32001R0045

Az Európai Parlament és a Tanács 45/2001/EK rendelete

(2000. december 18.)

a személyes adatok közösségi intézmények és szervek által történő feldolgozása tekintetében az egyének védelméről, valamint az ilyen adatok szabad áramlásáról

AZ EURÓPAI PARLAMENT ÉS AZ EURÓPAI UNIÓ TANÁCSA,

tekintettel az Európai Közösséget létrehozó szerződésre és különösen annak 286. cikkére,

tekintettel a Bizottság javaslatára [1],

tekintettel a Gazdasági és Szociális Bizottság véleményére [2],

a Szerződés 251. cikkében megállapított eljárásnak megfelelően [3],

mivel:

(1) A Szerződés 286. cikke előírja, hogy a személyes adatok feldolgozása és az ilyen adatok szabad áramlása tekintetében a természetes személyek védelmére vonatkozó közösségi jogi aktusokat a közösségi intézményekre és szervekre alkalmazni kell.

(2) A személyes adatok védelmének önálló rendszere nem csupán azt követeli meg, hogy az adatok érintettjeinek jogai és a személyes adatok feldolgozását végző személyek kötelezettségei megállapítást nyerjenek, hanem azt is, hogy a jogsértőkkel szemben megfelelő szankciók létezzenek, és független ellenőrző szerv lássa el a felügyeletet.

(3) A Szerződés 286. cikkének (2) bekezdése olyan független ellenőrző szerv létrehozását írja elő, amely az említett közösségi jogi aktusoknak közösségi intézményekre és szervekre történő alkalmazását kíséri figyelemmel.

(4) A Szerződés 286. cikkének (2) bekezdése rendelkezik arról, hogy szükség szerint egyéb megfelelő rendelkezéseket kell elfogadni.

(5) Szükség van egy olyan rendeletre, amely jogi úton érvényesíthető jogokat biztosít a természetes személyek számára, meghatározza a közösségi intézményeken és szerveken belül az adatkezelők adatfeldolgozási kötelezettségeit, és olyan független ellenőrző hatóságot hoz létre, amely a közösségi intézmények és szervek által végzett személyesadat-feldolgozás figyelemmel kíséréséért felelős.

(6) Konzultációt folytattak a személyes adatok feldolgozása vonatkozásában az egyének védelméről és az ilyen adatok szabad áramlásáról szóló, 1995. október 24-i 95/46/EK európai parlamenti és tanácsi irányelv [4] 29. cikke alapján létrehozott, a személyesadat-feldolgozás vonatkozásában az egyének védelmével foglalkozó munkacsoporttal.

(7) A védelem körébe tartozó személyek azok, akiknek személyes adatait a közösségi intézmények vagy szervek bármilyen összefüggésben feldolgozzák, például azért, mert az érintett személyeket ezek az intézmények vagy szervek foglalkoztatják.

(8) Az adatvédelem elvei az azonosított vagy azonosítható személyre vonatkozó bármely információra alkalmazandók. Annak meghatározására, hogy egy személy azonosítható-e vagy sem, számba kell venni minden lehetséges eszközt, amely valószínűsíthetően az adatkezelő vagy bármely más személy által az említett személy azonosítására indokoltan felhasználható. A védelem elvei nem alkalmazhatók azokra az adatokra, amelyeket olyan módon tettek anonimmá, aminek eredményeképpen az érintett a továbbiakban nem azonosítható.

(9) A 95/46/EK irányelv előírja a tagállamok számára, hogy a személyes adatok feldolgozása vonatkozásában a természetes személyek alapvető jogait és szabadságait, így különösen a magánélet tiszteletben tartásához való jogukat, védelemben részesítsék annak érdekében, hogy biztosítható legyen a személyes adatok Közösségen belüli szabad áramlása.

(10) A távközlési ágazatban a személyes adatok feldolgozásáról és a magánélet védelméről szóló, 1997. december 15-i 97/66/EK európai parlamenti és tanácsi irányelv [5] pontosítja és kiegészíti a 95/46/EK irányelvet a személyes adatoknak a távközlési ágazatban történő feldolgozásával kapcsolatban.

(11) Számos egyéb közösségi intézkedés, köztük a nemzeti hatóságok és a Bizottság közötti kölcsönös segítségnyújtásra vonatkozó intézkedések célja szintén az, hogy pontosítsák és kiegészítsék a 95/46/EK irányelvet azokban az ágazatokban, amelyekre vonatkoznak.

(12) A Közösségen belül biztosítani kell az egyének alapvető jogaira és szabadságaira vonatkozó szabályok következetes és egységes alkalmazását a személyes adatok feldolgozásával kapcsolatban.

