifikacija, a osobito stručnog znanja o pravu i praksama u području zaštite podataka te sposobnosti izvršavanja zadaća iz članka 39.

6.   Službenik za zaštitu podataka može biti član osoblja voditelja obrade ili izvršitelja obrade ili obavljati zadaće na temelju ugovora o djelu.

7.   Voditelj obrade ili izvršitelj obrade objavljuje kontaktne podatke službenika za zaštitu podataka i priopćuje ih nadzornom tijelu.

Članak 38.

Radno mjesto službenika za zaštitu podataka

1.   Voditelj obrade i izvršitelj obrade osiguravaju da je službenik za zaštitu podataka na primjeren način i pravodobno uključen u sva pitanja u pogledu zaštite osobnih podataka.

2.   Voditelj obrade i izvršitelj obrade podupiru službenika za zaštitu podataka u izvršavanju zadaća iz članka 39. pružajući mu potrebna sredstva za izvršavanje tih zadaća i ostvarivanje pristupa osobnim podacima i postupcima obrade te za održavanje njegova stručnog znanja.

3.   Voditelj obrade i izvršitelj obrade osiguravaju da službenik za zaštitu podataka ne prima nikakve upute u pogledu izvršenja tih zadaća. Voditelj obrade ili izvršitelj obrade ne smiju ga razriješiti dužnosti ili kazniti zbog izvršavanja njegovih zadaća. Službenik za zaštitu podataka izravno odgovara najvišoj rukovodećoj razini voditelja obrade ili izvršitelja obrade.

4.   Ispitanici mogu kontaktirati službenika za zaštitu podataka u pogledu svih pitanja povezanih s obradom svojih osobnih podataka i ostvarivanja svojih prava iz ove Uredbe.

5.   Službenik za zaštitu podataka obvezan je tajnošću ili povjerljivošću u vezi s obavljanjem svojih zadaća, u skladu s pravom Unije ili pravom države članice.

6.   Službenik za zaštitu podataka može ispunjavati i druge zadaće i dužnosti. Voditelj obrade ili izvršitelj obrade osigurava da takve zadaće i dužnosti ne dovedu do sukoba interesa.

Članak 39.

Zadaće službenika za zaštitu podataka

1.   Službenik za zaštitu podataka obavlja najmanje sljedeće zadaće:

(a)

informiranje i savjetovanje voditelja obrade ili izvršitelja obrade te zaposlenika koji obavljaju obradu o njihovim obvezama iz ove Uredbe te drugim odredbama Unije ili države članice o zaštiti podataka;

(b)

praćenje poštovanja ove Uredbe te drugih odredaba Unije ili države članice o zaštiti podataka i politika voditelja obrade ili izvršitelja obrade u odnosu na zaštitu osobnih podataka, uključujući raspodjelu odgovornosti, podizanje svijesti i osposobljavanje osoblja koje sudjeluje u postupcima obrade te povezane revizije;

(c)

pružanje savjeta, kada je to zatraženo, u pogledu procjene učinka na zaštitu podataka i praćenje njezina izvršavanja u skladu s člankom 35.;

(d)

suradnja s nadzornim tijelom;

(e)

djelovanje kao kontaktna točka za nadzorno tijelo o pitanjima u pogledu obrade, što uključuje i prethodno savjetovanje iz članka 36. te savjetovanje, prema potrebi, o svim drugim pitanjima.

2.   Službenik za zaštitu podataka pri obavljanju svojih zadaća vodi računa o riziku povezanom s postupcima obrade i uzima u obzir prirodu, opseg, kontekst i svrhe obrade.

Odjeljak 5.

Kodeksi ponašanja i certificiranje

Članak 40.

Kodeksi ponašanja

1.   Države članice, nadzorna tijela, Odbor i Komisija potiču izradu kodeksâ ponašanja koji su namijenjeni pružanju doprinosa ispravnoj primjeni ove Uredbe, uzimajući u obzir posebna obilježja različitih sektora obrade i posebne potrebe mikro, malih i srednjih poduzeća.

2.   Udruženja i druga tijela koja predstavljaju kategorije voditelja obrade ili izvršitelja obrade mogu izraditi kodekse ponašanja ili izmijeniti ili proširiti takve kodekse radi preciziranja primjene ove Uredbe, kao što je u pogledu:

(a)

poštene i transparentne obrade;

(b)

legitimnih interesa voditelj obrade u posebnim kontekstima;

(c)

prikupljanja osobnih podataka;

(d)

pseudonimizacije osobnih podataka;

(e)

informiranja javnosti i ispitanika;

(f)

ostvarivanja prava ispitanika;

(g)

informiranja i zaštite djece te načina pribavljanja privole nositelja roditeljske odgovornosti nad djetetom;

(h)

mjera i postupaka iz članaka 24. i 25. te mjera za osiguravanje sigurnosti obrade iz članka 32.;

(i)

izvješćivanja nadzornih tijela o povredama osobnih podataka i obavješćivanja ispitanika o takvim povredama;

(j)

prijenosa osobnih podataka trećim zemljama ili međunarodnim organizacijama; ili

(k)

izvansudskih postupaka i drugih postupaka za rješavanje sporova između voditelja obrade i ispitanika s obzirom na obradu, ne dovodeći u pitanje prava ispitanika na temelju članaka 77. i 79.

3.   Osim što ih poštuju voditelji obrade i izvršitelji obrade koji podliježu ovoj Uredbi, kodekse ponašanja koji su odobreni na temelju stavka 5. ovog članka i koji imaju opću valjanost na temelju stavka 4. ovog članka mogu poštovati i voditelji obrade ili izvršitelji obrade koji ne podliježu ovoj Uredbi na temelju članka 3., kako bi osigurali odgovarajuće zaštitne mjere u okviru prijenosa osobnih podataka trećim zemljama ili međunarodnim organizacijama pod uvjetima iz članka 46. stavka 2. točke (e). Takvi voditelji obrade ili izvršitelji obrade putem ugovornih ili drugih pravno obvezujućih instrumenata preuzimaju obvezujuće i provedive obveze za primjenu tih odgovarajućih zaštitnih mjera, među ostalim s obzirom na prava ispitanika.

4.   Kodeks ponašanja iz stavka 2. ovog članka sadržava mehanizme koji tijelu iz članka 41. stavka 1. omogućuju da provodi obvezno praćenje sukladnosti voditeljâ obrade ili izvršiteljâ obrade koji su se obvezali na njegovu primjenu, ne dovodeći u pitanje zadaće i ovlasti nadzornih tijela koja su nadležna na temelju članka 55. ili članka 56.

5.   Udruženja i druga tijela iz stavka2.ovog članka koji namjeravaju izraditi kodeks ponašanja ili izmijeniti ili proširiti postojeći kodeks, nacrt kodeksa, izmjenu ili proširenje predaju nadzornom tijelu koje je nadležno na temelju članka 55. Nadzorno tijelo daje mišljenje o tome je li nacrt kodeksa, izmjena ili proširenje u skladu s ovom Uredbom te takav nacrt kodeksa, izmjenu ili proširenje odobrava ako smatra da osigurava dovoljno prikladne zaštitne mjere.

6.   Ako je nacrt kodeksa ponašanja, izmjena ili proširenje odobreno u skladu sa stavkom 5. te ako se dotični kodeks ponašanja ne odnosi na aktivnosti obrade u nekoliko država članica, nadzorno tijelo kodeks registrira i objavljuje.

7.   Ako se nacrt kodeksa ponašanja odnosi na aktivnosti obrade u nekoliko država članica, nadzorno tijelo nadležno na temelju članka 55. prije davanja odobrenja nacrt kodeksa, izmjenu ili proširenje predaje u postupak iz članka 63. Odboru koji daje mišljenje o tome je li nacrt kodeksa,izmjena ili proširenje sukladan ovoj Uredbi ili, u situaciji iz stavka 3., osiguravaju li se njime odgovarajuće zaštitne mjere.

8.   Ako se mišljenjem iz stavka 7. potvrdi da je nacrt kodeksa, izmjena ili proširenje u skladu s ovom Uredbom ili, u situaciji iz stavka 3. ovog članka, da se njima osiguravaju odgovarajuće zaštitne mjere, Odbor predaje svoje mišljenje Komisiji.

9.   Komisija može provedbenim aktima odlučiti da odobreni kodeks, izmjene ili proširenja koji su joj predani u skladu sa stavkom 8. ovog članka imaju opću valjanost unutar Unije. Ti provedbeni akti donose se u skladu s postupkom ispitivanja iz članka 93. stavka 2.

10.   Komisija osigurava odgovarajuću objavu odobrenih kodeksa za koje je odlučeno da imaju opću valjanost u skladu sa stavkom 9.

11.   Odbor unosi sve odobrene kodekse ponašanja, izmjene i proširenja u evidenciju i objavljuje ih na bilo koji prikladan način.

Članak 41.

Praćenje odobrenih kodeksa ponašanja

1.   Ne dovodeći u pitanje zadaće i ovlasti nadležnog nadzornog tijela iz članaka 57. i 58., praćenje sukladnosti s kodeksom ponašanja u skladu s člankom 40. može provoditi tijelo s odgovarajućim stupnjem stručnosti za predmet kodeksa i koje je u tu svrhu akreditiralo nadležno nadzorno tijelo.

2.   Tijelo iz stavka 1. može biti akreditirano za praćenje sukladnosti s kodeksom ponašanja ako je to tijelo:

(a)

nadležnom nadzornom tijelu zadovoljavajuće dokazalo svoju neovisnost i stručnost u predmetu kodeksa;

(b)

uspostavilo postupke koji mu omogućuju procjenu kvalificiranosti voditelja obrade i izvršitelja obrade za primjenu kodeksa, praćenje njihova poštovanja odredbi kodeksa i periodičnog preispitivanja njegova funkcioniranja;

(c)

uspostavilo postupke i strukture za rješavanje pritužbi na kršenja kodeksa ili na način na koji voditelj obrade ili izvršitelj obrade provode ili su proveli kodeks i učinilo te postupke i strukture transparentnima ispitanicima i javnosti; i

(d)

nadležnom nadzornom tijelu na njemu zadovoljavajući način dokazalo da njegove zadaće i dužnosti ne dovode do sukoba interesa.

3.   Nadležno nadzorno tijelo predaje nacrt kriterija za akreditaciju tijela iz stavka 1. ovog članka Odboru u skladu s mehanizmom konzistentnosti iz članka 63.

4.   Ne dovodeći u pitanje zadaće i ovlasti nadležnog nadzornog tijela i odredbe poglavlja VIII., tijelo iz stavka 1. ovog članka, uz primjenu prikladnih zaštitnih mjera, poduzima odgovarajuće radnje u slučajevima u kojima voditelj obrade ili izvršitelj obrade krše kodeks, što uključuje suspendiranje ili isključivanje dotičnog voditelja obrade ili izvršitelja obrade iz kodeksa. Ono izvješćuje nadležno nadzorno tijelo o takvim radnjama i razlozima za njihovo poduzimanje.

5.   Nadležno nadzorno tijelo povlači akreditaciju tijela iz stavka 1. ako se ne ispune uvjeti za akreditaciju ili oni više nisu ispunjeni, ili radnje koje provodi tijelo krše ovu Uredbu.

6.   Ovaj članak ne primjenjuje se na obradu obavljaju tijela javne vlasti i javna tijela.

Članak 42.

Certificiranje

1.   Države članice, nadzorna tijela, Odbor i Komisija potiču, osobito na razini Unije, uspostavu mehanizama certificiranja zaštite podataka te pečata i oznaka za zaštitu podataka u svrhu dokazivanja da su postupci obrade koje provode voditelj obrade i izvršitelj obrade u skladu s ovom Uredbom. Uzimaju se u obzir posebne potrebe mikro, malih i srednjih poduzeća.

2.   Osim što ih poštuju voditelji obrade ili izvršitelji obrade koji podliježu ovoj Uredbi, mehanizmi certificiranja zaštite podataka, pečati ili oznake odobreni na temelju stavka 5.ovog članka mogu se uspostaviti kako bi se dokazalo postojanje odgovarajućih mjera zaštite koje osiguravaju voditelji obrade i izvršitelji obrade koji ne podliježu ovoj Uredbi na temelju članka 3. u okviru prijenosa osobnih podataka trećim zemljama ili međunarodnim organizacijama pod uvjetima iz članka 46. stavka 2. točke (f). Takvi voditelji obrade ili izvršitelji obrade putem ugovornih ili drugih pravno obvezujućih instrumenata preuzimaju obvezujuće i provedive obveze za primjenu tih odgovarajućih mjera zaštite, među ostalim u pogledu prava ispitanika.

3.   Certificiranje je dobrovoljno i dostupno putem procesa koji je transparentan.

4.   Certificiranje na temelju ovog članka ne umanjuje odgovornost voditelja obrade ili izvršitelja obrade za poštovanje ove Uredbe i ne dovodi u pitanje zadaće i ovlasti nadzornih tijela nadležnih na temelju članka 55. ili članka 56.

5.   Certificiranje na temelju ovog članka izdaju certifikacijska tijela iz članka 43. ili nadležno nadzorno tijelo, na temelju kriterija koje je odobrilo to nadležno nadzorno tijelo na temelju članka 58. stavka 3., ili Odbor na temelju članka 63.Ako je Odbor odobrio kriterije, iz toga može proizaći zajednička certifikacija: Europski pečat za zaštitu podataka.

6.   Voditelj obrade ili izvršitelj obrade koji svoje obrade predaje mehanizmu certificiranja pruža sve informacije i pristup svojim aktivnostima obrade koje su potrebne za vođenje postupka certificiranja certifikacijskom tijelu iz članka 43. ili prema potrebi nadležnom nadzornom tijelu.

7.   Certifikat se voditelju obrade ili izvršitelju obrade izdaje na najviše tri godine i može se obnoviti pod istim uvjetima ako su i dalje ispunjeni relevantni zahtjevi. Certifikacijska tijela iz članka 43. ili nadležno nadzorno tijelo povlače certifikat prema potrebi ako se ne ispune zahtjevi za certificiranja ili ako oni više nisu ispunjeni.

8.   Odbor sve mehanizme certificiranja, pečate i oznake za zaštitu podataka unosi u evidenciju i objavljuje ih na bilo koji prikladan način.

Članak 43.

Certifikacijska tijela

1.   Ne dovodeći u pitanje zadaće i ovlasti nadležnog nadzornog tijela iz članaka 57. i 58., certifikacijska tijela s odgovarajućim stupnjem stručnosti iz područja zaštite podataka, nakon što se o tome obavijesti nadležno tijelo kako bi ono moglo prema potrebi izvršavati svoje ovlasti na temelju članka 58. stavka 2. točke (h), izdaje i obnavlja certificiranje. Države članice osiguravaju da je ta certifikacijska tijela akreditiralo jedno ili oba sljedeća tijela:

(a)

nadzorno tijelo koje je nadležno u skladu s člankom 55. ili člankom 56.;

(b)

nacionalno akreditacijsko tijelo imenovano u skladu s Uredbom (EZ) br. 765/2008 Europskog parlamenta i Vijeća (20) u skladu s EN-ISO/IEC 17065/2012 i s dodatnim zahtjevima koje određuje nadzorno tijelo koje je nadležno u skladu s člankom 55. ili člankom 56.

2.   Certifikacijska tijela iz stavka 1. akreditirana su u skladu sa tim stavkom. samo ako su:

(a)

nadležnom nadzornom tijelu zadovoljavajuće dokazala svoju neovisnost i stručnost u predmetu certificiranja;

(b)

obvezala se poštovati kriterije iz članka 42. stavka 5. koje je odobrilo nadzorno tijelo nadležno na temelju članka 55. ili članka 56. ili Odbor na temelju članka 63.;

(c)

uspostavila postupke za izdavanje, periodično preispitivanje i povlačenje certificiranja, pečata i oznaka za zaštitu podataka;

(d)

uspostavila postupke i strukture za rješavanje pritužbi na kršenja certifikacije ili način na koji voditelj obrade ili izvršitelj obrade provode ili su proveli certificiranje, i učinila te postupke i strukture transparentnima ispitanicima i javnosti; i

(e)

nadležnom nadzornom tijelu na zadovoljavajući način dokazala da njegove zadaće i dužnosti ne dovode do sukoba interesa.

3.   Akreditacija certifikacijskih tijela iz stavaka 1. i 2. ovog članka provodi se na temelju kriterija koje je odobrilo nadzorno tijelo nadležno na temelju članka 55. ili članka 56. ili Odbor na temelju članka 63. Ako je akreditacija provedena na temelju stavka 1. točke (b) ovog članka, ti zahtjevi služe kao nadopuna zahtjevima predviđenima u Uredbi (EZ) br. 765/2008 i tehničkim pravilima kojima su opisani metode i postupci certifikacijskih tijela.

4.   Certifikacijska tijela iz stavka 1. odgovorna su za ispravnu procjenu koja dovodi do certifikacije ili povlačenja takvog certifikata ne dovodeći u pitanje odgovornosti voditelja obrade ili izvršitelja obrade da poštuju ovu Uredbu. Akreditacija se izdaje na najviše pet godina i može se obnoviti pod istim uvjetima ako certifikacijsko tijelo i dalje ispunjava relevantne zahtjeve iz ovog članka.

5.   Certifikacijska tijela iz stavka 1. nadležnim nadzornim tijelima navode razloge za davanje ili povlačenje zatraženog certifikata.

6.   Nadzorno tijelo u lako dostupnom obliku objavljuje zahtjeve iz stavka 3. ovog članka i kriterije iz članka 42. stavka 5. Nadzorna tijela prosljeđuju te zahtjeve i kriterije Odboru. Odbor sve mehanizme certificiranja i pečate za zaštitu podataka unosi u evidenciju te ih objavljuje na bilo koji prikladan način.

7.   Ne dovodeći u pitanje poglavlje VIII., nadležno nadzorno tijelo ili nacionalno akreditacijsko tijelo povlači akreditaciju certifikacijskog tijela na temelju stavka 1. ovog članka ako se ne ispune uvjeti za akreditaciju ili oni više nisu ispunjeni, ili ako se radnjama koje provodi certifikacijsko tijelo krši ova Uredba.

8.   Komisija ima ovlasti donositi delegirane akte u skladu s člankom 92. u svrhu preciziranja zahtjeva koje je potrebno uzeti u obzir za mehanizme certificiranja zaštite podataka iz članka 42. stavka 1.

9.   Komisija može donijeti provedbene akte kojima propisuje tehničke standarde za mehanizme certificiranja, pečate i oznake za zaštitu podataka te mehanizme promicanja i priznavanja tih mehanizama certificiranja, pečata i oznaka. Ti provedbeni akti donose se u skladu s postupkom ispitivanja iz članka 93. stavka 2.

POGLAVLJE V.

Prijenosi osobnih podataka trećim zemljama ili međunarodnim organizacijama

Članak 44.

Opća načela prijenosa

Svaki prijenos osobnih podataka koji se obrađuju ili su namijenjeni za obradu nakon prijenosa u treću zemlju ili međunarodnu organizaciju odvija se jedino ako, u skladu s drugim odredbama ove Uredbe, voditelj obrade i izvršitelj obrade djeluju u skladu s uvjetima iz ovog poglavlja koji vrijede i za daljnje prijenose osobnih podataka iz treće zemlje ili međunarodne organizacije u još jednu treću zemlju ili međunarodnu organizaciju. Sve odredbe iz ovog poglavlja primjenjuju se kako bi se osiguralo da se ne ugrozi razina zaštite pojedinaca zajamčena ovom Uredbom.

Članak 45.

Prijenosi na temelju odluke o primjerenosti

1.   Prijenos osobnih podataka trećoj zemlji ili međunarodnoj organizaciji može se dogoditi kada Komisija odluči da treća zemlja, područje, ili jedan ili više određenih sektora unutar te treće zemlje, ili međunarodna organizacija o kojoj je riječ osigurava primjerenu razinu zaštite. Takav prijenos ne zahtijeva posebno odobrenje.

2.   Prilikom procjene primjerenosti stupnja zaštite Komisija osobito uzima u obzir sljedeće elemente:

(a)

vladavinu prava, poštovanje ljudskih prava i temeljnih sloboda, relevantno zakonodavstvo, i opće i sektorsko, što uključuje zakonodavstvo o javnoj sigurnosti, obrani, nacionalnoj sigurnosti, kaznenom pravu i pristupu tijela javne vlasti osobnim podacima, kao i provedbu tog zakonodavstva, pravila o zaštiti podataka, pravila struke i mjere sigurnosti, što uključuje pravila za daljnji prijenos osobnih podataka još jednoj trećoj zemlji ili međunarodnoj organizaciji, koja se poštuju u toj trećoj zemlji ili međunarodnoj organizaciji, sudsku praksu te postojanje djelotvornih i provedivih prava ispitanika te učinkovite upravne i sudske zaštite ispitanika čiji se osobni podaci prenose;

(b)

postojanje i djelotvorno funkcioniranje jednog neovisnog nadzornog tijela ili više njih u trećoj zemlji, ili tijela kojem podliježe međunarodna organizacija, s odgovornošću osiguravanja i provođenja poštovanja pravila o zaštiti podataka, što uključuje primjerene provedbene ovlasti za pomoć ispitanicima i savjetovanje ispitanika u ostvarivanju njihovih prava te za suradnju s nadzornim tijelima država članica; i

(c)

međunarodne obveze koje je dotična treća zemlja ili međunarodna organizacija preuzela, ili druge obveze koje proizlaze iz pravno obvezujućih konvencija ili instrumenata, kao i iz njezina sudjelovanja u multilateralnim ili regionalnim sustavima, osobito u vezi sa zaštitom osobnih podataka.

3.   Komisija nakon procjene primjerenosti stupnja zaštite može putem provedbenog akta odlučiti da treća zemlja, područje, ili jedan ili više određenih sektora unutar treće zemlje, ili međunarodna organizacija osigurava primjerenu razinu zaštite u smislu stavka 2. ovog članka. U provedbenom aktu predviđa se mehanizam za periodično preispitivanje, najmanje svake četiri godine, kojim će se uzeti u obzir svi relevantni događaji u toj trećoj zemlji ili međunarodnoj organizaciji. U provedbenom aktu precizira se teritorijalna i sektorska primjena, a prema potrebi utvrđuje se i nadzorno tijelo ili nadzorna tijela iz stavka 2. točke (b) ovog članka. Provedbeni akt donosi se u skladu s postupkom ispitivanja iz članka 93. stavka 2.

4.   Komisija kontinuirano prati razvoj događaja u trećim zemljama i međunarodnim organizacijama koji bi mogli utjecati na funkcioniranje odluka donesenih u skladu sa stavkom 3. ovog članka i odluka donesenih na temelju članka 25. stavka 6. Direktive 95/46/EZ.

5.   Ako dostupne informacije otkrivaju, a osobito nakon preispitivanja iz stavka 3. ovog članka, da treća zemlja, područje ili jedan ili više određenih sektora unutar treće zemlje, ili međunarodna organizacija više ne osigurava primjerenu razinu zaštite u smislu stavka 2. ovog članka u mjeri u kojoj je to potrebno, Komisija provedbenim aktima stavlja izvan snage, mijenja ili suspendira odluku iz stavka 3. ovog članka bez retroaktivnog učinka. Ti provedbeni akti donose se u skladu s postupkom ispitivanja iz članka 93. stavka 2.

Zbog valjano utemeljenih krajnje hitnih razloga, Komisija donosi odmah primjenjive provedbene akte u skladu s postupkom iz članka 93. stavka 3.

6.   Komisija započinje savjetovanje s trećom zemljom ili međunarodnom organizacijom radi popravljanja stanja koje je dovelo do odluke u skladu sa stavkom 5.

7.   Odluka u skladu sa stavkom 5. ovog članka ne dovodi u pitanje prijenose osobnih podataka u treću zemlju, na područje, ili u jedan ili više određenih sektora unutar te treće zemlje, ili međunarodnu organizaciju o kojoj je riječ u skladu s člancima od 46. do 49.

8.   U Službenom listu Europske unije i na svojoj internetskoj stranici Komisija objavljuje popis trećih zemalja, područja i određenih sektora unutar treće zemlje i međunarodnih organizacija u pogledu kojih je donijela odluku da ne osiguravaju odgovarajuću razinu zaštite ili da je više ne osiguravaju.

9.   Odluke koje je Komisija donijela na temelju članka 25. stavka 6. Direktive 95/46/EZ ostaju na snazi dok se ne izmijene, zamijene ili stave izvan snage odlukom Komisije donesenom u skladu sa stavkom 3. ili 5. ovog članka.

Članak 46.

Prijenosi koji podliježu odgovarajućim zaštitnim mjerama

1.   Ako nije donesena odluka na temelju članka 45. stavka 3., voditelj obrade ili izvršitelj obrade trećoj zemlji ili međunarodnoj organizaciji osobne podatke mogu prenijeti samo ako je voditelj obrade ili izvršitelj obrade predvidio odgovarajuće zaštitne mjere i pod uvjetom da su ispitanicima na raspolaganju provediva prava i učinkovita sudska zaštita.

2.   Odgovarajuće zaštitne mjere iz stavka 1. mogu, bez potrebe za ikakvim posebnim ovlaštenjem nadzornog tijela, pružati:

(a)

pravno obvezujući i provedivi instrument između tijela javne vlasti ili javnih tijela;

(b)

obvezujuća korporativna pravila u skladu s člankom 47.;

(c)

standardne klauzule o zaštiti podataka koje donosi Komisija u skladu s postupkom ispitivanja iz članka 93. stavka 2.;

(d)

standardne klauzule o zaštiti podataka koje donosi nadzorno tijelo i koje Komisija odobrava u skladu s postupkom ispitivanja iz članka 93. stavka 2.;

(e)

odobreni kodeks ponašanja u skladu s člankom 40. zajedno s obvezujućim i provedivim obvezama voditelja obrade ili izvršitelja obrade u trećoj zemlji za primjenu odgovarajućih zaštitnih mjera, među ostalim u pogledu prava ispitanika; ili

(f)

odobreni mehanizam certificiranja u skladu s člankom 42. zajedno s obvezujućim i provedivim obvezama voditelja obrade ili izvršitelja obrade u trećoj zemlji za primjenu odgovarajućih zaštitnih mjera, između ostalog u pogledu prava ispitanika.

3.   Pod uvjetom da to odobri nadležno nadzorno tijelo, odgovarajuće zaštitne mjere iz stavka 1. konkretno mogu pružiti i:

(a)

ugovorne klauzule između voditelja obrade ili izvršitelja obrade i voditelja obrade, izvršitelja obrade ili primatelja osobnih podataka u trećoj zemlji ili međunarodnoj organizaciji; ili

(b)

odredbe koje treba unijeti u administrativne dogovore između tijela javne vlasti ili javnih tijela i koja sadrže provediva i djelotvorna prava ispitanika.

4.   Nadzorno tijelo u slučajevima iz stavka 3. ovog članka primjenjuje mehanizam konzistentnosti iz članka 63.

5.   Odobrenja države članice ili nadzornog tijela na temelju članka 26. stavka 2. Direktive 95/46/EZ ostaju valjana dok ih nadzorno tijelo prema potrebi ne izmijeni, zamijeni ili stavi izvan snage. Odluke koje je Komisija donijela na osnovi članka 26. stavka 4. Direktive 95/46/EZ ostaju na snazi dok se prema potrebi ne izmijene, zamijene ili stave izvan snage odlukom Komisije donesenom u skladu sa stavkom 2. ovog članka.

Članak 47.

Obvezujuća korporativna pravila

1.   Nadležno nadzorno tijelo odobrava obvezujuća korporativna pravila u skladu s mehanizmom konzistentnosti iz članka 63. pod uvjetom da:

(a)

su pravno obvezujuća i da se primjenjuju na svakog zainteresiranog člana određene grupe poduzetnika ili grupe poduzeća koja se bave zajedničkom gospodarskom djelatnošću, što uključuje njihove zaposlenike, te da ih oni provode;

(b)

izrijekom daju provediva prava ispitanicima u pogledu obrade njihovih osobnih podataka; i

(c)

ispunjavaju uvjete utvrđene u stavku 2.

2.   Obvezujuća korporativna pravila iz stavka 1. određuju najmanje:

(a)

strukturu i kontaktne podatke grupe poduzetnika ili grupe poduzeća koja se bave zajedničkom gospodarskom djelatnošću i svakog od njezinih članova;

(b)

prijenose podataka ili skupove prijenosa, uključujući i kategorije osobnih podataka, vrste obrade i njezine svrhe, vrstu ispitanika koji su time pogođeni i identifikaciju treće zemlje ili zemalja o kojima je riječ;

(c)

njihovo pravno obvezujuće obilježje, kako iznutra tako i prema van;

(d)

primjenu općih načela zaštite podataka, posebice ograničavanja svrhe, smanjenja količine podataka, ograničenog razdoblja pohrane, kvalitete podataka, tehničke i integrirane zaštite podataka, pravne osnove obrade, obrade posebnih kategorija osobnih podataka, mjera za osiguravanje sigurnosti podataka i uvjete u pogledu daljnjih prijenosa tijelima koja nisu obvezana obvezujućim korporativnim pravilima;

(e)

prava ispitanikâ s obzirom na obradu i načine za ostvarenje tih prava, uključujući i pravo da ne podliježu odlukama koje se isključivo temelje na automatiziranoj obradi, što uključuje izradu profila u skladu s člankom 22., pravo na pritužbu nadležnom nadzornom tijelu i nadležnim sudovima država članica u skladu s člankom 79. i dobivanje sudske pomoći te, prema potrebi, naknade za kršenje obvezujućih korporativnih pravila;

(f)

da voditelj obrade ili izvršitelj obrade s poslovnim nastanom na državnom području države članice prihvati odgovornost za sva kršenja obvezujućih korporativnih pravila bilo kojeg zainteresiranog člana bez poslovnog nastana u Uniji; voditelj obrade ili izvršitelj obrade izuzet je od ove odgovornosti, u cijelosti ili djelomično, samo ako dokaže da taj član nije odgovoran za događaj koji je prouzročio štetu;

(g)

kako se ispitanicima pružaju informacija o obvezujućim korporativnim pravilima, osobito o odredbama iz točaka (d), (e) i (f) ovog stavka, pored informacija iz članaka 13. i 14.;

(h)

zadaće svakog službenika za zaštitu podataka imenovanog u skladu s člankom 37. ili bilo koje druge osobe ili subjekta odgovornih za praćenje usklađenosti s obvezujućim korporativnim pravilima unutar grupe poduzetnika ili grupe poduzeća koja se bave zajedničkom gospodarskom djelatnošću,te praćenje osposobljavanja i rješavanja pritužbi;

(i)

postupke povodom pritužbi;

(j)

mehanizme unutar grupe poduzetnika ili grupe poduzeća koja se bave zajedničkom gospodarskom djelatnošću, kojima se osigurava provjera poštovanja obvezujućih korporativnih pravila. Takvi mehanizmi uključuju revizije zaštite podataka i metode za korektivne mjere za zaštitu prava ispitanika. Rezultati takve provjere trebali bi se priopćiti osobi ili subjektu iz točke (h) i upravnom odboru poduzetnika u vladajućem položaju u grupi poduzetnika ili grupi poduzeća koja se bave zajedničkom gospodarskom djelatnošću, te se na zahtjev ustupiti nadležnom nadzornom tijelu;

(k)

mehanizme za izvješćivanje i vođenje evidencije o promjenama pravila i izvješćivanje nadzornog tijela o tim promjenama;

(l)

mehanizam suradnje s nadzornim tijelom radi osiguravanja usklađenosti svakog člana grupe poduzetnika ili grupe poduzeća koja se bave zajedničkom gospodarskom djelatnošću, osobito tako da se nadzornom tijelu stave na raspolaganje rezultati provjera mjera iz točke (j);

(m)

mehanizme za izvješćivanje nadležnog nadzornog tijela o bilo kakvim pravnim obvezama koje se na člana grupe poduzetnika ili grupe poduzeća koja se bave zajedničkom gospodarskom djelatnošću primjenjuju u trećoj zemlji, a koje bi mogle imati značajan štetan utjecaj na jamstva pružena obvezujućim korporativnim pravilima; i

(n)

odgovarajuće osposobljavanje za zaštitu podataka za osoblje koje ima stalan ili redovan pristup osobnim podacima.

3.   Komisija može odrediti format i postupke razmjene informacija između voditeljâ obrade, izvršitelja obrade i nadzornih tijela za obvezujuća korporativna pravila u smislu ovog članka. Ti provedbeni akti donose se u skladu s postupkom ispitivanja iz članka 93. stavka 2.

Članak 48.

Prijenos ili otkrivanje podataka koji nisu dopušteni u pravu Unije

Sve presude suda ili sve odluke upravnog tijela treće zemlje kojima se od voditelja obrade ili izvršitelja obrade zahtijeva prijenos ili otkrivanje osobnih podataka mogu biti priznate ili izvršive na bilo koji način samo ako se temelje na nekom međunarodnom sporazumu, poput ugovora o uzajamnoj pravnoj pomoći, koji je na snazi između treće zemlje koja je podnijela zahtjev i Unije ili države članice, ne dovodeći u pitanje druge razloge za prijenos u skladu s ovim poglavljem.

Članak 49.

Odstupanja za posebne situacije

1.   Ako ne postoji odluka o primjerenosti u skladu s člankom 45. stavkom 3., ili odgovarajuće zaštitne mjere u skladu s člankom 46., što uključuje obvezujuća korporativna pravila, prijenos ili skup prijenosa osobnih podataka u treću zemlju ili međunarodnu organizaciju ostvaruje se samo pod jednim od sljedećih uvjeta:

(a)

ispitanik je izričito pristao na predloženi prijenos nakon što je bio obaviješten o mogućim rizicima takvih prijenosa za ispitanika zbog nepostojanja odluke o primjerenosti i odgovarajućih zaštitnih mjera;

(b)

prijenos je nužan za izvršavanje ugovora između ispitanika i voditelja obrade ili provedbu predugovornih mjera na zahtjev ispitanika;

(c)

prijenos je nužan radi sklapanja ili izvršavanja ugovora sklopljenog u interesu ispitanika između voditelja obrade i druge fizičke ili pravne osobe;

(d)

prijenos je nužan iz važnih razloga javnog interesa;

(e)

prijenos je nužan za postavljanje, ostvarivanje ili obranu pravnih zahtjeva;

(f)

prijenos je nužan za zaštitu životno važnih interesa ispitanika ili drugih osoba ako ispitanik fizički ili pravno ne može dati privolu;

(g)

prijenos se obavlja iz registra koji prema pravu Unije ili pravu države članice služi pružanju informacija javnosti i koji je otvoren na uvid javnosti ili bilo kojoj osobi koja može dokazati neki opravdani interes, ali samo u mjeri u kojoj su ispunjeni uvjeti propisani u pravu Unije ili pravu države članice za uvid u tom posebnom slučaju.

Kad se prijenos ne može temeljiti na nekoj odredbi iz članka 45. ili 46., uključujući odredbe obvezujućih korporativnih pravila, i kad nije primjenjivo nijedno odstupanje za posebne situacije iz prvog podstavka ovog stavka, prijenos u treću zemlju ili međunarodnu organizaciju može se ostvariti samo ako se prijenos ne ponavlja, ako se odnosi samo na ograničen broj ispitanika, nužan je za potrebe uvjerljivih, legitimnih interesa voditelja obrade koji nisu podređeni interesima ili pravima i slobodama ispitanika, a voditelj obrade procijenio sve okolnosti prijenosa podataka te je na temelju te procjene predvidio odgovarajuće zaštitne mjere u pogledu zaštite osobnih podataka. Voditelj obrade obavješćuje nadzorno tijelo o tom prijenosu. Uz pružanje informacija iz članaka 13. i 14., voditelj obrade ispitanika obavješćuje o prijenosu i o uvjerljivim legitimnim interesima.

2.   Prijenos na temelju prvog podstavka stavka 1. točke (g) ne uključuje osobne podatke u cjelini ni cijele kategorije osobnih podataka sadržanih u registru. Kada registar služi na uvid osobama koje imaju opravdani interes, prijenos se obavlja samo na zahtjev tih osoba ili ako su one primatelji.

3.   Stavak 1. prvi podstavak točke (a), (b) i (c) i stavak 1. drugi podstavak ne primjenjuju se na aktivnosti koje provode tijela javne vlasti izvršavajući svoje javne ovlasti.

4.   Javni interes iz prvog podstavka stavka 1. točke (d) mora biti priznat u pravu Unije ili u pravu države članice kojem podliježe voditelj obrade.

5.   Ako nije donesena odluka o primjerenosti, pravo Unije ili pravo države članice mogu, iz važnih razloga javnog interesa, izričito odrediti ograničenja prijenosa određenih kategorija osobnih podataka trećoj zemlji ili međunarodnoj organizaciji. Države članice dužne su obavijestiti Komisiju o takvim odredbama.

6.   Voditelj obrade ili izvršitelj obrade dokumentiraju procjenu kao i odgovarajuće mjere zaštite iz stavka 1. drugog podstavka ovog članka u evidencijama iz članka 30.

Članak 50.

Međunarodna suradnja s ciljem zaštite osobnih podataka

Komisija i nadzorna tijela poduzimaju odgovarajuće mjere u pogledu trećih zemalja i međunarodnih organizacija s ciljem:

(a)

razvoja mehanizama međunarodne suradnje za olakšavanje djelotvornog izvršavanja zakonodavstva o zaštiti osobnih podataka;

(b)

osiguranja međunarodne uzajamne pomoći u izvršavanju zakonodavstva o zaštiti osobnih podataka, uključujući obavješćivanjem, upućivanjem pritužbi, pomoći u istragama i razmjenom informacija, u skladu s odgovarajućim zaštitnim mjerama za zaštitu osobnih podataka i drugim temeljnim pravima i slobodama;

(c)

uključivanja relevantnih dionika u raspravu i aktivnosti čiji je cilj produbiti međunarodnu suradnju u izvršavanju zakonodavstva o zaštiti osobnih podataka;

(d)

promicanja razmjene i dokumentiranja zakonodavstva i prakse u vezi sa zaštitom osobnih podataka, među ostalim u vezi sa sukobima nadležnosti s trećim zemljama.

POGLAVLJE VI.

Neovisna nadzorna tijela

Odjeljak 1.

Neovisni status

Članak 51.

Nadzorno tijelo

1.   Svaka država članica osigurava da je jedno ili više neovisnih tijela javne vlasti odgovorno za praćenje primjene ove Uredbe kako bi se zaštitila temeljna prava i slobode pojedinaca u pogledu obrade i olakšao slobodan protok osobnih podataka unutar Unije („nadzorno tijelo”).

2.   Svako nadzorno tijelo doprinosi dosljednoj primjeni ove Uredbe u cijeloj Uniji. U tu svrhu nadzorna tijela surađuju međusobno i s Komisijom u skladu s poglavljem VII.

3.   Ako u državi članici postoji više od jednog nadzornog tijela, ta država članica imenuje nadzorno tijelo koje ta tijela predstavlja u Odboru i uspostavlja mehanizam kojim se osigurava da druga tijela poštuju pravila u vezi s mehanizmom konzistentnosti iz članka 63.

4.   Svaka država članica izvješćuje Komisiju o odredbama zakona koje donosi u skladu s ovim poglavljem do 25. svibnja 2018. i, bez odgode, o svim naknadnim izmjenama koje na njih utječu.

Članak 52.

Neovisnost

1.   Svako nadzorno tijelo djeluje potpuno neovisno pri obavljanju svojih dužnosti i izvršavanju svojih ovlasti u skladu s ovom Uredbom.

2.   Član ili članovi svakog nadzornog tijela moraju biti slobodni od vanjskog utjecaja, bilo izravnog bilo neizravnog, pri obavljanju svojih dužnosti i izvršavanju svojih ovlasti u skladu s ovom Uredbom te ne smiju tražiti ni primati upute ni od koga.

3.   Član ili članovi svakog nadzornog tijela moraju se suzdržavati od svih radnji koje nisu u skladu s njihovim dužnostima te se tijekom svojeg mandata ne smiju baviti nikakvom neusklađenom djelatnošću, bez obzira na to je li ona plaćena ili ne.

4.   Svaka država članica osigurava da svako nadzorno tijelo ima ljudske, tehničke i financijske resurse, prostorije i infrastrukturu potrebne za djelotvorno obavljanje svojih zadaća i izvršavanje svojih ovlasti, uključujući one koje treba izvršavati u kontekstu uzajamne pomoći, suradnje i sudjelovanja u Odboru.

5.   Svaka država članica osigurava da svako nadzorno tijelo odabire i ima vlastito osoblje kojim isključivo rukovodi član ili članovi predmetnog nadzornog tijela.

6.   Svaka država članica osigurava da svako nadzorno tijelo podliježe financijskoj kontroli koja ne utječe na njegovu neovisnost i da ima zasebne, javne, godišnje proračune koji mogu biti dio cjelokupnog državnog ili nacionalnog proračuna.

Članak 53.

Opći uvjeti za članove nadzornog tijela

1.   Države članice osiguravaju da svakog člana njihovih nadzornih tijela u okviru transparentnog postupka imenuje:

njihov parlament;

njihova vlada;

njihov šef države; ili

neovisno tijelo kojem je pravom države članice povjereno to imenovanje.

2.   Svaki član mora imati kvalifikacije, iskustvo i vještine, posebno u području zaštite osobnih podataka, potrebne za obavljanje svojih dužnosti i izvršavanje svojih ovlasti.

3.   Dužnosti člana završavaju u slučaju isteka mandata, ostavke ili razrješenja dužnosti u skladu s pravom dotične države članice.

4.   Član smije biti otpušten samo u slučajevima teške povrede dužnosti ili ako član više ne ispunjava uvjete potrebne za izvršavanje dužnosti.

Članak 54.

Pravila za osnivanje nadzornog tijela

1.   Svaka država članica zakonom predviđa sve od navedenog:

(a)

osnivanje svakog nadzornog tijela;

(b)

kvalifikacije i uvjete prihvatljivosti potrebne za imenovanje članom svakog nadzornog tijela;

(c)

pravila i postupke za imenovanje člana ili članova svakog nadzornog tijela;

(d)

trajanje mandata člana ili članova svakog nadzornog tijela ne kraćeg od četiri godine, osim za prvo imenovanje nakon 24. svibnja 2016., a čiji dio može trajati kraće ako je to potrebno kako bi se zaštitila neovisnost nadzornog tijela putem postupka postupnog imenovanja;

(e)

jesu li član ili članovi svakog nadzornog tijela prihvatljivi da budu ponovno izabrani i, ako jesu, na koliko mandata;

(f)

uvjete kojima se uređuju obveze člana ili članova osoblja svakog nadzornog tijela, zabrane djelovanja, poslova i pogodnosti koji nisu u skladu s tim tijekom i nakon mandata te pravila kojima se uređuje prestanak radnog odnosa.

2.   Član ili članovi i osoblje svakog nadzornog tijela podliježu, u skladu s pravom Unije ili pravom države članice, obvezi čuvanja profesionalne tajne i za vrijeme mandata i nakon njegova završetka, s obzirom na sve povjerljive informacije koje doznaju tijekom obavljanja svojih dužnosti ili izvršavanja svojih ovlasti. Tijekom svojeg mandata ta se dužnost čuvanja profesionalne tajne posebno primjenjuje na izvješćivanje pojedinaca o kršenjima ove Uredbe.

Odjeljak 2.

Nadležnost, zadaće i ovlasti

Članak 55.

Nadležnost

1.   Svako nadzorno tijelo nadležno je za obavljanje zadaća koje su mu povjerene i izvršavanje ovlasti koje su mu dodijeljene u skladu s ovom Uredbom na državnom području vlastite države članice.

2.   Ako obradu obavljaju tijela javne vlasti ili privatna tijela koja postupaju na temelju članka 6. stavka 1.točke (c) ili (e), nadležno je nadzorno tijelo dotične države članice. U takvim slučajevima ne primjenjuje se članak 56.

3.   Nadzorna tijela nisu nadležna nadzirati postupke obrade sudova kada obavljaju svoju sudbenu funkciju.

Članak 56.

Nadležnost vodećeg nadzornog tijela

1.   Ne dovodeći u pitanje članak 55. nadzorno tijelo glavnog poslovnog nastana ili jedinog poslovnog nastana voditelja obrade ili izvršitelja obrade nadležno je djelovati kao vodeće nadzorno tijelo za prekograničnu obradu koju provodi taj voditelj obrade ili izvršitelj obrade u skladu s postupkom utvrđenim u članku 60.