(13) A cél az, hogy egyaránt biztosított legyen az egyének alapvető jogainak és szabadságainak védelmére vonatkozó szabályok tényleges érvényesülése és a személyes adatok szabad áramlása a tagállamok, valamint a közösségi intézmények és szervek között, illetve a közösségi intézmények és a közösségi szervek között a hatáskörük gyakorlásával kapcsolatos célokkal összefüggésben.

(14) E célból olyan intézkedéseket kell elfogadni, amelyek kötelező érvényűek a közösségi intézményekre és szervekre nézve. Ezen intézkedések alkalmazandók mindenfajta, a közösségi intézmények és szervek által végzett személyesadat-feldolgozásra annyiban, amennyiben ez az adatfeldolgozás részben vagy teljes egészében a közösségi jog hatálya alá tartozó tevékenységek gyakorlása során történik.

(15) Ha a közösségi intézmények vagy szervek általi adatfeldolgozás e rendelet hatályán kívül eső tevékenységek gyakorlása során történik, különösen az Európai Unióról szóló szerződés V. és VI. címében megállapítottak során, az egyének alapvető jogainak és szabadságainak védelmét az Európai Unióról szóló szerződés 6. cikkére kellő tekintettel kell biztosítani. A dokumentumokhoz való hozzáférésre – ideértve a személyes adatokat tartalmazó dokumentumokhoz történő hozzáférés feltételeit is – az EK-Szerződésnek az Európai Unióról szóló szerződés V. és VI. címére is kiterjedő hatályú 255. cikke alapján elfogadott szabályok vonatkoznak.

(16) Az intézkedések nem alkalmazandók a Közösség keretein kívül létrehozott szervekre, és az európai adatvédelmi biztos nem rendelkezhet hatáskörrel az ilyen szervek által történő személyesadat-feldolgozás figyelemmel kísérésére.

(17) Az unión belül az egyének személyesadat-feldolgozással kapcsolatos védelmének hatékonysága feltételezi a különböző jogi vonatkozású tevékenységekre alkalmazandó megfelelő szabályok és eljárások következetességét. Ebből a szempontból az első lépés a személyes adatok védelmére vonatkozó alapvető elvek fejlesztése az igazságügyi együttműködés terén a büntetőügyekben, valamint a rendőrségi és a vámügyi együttműködés terén, továbbá az Europol-egyezmény, az Információtechnológia vámügyi célokra történő felhasználásáról szóló egyezmény és a Schengeni Egyezmény által létrehozott közös felügyeleti hatóságok titkárságának létrehozása.

(18) Ez a rendelet nem érinti a tagállamok 95/46/EK és 97/66/EK irányelv szerinti jogait és kötelezettségeit. A rendeletnek nem célja, hogy megváltoztassa a tagállamok jelenlegi, jogszerűen alkalmazott és az Európai Közösségek kiváltságairól és mentességeiről szóló jegyzőkönyvnek, valamint a nemzetközi jognak megfelelő eljárásait és gyakorlatát a nemzetbiztonság, a rend védelme, valamint a bűncselekmények megelőzése, felderítése, kivizsgálása és üldözése terén.

(19) A közösségi intézményeknek és szerveknek tájékoztatniuk kell a tagállamok illetékes hatóságait abban az esetben, ha véleményük szerint a távközlő hálózataikon folytatott kommunikáció megfigyelése szükséges a vonatkozó nemzeti rendelkezésekkel összhangban.

(20) A közösségi intézményekre és szervekre vonatkozó rendelkezéseknek meg kell felelniük a nemzeti jogszabályok harmonizációjával, illetve más közösségi politikák végrehajtásával kapcsolatban megállapított rendelkezéseknek, különösen a kölcsönös segítségnyújtás területén. Szükségessé válhat azonban e rendelkezések pontosítása és kiegészítése a közösségi intézmények és szervek által történő személyesadat-feldolgozás esetében alkalmazandó védelem biztosítása érdekében.

(21) Mindez vonatkozik azoknak az egyéneknek a jogaira, akiknek az adatait feldolgozzák, a feldolgozást végző közösségi intézmények és szervek kötelezettségeire, valamint az e rendelet megfelelő alkalmazásának biztosításáért felelős független ellenőrző hatóságra ruházandó hatáskörre.

(22) Az érintett számára biztosított jogok és azok gyakorlása nem befolyásolhatja az adatkezelő kötelezettségeit.

(23) A független ellenőrző hatóság ellenőrző szerepét a Szerződéssel összhangban, valamint az emberi jogok és alapvető szabadságok betartásával gyakorolja. Vizsgálatait az Európai Közösségek kiváltságairól és mentességeiről szóló jegyzőkönyv, az Európai Közösségek tisztviselőinek személyzeti szabályzata, valamint a Közösség egyéb alkalmazottaira vonatkozó alkalmazási feltételek tiszteletben tartásával végzi.

(24) Az adatvédelmi tisztviselők által az adatfeldolgozási műveletekről vezetett nyilvántartásokhoz a független ellenőrző hatóságon keresztül történő hozzáférés biztosítása érdekében el kell fogadni a szükséges technikai jellegű intézkedéseket.

(25) A független ellenőrző hatóság e rendelet szerint meghatározott, adatfeldolgozási műveletekre vonatkozó mentességekkel, garanciákkal, engedélyekkel és feltételekkel kapcsolatos döntéseit a tevékenységről szóló jelentésben kell közzétenni. A független ellenőrző hatóság a tevékenységről szóló éves jelentéstől függetlenül külön témákban jelentéseket tehet közzé.

(26) A független ellenőrző hatóságnak előzetesen meg kell vizsgálnia azokat az adatfeldolgozási műveleteket, amelyek bizonyos kockázatokkal járhatnak az érintett jogaira és szabadságaira nézve. Az ilyen előzetes vizsgálat keretében kialakított vélemény, ideértve a meghatározott időn belüli válaszadás elmulasztásából eredő véleményt, nem sértheti a független ellenőrző hatóságnak a szóban forgó adatfeldolgozási művelet tekintetében ezt követő hatáskörgyakorlását.

(27) A közösségi intézmények és szervek által a közérdekből végzett feladatok teljesítése érdekében végzett személyesadat-feldolgozás magában foglalja az ilyen intézmények és szervek irányításához és működéséhez szükséges személyes adatok feldolgozását is.

(28) Egyes esetekben az adatfeldolgozást a közösségi rendelkezéseknek, illetve a közösségi rendelkezéseket átültető jogszabályoknak kell engedélyezniük. Mindazonáltal abban az átmeneti időszakban, amikor ilyen rendelkezések még nem léteznek, ezek elfogadásáig az európai adatvédelmi biztos adhat engedélyt az adatok feldolgozására, feltéve, hogy megfelelő garanciák elfogadására kerül sor. E tevékenysége során az európai adatvédelmi biztosnak figyelembe kell vennie különösen a tagállamok által a hasonló esetek kezelésére vonatkozóan elfogadott rendelkezéseket.

(29) A fenti esetek a faji vagy etnikai hovatartozást, a politikai véleményt, a vallási vagy világnézeti meggyőződést, illetve a szakszervezeti tagságot felfedő adatok feldolgozását érintik, valamint az egészségi állapotra vagy a szexuális életre vonatkozó olyan adatok feldolgozását érintik, amelyek az adatkezelő konkrét munkajogi jogainak és kötelezettségeinek figyelembevételéhez vagy alapvető közérdekből szükségesek. Érinthetik még továbbá bűncselekményekkel, büntetőítéletekkel, illetve biztonsági intézkedésekkel kapcsolatos adatok feldolgozását, valamint az arra vonatkozó engedélyt, hogy az érintettre valamely olyan határozatot alkalmazzanak, amely rá nézve jogkövetkezménnyel jár, illetve őt jelentős mértékben érinti, és amely kizárólag az ő személyes jellemzőinek értékelését szolgáló automatizált adatfeldolgozáson alapul.

(30) Szükségessé válhat a közösségi intézmények és szervek irányítása alatt működtetett számítógépes hálózatok felügyelete a jogosulatlan felhasználás elkerülése érdekében. Az európai adatvédelmi biztosnak kell döntenie arról, hogy ez lehetséges-e, és milyen feltételek mellett.

(31) Az e rendelet megsértéséből eredő felelősséget a Szerződés 288. cikkének második bekezdése szabályozza.

(32) A közösségi intézmények és szervek mindegyikében szükség van legalább egy adatvédelmi tisztviselőre, akinek biztosítania kell e rendelet rendelkezéseinek alkalmazását, valamint tanácsokkal kell ellátnia az adatkezelőket kötelezettségeik teljesítésével kapcsolatban.

(33) A közösségi statisztikáról szóló, 1997. február 17-i 322/97/EK tanácsi rendelet [6] 21. cikke értelmében az említett rendeletet a 95/46/EK irányelv sérelme nélkül kell alkalmazni.

(34) Az Európai Központi Bank által végzett statisztikai adatgyűjtésről szóló, 1998. november 23-i 2533/98/EK tanácsi rendelet [7] 8. cikkének (8) bekezdése értelmében az említett rendeletet a 95/46/EK irányelv sérelme nélkül kell alkalmazni.