2.   Odstupajući od stavka 1. svako nadzorno tijelo nadležno je za rješavanje pritužbe koja mu je podnesena ili mogućeg kršenja ove Uredbe, ako se predmet odnosi samo na poslovni nastan u njegovoj državi članici ili bitno utječe samo na ispitanike u njegovoj državi članici.

3.   U slučajevima iz stavka 2. ovog članka nadzorno tijelo bez odgode obavješćuje vodeće nadzorno tijelo o tom pitanju. U roku od tri tjedna nakon primitka obavijesti vodeće nadzorno tijelo odlučuje hoće li rješavati predmet u skladu s postupkom predviđenim u članku 60., uzimajući u obzir to ima li voditelj obrade ili izvršitelj obrade poslovni nastan u državi članici čije mu je nadzorno tijelo uputilo obavijest.

4.   Ako vodeće nadzorno tijelo odluči riješiti predmet, primjenjuje se postupak iz članka 60. Nadzorno tijelo koje je uputilo obavijest vodećem nadzornom tijelu može vodećem nadzornom tijelu podnijeti nacrt za oduku. Vodeće nadzorno tijelo uzima u obzir što je više moguće taj nacrt prilikom izrade nacrta odluke iz članka 60. stavka 3.

5.   Ako vodeće nadzorno tijelo odluči da neće rješavati predmet, rješava ga nadzorno tijelo koje je uputilo obavijest vodećem nadzornom tijelu, u skladu s člancima 61. i 62.

6.   Vodeće nadzorno tijelo jedini je sugovornik voditelja obrade ili izvršitelja obrade u prekograničnoj obradi koju provodi taj voditelj obrade ili izvršitelj obrade.

Članak 57.

Zadaće

1.   Ne dovodeći u pitanje ostale zadaće utvrđene u ovoj Uredbi, svako nadzorno tijelo na svom području:

(a)

prati i provodi primjenu ove Uredbe;

(b)

promiče javnu svijest o rizicima, pravilima, zaštitnim mjerama i pravima u vezi s obradom te njihovo razumijevanje. Aktivnosti koje su posebno namijenjene djeci moraju dobiti posebnu pozornost;

(c)

savjetuje, u skladu s pravom države članice, nacionalni parlament, vladu i druge institucije i tijela o zakonodavnim i administrativnim mjerama u vezi sa zaštitom prava i sloboda pojedinaca u pogledu obrade;

(d)

promiče osviještenost voditeljâ obrade i izvršiteljâ obrade o njihovim obvezama iz ove Uredbe;

(e)

na zahtjev pruža informacije bilo kojem ispitaniku u vezi s ostvarivanjem njihovih prava iz ove Uredbe, a prema potrebi, u tu svrhu surađuje s nadzornim tijelima u drugim državama članicama;

(f)

rješava pritužbe koje podnose ispitanik ili tijelo, organizacija ili udruženje u skladu s člankom 80. i istražuje u odgovarajućoj mjeri predmet pritužbe te podnositelja pritužbe u razumnom roku izvješćuje o napretku i ishodu istrage, posebno ako je potrebna daljnja istraga ili koordinacija s drugim nadzornim tijelom;

(g)

surađuje s drugim nadzornim tijelima, među ostalim dijeljenjem informacija, te pruža uzajamnu pomoć drugim nadzornim tijelima s ciljem osiguranja konzistentnosti primjene i provedbe ove Uredbe;

(h)

provodi istrage o primjeni ove Uredbe, među ostalim na temelju informacija primljenih od drugog nadzornog ili drugog tijela javne vlasti;

(i)

prati bitne razvoje u onoj mjeri u kojoj utječu na zaštitu osobnih podataka, osobito razvoj informacijskih i komunikacijskih tehnologija i komercijalnih praksi;

(j)

donosi standardne ugovorne klauzule iz članka 28. stavka 8. i članka 46. stavka 2. točke (d);

(k)

utvrđuje i vodi popis u vezi s uvjetima za procjenu učinka na zaštitu podataka u skladu s člankom 35. stavkom 4.;

(l)

daje savjete o postupcima obrade iz članka 36. stavka 2.;

(m)

potiče izradu kodeksa ponašanja u skladu s člankom 40. stavkom 1. i daje mišljenje i odobrava takve kodekse ponašanja koji pružaju dostatne mjere zaštite, u skladu s člankom 40. stavkom 5.;

(n)

potiče uspostavu mehanizama certificiranja zaštite podataka te pečata i oznaka za zaštitu podataka u skladu s člankom 42. stavkom 1. i odobrava kriterije certificiranja u skladu s člankom 42. stavkom 5.;

(o)

prema potrebi, provodi periodično preispitivanje izdanih certifikata u skladu s člankom 42. stavkom 7.;

(p)

sastavlja i objavljuje kriterije za akreditaciju tijela za praćenje kodeksa ponašanja u skladu s člankom 41. i akreditaciju certifikacijskog tijela u skladu s člankom 43.;

(q)

provodi akreditaciju tijela za praćenje kodeksa ponašanja u skladu s člankom 41. i akreditaciju certifikacijskog tijela u skladu s člankom 43.;

(r)

odobrava ugovorne klauzule i odredbe iz članka 46. stavka 3.;

(s)

odobrava obvezujuća korporativna pravila u skladu s člankom 43.;

(t)

doprinosi aktivnostima Odbora;

(u)

vodi internu evidenciju o kršenjima ove Uredbe i mjerama koje su poduzete u skladu s člankom 58. stavkom 2.; i

(v)

ispunjava sve ostale zadaće u vezi sa zaštitom osobnih podataka.

2.   Svako nadzorno tijelo olakšava podnošenje pritužaba iz stavka 1. točke (b) mjerama poput obrasca za podnošenje pritužbe koji se može ispuniti i elektroničkim putem, ne isključujući ostala sredstva komunikacije.

3.   Obavljanje zadaća svakog nadzornog tijela besplatno je za ispitanika i, ako je primjenjivo, službenika za zaštitu podataka.

4.   Ako su zahtjevi ispitanika očito neutemeljeni ili pretjerani, osobito zbog učestalog ponavljanja, nadzorno tijelo može naplatiti razumnu naknadu na temelju administrativnih troškova ili odbiti postupiti po zahtjevu. U tom je slučaju teret dokazivanja očite neutemeljenosti ili pretjeranosti zahtjeva na nadzornom tijelu.

Članak 58.

Ovlasti

1.   Svako nadzorno tijelo ima sve sljedeće istražne ovlasti:

(a)

narediti voditelju obrade i izvršitelju obrade, a prema potrebi i predstavniku voditelja obrade ili izvršitelja obrade, da mu pruže sve informacije potrebne za obavljanje svojih zadaća;

(b)

provoditi istrage u obliku revizije zaštite podataka;

(c)

provoditi preispitivanje certifikata izdanih u skladu s člankom 42. stavkom 7.;

(d)

obavijestiti voditelja obrade ili izvršitelja obrade o navodnom kršenju ove Uredbe;

(e)

ishoditi, od voditelja obrade i izvršitelja obrade, pristup svim osobnim podacima i svim informacijama potrebnim za obavljanje svojih zadaća;

(f)

ishoditi pristup svim prostorijama voditelja obrade i izvršitelja obrade, uključujući svu opremu i sredstva za obradu podataka, u skladu s pravom Unije ili postupovnim pravom države članice.

2.   Svako nadzorno tijelo ima sve sljedeće korektivne ovlasti:

(a)

izdavati upozorenja voditelju obrade ili izvršitelju obrade da bi namjeravani postupci obrade lako mogli prouzročiti kršenje odredaba ove Uredbe;

(b)

izdavati službene opomene voditelju obrade ili izvršitelju obrade ako se postupcima obrade krše odredbe ove Uredbe;

(c)

narediti voditelju obrade ili izvršitelju obrade da poštuje zahtjeve ispitanika za ostvarivanje njegovih prava u skladu s ovom Uredbom;

(d)

narediti voditelju obrade ili izvršitelju obrade da postupke obrade uskladi s odredbama ove Uredbe, prema potrebi na točno određen način i u točno zadanom roku;

(e)

narediti voditelju obrade da ispitanika obavijesti o povredi osobnih podataka;

(f)

privremeno ili konačno ograničiti, među ostalim zabraniti, obradu;

(g)

narediti ispravljanje ili brisanje osobnih podataka ili ograničavanje obrade u skladu s člancima 16., 17. i 18. i izvješćivanje o takvim radnjama primatelja kojima su osobni podaci otkriveni u skladu s člankom 17. stavkom 2. i člankom 19.;

(h)

povući certifikat ili certifikacijskom tijelu narediti da povuče certifikat izdan u skladu s člankom 42. i 43., ili certifikacijskom tijelu narediti da ne iza certifikat ako nisu ispunjeni zahtjevi za certificiranje ili ako oni više nisu ispunjeni;

(i)

izreći upravnu novčanu kaznu u skladu s člankom 79. uz mjere, ili umjesto mjera koje se navode u ovom stavku, ovisno o okolnostima svakog pojedinog slučaja;

(j)

narediti suspenziju protoka podataka primatelju u trećoj zemlji ili međunarodnoj organizaciji.

3.   Svako nadzorno tijelo ima sve sljedeće ovlasti u vezi s odobravanjem te savjetodavne ovlasti:

(a)

savjetovati voditelja obrade u skladu s prethodnim postupkom savjetovanja iz članka 36.,

(b)

na vlastitu inicijativu ili na zahtjev, izdati nacionalnom parlamentu, vladi države članice ili, u skladu s pravom države članice, drugim institucijama i tijelima, te javnosti, mišljenje o svakom pitanju u vezi sa zaštitom osobnih podataka;

(c)

odobriti obradu iz članka 36. stavka 5., ako se pravom države članice takvo prethodno odobrenje zahtijeva;

(d)

izdati mišljenje i odobriti nacrte kodeksâ ponašanja u skladu s člankom 40. stavkom 5.;

(e)

akreditirati certifikacijska tijela u skladu s člankom 43.;

(f)

izdati certifikate i odobriti kriterije certificiranja u skladu s člankom 42. stavkom 5.;

(g)

donijeti standardne klauzule o zaštiti podataka iz članka 28. stavka 8. i članka 46. stavka 2. točke (d);

(h)

odobriti ugovorne klauzule iz članka 46. stavka 3. točke (a);

(i)

odobriti administrativne dogovore iz članka 46. stavka 3. točke (b);

(j)

odobriti obvezujuća korporativna pravila u skladu s člankom 47.

4.   Izvršavanje ovlasti dodijeljenih nadzornom tijelu u skladu s ovim člankom podliježe odgovarajućim zaštitnim mjerama, među ostalim učinkovitom pravnom lijeku i odgovarajućem postupku utvrđenim u pravu Unije i pravu države članice u skladu s Poveljom.

5.   Svaka država članica zakonom propisuje da njezino nadzorno tijelo ima ovlasti obavijestiti pravosudna tijela o povredama ove Uredbe i, prema potrebi, pokrenuti pravne postupke ili u njima na drugi način sudjelovati kako bi se provele odredbe ove Uredbe.

6.   Svaka država članica zakonom može predvidjeti da nadzorno tijelo uz ovlasti iz stavaka 1., 2. i 3. ima dodatne ovlasti. Izvršavanje tih ovlasti ne smije narušavati učinkovito djelovanje odredaba poglavlja VII.

Članak 59.

Izvješća o aktivnostima

Svako nadzorno tijelo sastavlja godišnje izvješće o svojim aktivnostima kojima može biti obuhvaćen popis vrsta kršenja o kojima je izviješteno i vrste mjera poduzetih u skladu s člankom 58. stavkom 2. Ta se izvješća prosljeđuju nacionalnom parlamentu, vladi i drugim tijelima kako je određeno pravom države članice. Ona moraju biti dostupna javnosti, Komisiji i Odboru.

POGLAVLJE VII.

Suradnja i konzistentnost

Odjeljak 1.

Suradnja

Članak 60.

Suradnja vodećeg nadzornog tijela i drugih predmetnih nadzornih tijela

1.   Vodeće nadzorno tijelo surađuje s drugim predmetnim nadzornim tijelima u skladu s ovim člankom kako bi se nastojao postići konsenzus. Vodeće nadzorno tijelo i predmetna nadzorna tijela međusobno razmjenjuju sve bitne informacije.

2.   Vodeće nadzorno tijelo može u bilo kojem trenutku od drugih predmetnih nadzornih tijela zatražiti pružanje uzajamne pomoći u skladu s člankom 61. te može provoditi zajedničke operacije u skladu s člankom 62., posebno vođenje istraga ili praćenja provedbe mjere u vezi s voditeljem obrade ili izvršiteljem obrade s poslovnim nastanom u drugoj državi članici.

3.   Vodeće nadzorno tijelo bez odgađanja obavješćuje o bitnim informacijama u vezi s predmetom druga predmetna nadzorna tijela. Bez odgađanja podnosi nacrt odluke drugim predmetnim nadzornim tijelima kako bi ona dala svoje mišljenje te pridaje dužnu pozornost njihovim stajalištima.

4.   Ako neko od drugih predmetnih nadzornih tijela u roku od četiri tjedna nakon što je u skladu sa stavkom 3. ovog članka bilo obaviješteno izrazi relevantan i obrazložen prigovor na nacrt odluke, ako relevantan i obrazložen prigovor ne uzme u obzir ili smatra da prigovor nije relevantan ili obrazložen, vodeće nadzorno tijelo predmet predaje na rješavanje u sklopu mehanizma konzistentnosti iz članka 63.

5   Ako vodeće nadzorno tijelo namjerava uzeti u obzir relevantan i obrazložen prigovor, revidirani nacrt odluke podnosi drugim predmetnim nadzornim tijelima kako bi ona dala svoje mišljenje. Na taj revidirani nacrt odluke primjenjuje se postupak iz stavka 4. u roku od dva tjedna.

6.   Ako ni jedno od drugih predmetnih nadzornih tijela ne uloži prigovor na nacrt odluke koju je podnijelo vodeće nadzorno tijelo u roku navedenom u stavcima 4. i 5. smatra se da se vodeće nadzorno tijelo i predmetna nadzorna tijela slažu s tim nacrtom odluke i on je za njih obvezujući.

7.   Vodeće nadzorno tijelo donosi odluku i dostavlja je u glavni ili jedini poslovni nastan voditelja obrade ili izvršitelja obrade, prema potrebi, te obavješćuje druga predmetna nadzorna tijela i Odbor o dotičnoj odluci prilažući i bitne činjenice i obrazloženja. Nadzorno tijelo kojem je podnesena pritužba obavješćuje podnositelja pritužbe o odluci.

8.   Odstupajući od stavka 7., ako je pritužba odbačena ili odbijena, nadzorno tijelo kojem je podnesena pritužba donosi odluku i dostavlja je podnositelju pritužbe te o tome obavješćuje voditelja obrade.

9.   Ako su se vodeće nadzorno tijelo i predmetna nadzorna tijela složili odbaciti ili odbiti dijelove pritužbe, a u obzir uzeti druge dijelove te pritužbe, donosi se odvojena odluka za svaki dio predmeta. Vodeće nadzorno tijelo donosi odluku za dio koji se odnosi na djelovanja u vezi s voditeljem obrade i dostavlja je u glavni ili jedini poslovni nastan voditelja obrade ili izvršitelja obrade na državnom području svoje države članice te o tome izvješćuje podnositelja pritužbe, dok nadzorno tijelo podnositelja pritužbe donosi odluku za dio koji se odnosi na odbacivanje ili odbijanje te pritužbe i o toj ga pritužbi obavješćujete o tome izvješćuje voditelja obrade ili izvršitelja obrade.

10.   Nakon što ga vodeće nadzorno tijelo u skladu sa stavcima 7. i 9. obavijesti o odluci, voditelj obrade ili izvršitelj obrade poduzima potrebne mjere kako bi osigurao da se odluka poštuje u odnosu na aktivnosti obrade, s obzirom na sve njegove poslovne nastane u Uniji. Voditelj obrade ili izvršitelj obrade o poduzetim mjerama za poštivanje odluke obavješćuju vodeće nadzorno tijelo koje izvješćuje druga predmetna nadzorna tijela.

11.   Ako u izuzetnim okolnostima predmetno nadzorno tijelo ima razloga smatrati da postoji hitna potreba za djelovanjem kako bi se zaštitili interesi ispitanika, primjenjuje se hitni postupak iz članka 66.

12.   Vodeće nadzorno tijelo i druga predmetna nadzorna tijela međusobno si dostavljaju informacije koje se zahtijevaju u skladu s ovim člankom elektroničkim putem, koristeći se standardiziranim formatom.

Članak 61.

Uzajamna pomoć

1.   Nadzorna tijela međusobno si pružaju bitne informacije i uzajamnu pomoć kako bi konzistentno provela i primijenila ovu Uredbu i uspostavljaju mjere za djelotvornu uzajamnu suradnju. Uzajamna pomoć obuhvaća osobito zahtjeve za informacijama i mjerama nadzora, kao što su zahtjevi za provedbom prethodnog odobravanja i savjetovanja, inspekcija i istraga.

2.   Svako nadzorno tijelo poduzima sve prikladne mjere potrebne da odgovori na zahtjev drugog nadzornog tijela bez nepotrebnog odgađanja i najkasnije u roku od mjesec dana nakon što je zaprimilo zahtjev. Takve mjere mogu posebno obuhvaćati prijenos bitnih informacija o vođenju istrage.

3.   Zahtjevi za pomoć moraju sadržavati sve potrebne informacije, uključujući svrhu i razloge za zahtjev. Razmijenjene informacije smiju se upotrebljavati samo u zatraženu svrhu.

4.   Nadzorno tijelo kojem je upućen zahtjev ne smije odbiti udovoljiti zahtjevu osim u slučaju da:

(a)

nije nadležno za predmet zahtjeva ili za mjere koje se od njega traže da ih provede; ili

(b)

poštovanje zahtjeva kršilo bi ovu Uredbu, pravo Unije ili pravo države članice kojem podliježe nadzorno tijelo kojem je zahtjev upućen.

5.   Nadzorno tijelo kojem je upućen zahtjev izvješćuje nadzorno tijelo koje je podnijelo zahtjev o rezultatima ili, ovisno o slučaju, o napretku ili mjerama poduzetim da se zahtjev ispuni. Nadzorno tijelo kojem je upućen zahtjev obrazlaže razloge za svako odbijanje zahtjeva na temelju stavka 4.

6.   Nadzorna tijela kojima je upućen zahtjev u pravilu pružaju informacije koje druga nadzorna tijela zatraže elektroničkim putem, koristeći se standardiziranim formatom.

7.   Za bilo koju radnju poduzetu na zahtjev za uzajamnom pomoći nadzorno tijelo kojem je upućen zahtjev ne naplaćuje nikakvu pristojbu. Nadzorna tijela mogu dogovoriti pravila za uzajamne naknade posebnih izdataka koji proizlaze iz pružanja uzajamne pomoći u izvanrednim okolnostima.

8.   Ako nadzorno tijelo ne pruži informacije iz stavka 5. ovog članka u roku od mjesec dana nakon zaprimanja zahtjeva drugog nadzornog tijela, nadzorno tijelo koje je podnijelo zahtjev može donijeti privremenu mjeru na državnom području svoje države članice u skladu s člankom 55. stavkom 1. U tom slučaju smatra se da postoji hitna potreba za djelovanjem u skladu s člankom 66. stavkom 1. i zahtijeva se hitna obvezujuća odluka Odbora u skladu s člankom 66. stavkom 2.

9.   Komisija može, putem provedbenih akta, odrediti format i postupke za uzajamnu pomoć iz ovog članka i sustave razmjene informacija elektroničkim putem između nadzornih tijela i između nadzornih tijela i Odbora, a posebno standardizirani format iz stavka 6. ovog članka. Ti provedbeni akti donose se u skladu s postupkom ispitivanja navedenim u članku 93. stavku 2.

Članak 62.

Zajedničke operacije nadzornih tijela

1.   Nadzorna tijela prema potrebi provode zajedničke operacije, uključujući zajedničke istrage i zajedničke mjere provedbe u kojima sudjeluju članovi ili osoblje nadzornih tijela drugih država članica.

2.   Ako voditelj obrade ili izvršitelj obrade ima poslovne nastane u nekoliko država članica ili kad postoji vjerojatnost da će postupci obrade bitno utjecati na znatan broj ispitanika u više od jedne države članice, nadzorno tijelo svake od tih država članica ima pravo na sudjelovanje u zajedničkim operacijama. Nadzorno tijelo nadležno u skladu s člankom 56. stavkom 1. ili 4. poziva nadzorno tijelo svake od tih država članica da sudjeluje u zajedničkim operacijama i bez odgađanja odgovara na zahtjev nadzornog tijela za sudjelovanjem.

3.   Nadzorno tijelo može, u skladu s pravom države članice, i uz odobrenje gostujućeg nadzornog tijela, dati ovlasti, među ostalim i ovlasti za vođenje istrage članovima ili osoblju gostujućeg nadzornog tijela koje sudjeluje u zajedničkim operacijama ili, u onoj mjeri u kojoj dopušta pravo države članice nadzornog tijela domaćina, odobriti članovima ili osoblju gostujućeg nadzornog tijela izvršavanje njihovih istražnih ovlasti u skladu s pravom države članice gostujućeg nadzornog tijela. Takve se istražne ovlasti mogu obavljati samo prema smjernicama članova ili osoblja nadzornog tijela domaćina i u njihovoj nazočnosti. Na članove ili osoblje gostujućeg nadzornog tijela primjenjuje se pravo države članice nadzornog tijela domaćina.

4.   Ako, u skladu sa stavkom 1., osoblje gostujućeg nadzornog tijela djeluje u drugoj državi članici, država članica nadzornog tijela domaćina preuzima odgovornost za njihovo djelovanje, što uključuje odgovornost za svaku štetu koju to osoblje počini tijekom svojih operacija, u skladu s pravom države članice na čijem državnom području djeluje.

5.   Država članica na čijem je državnom području šteta uzrokovana nadoknađuje takvu štetu pod uvjetima koji se primjenjuju kad štetu uzrokuje njezino osoblje. Država članica gostujućeg nadzornog tijela čije je osoblje uzrokovalo štetu bilo kojoj osobi na državnom području druge države članice toj državi članici nadoknađuje u potpunosti svaki iznos koji je ona platila osobama ovlaštenima u ime oštećene osobe.

6.   Ne dovodeći u pitanje ostvarivanje svog prava u odnosu na treće strane i uz iznimku stavka 5. svaka država članica u slučaju predviđenom u stavku 1. suzdržava se od zahtjeva prema drugoj državi članici za naknadu štete iz stavka 4.

7.   Kada se planira zajednička operacija i nadzorno tijelo u roku od mjesec dana ne ispuni obveze iz druge rečenice stavka 2. ovog članka, druga nadzorna tijela mogu donijeti privremenu mjeru na državnom području države članice za koje je nadležno u skladu s člankom 55. U tom slučaju smatra se da postoji hitna potreba za djelovanjem u skladu s člankom 66. stavkom 1. i zahtijeva se hitno mišljenje ili hitna obvezujuća odluka Odbora u skladu s člankom 66. stavkom 2.

Odjeljak 2.

Konzistentnost

Članak 63.

Mehanizam konzistentnosti

Kako bi se doprinijelo dosljednoj primjeni ove Uredbe u cijeloj Uniji, nadzorna tijela surađuju međusobno i prema potrebi s Komisijom u okviru mehanizma konzistentnosti, kako je utvrđeno u ovom odjeljku.

Članak 64.

Mišljenje Odbora

1.   Odbor daje mišljenje kada nadležno nadzorno tijelo namjerava donijeti bilo koju od mjera navedenih dalje u tekstu. Nadležno nadzorno tijelo u tu svrhu obavješćuje Odbor o nacrtu odluke ako ona:

(a)

ima za cilj donijeti popis postupaka obrade na koje se primjenjuje zahtjev procjene učinka na zaštitu podataka u skladu s člankom 35. stavkom 4.;

(b)

odnosi se na pitanje u skladu s člankom 40. stavkom 7. o tome jesu li nacrt kodeksa ponašanja ili izmjena ili dopuna kodeksa ponašanja usklađeni s ovom Uredbom;

(c)

ima za cilj odobriti kriterije za akreditaciju tijela na temelju članka 41. stavka 3. ili certifikacijskog tijela na temelju članka 43. stavka 3.;

(d)

ima za cilj odrediti standardne klauzule zaštite podataka iz članka 46. stavka 2. točke (d) i iz članka 28. stavka 8.;

(e)

ima za cilj odobriti ugovorne klauzule iz članka 46. stavka 3. točke (a); ili

(f)

ima za cilj odobriti obvezujuća korporativna pravila u smislu članka 47.

2.   Svako nadzorno tijelo, predsjednik Odbora ili Komisija mogu zatražiti da svaki predmet opće primjene ili s učincima u više od jedne države članice pregleda Odbor kako bi on dao mišljenje, posebno ako nadležno nadzorno tijelo ne poštuje obveze o uzajamnoj pomoći u skladu s člankom 61. ili o zajedničkim operacijama u skladu s člankom 62.

3.   U slučajevima koji se navode u stavcima 1. i 2. Odbor daje mišljenje o predmetu koji je zaprimio ako već nije dao mišljenje o istoj stvari. To mišljenje usvaja se u roku od osam tjedana natpolovičnom većinom članova Odbora. Taj se rok može produžiti za dodatnih šest tjedana, uzimajući u obzir složenost predmeta. S obzirom na nacrt odluke iz stavka 1. koja se članovima Odbora dostavlja u skladu sa stavkom 5. smatra se da se član koji nije uložio prigovor u razumnom roku koji je odredio predsjednik slaže s nacrtom odluke.

4.   Nadzorna tijela i Komisija bez nepotrebnog odgađanja elektroničkim putem priopćuju Odboru, upotrebljavajući standardizirani format, sve bitne informacije, uključujući, ovisno o slučaju, i sažetak činjenica, nacrt odluke, razloge zbog kojih je poduzimanje takve mjere neophodno i mišljenja drugih predmetnih nadzornih tijela.

5.   Predsjednik Odbora bez nepotrebnog odgađanja elektroničkim putem izvješćuje:

(a)

članove Odbora i Komisiju o svim bitnim informacijama koje su mu priopćene upotrebljavajući standardizirani format. Tajništvo Odbora prema potrebi omogućuje prijevode bitnih informacija; i

(b)

nadzorno tijelo iz stavaka 1. i 2., ovisno o slučaju, i Komisiju o mišljenju i objavljuje ga.

6.   Nadležno nadzorno tijelo ne donosi svoj nacrt odluke iz stavka 1. tijekom roka iz stavka 3.

7.   Nadzorno tijelo iz stavka 1. osobito uvažava mišljenje Odbora i u roku od dva tjedna od zaprimanja mišljenja elektroničkim putem obavješćuje predsjednika Odbora o tome zadržava li ili mijenja svoj nacrt odluke, te izmijenjeni nacrt odluke, ako ga ima, dostavlja u standardiziranom formatu.

8.   Ako predmetno nadzorno tijelo obavijesti predsjednika Odbora u roku navedenom u stavku 7. ovog članka da ne namjerava u obzir uzeti mišljenje Odbora, u cijelosti ili djelomično, uz relevantno obrazloženje, primjenjuje se članak 65. stavak 1.

Članak 65.

Rješavanje sporova pri Odboru

1.   Kako bi se osigurala ispravna i dosljedna primjena ove Uredbe u pojedinačnim slučajevima, Odbor donosi obvezujuću odluku u sljedećim slučajevima:

(a)

ako je, u slučaju iz članka 60. stavka 4., predmetno nadzorno tijelo podnijelo relevantan i obrazložen prigovor na nacrt odluke vodećeg tijela ili je vodeće tijelo odbilo takav prigovor kao nerelevantan ili neobrazložen. Obvezujuća odluka odnosi se na sva pitanja koja su predmet relevantnog i obrazloženog prigovora, a posebno na pitanje kršenja ove Uredbe;

(b)

ako postoje oprečna stajališta oko toga koje je od predmetnih nadzornih tijela nadležno za glavni poslovni nastan;

(c)

ako nadležno nadzorno tijelo ne zatraži mišljenje Odbora u slučaju navedenom u članku 64. stavku 1. ili ne uzme u obzir mišljenje Odbora dano u skladu s člankom 64. U tom slučaju svako predmetno nadzorno tijelo ili Komisija mogu o predmetu obavijestiti Odbor.

2.   Odluka iz stavka 1. donosi se u roku od mjesec dana nakon što dvotrećinska većina članova Odbora uputi predmet. Taj se rok može produžiti za dodatnih mjesec dana, uzimajući u obzir složenost predmeta. Odluka iz stavka 1. obrazlaže se i upućuje vodećem nadzornom tijelu i svim predmetnim nadzornim tijelima te je za njih obvezujuća.

3.   Ako Odbor ne može donijeti odluku u rokovima navedenim u stavku 2., odluku će donijeti u roku od dva tjedna nakon isteka drugog mjeseca iz stavka 2. natpolovičnom većinom članova Odbora. Ako su članovi Odbora podijeljenog mišljenja, odlučujući glas za donošenje odluke jest predsjednikov.

4.   Predmetna nadzorna tijela ne donose odluku o predmetu upućenom Odboru u skladu sa stavkom 1. za vrijeme rokova navedenih u stavcima 2. i 3.

5.   Predsjednik Odbora obavješćuje bez odlaganja zainteresirana nadzorna tijela o odluci iz stavka 1. O njoj obavješćuje Komisiju. Odluka se bez odlaganja objavljuje na internetskim stranicama Odbora nakon što je nadzorno tijelo priopćilo konačnu odluku iz stavka 7.

6.   Vodeće nadzorno tijelo ili, ovisno o slučaju, nadzorno tijelo koje je zaprimilo pritužbu svoju konačnu odluku donosi na temelju odluke iz stavka 1. ovog članka bez nepotrebnog odlaganja i najkasnije mjesec dana nakon što je Odbor priopćio svoju odluku. Vodeće nadzorno tijelo ili, ovisno o slučaju, nadzorno tijelo koje je zaprimilo pritužbu, obavješćuje Odbor kojeg je dana svoju konačnu odluku priopćilo voditelju obrade ili izvršitelju obrade odnosno ispitaniku. Konačna odluka predmetnih nadzornih tijela donosi se pod uvjetima iz članka 60. stavaka 7., 8. i 9. U konačnoj odluci poziva se na odluku iz stavka 1. ovog članka i u njoj se navodi da se odluka iz tog stavka objavljuje na internetskim stranicama Odbora u skladu sa stavkom 5. ovog članka. Konačnoj odluci prilaže se odluka iz stavka 1. ovog članka.

Članak 66.

Hitni postupak

1.   U izuzetnim okolnostima, ako predmetno nadzorno tijelo smatra da postoji hitna potreba za djelovanjem kako bi se zaštitila prava i slobode ispitanika, ono može, odstupajući od mehanizma konzistentnosti iz članak 63., 64. i 65. ili postupka iz članka 60., odmah donijeti privremene mjere kojima se proizvode pravni učinci na svom području na određeno razdoblje valjanosti koje nije duže od tri mjeseca. Nadzorno tijelo bez odgađanja obavješćuje druga predmetna nadzorna tijela, Odbor i Komisiju o tim mjerama i razlozima za njihovo donošenje.

2.   Ako nadzorno tijelo poduzme mjeru u skladu sa stavkom 1. i smatra da treba hitno donijeti završne mjere, ono može zatražiti hitno mišljenje ili hitnu obvezujuću odluku Odbora, navodeći razloge za traženje takvog mišljenja ili odluke.

3.   Svako nadzorno tijelo može zatražiti hitno mišljenje ili hitnu obvezujuću odluku, ovisno o slučaju, od Odbora ako nadležno nadzorno tijelo nije poduzelo prikladnu mjeru u situaciji kada postoji hitna potreba za djelovanjem radi zaštite prava i sloboda ispitanika, uz obrazloženje traženja takvog mišljenja ili odluke uključujući i hitne potrebe za djelovanjem.

4.   Odstupajući od članka 64. stavka 3. i članka 65. stavka 2. hitno mišljenje ili hitna obvezujuća odluka iz stavaka 2. i 3. ovog članka donosi se u roku od dva tjedna natpolovičnom većinom članova Odbora.

Članak 67.

Razmjena informacija

Komisija može donijeti provedbene akte općeg područja primjene radi određivanja aranžmana za razmjenu informacija između nadzornih tijela elektroničkim putem i između nadzornih tijela i Odbora, osobito standardiziranog formata iz članka 64.

Ti provedbeni akti donose se u skladu s postupkom ispitivanja navedenim u članku 93. stavku 2.

Odjeljak 3

Europski odbor za zaštitu podataka

Članak 68.

Europski odbor za zaštitu podataka

1.   Europski odbor za zaštitu podataka („Odbor”) osniva se kao tijelo Unije koje ima pravnu osobnost.

2.   Odbor predstavlja njegov predsjednik.

3.   Odbor čine voditelji jednoga nadzornog tijela iz svake države članice i Europski nadzornik za zaštitu podataka, ili njihovi predstavnici.

4.   Ako je u državi članici za praćenje primjene odredaba ove Uredbe odgovorno više od jednog nadzornog tijela, imenuje se zajednički predstavnik u skladu s pravom te države članice.

5.   Komisija ima pravo sudjelovanja u aktivnostima i sastancima Odbora bez prava glasa. Komisija imenuje predstavnika. Predsjednik Odbora izvješćuje Komisiju o aktivnostima Europskog odbora za zaštitu podataka.

6.   U slučajevima iz članka 65., Europski nadzornik za zaštitu podataka ima pravo glasa samo u pogledu odluka koje se tiču načela i pravila primjenjivih na institucije, tijela, urede i agencije Unije koja sadržajno odgovaraju onima iz ove Uredbe.

Članak 69.

Neovisnost

1.   Odbor djeluje neovisno kada obavlja svoje zadaće ili izvršava svoje ovlasti u skladu s člancima 70. i 71.

2.   Ne dovodeći u pitanje zahtjeve Komisije iz članka 70. stavka 1. točke (b) i članka 70. stavka 2., Odbor pri obavljanju svojih zadaća ili izvršavanju svojih ovlasti ne smije tražiti ni primati upute ni od koga.

Članak 70.

Zadaće Odbora

1.   Odbor osigurava dosljednu primjenu ove Uredbe. U tu svrhu Odbor na vlastitu inicijativu ili prema potrebi na zahtjev Komisije, osobito:

(a)

prati i osigurava pravilnu primjenu ove Uredbe u slučajevima predviđenima člancima 64. i 65. ne dovodeći u pitanje zadaće nacionalnih nadzornih tijela;

(b)

savjetuje Komisiju o svim pitanjima u pogledu zaštite osobnih podataka u Uniji, među ostalim i o svim predloženim izmjenama ove Uredbe;

(c)

savjetuje Komisiju o formatu i postupcima za razmjenu informacija među voditeljima obrade, izvršiteljima obrade i nadzornim tijelima za obvezujuća korporativna pravila;

(d)

izdaje smjernice, preporuke i primjere najbolje prakse o postupcima za brisanje poveznica na osobne podatke, kopija ili replika tih osobnih podataka iz javno dostupnih sredstava komunikacije iz članka 17. stavka 2;

(e)

ispituje na vlastitu inicijativu, na zahtjev jednog od svojih članova ili na zahtjev Komisije sva pitanja koja obuhvaćaju primjenu Uredbe i izdaje smjernice, preporuke i primjere najbolje prakse kako bi poticao dosljednu primjenu ove Uredbe;

(f)

izdaje smjernice, preporuke i primjere najbolje prakse u skladu s točkom (e) ovog članka u svrhu dodatnog određivanja kriterija i uvjeta za odluke koje se temelje na izradi profila u skladu s člankom 22. stavkom 2.;

(g)

izdaje smjernice, preporuke i primjere najbolje prakse u skladu s točkom (b) ovog članka za utvrđivanje povreda osobnih podataka te određivanje nepotrebnog odgađanja iz članka 33. stavaka 1. i 2. te za posebne okolnosti u kojima se od voditelja obrade ili izvršitelja obrade zahtijeva obavješćivanje o povredi osobnih podataka;

(h)

izdaje smjernice, preporuke i primjere najbolje prakse u skladu s točkom (b) ovog članka u pogledu okolnosti u kojima će povreda osobnih podataka vjerojatno dovesti do visokog rizika u pogledu pravâ i sloboda pojedinaca iz članka 34. stavka 1.

(i)

izdaje smjernice, preporuke i primjere najbolje prakse u skladu s točkom (e) ovog članka u svrhu dodatnog određivanja kriterija i zahtjeva za prijenose osobnih podataka na temelju obvezujućih korporativnih pravila kojih se pridržavaju voditelji obrade i obvezujućih korporativnih pravila kojih se pridržavaju izvršitelji obrade te daljnjih zahtjeva potrebnih za osiguravanje zaštite osobnih podataka ispitanika iz članka 47.;

(j)

izdaje smjernice, preporuke i primjere najbolje prakse u skladu s točkom (e) ovog članka u svrhu dodatnog određivanja kriterija i uvjeta za prijenose osobnih podataka na temelju članka 49. stavka 1.;

(k)

izrađuje smjernice za nadzorna tijela s obzirom na primjenu mjera iz članka 58. stavaka 1., 2. i 3. i određuje upravne novčane kazne u skladu s člankom 83.;

(l)

preispituje praktičnu primjenu smjernica, preporuka i primjera najbolje prakse iz točaka (e) i (f);

(m)

izdaje smjernice, preporuke i primjere najbolje prakse u skladu sa stavkom 1. točkom (e) za uspostavu zajedničkih postupaka za izvješćivanje pojedinaca o kršenjima ove Uredbe u skladu s člankom 54. stavkom 2.;

(n)

potiče izradu kodeksa ponašanja i uspostavu mehanizme certificiranja zaštite podataka te pečata i oznaka za zaštitu podataka u skladu s člancima 40. i 42.;

(o)

provodi akreditacije certifikacijskih tijela i periodično preispitivanje akreditacija u skladu s člankom 43. te vodi javnu evidenciju akreditiranih tijela u skladu s člankom 43. stavkom 6. i akreditiranih voditelja obrade ili izvršitelja obrade s poslovnim nastanom u trećim zemljama u skladu s člankom 42. stavkom 7.;

(p)

određuje zahtjeve iz članka 43.stavka 3. s obzirom na akreditaciju certifikacijskih tijela u skladu s člankom 42.;

(q)

Komisiji daje mišljenje o zahtjevima za certificiranje iz članka 43. stavka 8.;

(r)

Komisiji daje mišljenje o ikonama iz članka 12. stavka 7.;

(s)

daje mišljenje Komisiji o procjeni primjerenosti razine zaštite koja postoji u trećoj zemlji ili međunarodnoj organizaciji, kao i o procjeni o tome je li treća zemlja, područje, ili jedan ili više određenih sektora unutar treće zemlje, ili međunarodna organizacija prestao osiguravati primjerenu razinu zaštite. U tu svrhu Komisija dostavlja Odboru svu potrebnu dokumentaciju, uključujući korespondenciju s vladom treće zemlje, vezano za tu treću zemlju, područja ili određenog sektora, ili s međunarodnom organizacijom.

(t)

daje mišljenja o nacrtima odluka nadzornih tijela u skladu s mehanizmom konzistentnosti iz članka 64. stavka 1. te o predmetima podnesenim na temelju članka 64. stavka 2. i pitanju obvezujućih odluka na temelju članka 65., uključujuću slučajeve iz članka 66.;

(u)

promiče suradnju i djelotvornu bilateralnu i multilateralnu razmjenu informacija i najboljih praksi između nadzornih tijela;

(v)

promiče zajedničke programe osposobljavanja i potpomaže razmjenu osoblja između nadzornih tijela te nadzornih tijela trećih zemalja ili međunarodnih organizacija;

(w)

promiče razmjenu znanja i dokumentacije o zakonodavstvu i praksi u području zaštite podataka s nadzornim tijelima za zaštitu podataka širom svijeta.

(x)

daje mišljenje o kodeksima ponašanja sastavljenima na razini Unije u skladu s člankom 40. stavkom 9.; i

(y)

vodi javnosti dostupnu elektroničku evidenciju odluka koje su donijela nadzorna tijela i sudovi o pitanjima rješavanim u okviru mehanizma konzistentnosti.

2.   Ako Komisija zatraži savjet od Odbora, može navesti rok, uzimajući u obzir hitnost predmeta.

3.   Odbor prosljeđuje Komisiji i odboru navedenom u članku 93. svoja mišljenja, smjernice, preporuke i primjere najbolje prakse te ih objavljuje.

4.   Odbor se prema potrebi savjetuje sa zainteresiranim stranama i pruža im priliku da u razumnom roku dostave svoje komentare. Ne dovodeći u pitanje članak 76. Odbor javno objavljuje rezultate postupka savjetovanja.

Članak 71.

Izvješća

1.   Odbor izrađuje godišnje izvješće u pogledu zaštite fizičkih osoba s obzirom na obradu u Uniji i, prema potrebi, u trećim zemljama i međunarodnim organizacijama. Izvješće se objavljuje i prenosi Europskom parlamentu, Vijeću i Komisiji.

2.   Godišnje izvješće obuhvaća preispitivanje praktične primjene smjernica, preporuka i primjera najbolje prakse iz članka 70. stavka 1. točke (l) te obvezujućih odluka iz članka 65.

Članak 72.

Postupak

1.   Ako nije drukčije predviđeno ovom Uredbom, Odbor donosi odluke natpolovičnom većinom glasova svojih članova.

2.   Odbor svoj poslovnik donosi dvotrećinskom većinom glasova svojih članova i organizira vlastite operativne aranžmane.

Članak 73.

Predsjednik

1.   Odbor izabire predsjednika i dva zamjenika predsjednika iz redova svojih članova natpolovičnom većinom.

2.   Mandat predsjednika i zamjenikâ predsjednika traje pet godina i može se produljiti jedanput.

Članak 74.

Zadaće predsjednika

1.   Predsjednik ima sljedeće zadaće:

(a)

saziva sastanke Odbora i priprema njegov dnevni red;

(b)

obavješćuje vodeće nadzorno tijelo i predmetna nadzorna tijela o odlukama koje je donio Odbor u skladu s člankom 65.;

(c)

osigurava pravodobno izvršavanje zadaća Odbora, osobito u vezi s mehanizmom konzistentnosti iz članka 63.

2.   Odbor poslovnikom propisuje raspodjelu zadaća između predsjednika i zamjenikâ predsjednika.

Članak 75.

Tajništvo

1.   Odbor ima tajništvo koje osigurava Europski nadzornik za zaštitu podataka.

2.   Tajništvo obavlja svoje zadaće isključivo prema uputama predsjednika Odbora.

3.   Na osoblje Europskog nadzornika za zaštitu podataka koje sudjeluje u obavljanju zadaća koje su ovom Uredbom povjerene Odboru primjenjuju se odvojene linije izvješćivanja od onih za osoblje koje sudjeluje u obavljanju zadaća povjerenih Europskom nadzorniku za zaštitu podataka.

4.   Odbor i Europski nadzornik za zaštitu podataka prema potrebi utvrđuju i objavljuju memorandum o razumijevanju za provedbu ovog članka u kojem se utvrđuju uvjeti međusobne suradnje i koji se primjenjuje na osoblje Europskog nadzornika za zaštitu podataka koje sudjeluje u obavljanju zadaća koje su ovom Uredbom povjerene Odboru.

5.   Tajništvo pruža analitičku, administrativnu i logističku potporu Odboru.

6.   Tajništvo je osobito odgovorno za:

(a)

tekuće poslove Odbora;

(b)

komunikaciju između članova Odbora, njegova predsjednika i Komisije;

(c)

komunikaciju s drugim institucijama i javnošću;

(d)

uporabu elektroničkih sredstava za internu i eksternu komunikaciju;

(e)

prijevode bitnih informacija;

(f)

pripremu sastanaka Odbora i daljnje postupanje;

(g)

pripremu, izradu i objavu mišljenja, odluka o rješavanju sporova među nadzornim tijelima i drugih tekstova koje Odbor donosi.

Članak 76.

Povjerljivost

1.   Rasprave Odbora povjerljive su ako tako odluči Odbor, kako je predviđeno u njegovom poslovniku.

2.   Pristup dokumentima podnesenima članovima Odbora, stručnjacima i predstavnicima trećih strana uređuje se Uredbom (EZ) br. 1049/2001 Europskog parlamenta i Vijeća (21).

POGLAVLJE VIII.

Pravna sredstva, odgovornost i sankcije

Članak 77.

Pravo na pritužbu nadzornom tijelu

1.   Ne dovodeći u pitanje druga upravna ili sudska pravna sredstva, svaki ispitanik ima pravo podnijeti pritužbu nadzornom tijelu, osobito u državi članici u kojoj ima uobičajeno boravište, u kojoj je njegovo radno mjesto ili mjesto navodnog kršenja, ako ispitanik smatra da obrada osobnih podataka koja se odnosi na njega krši ovu Uredbu.

2.   Nadzorno tijelo kojem je podnesena pritužba obavješćuje podnositelja pritužbe o napretku i ishodu pritužbe, uključujući mogućnost pravni lijek na temelju članka 78.

Članak 78.

Pravo na učinkoviti pravni lijek protiv nadzornog tijela

1.   Ne dovodeći u pitanje nijedan drugi upravni ili izvansudski pravni lijek, svaka fizička ili pravna osoba ima pravo na učinkoviti pravni lijek protiv pravno obvezujuće odluke nekog nadzornog tijela koja se na nju odnosi.

2.   Ne dovodeći u pitanje nijedan drugi upravni ili izvansudski pravni lijek svaki ispitanik ima pravo na učinkoviti pravni lijek ako nadzorno tijelo nadležno na temelju članaka 55. i 56. ne riješi pritužbu ili ne izvijesti ispitanika u roku od tri mjeseca o napretku ili ishodu pritužbe podnesene na temelju članka 77.

3.   Postupci protiv nadzornog tijela vode se pred sudovima države članice u kojoj nadzorno tijelo ima poslovni nastan.

4.   Ako je pokrenut postupak protiv odluke nadzornog tijela kojoj je prethodilo mišljenje ili odluka Odbora u okviru mehanizma konzistentnosti, nadzorno tijelo prosljeđuje to mišljenje ili odluku sudu.

Članak 79.

Pravo na učinkoviti pravni lijek protiv voditelja obrade ili izvršitelja obrade

1.   Ne dovodeći u pitanje nijedan dostupan upravni ili izvansudski pravni lijek, uključujući pravo na podnošenje pritužbe nadzornom tijelu na temelju članka 77., ispitanik ima pravo na učinkoviti pravni lijek ako smatra da su mu zbog obrade njegovih osobnih podataka protivno ovoj Uredbi prekršena njegova prava iz ove Uredbe.

2.   Postupci protiv voditelja obrade ili izvršitelja obrade vode se pred sudovima države članice u kojoj voditelj obrade ili izvršitelj obrade ima poslovni nastan. Osim toga, takvi se postupci mogu voditi pred sudovima države članice u kojoj ispitanik ima uobičajeno boravište, osim ako je voditelj obrade ili izvršitelj obrade tijelo javne vlasti neke države članice koje djeluje izvršavajući svoje javne ovlasti.

Članak 80.

Zastupanje ispitanika

1.   Ispitanik ima pravo ovlastiti neprofitno tijelo, organizaciju ili udruženje, koje je pravilno osnovano u skladu s pravom države članice, u čijem se statutu navode ciljevi od javnog interesa te je aktivno u području zaštite prava i sloboda ispitanika s obzirom na zaštitu njegovih osobnih podataka, da podnesu pritužbu u njegovo ime i da ostvaruju prava iz članaka 77., 78. i 79. u njegovo ime te da ostvaruju pravo na naknadu iz članka 82. u ime ispitanika ako je to predviđeno pravom države članice.

2.   Države članice mogu predvidjeti da svako tijelo, organizacija ili udruženje iz stavka 1. ovog članka, neovisno o mandatu ispitanika, ima pravo u toj državi članici podnijeti pritužbu nadzornom tijelu nadležnom u skladu s člankom 77. i ostvarivati prava iz članaka 78. i 79. ako smatra da su uslijed obrade osobnih podataka prekršena prava ispitanika iz ove Uredbe.

Članak 81.

Suspenzija postupka

1.   Ako nadležni sud države članice posjeduje informacije da je postupak u vezi s istim predmetom u smislu procesuiranja od istog voditelja obrade ili izvršitelja obrade u tijeku na sudu druge države članice, mora kontaktirati taj sud u drugoj državi članici kako bi potvrdio postojanje tog postupka.

2.   Ako je postupak u vezi s istim predmetom u smislu procesuiranja od istog voditelja obrade ili izvršitelja obrade u tijeku na sudu u drugoj državi članici, svi nadležni sudovi osim suda pred kojim je prvo pokrenut postupak mogu suspendirati svoj postupak.

3.   Ako se vodi prvostupanjski postupak, svi sudovi osim suda pred kojim je prvo pokrenut postupak mogu također na zahtjev jedne od stranaka odbiti nadležnost, ako je sud pred kojim je prvo pokrenut postupak nadležan za odlučivanje u predmetnom postupku i ako njegovo pravo dopušta spajanje predmeta.

Članak 82.

Pravo na naknadu štete i odgovornost

1.   Svaka osoba koja je pretrpjela materijalnu ili nematerijalnu štetu zbog kršenja ove Uredbe ima pravo na naknadu od voditelja obrade ili izvršitelja obrade za pretrpljenu štetu.

2.   Svaki voditelj obrade koji je uključen u obradu odgovoran je za štetu prouzročenu obradom kojom se krši ova Uredba. Izvršitelj obrade je odgovoran za štetu prouzročenu obradom samo ako nije poštovao obveze iz ove Uredbe koje su posebno namijenjene izvršiteljima obrade ili je djelovao izvan zakonitih uputa voditelja obrade ili protivno njima.

3.   Voditelj obrade ili izvršitelj obrade izuzet je od odgovornosti na temelju stavka 2. ako dokaže da nije ni na koji način odgovoran za događaj koji je prouzročio štetu.

4.   Ako je u istu obradu uključeno više od jednog voditelja obrade ili izvršitelja obrade ili su u istu obradu uključeni i voditelj obrade i izvršitelj obrade i ako su, u skladu sa stavcima 2. i 3., odgovorni za bilo kakvu štetu prouzročenu obradom, svaki voditelj obrade ili izvršitelj obrade smatra se odgovornim za cjelokupnu štetu kako bi se osigurala učinkovita naknada ispitaniku.

5.   Ako je voditelj obrade ili izvršitelj obrade, u skladu sa stavkom 4., platio punu odštetu za pretrpljenu štetu, taj voditelj obrade ili izvršitelj obrade ima pravo zatražiti od drugih voditelja obrade ili izvršitelja obrade koji su uključeni u istu obradu dio odštete koji odgovara njihovu udjelu u odgovornosti za štetu u skladu s uvjetima iz stavka 2.

6.   Sudski postupak za ostvarivanje prava na naknadu štete vodi se pred sudovima koji su nadležni prema pravu države članice iz članka 79. stavka 2.

Članak 83.

Opći uvjeti za izricanje upravnih novčanih kazni

1.   Svako nadzorno tijelo osigurava da je izricanje upravnih novčanih kazni u skladu s ovim člankom u pogledu kršenja ove Uredbe iz stavaka 4., 5. i 6. u svakom pojedinačnom slučaju učinkovito, proporcionalno i odvraćajuće.

2.   Upravne novčane kazne izriču se uz mjere ili umjesto mjera iz članka 58. stavka 2. točaka od (a) do (h) i članka 58. stavka 2. točke (j), ovisno o okolnostima svakog pojedinog slučaja. Pri odlučivanju o izricanju upravne novčane kazne i odlučivanju o iznosu te upravne novčane kazne u svakom pojedinom slučaju dužna se pozornost posvećuje sljedećem:

(a)

prirodi, težini i trajanju kršenja, uzimajući u obzir narav, opseg i svrhu obrade o kojoj je riječ kao i broj ispitanika i razinu štete koju su pretrpjeli;

(b)

ima li kršenje obilježje namjere ili nepažnje;

(c)

svakoj radnji koju je voditelj obrade ili izvršitelj obrade poduzeo kako bi ublažio štetu koju su pretrpjeli ispitanici;

(d)

stupnju odgovornosti voditelja obrade ili izvršitelja obrade uzimajući u obzir tehničke i organizacijske mjere koje su primijenili u skladu s člancima 25. i 32.;

(e)

svim relevantnim prijašnjim kršenjima voditelja obrade ili izvršitelja obrade;

(f)

stupnju suradnje s nadzornim tijelom kako bi se otklonilo kršenje i ublažili mogući štetni učinci tog kršenja;

(g)

kategorijama osobnih podataka na koje kršenje utječe;

(h)

načinu na koji je nadzorno tijelo doznalo za kršenje, osobito je li i u kojoj mjeri voditelj obrade ili izvršitelj obrade izvijestio o kršenju;

(i)

ako su protiv dotičnog voditelja obrade ili izvršitelja obrade u vezi s istim predmetom prethodno izrečene mjere iz članka 58. stavka 2., poštovanju tih mjera;

(j)

poštovanju odobrenih kodeksa ponašanja u skladu s člankom 40. ili odobrenih mehanizama certificiranja u skladu s člankom 42.; i

(k)

svim ostalim otegotnim ili olakotnim čimbenicima koji su primjenjivi na okolnosti slučaja, kao što su financijska dobit ostvarena kršenjem ili gubici izbjegnuti, izravno ili neizravno, tim kršenjem.

3.   Ako voditelj obrade ili izvršitelj obrade za istu ili povezane obrade namjerno ili iz nepažnje prekrši nekoliko odredaba ove Uredbe ukupan iznos novčane kazne ne smije biti veći od administrativnog iznosa utvrđenog za najteže kršenje.

4.   Za kršenja sljedećih odredaba, u skladu sa stavkom 2., mogu se izreći upravne novčane kazne u iznosu do 10 000 000 EUR, ili u slučaju poduzetnika do 2 % ukupnog godišnjeg prometa na svjetskoj razini za prethodnu financijsku godinu, ovisno o tome što je veće:

(a)

obveza voditelja obrade i izvršitelja obrade u skladu s člancima 8., 11., od 25. do 39., te 42. i 43.;

(b)

obveza certifikacijskog tijela u skladu s člancima 42. i 43.;

(c)

obveza tijela za praćenje u skladu s člankom 41.stavkom 4.;

5.   Za kršenja sljedećih odredaba, u skladu sa stavkom 2.a, mogu se izreći upravne novčane kazne u iznosu do 20 000 000 EUR, ili u slučaju poduzetnika do 4 % ukupnog godišnjeg prometa na svjetskoj razini za prethodnu financijsku godinu, ovisno o tome što je veće:

(a)

osnovnih načela za obradu, što uključuje uvjete privole u skladu s člancima 5., 6., 7. i 9.;

(b)

prava ispitanika u skladu s člancima od 12. do 22.;

(c)

prijenosa osobnih podataka primatelju u trećoj zemlji ili međunarodnoj organizaciji u skladu s člancima od 44. do 49.;

(d)

svih obveza u skladu s pravom države članice donesenim na temelju poglavlja IX.;

(e)

nepoštovanja naredbe ili privremenog ili trajnog ograničenje obrade ili suspenzije protoka podataka nadzornog tijela u skladu s člankom 58. stavkom 2. ili uskraćivanje pristupa kršenjem članka 58. stavka 1.

6.   Za nepoštovanje naredbe nadzornog tijela iz članka 58. stavka 2. u skladu sa stavkom 2. ovog članka mogu se izreći upravne novčane kazne u iznosu do 20 000 000 EUR, ili u slučaju poduzetnika do 4 % ukupnog godišnjeg prometa na svjetskoj razini za prethodnu financijsku godinu, ovisno o tome što je veće.

7.   Ne dovodeći u pitanje korektivne ovlasti nadzornih tijela iz članka 58. stavka 2. svaka država članica može utvrditi pravila mogu li se i u kojoj mjeri tijelima javne vlasti ili tijelima s poslovnim nastanom u toj državi članici izreći upravne novčane kazne.

8.   Na izvršavanje ovlasti nadzornog tijela u skladu s ovim člankom primjenjuju se odgovarajuće postupovne zaštitne mjere u skladu s pravom Unije i pravom države članice, uključujući učinkoviti pravni lijek i pravilno postupanje.

9.   Ako pravnim sustavom države članice nisu predviđene upravne novčane kazne, ovaj se članak može primjenjivati na način da novčanu kaznu pokreće nadležno nadzorno tijelo, a izriču je nadležni nacionalni sudovi pritom osiguravajući da su ta pravna sredstva učinkovita i imaju istovrijedan učinak kao i upravne novčane kazne koje izriču nadzorna tijela. U svakom slučaju novčane kazne koje se izriču moraju biti učinkovite, proporcionalne i odvraćajuće. Te države članice najkasnije do 25. svibnja 2018. obavješćuju Komisiju o odredbama svojih zakona koje donesu u skladu s ovim stavkom te, bez odgode, o svim daljnjim izmjenama zakona ili izmjeni koja na njih utječe.

Članak 84.

Sankcije

1.   Države članice utvrđuju pravila o ostalim sankcijama koje se primjenjuju na kršenja odredaba ove Uredbe, te poduzimaju sve potrebne mjere kako bi se osigurala njihova provedba. Te sankcije moraju biti učinkovite, proporcionalne i odvraćajuće.

2.   Svaka država članica priopćuje Komisiji odredbe svojih zakona koje je donijela u skladu sa stavkom 1. do 25. svibnja 2018. i bez odgađanja o svakoj sljedećoj izmjeni koja na njih utječe.

POGLAVLJE IX.

Odredbe u vezi s posebnim situacijama obrade

Članak 85.

Obrada i sloboda izražavanja i informiranja

1.   Države članice zakonom usklađuju pravo na zaštitu osobnih podataka u skladu s ovom Uredbom s pravom na slobodu izražavanja i informiranja, što uključuje obradu u novinarske svrhe i svrhe akademskog, umjetničkog ili književnog izražavanja.

2.   U vezi s obradom koja se obavlja u novinarske svrhe ili u svrhe akademskog, umjetničkog ili književnog izražavanja, države članice predviđaju izuzeća ili odstupanja od poglavlja II. (načela), poglavlja III. (prava ispitanika), poglavlja IV. (voditelj obrade i izvršitelj obrade), poglavlja V. (prijenos osobnih podataka trećim zemljama ili međunarodnim organizacijama), poglavlja VI. (neovisna nadzorna tijela), poglavlja VII. (suradnja i konzistentnost) i poglavlja IX. (posebne situacije obrade) ako su ona potrebna kako bi se uskladilo pravo na zaštitu osobnih podataka sa slobodom izražavanja i informiranja.

3.   Svaka država članica Komisiji priopćuje odredbe svojih zakona koje je donijela u skladu sa stavkom 2. te, bez odgode, o svim daljnjim izmjenama zakona ili izmjeni koja na njih utječe.

Članak 86.

Obrada i javni pristup službenim dokumentima

Tijelo javne vlasti, javno ili privatno tijelo može otkriti osobne podatke iz službenih dokumenata koje posjeduje to tijelo javne vlasti ili to tijelo u svrhu obavljanja zadaće u javnom interesu u skladu s pravom Unije ili pravom države članice koje se primjenjuje na to tijelo javne vlasti ili to tijelo kako bi se uskladio javni pristup službenim dokumentima s pravom na zaštitu osobnih podataka u skladu s ovom Uredbom.

Članak 87.

Obrada nacionalnog identifikacijskog broja

Države članice mogu dodatno utvrditi posebne uvjete za obradu nacionalnog identifikacijskog broja ili bilo kojeg drugog identifikatora opće primjene. U tom se slučaju nacionalni identifikacijski broj ili bilo koji drugi identifikator opće primjene upotrebljava samo uz primjenu odgovarajućih zaštitnih mjera u pogledu prava i sloboda ispitanika u skladu s ovom Uredbom.

Članak 88.

Obrada u kontekstu zaposlenja

1.   Države članice mogu zakonom ili kolektivnim ugovorima predvidjeti preciznija pravila s ciljem osiguravanja zaštite prava i sloboda u vezi s obradom osobnih podataka zaposlenika u kontekstu zaposlenja, osobito za potrebe zapošljavanja, izvršavanja ugovora o radu, što uključuje ispunjavanje zakonski propisanih obveza ili obveza propisanih kolektivnim ugovorima, za potrebe upravljanja, planiranja i organizacije rada, jednakosti i različitosti na radnome mjestu, zdravlja i sigurnosti na radu, zaštite imovine poslodavca ili klijenta i za potrebe ostvarenja i uživanja prava i koristi iz radnog odnosa, na individualnoj ili kolektivnoj osnovi, te za potrebe prestanka radnog odnosa.

2.   Ta pravila uključuju prikladne i posebne mjere za zaštitu ljudskog dostojanstva ispitanika, njegovih legitimnih interesa i temeljnih prava, posebno u odnosu na transparentnost obrade, prijenos osobnih podataka unutar grupe poduzetnika ili grupe poduzeća koja se bave zajedničkom gospodarskom djelatnošću i sustavâ praćenja na radnom mjestu.

3.   Svaka država članica priopćuje Komisiji te odredbe svojih zakona koje je donijela u skladu sa stavkom 1. do 25. svibnja 2018. i bez odgađanja o svakoj sljedećoj izmjeni koja na njih utječe.

Članak 89.

Zaštitne mjere i odstupanja vezano za obradu u svrhe arhiviranja u javnom interesu, u svrhe znanstvenog ili povijesnog istraživanja ili u statističke svrhe

1.   Na obradu u svrhe arhiviranja u javnom interesu, u svrhe znanstvenog ili povijesnog istraživanja ili u statističke svrhe primjenjuju se odgovarajuće zaštitne mjere u skladu s ovom Uredbom u pogledu prava i sloboda ispitanika. Tim zaštitnim mjerama osigurava se da su na snazi tehničke i organizacijske mjere, posebno kako bi se zajamčilo načelo smanjenja količine podataka. Te mjere mogu uključivati pseudonimizaciju, pod uvjetom da se te svrhe mogu postići na taj način. Ako se te svrhe mogu postići daljnjom obradom koja ne dopušta ili više ne dopušta identifikaciju ispitanika, te se svrhe postižu na taj način.

2.   Ako se osobni podaci obrađuju u svrhe znanstvenog ili povijesnog istraživanja ili u statističke svrhe, pravom Unije ili pravom države članice mogu se predvidjeti odstupanja od prava navedenih u člancima 15., 16., 18. i 21., uz primjenu uvjeta i mjera zaštite iz stavka 1. ovog članka, u mjeri u kojoj je vjerojatno da bi se takvim pravima moglo onemogućiti ili ozbiljno ugroziti postizanje tih posebnih svrha te su takva odstupanja neophodna za postizanje tih svrha.

3.   Ako se osobni podaci obrađuju u svrhe arhiviranja u javnom interesu, pravom Unije ili pravom države članice mogu se predvidjeti odstupanja od prava navedenih u člancima 15., 16., 18., 19., 20. i 21., uz primjenu uvjeta i mjera zaštite iz stavka 1. ovog članka, u mjeri u kojoj je vjerojatno da bi se takvim pravima moglo onemogućiti ili ozbiljno ugroziti postizanje tih posebnih svrha te su takva odstupanja neophodna za postizanje tih svrha.

4.   Ako obrada navedena u stavcima 2. i 3. istovremeno služi i drugoj svrsi, odstupanja se primjenjuju samo za obradu u svrhe koje su navedene u tim stavcima.

Članak 90.

Obveze tajnosti

1.   Države članice mogu donositi posebna pravila za utvrđivanje ovlasti nadzornih tijela iz članka 58. stavka 1.točaka (e) i (f) u pogledu voditelja obrade ili izvršitelja obrade koji, na temelju prava Unije ili prava države članice ili na temelju pravila koja su donijela nacionalna nadležna tijela, podliježu obvezi profesionalne tajne i drugim jednakovrijednim obvezama tajnosti, ako je to nužno i razmjerno kako bi se uskladilo pravo na zaštitu osobnih podataka s obvezom tajnosti. Ta se pravila primjenjuju samo na osobne podatke koje je voditelj obrade ili izvršitelj obrade dobio kao rezultat, ili primio tijekom aktivnosti koja je obuhvaćena obvezom tajnosti.

2.   Svaka država članica priopćuje Komisiji pravila donesena na temelju stavka 1. do 25. svibnja 2018. i bez odgađanja o svakoj sljedećoj izmjeni koja na njih utječe.

Članak 91.

Postojeća pravila o zaštiti podataka crkava i vjerskih udruženja

1.   Ako crkve i vjerska udruženja ili zajednice u državi članici primjenjuju, u vrijeme stupanja na snagu ove Uredbe, sveobuhvatna pravila u pogledu zaštite pojedinaca s obzirom na obradu, ta postojeća pravila mogu se i dalje primjenjivati pod uvjetom da se usklade s ovom Uredbom.

2.   Crkve i vjerska udruženja koje primjenjuju sveobuhvatna pravila u skladu sa stavkom 1. ovog članka nadzire neovisno nadzorno tijelo koje može biti posebno tijelo, pod uvjetom da ispunjava uvjete utvrđene poglavljem VI. ove Uredbe.

POGLAVLJE X.

Delegirani akti i provedbeni akti

Članak 92.

Izvršavanje delegiranja ovlasti

1.   Ovlast za donošenje delegiranih akata dodjeljuje se Komisiji podložno uvjetima utvrđenima u ovom članku.

2.   Ovlast za donošenje delegiranih akata iz članka 12. stavka 8. i članka 43. stavka 8. dodjeljuje se Komisiji na neodređeno vrijeme počevši od 24. svibnja 2016.

3.   Europski parlament ili Vijeće u svakom trenutku mogu opozvati delegiranje ovlasti iz članka 12. stavka 8. i članka 43. stavka 8. Odlukom o opozivu prekida se delegiranje ovlasti koje je u njoj navedeno. Odluka o opozivu počinje proizvoditi učinke sljedećeg dana od dana objave spomenute odluke u Službenom listu Europske unije ili na kasniji dan naveden u spomenutoj odluci. On ne utječe na valjanost delegiranih akata koji su već na snazi.

4.   Čim donese delegirani akt, Komisija ga istodobno priopćuje Europskom parlamentu i Vijeću.

5.   Delegirani akt donesen na temelju članka 12. stavka 8. i članka 43. stavka 8. stupa na snagu samo ako Europski parlament ili Vijeće u roku od tri mjeseca od priopćenja tog akta Europskom parlamentu i Vijeću na njega ne podnesu nikakav prigovor ili ako su prije isteka tog roka i Europski parlament i Vijeće obavijestili Komisiju da neće uložiti prigovore. Taj se rok produljuje za tri mjeseca na inicijativu Europskog parlamenta ili Vijeća.

Članak 93.

Postupak odbora

1.   Komisiji pomaže odbor. Navedeni odbor je odbor u smislu Uredbe (EU) br. 182/2011.

2.   Pri upućivanju na ovaj stavak, primjenjuje se članak 5. Uredbe (EU) br. 182/2011.

3.   Pri upućivanju na ovaj stavak, primjenjuje se članak 8. Uredbe (EU) br. 182/2011 zajedno s njezinim člankom 5.

POGLAVLJE XI.

Završne odredbe

Članak 94.

Stavljanje izvan snage Direktive 95/46/EZ

1.   Direktiva 95/46/EZ stavlja se izvan snage s učinkom od 25. svibnja 2018.

2.   Upućivanja na direktivu koja je stavljena izvan snage tumače se kao upućivanja na ovu Uredbu. Upućivanja na Radnu skupinu o zaštiti pojedinaca s obzirom na obradu osobnih podataka osnovanu člankom 29. Direktive 95/46/EZ tumače se kao upućivanja na Europski odbor za zaštitu podataka osnovan ovom Uredbom.

Članak 95.

Odnos s Direktivom 2002/58/EZ

Ovom Uredbom ne propisuju se dodatne obveze fizičkim ili pravnim osobama u pogledu obrade u vezi s pružanjem javno dostupnih elektroničkih komunikacijskih usluga u javnim komunikacijskim mrežama u Uniji povezanih s pitanjima u pogledu kojih vrijede posebne obveze s istim ciljem iz Direktive 2002/58/EZ.

Članak 96.

Odnos s prethodno sklopljenim sporazumima

Međunarodni sporazumi koji uključuju prijenos osobnih podataka trećim zemljama ili međunarodnim organizacijama koje su države članice sklopile prije 24. svibnja 2016., a koji su u skladu s pravom Unije primjenjivim prije tog datuma, ostaju na snazi dok ih se ne izmijeni, zamijeni ili stavi izvan snage.

Članak 97.

Izvješća Komisije

1.   Do 25. svibnja 2020. i svake četiri godine nakon toga Komisija podnosi izvješće Europskom parlamentu i Vijeću o ocjeni i preispitivanju ove Uredbe. Izvješća se javno objavljuju.

2.   U okviru ocjena i preispitivanjâ iz stavka 1. Komisija osobito ispituje primjenu i funkcioniranje:

(a)

poglavlja V. o prijenosu osobnih podataka trećim zemljama ili međunarodnim organizacijama, a osobito u pogledu odluka donesenih na temelju članka 45. stavka 3. ove Uredbe i odluka donesenih na temelju članka 25. stavka 6. Direktive 95/46/EZ;

(b)

poglavlja VII. o suradnji i konzistentnosti.

3.   Za potrebe stavka 1. Komisija može zatražiti informacije od država članica i nadzornih tijela.

4.   Pri obavljanju ocjena i preispitivanjâ iz stavka 1. i 2. Komisija uzima u obzir stajališta i nalaze Europskog parlamenta, Vijeća te drugih relevantnih tijela ili izvora.

5.   Komisija prema potrebi podnosi odgovarajuće prijedloge s ciljem izmjene ove Uredbe, posebno uzimajući u obzir razvoj informacijske tehnologije te s obzirom na napredak informacijskog društva.

Članak 98.

Preispitivanje drugih akata Unije o zaštiti podataka

Komisija prema potrebi podnosi zakonodavne prijedloge s ciljem izmjene drugih pravnih akata Unije o zaštiti osobnih podataka kako bi se osigurala jedinstvena i dosljedna zaštita pojedinaca s obzirom na obradu. To se osobito odnosi na pravila u vezi sa zaštitom pojedinaca u pogledu obrade koju obavljaju institucije, tijela, uredi i agencije Unije te pravila u vezi sa slobodnim kretanjem takvih podataka.

Članak 99.

Stupanje na snagu i primjena

1.   Ova Uredba stupa na snagu dvadesetog dana od dana objave u Službenom listu Europske unije.

2.   Primjenjuje se od 25. svibnja 2018.

Ova je Uredba u cijelosti obvezujuća i izravno se primjenjuje u svim državama članicama.

Sastavljeno u Bruxellesu 27. travnja 2016.

Za Europski parlament

Predsjednik

M. SCHULZ

Za Vijeće

Predsjednica

J.A. HENNIS-PLASSCHAERT


(1)  SL C 229, 31.7.2012., str. 90.

(2)  SL C 391, 18.12.2012., str. 127.

(3)  Stajalište Europskog parlamenta od 12. ožujka 2014. (još nije objavljeno u Službenom listu) i stajalište Vijeća u prvom čitanju od 8. travnja 2016. (još nije objavljeno u Službenom listu). Stajalište Europskog parlamenta od 14. travnja 2016.

(4)  Direktiva 95/46/EZ Europskog parlamenta i Vijeća od 24. listopada 1995. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom protoku takvih podataka (SL L 281, 23.11.1995., str. 31.).

(5)  Preporuka Komisije od 6. svibnja 2003. o definiciji mikropoduzeća te malih i srednjih poduzeća (C(2003) 1422) (SL L 124, 20.5.2003., str. 36.).

(6)  Uredba (EZ) br. 45/2001 Europskog parlamenta i Vijeća od 18. prosinca 2000. o zaštiti pojedinaca u vezi s obradom osobnih podataka u institucijama i tijelima Zajednice i o slobodnom kretanju takvih podataka (SL L 8, 12.1.2001., str. 1.).

(7)  Direktiva (EU) 2016/680 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca pri obradi osobnih podataka od strane nadležnih tijela u svrhe sprečavanja, istrage, otkrivanja ili progona kaznenih djela ili izvršavanja kaznenih sankcija i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Okvirne odluke Vijeća 2008/977/PUP (vidjeti stranicu 89. ovoga Službenog lista).

(8)  Direktiva 2000/31/EZ Europskog parlamenta i Vijeća od 8. lipnja 2000. o određenim pravnim aspektima usluga informacijskog društva na unutarnjem tržištu, posebno elektroničke trgovine (Direktiva o elektroničkoj trgovini) (SL L 178, 17.7.2000., str. 1.).

(9)  Direktiva 2011/24/EU Europskog parlamenta i Vijeća od 9. ožujka 2011. o primjeni prava pacijenata u prekograničnoj zdravstvenoj skrbi (SL L 88, 4.4.2011., str. 45.).

(10)  Direktiva Vijeća 93/13/EEZ od 5. travnja 1993. o nepoštenim uvjetima u potrošačkim ugovorima (SL L 95, 21.4.1993., str. 29.).

(11)  Uredba (EZ) br. 1338/2008 Europskog parlamenta i Vijeća od 16. prosinca 2008. o statističkim podacima Zajednice o javnom zdravlju i zdravlju i sigurnosti na radnom mjestu (SL L 354, 31.12.2008., str. 70.).

(12)  Uredba (EZ) br. 182/2011 Europskog parlamenta i Vijeća od 16. veljače 2011. o utvrđivanju pravila i općih načela u vezi s mehanizmima nadzora država članica nad izvršavanjem provedbenih ovlasti Komisije (SL L 55, 28.2.2011., str. 13.).

(13)  Uredba (EU) br. 1215/2012 Europskog parlamenta i Vijeća od 12. prosinca 2012. o nadležnosti, priznavanju i izvršenju sudskih odluka u građanskim i trgovačkim stvarima (SL L 351, 20.12.2012., str. 1.).

(14)  Direktiva 2003/98/EZ Europskog parlamenta i Vijeća od 17. studenoga 2003. o ponovnoj uporabi informacija javnog sektora (SL L 345, 31.12.2003., str. 90.).

(15)  Uredba (EU) br. 536/2014 Europskog parlamenta i Vijeća od 16. travnja 2014. o kliničkim ispitivanjima lijekova za primjenu kod ljudi te o stavljanju izvan snage Direktive 2001/20/EZ (SL L 158, 27.5.2014., str. 1.).

(16)  Uredba (EZ) br. 223/2009 Europskog parlamenta i Vijeća od 11. ožujka 2009. o europskoj statistici i stavljanju izvan snage Uredbe (EZ, Euratom) br. 1101/2008 Europskog parlamenta i Vijeća o dostavi povjerljivih statističkih podataka Statističkom uredu Europskih zajednica, Uredbe Vijeća (EZ) br. 322/97 o statistici Zajednice i Odluke Vijeća 89/382/EEZ, Euratom o osnivanju Odbora za statistički program Europskih zajednica (SL L 87, 31.3.2009., str. 164.).

(17)  SL C 192, 30.6.2012., str. 7.

(18)  Direktiva 2002/58/EZ Europskog parlamenta i Vijeća od 12. srpnja 2002. o obradi osobnih podataka i zaštiti privatnosti u području elektroničkih komunikacija (Direktiva o privatnosti i elektroničkim komunikacijama) (SL L 201, 31.7.2002., str. 37.).

(19)  Direktiva (EU) 2015/1535 Europskog parlamenta i Vijeća od 9. rujna 2015. o utvrđivanju postupka pružanja informacija u području tehničkih propisa i pravila o uslugama informacijskog društva (SL L 241, 17.9.2015., str. 1.).

(20)  Uredba (EZ) br. 765/2008 Europskog parlamenta i Vijeća od 9. srpnja 2008. o utvrđivanju zahtjeva za akreditaciju i za nadzor tržišta u odnosu na stavljanje proizvoda na tržište i o stavljanju izvan snage Uredbe (EEZ) br. 339/93 (SL L 218, 13.8.2008., str. 30.).

(21)  Uredba (EZ) br. 1049/2001 Europskog parlamenta i Vijeća od 30. svibnja 2001. o javnom pristupu dokumentima Europskog parlamenta, Vijeća i Komisije (SL L 145, 31.5.2001., str. 43.).


DIREKTIVE

4.5.2016   

HR

Službeni list Europske unije

L 119/89


DIREKTIVA (EU) 2016/680 EUROPSKOG PARLAMENTA I VIJEĆA

od 27. travnja 2016.

o zaštiti pojedinaca u vezi s obradom osobnih podataka od strane nadležnih tijela u svrhe sprečavanja, istrage, otkrivanja ili progona kaznenih djela ili izvršavanja kaznenih sankcija i o slobodnom kretanju takvih podatakate o stavljanju izvan snage Okvirne odluke Vijeća 2008/977/PUP

EUROPSKI PARLAMENT I VIJEĆE EUROPSKE UNIJE,

uzimajući u obzir Ugovor o funkcioniranju Europske unije, a posebno njegov članak 16. stavak 2.,

uzimajući u obzir prijedlog Europske komisije,

nakon prosljeđivanja nacrta zakonodavnog akta nacionalnim parlamentima,

uzimajući u obzir mišljenje Odbora regija (1),

u skladu s redovnim zakonodavnim postupkom (2),

budući da:

(1)

Zaštita pojedinaca s obzirom na obradu osobnih podataka temeljno je pravo. Člankom 8. stavkom 1. Povelje Europske unije o temeljnim pravima („Povelja”) te člankom 16. stavkom 1. Ugovora o funkcioniranju Europske unije (UFEU) utvrđuje se da svatko ima pravo na zaštitu svojih osobnih podataka.

(2)

Načela i pravila o zaštiti pojedinaca u vezi s obradom njihovih osobnih podataka trebala bi poštovati njihova temeljna prava i slobode, a posebno njihovo pravo na zaštitu osobnih podataka, bez obzira na nacionalnost ili boravište pojedinaca. Ovom Direktivom želi se doprinijeti uspostavi područja slobode, sigurnosti i pravde.

(3)

Zbog brzog tehnološkog razvoja i globalizacije pojavili su se novi izazovi u zaštiti osobnih podataka. Opseg prikupljanja i razmjene osobnih podataka značajno se povećava. Tehnologijom se omogućuje obrada osobnih podataka u dosada nedosegnutom opsegu u provođenju aktivnosti poput sprečavanja, istrage, otkrivanja ili progona kaznenih djela ili izvršavanja kaznenih sankcija.

(4)

Slobodni protok osobnih podataka među nadležnim tijelima u svrhu sprečavanja, istrage, otkrivanja ili progona kaznenih djela ili izvršavanja kaznenih sankcija, uključujući zaštitu od prijetnji javnoj sigurnosti i njihovo sprečavanje unutar Unije, te prijenosa takvih osobnih podataka u treće zemlje i međunarodne organizacije trebalo bi se olakšati uz istodobno osiguravanje visoke razine zaštite osobnih podataka. Te promjene zahtijevaju izgradnju čvrstog i usklađenijeg okvira za zaštitu osobnih podataka u Uniji koji bi podupirala dosljedna provedba.

(5)

Direktiva 95/46/EZ Europskog parlamenta i Vijeća (3) primjenjuje se na svaku obradu osobnih podataka u državama članicama u javnom i privatnom sektoru. No ona se ne primjenjuje na obradu osobnih podataka tijekom djelatnosti koja je izvan područja primjene prava Zajednice, kao što su djelatnosti u područjima pravosudne suradnje u kaznenim stvarima i policijske suradnje.

(6)

Okvirna odluka Vijeća 2008/977/PUP (4) primjenjuje se na područja pravosudne suradnje u kaznenim stvarima i policijske suradnje. Područje primjene te okvirne odluke ograničeno je na obradu osobnih podataka koje države članice jedna drugoj prenose ili stavljaju na raspolaganje.

(7)

Osiguravanje dosljedne i visoke razine zaštite osobnih podataka pojedinaca te olakšavanje razmjene osobnih podataka među nadležnim tijelima država članica ključno je kako bi se osigurala učinkovita pravosudna suradnja u kaznenim tvarima i policijska suradnja. U tu svrhu, razina zaštite prava i sloboda pojedinaca u vezi s obradom osobnih podataka od strane nadležnih tijela u svrhe sprečavanja, istrage, otkrivanja ili progona kaznenih djela ili izvršavanja kaznenih sankcija, uključujući zaštitu od prijetnji javnoj sigurnosti i njihovo sprečavanje, trebala bi biti jednaka u svim državama članicama. Učinkovita zaštita osobnih podataka u cijeloj Uniji zahtijeva jačanje pravâ ispitanika i obveza onih koji osobne podatke obrađuju, kao i jednakovrijedne ovlasti praćenja i osiguravanja usklađenosti s pravilima za zaštitu osobnih podataka u državama članicama.

(8)

Člankom 16. stavkom 2. UFEU-a Europskom parlamentu i Vijeću nalaže se utvrđivanje pravila o zaštiti pojedinaca s obzirom na obradu osobnih podataka i pravila o slobodnom kretanju takvih podataka.

(9)

Na temelju toga, Uredbom (EU) 2016/679 Europskog parlamenta i Vijeća (5) utvrđuju se opća pravila za zaštitu pojedinaca u vezi s obradom osobnih podataka i za osiguravanje slobodnog kretanja osobnih podataka unutar Unije.

(10)

U Izjavi br. 21 o zaštiti osobnih podataka u područjima pravosudne suradnje u kaznenim stvarima i policijske suradnje, priloženoj završnom aktu međuvladine konferencije na kojoj je donesen Ugovor iz Lisabona, na konferenciji je potvrđeno da bi se određena pravila o zaštiti osobnih podataka i slobodnom kretanju osobnih podataka u područjima pravosudne suradnje u kaznenim stvarima i policijske suradnje na temelju članka 16. UFEU-a mogla pokazati neophodnima zbog specifične prirode tih područja.

(11)

Stoga je primjereno da se ta područja urede posebnom direktivom kojom bi se utvrdila posebna pravila o zaštiti pojedinaca s obzirom na osobnih podataka od strane nadležnih tijela u svrhe sprečavanja, istrage, otkrivanja ili progona kaznenih djela ili izvršavanja kaznenih sankcija, uključujući zaštitu od prijetnji javnoj sigurnosti i njihovo sprečavanje, poštujući posebnu prirodu tih aktivnosti. Takva nadležna tijela mogu obuhvaćati ne samo tijela javne vlasti poput pravosudnih tijela, policije ili drugih tijela za izvršavanje zakonodavstva, nego i svako drugo tijelo ili subjekt kojem je pravom države članice povjereno obavljanje javnih nadležnosti i javnih ovlasti za potrebe ove Direktive. Ako takvo tijelo ili subjekt obrađuje osobne podatke u svrhe koje nisu svrhe ove Direktive, primjenjuje se Uredba (EU) 2016/679. Uredba (EU) 2016/679 primjenjuje se stoga u slučajevima kad tijelo ili subjekt prikuplja osobne podatke za druge potrebe i dalje ih obrađuje radi poštovanja pravne obveze kojoj podliježe. Na primjer, za potrebe istrage, otkrivanja ili kaznenog progona kaznenih djela financijske institucije zadržavaju određene osobne podatke koje obrađuju te pružaju te osobne podatke samo nadležnim nacionalnim tijelima u posebnim slučajevima i u skladu s pravom države članice. Tijelo ili subjekt koji obrađuje osobne podatke u ime takvih tijela u području primjene ove Direktive trebao bi biti obvezan ugovorom ili drugim pravnim aktom i odredbama primjenjivima na izvršitelje obrade u skladu s ovom Direktivom, dok na primjenu Uredbe (EU) 2016/679 nema učinaka u kontekstu aktivnosti obrade osobnih podataka koju obavlja izvršitelj obrade izvan područja primjene ove Direktive.

(12)

Aktivnosti koje provodi policija ili druga tijela za izvršavanje zakonodavstva uglavnom su usmjerene na sprečavanje, istragu, otkrivanje ili progon kaznenih djela, među ostalim na policijske aktivnosti bez prethodnog znanja o tome je li incident kazneno djelo. Takve aktivnosti mogu obuhvaćati i izvršavanje ovlasti uporabom mjera prisile poput policijskih aktivnosti na prosvjedima, velikim sportskim događanjima ili neredima. One također uključuju održavanje zakona i reda, kao zadaće dodijeljene policiji ili drugim tijelima za izvršavanje zakonodavstva ako je potrebna zaštita od prijetnji javnoj sigurnosti i njihovo sprečavanje te prijetnji temeljnim interesima društva zaštićenima zakonom, što može dovesti do kaznenog djela. Države članice mogu nadležnim tijelima povjeriti druge zadaće koje se ne provode nužno za potrebe sprečavanja, istrage, otkrivanja ili progona kaznenih djela, uključujući zaštitu od prijetnji javnoj sigurnosti i njihovo sprečavanje, tako da je obrada osobnih podataka za te druge potrebe, u mjeri u kojoj potpada pod područje primjene prava Unije, obuhvaćena područjem primjene Uredbe (EU) 2016/679.

(13)

Pojam kaznenog djela u smislu ove Direktive trebao bi biti autonoman pojam prava Unije kako ga tumači Sud Europske unije („Sud”).

(14)

Budući da se ova Direktiva ne bi trebala primjenjivati na obradu osobnih podataka u okviru djelatnosti koja nije obuhvaćena područjem primjene prava Unije, djelatnosti u vezi s nacionalnom sigurnosti, djelatnosti agencija ili službi zaduženih za pitanja nacionalne sigurnosti i obrada osobnih podataka u državama članicama pri obavljanju djelatnosti obuhvaćenih glavom V. poglavljem 2. Ugovora o Europskoj uniji (UEU) ne bi se smjele smatrati djelatnostima koje se obuhvaćene područjem primjene ove Direktive.

(15)

Kako bi se pojedincima osigurala jednaka razina zaštite putem prava koja su zakonito ostvariva u cijeloj Uniji te se spriječila odstupanja koja ometaju razmjenu osobnih podataka među nadležnim tijelima, ovom bi se Direktivom trebalo predvidjeti usklađena pravila za zaštitu i slobodno kretanje osobnih podataka obrađenih u svrhu sprečavanja, istrage, otkrivanja ili progona kaznenih djela ili izvršavanja kaznenih sankcija, uključujući zaštitu od prijetnji javnoj sigurnosti i njihovo sprečavanje. Približavanje zakonodavstava država članica ne bi smjelo dovesti ni do kakvog smanjivanja zaštite osobnih podataka koju pružaju, već bi, upravo suprotno, trebalo težiti osiguravanju visoke razine zaštite unutar Unije. Države članice ne bi trebalo spriječiti u tome da osiguraju bolje zaštitne mjere za zaštitu prava i sloboda ispitanika u vezi s obradom osobnih podataka od strane nadležnih tijela od onih koje su utvrđene ovom Direktivom.

(16)

Ovom Direktivom ne dovodi se u pitanje načelo javnog pristupa službenim dokumentima. Na temelju Uredbe (EU) 2016/679 osobne podatke iz službenih dokumenata koje tijelo javne vlasti, javno ili privatno tijelo posjeduje u svrhu obavljanja zadaće u javnom interesu, to tijelo javne vlasti ili to javno ili privatno tijelo može otkriti u skladu s pravom Unije ili pravom države članice kojem to tijelo javne vlasti ili to javno ili privatno tijelo podliježe, kako bi se uskladio javni pristup službenim dokumentima s pravom na zaštitu osobnih podataka.

(17)

Zaštita koja se pruža ovom Direktivom u vezi s obradom osobnih podataka trebala bi se odnositi na pojedince bez obzira na njihovu nacionalnost ili boravište.

(18)

Radi sprečavanja stvaranja ozbiljnog rizika zaobilaženja propisa, zaštita pojedinaca trebala bi biti tehnološki neutralna i ne bi smjela ovisiti o upotrebljavanim tehnologijama. Zaštita pojedinaca trebala bi se primjenjivati na obradu osobnih podataka automatiziranim sredstvima, kao i na ručnu obradu, ako su osobni podaci pohranjeni ili ih se namjerava pohraniti u sustav pohrane. Dokumenti ili skupovi dokumenata, kao i njihove naslovne stranice, koji nisu strukturirani prema posebnim mjerilima ne bi trebali biti obuhvaćeni područjem primjene ove Direktive.