(35) A titoktartási kötelezettség hatálya alá tartozó statisztikai adatoknak az Európai Közösségek Statisztikai Hivatalához történő továbbításáról szóló, 1990. június 11-i 1588/90/Euratom, EGK tanácsi rendelet [8] 1. cikkének (2) bekezdése értelmében az említett rendelet nem tér el a nem statisztikai titokvédelemre vonatkozó közösségi vagy nemzeti különös rendelkezésektől.

(36) Ennek a rendeletnek nem célja, hogy korlátozza a tagállamoknak a Szerződés 249. cikkével összhangban meglévő jogkörét az adatvédelemre vonatkozó saját nemzeti jogszabályaiknak a 95/46/EK irányelv 32. cikke alapján történő meghozatalában,

ELFOGADTA EZT A RENDELETET:

I. FEJEZET

ÁLTALÁNOS RENDELKEZÉSEK

1. cikk

A rendelet célja

(1) E rendeletnek megfelelően, az Európai Közösségeket létrehozó szerződések által vagy azok alapján létrehozott intézmények és szervek, a továbbiakban "közösségi intézmények és szervek" gondoskodnak a természetes személyek alapvető jogainak és szabadságainak – különösen a magánélet tiszteletben tartásához való joguknak – a személyes adatok feldolgozásával összefüggő védelméről, továbbá nem korlátozzák és nem is tiltják egymás között a személyes adatok szabad áramlását, illetve a 95/46/EK irányelv végrehajtására a tagállamok által elfogadott nemzeti jogszabályok hatálya alá tartozó címzettekhez történő szabad áramlását.

(2) Az e rendelet által létrehozott független ellenőrző hatóság, a továbbiakban európai adatvédelmi biztos, figyelemmel kíséri e rendelet rendelkezéseinek a közösségi intézmények és szervek által végzett valamennyi adatfeldolgozási műveletre történő alkalmazását.

2. cikk

Fogalommeghatározások

E rendelet alkalmazásában:

a) "személyes adat": az azonosított vagy azonosítható természetes személyre – a továbbiakban "érintett"-re – vonatkozó bármely információ; az azonosítható személy olyan személy, aki közvetlen vagy közvetett módon azonosítható, különösen egy azonosító számra vagy a személy fizikai, fiziológiai, mentális, gazdasági, kulturális vagy társadalmi önazonosságára vonatkozó egy vagy több tényezőre történő utalás révén;

b) "személyes adatok feldolgozása": (a továbbiakban: "feldolgozás") a személyes adatokon automatikus vagy nem automatikus módon végzett bármely művelet vagy műveletek összessége, mint például a gyűjtés, rögzítés, rendszerezés, tárolás, átalakítás vagy megváltoztatás, visszakeresés, lekérdezés, felhasználás, közlés, továbbítás, terjesztés vagy egyéb módon történő hozzáférhetővé tétel révén, összehangolás vagy összekapcsolás, zárolás, törlés, illetve megsemmisítés;

c) "személyesadat-nyilvántartó rendszer": (a továbbiakban: "nyilvántartó rendszer") a személyes adatok bármely strukturált, funkcionálisan vagy földrajzilag centralizált, decentralizált vagy szétszórt állománya, amely meghatározott ismérvek alapján hozzáférhető;

d) "adatkezelő": az a közösségi intézmény vagy szerv, főigazgatóság, egység vagy bármely más szervezeti jogalany, amely önállóan vagy másokkal együtt meghatározza a személyes adatok feldolgozásának céljait és módját; ha a célokat és módokat egy adott közösségi jogi aktus határozza meg, az adatkezelőt vagy a kinevezésére vonatkozó külön szempontokat az a közösségi jogi aktus jelöli ki;

e) "feldolgozó": az a természetes vagy jogi személy, hatóság, intézmény vagy bármely más szerv, amely személyes adatokat dolgoz fel az adatkezelő nevében;

f) "harmadik személy": az a természetes vagy jogi személy, hatóság, intézmény vagy bármely más szerv, amely nem azonos az érintettel, az adatkezelővel, a feldolgozóval vagy azokkal a személyekkel, akik az adatkezelő vagy a feldolgozó közvetlen felügyelete alatt felhatalmazást kaptak az adatok feldolgozására;

g) "címzett": az a természetes vagy jogi személy, hatóság, intézmény vagy bármely más szerv, akinek vagy amelynek a részére az adatot továbbítják, függetlenül attól, hogy harmadik személy-e vagy sem; mindazonáltal azok a hatóságok, amelyek egyedi megkeresés alapján kapnak adatokat, nem tekinthetők címzettnek;

h) "az érintett hozzájárulása": az érintett kívánságának önkéntes, kifejezett és tájékozott kinyilvánítása, amellyel beleegyezését adja az őt érintő személyes adatok feldolgozásához.