(19)

Uredba (EZ) br. 45/2001 Europskog parlamenta i Vijeća (6) primjenjuje se na obradu osobnih podataka koju obavljaju institucije, tijela, uredi i agencije Unije. Uredba (EZ) br. 45/2001 i drugi pravni akti Unije primjenjivi na takvu obradu osobnih podataka trebali bi se prilagoditi načelima i pravilima utvrđenima u Uredbi (EU) 2016/679.

(20)

Ovom se Direktivom ne sprečava države članice da postupke i procedure obrade navedu u nacionalnim propisima o kaznenim postupcima u vezi s obradom osobnih podataka koju obavljaju sudovi i druga pravosudna tijela, posebno kad je riječ o osobnim podacima sadržanima u sudskoj odluci ili evidencijama povezanim s kaznenim postupcima.

(21)

Načela zaštite podataka trebala bi se primjenjivati na sve informacije koje se odnose na pojedinca čiji je identitet utvrđen ili se može utvrditi. Kako bi se odredilo može li se identitet pojedinca utvrditi, trebalo bi uzeti u obzir sva sredstva, poput primjerice selekcije, koja voditelj obrade ili bilo koja druga osoba mogu po svemu sudeći upotrijebiti u svrhu izravnog ili neizravnog utvrđivanja identiteta pojedinca. Kako bi se utvrdilo je li po svemu sudeći izgledno da se upotrebljavaju sredstva za utvrđivanje identiteta pojedinca, trebalo bi uzeti u obzir sve objektivne čimbenike, kao što su troškovi i vrijeme potrebno za utvrđivanje identiteta, uzimajući u obzir i tehnologiju dostupnu u vrijeme obrade i tehnološki razvoj. Načela zaštite podataka stoga se ne bi trebala primjenjivati na anonimne informacije, odnosno informacije koje se ne odnose na pojedinca čiji je identitet utvrđen ili se može utvrditi ili na osobne podatke koji su učinjeni anonimnima na način da se identitet ispitanika više ne može utvrditi.

(22)

Tijela javne vlasti kojima se otkrivaju osobni podaci u skladu s pravnom obvezom izvršavanja njihovih službenih zadaća, poput poreznih i carinskih tijela, jedinica za financijsku istragu, neovisnih upravnih tijela ili tijela za financijska tržišta odgovorna za reguliranje i nadzor tržišta vrijednosnih papira, ne bi se smjela smatrati primateljima ako prime osobne podatke koji su potrebni za provedbu određene istrage u općem interesu, u skladu s pravom Unije ili pravom države članice. Zahtjevi za otkrivanje koje šalju tijela javne vlasti trebali bi uvijek biti u pisanom obliku, obrazloženi i povremeni i ne bi se trebali odnositi na čitav sustav pohrane ili dovesti do međupovezanosti sustavâ pohrane. Tijela javne vlasti trebala bi obrađivati takve osobne podatke u skladu s primjenjivim pravilima za zaštitu podataka ovisno o svrhama obrade.

(23)

Genetski podaci trebali bi se definirati kao osobni podaci u vezi s naslijeđenim ili stečenim genetskim obilježjima pojedinca koji proizlaze iz analize biološkog uzorka pojedinca o kojemu je riječ, osobito analize kromosoma, deoksiribonukleinske kiseline (DNK) ili ribonukleinske kiseline (RNK) ili analize drugog elementa koji omogućuje dobivanje jednakovrijedne informacije. S obzirom na složenost i osjetljivost genetskih informacija postoji veliki rizik da voditelj obrade u razne svrhe zlouporabi i ponovno uporabi te informacije. U načelu bi se trebalo zabraniti svaki oblik diskriminacije na temelju genetskih obilježja.

(24)

Osobni podaci koji se odnose na zdravlje trebali bi obuhvaćati sve podatke koji se odnose na zdravstveno stanje ispitanika, a koji otkrivaju informacije u vezi s prijašnjim, trenutačnim ili budućim fizičkim ili mentalnim zdravstvenim stanjem ispitanika. To uključuje informacije o pojedincu prikupljene tijekom registracije ili tijekom pružanja tom pojedincu zdravstvenih usluga pojedincu kako je navedeno u Direktivi 2011/24/EU Europskog parlamenta i Vijeća (7); broj, simbol ili oznaku koja je pojedincu dodijeljena u svrhu jedinstvene identifikacije za zdravstvene svrhe; informacije izvedene iz testiranja ili ispitivanja dijela tijela ili tjelesne tvari, među ostalim iz genetskih podataka i bioloških uzoraka; i bilo kakvu informaciju na primjer o bolesti, invalidnosti, riziku od bolesti, medicinskoj povijesti, kliničkom tretmanu ili fiziološkom ili biomedicinskom stanju ispitanika neovisno o njegovu izvoru, kao na primjer od liječnika ili drugog zdravstvenog djelatnika, bolnice, medicinskog uređaja ili dijagnostičkog testa in vitro.

(25)

Sve države članice učlanjene su u Međunarodnu organizaciju kriminalističke policije (Interpol). Kako bi ispunio svoju misiju, Interpol prima, pohranjuje i prosljeđuje osobne podatke radi pružanja pomoći nadležnim tijelima u sprečavanju i suzbijanju međunarodnog kriminala. Stoga je primjereno ojačati suradnju između Unije i Interpola poticanjem učinkovite razmjene osobnih podataka, osiguravajući pritom poštovanje temeljnih prava i sloboda u vezi s automatskom obradom osobnih podataka. Ako se osobni podaci prenose iz Unije Interpolu i zemljama koje imaju svoje predstavnike u Interpolu, trebala bi se primjenjivati ova Direktiva, a osobito odredbe o međunarodnim prijenosima. Ovom se Direktivom ne bi smjela dovoditi u pitanje posebna pravila utvrđena u Zajedničkom stajalištu Vijeća 2005/69/PUP (8) i Odluci Vijeća 2007/533/PUP (9).

(26)

Svaka obrada osobnih podataka mora biti zakonita, poštena i transparentna u odnosu na pojedince na koje se odnosi te provedena samo u posebne svrhe utvrđene zakonom. To samo po sebi ne sprečava tijela za izvršavanje zakonodavstva u obavljanju aktivnosti kao što su tajne istrage ili video nadzor. Takve aktivnosti mogu se provesti u svrhe sprečavanja, istrage, otkrivanja ili progona kaznenih djela ili izvršavanja kaznenih sankcija, uključujući zaštitu od prijetnji javnoj sigurnosti i njihovo sprečavanje pod uvjetom da su utvrđene zakonom i predstavljaju nužnu i razmjernu mjeru u demokratskom društvu uz dužno poštovanje legitimnih interesa dotičnog pojedinca. Načelo zaštite podataka u pogledu poštene obrade odvojeno je od pojma prava na pošteno suđenje, kako je utvrđeno u članku 47. Povelje i u članku 6. Europske konvencije za zaštitu ljudskih prava i temeljnih sloboda. Pojedince bi trebalo upoznati s rizicima, pravilima, zaštitnim mjerama i pravima u vezi s obradom njihovih osobnih podataka i načinom ostvarivanja njihovih prava u vezi s obradom. Posebne svrhe obrade osobnih podataka osobito bi trebale biti izričite i legitimne te utvrđene u trenutku prikupljanja osobnih podataka. Osobni podaci trebali bi biti primjereni i bitni za potrebe za koje se obrađuju. Osobito bi trebalo osigurati da se ne prikupljaju suvišni osobni podaci i da se ne pohranjuju dulje nego što je nužno za potrebe za koje se obrađuju. Osobni podaci smjeli bi se obrađivati samo ako se svrha obrade opravdano ne može postići drugim sredstvima. Radi osiguravanja da se podaci ne drže dulje no što je potrebno, voditelj obrade trebao bi odrediti vremenske rokove za brisanje ili periodično preispitivanje. Države članice trebale bi utvrditi odgovarajuće zaštitne mjere za osobne podatke koji se pohranjuju na dulja razdoblja u svrhe arhiviranja u javnom interesu, u znanstvene, statističke ili povijesne svrhe.

(27)

Radi sprečavanja, istrage i progona kaznenih djela nužno je da nadležna tijela obrađuju osobne podatke prikupljene u kontekstu sprečavanja, istrage, otkrivanja ili progona posebnih kaznenih djela izvan tog konteksta kako bi stekla uvid u kriminalne aktivnosti te kako bi mogla povezati različita otkrivena kaznena djela.

(28)

Radi očuvanja sigurnosti u vezi s obradom i sprečavanja obrade kojom bi se kršila ova Direktiva, osobni podaci trebali bi se obrađivati na način da se osigura odgovarajuća razina sigurnosti i povjerljivosti, među ostalim sprečavanjem neovlaštenog pristupa osobnim podacima ili uporabe osobnih podataka i opreme koji se upotrebljavaju za obradu, te da se uzimaju u obzir najnovija raspoloživa dostignuća i tehnologija te troškovi provedbe u odnosu na rizike i vrstu osobnih podataka koji se trebaju zaštititi.

(29)

Osobni podaci trebali bi se prikupljati u posebne, izričite i zakonite svrhe u području primjene ove Direktive te ih se ne bi smjelo obrađivati u svrhe koje nisu u skladu sa svrhama sprečavanja, istrage, otkrivanja ili progona kaznenih djela ili izvršavanja kaznenih sankcija, uključujući zaštitu od prijetnji javnoj sigurnosti i njihovo sprečavanje. Ako osobne podatke obrađuje isti ili drugi voditelj obrade u neku svrhu iz područja primjene ove Direktive koja je različita od one za koju su podaci prikupljeni, takva bi obrada trebala biti dopuštena pod uvjetima da je takva obrada odobrena u skladu s primjenjivim pravnim odredbama te da je nužna za tu drugu svrhu i razmjerna toj drugoj svrsi.

(30)

Trebalo bi primijeniti načelo točnosti podataka uzimajući u obzir prirodu i svrhu dotične obrade. Izjave koje sadržavaju osobne podatke temelje se, osobito u sudskim postupcima, na subjektivnoj percepciji pojedinaca i ne mogu uvijek provjeriti. Stoga se zahtjev za točnošću ne bi trebao odnositi na točnost izjave, već samo na činjenicu da je određena izjava dana.

(31)

Za obradu osobnih podataka na područjima pravosudne suradnje u kaznenim stvarima i policijske suradnje svojstveno je da se obrađuju osobni podaci koji se odnose na različite kategorije ispitanika. Stoga bi što je više moguće i ako je primjenjivo trebalo praviti jasnu razliku između osobnih podataka različitih kategorija ispitanika, primjerice: osumnjičenika; osoba osuđenih za kazneno djelo; žrtava i drugih strana, kao što su svjedoci; osobe koje posjeduju važne informacije ili kontakte; te pomagači osumnjičenika i osuđenih počinitelja kaznenih djela. Time se ne bi smjela spriječiti primjena prava pretpostavke nedužnosti kako je zajamčena Poveljom i Europskom konvencijom o ljudskim pravima, a kako se tumači u sudskoj praksi Suda i Europskog suda za ljudska prava.

(32)

Nadležna tijela trebala bi osigurati da se osobni podaci koji su netočni, nepotpuni ili više nisu ažurni ne prenose i ne stavljaju na raspolaganje. Kako bi osigurala zaštitu pojedinaca, točnost, potpunost ili mjeru u kojoj su osobni podaci ažurni te pouzdanost osobnih podataka koji se prenose ili stavljaju na raspolaganje, nadležna tijela trebala bi, koliko god je to moguće, dodati potrebne informacije u sve prijenose osobnih podataka.

(33)

Ako se ovom Direktivom upućuje na pravo države članice, pravnu osnovu ili zakonodavnu mjeru, to ne znači nužno da parlament mora donijeti zakonodavni akt, ne dovodeći u pitanje zahtjeve u skladu s ustavnim poretkom dotične države članice. Međutim, takvo pravo države članice, pravna osnova ili zakonodavna mjera trebala bi biti jasna i precizna, a njezina primjena trebala bi biti predvidljiva osobama na koje se primjenjuje sukladno sudskoj praksi Suda i Europskog suda za ljudska prava. U pravu države članice kojim se uređuje obrada osobnih podataka unutar područja primjene ove Direktive trebali bi se navesti barem ciljevi, osobni podaci koji se obrađuju, svrhe obrade i postupci za očuvanje cjelovitosti i povjerljivosti osobnih podataka te postupci za njihovo uništenje, čime bi se zajamčila dostatna zaštita od rizika od zlouporabe i proizvoljnosti.

(34)

Obrada osobnih podataka od strane nadležnih tijela u svrhe sprečavanja, istrage, otkrivanja ili progona kaznenih ili izvršavanja kaznenih sankcija, uključujući zaštitu od prijetnji javnoj sigurnosti i njihovo sprečavanje, trebala bi obuhvaćati svaki postupak ili skup postupaka koji se provode na osobnim podacima ili skupovima osobnih podataka u te svrhe, bilo automatiziranim putem ili na drugi način, kao što su prikupljanje, bilježenje, organizacija, strukturiranje, pohrana, prilagodba ili izmjena, pronalaženje, obavljanje uvida, uporaba, usklađivanje ili kombiniranje, ograničavanje obrade, brisanje ili uništavanje. Posebno, pravila ove Direktive trebala bi se primjenjivati na prijenos osobnih podataka za potrebe iz ove Direktive primatelju koji ne podliježe ovoj Direktivi. Takav primatelj trebao bi obuhvaćati fizičku ili pravnu osobu, tijelo javne vlasti, agenciju ili bilo koje drugo tijelo kojem nadležno tijelo zakonito otkriva osobne podatke. Ako je osobne podatke izvorno prikupilo nadležno tijelo za neku od svrha iz ove Direktive, na obradu tih podataka u svrhe koje su različite od onih iz ove Direktive, ako je takva obrada odobrena pravom Unije ili pravom države članice, trebala bi se primjenjivati Uredba (EU) 2016/679. Posebno, pravila iz Uredbe (EU) 2016/679 trebala bi se primjenjivati na prijenos osobnih podataka za svrhe koje su izvan područja primjene ove Direktive. Na obradu osobnih podataka od strane primatelja koji nije nadležno tijelo niti djeluje kao takvo u smislu ove Direktive i kojem nadležno tijelo zakonito otkriva osobne podatke trebala bi se primjenjivati Uredba (EU) 2016/679. Pri provedbi ove Direktive države članice trebale bi također imati mogućnost dodatno precizirati primjenu pravila iz Uredbe (EU) 2016/679, podložno uvjetima koji su u njoj utvrđeni.

(35)

Kako bi bila zakonita, obrada osobnih podataka na temelju ove Direktive trebala bi biti nužna za obavljanje nekog zadatka nadležnog tijela u interesu javnosti na temelju prava Unije ili prava države članice u svrhe sprečavanja, istrage, otkrivanja ili progona kaznenih djela ili izvršavanja kaznenih sankcija, uključujući zaštitu od prijetnji javnoj sigurnosti i njihovo sprečavanje. Tim bi se aktivnostima trebala obuhvatiti zaštita ključnih interesa ispitanika. Ako je obavljanje zadaća sprečavanja, istraživanja, otkrivanja ili kaznenog progona kaznenih djela institucionalno zakonom dodijeljeno nadležnim tijelima, ona od pojedinaca smiju zatražiti da ispune podnesene zahtjeve ili to im narediti. U takvom slučaju privola ispitanika, kako je definirana u Uredbi (EU) 2016/679 ne bi smjela biti pravna osnova za obradu osobnih podataka od strane nadležnih tijela. Ako ispitanik mora ispuniti pravnu obvezu, on nema pravi i slobodan izbor, stoga se reakcija ispitanika ne bi mogla smatrati dovoljno slobodnim izrazom njegovih želja. To ne bi smjelo spriječiti države članice da zakonski predvide da ispitanik može pristati na obradu svojih osobnih podataka za potrebe iz ove Direktive, poput DNK testiranja u kaznenim istragama ili praćenja svoje lokacije pomoću elektroničkih oznaka za izvršavanje kaznenih sankcija.

(36)

Ako se pravom Unije ili pravom države članice koje se primjenjuje na nadležno tijelo koje prenosi podatke propisuju posebni uvjeti primjenjivi na obradu osobnih podataka u posebnim okolnostima, primjerice u pogledu uporabe oznaka za postupanje s dokumentima, države članice trebale bi osigurati da nadležno tijelo koje prenosi podatke primatelja takvih osobnih podataka obavijesti o tim uvjetima i o zahtjevu za poštovanje tih uvjeta. Takvi bi uvjeti, primjerice mogli obuhvaćati zabranu u pogledu daljnjeg prijenosa osobnih podataka drugima ili njihove upotrebe u druge svrhe, osim onih za koje su preneseni primatelju ili u pogledu obavijesti ispitaniku u slučaju ograničenja prava na informaciju bez prethodnog odobrenja nadležnog tijela koje prenosi podatke. Te bi se obveze trebale primjenjivati i na prijenose primateljima u trećim zemljama ili međunarodnim organizacijama koje obavlja nadležno tijelo koje prenosi podatke. Države članice trebale bi osigurati da nadležno tijelo koje prenosi podatke takve uvjete ne primjenjuje na primatelje u drugim državama članicama ni na druge agencije, urede i tijela osnovana na temelju glave V. poglavlja 4. i 5. UFEU-a, osim onih koji su primjenjivi na slične prijenose podataka u državi članici u kojoj se nalazi to nadležno tijelo.

(37)

Osobni podaci koji su po svojoj naravi posebno osjetljive prirode u pogledu temeljnih prava i sloboda zaslužuju posebnu zaštitu jer bi u okviru njihove obrade moglo doći do značajnih rizika za temeljna prava i slobode. Ti bi osobni podaci trebali obuhvatiti osobne podatke koji otkrivaju rasno ili etničko podrijetlo, pri čemu upotreba termina „rasno podrijetlo” u ovoj Direktivi ne podrazumijeva da Unija prihvaća teorije koje pokušavaju odrediti postojanje odvojenih ljudskih rasa. Takvi se osobni podaci ne bi smjeli obrađivati, osim ako se na obradu primjenjuju odgovarajuće zaštitne mjere u pogledu prava i sloboda ispitanika utvrđene zakonom te ako je dopuštena u slučajevima dopuštenima zakonom; a ako već nije dopuštena takvim zakonom da je obrada nužna radi zaštite životno važnih interesa ispitanika ili druge osobe; ili se obrada odnosi na podatke za koje je očito da ih je objavio ispitanik. Odgovarajuće zaštitne mjere u pogledu prava i sloboda ispitanika mogle bi, primjerice, obuhvaćati i mogućnost da se ti podaci prikupljaju samo u vezi s ostalim podacima dotičnog pojedinca, mogućnost da se prikupljeni podaci primjereno osiguravaju te stroža pravila za pristup osoblja nadležnog tijela podacima i zabranu prijenosa tih podataka. Obradu takvih podataka trebalo bi zakonom također dopustiti ako je ispitanik izričito pristao na obradu koja je za njega osobito intruzivna. Sama privola ispitanika, međutim, ne bi smjela biti pravna osnova za obradu takvih osjetljivih osobnih podatka od strane nadležnih tijela.

(38)

Ispitanik bi trebao imati pravo da se na njega ne odnosi odluka kojom se procjenjuju osobni aspekti u vezi s njim koja se isključivo temelji na automatiziranoj obradi i koja proizvodi štetne pravne učinke koji se na njega odnose ili na njega znatno utječu. U svakom slučaju na takvu bi se obradu trebale primjenjivati odgovarajuće zaštitne mjere, uključujući pružanje posebnih informacija ispitaniku i pravo na izravnu ljudsku intervenciju, posebno pravo da izrazi svoje stajalište, da dobije objašnjenje odluke donesene nakon takve procjene ida ospori tu odluku. Izrada profila koja dovodi do diskriminacije pojedinaca na temelju osobnih podataka koji su prema svojoj prirodi posebno osjetljivi u odnosu na temeljna prava i slobode trebala bi biti zabranjena na temelju uvjeta utvrđenih u člancima 21. i 52. Povelje.

(39)

S ciljem omogućivanja ispitaniku da ostvari svoja prava, svaka bi informacija ispitaniku trebala biti lako dostupna, među ostalim na internetskoj stranici voditelja obrade, te lako razumljiva, uporabom jasnog i jednostavnog jezika. Takve informacije trebale bi biti prilagođene potrebama ranjivih osoba kao što su djeca.

(40)

Trebalo bi predvidjeti modalitete kojima se olakšava ostvarivanje prava ispitanika u okviru odredaba donesenih na temelju ove Direktive, uključujući mehanizme za podnošenje zahtjeva te, ako je primjenjivo, besplatno ostvarivanje, osobito zahtjeva za pristup osobnim podacima, njihovo ispravljanje ili brisanje i ograničavanje obrade. Voditelj obrade trebao bi biti dužan odgovoriti na zahtjev ispitanika bez nepotrebne odgode, osim ako voditelj obrade primjeni ograničenja na prava ispitanika u skladu s ovom Direktivom. Osim toga, ako su zahtjevi očigledno neutemeljeni ili pretjerani, primjerice ako ispitanik neopravdano i opetovano traži informacije ili ako ispitanik zlouporabi svoje pravo na informacije, primjerice davanjem lažnih ili obmanjujućih informacija prilikom podnošenja zahtjeva, voditelj obrade trebao bi imati mogućnost naplatiti razumnu naknadu ili odbiti postupiti po zahtjevu.

(41)

Ako voditelj obrade zatraži dodatne informacije koje su potrebne radi potvrde identiteta ispitanika, te bi se informacije trebale obrađivati samo u tu određenu svrhu i ne bi se smjele pohranjivati dulje nego što je potrebno za tu svrhu.

(42)

Ispitaniku bi trebalo staviti na raspolaganje najmanje sljedeće informacije: identitet voditelja obrade, postojanje postupka obrade, svrhe obrade, pravo na podnošenje pritužbe i postojanje prava da se od voditelja obrade zatraži pristup obradi te ispravak ili brisanje osobnih podataka ili ograničavanje obrade. To bi se moglo obaviti na internetskoj stranici nadležnog tijela. Usto, u određenim slučajevima i kako bi mu se omogućilo ostvarivanje njegovih prava, ispitanika bi se trebalo obavijestiti o pravnoj osnovi za obradu te o tome koliko dugo će se ti podaci pohranjivati, u mjeri u kojoj su takve dodatne informacije potrebne, uzimajući u obzir određene okolnosti pod kojima se podaci obrađuju kako bi se zajamčila poštena obrada u odnosu na ispitanika.

(43)

Pojedinac bi trebao imati pravo pristupa prikupljenim podacima koji se na njega odnose te ostvarivati to pravo lako i u razumnim intervalima kako bi bio svjestan obrade i provjerio njezinu zakonitost. Svaki bi ispitanik stoga trebao imati pravo znati za i primiti obavijest o tome u koje se svrhe i na koje razdoblje podaci obrađuju te o primateljima podataka, uključujući one u trećim zemljama. Ako takve obavijesti uključuju informacije o izvoru osobnih podataka, tim se informacijama ne bi smio otkrivati identitet fizičkih osoba, a posebno povjerljivih izvora. Kako bi se to pravo poštovalo, dovoljno je da ispitanik ima pun sažetak tih podataka u razumljivom obliku, to jest obliku koji omogućuje da ispitanik sazna te podatke i provjeri da su točni i obrađeni u skladu s ovom Direktivom, kako bi imao mogućnost ostvariti prava koje su mu dodijeljena ovom Direktivom. Takav sažetak trebao bi se dati u obliku preslike osobnih podataka koji su u postupku obrade.

(44)

Države članice trebale bi imati mogućnost donošenja zakonodavnih mjera za odgađanje, ograničavanje ili ispuštanje informacija ispitanicima ili ograničavanje, u potpunosti ili djelomično, pristupa njihovim osobnim podacima u mjeri i dokle god takva mjera predstavlja nužnu i proporcionalnu mjeru u demokratskom društvu uz dužno poštovanje temeljnih prava i legitimnih interesa dotičnog pojedinca kako bi se izbjegla ometanja službenih ili pravnih ispitivanja, istraga ili postupaka te dovođenje u pitanje sprečavanja, istrage,otkrivanja ili progona kaznenih djela ili kako bi se izvršavale kaznene sankcije, zaštitila javna ili nacionalna sigurnost ili zaštitila prava i slobode drugih. Voditelj obrade trebao bi konkretnim i pojedinačnim ispitivanjem svakog slučaja procijeniti je li potrebno primijeniti djelomično ili potpuno ograničavanje prava pristupa.

(45)

Svako odbijanje ili ograničavanje pristupa trebalo bi se u načelu pisanim putem priopćiti ispitaniku i trebalo bi uključivati činjenične ili pravne razloge na kojima se ta odluka temelji.

(46)

Svako ograničavanje prava ispitanika mora biti u skladu s Poveljom i Europskom konvencijom o zaštiti ljudskih prava, kako se tumače u sudskoj praksi Suda odnosno Europskog suda za ljudska prava, te se njime posebno mora poštovati bit tih prava i sloboda.

(47)

Pojedinac bi trebao imati pravo na ispravak netočnih osobnih podataka koji se na njega odnose, posebno ako se odnose na činjenice, kao i pravo na njihovo brisanje ako obrada takvih podataka krši ovu Direktivu. Međutim, pravo na ispravak podataka ne bi smio utjecati na primjerice sadržaj svjedočenja svjedoka. Pojedinac bi trebao imati i pravo na ograničavanje obrade ako osporava točnost osobnih podataka i ako točnost ili netočnost podataka nije moguće utvrditi ili ako se osobni podaci moraju zadržati kao dokaz. Obradu osobnih podataka posebno bi, umjesto da ih se briše, trebalo ograničiti ako u određenom slučaju postoje opravdani razlozi za pretpostavku da bi brisanje moglo utjecati na legitimne interese ispitanika. U takvom slučaju ograničeni podaci trebali bi se obrađivati samo u svrhu zbog koje nisu bili izbrisani. Metode ograničavanja obrade osobnih podataka mogle bi, među ostalim, uključivati premještanje odabranih podataka u drugi sustav obrade, primjerice u svrhe pohrane, ili onemogućavanje dostupnosti odabranih podataka. U automatiziranim sustavima pohrane ograničavanje obrade osobnih podataka u načelu bi se trebalo osigurati tehničkim sredstvima. Činjenicu da je obrada osobnih podataka ograničena trebalo bi navesti u sustavu tako da bude jasno da je obrada osobnih podataka ograničena. O takvom ispravku ili brisanju osobnih podatka ili ograničavanju obrade trebalo bi obavijestiti primatelje kojima su ti podaci otkriveni te nadležna tijela od kojih potječu netočni podaci. Voditelji obrade te podatke također ne bi smjeli širiti dalje.

(48)

Ako voditelj obrade ispitaniku uskraćuje pravo na informiranje, pristup, ispravak ili brisanje osobnih podataka ili ograničavanje obrade, ispitanik bi trebao imati pravo zatražiti od nacionalnog nadzornog tijela provjeru zakonitosti obrade. Ispitanik bi trebao biti obaviješten o tom pravu. Ako nadzorno tijelo djeluje u ime ispitanika, nadzorno tijelo trebalo bi obavijestiti ispitanika barem o tome da je nadzorno tijelo obavilo sve potrebne provjere ili preispitivanja. Nadzorno bi tijelo također trebalo obavijestiti ispitanika o njegovu pravu na pravni lijek.

(49)

Ako se osobni podaci obrađuju u okviru kaznene istrage i sudskih postupaka u kaznenim predmetima, države članice trebale bi imati mogućnost predvidjeti da se ostvarivanje prava na informiranje, pristup i ispravak ili brisanje osobnih podataka i ograničavanje obrade obavlja u skladu s nacionalnim pravilima o sudskom postupku.

(50)

Trebalo bi uspostaviti dužnost i odgovornost voditelja obrade za svaku obradu osobnih podataka koju provede sâm voditelj obrade ili netko drugi u ime voditelja obrade. Voditelj obrade posebno bi trebao imati obvezu provođenja odgovarajućih i djelotvornih mjera te biti u mogućnosti dokazati da su aktivnosti obrade usklađene s ovom Direktivom. Takvim bi se mjerama trebalo u obzir uzeti prirodu, opseg, kontekst i svrhe obrade te rizik za prava i slobode pojedinaca. Mjerama koje voditelj obrade poduzima trebalo bi obuhvatiti sastavljanje i provedbu posebnih zaštitnih mjera u vezi s obradom osobnih podataka ranjivih pojedinaca kao što su djeca.

(51)

Rizik za prava i slobode pojedinaca različitih vjerojatnosti i ozbiljnosti može proizaći iz obrade podataka koja bi mogla prouzročiti fizičku, materijalnu ili nematerijalnu štetu, osobito ako ta obrada može dovesti do diskriminacije, krađe identiteta ili prijevare, financijskog gubitka, štete za ugled, gubitka povjerljivosti podataka zaštićenih profesionalnom tajnom, neovlaštenog obrnutog postupka pseudonimizacije ili bilo koje druge značajne gospodarske ili društvene štete; ako ispitanici mogu biti uskraćeni za svoja prava i slobode ili za provođenje nadzora nad njihovim osobnim podacima; ako se obrađuju osobni podaci koji otkrivaju rasno ili etničko podrijetlo, politička mišljenja, vjerska ili filozofska uvjerenja ili članstva u sindikatu; ako je riječ o obradi genetskih podataka ili biometrijskih podataka u svrhu jedinstvene identifikacije osobe ili ako je riječ o obradi podataka u vezi sa zdravljem ili podataka u vezi sa spolnim životom i spolnim opredjeljenjem, ili kaznenim osudama i kaznenim djelima, ili povezanim sigurnosnim mjerama; ako se procjenjuju osobni aspekti, osobito analiza i predviđanje aspekata u vezi s učinkom na poslu, gospodarskom situacijom, zdravljem, osobnim preferencijama ili interesima, pouzdanošću ili ponašanjem, lokacijom ili kretanjem kako bi se izradili ili upotrebljavali osobni profili; ako se obrađuju osobni podaci ranjivih pojedinaca, osobito djece; ili ako obrada uključuje veliku količinu osobnih podataka i utječe na velik broj ispitanika.

(52)

Vjerojatnost i ozbiljnost rizika trebali bi se određivati s obzirom na prirodu, opseg, kontekst i svrhe obrade. Rizik bi se trebao procjenjivati na temelju objektivne procjene kojom se utvrđuje uključuju li postupci obrade podataka visok rizik. Visok rizik znači osobit rizik ugrožavanja prava i sloboda ispitanikâ.

(53)

Zaštita prava i sloboda pojedinaca u vezi s obradom osobnih podataka zahtijeva poduzimanje odgovarajućih tehničkih i organizacijskih mjera kako bi se osiguralo ispunjavanje zahtjeva ove Direktive. Provedba tih mjera ne bi smjela ovisiti isključivo o gospodarskim razlozima. Radi dokazivanja sukladnosti s ovom Direktivom voditelj obrade trebao bi donijeti interne politike i provesti mjere kojima se osobito poštuju načela tehničke zaštite podataka i integrirane zaštite podataka. Ako je voditelj obrade proveo procjenu učinka na zaštitu podataka u skladu s ovom Direktivom, rezultati bi se trebali uzeti u obzir pri razvoju tih mjera i postupaka. Te mjere bi se mogle, među ostalim, sastojati od primjene pseudonimizacije što je prije moguće. Primjena pseudonimizacije za potrebe ove Direktive može služiti kao sredstvo kojim bi se mogao olakšati slobodan protok osobnih podataka unutar područja slobode, sigurnosti i pravde.

(54)

Zaštita prava i sloboda ispitanikâ, kao i odgovornost i obveze voditeljâ obrade i izvršiteljâ obrade, također u vezi s praćenjem i mjerama nadzornih tijela, zahtijevaju jasno utvrđivanje odgovornosti ovom Direktivom, među ostalim i u slučajevima u kojima voditelj obrade određuje svrhe i sredstva obrade zajedno s drugim voditeljima obrade ili kada se postupak obrade provodi u ime voditelja obrade.

(55)

Obrada koju provodi izvršitelj obrade trebala bi biti uređena pravnim aktom uključujući ugovor kojim se izvršitelj obrade obvezuje prema voditelju obrade te kojim se posebno utvrđuje da bi izvršitelj obrade trebao djelovati samo prema uputama voditelja obrade. Izvršitelj obrade trebao bi uzimati u obzir načelo tehničke i integrirane zaštite podataka.

(56)

Voditelj obrade ili izvršitelj obrade trebao bi voditi evidenciju o svim kategorijama aktivnosti obrade pod svojom odgovornošću radi dokazivanja sukladnosti s ovom Direktivom. Svaki voditelj obrade i izvršitelj obrade trebali bi biti obvezni surađivati s nadzornim tijelom i tu mu evidenciju na zahtjev staviti na raspolaganje kako bi ona poslužila za praćenje tih postupaka obrade. Voditelj obrade ili izvršitelj obrade koji obrađuje osobne podatke u neautomatiziranim sustavima obrade trebao bi imati učinkovite metode za dokazivanje zakonitosti obrade, omogućivanje samopraćenja i osiguravanje cjelovitosti i sigurnosti podataka, poput zapisa ili drugih oblika evidencije.

(57)

Zapise bi trebalo voditi barem za postupke u automatiziranim sustavima obrade kao što su prikupljanje, izmjene, obavljanje uvida, otkrivanje, uključujući prijenose, kombiniranje ili brisanje. Identitet osobe koja je obavila uvid u osobne podatke ili ih otkrila trebao bi se evidentirati i na temelju te identifikacije trebalo bi biti moguće naći opravdanje za postupke obrade. Zapise bi se trebalo upotrebljavati samo u svrhe provjere zakonitosti obrade podataka, samopraćenja i osiguravanja cjelovitosti i sigurnosti podataka te u kaznenim postupcima. Samopraćenje obuhvaća i unutarnje stegovne postupke nadležnih tijela.

(58)

Voditelj obrade trebao bi izvršiti procjenu učinka na zaštitu podataka ako je vjerojatno da postupci obrade zbog svoje prirode, opsega ili svrhe mogu dovesti do posebna rizika za prava i slobode ispitanika, a ta bi procjena posebno trebala uključivati mjere, zaštitne mjere i mehanizme predviđene za osiguravanje zaštite osobnih podataka i za dokazivanje usklađenosti s ovom Direktivom. Procjenama učinka trebali bi se obuhvatiti relevantni sustavi i procesi postupaka obrade, ali ne i pojedinačni slučajevi.

(59)

Kako bi se osigurala učinkovita zaštita prava i sloboda ispitanika, u određenim bi se slučajevima prije obrade voditelj obrade ili izvršitelj obrade trebao savjetovati s nadzornim tijelom.

(60)

Kako bi se očuvala sigurnost i spriječila obrada kojom se krši ova Direktiva, voditelj obrade ili izvršitelj obrade trebao bi procijeniti rizike povezane s obradom te bi trebao provesti mjere za njihovo ublažavanje, kao što je enkripcija. Takvim bi se mjerama trebala osigurati odgovarajuća razina zaštite, uključujući povjerljivost, te uzeti u obzir najnovija dostignuća i troškovi provedbe u odnosu na rizik i vrstu osobnih podataka koji se trebaju zaštititi. Prilikom procjene rizika za sigurnost podataka u obzir bi trebalo uzeti rizike koje predstavlja obrada podataka poput slučajnog ili nezakonitog uništenja, gubitka, izmjene ili neovlaštenog otkrivanja osobnih podataka ili pristupa osobnim podacima koji su preneseni, pohranjeni ili na drugi način obrađivani, a što osobito može dovesti do fizičke, materijalne ili nematerijalne štete. Voditelj obrade i izvršitelj obrade trebali bi osigurati da obradu osobnih podataka ne provode neovlaštene osobe.

(61)

Ako se povreda osobnih podataka ne rješava na odgovarajući način i pravodobno, ona može prouzročiti fizičku, materijalnu ili nematerijalnu štetu pojedincima, kao što su gubitak nadzora nad njihovim osobnim podacima ili ograničavanje njihovih prava, diskriminacija, krađa identiteta ili prijevara, financijski gubitak, neovlašteni obrnuti postupak pseudonimizacije, šteta za ugled, gubitak povjerljivosti osobnih podataka zaštićenih poslovnom tajnom ili bilo koju drugu značajnu gospodarsku ili društvenu štetu za dotičnog pojedinca. Stoga, čim voditelj obrade primijeti da je došlo do povrede osobnih podataka, trebao bi o tome izvijestiti nadležno nadzorno tijelo bez nepotrebnog odgađanja i to, ako je izvedivo, najkasnije 72 sata nakon saznanja o toj povredi osobnih podataka, osim ako voditelj obrade podataka može dokazati, u skladu s načelom odgovornosti, da povreda osobnih podataka vjerojatno neće prouzročiti rizik za prava i slobode pojedinaca. Ako se takvo obavješćivanje ne može postići u roku od 72 sata, obavijest bi trebala biti popraćena razlozima kašnjenja, a informacije se mogu pružiti u fazama bez nepotrebnog daljnjeg odgađanja.

(62)

Pojedince bi bez nepotrebnog odgađanja trebalo obavijestiti ako je vjerojatno da će povreda osobnih podataka dovesti do visokog rizika za prava i slobode pojedinaca, kako bi mogli poduzeti potrebne mjere opreza. U obavijesti bi trebalo opisati prirodu povrede osobnih podataka kao i preporuke kako bi dotični pojedinac mogao ublažiti potencijalne negativne učinke. Obavijesti bi se ispitanicima trebala pružiti što je prije, u razumnim granicama, izvedivo i u bliskoj suradnji s nadzornim tijelom te poštujući njegove upute ili upute drugih relevantnih tijela vlasti. Na primjer, o potrebi za umanjivanjem neposrednog rizika od štete bilo bi potrebno odmah obavijestiti ispitanike, dok potreba za provedbom odgovarajućih mjera protiv daljnje ili slične povrede osobnih podataka može opravdati duži rok za obavijest. Ako se izbjegavanje ometanja službenih ili pravnih ispitivanja, istragâ ili postupaka, izbjegavanje dovođenja u pitanje sprečavanja, otkrivanja, istrage ili progona kaznenih djela ili izvršavanja kaznenih sankcija, zaštita javne sigurnosti, zaštita nacionalne sigurnosti ili zaštita prava i sloboda drugih ne može postići odgodom ili ograničavanjem obavješćivanja dotičnog pojedinca o povredi osobnih podataka, takva bi se obavijest, u izuzetnim okolnostima, mogla uskratiti.

(63)

Voditelj obrade trebao bi imenovati osobu koja će mu pomagati u praćenju unutarnje usklađenosti s odredbama donesenima u skladu s ovom Direktivom, osim ako država članica odluči o izuzeću sudova i drugih neovisnih pravosudnih tijela kada djeluju u okviru svoje sudske nadležnosti. Ta bi osoba mogla biti jedan od zaposlenika voditelja obrade koji su prošli posebno osposobljavanje u vezi s pravom i praksama u području zaštite podataka kako bi stekli stručno znanje u tom području. Nužna razina stručnog znanja trebala bi se utvrditi posebno u odnosu na postupke obrade podataka koji se provode te na zaštitu koju za obrađene osobne podatke zahtijeva voditelj obrade. Njegova zadaća može se provoditi na pola radnog vremena ili na puno radno vrijeme. Službenika za zaštitu podataka može zajednički imenovati nekoliko voditelja obrade uzimajući u obzir svoju organizacijsku strukturu i veličinu, primjerice u slučaju zajedničkih resursa u središnjim odjelima. Ta se osoba može imenovati i na različita radna mjesta unutar strukture dotičnih voditelja obrade. Ta bi osoba trebala pomagati voditelju obrade i zaposlenicima u vezi s obradom osobnih podataka pružajući im informacije i savjete o usklađenosti s njihovim odgovarajućim obvezama u vezi sa zaštitom podataka. Takvi službenici za zaštitu podataka trebali bi biti u mogućnosti neovisno obavljati svoje dužnosti i zadaće u skladu s pravom države članice.

(64)

Države članice trebale bi osigurati da se prijenos podataka u treću zemlju ili međunarodnu organizaciju provodi samo ako je nužan za sprečavanje, istragu, otkrivanje ili progon kaznenih djela ili izvršavanje kaznenih sankcija, uključujući zaštitu od prijetnji javnoj sigurnosti i njihovo sprečavanje te da je voditelj obrade u trećoj zemlji ili međunarodnoj organizaciji tijelo koje je nadležno u smislu ove Direktive. Prijenos podataka trebali bi obavljati samo nadležna tijela u svojstvu voditeljâ obrade, osim u slučaju da se od izvršiteljâ obrade izričito zatražilo da izvrše prijenos u ime voditeljâ obrade. Takav prijenos podataka može se provoditi u slučajevima kada je Komisija utvrdila da dotična treća zemlja ili međunarodna organizacija jamči odgovarajuću razinu zaštite, nakon što su pružene odgovarajuće zaštitne mjere ili kada se primjenjuju odstupanja za posebne situacije. Ako se osobni podaci prenose iz Unije voditeljima obrade, izvršiteljima obrade ili drugim primateljima u trećim zemljama ili međunarodnim organizacijama, ne bi smjela biti narušena razina zaštite pojedinaca predviđena ovom Direktivom u Uniji, među ostalim u slučajevima daljnjeg prijenosa osobnih podataka iz treće zemlje ili međunarodne organizacije voditeljima obrade, izvršiteljima obrade u istoj ili u nekoj drugoj trećoj zemlji ili međunarodnoj organizaciji.

(65)

Ako se osobni podaci prenose iz države članice u treće zemlje ili međunarodne organizacije takav bi se prijenos u načelu trebao odvijati tek nakon što ga odobri država članica od koje su ti podaci dobiveni. U slučajevima kada je prijetnja javnoj sigurnosti države članice ili treće zemlje ili neophodnim interesima država članica toliko neposredna da nije moguće pravodobno dobiti prethodno odobrenje, interesi učinkovite suradnje u izvršavanju zakonodavstva nalažu da bi nadležno tijelo trebalo imati mogućnost prijenosa relevantnih osobnih podataka dotičnoj trećoj zemlji ili međunarodnoj organizaciji bez takvog prethodnog odobrenja. Države članice trebale bi osigurati da se treće zemlje ili međunarodne organizacije obavijesti o svim posebnim uvjetima u vezi s prijenosom. Daljnji prijenosi osobnih podataka trebali bi ovisiti o prethodnom odobrenju nadležnog tijela koje je provelo prvotni prijenos podataka. Pri odlučivanju o zahtjevu za odobrenje daljnjeg prijenosa, nadležno tijelo koje je provelo prvotni prijenos trebalo bi uzeti u obzir sve relevantne čimbenike, uključujući ozbiljnost kaznenog djela, određene uvjete pod kojima i svrhu u koju su podaci prvotno preneseni, prirodu i uvjete izvršenja kaznene sankcije te razinu zaštite osobnih podataka u trećoj zemlji ili međunarodnoj organizaciji kojoj su osobni podaci dalje preneseni. Nadležno tijelo koje je provelo prvotni prijenos podataka trebalo bi imati mogućnost zahtijevati i da se daljnji prijenos obavlja pod posebnim uvjetima. Takvi posebni uvjeti mogu se opisati primjerice u kodeksima postupanja.

(66)

Komisija bi trebala imati mogućnost odlučiti s učinkom na cijelu Uniju da određene treće zemlje, područje ili jedan ili više posebnih sektora u kojima se obavlja obrada u trećoj zemlji, ili međunarodna organizacija pružaju odgovarajuću razinu zaštite podataka te na taj način pružaju pravnu sigurnost i ujednačenost u cijeloj Uniji kad je riječ o trećim zemljama ili međunarodnim organizacijama za koje se smatra da pružaju takvu razinu zaštite. U takvim slučajevima, prijenose osobnih podataka tim zemljama trebalo bi biti moguće provesti bez odobrenja, osim ako druga država članica iz koje su podaci dobiveni mora dati svoje odobrenje za prijenos.

(67)

U skladu s temeljnim vrijednostima na kojima je Unija osnovana, osobito zaštitom ljudskih prava, pri svojoj procjeni treće zemlje ili područja ili posebnog sektora u trećoj zemlji Komisija bi trebala uzeti u obzir kako dotična treća zemlja poštuje vladavinu prava, pristup pravosuđu, kao i međunarodne norme i standarde ljudskih prava i njihove opće i sektorsko zakone, uključujući zakonodavstvo o javnoj sigurnosti, obrani i nacionalnoj sigurnosti kao i javni poredak i kazneno pravo. Pri donošenju odluke o primjerenosti u vezi s područjem ili posebnim sektorom u trećoj zemlji trebalo bi uzeti u obzir jasne i objektivne kriterije, kao što su specifične aktivnosti obrade i područje primjene mjerodavnih zakonskih standarda i zakonodavstva koji su na snaziu trećoj zemlji. Treća bi zemlja trebala ponuditi jamstva kojima se osigurava primjerena razina zaštite, u osnovi istovjetna onoj koja je osigurana u Uniji, osobito ako se podaci obrađuju u jednom ili više posebnih sektora. Konkretno, treća zemlja trebala bi osigurati učinkovit neovisan nadzor zaštite podataka te mehanizme suradnje s tijelima država članica za zaštitu podataka, dok bi ispitanici trebali imati učinkovita i ostvariva prava te učinkovitu upravnu i sudsku zaštitu.

(68)

Osim međunarodnih obveza koje su treća zemlja ili međunarodna organizacija preuzele, Komisija bi također trebala uzeti u obzir obveze koje proizlaze iz sudjelovanja treće zemlje ili međunarodne organizacije u multilateralnim ili regionalnim sustavima, posebno u odnosu na zaštitu osobnih podataka, kao i provedbu tih obveza. Posebno bi trebalo uzeti u obzir pristupanje treće zemlje Konvenciji Vijeća Europe od 28. siječnja 1981. o zaštiti pojedinaca vezanoj uz automatsku obradu osobnih podataka te njezin Dodatni protokol. Komisija bi se trebala posavjetovati s Europskim odborom za zaštitu podataka osnovanim u okviru Uredbe (EU) 2016/679 („Odbor”) kada ocjenjuje razinu zaštite u trećim zemljama ili međunarodnim organizacijama. Komisija bi također trebala uzeti u obzir svaku relevantnu odluku o primjerenosti Komisije donesenu u skladu s člankom 45. Uredbe (EU) 2016/679.

(69)

Komisija bi trebala pratiti djelovanje odluka o razini zaštite u trećoj zemlji, na području ili u posebnom sektoru u trećoj zemlji, ili u međunarodnoj organizaciji. U svojim odlukama o primjerenosti Komisija bi trebala predvidjeti mehanizam periodičnog preispitivanja njihovog funkcioniranja. To periodično preispitivanje trebalo bi provesti uz savjetovanje s dotičnom trećom zemljom ili međunarodnom organizacijom i uzeti u obzir sve relevantne događaje u trećoj zemlji ili međunarodnoj organizaciji.

(70)

Komisija bi također trebala imati mogućnost utvrditi da treća zemlja, područje, posebni sektor unutar treće zemlje ili međunarodna organizacija više ne osiguravaju primjereni stupanj zaštite podataka. Stoga bi se prijenos osobnih podataka u tu treću zemlju ili međunarodnu organizaciju trebao zabraniti, osim ako su ispunjeni uvjeti iz ove Direktive koji se odnose na prijenose koji podliježu odgovarajućim zaštitnim mjerama i odstupanjima za posebne situacije. Trebalo bi predvidjeti savjetovanje između Komisije i takvih trećih zemalja ili međunarodnih organizacija. Komisija bi trebala pravodobno obavijestiti treću zemlju ili međunarodnu organizaciju o razlozima i započeti savjetovanja s njom kako bi se riješila situacija.

(71)

Prijenose podataka koji se ne temelje na takvoj odluci o primjerenosti smjelo bi dopustiti samo ako su pravno obvezujućim instrumentom osigurane odgovarajuće zaštitne mjere kojima se jamči zaštita osobnih podataka ili ako je voditelj obrade procijenio sve okolnosti u vezi s postupkom prijenosa podataka i na temelju te procjene smatra da postoje odgovarajuće zaštitne mjere u vezi sa zaštitom osobnih podataka. Takvi pravno obvezujući instrumenti mogli bi na primjer biti pravno obvezujući bilateralni sporazumi koje su sklopile države članice i provele ih u svoj pravni poredak te bi ih mogli primjenjivati njihovi ispitanici, osiguravajući poštovanje zahtjevâ zaštite podataka i prava ispitanika, uključujući pravo dobivanja učinkovite upravne ili sudske zaštite. Voditelj obrade trebao bi imati mogućnost uzeti u obzir sporazume o suradnji sklopljene između Europola ili Eurojusta i trećih zemalja kojima se omogućuje razmjena osobnih podataka pri procjeni svih okolnosti u vezi s prijenosom podataka. Voditelj obrade trebao bi imati mogućnost uzeti u obzir i da će prijenos osobnih podataka podlijegati obvezama povjerljivosti i načelu specifičnosti, osiguravajući da se podaci neće obrađivati u druge svrhe osim za potrebe prijenosa. Uz to bi voditelj obrade trebao uzeti u obzir da se osobni podaci neće upotrebljavati za traženje, donošenje ili izvršenje smrtne kazne ili bilo kojeg oblika okrutnog i nečovječnog postupanja. Iako bi se ti uvjeti mogli smatrati odgovarajućim zaštitnim mjerama koje omogućuju prijenos podataka, voditelj obrade trebao bi imati mogućnost zahtijevati dodatne zaštitne mjere.

(72)

Ako ne postoji odluka o primjerenosti ili odgovarajuće zaštitne mjere, prijenos ili kategorija prijenosa mogla bi se dogoditi samo u posebnim situacijama, ako je potrebno kako bi se zaštitili ključni interesi ispitanika ili druge osobe ili kako bi se zaštitili legitimni interesi ispitanika ako je tako predviđeno pravom države članice koja obavlja prijenos osobnih podataka;radi sprečavanja neposredne i ozbiljne prijetnje javnoj sigurnosti države članice ili treće zemlje; u pojedinačnom slučaju u svrhe sprečavanja, istrage, otkrivanja ili progona kaznenih djela ili izvršavanja kaznenih sankcija, uključujući zaštitu od prijetnji javnoj sigurnosti i njihovo sprečavanje, ili u pojedinačnom slučaju radi postavljanja, ostvarivanja ili obrane pravnih zahtjeva. Ta bi se odstupanja trebala tumačiti ograničeno i ne bi smjela omogućiti česte, opsežne i strukturne prijenose osobnih podataka ni masovne prijenose podataka, već bi se trebala ograničiti na podatke koji su nužni. Takvi prijenosi trebali bi se dokumentirati i dostaviti nadzornom tijelu na zahtjev kako bi se pratila zakonitost prijenosa.

(73)

Nadležna tijela država članica primjenjuju bilateralne ili multilateralne međunarodne sporazume na snazi, sklopljene s trećim zemljama u području pravosudne suradnje u kaznenim stvarima i policijske suradnje za razmjenu bitnih informacija kako bi mogla obavljati zadaće koje su im pravno dodijeljene. To se u načelu odvija putem suradnje tijela koja su nadležna u dotičnim trećim zemljama za potrebe ove Direktive, ili barem uz tu suradnju, a ponekad čak i ako bilateralni ili multilateralni međunarodni sporazum ne postoji. Međutim, u posebnim pojedinačnim slučajevima redovni postupci kojima se zahtjeva kontaktiranje takvog tijela u trećoj zemlji mogu biti neučinkoviti ili neprimjereni, osobito zato što se prijenos ne može provesti pravodobno ili zato što to tijelo u trećoj zemlji ne poštuje vladavinu prava ili međunarodne norme i standarde ljudskih prava, tako da nadležna tijela država članica mogu odlučiti prenijeti osobne podatke izravno primateljima s poslovnim nastanom u tim trećim zemljama. To se može dogoditi u slučaju da postoji hitna potreba za prijenosom osobnih podataka kako bi se spasio život osobe kojoj prijeti opasnost da postane žrtva kaznenog djela ili u interesu sprečavanja neposrednog počinjenja kaznenog djela, uključujući terorizam. Čak i ako se taj prijenos između nadležnih tijela i primatelja s poslovnim nastanom u trećim zemljama provodi samo u posebnim pojedinačnim slučajevima, ovom bi se Direktivom trebali predvidjeti uvjeti za reguliranje takvih slučajeva. Te se odredbe ne bi smjelo smatrati odstupanjima od bilo kojeg postojećeg bilateralnog ili multilateralnog međunarodnog sporazuma u području pravosudne suradnje u kaznenim stvarima i policijske suradnje. Ta bi se pravila trebala primjenjivati uz ostala pravila ove Direktive, posebno ona o zakonitosti obrade podataka i poglavlje V.

(74)

Kada se osobni podaci kreću preko granica, može se povećati rizik koji prijeti sposobnosti pojedinaca da ostvare svoja prava zaštite podataka, osobito da se zaštite od nezakonite uporabe ili otkrivanja tih podataka. Nadzorna tijela mogu istodobno otkriti da nisu u stanju rješavati pritužbe ili voditi istrage u vezi s aktivnostima izvan svojih granica. Njihove napore da rade zajedno u prekograničnom kontekstu također mogu omesti nedovoljne ovlasti za sprečavanje ili ispravljanje i nedosljedni pravni režimi. Stoga postoji potreba za promicanjem bliskije suradnje među nadzornim tijelima za zaštitu podataka, što bi im pomoglo u razmjeni informacija s nadzornim tijelima za zaštitu podataka u inozemstvu.

(75)

Uspostava nadzornih tijela u državama članicama koja mogu potpuno samostalno izvršavati svoje dužnosti ključna je sastavnica zaštite pojedinaca u vezi s obradom njihovih osobnih podataka. Nadzorna tijela trebala bi pratiti primjenu odredaba donesenih na temelju ove Direktive i doprinositi njihovoj dosljednoj primjeni u cijeloj Uniji kako bi zaštitila pojedince u vezi s obradom njihovih osobnih podataka. U tu bi svrhu nadzorna tijela trebala surađivati jedna s drugima te s Komisijom.

(76)

Nadzornom tijelu koje je već uspostavljeno u okviru Uredbe (EU) 2016/679 države članice mogu povjeriti odgovornost za zadaće koje trebaju provoditi nacionalna nadzorna tijela koja se trebaju uspostaviti u skladu s ovom Direktivom.

(77)

Državama članicama trebalo bi dopustiti uspostavljanje više od jednog nadzornog tijela kako bi se odrazila njihova ustavna, organizacijska i administrativna struktura. Svako nadzorno tijelo trebalo bi imati na raspolaganju financijske i ljudske resurse, prostorije i infrastrukturu, koji su potrebni za djelotvorno izvršavanje njihovih zadaća, uključujući zadaće povezane s uzajamnom pomoći i suradnjom s drugim nadzornim tijelima u cijeloj Uniji. Svako nadzorno tijelo trebalo bi imati odvojeni, javni godišnji proračun koji može biti dio ukupnog državnog ili nacionalnog proračuna.

(78)

Nadzorna tijela trebalo bi podvrgnuti neovisnim mehanizmima kontrole ili praćenja u vezi s njihovim financijskim izdacima, pod uvjetom da ta financijska kontrola ne utječe na njihovu neovisnost.

(79)

Opći uvjeti za člana ili članove nadzornog tijela trebali bi biti propisani pravom države članice i posebno bi trebali osiguravati da te članove imenuju parlament, vlada ili šef države dotične države članice na temelju prijedloga vlade, člana vlade, parlamenta ili doma parlamenta, ili neovisno tijelo kojem je pravom države članice povjereno imenovanje putem transparentnog postupka. Radi osiguravanja neovisnosti nadzornog tijela član ili članovi trebali bi se ponašati pošteno, suzdržavati od svake radnje koja nije u skladu s njihovim dužnostima i ne bi se smjeli tijekom obavljanja mandata baviti bilo kakvom djelatnošću koja nije sukladna s tom funkcijom, bez obzira na to je li ona plaćena ili ne. Kako bi se osigurala neovisnost nadzornog tijela, nadzorno tijelo trebalo bi odabrati osoblje, što može uključivati intervenciju neovisnog tijela kojemu je taj zadatak povjeren pravom države članice.

(80)

Iako se ova Direktiva također primjenjuje na aktivnosti nacionalnih sudova i drugih pravosudnih tijela, nadležnost nadzornih tijela ne bi smjela obuhvaćati obradu osobnih podataka kada sudovi djeluju u okviru svoje sudske nadležnosti kako bi se zaštitila neovisnost sudaca u provođenju njihovih sudskih zadaća. To bi izuzeće trebalo ograničiti na pravosudne aktivnosti u sudskim postupcima i ne primjenjivati ga na ostale aktivnosti u koje bi se suci u skladu s pravom države članice mogli uključiti. Države članice također bi trebale imati mogućnost osigurati da nadležnost nadzornog tijela ne obuhvaća obradu osobnih podataka drugih neovisnih pravosudnih tijela kada djeluju u okviru svoje sudske nadležnosti, primjerice ureda javnog tužitelja. U svakom slučaju, usklađenost sudova i drugih neovisnih pravosudnih tijela s pravilima ove Direktive uvijek podliježe neovisnom nadzoru u skladu s člankom 8. stavkom 3. Povelje.

(81)

Svako nadzorno tijelo trebalo bi rješavati pritužbe koje podnese bilo koji ispitanik te bi trebalo istražiti slučaj ili ga proslijediti nadležnom nadzornom tijelu. Nakon pritužbe trebalo bi provesti istragu, koja podliježe sudskom preispitivanju, u onoj mjeri koja je u određenom slučaju prikladna. Nadzorno tijelo trebalo bi u razumnom roku izvijestiti ispitanika o napretku i ishodu pritužbe. Ako slučaj zahtijeva dodatnu istragu ili koordinaciju s drugim nadzornim tijelom, ispitaniku bi trebalo pružiti privremene informacije.

(82)

Kako bi se osigurao učinkovit, pouzdan i dosljedan nadzor sukladnosti s ovom Direktivom i njezine provedbe u cijeloj Uniji na temelju UFEU-a, kako ga tumači Sud, nadzorna tijela trebala bi u svakoj državi članici imati iste zadaće i stvarne ovlasti, među ostalim istražne, korektivne i savjetodavne ovlasti koje su im potrebne za obavljanje njihovih zadaća. Međutim, njihovim ovlastima ne bi se smjela ometati posebna pravila za kazneni postupak, uključujući istragu i progon kaznenih dijela, ili neovisnost pravosuđa. Ne dovodeći u pitanje ovlasti tijelâ kaznenog progona na temelju prava države članice, nadzorna tijela također bi trebala imati ovlast za obavješćivanje pravosudnih tijela o kršenjima ove Direktive ili za vođenje pravnih postupaka. Ovlasti nadzornih tijela trebale bi se izvršavati u skladu s primjerenim postupovnim zaštitnim mjerama utvrđenima u pravu Unije i pravu države članice nepristrano, pošteno i u razumnom roku. Posebno bi svaka mjera trebala biti primjerena, potrebna i proporcionalna cilju osiguravanja sukladnosti s ovom Direktivom, uzimajući u obzir okolnosti svakog pojedinačnog slučaja, poštovanje prava svake osobe da se sasluša prije poduzimanja bilo koje pojedinačne mjere koja bi štetno utjecala na nju te izbjegavanje suvišnih troškova i prekomjernih neugodnosti za dotičnu osobu. Istražne ovlasti u pogledu pristupa objektima trebale bi se izvršavati u skladu s posebnim zahtjevima prava države članice, poput zahtjeva za dobivanje prethodnog sudskog ovlaštenja. Donošenje pravno obvezujuće odluke trebalo bi podlijegati sudskom preispitivanju u državi članici nadzornog tijela koje je donijelo odluku.

(83)

Nadzorna tijela trebala bi jedna drugima pomagati u obavljanju zadaća i pružati si uzajamnu pomoć kako bi zajamčila dosljednu primjenu i provedbu odredaba donesenih na temelju ove Direktive.

(84)

Odbor bi trebao doprinositi dosljednoj primjeni ove Direktive u cijeloj Uniji, što uključuje savjetovanje Komisije i promicanje suradnje među nadzornim tijelima u cijeloj Uniji.

(85)

Svaki bi ispitanik trebao imati pravo podnijeti pritužbu jednom nadzornom tijelu i imati pravo na učinkovit pravni lijek u skladu s člankom 47. Povelje o temeljnim pravima ako ispitanik smatra da su prekršena njegova prava prema odredbama donesenima na temelju ove Direktive ili ako nadzorno tijelo ne postupi po pritužbi, odbaci ili odbije,u cijelosti ili djelomično, ili ne postupi kada je takvo postupanje potrebno u svrhu zaštite prava ispitanika. Slijedom pritužbe, trebalo bi provesti istragu, koja podliježe sudskom preispitivanju, u onoj mjeri koja je u određenom slučaju prikladna. Nadležno nadzorno tijelo trebalo bi u razumnom roku izvijestiti ispitanika o napretku i ishodu pritužbe. Ako slučaj zahtijeva dodatnu istragu ili koordinaciju s drugim nadzornim tijelom, ispitaniku bi trebalo pružiti privremene informacije. Kako bi se olakšalo podnošenje pritužbi, svako nadzorno tijelo trebalo bi poduzeti mjere poput osiguranja obrasca za podnošenje pritužbe koji se može ispuniti i elektroničkim putem, ne isključujući ostala sredstva komunikacije.

(86)

Svaka fizička ili pravna osoba trebala bi imati pravo na učinkovit pravni lijek pred nadležnim nacionalnim sudom protiv odluke nadzornog tijela kojom se proizvode pravni učinci u vezi s tom osobom. Takva se odluka posebno odnosi na provedbu istražnih, korektivnih i autorizacijskih ovlasti nadzornog tijela ili odbacivanje ili odbijanje pritužaba. To pravo međutim ne obuhvaća druge mjere nadzornih tijela koje nisu pravno obvezujuće poput mišljenja ili savjeta koja je dalo nadzorno tijelo. Postupci protiv nadzornog tijela trebali bi se pokrenuti pred sudovima države članice u kojoj nadzorno tijelo ima poslovni nastan te bi se trebali voditi u skladu s pravom te države članice. Ti sudovi trebali bi imati punu nadležnost koja bi trebala obuhvaćati nadležnost za ispitivanje svih činjeničnih i pravnih pitanja bitnih za spor.

(87)

Ako ispitanik smatra da su prekršena njegova prava iz ove Direktive, trebao bi imati pravo ovlastiti tijelo, čiji je cilj zaštititi prava i interese ispitanikâ u vezi sa zaštitom njihovih osobnih podataka i koje je osnovano u skladu s pravom države članice, da podnese pritužbu u njegovo ime nadzornom tijelu i da ostvari pravo na pravni lijek. Pravo na zastupanje ispitanika ne bi trebalo dovesti u pitanje postupovno pravo države članice kojim se može zahtijevati da ispitanike pred nacionalnim sudovima obavezno zastupa odvjetnik, kako je definirano u Direktivi Vijeća77/249/EEZ (10).

(88)

Svaku štetu koju osoba može pretrpjeti uslijed obrade kojom se krše odredbe donesene na temelju ove Direktive trebao bi nadoknaditi voditelj obrade ili bilo koje drugo tijelo nadležno u skladu s pravom države članice. Pojam štete trebalo bi široko tumačiti s obzirom na sudsku praksu Suda tako da se u potpunosti odražavaju ciljevi ove Direktive. Time se ne dovode u pitanje zahtjevi za naknadu štete koji proizlaze iz kršenja drugih pravila Unije ili prava države članice. Pri upućivanju na obradu koja je nezakonita ili krši odredbe donesene na temelju ove Direktive, to upućivanje također obuhvaća obradu kojom se krše provedbeni akti doneseni na temelju ove Direktive. Ispitanici bi trebali dobiti punu i djelotvornu naknadu za štetu koju su pretrpjeli.

(89)

Svakoj fizičkoj ili pravnoj osobi koja krši ovu Direktivu, neovisno o tome podliježe li privatnom ili javnom pravu, trebalo bi izreći sankcije. Države članice trebale bi osigurati da su sankcije učinkovite, proporcionalne i odvraćajuće te bi trebale poduzeti sve mjere za njihovu provedbu.

(90)

Radi osiguranja jedinstvenih uvjeta za provedbu ove Direktive, Komisiji bi se trebale dodijeliti provedbene ovlasti za: primjerenu razinu zaštite koju pruža treća zemlja, područje ili posebni sektor unutar treće zemlje ili međunarodna organizacija i format i postupke za uzajamnu pomoć i aranžmane za razmjenu informacija elektroničkim putem između nadzornih tijela te između nadzornih tijela i Odbora. Te bi ovlasti trebalo izvršavati u skladu s Uredbom (EU) br. 182/2011 Europskog parlamenta i Vijeća (11).

(91)

Za donošenje provedbenih akata o odgovarajućoj razini zaštite koju pruža treća zemlja ili područje ili posebni sektor unutar te treće zemlje ili međunarodna organizacija; format i postupke za uzajamnu pomoć i sustave razmjene informacija elektroničkim putem između nadzornih tijela te između nadzornih tijela i Odbora trebalo bi primjenjivati postupak ispitivanja, s obzirom na to da ti akti imaju opće područje primjene.

(92)

Komisija bi trebala donijeti provedbene akte koji se odmah primjenjuju kada,u opravdanim slučajevima povezanima s trećom zemljom, područjem ili posebnim sektorom unutar treće zemlje ili međunarodnom organizacijom koji više ne osiguravaju odgovarajuću razinu zaštite, to zahtijevaju krajnje hitni razlozi.

(93)

S obzirom na to da ciljeve ove Direktive, a to su zaštita temeljnih prava i sloboda pojedinaca, posebno njihova prava na zaštitu osobnih podataka i osiguravanje slobodne razmjene osobnih podataka među nadležnim tijelima unutar Unije, ne mogu dostatno ostvariti države članice, nego se zbog opsega ili učinka djelovanja oni na bolji način mogu ostvariti na razini Unije, Unija može donijeti mjere u skladu s načelom supsidijarnosti utvrđenim u članku 5. UEU-a. U skladu s načelom proporcionalnosti utvrđenim tom članku, ova Direktiva ne prelazi ono što je potrebno za ostvarivanje tih ciljeva.

(94)

Posebne odredbe akata Unije donesenih u području pravosudne suradnje u kaznenim stvarima i policijske suradnje koje su donesene prije datuma donošenja ove Direktive, kojima se uređuje obrada osobnih podataka između država članica ili pristup imenovanih tijela država članica informacijskim sustavima uspostavljenima u skladu s Ugovorima, trebale bi ostati nepromijenjene, kao što su, na primjer, posebne odredbe o zaštiti osobnih podataka koje se primjenjuju u skladu s Odlukom Vijeća 2008/615/PUP (12) ili članak 23. Konvencije o uzajamnoj pravnoj pomoći u kaznenim stvarima među državama članicama Europske unije. (13) Budući da se člankom 8. Povelje i člankom 16. UFEU-a zahtijeva da se temeljno pravo na zaštitu osobnih podataka treba osigurati na dosljedan način širom Unije, Komisija bi trebala ocijeniti situaciju u pogledu odnosa između ove Direktive i akata donesenih prije datuma donošenja ove Direktive kojima se uređuje obrada osobnih podataka između država članica ili pristup imenovanih tijela država članica informacijskim sustavima uspostavljenima u skladu s Ugovorima kako bi procijenila potrebu za usklađivanjem tih posebnih odredaba s ovom Direktivom. Komisija bi prema potrebi trebala izraditi prijedloge s ciljem osiguravanja dosljednih pravnih pravila koja se odnose na obradu osobnih podataka.

(95)

Kako bi se osigurala sveobuhvatna i dosljedna zaštita osobnih podataka u Uniji, međunarodni sporazumi koje su države članice sklopile prije datuma stupanja na snagu ove Direktive, a koji su u skladu s odgovarajućim pravom Unije primjenjivim prije tog datuma, trebali bi ostati na snazi dok ih se ne izmijeni, zamijeni ili stavi izvan snage.

(96)

Za prenošenje ove Direktive državama članicama trebalo bi se dati razdoblje od najviše dvije godine od datuma njezina stupanja na snagu. Obrade koje su već u tijeku na taj datum trebalo bi uskladiti s ovom Direktivom u roku od dvije godine nakon što ova Direktiva stupi na snagu. Međutim, ako je takva obrada u skladu s pravom Unije koje se primjenjuje prije datuma stupanja na snagu ove Direktive, zahtjevi ove Direktive u pogledu prethodnog savjetovanja s nadzornim tijelom ne bi se trebali primjenjivati na postupke obrade koji su već u tijeku na taj datum, s obzirom da te zahtjeve, zbog same njihove prirode, treba ispuniti prije obrade. Ako se države članice koriste duljim razdobljem provedbe koje istječe sedam godina od stupanja na snagu ove Direktive kako bi ispunile obveze zapisivanja za automatizirane sustave obrade uspostavljene prije datuma tog datuma, voditelj obrade ili izvršitelj obrade trebali bi imati učinkovite metode za dokazivanje zakonitosti obrade podataka, za omogućivanje samopraćenja i za osiguravanje integriteta podataka i sigurnosti podataka, poput zapisa ili drugih oblika evidencije.

(97)

Ovom Direktivom ne dovode se u pitanje pravila o suzbijanju seksualnog zlostavljanja i seksualnog iskorištavanja djece i dječje pornografije kako je utvrđeno Direktivom 2011/93/EU Europskog parlamenta i Vijeća (14).

(98)

Okvirnu odluku 2008/977/PUP stoga bi trebalo staviti izvan snage.

(99)

U skladu s člankom 6.a Protokola br. 21 o stajalištu Ujedinjene Kraljevine i Irske s obzirom na područja slobode, sigurnosti i pravde, priloženog UEU-u i UFEU-u, Ujedinjenu Kraljevinu i Irsku ne obvezuju pravila utvrđena ovom Direktivom koja se odnose na obradu osobnih podataka od strane država članica pri obavljanju djelatnosti koje su obuhvaćene dijelom trećim glavom V. poglavljem 4. ili poglavljem 5. UFEU-a ako Ujedinjenu Kraljevinu i Irsku ne obvezuju pravila koja uređuju oblike pravosudne suradnje u kaznenim stvarima ili policijske suradnje za koja se traži usklađenost s odredbama utvrđenima na temelju članka 16. UFEU-a.

(100)

U skladu s člancima 2. i 2.a Protokola br. 22 o stajalištu Danske, priloženog UEU-u i UFEU-u, Dansku ne obvezuju pravila utvrđena ovom Direktivom niti ona podliježe primjeni tih pravila koja se odnose na obradu osobnih podataka od strane država članica pri obavljanju djelatnosti koje su obuhvaćene dijelom trećim glavom V. poglavljem 4. ili poglavljem 5. UFEU-a. S obzirom na to da se ova Direktiva temelji na schengenskoj pravnoj stečevini u skladu s dijelom trećim glavom V. UFEU-a, Danska u skladu s člankom 4. tog protokola u roku od šest mjeseci nakon donošenja ove Direktive odlučuje hoće li je provesti u svojem nacionalnom pravu.

(101)

U pogledu Islanda i Norveške ova Direktiva predstavlja razvoj odredaba schengenske pravne stečevine, u smislu Sporazuma između Vijeća Europske Unije i Republike Islanda i Kraljevine Norveške o pridruživanju tih dviju država provedbi, primjeni i razvoju schengenske pravne stečevine (15).

(102)

U pogledu Švicarske ova Direktiva predstavlja razvoj odredaba schengenske pravne stečevine, u smislu Sporazuma između Europske Unije, Europske zajednice i Švicarske Konfederacije o pridruživanju Švicarske Konfederacije provedbi, primjeni i razvoju schengenske pravne stečevine (16).

(103)

U pogledu Lihtenštajna ova Direktiva predstavlja razvoj odredaba schengenske pravne stečevine, u smislu Protokola između Europske unije, Europske zajednice, Švicarske Konfederacije i Kneževine Lihtenštajna o pristupanju Kneževine Lihtenštajna Sporazumu između Europske unije, Europske zajednice i Švicarske Konfederacije o pridruživanju Švicarske Konfederacije provedbi, primjeni i razvoju schengenske pravne stečevine (17).

(104)

Ovom Direktivom poštuju se temeljna prava i uvažavaju načela priznata Poveljom, kako je utvrđeno u UFEU-u, a posebno pravo na poštovanje privatnog i obiteljskog života, pravo na zaštitu osobnih podataka, pravo na učinkoviti pravni lijek i na pošteno suđenje. Ograničenja tih prava u skladu su s člankom 52. stavkom 1. Povelje jer su potrebna za ostvarivanje ciljeva od općeg interesa koje priznaje Unija ili potrebe za zaštitom prava i sloboda drugih.

(105)

U skladu sa Zajedničkom političkom izjavom država članica i Komisije od 28. rujna 2011. o dokumentima s objašnjenjima, države članice obvezale su se da će u opravdanim slučajevima uz obavijest o svojim mjerama za prenošenje priložiti jedan ili više dokumenata u kojima se objašnjava veza između sastavnih dijelova direktive i odgovarajućih dijelova nacionalnih mjera za prenošenje. U pogledu ove Direktive zakonodavac smatra da je prijenos takvih dokumenata opravdan.

(106)

Izvršeno je savjetovanje s Europskim nadzornikom za zaštitu podataka u skladu s člankom 28. stavkom 2. Uredbe (EZ) br. 45/2001 te je dao mišljenje 7. ožujka 2012. (18).

(107)

Ovom se Direktivom ne bi smjelo sprečavati države članice da u nacionalna pravila o kaznenom postupku uvedu ostvarivanje prava ispitanikâ na informacije, pristup i ispravak ili brisanje osobnih podataka te ograničavanje obrade tijekom kaznenog postupka, kao i moguća ograničenja tih prava,

DONIJELI SU OVU DIREKTIVU:

POGLAVLJE I.

Opće odredbe

Članak 1.

Predmet i ciljevi

1.   Ovom se Direktivom utvrđuju pravila povezana sa zaštitom pojedinaca u pogledu obrade osobnih podataka od strane nadležnih tijela u svrhe sprečavanja, istrage, otkrivanja ili progona kaznenih djela ili izvršavanja kaznenih sankcija, uključujući zaštitu od prijetnji javnoj sigurnosti i njihovo sprečavanje.

2.   U skladu s ovom Direktivom države članice:

(a)

štite temeljna prava i slobode pojedinaca, a posebno njihovo pravo na zaštitu osobnih podataka; i

(b)

osiguravaju da se razmjena osobnih podataka među nadležnim tijelima unutar Unije, kada se takva razmjena zahtijeva pravom Unije ili pravom države članice, ne ograniči niti zabrani iz razloga povezanih sa zaštitom pojedinaca u pogledu obrade osobnih podataka.

3.   Ovom se Direktivom ne sprečava države članice da predvide snažnije zaštitne mjere za zaštitu prava i sloboda ispitanika u pogledu obrade osobnih podataka od strane nadležnih tijela, od onih koje su utvrđene u ovoj Direktivi.

Članak 2.

Područje primjene

1.   Ova se Direktiva primjenjuje na obradu osobnih podataka od strane nadležnih tijela u svrhe utvrđene u članku 1. stavku 1.

2.   Ova se Direktiva primjenjuje na obradu osobnih podataka koja se u cijelosti ili djelomično obavlja automatizirano te na neautomatiziranu obradu osobnih podataka koji čine dio sustava pohrane ili su namijenjeni biti dio sustava pohrane.

3.   Ova se Direktiva ne primjenjuje na obradu osobnih podataka:

(a)

tijekom djelatnosti koja nije obuhvaćena opsegom prava Unije;

(b)

koju obavljaju institucije, tijela, uredi i agencije Unije.

Članak 3.

Definicije

Za potrebe ove Direktive:

1.

„osobni podaci” znači svi podaci koji se odnose na pojedinca čiji je identitet utvrđen ili se može utvrditi „ispitanik”; pojedinac čiji se identitet može utvrditi jest osoba koja se može identificirati izravno ili neizravno, osobito uz pomoć identifikatora kao što su ime, identifikacijski broj, podaci o lokaciji, mrežni identifikator ili uz pomoć jednog ili više čimbenika svojstvenih za fizički, fiziološki, genetski, mentalni, ekonomski, kulturni ili socijalni identitet tog pojedinca;

2.

„obrada” znači svaki postupak ili skup postupaka koji se obavljaju na osobnim podacima ili skupovima osobnih podataka, bilo automatiziranim bilo neautomatiziranim sredstvima kao što su prikupljanje, bilježenje, organizacija, strukturiranje, pohrana, prilagodba ili izmjena, pronalaženje, obavljanje uvida, uporaba, otkrivanje prijenosom, širenjem ili stavljanjem na raspolaganje na drugi način, usklađivanje ili kombiniranje, ograničavanje, brisanje ili uništavanje;

3.

„ograničavanje obrade” znači označivanje pohranjenih osobnih podataka s ciljem ograničavanja njihove obrade u budućnosti;

4.

„izrada profila” znači svaki oblik automatizirane obrade osobnih podataka koji se sastoji od uporabe osobnih podataka za ocjenu određenih osobnih aspekata povezanih s pojedincem, posebno za analizu ili predviđanje aspekata u vezi s radnim učinkom, ekonomskim stanjem, zdravljem, osobnim sklonostima, interesima, pouzdanošću, ponašanjem, lokacijom ili kretanjem tog pojedinca;

5.

„pseudonimizacija” znači obrada osobnih podataka na način da se podaci više ne mogu pripisati određenom ispitaniku bez uporabe dodatnih informacija, pod uvjetom da se takve dodatne informacije drže odvojeno te podliježu tehničkim i organizacijskim mjerama kako bi se osiguralo da se osobni podaci ne mogu pripisati pojedincu čiji je identitet utvrđen ili se može utvrditi;

6.

„sustav pohrane” znači svaki strukturirani skup osobnih podataka dostupnih prema posebnim kriterijima, bilo da su centralizirani, decentralizirani ili raspršeni na funkcionalnoj ili zemljopisnoj osnovi;

7.

„nadležno tijelo” znači:

(a)

svako tijelo javne vlasti nadležno za sprečavanje, istragu, otkrivanje ili progon kaznenih djela ili izvršavanje kaznenih sankcija, uključujući zaštitu od prijetnji javnoj sigurnosti i njihovo sprečavanje; ili

(b)

svako drugo tijelo ili subjekt kojem je pravom države članice povjereno obavljanje javnih dužnosti i izvršavanje javnih ovlasti u svrhe sprečavanja, istrage, otkrivanja ili progona kaznenih djela ili izvršavanja kaznenih sankcija, uključujući zaštitu od prijetnji javnoj sigurnosti i njihovo sprečavanje;

8.

„voditelj obrade” znači nadležno tijelo koje samo ili zajedno s drugima određuje svrhe i sredstva obrade osobnih podataka; kada su svrhe i sredstva obrade utvrđeni pravom Unije ili pravom države članice, voditelj obrade ili posebni kriteriji za njegovo imenovanje mogu se odrediti pravom Unije ili pravom države članice;

9.

„izvršitelj obrade” znači fizička ili pravna osoba, tijelo javne vlasti, agencija ili drugo tijelo koje obrađuje osobne podatke u ime voditelja obrade;

10.

„primatelj” znači fizička ili pravna osoba, tijelo javne vlasti, agencija ili drugo tijelo kojem se otkrivaju osobni podaci, neovisno o tome je li on treća strana. Međutim, tijela javne vlasti koja mogu primiti osobne podatke u okviru određene istrage u skladu s pravom države članice ne smatraju se primateljima; obrada tih podataka koju obavljaju ta tijela javne vlasti mora biti u sladu s primjenjivim pravilima o zaštiti podataka prema svrhama obrade;

11.

„povreda osobnih podataka” znači kršenje sigurnosti koje dovodi do slučajnog ili nezakonitog uništenja, gubitka, izmjene, neovlaštenog otkrivanja ili pristupa osobnim podacima koji su preneseni, pohranjeni ili na drugi način obrađivani;

12.

„genetski podaci” znači svi osobni podaci koji se odnose na naslijeđena ili stečena genetska obilježja pojedinca koja daju jedinstvenu informaciju o fiziologiji ili zdravlju tog pojedinca, i koji su dobiveni osobito analizom biološkog uzorka dotičnog pojedinca;

13.

„biometrijski podaci” znači osobni podaci dobiveni posebnom tehničkom obradom u vezi s fizičkim obilježjima, fiziološkim obilježjima ili obilježjima ponašanja pojedinca koja omogućuju ili potvrđuju jedinstvenu identifikaciju tog pojedinca, kao što su fotografije lica ili daktiloskopski podaci;

14.

„podaci koji se odnose na zdravlje” znači osobni podaci povezani s fizičkim ili mentalnim zdravljem pojedinca, uključujući pružanje zdravstvenih usluga, kojima se daju informacije o njegovu zdravstvenom statusu;

15.

„nadzorno tijelo” znači neovisno tijelo javne vlasti koje je osnovala država članica u skladu s člankom 41.;

16.

„međunarodna organizacija” znači organizacija i njezina podređena tijela uređena međunarodnim javnim pravom ili bilo koje drugo tijelo koje su sporazumom ili na osnovi sporazuma osnovale dvije ili više zemalja.

POGLAVLJE II.

Načela

Članak 4.

Načela obrade osobnih podataka

1.   Države članice osiguravaju da su osobni podaci:

(a)

obrađivani zakonito i pošteno;

(b)

prikupljeni u posebne, izričite i zakonite svrhe te da ih se ne obrađuje na način koji nije u skladu s tim svrhama;

(c)

primjereni i relevantni te da ne nisu pretjerani u odnosu na svrhe u koje se obrađuju;

(d)

točni i prema potrebi ažurni; mora se poduzeti svaka razumna mjera radi osiguravanja da se osobni podaci koji nisu točni, uzimajući u obzir svrhe u koje se obrađuju, bez odlaganja izbrišu ili isprave;

(e)

čuvani u obliku koji omogućuje identifikaciju ispitanikâ samo onoliko dugo koliko je potrebno u svrhe radi kojih se osobni podaci obrađuju;

(f)

obrađivani na način kojim se osigurava odgovarajuća sigurnost osobnih podataka, uključujući zaštitu od neovlaštene ili nezakonite obrade te od slučajnog gubitka, uništenja ili oštećenja primjenom odgovarajućih tehničkih ili organizacijskih mjera.

2.   Obrada koju obavlja isti ili neki drugi voditelj obrade u svrhu iz članka 1. stavka 1. različitu od one za koju su osobni podaci prikupljeni dopuštena je:

(a)

ako je voditelj obrade ovlašten za obradu takvih osobnih podataka u takvu svrhu u skladu s pravom Unije ili pravom države članice; te

(b)

ako je obrada nužna i proporcionalna toj drugoj svrsi u skladu s pravom Unije ili pravom države članice.

3.   Obrada koju obavlja isti ili neki drugi voditelj obrade može uključivati arhiviranje u javnom interesu, u znanstvene, statističke ili povijesne svrhe, za potrebe iz članka 1. stavka 1., podložno odgovarajućim zaštitnim mjerama u pogledu prava i sloboda ispitanikâ.

4.   Voditelj obrade odgovoran je za usklađenost sa stavcima 1., 2. i 3. te je mora biti u mogućnosti dokazati.

Članak 5.

Rokovi za pohranu i preispitivanje

Države članice osiguravaju da se za brisanje osobnih podataka ili za periodično preispitivanje potrebe za pohranom osobnih podataka predvide odgovarajući rokovi. Postupovnim mjerama osigurava se poštovanje tih rokova.

Članak 6.

Razlika između različitih kategorija ispitanika

Države članice osiguravaju da voditelj obrade, prema potrebi i koliko je god to moguće, radi jasnu razliku između osobnih podataka različitih kategorija ispitanika, kao što su:

(a)

osobe za koje postoje ozbiljni razlozi za vjerovati da su počinile ili će počiniti kazneno djelo;

(b)

osobe osuđene za kazneno djelo;

(c)

žrtve kaznenog djela ili osobe u pogledu kojih postoje određene činjenice koje daju razloge vjerovati da bi ta osoba mogla biti žrtva kaznenog djela; i

(d)

druge strane u kaznenim djelima, kao što su osobe koje se može pozvati da svjedoče u istragama u vezi s kaznenim djelima ili naknadnom kaznenom postupku, osobe koje mogu dati informacije o kaznenim djelima ili osobe za kontakt ili suradnici jedne od osoba iz točaka (a) i (b).

Članak 7.

Razlika između osobnih podataka i provjera kvalitete osobnih podataka

1.   Države članice osiguravaju da se osobni podaci utemeljeni na činjenicama razlikuju što je više moguće od osobnih podataka utemeljenih na osobnim procjenama.

2.   Države članice osiguravaju da nadležna tijela poduzmu sve razumne mjere kako bi osigurala da se osobni podaci koji su netočni, nepotpuni ili više nisu ažurni ne prenose niti ne stavljaju na raspolaganje. U tu svrhu svako nadležno tijelo, koliko je to izvedivo, provjerava kvalitetu osobnih podataka prije njihova prenošenja ili stavljanja na raspolaganje. Što je više moguće, pri svim prenošenjima osobnih podataka dodaju se nužne informacije koje nadležnom tijelu koje je podatke dobilo omogućuju ocjenjivanje stupnja točnosti, potpunosti i pouzdanosti osobnih podataka, kao i u kojoj su mjeri ažurni.

3.   Pokaže li se da su preneseni netočni osobni podaci ili da su osobni podaci preneseni nezakonito, primatelj mora biti obaviješten bez odlaganja. U takvom slučaju osobni podaci moraju se ispraviti ili brisati ili obradu ograničiti u skladu s člankom 16.

Članak 8.

Zakonitost obrade

1.   Države članice osiguravaju da je obrada zakonita samo ako je nužna i samo u onoj mjeri u kojoj je nužna kako bi nadležno tijelo obavilo zadaću u svrhe navedene u članku 1. stavku 1. te da se temelji na pravu Unije ili pravu države članice.

2.   Pravom države članice kojim se uređuje obrada unutar područja primjene ove Direktive navode se barem ciljevi obrade, osobni podaci za obradu i svrhe obrade.

Članak 9.

Posebni uvjeti obrade

1.   Osobni podaci koje nadležna tijela prikupljaju za svrhe utvrđene u članku 1. stavku 1. ne smiju se obrađivati u svrhe koje su različite od onih utvrđenih u članku 1. stavku 1. osim ako je takva obrada odobrena pravom Unije ili pravom države članice. Ako se osobni podaci obrađuju u druge svrhe, primjenjuje se Uredba (EU) 2016/679, osim ako se obrada obavlja kao djelatnost koja je izvan područja primjene prava Unije.

2.   Ako je pravom države članice nadležnim tijelima povjereno obavljanje zadaća drukčijih od onih koje se obavljaju u svrhe iz članka 1. stavka 1., Uredba (EU) 2016/679 primjenjuje se na obradu u takve svrhe, među ostalim i za arhiviranje u javnom interesu, ili u svrhe znanstvenog ili povijesnog istraživanja ili u statističke svrhe, osim ako se obrada provodi u okviru djelatnosti koja je izvan područja primjene prava Unije.

3.   Države članice, ako pravo Unije ili pravo države članice kojemu podliježe nadležno tijelo koje prenosi podatke predviđa posebne uvjete za obradu, osiguravaju da nadležno tijelo koje prenosi takve osobne podatke primatelja kojemu ih prenosi obavješćuje o tim uvjetima i o zahtjevu za poštovanje tih uvjeta.

4.   Države članice osiguravaju da nadležno tijelo koje prenosi podatke ne primjenjuje uvjete iz stavka 3.na primatelje u drugim državama članicama ili na agencije, urede i tijela osnovane u skladu s glavom V. poglavljima 4. i 5. UFEU-a, osim onih koji su primjenjivi na slične prijenose podataka u državi članici u kojoj se nalazi nadležno tijelo koje prenosi podatke.

Članak 10.

Obrada posebnih kategorija osobnih podataka

Obrada osobnih podataka koji otkrivaju rasno ili etničko podrijetlo, politička mišljenja, religijska ili filozofska vjerovanja ili članstvo u sindikatu te obrada genetskih podataka, biometrijskih podataka u svrhu jedinstvene identifikacije pojedinca ili podataka koji se odnose na zdravlje ili podataka o spolnom životu ili seksualnoj orijentacijo pojedinca dopuštena je samo ako je to nužno, pridržavajući se odgovarajućih zaštitnih mjera u pogledu prava i sloboda ispitanika te samo:

(a)

ako je dopušteno pravom Unije ili pravom države članice;

(b)

radi zaštite vitalnih interesa ispitanika ili drugog pojedinca; ili

(c)

ako se takva obrada odnosi na podatke za koje je očito da ih je objavio ispitanik.

Članak 11.

Automatizirano pojedinačno donošenje odluka

1.   Države članice osiguravaju da se zabrani odluka utemeljena samo na automatiziranoj obradi, među ostalim i na izradi profila, koja proizvodi negativne pravne učinke za ispitanika ili na njega znatno utječe, osim ako je odobrena pravom Unije ili pravom države članice kojem podliježe voditelj obrade te koje propisuje odgovarajuće zaštitne mjere za prava i slobode ispitanika, u najmanju ruku prava na ljudsku intervenciju voditelja obrade.

2.   Odluke iz stavka 1. ovog članka ne smiju se temeljiti na posebnim kategorijama osobnih podataka iz članka 10., osim ako su uspostavljene odgovarajuće mjere zaštite prava i sloboda te legitimnih interesa ispitanika.

3.   Zabranjuje se izrada profila koja dovodi do diskriminacije pojedinaca na temelju posebnih kategorija osobnih podataka iz članka 10., u skladu s pravom Unije.

POGLAVLJE III.

Prava ispitanika

Članak 12.

Obavješćivanje i modaliteti ostvarivanja prava ispitanika

1.   Država članica osigurava da voditelj obrade poduzima sve razumne korake kako bi se ispitaniku pružile sve informacije iz članka 13. te daje ispitaniku sve obavijesti u pogledu članka 11., članaka od 14. do 18. i članka 31. u vezi s obradom u jezgrovitom, razumljivom i lako dostupnom obliku, upotrebljavajući jasan i jednostavan jezik. Informacije se pružaju bilo kojim odgovarajućim sredstvom, uključujući elektronička sredstva. U pravilu voditelj obrade pruža informacije u istom obliku u kojem je zahtjev.

2.   Države članice osiguravaju da voditelj obrade olakšava ostvarivanje prava ispitanika iz članka 11. i članaka od 14. do 18.

3.   Države članice osiguravaju da voditelj obrade ispitanika bez nepotrebnog odgađanja pisanim putem obavješćuje o mjerama koje su poduzete u vezi s njegovim zahtjevom.

4.   Države članice osiguravaju da se informacije pružene na temelju članka 13. te sve obavijesti pružene ili mjere poduzete na temelju članka 11., članaka od 14. do 18. i članka 31. pružaju, odnosno poduzimaju, bez naknade. Ako su zahtjevi ispitanika očito neutemeljeni ili pretjerani, osobito zbog njihova učestalog ponavljanja, voditelj obrade može:

(a)

naplatiti razumnu naknadu, uzimajući u obzir administrativne troškove za pružanje informacija ili obavijesti ili za poduzimanje traženih mjera; ili

(b)

odbiti postupiti po zahtjevu.

Teret dokaza očigledne neutemeljenosti ili pretjeranosti zahtjeva snosi voditelje obrade.

5.   Ako voditelj obrade ima opravdane sumnje u pogledu identiteta pojedinca koji podnosi zahtjev iz članka 14. ili 16., voditelj obrade može tražiti pružanje dodatnih informacija potrebnih za potvrđivanje identiteta ispitanika.

Članak 13.

Informacije koje se stavljaju na raspolaganje ili daju ispitaniku

1.   Države članice osiguravaju da voditelj obrade ispitaniku stavlja na raspolaganje barem sljedeće informacije:

(a)

identitet i kontaktne podatke voditelja obrade;

(b)

kontaktne podatke službenika za zaštitu podataka, ako je primjenjivo;

(c)

svrhe obrade za koje su ti osobni podaci namijenjeni;

(d)

pravo na podnošenje pritužbe nadzornom tijelu i kontaktne podatke nadzornog tijela;

(e)

postojanje prava da se od voditelja obrade zatraži pristup osobnim podacima, njihov ispravak ili brisanje, ili ograničavanje obrade osobnih podataka koji se odnose na ispitanika.

2.   Osim informacija iz stavka 1., države članice zakonom osiguravaju da u određenim slučajevima, kako bi se ispitaniku omogućilo ostvarivanje njegovih prava voditelj ispitaniku daje dodatne informacije o:

(a)

pravnoj osnovi obrade;

(b)

razdoblju u kojem će se osobni podaci pohranjivati ili, ako to nije moguće, kriterijima korištenima za utvrđivanje tog razdoblja;

(c)

ako je primjenjivo, kategorijama primatelja osobnih podataka, uključujući treće zemlje ili međunarodne organizacije;

(d)

prema potrebi, dodatne informacije, osobito ako se osobni podaci prikupljaju bez znanja ispitanika.

3.   Države članice mogu donijeti zakonodavne mjere za odgađanje, ograničavanje ili uskraćivanje pružanja informacija ispitaniku na temelju stavka 2. u onoj mjeri i u onom trajanju u kojem takva mjera predstavlja potrebnu i proporcionalnu mjeru u demokratskom društvu uz dužno poštovanje temeljnih prava i legitimnih interesa dotičnog pojedinca, kako bi se:

(a)

izbjeglo ometanje službenih ili pravnih ispitivanja, istraga ili postupaka;

(b)

izbjeglo dovođenje u pitanje sprečavanja, otkrivanja, istrage ili progona kaznenih djela ili izvršavanja kaznenih sankcija;

(c)

zaštitila javna sigurnost;

(d)

zaštitila nacionalna sigurnost;

(e)

zaštitila prava i slobode drugih.

4.   Države članice mogu donijeti zakonodavne mjere radi određivanja kategorija obrade koje mogu u cijelosti ili djelomično biti obuhvaćene bilo kojom od točaka iz stavka 3.

Članak 14.

Pravo ispitanika na pristup

Pridržavajući se članka 15. države članice ispitaniku osiguravaju pravo da od voditelja obrade ishodi potvrdu o tome obrađuju li se osobni podaci koji se odnose na njega te, ako se takvi osobni podaci obrađuju, pristup takvim osobnim podacima i sljedećim informacijama:

(a)

svrhama obrade i pravnoj osnovi obrade;

(b)

kategorijama osobnih podataka o kojima je riječ;

(c)

primateljima ili kategorijama primatelja kojima su osobni podaci otkriveni, osobito primateljima u trećim zemljama ili međunarodnim organizacijama;

(d)

ako je to moguće, predviđenom razdoblju u kojem će se osobni podaci pohranjivati ili, ako to nije moguće, kriterijima korištenima za utvrđivanje tog razdoblja;

(e)

postojanju prava da se od voditelja obrade zatraži ispravak ili brisanje osobnih podataka ili ograničavanje obrade osobnih podataka koji se odnose na ispitanika;

(f)

o pravu na podnošenje pritužbe nadzornom tijelu i kontaktne podatke nadzornog tijela;

(g)

obavješćivanju o osobnim podacima koji se obrađuju i o svim dostupnim informacijama o njihovu izvoru.

Članak 15.

Ograničenja prava pristupa

1.   Države članice mogu donijeti zakonodavne mjere kojima se ispitaniku u cijelosti ili djelomično može ograničiti pravo pristupa u onoj mjeri i u onom trajanju u kojem takvo djelomično ili potpuno ograničavanje čini neophodnu i proporcionalnu mjeru u demokratskom društvu uz dužno poštovanje temeljnih prava i legitimnih interesa dotičnog pojedinca kako bi se:

(a)

izbjeglo ometanje službenih ili pravnih ispitivanja, istraga ili postupaka;

(b)

izbjeglo dovođenje u pitanje sprečavanja, otkrivanja, istrage ili progona kaznenih djela ili izvršavanja kaznenih sankcija;

(c)

zaštitila javna sigurnost;

(d)

zaštitila nacionalna sigurnost;

(e)

zaštitila prava i slobode drugih.

2.   Države članice mogu donijeti zakonodavne mjere radi određivanja kategorija obrade koje mogu u cijelosti ili djelomično biti obuhvaćene stavkom 1. točkama od (a) do (e).

3.   U slučajevima iz stavaka 1. i 2. države članice osiguravaju da voditelj obrade bez nepotrebnog odgađanja pisanim putem obavješćuje ispitanika o svakom odbijanju ili ograničavanju pristupa te o razlozima odbijanja ili ograničavanja. To se ne primjenjuje ako bi pružanje takvih informacija dovelo u pitanje neku od svrha iz stavka 1. Države članice osiguravaju da voditelj obrade obavješćuje ispitanika o mogućnosti podnošenja pritužbe nadzornom tijelu ili traženja pravnog lijeka.

4.   Države članice osiguravaju da voditelj obrade bilježi činjenične ili pravne razloge na kojima se temelji odluka. Ti se podaci stavljaju na raspolaganje nadzornim tijelima.

Članak 16.

Pravo na ispravak ili brisanje osobnih podataka i ograničenje obrade

1.   Države članice ispitaniku osiguravaju pravo da od voditelja obrade, bez nepotrebnog odgađanja, ishodi ispravak netočnih osobnih podataka koji se na njega odnose. Uzimajući u obzir svrhe obrade podataka države članice osiguravaju da ispitanik ima pravo dopuniti nepotpune osobne podatke, među ostalim i davanjem dodatne izjave.

2.   Države članice od voditelja obrade zahtijevaju da izbriše osobne podatke bez nepotrebnog odgađanja i predviđaju pravo ispitanika da od voditelja obrade ishodi brisanje osobnih podataka koji se na njega odnose bez nepotrebnog odgađanja ako se obradom krše odredbe donesene na temelju članaka 4., 8. ili 10., ili ako se osobni podaci moraju brisati radi poštovanja pravne obveze kojoj podliježe voditelj obrade.

3.   Voditelj obrade dužan je ograničiti obradu ako:

(a)

ispitanik osporava točnost osobnih podataka, a njihovu točnost ili netočnost nije moguće utvrditi; ili

(b)

osobni podaci moraju biti sačuvani kao dokaz.

Ako je obrada ograničena na temelju prvog podstavka točke (a), voditelj obrade obavješćuje ispitanika prije uklanjanja ograničenja obrade.

4.   Države članice osiguravaju da voditelj obrade pisanim putem obavješćuje ispitanika o svakom odbijanju ispravka ili brisanja osobnih podataka ili ograničavanja obrade te o razlozima odbijanja. Države članice mogu donijeti zakonodavne mjere kojima se u cijelosti ili djelomično ograničava obveza pružanja takvih informacija u onoj mjeri u kojoj takvo ograničavanje čini nužnu i proporcionalnu mjeru u demokratskom društvu uz dužno poštovanje temeljnih prava i legitimnih interesa dotičnog pojedinca, kako bi se:

(a)

izbjeglo ometanje službenih ili pravnih ispitivanja, istraga ili postupaka;

(b)

izbjeglo dovođenje u pitanje sprečavanja, otkrivanja, istrage ili progona kaznenih djela ili izvršavanja kaznenih sankcija;

(c)

zaštitila javna sigurnost;

(d)

zaštitila nacionalna sigurnost;

(e)

zaštitila prava i slobode drugih.

Države članice osiguravaju da voditelj obrade obavješćuje ispitanika o mogućnosti podnošenja pritužbe nadzornom tijelu ili traženja pravnog lijeka.

5.   Država članica osigurava da voditelj obrade o ispravku netočnih osobnih podataka obavješćuje nadležno tijelo od kojeg potječu netočni podaci.

6.   Države članice osiguravaju da, ako su osobni podaci bili ispravljeni ili brisani, ili je obrada bila ograničena na temelju stavaka 1., 2. i 3., voditelj obrade obavješćuje primatelje i da primatelji isprave ili brišu osobne podatke ili ograniče obradu osobnih podataka u okviru svoje odgovornosti.

Članak 17.

Ostvarivanje prava ispitanika i provjera nadzornog tijela

1.   U slučajevima iz članka 13. stavka 3, članka 15. stavka 3. i članka 16. stavka 4. države članice usvajaju mjere kojima se osigurava da se prava ispitanika mogu ostvariti i putem nadležnih nadzornih tijela.

2.   Države članice osiguravaju da voditelj obrade obavješćuje ispitanika o mogućnosti ostvarivanja njegovih prava ostvari putem nadzornog tijela na temelju stavka 1.

3.   Kada se ostvaruje pravo iz stavka 1., nadzorno tijelo obavješćuje ispitanika najmanje o tome da je ono provelo sve potrebne provjere ili preispitivanje. Nadzorno tijelo također obavješćuje ispitanika o njegovu pravu na pravni lijek.

Članak 18.

Prava ispitanika u kaznenim istragama i postupcima

Države članice osiguravaju da se ostvarivanje prava iz članaka 13., 14. i 16. provodi u skladu s pravom države članice ako su osobni podaci sadržani u sudskoj odluci ili evidenciji ili u spisu predmeta obrađenom tijekom kaznenih istraga i postupaka.

POGLAVLJE IV.

Voditelj obrade i izvršitelj obrade

Odjeljak 1.

Opće obveze

Članak 19.

Obveze voditelja obrade

1.   Države članice osiguravaju da voditelj obrade, uzimajući u obzir prirodu, opseg, kontekst i svrhe obrade, kao i rizike različitih razina vjerojatnosti i ozbiljnosti za prava i slobode pojedinaca, provodi odgovarajuće tehničke i organizacijske mjere kako bi osigurao i mogao dokazati da se obrada provodi u skladu s ovom Direktivom. Te se mjere prema potrebi preispituju i ažuriraju.

2.   Ako su razmjerne u odnosu na aktivnosti obrade, mjere iz stavka 1. uključuju provedbu odgovarajućih politika zaštite podataka od strane voditelja obrade.

Članak 20.

Tehnička i integrirana zaštita podataka

1.   Države članice osiguravaju da voditelj obrade, uzimajući u obzir najnovija postignuća i trošak provedbe te prirodu, opseg, kontekst i svrhe obrade, kao i rizike različitih razina vjerojatnosti i ozbiljnosti za prava i slobode pojedinaca koji proizlaze iz obrade podataka, i u vrijeme određivanja sredstava obrade i u vrijeme same obrade, provodi odgovarajuće tehničke i organizacijske mjere, poput pseudonimizacije, za omogućivanje učinkovite primjene načela zaštite podataka, kao što je smanjenje količine podataka, i uključenje zaštitnih mjera u obradu, kako bi se ispunili zahtjevi iz ove Direktive i zaštitila prava ispitanika.

2.   Države članice osiguravaju da voditelj obrade provodi odgovarajuće tehničke i organizacijske mjere kako bi se osiguralo da integriranim načinom budu obrađeni samo osobni podaci koji su nužni za svaku posebnu svrhu obrade. Ta se obveza primjenjuje na količinu prikupljenih osobnih podataka, opseg njihove obrade, razdoblje pohrane i njihovu dostupnost. Točnije, takvim se mjerama osigurava da osobni podaci nisu automatski, bez intervencije pojedinca, dostupni neograničenom broju pojedinca.

Članak 21.

Zajednički voditelji obrade

1.   Države članice osiguravaju da su dvoje ili više voditelja obrade, ako zajednički odrede svrhe i načine obrade, zajednički voditelji obrade. Oni na transparentan način određuju svoje odgovornosti za poštovanje ove Direktive, osobito u pogledu ostvarivanja prava ispitanika i svojih dužnosti pružanja informacija iz članka 13., te to čine međusobnim dogovorom osim ako su odgovornosti voditeljâ obrade utvrđene pravom Unije ili pravom države članice kojem voditelji obrade podliježu te u mjeri u kojoj su one utvrđene. Dogovorom se određuje kontaktna točka za ispitanike. Države članice mogu odrediti koji od zajedničkih voditelja obrade može djelovati kao jedinstvena kontaktna točka za ostvarivanje prava ispitanikâ.

2.   Ne dovodeći u pitanje uvjete dogovora iz stavka 1., države članice mogu osigurati da ispitanik može ostvarivati svoja prava u skladu s odredbama donesenima na temelju ove Direktive u vezi sa svakim voditeljem obrade, kao i protiv njega.

Članak 22.

Izvršitelj obrade

1.   Države članice osiguravaju da, ako se obrada provodi u ime voditelja obrade, voditelj obrade upotrebljava samo usluge izvršitelja obrade koji mogu u dovoljnoj mjeri jamčiti provedbu odgovarajućih tehničkih i organizacijskih mjera na takav način da je obrada u skladu sa zahtjevima iz ove Direktive i osigurava zaštitu prava ispitanika.

2.   Države članice osiguravaju da izvršitelj obrade ne angažira drugog izvršitelja obrade bez prethodnog posebnog ili općeg pisanog odobrenja voditelja obrade. U slučaju općeg pisanog odobrenja izvršitelj obrade dužan je obavijestiti voditelja obrade o svim planiranim izmjenama u vezi s dodavanjem ili zamjenom drugih izvršitelja obrade kako bi time voditelju obrade omogućio da podnese prigovor na takve izmjene.

3.   Države članice osiguravaju da je obrada od strane izvršitelja obrade uređena ugovorom ili drugim pravnim aktom u skladu s pravom Unije ili pravom države članice, koji je obvezujući za izvršitelja obrade u odnosu na voditelja obrade, u kojemu su navedeni predmet i trajanje obrade, priroda i svrha obrade, vrsta osobnih podataka te kategorije ispitanika te obveze i prava voditelja obrade. Tim se ugovorom ili pravnim aktom osobito uređuje da izvršitelj obrade:

(a)

djeluje samo prema uputama voditelja obrade;

(b)

osigurava da su se osobe ovlaštene za obradu osobnih podataka obvezale na poštovanje povjerljivosti ili da podliježu zakonskim odredbama o povjerljivosti;

(c)

bilo kojim odgovarajućim sredstvom pomaže voditelju obrade osigurati usklađenost s odredbama o pravima ispitanika;

(d)

prema izboru voditelja obrade, briše ili vraća voditelju obrade sve osobne podatke nakon dovršetka pružanja usluge obrade podataka te briše postojeće kopije osim ako sukladno pravu Unije ili pravu države članice postoji obveza pohrane osobnih podataka;

(e)

voditelju obrade stavlja na raspolaganje sve informacije potrebne za dokazivanje poštovanja ovog članka;

(f)

poštuje uvjete iz stavaka 2 i 3. za angažiranje drugog izvršitelja obrade.

4.   Ugovor ili drugi pravni akt iz stavka 3. mora biti u pisanom obliku je obliku, što uključuje elektronički oblik.

5.   Ako izvršitelj obrade,utvrđuje svrhe i načine obrade, kršeći ovu Direktivu, taj se izvršitelj obrade smatra voditeljem obrade u pogledu te obrade.

Članak 23.

Obrada pod vodstvom voditelja obrade ili izvršitelja obrade

Države članice osiguravaju da izvršitelj obrade i bilo koja osoba koja djeluje pod vodstvom voditelja obrade ili izvršitelja obrade, a koja ima pristup osobnim podacima, ne obrađuje te podatke ako to ne zatraži voditelj obrade, osim ako to nalaže pravo Unije ili pravo države članice.

Članak 24.

Evidencija aktivnosti obrade

1.   Države članice osiguravaju da voditelji obrade vode evidenciju svih kategorija aktivnosti obrade za koje su oni odgovorni. Ta evidencija sadržava sve sljedeće informacije:

(a)

ime i kontaktne podatke voditelja obrade i bilo kojeg zajedničkog voditelja obrade te službenika za zaštitu podataka;

(b)

svrhe obrade;

(c)

kategorije primateljâ kojima su osobni podaci otkriveni ili će im biti otkriveni, uključujući primatelje u trećim zemljama ili međunarodne organizacije;

(d)

opis kategorija ispitanika i kategorija osobnih podataka;

(e)

ako je primjenjivo, upotreba izrade profila;

(f)

ako je primjenjivo, kategorije prijenosâ osobnih podataka u treću zemlju ili međunarodnu organizaciju;

(g)

pravnu osnovu za postupak obrade, uključujući prijenose, kojem su osobni podaci namijenjeni;

(h)

ako je moguće, predviđene rokove za brisanje različitih kategorija osobnih podataka;

i.

ako je moguće, opći opis tehničkih i organizacijskih sigurnosnih mjera iz članka 29. stavka 1.

2.   Države članice osiguravaju da svaki izvršitelj obrade vodi evidenciju svih kategorija aktivnosti obrade koje se obavljaju u ime voditelja obrade, a koja sadržava:

(a)

ime i kontaktne podatke jednog ili više izvršitelja obrade i svakog voditelja obrade u čije ime izvršitelj obrade djeluje te, kada je to primjenjivo, službenika za zaštitu podataka;

(b)

kategorije obrade koje se provode za svakog voditelja obrade;

(c)

ako je primjenjivo, podatke o prijenosu osobnih podataka u treću zemlju ili međunarodnu organizaciju, ako za to postoji izričita uputa voditelja obrade, uključujući identificiranje te treće zemlje ili međunarodne organizacije,

(d)

ako je moguće, opći opis tehničkih i organizacijskih sigurnosnih mjera iz članka 29. stavka 1.

3.   Evidencija iz stavaka 1. i 2.mora biti u pisanom obliku, što uključuje elektronički oblik.

Voditelj obrade i izvršitelj obrade na zahtjev stavljaju evidenciju na raspolaganje nadzornom tijelu.

Članak 25.

Zapisivanje

1.   Države članice osiguravaju da se bilježe zapisi barem za sljedeće postupke obrade u automatiziranim sustavima obrade: prikupljanje, izmjene, obavljanje uvida, otkrivanje, uključujući prijenose, kombiniranje i brisanje. Zapisi o obavljanju uvida i otkrivanju omogućuju da se ustanovi obrazloženje, datum i vrijeme takvih postupaka te, ako je to moguće, identitet osobe koja je obavila uvid ili otkrila osobne podatke i identitet primatelja takvih osobnih podataka.

2.   Zapisi se upotrebljavaju samo u svrhe provjere zakonitosti obrade, samopraćenja i osiguravanja cjelovitosti i sigurnosti osobnih podataka te za kaznene postupke.

3.   Voditelj obrade i izvršitelj obrade na zahtjev stavljaju zapise na raspolaganje nadzornom tijelu.

Članak 26.

Suradnja s nadzornim tijelom

Države članice osiguravaju da voditelj obrade i izvršitelj obrade, na zahtjev, surađuju s nadzornim tijelom pri izvršavanju svojih zadaća.

Članak 27.

Procjena učinka na zaštitu podataka

1.   Ako je vjerojatno da će neka vrsta obrade, osobito putem novih tehnologija i uzimajući u obzir prirodu, opseg, kontekst i svrhe te obrade, prouzročiti visoki rizik za prava i slobode pojedinaca, države članice osiguravaju da voditelj obrade prije obrade provede procjenu učinka predviđenih postupaka obrade na zaštitu osobnih podataka.

2.   Procjena iz stavka 1. mora sadržavati barem općenit opis predviđenih postupaka obrade, procjenu rizika za prava i slobode ispitanika, predviđene mjere za rizike, zaštitne i sigurnosne mjere i mehanizme kako bi se osigurala zaštita osobnih podataka i dokazala usklađenost s ovom Direktivom, uzimajući u obzir prava i legitimne interese ispitanika i drugih uključenih osoba.

Članak 28.

Prethodno savjetovanje s nadzornim tijelom

1.   Države članice osiguravaju da se voditelj obrade ili izvršitelj obrade savjetuje s nadzornim tijelom prije obrade osobnih podataka koji će biti uključeni u novi sustav pohrane koji se treba uspostaviti, ako:

(a)

procjena učinka na zaštitu podataka kako je predviđeno člankom 27. upućuje na to da bi obrada mogla rezultirati visokim rizikom ako voditelj obrade ne poduzme mjere kako bi umanjio rizik; ili

(b)

vrsta obrade, posebno ako se upotrebljavaju nove tehnologije, mehanizmi ili postupci, predstavlja visok rizik za prava i slobode ispitanikâ.

2.   Države članice osiguravaju savjetovanje s nadzornim tijelom tijekom izrade prijedloga zakonodavne mjere koju donosi nacionalni parlament ili regulatorne mjere koja se temelji na takvoj zakonodavnoj mjeri, a koja se odnosi na obradu.

3.   Države članice osiguravaju da nadzorno tijelo može uspostaviti popis postupaka obrade za koje je potrebno obaviti prethodno savjetovanje u skladu sa stavkom 1.

4.   Države članice osiguravaju da voditelj obrade nadzornom tijelu dostavlja procjenu učinka na zaštitu podataka na temelju članka 27. i, na zahtjev, pruža sve ostale informacije pomoću kojih će nadzorno tijelo moći procijeniti usklađenost obrade te posebno rizike za zaštitu osobnih podataka ispitanika i povezane zaštitne mjere.

5.   Države članice osiguravaju da nadzorno tijelo, ako smatra da bi se namjeravanom obradom iz stavka 1. ovog članka kršile odredbe donesene na temelju ove Direktive, osobito ako voditelj obrade nije u dovoljnoj mjeri utvrdio ili umanjio rizik, nadzorno tijelo u roku od najviše šest tjedana od zaprimanja zahtjeva za savjetovanje pisanim putem savjetuje voditelja obrade,i prema potrebi, izvršitelja obrade te može iskoristiti bilo koju od svojih ovlasti iz članka 47. Taj se rok može prema potrebi produljiti za mjesec dana, uzimajući u obzir složenost namjeravane obrade. Nadzorno tijelo u roku od mjesec dana od zaprimanja zahtjeva obavješćuje voditelja obrade i, prema potrebi, izvršitelja obrade o svakom takvom produljenju i o razlozima odgode.

Odjeljak 2.

Sigurnost osobnih podataka

Članak 29.

Sigurnost obrade

1.   Države članice osiguravaju da voditelj obrade i izvršitelj obrade, uzimajući u obzir najnovija dostignuća i troškove provedbe te prirodu, opseg, kontekst i svrhe obrade, kao i rizik različite vjerojatnosti i ozbiljnosti za prava i slobode pojedinaca, provode odgovarajuće tehničke i organizacijske mjere kako bi osigurali odgovarajuću razinu sigurnosti s obzirom na rizik, osobito u pogledu obrade posebnih kategorija osobnih podataka iz članka 10.

2.   U pogledu automatizirane obrade svaka država članice osigurava da voditelj obrade ili izvršitelj obrade nakon procjene rizikâ provede mjere čija je svrha sljedeće:

(a)

neovlaštenim osobama zabraniti pristup opremi za obradu koja se upotrebljava za obradu („nadzor pristupa opremi”);

(b)

spriječiti neovlašteno čitanje, kopiranje, mijenjanje ili uklanjanje nosača podataka („nadzor nosača podataka”);

(c)

spriječiti neovlašteno unošenje osobnih podataka te neovlašteno pregledavanje, mijenjanje ili brisanje pohranjenih osobnih podataka („nadzor pohrane”);

(d)

spriječiti upotrebu sustava automatizirane obrade neovlaštenim osobama koje se koriste opremom za podatkovnu komunikaciju „(nadzor korisnika”);

(e)

osigurati da osobe koje su ovlaštene za upotrebu sustava automatizirane obrade imaju pristup samo osobnim podacima koji su predviđeni njihovim odobrenjem za pristup („nadzor pristupa podacima”);

(f)

osigurati mogućnost da se provjeri i utvrdi kojim tijelima su osobni podaci preneseni ili bi mogli biti preneseni ili stavljeni na raspolaganje upotrebom opreme za podatkovnu komunikaciju („nadzor komunikacije”);

(g)

osigurati mogućnost da se naknadno provjeri i utvrdi koji su osobni podaci uneseni u sustave automatizirane obrade te tko ih je i kada unio („nadzor unosa”);

(h)

spriječiti neovlašteno čitanje, kopiranje, mijenjanje ili brisanje osobnih podataka tijekom prijenosa osobnih podataka ili prijenosa nosača podataka („nadzor prijenosa”);

i.

osigurati mogućnost ponovne uspostave instaliranih sustava u slučaju prekida („ponovna uspostava”);

(j)

osigurati da sustav dobro funkcionira, da se pojava grešaka u funkcioniranju sustava prijavi („pouzdanost”) i da se pohranjeni osobni podaci ne mogu ugroziti zbog nedostataka u funkcioniranju sustava („cjelovitost”).

Članak 30.

Izvješćivanje nadzornog tijela o povredi osobnih podataka

1.   Države članice osiguravaju da u slučaju povrede osobnih podataka, voditelj obrade, bez nepotrebnog odgađanja i, ako je izvedivo, najkasnije 72 sata od saznanja za tu povredu, izvijesti nadzorno tijelo o povredi osobnih podataka, osim ako povreda osobnih podataka vjerojatno neće rezultirati rizikom za prava i slobode pojedinaca. Ako izvješćivanje nadzornog tijela nije učinjeno u roku 72 sata, mora biti popraćeno navođenjem razloga kašnjenja. Izvješćivanje nadzornog tijela mora biti popraćeno utemeljenim obrazloženjem u slučajevima kada ono nije učinjeno unutar 72 sata.

2.   Izvršitelj obrade dužan je bez nepotrebnog odgađanja obavijestiti voditelja obrade nakon što sazna za povredu osobnih podataka.

3.   Izvješćivanjem iz stavka 1. mora se najmanje:

(a)

opisati priroda povrede osobnih podataka, uključujući, ako je moguće, kategorije i približan broj ispitanika te kategorije i približan broj evidencija osobnih podataka o kojima je riječ;

(b)

navesti ime i kontaktne podatke službenika za zaštitu podataka ili druge kontaktne točke od koje se može dobiti još informacija;

(c)

opisati vjerojatne posljedice povrede osobnih podataka;

(d)

opisati mjere koje je voditelj obrade poduzeo ili predložio poduzeti za rješavanje problema povrede osobnih podataka, uključujući prema potrebi mjere umanjivanja njezinih mogućih štetnih posljedica.

4.   Ako i u onoj mjeri u kojoj nije moguće istodobno pružiti informacije, informacije se mogu pružati postupno, bez nepotrebnog daljnjeg odgađanja.

5.   Države članice osiguravaju da voditelj obrade bilježi svaku povredu osobnih podataka iz stavka 1., uključujući činjenice povezane s povredom osobnih podataka, njezine posljedice i mjere poduzete za ispravljanje situacije. Ta dokumentacija nadzornom tijelu mora omogućiti provjeru poštovanja ovog članka.

6.   Države članice osiguravaju da se u slučaju povrede osobnih podataka koja uključuje osobne podatke koje je prenio voditelj obrade druge države članice ili koji su preneseni njemu, informacije iz stavka 3. prenose voditelju obrade te države članice bez nepotrebnog odgađanja.

Članak 31.

Obavješćivanje ispitanika o povredi osobnih podataka

1.   Države članice osiguravaju da, ako je vjerojatno da će povreda osobnih podataka prouzročiti visok rizik za prava i slobode pojedinaca, voditelj obrade bez nepotrebnog odgađanja obavijesti ispitanika o povredi osobnih podataka.

2.   U obavijesti ispitaniku iz stavka 1. ovog članka mora se jasnim i jednostavnim jezikom opisati priroda povrede osobnih podataka i navesti barem informacije i mjere iz članka 30. stavka 3. točaka (b), (c) i (d).

3.   Obavješćivanje ispitanika iz stavka 1. nije obvezno ako je ispunjen bilo koji od sljedećih uvjeta:

(a)

voditelj obrade proveo je odgovarajuće tehnološke i organizacijske mjere zaštite i te su mjere primijenjene na osobne podatke pogođene povredom osobnih podataka, posebno one koje osobne podatke čine nerazumljivima bilo kojoj osobi koja im nije ovlaštena pristupiti, kao što je enkripcija;

(b)

voditelj obrade poduzeo je naknadne mjere kojima se osigurava da pojava visokog rizika za prava i slobode ispitanika iz stavka 1. više nije vjerojatna;

(c)

on bi uključivao nerazmjeran napor. U takvom slučaju, umjesto toga mora postojati javno obavješćivanje ili slična mjera kojom se ispitanici izvješćuju na jednako djelotvoran način.

4.   Ako voditelj obrade nije već obavijestio ispitanika o povredi osobnih podataka, nadzorno tijelo, nakon razmatranja vjerojatnosti da će povreda osobnih podataka prouzročiti visok rizik, može od njega zahtijevati da to učini ili može zaključiti da je ispunjen neki od uvjeta iz stavka 3.

5.   Obavješćivanje ispitanika iz stavka 1. ovog članka može se odgoditi, ograničiti ili uskratiti podložno uvjetima i na temelju razloga iz članka 13. stavka 3.

Odjeljak 3.

Službenik za zaštitu podataka

Članak 32.

Imenovanje službenika za zaštitu podataka

1.   Države članice osiguravaju da voditelj obrade imenuje službenika za zaštitu podataka. Države članice mogu od te obveze izuzeti sudove i druga neovisna pravosudna tijela kada djeluju u okviru svoje sudske nadležnosti.

2.   Službenik za zaštitu podataka imenuje se na temelju njegovih stručnih kvaliteta, a posebno njegovog stručnog znanja o pravu i praksi u području zaštite podataka te sposobnosti izvršavanja zadaća iz članka 34.

3.   Može se imenovati jedan službenik za zaštitu podataka za nekoliko nadležnih tijela, uzimajući u obzir njihovu organizacijsku strukturu i veličinu.

4.   Države članice osiguravaju da voditelj obrade objavljuje kontaktne podatke službenika za zaštitu podataka i priopćuje ih nadzornom tijelu.

Članak 33.

Radno mjesto službenika za zaštitu podataka

1.   Države članice osiguravaju da voditelj obrade osigura da je službenik za zaštitu podataka primjereno i pravodobno uključen u sva pitanja povezana sa zaštitom osobnih podataka.

2.   Voditelj obrade podupire službenika za zaštitu podataka u izvršavanju zadaća iz članka 34. pružajući mu potrebna sredstva za izvršavanje tih zadaća i pristup osobnim podacima i postupcima obrade te za održavanje njegova stručnog znanja.

Članak 34.

Zadaće službenika za zaštitu podataka

Države članice osiguravaju da voditelj obrade službeniku za zaštitu podataka povjerava najmanje sljedeće zadaće:

(a)

informiranje i savjetovanje voditelja obrade te zaposlenika koji obavljaju obradu o njihovim obvezama na temelju ove Direktive te drugih odredaba prava Unije ili prava države članice o zaštiti podataka;

(b)

praćenje poštovanja ove Direktive, drugih odredaba prava Unije ili prava države članice o zaštiti podataka i politika voditelja obrade ili izvršitelja obrade u odnosu na zaštitu osobnih podataka, uključujući i raspodjelu odgovornosti, podizanje svijesti i osposobljavanje osoblja koje sudjeluje u postupcima obrade i povezanim revizijama;

(c)

pružanje savjeta, kada je to zatraženo, po pitanju procjene učinka na zaštitu podataka i praćenje njezina izvršavanja na temelju članka 27.;

(d)

suradnja s nadzornim tijelom;

(e)

djelovanje kao kontaktna točka za nadzorno tijelo o pitanjima povezanima s obradom, što uključuje i prethodno savjetovanje iz članka 28. te savjetovanje, prema potrebi, u pogledu svih drugih pitanja.

POGLAVLJE V.

Prijenosi osobnih podataka trećim zemljama ili međunarodnim organizacijama

Članak 35.

Opća načela za prijenose osobnih podataka

1.   Države članice osiguravaju da nadležna tijela svaki prijenos osobnih podataka koji se obrađuju ili su namijenjeni za obradu nakon prijenosa trećoj zemlji ili međunarodnoj organizaciji, uključujući daljnje prijenose još jednoj trećoj zemlji ili međunarodnoj organizaciji, obavljaju pridržavajući se nacionalnih odredaba donesenih na temelju odredaba ove Direktive, samo ako su ispunjeni uvjeti iz ovog poglavlja, i to:

(a)

prijenos je nužan u svrhe utvrđene u članku 1. stavku 1.;

(b)

osobni podaci prenose se voditelju obrade u trećoj zemlji ili međunarodnoj organizaciji koji predstavlja javno tijelo nadležno za potrebe iz članka 1. stavka 1.;

(c)

ako su osobni podaci preneseni ili stavljeni na raspolaganje iz druge države članice, ta je država članica dala prethodno odobrenje za prijenos u skladu sa svojim nacionalnim pravom;

(d)

Komisija je donijela odluku o primjerenosti na temelju članka 36. ili, u nedostatku takve odluke,odgovarajuće zaštitne mjere predviđene su ili postoje na temelju članka 37. ili se, u nedostatku odluke o primjerenosti na temelju članka 36. i odgovarajućih zaštitnih mjera u skladu s člankom 37. primjenjuju odstupanja za posebne situacije na temelju članka 38.; i

(e)

u slučaju daljnjeg prijenosa u još jednu treću zemlju ili međunarodnu organizaciju, nadležno tijelo koje je izvršilo prvotni prijenos ili drugo nadležno tijelo iste države članice, nakon što je uzelo u obzir sve relevantne čimbenike, uključujući ozbiljnost kaznenog djela, svrhu s kojom su osobni podaci prvotno preneseni i razinu zaštite osobnih podataka u trećoj zemlji ili međunarodnoj organizaciji kojoj su dalje preneseni osobni podaci, odobrava daljnji prijenos.

2.   Države članice osiguravaju da su prijenosi bez prethodnog odobrenja druge države članice u skladu s točkom (c) stavka 1. dopušteni samo ako je prijenos osobnih podataka potreban za sprečavanje neposredne i ozbiljne prijetnje javnoj sigurnosti države članice ili treće zemlje ili bitnim interesima države članice, a prethodno se odobrenje ne može pravodobno dobiti. Tijelo odgovorno za izdavanje prethodnog odobrenja obavješćuje se bez odlaganja.

3.   Sve odredbe iz ovog poglavlja primjenjuju se kako bi se osiguralo da se ne ugrozi razina zaštite pojedinaca osigurana ovom Direktivom.

Članak 36.

Prijenosi na temelju odluke o primjerenosti

1.   Države članice osiguravaju da je prijenos osobnih podataka trećoj zemlji ili međunarodnoj organizaciji moguć kada Komisija odluči da treća zemlja, područje ili jedan ili više određenih sektora unutar te treće zemlje, ili međunarodna organizacija o kojoj je riječ osigurava primjerenu razinu zaštite. Takav prijenos ne zahtijeva posebno odobrenje.

2.   Prilikom procjene primjerenosti stupnja zaštite Komisija osobito uzima u obzir sljedeće elemente:

(a)

vladavinu prava, poštovanje ljudskih prava i temeljnih sloboda, mjerodavno zakonodavstvo, i opće i sektorsko, što uključuje zakonodavstvo o javnoj sigurnosti, obrani, nacionalnoj sigurnosti, kaznenom pravu i pristupu tijela javne vlasti osobnim podacima, kao i provedbu takvog zakonodavstva, pravila o zaštiti podataka, pravila struke i mjere sigurnosti, što uključuje pravila za daljnji prijenos osobnih podataka još jednoj trećoj zemlji ili međunarodnoj organizaciji, koja se poštuju u toj zemlji ili međunarodnoj organizaciji, sudsku praksu te postojanje djelotvornih i provedivih prava ispitanika te djelotvorne upravne i sudske zaštite ispitanika čiji se osobni podaci prenose;

(b)

postojanje i djelotvorno funkcioniranje jednog neovisnog nadzornog tijela ili više njih u trećoj zemlji, ili tijela kojem podliježe međunarodna organizacija, odgovornih za osiguravanje i provođenje poštovanja pravila o zaštiti podataka, uključujući primjerene ovlasti izvršavanja zakonodavstva, za pružanje pomoći ispitanicima i njihovo savjetovanje u ostvarivanju njihovih prava te za suradnju s nadzornim tijelima država članica; i

(c)

međunarodne obveze koje je dotična treća zemlja ili međunarodna organizacija preuzela ili druge obveze koje proizlaze iz pravno obvezujućih konvencija ili instrumenata, kao i iz njezina sudjelovanja u multilateralnim ili regionalnim sustavima, osobito u vezi sa zaštitom osobnih podataka.

3.   Komisija nakon procjene primjerenosti stupnja zaštite može, putem provedbenog akta, odlučiti da treća zemlja, područje, ili jedan ili više određenih sektora unutar treće zemlje, ili međunarodna organizacija osigurava primjeren stupanj zaštite u smislu stavka 2. ovog članka. U provedbenom aktu predviđa se mehanizam za periodično preispitivanje, najmanje svake četiri godine, kojim će se uzeti u obzir svi relevantni događaji u toj trećoj zemlji ili međunarodnoj organizaciji. U provedbenom aktu određuje se teritorijalna i sektorska primjena, a ako je primjenjivo, utvrđuje se i nadzorno tijelo ili nadzorna tijela iz stavka 2. točke (b) ovog članka. Provedbeni akt donosi se u skladu s postupkom ispitivanja iz članka 58. stavka 2.

4.   Komisija kontinuirano prati razvoj događaja u trećim zemljama i međunarodnim organizacijama koji bi mogli utjecati na djelovanje odluka donesenih u skladu sa stavkom 3.

5.   Ako dostupne informacije otkrivaju, a osobito nakon preispitivanja iz stavka 3. ovog članka, da treća zemlja, područje ili jedan ili više određenih sektora unutar treće zemlje ili međunarodna organizacija više ne osigurava primjerenu razinu zaštite u smislu stavka 2. ovog članka u mjeri u kojoj je to potrebno,Komisija stavlja izvan snage,mijenja ili suspendira odluku iz stavka 3. ovog članka putem provedbenog akta bez retroaktivnog učinka. Taj provedbeni akt donosi se u skladu s postupkom ispitivanja iz članka 58. stavka 2.

Zbog opravdanih krajnje hitnih razloga, Komisija u skladu s postupkom iz članka 58. stavka 3. donosi provedbene akte koji se odmah primjenjuju

6.   Komisija započinje savjetovanje s trećom zemljom ili međunarodnom organizacijom radi popravljanja stanja koje je dovelo do odluke donesene u skladu sa stavkom 5.

7.   Države članice osiguravaju da se odlukom na temelju stavka 5. ne dovode u pitanje prijenosi osobnih podataka u treću zemlju, na područje ili u određeni sektor unutar te treće zemlje ili međunarodnu organizaciju o kojoj je riječ na temelju članaka 37. i 38.

8.   U Službenom listu Europske unije i na svojoj internetskoj stranici Komisija objavljuje popis trećih zemalja, područja i posebnih sektora unutar treće zemlje i međunarodnih organizacija u pogledu kojih je donijela odluku da ne osiguravaju primjerenu razinu zaštite ili da je više ne osiguravaju.

Članak 37.

Prijenosi koji podliježu odgovarajućim zaštitnim mjerama

1.   U nedostatku odluke na temelju članka 36. stavka 3., države članice osiguravaju da se prijenos osobnih podataka trećoj zemlji ili međunarodnoj organizaciji može ostvariti:

(a)

ako su odgovarajuće zaštitne mjere u pogledu zaštite osobnih podataka predviđene u pravno obvezujućem instrumentu; ili

(b)

ako je voditelj obrade procijenio sve okolnosti u vezi s prijenosom osobnih podataka i zaključio da postoje odgovarajuće zaštitne mjere u pogledu zaštite osobnih podataka.

2.   Voditelj obrade obavješćuje nadzorno tijelo o kategorijama prijenosâ u skladu sa stavkom 1. točkom (b).

3.   Kada se prijenos temelji na stavku 1. točki (b), takav se prijenos dokumentira, a dokumentacija se na zahtjev stavlja na raspolaganje nadzornom tijelu, uključujući datum i vrijeme prijenosa, informacije o nadležnom tijelu koje dobiva podatke, obrazloženje prijenosa i prenesene osobne podatke.

Članak 38.

Odstupanja za posebne situacije

1.   U nedostatku odluke o primjerenosti na temelju članka 36. ili odgovarajućih zaštitnih mjera na temelju članka 37., države članice osiguravaju da se prijenos ili kategorija prijenosa osobnih podataka u treću zemlju ili međunarodnu organizaciju može ostvariti samo pod uvjetom da je prijenos nužan:

(a)

kako bi se zaštitili vitalni interesi ispitanika ili druge osobe;

(b)

kako bi se zaštitili legitimni interesi ispitanika, ako je tako predviđeno pravom države članice koja obavlja prijenos osobnih podataka;

(c)

kako bi se spriječila neposredna i ozbiljna prijetnja javnoj sigurnosti države članice ili treće zemlje;

(d)

u pojedinačnim slučajevima u svrhe navedene u članku 1. stavku 1.; ili

(e)

u pojedinačnom slučaju radi postavljanja, ostvarivanja ili obrane pravnih zahtjeva u vezi sa svrhama navedenima u članku 1. stavku 1.

2.   Osobni podaci ne smiju se prenositi ako nadležno tijelo koje obavlja prijenos utvrdi da temeljna prava i slobode dotičnog ispitanika imaju prednost pred javnim interesom u pogledu prijenosa iz stavka 1. točaka (d) i (e).

3.   Ako se prijenos temelji na stavku 1., takav prijenos mora se dokumentirati, a dokumentacija se na zahtjev mora staviti na raspolaganju nadzornom tijelu, uključujući datum i vrijeme prijenosa, informacije o nadležnom tijelu koje je podatke dobilo, obrazloženje prijenosa i prenesene osobne podatke.

Članak 39.

Prijenosi osobnih podataka primateljima s poslovnim nastanom u trećim zemljama

1.   Odstupajući od članka 35. stavka 1. točke (b) i ne dovodeći u pitanje nijedan međunarodni sporazum iz stavka 2. ovog članka, pravom Unije ili pravom države članice može se osigurati da nadležna tijela iz članka 3. točke 7. podtočke (a) mogu, u pojedinačnim i posebnim slučajevima, prenijeti osobne podatke izravno primateljima s poslovnim nastanom u trećim zemljama samo ako se poštuju druge odredbe ove Direktive i ako su ispunjeni svi sljedeći uvjeti:

(a)

prijenos je nužan za obavljanje zadaće nadležnog tijela koje obavlja prijenos kako je predviđeno pravom Unije ili pravom države članice u svrhe navedene u članku 1. stavku 1.;

(b)

nadležno tijelo koje obavlja prijenos utvrdi da temeljna prava i slobode dotičnog ispitanika nemaju prednost nad javnim interesom koji iziskuje prijenos u dotičnom slučaju;

(c)

nadležno tijelo koje obavlja prijenos smatra da je prijenos tijelu nadležnom u svrhe iz članka 1. stavka 1. u trećoj zemlji neučinkovit ili neprimjeren, posebno zato što se prijenos ne može pravodobno ostvariti;

(d)

tijelo koje je u trećoj zemlji nadležno u svrhe iz članka 1. stavka 1.obaviješteno je bez nepotrebnog odgađanja, osim ako je to neučinkovito ili neprimjereno;

(e)

nadležno tijelo koje obavlja prijenos obavijesti primatelja o određenoj svrsi ili svrhama u koje potonji može obrađivati osobne podatke samo ako je takva obrada nužna.

2.   Međunarodni sporazum iz stavka 1. svaki je bilateralni ili multilateralni međunarodni sporazum na snazi između država članica i trećih zemalja u području pravosudne suradnje u kaznenim stvarima i policijske suradnje.

3.   Nadležno tijelo koje obavlja prijenos obavješćuje nadzorno tijelo o prijenosima u skladu s ovim člankom.

4.   Ako se prijenos temelji na stavku 1., takav se prijenos mora dokumentirati.

Članak 40.

Međunarodna suradnja s ciljem zaštite osobnih podataka

Komisija i države članice u odnosu na treće zemlje i međunarodne organizacije poduzimaju odgovarajuće mjere kako bi:

(a)

razvile mehanizme međunarodne suradnje za olakšavanje djelotvornijeg izvršavanja zakonodavstva o zaštiti osobnih podataka;

(b)

osigurale međunarodnu uzajamnu pomoć u izvršavanju zakonodavstva o zaštiti osobnih podataka, uključujući obavješćivanjem, upućivanjem pritužbi, pomoći u istragama i razmjenom informacija, pridržavajući se zaštitnih mjera za zaštitu osobnih podataka i drugih temeljnih prava i sloboda;

c)

uključile relevantne dionike u raspravu i aktivnosti čiji je cilj produbiti međunarodnu suradnju u izvršavanju zakonodavstva o zaštiti osobnih podataka;

d)

promicale razmjenu i dokumentiranje zakonodavstva i prakse u vezi sa zaštitom osobnih podataka, među ostalim u vezi sa sukobima nadležnosti s trećim zemljama.

POGLAVLJE VI.

Neovisna nadzorna tijela

Odjeljak 1.

Neovisni status

Članak 41.

Nadzorno tijelo

1.   Svaka država članica osigurava da je jedno ili više neovisnih tijela javne vlasti odgovorno za praćenje primjene ove Direktive kako bi se zaštitila temeljna prava i slobode pojedinaca u vezi s obradom i olakšao slobodan protok osobnih podataka unutar Unije („nadzorno tijelo”).

2.   Svako nadzorno tijelo doprinosi dosljednoj primjeni ove Direktive u cijeloj Uniji. U tu svrhu nadzorna tijela surađuju međusobno i s Komisijom u skladu s poglavljem VII.

3.   Države članice mogu predvidjeti da nadzorno tijelo osnovano na temelju Uredbe (EU) 2016/679 bude nadzorno tijelo iz ove Direktive i da preuzme odgovornost za zadaće nadzornog tijela koje treba osnovati na temelju stavka 1. ovog članka.

4.   Ako je u jednoj državi članici osnovano više od jednog nadzornog tijela, ta država članica određuje nadzorno tijelo koje predstavlja ta tijela u Odboru iz članka 51.

Članak 42.

Neovisnost

1.   Svaka država članica osigurava da svako nadzorno tijelo djeluje potpuno neovisno pri obavljanju svojih dužnosti i izvršavanju svojih ovlasti u skladu s ovom Direktivom.

2.   Države članice osiguravaju da član ili članovi njihovih nadzornih tijela pri obavljanju svojih dužnosti i izvršavanju svojih ovlasti u skladu s ovom Direktivom nisu podložni vanjskom utjecaju, bilo izravnom ili neizravnom, te da ne traže ni ne primaju upute ni od koga.

3.   Članovi nadzornih tijela država članica moraju se suzdržavati od svih radnji koje nisu u skladu s njihovim dužnostima te se tijekom svojeg mandata ne smiju baviti nikakvom neusklađenom djelatnošću, bez obzira na to je li ona plaćena ili ne.

4.   Svaka država članica osigurava da svako nadzorno tijelo ima ljudske, tehničke i financijske resurse, prostorije i infrastrukturu potrebne za djelotvorno obavljanje svojih zadaća i izvršavanje svojih ovlasti, uključujući one koje treba izvršavati u kontekstu uzajamne pomoći, suradnje i sudjelovanja u Odboru.

5.   Svaka država članica osigurava da svako nadzorno tijelo odabire i ima vlastito osoblje kojim isključivo rukovodi član ili članovi predmetnog nadzornog tijela.

6.   Svaka država članica osigurava da svako nadzorno tijelo podliježe financijskoj kontroli koja ne utječe na njegovu neovisnost te da ima zasebne, javne, godišnje proračune koji mogu biti dio cjelokupnog državnog ili nacionalnog proračuna.

Članak 43.

Opći uvjeti za članove nadzornog tijela

1.   Države članice osiguravaju da svakog člana njihovih nadzornih tijela u okviru transparentnog postupka imenuje:

njihov parlament;

njihova vlada;

njihov šef države; ili

neovisno tijelo kojem je pravom države članice povjereno to imenovanje.

2.   Svaki član mora imati kvalifikacije, iskustvo i vještine, posebno u području zaštite osobnih podataka, potrebne za obavljanje svojih dužnosti i izvršavanje svojih ovlasti.

3.   Dužnosti člana završavaju u slučaju isteka mandata, ostavke ili razrješenja dužnosti u skladu s pravom dotične države članice.

4.   Član smije biti otpušten samo u slučajevima teške povrede dužnosti ili ako član više ne ispunjava uvjete potrebne za izvršavanje dužnosti.

Članak 44.

Pravila za osnivanje nadzornog tijela

1.   Svaka država članica zakonom predviđa sve od navedenog:

(a)

osnivanje svakog nadzornog tijela;

(b)

kvalifikacije i uvjete prihvatljivosti potrebne za imenovanje članom svakog nadzornog tijela;

(c)

pravila i postupke za imenovanje člana ili članova svakog nadzornog tijela;

(d)

trajanje mandata člana ili članova svakog nadzornog tijela ne kraćeg od četiri godine, osim za prvo imenovanje nakon 6. svibnja 2016., a čiji dio može trajati kraće ako je to potrebno kako bi se zaštitila neovisnost nadzornog tijela putem postupka postupnog imenovanja;

(e)

jesu li član ili članovi svakog nadzornog tijela prihvatljivi da budu ponovo izabrani i, ako jesu, na koliko mandata;

(f)

uvjete kojima se uređuju obveze člana ili članova osoblja svakog nadzornog tijela, zabrane djelovanja, poslova i pogodnosti koji nisu u skladu s tim tijekom i nakon mandata te pravila kojima se uređuje prestanak radnog odnosa.

2.   Član ili članovi i osoblje svakog nadzornog tijela podliježu, u skladu s pravom Unije ili pravom države članice, obvezi čuvanja profesionalne tajne i za vrijeme i nakon njegova završetka, s obzirom na sve povjerljive informacije koje doznaju tijekom obavljanja svojih dužnosti ili izvršavanja svojih ovlasti. Tijekom svojeg mandata ta se dužnost čuvanja profesionalne tajne posebno primjenjuje na izvješćivanje pojedinaca o kršenjima ove Direktive.

Odjeljak 2.

Nadležnost, zadaće i ovlasti

Članak 45.

Nadležnost

1.   Svaka država članica osigurava da je svako nadzorno tijelo nadležno za obavljanje zadaća koje su mu povjerene i izvršavanje ovlasti koje su mu dodijeljene u skladu s ovom Direktivom na državnom području vlastite države članice.

2.   Svaka država članica osigurava da je svako nadzorno tijelo nadležno za nadzor postupaka obrade koju provode sudovi kada djeluju u okviru svoje sudbene nadležnosti. Države članice mogu osigurati da njihovo nadzorno tijelo ne bude nadležno za nadzor postupaka obrade koje provode druga neovisna pravosudna tijela kada djeluju u okviru svoje sudbene nadležnosti.

Članak 46.

Zadaće

1.   Svaka država članica osigurava da svako nadzorno tijelo na njezinom području:

(a)

prati i provodi primjenu odredaba donesenih na temelju ove Direktive i njezinih provedbenih mjera;

(b)

promiče javnu svijest o rizicima, pravilima, zaštitnim mjerama i pravima u vezi s obradom te njihovo razumijevanje;

(c)

savjetuje, u skladu s pravom države članice, nacionalni parlament, vladu i druge institucije i tijela o zakonodavnim i administrativnim mjerama u vezi sa zaštitom prava i sloboda pojedinaca u pogledu obrade;

(d)

promiče osviještenost voditeljâ obrade i izvršitelja obrade o njihovim obvezama na temelju ove Direktive;

(e)

na zahtjev pruža informacije bilo kojem ispitaniku u vezi s ostvarivanjem njihovih prava na temelju ove Direktive, a prema potrebi, u tu svrhu surađuje s nadzornim tijelima u drugim državama članicama;

(f)

rješava pritužbe koje podnesu ispitanik ili tijelo, organizacija ili udruženje u skladu s člankom 55. i istražuje u odgovarajućoj mjeri predmet pritužbe te izvješćuje u razumnom roku podnositelja pritužbe o napretku i ishodu istrage, posebno ako je potrebna daljnja istraga ili koordinacija s drugim nadzornim tijelom;

(g)

provjerava zakonitost obrade u skladu s člankom 17. i u razumnom roku obavješćuje ispitanika o ishodu provjere na temelju stavka 3. tog članka ili razlozima zbog kojih provjera nije obavljena;

(h)

surađuje s drugim nadzornim tijelima, među ostalim dijeljenjem informacija, te pruža uzajamnu pomoć drugim nadzornim tijelima s ciljem osiguravanja dosljednosti primjene i provedbe ove Direktive;

(i)

provodi istrage o primjeni ove Direktive, među ostalim na temelju informacija primljenih od drugog nadzornog ili drugog tijela javne vlasti;

(j)

prati relevantni razvoj događaja ako oni imaju utjecaj na zaštitu osobnih podataka, posebno razvoj informacijskih i komunikacijskih tehnologija;

(k)

pruža savjete o postupcima obrade iz članka 28.; i

(l)

doprinosi aktivnostima Odbora.

2.   Svako nadzorno tijelo olakšava podnošenje pritužbi iz stavka 1. točke (f) mjerama poput osiguravanja obrasca za podnošenje pritužbe koji se može ispuniti i elektroničkim putem, ne isključujući ostala sredstva komunikacije.

3.   Izvršavanje zadaća svakog nadzornog tijela besplatno je za ispitanika i službenika za zaštitu podataka.

4.   Ako je zahtjev ispitanika očito neutemeljen ili pretjeran, osobito zbog učestalog ponavljanja, nadzorno tijelo može naplatiti razumnu naknadu na temelju administrativnih troškova ili odbiti postupiti po zahtjevu. U tom je slučaju teret dokaza da je zahtjev očito neutemeljen ili pretjeran na nadzornom tijelu.

Članak 47.

Ovlasti

1.   Svaka država članica zakonom osigurava da svako nadzorno tijelo ima učinkovite istražne ovlasti. Te ovlasti uključuju barem ovlast da od voditelja obrade i izvršitelja obrade ishodi pristup svim osobnim podacima koji se obrađuju te svim informacijama potrebnim za obavljanje svojih zadaća.

2.   Svaka država članica zakonom osigurava da svako nadzorno tijelo ima učinkovite korektivne ovlasti kao što su na primjer:

(a)

izdavati upozorenja voditelju obrade ili izvršitelju obrade da bi namjeravani postupci obrade mogli prouzročiti kršenje odredaba donesenih na temelju ove Direktive;

(b)

narediti voditelju obrade ili izvršitelju obrade da, prema potrebi, postupke obrade uskladi s odredbama donesenima na temelju ove Direktive, na određeni način i u određenom roku, posebno na način da zatraži ispravak ili brisanje osobnih podataka ili ograničavanje obrade na temelju članka 16.;

(c)

privremeno ili konačno ograničiti, među ostalim zabraniti, obradu.

3.   Svaka država članica zakonom osigurava da svako nadzorno tijelo ima stvarne savjetodavne ovlasti savjetovati voditelja obrade u skladu s prethodnim postupkom savjetovanja iz članka 28. i dati, na vlastitu inicijativu ili na zahtjev, nacionalnom parlamentu, vladi države članice ili, u skladu sa svojim nacionalnim pravom, drugim institucijama i tijelima, kao i javnosti, mišljenje o svakom pitanju u vezi sa zaštitom osobnih podataka.

4.   Izvršavanje ovlasti dodijeljenih nadzornom tijelu u skladu s ovim člankom podliježe odgovarajućim zaštitnim mjerama, među ostalim učinkovitom pravnom lijeku i odgovarajućem postupku, kako je utvrđeno pravom Unije i pravom države članice u skladu s Poveljom.

5.   Svaka država članica zakonom osigurava da je njezino nadzorno tijelo ovlašteno obavijestiti pravosudna tijela o kršenjima odredaba donesenih na temelju ove Direktive i prema potrebi započeti ili na drugi način sudjelovati u pravnim postupcima s ciljem provođenja odredaba donesenih na temelju ove Direktive.

Članak 48.

Izvješćivanje o kršenjima

Države članice osiguravaju da nadležna tijela uspostave učinkovite mehanizme za poticanje povjerljivog izvješćivanja o kršenjima ove Direktive.

Članak 49.

Izvješća o aktivnostima

Svako nadzorno tijelo sastavlja godišnje izvješće o svojim aktivnostima kojima može biti obuhvaćen popis vrsta kršenja o kojima je izviješteno i vrsta izrečenih sankcija. Ta se izvješća prosljeđuju nacionalnom parlamentu, vladi i drugim tijelima kako je utvrđeno pravom države članice. Ona moraju biti dostupna javnosti, Komisiji i Odboru.

POGLAVLJE VII.

Suradnja

Članak 50.

Uzajamna pomoć

1.   Države članice osiguravaju da si njihova nadzorna tijela međusobno pružaju bitne informacije i uzajamnu pomoć kako bi konzistentno provela i primijenila ovu Direktivu te uspostavljaju mjere za djelotvornu uzajamnu suradnju. Uzajamna pomoć obuhvaća osobito zahtjeve za informacijama i mjerama nadzora, kao što su zahtjevi za provedbu savjetovanja, inspekcija i istraga.

2.   Države članice osiguravaju da svako nadzorno tijelo poduzima sve prikladne mjere potrebne da odgovori na zahtjev drugog nadzornog tijela bez nepotrebnog odgađanja i najkasnije u roku od jednog mjeseca nakon što je zaprimilo zahtjev. Takve mjere mogu posebno obuhvaćati prijenos bitnih informacija o vođenju istrage.

3.   Zahtjevi za pomoć moraju sadržavati sve potrebne informacije, uključujući svrhu i razloge za zahtjev. Razmijenjene informacije smiju se upotrebljavati samo u zatraženu svrhu.

4.   Nadzorno tijelo kojem je upućen zahtjev za ne smije odbiti udovoljiti zahtjevu osim u slučaju da:

(a)

nije nadležno za predmet zahtjeva ili za mjere koje se od njega traže da ih provede; ili

(b)

poštovanje zahtjeva kršilo bi ovu Direktivu ili pravo Unije ili pravo države članice kojem podliježe nadzorno tijelo koje zaprimi zahtjev.

5.   Nadzorno tijelo koje zaprimi zahtjev izvješćuje nadzorno tijelo koje je podnijelo zahtjev o rezultatima ili, ovisno o slučaju, o napretku ili mjerama poduzetim da se ispuni zahtjev. Nadzorno tijelo kojem je upućen zahtjev obrazlaže razloge za svako odbijanje zahtjeva na temelju stavka 4.

6.   Nadzorna tijela kojima je upućen zahtjevu pravilu pružaju informacije koje druga nadzorna tijela zatraže elektroničkim putem, koristeći se standardiziranim formatom.

7.   Za bilo koju radnju poduzetu na temelju zahtjeva za uzajamnu pomoć ne naplaćuje se naknada. Nadzorna tijela mogu dogovoriti pravila za uzajamne naknade posebnih izdatka koji proizlaze iz pružanja uzajamne pomoći u izvanrednim okolnostima.

8.   Komisija može putem provedbenih akata odrediti format i postupke za uzajamnu pomoć iz ovog članka i aranžmane za razmjenu informacija elektroničkim putem između nadzornih tijela te između nadzornih tijela i Odbora. Ti provedbeni akti donose se u skladu s postupkom ispitivanja iz članka 58. stavka 2.

Članak 51.

Zadaće Odbora

1.   Odbor osnovan Uredbom (EU) 2016/679 obavlja sljedeće zadaće u vezi s obradom u okviru područja primjene ove Direktive:

(a)

savjetuje Komisiju o svim pitanjima u vezi sa zaštitom osobnih podataka u Uniji kao i o svakoj predloženoj izmjeni ove Direktive;

(b)

ispituje na vlastitu inicijativu, na zahtjev jednog od svojih članova ili na zahtjev Komisije sva pitanja koja obuhvaćaju primjenu ove Direktive i izdaje smjernice, preporuke i primjere najbolje prakse kako bi poticao dosljednu primjenu ove Direktive;

(c)

izrađuje smjernice za nadzorna tijela u pogledu primjene mjera iz članka 47. stavaka 1. i 3.;

(d)

izdaje smjernice, preporuke i primjere najbolje prakse u skladu s točkom (b) ovog podstavka za utvrđivanje povrede osobnih podataka te određivanje nepotrebnog odgađanja iz članka 30. stavaka 1. i 2. te za posebne okolnosti u kojima se od voditelja obrade ili izvršitelja obrade zahtijeva obavješćivanje o povredi osobnih podataka;

(e)

izdaje smjernice, preporuke i primjere najbolje prakse u skladu s točkom (b) ovog podstavka u pogledu okolnosti u kojima će povreda osobnih podataka vjerojatno dovesti do visokog rizika u pogledu pravâ i sloboda pojedinaca kako je navedeno u članku 31. stavku 1.;

(f)

preispituje praktičnu primjenu smjernica, preporuka i primjera najbolje prakse iz točaka (b) i (c);

(g)

daje mišljenje Komisiji o procjeni primjerenosti razine zaštite koja postoji u trećoj zemlji, području ili jednom ili više određenih sektora u trećoj zemlji, ili međunarodnoj organizaciji, uključujući procjenu o tome jesu li takva treća zemlja, područje, određeni sektor ili međunarodna organizacija prestali osiguravati primjerenu razinu zaštite;

(h)

promiče suradnju i djelotvornu bilateralnu i multilateralnu razmjenu informacija i primjera najbolje prakse među nadzornim tijelima;

(i)

promiče zajedničke programe osposobljavanja i potpomaže razmjenu osoblja među nadzornim tijelima, te prema potrebi, s nadzornim tijelima trećih zemalja ili međunarodnih organizacija;

(j)

promiče razmjenu znanja i dokumentacije o zakonima i praksi u vezi sa zaštitom podataka s nadzornim tijelima za zaštitu podataka širom svijeta.

U pogledu prvog stavka točke (g), Komisija dostavlja Odboru svu potrebnu dokumentaciju, uključujući korespondenciju s vladom treće zemlje, s područjem ili određenim sektorom u toj trećoj zemlji, ili s međunarodnom organizacijom.

2.   Ako Komisija zatraži savjet Odbora, ona može navesti rok, uzimajući u obzir hitnost predmeta.

3.   Odbor svoja mišljenja, smjernice, preporuke i primjere najbolje prakse šalje Komisiji i odboru iz članka 58. stavka 1. te ih objavljuje.

4.   Komisija obavješćuje Odbor o mjerama koje je poduzela nakon što je Odbor izdao mišljenja, smjernice, preporuke i primjere najbolje prakse.

POGLAVLJE VIII.

Pravni lijekovi, odgovornost i sankcije

Članak 52.

Pravo na podnošenje pritužbe nadzornom tijelu

1.   Ne dovodeći u pitanje druge upravne ili pravne lijekove države članice osiguravaju da svaki ispitanik ima pravo podnijeti pritužbu jednom nadzornom tijelu, ako ispitanik smatra da obrada osobnih podataka koji se odnose na njega krši odredbe donesene na temelju ove Direktive.

2.   Države članice osiguravaju da pritužbu koja nije podnesena nadzornom tijelu koje je nadležno na temelju članka 45. stavka 1., nadzorno tijelo kojem je pritužba podnesena prenosi nadležnomu nadzornom tijelu, bez nepotrebnog odgađanja. Ispitanik mora biti obaviješten o tome prijenosu.

3.   Države članice osiguravaju da nadzorno tijelo kojem je pritužba podnesena pruža dodatnu pomoć na zahtjev ispitanika.

4.   Nadležno nadzorno tijelo obavješćuje ispitanika o napretku i ishodu pritužbe, među ostalim o mogućnosti pravnog lijeka na temelju članka 53.

Članak 53.

Pravo na učinkoviti pravni lijek protiv nadzornog tijela

1.   Ne dovodeći u pitanje nijedan drugi upravni ili izvansudski pravni lijek, države članice osiguravaju pravo fizičke ili pravne osobe na učinkoviti pravni lijek protiv pravno obvezujuće odluke nadzornog tijela koja se na nju odnosi.

2.   Ne dovodeći u pitanje nijedan drugi upravni ili izvansudski pravni lijek svaki ispitanik ima pravo na učinkoviti pravni lijek ako nadzorno tijelo koje je nadležno na temelju članka 45. stavka 1. ne riješi pritužbu ili ne izvijesti ispitanika u roku od tri mjeseca o napretku ili ishodu pritužbe podnesene na temelju članka 52.

3.   Države članice osiguravaju da se postupci protiv nadzornog tijela pokreću pred sudovima države članice u kojoj nadzorno tijelo ima poslovni nastan.

Članak 54.

Pravo na učinkoviti pravni lijek protiv voditelja obrade ili izvršitelja obrade

Ne dovodeći u pitanje nijedan dostupan upravni ili izvansudski pravni lijek, uključujući pravo na podnošenje pritužbe nadzornom tijelu u skladu s člankom 52., države članice ispitaniku osiguravaju pravo na učinkovit pravni lijek ako on smatra da su mu prekršena njegova prava utvrđena odredbama donesenima na temelju ove Direktive uslijed obrade njegovih osobnih podataka koja nije u skladu s tim odredbama.

Članak 55.

Zastupanje ispitanika

U skladu s postupovnim pravom države članice osiguravaju da ispitanik ima pravo ovlastiti neprofitno tijelo, organizaciju ili udruženje, koje je pravilno osnovano u skladu sa pravom države članice, u čijem se statutu navode ciljevi od javnog interesa te koje je aktivno u području zaštite prava i sloboda ispitanika s obzirom na zaštitu njegovih osobnih podataka, da podnesu pritužbu u njegovo ime i da ostvaruju prava iz članaka 52., 53. i 54. u njegovo ime.

Članak 56.

Pravo na naknadu štete

Države članice osiguravaju da svaka osoba koja je pretrpjela materijalnu ili nematerijalnu štetu zbog postupka nezakonite obrade ili bilo koje radnje kojim se krše nacionalne odredbe donesene na temelju ove Direktive za pretrpljenu štetu ima pravo na naknadu štete od voditelja obrade ili bilo kojeg drugoga tijela nadležnog prema pravu države članice.

Članak 57.

Sankcije

Države članice utvrđuju pravila o sankcijama koje se primjenjuju na kršenja odredaba donesenih na temelju ove Direktive te poduzimaju sve potrebne mjere kako bi se osigurala njihova provedba. Predviđene sankcije moraju biti učinkovite, proporcionalne i odvraćajuće.

POGLAVLJE IX.

Provedbeni akti

Članak 58.

Postupak odbora

1.   Komisiji pomaže Odbor osnovan člankom 93. Uredbe (EU) 2016/679. Navedeni odbor je odbor u smislu Uredbe (EU) br. 182/2011.

2.   Pri upućivanju na ovaj stavak primjenjuje se članak 5. Uredbe (EU) br. 182/2011.

3.   Pri upućivanju na ovaj stavak primjenjuje se članak 8. Uredbe (EU) br. 182/2011 u vezi s njezinim člankom 5.

POGLAVLJE X.

Završne odredbe

Članak 59.

Stavljanje izvan snage Okvirne odluke 2008/977/PUP

1.   Okvirna odluka 2008/977/PUP stavlja se izvan snage s učinkom od 6. svibnja 2018.

2.   Upućivanja na odluku stavljenu izvan snage iz stavka 1. smatraju se upućivanjima na ovu Direktivu.

Članak 60.

Pravni akti Unije koji su već na snazi

Posebne odredbe za zaštitu osobnih podataka u pravnim aktima Unije koji su stupili na snagu u području pravosudne suradnje u kaznenim stvarima i policijske suradnje koji su doneseni na dan ili prije 6. svibnja 2016. kojima se uređuje obrada među državama članicama i pristup imenovanih tijela država članica informacijskim sustavima uspostavljenima na temelju Ugovorâ unutar područja primjene ove Direktive ostaju nepromijenjene.

Članak 61.

Odnos s prethodno sklopljenim međunarodnim sporazumima u području pravosudne suradnje u kaznenim stvarima i policijske suradnje

Međunarodni sporazumi koji uključuju prijenos osobnih podataka trećim zemljama ili međunarodnim organizacijama koje su države članice sklopile prije 6. svibnja 2016., a koji su u skladu s pravom Unije primjenjivim prije tog datuma, ostaju na snazi dok ih se ne izmijeni, zamijeni ili stavi izvan snage.

Članak 62.

Izvješća Komisije

1.   Do 6. svibnja 2022., i svake četiri godine nakon toga, Komisija podnosi izvješće Europskom parlamentu i Vijeću o ocjeni i preispitivanju ove Direktive. Izvješća se javno objavljuju.

2.   U okviru ocjena i preispitivanjâ iz stavka 1., Komisija osobito preispituje primjenu i funkcioniranje poglavlja V. o prijenosu osobnih podataka trećim zemljama ili međunarodnim organizacijama, osobito u pogledu odluka donesenih na temelju članka 36. stavka 3. i članka 39.

3.   Za potrebe stavaka 1. i 2. Komisija može zatražiti informacije od država članica i nadzornih tijela.

4.   Pri obavljanju ocjena i preispitivanjâ iz stavaka 1. i 2. Komisija uzima u obzir stajališta i nalaze Europskog parlamenta, Vijeća te drugih relevantnih tijela ili izvora.

5.   Komisija prema potrebi podnosi odgovarajuće prijedloge s ciljem izmjene ove Direktive, posebno uzimajući u obzir razvoj informacijske tehnologije te s obzirom na napredak informacijskog društva.

6.   Do 6. svibnja 2019. Komisija preispituje druge pravne akte koje je donijela Unija kojima se uređuje obrada od strane nadležnih tijela u svrhe iz članka 1. stavka 1., uključujući one akte iz članka 60. koje je Unija donijela kako bi se procijenila potreba da se usklade s ovom Direktivom i kako bi se, prema potrebi, dali potrebni prijedlozi za izmjenu tih akata s ciljem osiguravanja dosljednog pristupa zaštiti osobnih podataka unutar područja primjene ove Direktive.

Članak 63.

Prenošenje

1.   Države članice stavljaju na snagu zakone i druge propise koji su potrebni radi usklađivanja s ovom Direktivom do 6. svibnja 2018. One Komisiji odmah dostavljaju tekst tih odredaba. One primjenjuju te odredbe od 6. svibnja 2018.

Kada države članice donose te odredbe, one sadržavaju upućivanje na ovu Direktivu ili se na nju upućuje prilikom njihove službene objave. Države članice određuju načine tog upućivanja.

2.   Odstupajući od stavka 1., država članica može predvidjeti da se, iznimno, ako to zahtijeva nerazmjeran napor, automatizirani sustavi obrade uspostavljeni prije 6. svibnja 2016. moraju uskladiti s člankom 25. stavkom 1. do 6. svibnja 2023.

3.   Odstupajući od stavaka 1. i 2. ovog članka, država članica može, u iznimnim okolnostima, automatizirani sustav obrade kako je navedeno u stavku 2. ovog članka uskladiti s člankom 25. stavkom 1. unutar određenog roka nakon roka iz stavka 2. ovog članka, ako bi to u suprotnom uzrokovalo ozbiljne poteškoće u radu tog automatiziranog sustava obrade. Dotična država članica obavješćuje Komisiju o razlozima tih ozbiljnih poteškoća te razlozima određenog roka unutar kojeg se taj konkretni automatizirani sustav obrade usklađuje s člankom 25. stavkom 1. Određeni rok u svakom slučaju ne smije biti kasnije od do 6. svibnja 2026.

4.   Države članice Komisiji šalju tekst glavnih odredaba nacionalnog prava koje donesu u području na koje se odnosi ova Direktiva.

Članak 64.

Stupanje na snagu

Ova Direktiva stupa na snagu sljedećeg dana od dana objave u Službenom listu Europske unije.

Članak 65.

Adresati

Ova je Direktiva upućena državama članicama.

Sastavljeno u Bruxellesu 27. travnja 2016.

Za Europski parlament

Predsjednik

M. SCHULZ

Za Vijeće

Predsjednica

J.A. HENNIS-PLASSCHAERT


(1)  SL C 391, 18.12.2012., str. 127.

(2)  Stajalište Europskog parlamenta od 12. ožujka 2014. (još nije objavljeno u Službenom listu) i stajalište Vijeća u prvom čitanju od 8. travnja 2016. (još nije objavljeno u Službenom listu). Stajalište Europskog parlamenta od 14. travnja 2016.

(3)  Direktiva 95/46/EZ Europskog parlamenta i Vijeća od 24. listopada 1995. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom protoku takvih podataka (SL L 281, 23.11.1995., str. 31.).

(4)  Okvirna odluka Vijeća 2008/977/PUP od 27. studenoga 2008. o zaštiti osobnih podataka obrađenih u okviru policijske i pravosudne suradnje u kaznenim stvarima (SL L 350, 30.12.2008., str. 60.).

(5)  Uredba (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) (vidjeti stranicu 1. ovoga Službenog lista).

(6)  Uredba (EZ) br. 45/2001 Europskog parlamenta i Vijeća od 18. prosinca 2000. o zaštiti pojedinaca u vezi s obradom osobnih podataka u institucijama i tijelima Zajednice i o slobodnom kretanju takvih podataka (SL L 8, 12.1.2001., str. 1.).

(7)  Direktiva 2011/24/EU Europskog parlamenta i Vijeća od 9. ožujka 2011. o primjeni prava pacijenata u prekograničnoj zdravstvenoj skrbi (SL L 88, 4.4.2011., str. 45.).

(8)  Zajedničko stajalište Vijeća 2005/69/PUP od 24. siječnja 2005. o razmjeni određenih podataka s Interpolom (SL L 27, 29.1.2005., str. 61.).

(9)  Odluka Vijeća 2007/533/PUP od 12. lipnja 2007. o osnivanju, radu i korištenju druge generacije Schengenskog informacijskog sustava (SIS II) (SL L 205, 7.8.2007., str. 63.).

(10)  Direktiva Vijeća 77/249/EEZ od 22. ožujka 1977. o olakšavanju učinkovitog ostvarivanja slobode pružanja odvjetničkih usluga (SL L 78, 26.3.1977., str. 17.).

(11)  Uredba (EU) br. 182/2011 Europskog parlamenta i Vijeća od 16. veljače 2011. o utvrđivanju pravila i općih načela u vezi s mehanizmima nadzora država članica nad izvršavanjem provedbenih ovlasti Komisije (SL L 55, 28.2.2011., str. 13.).

(12)  Odluka Vijeća 2008/615/PUP od 23. lipnja 2008. o produbljivanju prekogranične suradnje, posebno u suzbijanju terorizma i prekograničnog kriminala (SL L 210, 6.8.2008., str. 1.).

(13)  Akt Vijeća od 29. svibnja 2000. kojim se u skladu s člankom 34. Ugovora o Europskoj uniji donosi Konvencija o uzajamnoj pravnoj pomoći u kaznenim stvarima među državama članicama Europske unije(SL C 197, 12.7.2000., str. 1.).

(14)  Direktiva 2011/93/EU Europskog parlamenta i Vijeća od 13. prosinca 2011. o suzbijanju seksualnog zlostavljanja i seksualnog iskorištavanja djece i dječje pornografije, te o zamjeni Okvirne odluke Vijeća 2004/68/PUP (SL L 335, 17.12.2011., str. 1.).

(15)  SL L 176, 10.7.1999., str. 36.

(16)  SL L 53, 27.2.2008., str. 52.

(17)  SL L 160, 18.6.2011., str. 21.

(18)  SL C 192, 30.6.2012., str. 7.


4.5.2016   

HR

Službeni list Europske unije

L 119/132


DIREKTIVA (EU) 2016/681 EUROPSKOG PARLAMENTA I VIJEĆA

od 27. travnja 2016.

o uporabi podataka iz evidencije podataka o putnicima (PNR) u svrhu sprečavanja, otkrivanja, istrage i kaznenog progona kaznenih djela terorizma i teških kaznenih djela

EUROPSKI PARLAMENT I VIJEĆE EUROPSKE UNIJE,

uzimajući u obzir Ugovor o funkcioniranju Europske unije, a posebno njegov članak 82. stavak 1. točku (d) te članak 87. stavak 2. točku (a),

uzimajući u obzir prijedlog Europske komisije,

nakon prosljeđivanja nacrta zakonodavnog akta nacionalnim parlamentima,

uzimajući u obzir mišljenje Europskoga gospodarskog i socijalnog odbora (1),

nakon savjetovanja s Odborom regija,

u skladu s redovnim zakonodavnim postupkom (2),

budući da:

(1)

Komisija je 6. studenoga 2007. donijela Prijedlog okvirne odluke Vijeća o uporabi podataka iz evidencije podataka o putnicima (PNR) u svrhu izvršavanja zakona. Budući da Vijeće nije usvojilo prijedlog Komisije do 1. prosinca 2009., kada je na snagu stupio Lisabonski ugovor, on je zastario.

(2)

„Stockholmskim programom – otvorena i sigurna Europa koja služi svojim građanima i štiti ih” (3) Komisiju se poziva na podnošenje prijedloga za uporabu podataka iz PNR-a u svrhu sprečavanja, otkrivanja, istrage i kaznenog progona kaznenih djela terorizma i teških kaznenih djela.

(3)

U svojoj Komunikaciji od 21. rujna 2010. pod nazivom „O općem pristupu prijenosima podataka iz evidencije podataka o putnicima (PNR) trećim zemljama” Komisija je iznijela niz ključnih elemenata politike Unije za to područje.

(4)

Direktivom Vijeća 2004/82/EZ (4) propisuje se da zračni prijevoznici nadležnim nacionalnim tijelima prenose informacije o putnicima koje će prevoziti (API podaci) s ciljem poboljšanja graničnih kontrola i sprečavanja nezakonitog useljavanja.

(5)

Ciljevi su ove Direktive, među ostalim, zajamčiti sigurnost, zaštititi živote i sigurnost osoba te uspostaviti pravni okvir za zaštitu podataka iz PNR-a u pogledu njihove obrade koju provode nadležna tijela.

(6)

Učinkovita uporaba podataka iz PNR-a, primjerice uspoređivanjem podataka iz PNR-a s raznim bazama podataka o traženim osobama i predmetima, potrebna je za sprečavanje, otkrivanje, istragu i kazneni progon kaznenih djela terorizma i teških kaznenih djela, čime se jača unutarnja sigurnost, za prikupljanje dokaza te prema potrebi za pronalazak pomagača počinitelja kaznenih djela i razotkrivanje kriminalnih mreža.

(7)

Procjena podataka iz PNR-a omogućuje identifikaciju osoba koje nisu bile osumnjičene za sudjelovanje u kaznenim djelima terorizma ili teškim kaznenim djelima prije takve procjene i koje bi nadležna tijela trebale dodatno ispitati. Upotrebom podataka iz PNR-a omogućuje se sagledavanje prijetnje koja proizlazi iz kaznenih djela terorizma i teških kaznenih djela na drugačiji način u usporedbi s obradom ostalih kategorija osobnih podataka. Ipak, kako bi se osiguralo da obrada podataka iz PNR-a ostane ograničena na ono što je potrebno, uspostava i primjena kriterija procjene trebale bi biti ograničene na kaznena djela terorizma i teška kaznena djela za koje je uporaba takvih kriterija relevantna. Nadalje, kriteriji procjene trebali bi se odrediti na način kojim se broj nedužnih osoba koje sustav pogrešno identificira svodi na najmanju moguću mjeru.

(8)

Zračni prijevoznici već u vlastite komercijalne svrhe prikupljaju i obrađuju podatke iz PNR-a o svojim putnicima. Ovom Direktivom ne bi trebalo obvezivati zračne prijevoznike na prikupljanje ili čuvanje dodatnih podataka o putnicima, kao ni obvezivati putnike na davanje dodatnih podataka povrh onih koje već dostavljaju zračnim prijevoznicima.

(9)

Neki zračni prijevoznici čuvaju, kao dio podataka iz PNR-a, API podatke koje prikupe dok drugi to ne čine. Uporaba podataka iz PNR-a zajedno s API podacima dodatno pomaže državama članicama u vezi s potvrdom identiteta pojedinca, čime se dodaje vrijednost rezultatu izvršavanja zakonodavstva i na najmanju moguću mjeru smanjuje rizik od provođenja provjera i istraga nedužnih osoba. Stoga je važno osigurati da zračni prijevoznici prenose API podatke koje prikupe, bez obzira na to čuvaju li oni API podatke putem različitih tehničkih sredstava kao druge podatke iz PNR-a.

(10)

Radi sprečavanja, otkrivanja, istrage i kaznenog progona kaznenih djela terorizma i teških kaznenih djela ključno je da sve države članice uvedu odredbe kojima se utvrđuju obveze prijenosa svih prikupljenih podataka iz PNR-a, uključujući i API podatke za zračne prijevoznike koji obavljaju letove između EU-a i trećih zemalja. Države članice trebale bi imati mogućnost proširiti ovu obvezu i na zračne prijevoznike koji obavljaju letove unutar EU-a. Tim se odredbama ne bi trebala dovoditi u pitanje Direktiva 2004/82/EZ.

(11)

Obrada osobnih podataka trebala bi biti proporcionalna posebnim sigurnosnim ciljevima koji se nastoje ostvariti ovom Direktivom.

(12)

Definicija kaznenih djela terorizma koja se primjenjuje u ovoj Direktivi trebala bi biti istovjetna definiciji iz Okvirne odluke Vijeća 2002/475/PUP (5). Definicija teških kaznenih djela trebala bi obuhvatiti kategorije kaznenih djela navedene u Prilogu II. ovoj Direktivi.

(13)

Podatke iz PNR-a trebalo bi prosljeđivati jednom odjelu za informacije o putnicima (PIU) koji je za to određen u dotičnoj državi članici kako bi se zajamčila jasnoća i smanjili troškovi koje snose zračni prijevoznici. PIU može imati različite ogranke u jednoj državi članici, a države članice mogu i zajednički osnovati jedan PIU. Države članice trebale bi međusobno razmjenjivati informacije putem relevantnih mreža za razmjenu informacija kako bi se olakšala razmjena informacija i osigurala interoperabilnost između država članica.

(14)

Države članice trebale bi snositi troškove uporabe, čuvanja i razmjene podataka iz PNR-a.

(15)

Popis podataka iz PNR-a koji se dostavlja PIU-u trebalo bi sastaviti s ciljem odražavanja legitimnih zahtjeva tijela javnih vlasti za sprečavanje, otkrivanje, istragu i kazneni progon kaznenih djela terorizma ili teških kaznenih djela, čime se povećava unutarnja sigurnost u Uniji i štite temeljna prava, osobito pravo na privatnost i zaštitu osobnih podataka. U tu svrhu trebali bi se primjenjivati visoki standardi u skladu s Poveljom o temeljnim pravima Europske unije („Povelja”), Konvencija za zaštitu osoba glede automatizirane obrade osobnih podataka („Konvencija br. 108”) i Europskom konvencijom za zaštitu ljudskih prava i temeljnih sloboda („EKLJP”). Takvi se popisi ne bi trebali temeljiti na rasi osobe ili njezinom etničkom podrijetlu, vjeri ili uvjerenju, političkom ili bilo kojem drugom mišljenju, članstvu u sindikatu, zdravstvenom stanju, seksualnom životu ili spolnoj orijentaciji. Podaci iz PNR-a trebali bi sadržavati samo informacije o rezervaciji i planu puta putnika kako bi nadležna tijela mogla identificirati zračne putnike koji predstavljaju opasnost unutarnjoj sigurnosti.

(16)

Trenutno se podaci mogu prenositi putem dvije metode: metoda „povlačenja” kojom nadležna tijela države članice koja traže podatke iz PNR-a mogu pristupiti sustavu rezervacija zračnog prijevoznika i izvući („povući”) kopiju traženih podataka iz PNR-a; i metoda „unošenja”, kojom zračni prijevoznici tražene podatke iz PNR-a prenose („unose”) nadležnom tijelu koje ih zahtijeva, što zračnim prijevoznicima omogućuje zadržavanje kontrole nad prenesenim podacima. Smatra se da se metodom „unošenja” pruža viša razina zaštite podataka te bi ona trebala biti obvezna za sve zračne prijevoznike.

(17)

Komisija podržava smjernice Međunarodne organizacije za civilno zrakoplovstvo (ICAO) o PNR-u. Te bi smjernice stoga trebale biti osnova za donošenje podržanih formata podataka za prijenos podataka iz PNR-a državama članicama koji obavljaju zračni prijevoznici. Kako bi se osigurali jednaki uvjeti za provedbu podržanih formata podataka i odgovarajućih protokola koji se odnose na prijenos podataka koji dolaze od zračnih prijevoznika, Komisiji bi trebalo dodijeliti provedbene ovlasti. Te bi ovlasti trebalo izvršavati u skladu s Uredbom (EU) br. 182/2011 Europskog parlamenta i Vijeća (6).

(18)

Države članice trebale bi poduzeti sve potrebne mjere kako bi omogućile zračnim prijevoznicima da ispune svoje obveze koje proizlaze iz ove Direktive. Države članice trebale bi propisati učinkovite, proporcionalne i odvraćajuće sankcije, uključujući financijske, za one zračne prijevoznike koji ne ispunjavaju svoje obveze u pogledu prijenosa podataka iz PNR-a.

(19)

Svaka država članica trebala bi biti odgovorna za procjenu potencijalnih prijetnji povezanih s kaznenim djelima terorizma i teškim kaznenim djelima.

(20)

Kako bi se u potpunosti poštovalo pravo na zaštitu osobnih podataka i pravo na nediskriminaciju, ne bi trebalo donositi odluke koje bi proizvele štetan pravni učinak za osobu ili bi značajno na nju utjecale isključivo na temelju automatizirane obrade podataka iz PNR-a. Nadalje, u skladu s člancima 8. i 21. Povelje ni jedna takva odluka ne bi smjela diskriminirati osobu, na temelju njezina spola, rase, boje kože, etničkog ili socijalnog podrijetla, genetskih osobina, jezika, vjere ili uvjerenja, političkog ili bilo kakvog drugog mišljenja, pripadnosti nacionalnoj manjini, imovine, rođenja, invalidnosti, dobi ili spolne orijentacije. Kada Komisija preispituje primjenu ove Direktive, trebala bi uzeti u obzir i ta načela.

(21)

Države članice ni u kojem slučaju ne bi smjele upotrebljavati rezultat obrade podataka iz PNR-a kao osnovu za zaobilaženje svojih međunarodnih obveza prema Konvenciji o statusu izbjeglica od 28. srpnja 1951. kako je izmijenjena Protokolom od 31. siječnja 1967. niti bi se taj rezultat smio upotrebljavati na način da se tražiteljima azila uskrate sigurne i učinkovite pravne mogućnosti na području Unije za ostvarivanje njihova prava na međunarodnu zaštitu.

(22)

Uzimajući u potpunosti u obzir načela istaknuta u nedavnoj relevantnoj sudskoj praksi Suda Europske unije, primjenom ove Direktive trebalo bi se osigurati potpuno poštovanje temeljnih prava, prava na privatnost te načela proporcionalnosti. Također bi se u potpunosti trebalo voditi računa o tome što je potrebno i proporcionalno za ostvarenje općih interesa koje Unija prepoznaje te o potrebi za zaštitom tuđih prava i sloboda u borbi protiv kaznenih djela terorizma i teških kaznenih djela. Primjena ove Direktive trebala bi biti opravdana te bi trebalo poduzeti sve potrebne zaštitne mjere kako bi se osigurala zakonitost svake pohrane, analize, prijenosa ili uporabe podataka iz PNR-a.

(23)

Države članice trebale bi međusobno i s Europolom razmjenjivati zaprimljene podatke iz PNR-a ako se to smatra potrebnim u svrhu sprečavanja, otkrivanja, istrage i kaznenog progona kaznenih djela terorizma ili teških kaznenih djela. PIU-ovi bi, prema potrebi i bez odlaganja, trebali prenijeti rezultat obrade podataka iz PNR-a PIU-ovima u drugim državama članicama za potrebe daljnje istrage. Odredbama ove Direktive ne bi se smjeli dovesti u pitanje drugi pravni instrumenti Unije o razmjeni informacija između policijskih tijela i tijela za izvršavanje zakonodavstva i pravosudnih tijela, uključujući Odluku Vijeća 2009/371/PUP (7) i Okvirnu odluku Vijeća 2006/960/PUP (8). Takva razmjena podataka iz PNR-a trebala bi se voditi pravilima o policijskoj i pravosudnoj suradnji te ne bi trebala ugroziti visoku razinu zaštite privatnosti i osobnih podataka koja se zahtijeva Poveljom, Konvencijom br. 108 i EKLJP-om.

(24)

Sigurna razmjena informacija u vezi s podacima iz PNR-a između država članica trebala bi se osigurati putem svih postojećih kanala za suradnju između nadležnih tijela država članica te s Europolom, posebno putem Europolove mrežne aplikacije za sigurnu razmjenu informacija (SIENA).

(25)

Razdoblje tijekom kojeg je potrebno čuvati podatke iz PNR-a trebalo bi biti ono koje je potrebno za svrhe sprečavanja, otkrivanja, istrage i kaznenog progona kaznenih djela terorizma i teških kaznenih djela te proporcionalno tim svrhama. Zbog prirode tih podataka i njihovih uporaba, potrebno je da se podaci iz PNR-a čuvaju dovoljno dugo za provedbu analize i uporabu u istragama. Kako bi se izbjegla nerazmjerna uporaba, nakon početnog razdoblja čuvanja, podatke iz PNR-a trebalo bi depersonalizirati skrivanjem elemenata podataka. Radi osiguravanja najviše razine zaštite podataka pristup potpunim podacima iz PNR-a, kojim se omogućuje izravna identifikacija ispitanika, trebao bi se odobriti samo pod vrlo strogim i ograničenim uvjetima nakon tog početnog razdoblja.

(26)

Ako su određeni podaci iz PNR-a preneseni nadležnom tijelu i upotrebljavaju se u okviru određenih kriminalističkih istraživanja ili kaznenih progona, čuvanje takvih podataka od strane nadležnog tijela trebalo bi biti uređeno nacionalnim pravom, bez obzira na razdoblje čuvanja podataka utvrđeno u ovoj Direktivi.

(27)

Za obradu podataka iz PNR-a u svakoj državi članici obavlja PIU i nadležna tijela trebao bi se primjenjivati standard za zaštitu osobnih podataka u okviru nacionalnog prava koji je u skladu s Okvirnom odlukom Vijeća 2008/977/PUP (9) i posebnim zahtjevima o zaštiti podataka navedenima u ovoj Direktivi. Upućivanja na Okvirnu odluku Vijeća 2008/977/PUP trebala bi se shvatiti kao upućivanja na zakonodavstvo koje je trenutačno na snazi, ali i na zakonodavstvo koje će ga zamijeniti.

(28)

Uzimajući u obzir pravo na zaštitu osobnih podataka, prava ispitanika koja se odnose na obradu njihovih podataka iz PNR-a, poput prava na pristup, na ispravljanje, brisanje ili ograničavanje te pravâ na naknadu i na pravno sredstvo, trebala bi biti u skladu s Okvirnom odlukom Vijeća 2008/977/PUP i visokom razinom zaštite utvrđenom u Povelji i EKLJP-u.

(29)

Uzimajući u obzir pravo putnika da budu obaviješteni o obradi svojih osobnih podataka, države članice trebale bi putnicima osigurati točne, lako dostupne i razumljive informacije o prikupljanju podataka iz PNR-a i o njihovu prijenosu u PIU te o pravima koja im pripadaju u svojstvu ispitanika.

(30)

Ovom Direktivom ne dovodi se u pitanje pravo Unije i nacionalno pravo o načelu javnog pristupa službenim dokumentima.

(31)

Državama članicama trebao bi biti dopušten prijenos podataka iz PNR-a trećim zemljama samo za svaki slučaj posebno te uz potpuno poštovanje odredbi koje su države članice utvrdile na temelju Okvirne odluke 2008/977/PUP. Kako bi se osigurala zaštita osobnih podataka, provođenje takvih prijenosa trebalo bi biti u skladu s dodatnim zahtjevima povezanima sa svrhom prijenosa. Također bi trebali biti u skladu s načelom nužnosti i proporcionalnosti te visokom razinom zaštite utvrđenom u Povelji i EKLJP-u.

(32)

Nacionalno nadzorno tijelo koje je osnovano provedbom Okvirne odluke 2008/977/PUP ujedno bi trebalo biti odgovorno za savjetovanje o primjeni odredaba koje su donijele države članice u skladu s ovom Direktivom te za njihovo praćenje.

(33)

Ovom Direktivom ne utječe se na mogućnost država članica da u okviru svojeg nacionalnog prava predvide sustav prikupljanja i obrade podataka iz PNR-a gospodarskih subjekata koji nisu prijevoznici, kao što su putničke agencije i organizatori turističkih putovanja koji pružaju usluge povezane s putovanjima, uključujući rezervacije letova za koje prikupljaju i obrađuju podatke iz PNR-a, ili prijevoznika koji nisu obuhvaćeni ovom Direktivom, pod uvjetom da takvo nacionalno pravo bude u skladu s pravnom stečevinom Unije.

(34)

Ovom Direktivom ne dovode se u pitanje postojeća pravila Unije o načinu provođenja graničnih kontrola ili pravila Unije kojima se uređuje ulazak na područje Unije i izlazak iz njega.

(35)

Budući da postoje pravne i tehničke razlike između nacionalnih odredaba koje se odnose na obradu osobnih podataka, uključujući podatke iz PNR-a, zračni prijevoznici suočeni su i bit će suočeni s različitim zahtjevima u pogledu vrsta informacija koje se prenose te uvjeta pod kojima se one trebaju dostaviti nadležnim nacionalnim tijelima. Te razlike mogu štetiti učinkovitoj suradnji među nadležnim nacionalnim tijelima u sprečavanju, otkrivanju, istrazi i kaznenom progonu kaznenih djela terorizma ili teških kaznenih djela. Stoga je na razini Unije potrebno uspostaviti zajednički pravni okvir za prijenos i obradu podataka iz PNR-a.

(36)

Ovom Direktivom poštuju se temeljna prava i načela Povelje, osobito pravo na zaštitu osobnih podataka, pravo na privatnost i pravo na nediskriminaciju, koja su zaštićena njezinim člancima 8., 7., i 21. te bi je stoga trebalo na odgovarajući način provesti. Ova je Direktiva u skladu s načelima zaštite podataka, a njezine odredbe u skladu su s Okvirnom odlukom 2008/977/PUP. Nadalje, radi poštovanja načela proporcionalnosti, ova će Direktiva za određena pitanja imati stroža pravila o zaštiti podataka nego Okvirna odluka 2008/977/PUP.

(37)

Područje primjene ove Direktive ograničeno je u najvećoj mogućoj mjeri budući da dopušta čuvanje podataka iz PNR-a u PIU-ovima u razdoblju od najviše pet godina, nakon čega bi se ti podaci trebali izbrisati; predviđa da se podaci depersonaliziraju skrivanjem elemenata podataka nakon početnog razdoblja od šest mjeseci te zabranjuje prikupljanje i uporabu osjetljivih podataka. Kako bi se osigurala učinkovitost i visoka razina zaštite podataka, države članice trebaju osigurati da neovisno nacionalno nadzorno tijelo, a posebno službenik za zaštitu podataka, budu nadležni za savjetovanje i praćenje načina obrade podataka iz PNR-a. Svaku obradu podataka iz PNR-a trebalo bi evidentirati ili dokumentirati u svrhu provjere njezine zakonitosti, samonadzora i osiguravanja pravilne nepovredivosti podataka i sigurne obrade. Države članice ujedno bi trebale putnicima osigurati jasne i precizne informacije o prikupljanju podataka iz PNR-a i njihovim pravima.

(38)

S obzirom na to da ciljeve ove Direktive, a to su prijenos podataka iz PNR-a od strane zračnih prijevoznika i njihova obrada za potrebe sprečavanja, otkrivanja, istrage i kaznenog progona kaznenih djela terorizma i teških kaznenih djela, ne mogu dostatno ostvariti države članice, nego se oni na bolji način mogu ostvariti na razini Unije, Unija može donijeti mjere u skladu s načelom supsidijarnosti utvrđenim u članku 5. Ugovora o Europskoj uniji. U skladu s načelom proporcionalnosti, utvrđenim u tom članku, ova Direktiva ne prelazi se ono što je potrebno za ostvarivanje tih ciljeva.

(39)

U skladu s člankom 3. Protokola br. 21 o stajalištu Ujedinjene Kraljevine i Irske s obzirom na područje slobode, sigurnosti i pravde, priloženog Ugovoru o Europskoj uniji i Ugovoru o funkcioniranju Europske unije, te su države članice obavijestile da žele sudjelovati u donošenju i primjeni ove Direktive.

(40)

U skladu s člancima 1. i 2. Protokola br. 22. o stajalištu Danske priloženog Ugovoru o Europskoj uniji i Ugovoru o funkcioniranju Europske unije, Danska ne sudjeluje u donošenju ove Direktive te ona za nju nije obvezujuća niti se na nju primjenjuje.

(41)

Provedeno je savjetovanje s Europskim nadzornikom za zaštitu podataka u skladu s člankom 28. stavkom 2. Uredbe (EZ) br. 45/2001 Europskog parlamenta i Vijeća (10), koji je dao mišljenje 25. ožujka 2011.,

DONIJELI SU OVU DIREKTIVU:

POGLAVLJE I.

Opće odredbe

Članak 1.

Predmet i područje primjene

1.   Ovom Direktivom propisuju se:

(a)

prijenos podataka iz evidencije podataka o putnicima (PNR) koji provode zračni prijevoznici o putnicima na letovima između EU-a i trećih zemalja,

(b)

obrada podataka iz točke i., uključujući njihovo prikupljanje, uporabu i čuvanje u državama članicama te njihovu razmjenu između država članica.

2.   Podaci iz PNR-a prikupljeni u skladu s ovom Direktivom mogu se obrađivati samo u svrhu sprečavanja, otkrivanja, istrage i kaznenog progona kaznenih djela terorizma i teških kaznenih djela, kako je predviđeno člankom 6. stavkom 2. točkama (a), (b) i (c).

Članak 2.

Primjena ove Direktive na letove unutar EU-a

1.   Ako država članica odluči primijeniti ovu Direktivu na letove unutar EU-a, u pisanom obliku obavješćuje Komisiju. Država članica može dostaviti ili povući obavijest u bilo kojem trenutku. Komisija objavljuje tu obavijest i njezino povlačenje u Službenom listu Europske unije.

2.   Ako je obavijest iz stavka 1. dostavljena, sve odredbe ove Direktive primjenjuju se na letove unutar EU-a kao da se radi o letovima između EU-a i trećih zemalja te na podatke iz PNR-a dobivene na temelju letova unutar EU-a kao da se radi o podacima iz PNR-a dobivenima na temelju letova između EU-a i trećih zemalja.

3.   Država članica može odlučiti primijeniti ovu Direktivu samo na odabrane letove unutar EU-a. Pri donošenju takve odluke država članica odabire letove koje smatra potrebnima kako bi ostvarila ciljeve ove Direktive. Država članica može odlučiti promijeniti svoj odabir letova unutar EU-a u bilo kojem trenutku.

Članak 3.

Definicije

Za potrebe ove Direktive primjenjuju se sljedeće definicije:

1.

„zračni prijevoznik” znači poduzeće za zračni prijevoz s važećom dozvolom za obavljanje djelatnosti ili jednakovrijednom dozvolom za obavljanje prijevoza putnika zrakom;

2.

„let između EU-a i trećih zemalja” znači svaki redoviti ili izvanredni let zračnog prijevoznika čije se polazište nalazi u trećoj zemlji, a odredište na državnom području države članice ili čije se polazište nalazi na državnom području države članice, a odredište u trećoj zemlji, uključujući u oba slučaja letove sa zaustavljanjima na državnom području država članica ili trećih zemalja;

3.

„let unutar EU-a” znači svaki redoviti ili izvanredni let zračnog prijevoznika čije se polazište nalazi na državnom području države članice, a odredište na državnom području jedne države članice ili više njih, bez zaustavljanja na državnom području ili u zračnim lukama treće zemlje;

4.

„putnik” znači svaka osoba, uključujući transferne ili tranzitne putnike, izuzev članova posade, koja se prevozi ili će se prevesti u zrakoplovu uz pristanak zračnog prijevoznika, vidljivog iz upisa osoba na popis putnika;

5.

„evidencija podataka o putnicima” ili „PNR” znači evidencija zahtjeva u vezi s putovanjem svakog putnika koja sadrži informacije potrebne za obradu i kontrolu rezervacija od strane uključenih zračnih prijevoznika i onih koji obavljaju rezervacije za svako putovanje rezervirano od strane neke osobe ili u njezino ime, neovisno o tome čini li sastavni dio sustava rezervacija, Sustava kontrole odlazaka, koji služi prijavi putnika na letove ili jednakovrijednog sustava s istim funkcijama;

6.

„sustav rezervacija” znači unutarnji sustav zračnog prijevoznika u kojem se prikupljaju podaci iz PNR-a za upravljanje rezervacijama;

7.

„metoda unošenja” znači metoda kojom zračni prijevoznici prenose podatke iz PNR-a navedene u Prilogu I. u bazu podataka tijela koje ih zahtijeva;

8.

„kaznena djela terorizma” znači kaznena djela u skladu s nacionalnim pravom iz članaka od 1. do 4. Okvirne odluke Vijeća 2002/475/PUP;

9.

„teška kaznena djela” znači kaznena djela navedena u Prilogu II. koja su kažnjiva kaznom zatvora ili mjerom oduzimanja slobode od najmanje tri godine u skladu s nacionalnim pravom države članice;

10.

„depersonalizirati skrivanjem elemenata podataka” znači učiniti nevidljivim za korisnika određene elemente podataka iz kojih bi se izravno mogao identificirati ispitanik.

POGLAVLJE II.

Odgovornosti država članica

Članak 4.

Odjel za informacije o putnicima

1.   Svaka država članica osniva ili određuje tijelo nadležno za sprečavanje, otkrivanje, istragu ili kazneni progon kaznenih djela terorizma i teških kaznenih djela ili ogranak takvog tijela, da djeluje kao njezin odjel za informacije o putnicima (PIU).

2.   PIU je nadležan za:

(a)

prikupljanje podataka iz PNR-a od zračnih prijevoznika, pohranu i obradu tih podataka te za prijenos tih podataka ili rezultata njihove obrade nadležnim tijelima iz članka 7.;

(b)

razmjenu podataka iz PNR-a i rezultata obrade tih podataka s PIU-ovima drugih država članica i Europolom u skladu s člancima 9. i 10.

3.   Osoblje PIU-a može biti upućeno iz nadležnih tijela. Države članice osiguravaju PIU-ovima dovoljno sredstava za ispunjavanje njihovih zadaća.

4.   Dvije države članice ili više njih (uključene države članice) mogu uspostaviti ili odrediti jedinstveno tijelo koje će djelovati kao njihov PIU. Takav PIU uspostavlja se u jednoj od uključenih država članica i smatra se nacionalnim PIU-om svih uključenih država članica. Uključene države članice zajednički dogovaraju detaljna pravila za djelovanje PIU-a i poštuju zahtjeve iz ove Direktive.

5.   U roku mjesec dana od uspostave svojeg PIU-a, svaka država članica o tome obavješćuje Komisiju te može u svakom trenutku izmijeniti svoju obavijest. Komisija tu obavijest objavljuje, uključujući sve eventualne izmjene, u Službenom listu Europske unije.

Članak 5.

Službenik za zaštitu podataka u PIU-u

1.   PIU imenuje službenika za zaštitu podataka zaduženog za praćenje obrade podataka iz PNR-a i provedbu odgovarajućih zaštitnih mjera.

2.   Države članice osiguravaju službenicima za zaštitu podataka sva potrebna sredstva za učinkovito i neovisno obavljanje njihovih dužnosti i zadaća u skladu s ovim člankom.

3.   Države članice osiguravaju da ispitanik ima pravo na kontaktiranje sa službenikom za zaštitu podataka, kao jedinstvenom kontaktnom točkom, u pogledu svih pitanja povezanih s obradom njegovih podataka iz PNR-a.

Članak 6.

Obrada podataka iz PNR-a

1.   PIU dotične države članice prikuplja podatke iz PNR-a koje zračni prijevoznici prenose, kako je predviđeno člankom 8. Ako podaci iz PNR-a koje zračni prijevoznici prenose sadrže podatke koji nisu navedeni u Prilogu I., PIU odmah po primitku trajno briše takve podatke.

2.   PIU obrađuje podatke iz PNR-a samo za sljedeće namjene:

(a)

provođenje procjene putnika prije njihova planiranog dolaska u državu članicu ili odlaska iz nje kako bi se identificirale osobe za koje je potrebno dodatno ispitivanje od strane nadležnih tijela iz članka 7. te prema potrebi Europola, u skladu s člankom 10., s obzirom da to da bi takve osobe mogle biti uključene u kazneno djelo terorizma ili teško kazneno djelo;

(b)

odgovaranje, za svaki slučaj pojedinačno, na propisno obrazložen zahtjev podnesen na temelju dovoljno dokaza od strane nadležnih tijela za dostavu i obradu podataka iz PNR-a u određenim slučajevima u svrhe sprečavanja, otkrivanja, istrage i kaznenog progona kaznenih djela terorizma ili teških kaznenih djela, teza dostavu rezultata takve obrade nadležnim tijelima ili, prema potrebi, Europolu; i

(c)

analiziranje podataka iz PNR-a u svrhu ažuriranja ili određivanja novih kriterija za provođenje procjena koje se provode na temelju stavka 3. točke (b) kako bi se identificirale sve osobe koje bi mogle biti uključene u kazneno djelo terorizma ili teško kazneno djelo.

3.   Pri provođenju procjene iz stavka 2. točke (a) PIU može:

(a)

uspoređivati podatke iz PNR-a s bazama podataka relevantnima za svrhe sprečavanja, otkrivanja, istrage i kaznenog progona kaznenih djela terorizma i teških kaznenih djela, što uključuje baze podataka o osobama ili predmetima koji se traže ili za koje postoji upozorenje, u skladu s pravilima Unije te međunarodnim i nacionalnim pravilima koja se primjenjuju na takve baze podataka; ili

(b)

obrađivati podatke iz PNR-a u skladu s prethodno utvrđenim kriterijima.

4.   Svaka procjena putnika prije njihova planiranog dolaska u državu članicu ili odlaska iz nje provedeno na temelju stavka 3. točke (b) u skladu s prethodno određenim kriterijima mora se provesti na nediskriminirajući način. Ti prethodno utvrđeni kriteriji procjene moraju biti usmjereni, proporcionalni i određeni. Države članice osiguravaju da PIU-ovi odrede te kriterije te da ih oni redovito preispituju u suradnji s nadležnim tijelima iz članka 7. Ti kriteriji ne smiju se ni u kojem slučaju temeljiti na rasnom ili etničkom podrijetlu osobe, njezinim političkim mišljenjima, vjeri ili filozofskim uvjerenjima, članstvu u sindikatu, zdravstvenom stanju, seksualnom životu ili spolnoj orijentaciji.

5.   Države članice osiguravaju da se svaki pozitivni rezultat nastao automatiziranom obradom podataka iz PNR-a koja se provodi na temelju stavka 2. točke (a) pojedinačno provjeri na neautomatizirani način radi utvrđivanja treba li nadležno tijelo iz članka 7. poduzeti mjere na temelju nacionalnog prava.

6.   PIU određene države članice prenosi podatke iz PNR-a za osobe koje su identificirane u skladu sa stavkom 2. točkom (a) ili rezultate njihove obrade nadležnim tijelima iz članka 7. iste države članice za daljnje ispitivanje. Takvi se prijenosi obavljaju samo za svaki slučaj pojedinačno i u slučaju automatizirane obrade podataka iz PNR-a nakon pojedinačne neautomatizirane provjere.

7.   Države članice osiguravaju da službenik za zaštitu podataka ima pristup svim podacima koje obrađuje PIU. Ako službenik za zaštitu podataka smatra da obrada bilo kojih podataka nije bila zakonita, on može uputiti predmet nacionalnom nadzornom tijelu.

8.   PIU provodi pohranu, obradu i analizu podataka iz PNR-a isključivo na sigurnoj lokaciji ili lokacijama unutar državnog područja država članica.

9.   Posljedice procjena putnika iz stavka 2. točke (a) ovog članka ne dovode u pitanje pravo ulaska osoba koje uživaju pravo Unije na slobodno kretanje na državno područje dotične države članice kako je to utvrđeno Direktivom 2004/38/EZ Europskog parlamenta i Vijeća (11). Osim toga, ako se procjene provode u odnosu na letove unutar EU-a između država članica na koje se primjenjuje Uredba (EZ) br. 562/2006 Europskog parlamenta i Vijeća (12), posljedice takvih procjena moraju biti u skladu s tom Uredbom.

Članak 7.

Nadležna tijela

1.   Svaka država članica donosi popis nadležnih tijela koja su ovlaštena za traženje ili primanje podataka iz PNR-a ili rezultata obrade tih podataka od strane PIU-a radi daljnjeg ispitivanja tih informacija ili poduzimanja odgovarajućih mjera u svrhe sprečavanja, otkrivanja, istrage i kaznenog progona kaznenih djela terorizma i teških kaznenih djela.

2.   Tijela iz stavka 1. jesu tijela nadležna su za sprečavanje, otkrivanje, istragu ili kazneni progon kaznenih djela terorizma i teških kaznenih djela.

3.   Za potrebe članka 9. stavka 3. svaka država članica obavješćuje Komisiju o popisu svojih nadležnih tijela do 25. svibnja 2017. i može u svakom trenutku izmijeniti svoju obavijest. Komisija tu obavijest i sve njezine izmjene objavljuje u Službenom listu Europske unije.

4.   Nadležna tijela država članica podatke iz PNR-a i rezultat obrade tih podataka koje je zaprimio PIU mogu dodatno obrađivati samo u posebnu svrhu sprečavanja, otkrivanja, istrage ili kaznenog progona kaznenih djela terorizma ili teških kaznenih djela.

5.   Stavak 4. ne dovodi u pitanje izvršavanje zakonodavstva ni pravosudne ovlasti na nacionalnoj razini kada se druga kaznena djela ili sumnja na njihovo postojanje otkriju tijekom aktivnosti progona koja proizlazi iz takve obrade.

6.   Nadležna tijela ne smiju donijeti nikakvu odluku koja bi proizvela štetni pravni učinak na osobu ili bi značajno na nju utjecala isključivo na temelju automatizirane obrade podataka iz PNR-a. Takve odluke ne smiju se temeljiti na rasi ili etničkom podrijetlu osobe, njezinim političkim mišljenjima, vjeri ili filozofskim uvjerenjima, članstvu u sindikatu, zdravstvenom stanju, seksualnom životu ili spolnoj orijentaciji.

Članak 8.

Obveze za zračne prijevoznike u pogledu prijenosa podataka

1.   Države članice donose potrebne mjere kako bi osigurale da zračni prijevoznici podatke iz PNR-a navedene u Prilogu I., u mjeri u kojoj su takve podatke već prikupili tijekom svojeg redovitog poslovanja, prenose („metodom unošenja”) u bazu podataka PIU-a države članice na čijem se državnom području nalazi polazište ili odredište leta. Kada se radi o zajedničkim letovima (code-sharing) jednog zračnog prijevoznika ili više njih, zračni prijevoznik koji obavlja let odgovoran je za prijenos podatka iz PNR-a svih putnika na letu. Kada let između EU-a i trećih zemalja ima jedno zaustavljanje ili više njih u zračnim lukama država članica, zračni prijevoznici prenose podatke iz PNR-a u pogledu svih putnika PIU-ovima svih uključenih država članica. To se također primjenjuje kada let unutar EU-a ima jedno zaustavljanje ili više njih u zračnim lukama različitih država članica, ali samo u odnosu na države članice koje prikupljaju podatke iz PNR-a dobivene na temelju letova unutar EU-a.

2.   U slučaju da zračni prijevoznici prikupljaju bilo kakve API podatke navedene u točki 18. Priloga I., ali te podatke ne zadržavaju putem istih tehničkih sredstava kao druge podatke iz PNR-a, države članice donose potrebne mjere kako bi se osiguralo da zračni prijevoznici te podatke također prenose („metodom unošenja”) PIU-u države članice iz stavka 1. U slučaju prijenosa sve odredbe ove Direktive primjenjuju se na te API podatke.

3.   Zračni prijevoznici podatke iz PNR-a prenose elektroničkim putem upotrebljavajući zajedničke protokole i podržane formate za prijenos podataka koji se donose u skladu s postupkom ispitivanja iz članka 17. stavka 2. ili, u slučaju tehničke neispravnosti, nekim drugim odgovarajućim načinom koji jamči odgovarajuću razinu sigurnosti podataka, pod sljedećim uvjetima:

(a)

24 do 48 sati prije zakazanog vremena polaska zrakoplova; te

(b)

odmah po zatvaranju leta, tj. kada su se putnici ukrcali u zrakoplov koji se sprema za polazak i kada se putnici više ne mogu ukrcati ni iskrcati.

4.   Države članice zračnim prijevoznicima dopuštaju da se prijenos iz stavka 3. točke (b) ograniči na ažuriranje prijenosa iz točke (a) tog stavka.

5.   Ako je pristup podacima iz PNR-a potreban kako bi se odgovorilo na konkretnu i stvarnu prijetnju povezanu s kaznenim djelima terorizma ili teškim kaznenim djelima, zračni prijevoznici, za svaki slučaj pojedinačno,na zahtjev prenose podatke iz PNR-a i u drugim prilikama osim onih iz stavka 3., na zahtjev PIU-a koji je u skladu s nacionalnim pravom.

Članak 9.

Razmjena informacija među državama članicama

1.   Države članice osiguravaju da PIU, u pogledu osoba koje je PIU identificirao u skladu s člankom 6. stavkom 2., sve relevantne i potrebne podatke iz PNR-a ili rezultat obrade tih podataka prenese odgovarajućim PIU-ovima drugih država članica. U skladu s člankom 6. stavkom 6. PIU-ovi država članica primateljica prenose zaprimljene podatke svojim nadležnim tijelima.

2.   PIU pojedine države članice može zahtijevati, prema potrebi, od PIU-a bilo koje druge države članice dostavu podataka iz PNR-a koji se nalaze u njihovoj bazi podataka, a koji još nisu depersonalizirani skrivanjem elemenata podataka na temelju članka 12. stavka 2., te, također, prema potrebi, rezultat bilo kakve obrade tih podataka, ako je ona već izvršena na temelju članka 6. stavka 2. točke (a). Takav se zahtjev propisano obrazlaže. Može se temeljiti na bilo kojem elementu podataka ili kombinaciji takvih elemenata koje PIU koji podnosi taj zahtjev smatra potrebnim za konkretan slučaj sprečavanja, otkrivanja, istrage ili kaznenog progona kaznenih djela terorizma ili teških kaznenih djela. PIU dostavlja tražene podatke čim to bude moguće. U slučaju da su zatraženi podaci depersonalizirani skrivanjem elemenata podataka na temelju članka 12. stavka 2., PIU potpune podatke iz PNR-a dostavlja samo ako se opravdano smatra da je to potrebno u svrhu iz članka 6. stavka 2. točke (b) i to samo kada to odobri tijelo iz članka 12. stavka 3. točke (b).

3.   Nadležna tijela države članice mogu samo kada je to potrebno u hitnim slučajevima te pod uvjetima utvrđenima u stavku 2. od PIU-a bilo koje druge države članice izravno zatražiti dostavu podatka iz PNR-a iz njihove baze podataka. Zahtjevi nadležnih tijela obrazlažu se. Preslika zahtjeva uvijek se šalje PIU-u države članice koja je podnijela zahtjev. U svim drugim slučajevima nadležna tijela svoje zahtjeve upućuju preko PIU-a vlastite države članice.

4.   U iznimnim slučajevima, ako je za odgovor na konkretnu i stvarnu prijetnju povezanu s kaznenim djelima terorizma ili teškim kaznenim djelima potreban pristup podacima iz PNR-a, PIU države članice može u svakom trenutku zahtijevati da PIU-a druge države članice dobije podatke iz PNR-a u skladu s člankom 8. stavkom 5. i da ih dostavi PIU-u koji je podnio zahtjev.

5.   Razmjena informacija u skladu s ovim člankom može se obavljati kroz postojeće kanale za suradnju između nadležnih tijela država članica. Jezik koji se upotrebljava za podnošenje molbe i razmjenu informacija jest jezik koji se upotrebljava u kanalu kojim se služi. Države članice, kod davanja obavijesti u skladu s člankom 4. stavkom 5., također Komisiji dostavljaju pojedinosti o kontaktnim točkama kojima se u hitnim slučajevima mogu uputiti zahtjevi. Komisija državama članicama dostavlja takve pojedinosti.

Članak 10.

Uvjeti za pristup Europola podacima iz PNR-a

1.   Europol ima pravo u okviru svojih ovlasti i za potrebe obavljanja svojih zadaća od PIU-ova država članica zatražiti podatke iz PNR-a ili rezultat njihove obrade.

2.   Europol može, za svaki slučaj posebno, preko Europolove nacionalne jedinice podnijeti elektronički i propisno obrazložen zahtjev PIU-u bilo koje države članice za prijenos posebnih podataka iz PNR-a ili za rezultat obrade tih podataka. Europol može podnijeti takav zahtjev kada je to nužno radi podržavanja i jačanja djelovanja država članica u svrhu sprečavanja, otkrivanja ili istrage konkretnog kaznenog djela terorizma ili teškog kaznenog djela, ako je to kazneno djelo u nadležnosti Europola u skladu s Odlukom 2009/371/PUP. U tom zahtjevu navode se utemeljeni razlozi na osnovi kojih Europol smatra da će se prijenosom podataka iz PNR-a ili rezultata obrade podataka iz PNR-a znatno doprinijeti sprečavanju, otkrivanju, istrazi navedenog kaznenog djela.

3.   Europol obavješćuje službenika za zaštitu podataka, imenovanoga u skladu s člankom 28. Odluke 2009/371/PUP, o svakoj razmjeni informacija na temelju ovog članka.

4.   Razmjena informacija na temelju ovog članka odvija se putem SIENA-e te u skladu s Odlukom 2009/371/PUP. Jezik koji se upotrebljava za podnošenje molbe i razmjenu informacija jest jezik koji se upotrebljava u SIENA-i.

Članak 11.

Prijenos podataka trećim zemljama

1.   Država članica može trećoj zemlji prenositi podatke iz PNR-a, i rezultat obrade takvih podataka koje PIU pohranjuje u skladu s člankom 12. samo za svaki slučaj posebno i:

(a)

ako su ispunjeni uvjeti iz članka 13. Okvirne odluke Vijeća 2008/977/PUP;

(b)

ako je takav prijenos potreban u svrhe ove Direktive iz članka 1. stavka 2.;

(c)

ako je treća zemlja suglasna prenijeti podatke drugoj trećoj zemlji samo ako je to nužno u svrhe ove Direktive iz članka 1. stavka 2. i samo uz izričito odobrenje te države članice; i

(d)

ako su ispunjeni isti uvjeti kao oni utvrđeni u članku 9. stavku 2.

2.   Neovisno o članku 13. stavku 2. Okvirne odluke 2008/977/PUP, prijenosi podataka iz PNR-a bez prethodne suglasnosti države članice iz koje su podaci dobiveni, dopušteni su u iznimnim okolnostima i samo ako:

(a)

takvi prijenosi ključni su da bi se odgovorilo na konkretnu i stvarnu prijetnju povezanu s kaznenim djelima terorizma ili teškim kaznenim djelima u državi članici ili trećoj zemlji, i

(b)

prethodna se suglasnost ne može pravodobno dobiti.

Tijelo nadležno za davanje odobrenja obavješćuje se bez odgode, a prijenos se propisno bilježi te podliježe naknadnoj provjeri.

3.   Države članice nadležnim tijelima trećih zemalja prenose podatke iz PNR-a samo pod uvjetima koji su u skladu s ovom Direktivom i tek nakon što utvrde da primatelji imaju namjeru koristiti se podacima iz PNR-a u skladu s tim uvjetima i zaštitnim mjerama.

4.   Službenika za zaštitu podataka PIU-a države članice koja je prenijela podatke iz PNR-a obavješćuje se svaki put kada država članica prenese podatke iz PNR-a na temelju ovog članka.

Članak 12.

Razdoblje čuvanja i depersonalizacije podataka

1.   Države članice osiguravaju da se podaci iz PNR-a koje zračni prijevoznici dostavljaju PIU-u čuvaju u bazi podataka PIU-a u razdoblju od pet godina od njihova prijenosa PIU-u države članice na čijem se državnom području nalazi polazište ili odredište leta.

2.   Nakon isteka razdoblja od šest mjeseci nakon prijenosa podataka iz PNR-a iz stavka 1., svi podaci iz PNR-a depersonaliziraju se skrivanjem sljedećih elemenata podataka koji bi mogli poslužiti za izravnu identifikaciju putnika na kojeg se ti podaci iz PNR-a odnose:

(a)

ime(na), uključujući imena drugih putnika u PNR-u i broj putnika u PNR-u koji putuju zajedno;

(b)

adresa i kontaktni podaci;

(c)

svi podaci o načinu plaćanja, uključujući adresu za slanje računa, u mjeri u kojoj oni sadrže bilo kakve informacije koje bi mogle poslužiti za izravnu identifikaciju putnika na kojeg se ti podaci iz PNR-a odnose ili bilo koje druge osobe;

(d)

podaci o programima vjernosti;

(e)

opće opaske u mjeri u kojoj sadrže bilo kakve informacije koje bi mogle poslužiti za izravnu identifikaciju putnika na kojeg se odnosi PNR; te

(f)

svi prikupljeni API podaci.

3.   Nakon isteka razdoblja od šest mjeseci iz stavka 2., otkrivanje potpunih podataka iz PNR-a dopušteno je samo ako se:

(a)

opravdano smatra da je to potrebno u svrhu iz članka 6. stavka 2. točke (b); i

(b)

ako je odobri:

i.

pravosudno tijelo; ili

ii.

drugo nacionalno tijelo koje je prema nacionalnom pravu nadležno provjeriti jesu li ispunjeni uvjeti za objavu, pod uvjetom da se o tome obavijesti službenik za zaštitu podataka u PIU-u i da to podliježe njegovoj naknadnoj provjeri.

4.   Države članice osiguravaju trajno brisanje podataka iz PNR-a po isteku razdoblja iz stavka 1. Tom obvezom ne dovode se u pitanje slučajevi u kojima su određeni podaci iz PNR-a preneseni nadležnom tijelu i upotrebljavaju se u okviru određenog slučaja u svrhe sprečavanja, otkrivanja, istrage ili kaznenog progona kaznenih djela terorizma i teških kaznenih djela te je u tom slučaju čuvanje takvih podataka od strane nadležnog tijela uređeno nacionalnim pravom.

5.   Rezultat obrade iz članka 6. stavka 2. točke (a) čuva se u PIU-u samo toliko dugo koliko je potrebno da se o pozitivnom rezultatu obavijeste nadležna tijela i, u skladu s člankom 9. stavkom 1., PIU-ovi drugih država članica. U slučaju kad se rezultat automatizirane obrade, i to nakon pojedinačne neautomatizirane provjere iz članka 6. stavka 5., pokaže negativan, on se svejedno može čuvati kako bi se izbjegli budući „lažni” pozitivni rezultati dokle god osnovni podaci nisu izbrisani na temelju stavka 4. ovoga članka.

Članak 13.

Zaštita osobnih podataka

1.   Svaka država članica osigurava da u pogledu obrade svih osobnih podataka na temelju ove Direktive svaki putnik ima jednako pravo na zaštitu svojih osobnih podataka, pravâ pristupa, ispravljanja, brisanja i ograničavanja te pravâ na naknadu i na pravno sredstvo kako je utvrđeno pravom Unije i nacionalnim pravom te u skladu s provedbom članaka 17., 18., 19. i 20. Okvirne odluke Vijeća 2008/977/PUP. Stoga se primjenjuju ti članci.

2.   Svaka država članica osigurava da se odredbe donesene u skladu s nacionalnim pravom za provedbu članaka 21. i 22. Okvirne odluke Vijeća 2008/977/PUP o povjerljivosti obrade i sigurnosti podataka također primjenjuju na svaku obradu osobnih podataka na temelju ove Direktive.

3.   Ovom Direktivom ne dovodi se u pitanje primjenjivost Direktive 95/46/EZ Europskog parlamenta i Vijeća (13) na obradu osobnih podataka od strane zračnih prijevoznika, posebno njihove obveze da poduzmu odgovarajuće tehničke i organizacijske mjere za zaštitu sigurnosti i povjerljivosti osobnih podataka.

4.   Države članice zabranjuju obradu podataka iz PNR-a kojima se otkrivaju rasa ili etničko podrijetlo osobe, njezini politički stavovi, vjera ili filozofska uvjerenja, članstvo u sindikatu, zdravstveno stanje ili seksualni život ili spolna orijentacija. Ako PIU zaprimi podatke iz PNR-a kojima se otkrivaju takve informacije, odmah ih briše.

5.   Države članice osiguravaju da PIU vodi dokumentaciju o svim sustavima i postupcima obrade u svojoj nadležnosti. Ta dokumentacija mora sadržavati najmanje sljedeće:

(a)

ime i kontaktne podatke organizacije i osoblja u PIU-u kojem je povjerena obrada podataka iz PNR-a te različite razine ovlaštenja za pristup;

(b)

zahtjeve nadležnih tijela i PIU-ova drugih država članica;

(c)

sve zahtjeve i prijenose podataka iz PNR-a u treću zemlju.

PIU na zahtjev stavlja na raspolaganje svu dokumentaciju nacionalnom nadzornom tijelu.

6.   Države članice osiguravaju da PIU vodi evidenciju najmanje o sljedećim postupcima obrade: prikupljanju, obavljanju uvida, otkrivanju ili brisanju. Evidencija o obavljanju uvida i otkrivanju mora prikazivati osobito svrhu, datum i vrijeme takvih postupaka te, u mjeri u kojoj je to moguće, identitet osobe koja je obavila uvid ili otkrila podatke iz PNR-a te identitet primatelja tih podataka. Evidencija se upotrebljava isključivo u svrhe provjere samonadzora, osiguravanja cjelovitosti i sigurnosti podataka te revizije. PIU na zahtjev stavlja evidenciju na raspolaganje nacionalnom nadzornom tijelu.

Ta se evidencija čuva pet godina.

7.   Države članice osiguravaju da njihov PIU provodi odgovarajuće tehničke i organizacijske mjere i postupke kako bi se osigurala visoka razina sigurnosti koja odgovara rizicima obrade i prirodi podataka iz PNR-a.

8.   Države članice osiguravaju da u slučaju kad je vjerojatno da će kršenje tajnosti osobnih podataka dovesti do visokog rizika za zaštitu osobnih podataka ili štetno utjecati na privatnost ispitanika, PIU bez nepotrebnog odlaganja o tom kršenju obavješćuje ispitanika i nacionalno nadzorno tijelo.

Članak 14.

Sankcije

Države članice utvrđuju pravila o sankcijama koje se primjenjuju na kršenja nacionalnih odredaba donesenih na temelju ove Direktive te poduzimaju sve potrebne mjere kako bi osigurale njihovu provedbu.

Osobito, države članice utvrđuju pravila o sankcijama, uključujući financijske sankcije, za zračne prijevoznike koji ne prenose podatke kako je predviđeno člankom 8. ili ih ne prenose u propisanom formatu.

Predviđene sankcije moraju biti učinkovite, proporcionalne i odvraćajuće.

Članak 15.

Nacionalna nadzorna tijela

1.   Svaka država članica osigurava da je nacionalno nadzorno tijelo iz članka 25. Okvirne odluke 2008/977/PUP odgovorno unutar svog državnog područja za savjetovanje o primjeni odredaba koje je donijela država članica na temelju ove Direktive i njezino praćenje. Primjenjuje se članak 25. Okvirne odluke 2008/977/PUP.

2.   Ta nacionalna nadzorna tijela svoje aktivnosti obavljaju na temelju stavka 1. s ciljem zaštite temeljnih prava u vezi s obradom osobnih podataka.

3.   Svako nacionalno nadzorno tijelo:

(a)

postupa po pritužbama koje podnese bilo koji ispitanik, istražuje predmet i obavješćuje ispitanike o tijeku i ishodu njihovih pritužbi u razumnom roku;

(b)

provjerava zakonitost obrade podataka, provodi istrage, preglede i revizije u skladu s nacionalnim pravom bilo na vlastitu inicijativu bilo na temelju pritužbe iz točke (a).

4.   Svako nacionalno nadzorno tijelo na zahtjev savjetuje svakog ispitanika o ostvarivanju prava utvrđenih odredbama donesenima na temelju ove Direktive.

POGLAVLJE III.

Provedbene mjere

Članak 16.

Zajednički protokoli i podržani formati podataka

1.   Svi prijenosi podataka iz PNR-a koje zračni prijevoznici izvrše PIU-ovima u