3. cikk

A rendelet hatálya

(1) E rendeletet kell alkalmazni a személyes adatok bármely közösségi intézmény és szerv által történő feldolgozására, ha a feldolgozás részben vagy teljes egészében a közösségi jog hatálya alá tartozó tevékenységek gyakorlása során történik.

(2) E rendeletet kell alkalmazni a személyes adatok részben vagy egészben automatizált módon való feldolgozására, valamint azoknak a személyes adatoknak a nem automatizált módon való feldolgozására, amelyek valamely nyilvántartó rendszer részét képezik, vagy amelyeket egy nyilvántartó rendszer részévé kívánnak tenni.

II. FEJEZET

A SZEMÉLYES ADATOK FELDOLGOZÁSÁNAK JOGSZERŰSÉGÉRE VONATKOZÓ ÁLTALÁNOS SZABÁLYOK

1. SZAKASZ

AZ ADATOK MINŐSÉGÉRE VONATKOZÓ ELVEK

4. cikk

Az adatok minősége

(1) A személyes adatok:

a) feldolgozását tisztességesen és törvényesen kell végezni;

b) gyűjtése csak meghatározott, egyértelmű és törvényes célból történhet, és további feldolgozása nem végezhető e célokkal összeférhetetlen módon. A személyes adatok további feldolgozása történelmi, statisztikai vagy tudományos célokra nem tekintendő összeférhetetlennek, amennyiben az adatkezelő biztosítja a megfelelő garanciákat, különösen annak biztosítása érdekében, hogy az adatokat semmilyen más célból ne dolgozzák fel, és ne használják fel egy konkrét személlyel kapcsolatos intézkedések vagy döntések alátámasztásához;

c) gyűjtésük és/vagy további feldolgozásuk célja szempontjából megfelelőek, relevánsak és nem túlzott mértékűek;

d) pontosak, és ha szükséges, időszerűek kell legyenek; minden ésszerű intézkedést meg kell tenni annak érdekében, hogy a hibás vagy hiányos adatok, tekintettel gyűjtésük vagy további feldolgozásuk céljaira, törlésre vagy helyesbítésre kerüljenek;

e) tárolásának olyan formában kell történnie, amely az érintettek azonosítását csak az adatok gyűjtése vagy további feldolgozása céljainak eléréséhez szükséges ideig teszi lehetővé. A közösségi intézmény vagy szerv rendelkezik arról, hogy a történelmi, statisztikai vagy tudományos célból hosszabb ideig tárolandó személyes adatokat anonim adatként kell tárolni, vagy, ha ez nem lehetséges, az érintettek személyazonosságát titkosítani kell. Az adatok kizárólag történelmi, statisztikai vagy tudományos célokra használhatók fel.

(2) Az adatkezelő feladata gondoskodni arról, hogy az (1) bekezdés rendelkezései teljesüljenek.

2. SZAKASZ

AZ ADATFELDOLGOZÁS JOGSZERŰVÉ TÉTELÉRE VONATKOZÓ KRITÉRIUMOK

5. cikk

Az adatfeldolgozás jogszerűsége

A személyes adatok csak abban az esetben dolgozhatók fel, ha:

a) az adatfeldolgozás az Európai Közösségeket létrehozó szerződések, vagy az azok alapján elfogadott más jogszabályok értelmében közérdekből elvégzendő feladat végrehajtásához vagy a közösségi intézményre vagy szervre, illetve az adatokról tudomást szerző harmadik személyre ruházott hivatali hatáskör jogszerű gyakorlásához szükséges; vagy

b) az adatfeldolgozás az adatkezelőt terhelő jogi kötelezettségek teljesítéséhez szükséges; vagy

c) az adatfeldolgozás olyan szerződés teljesítéséhez szükséges, amelyben az érintett az egyik fél, vagy az adatfeldolgozás a szerződés megkötését megelőzően az érintett kérésére történő lépések megtételéhez szükséges; vagy

d) az érintett ahhoz egyértelmű hozzájárulását adta; vagy

e) feldolgozásuk az érintett létfontosságú érdekei védelméhez szükséges.

6. cikk

A cél megváltozása

A 4., 5. és 10. cikk sérelme nélkül:

(1) A személyes adatok feldolgozása csak abban az esetben történhet az adatgyűjtés céljától eltérő célból, ha a közösségi intézmény vagy szerv belső szabályai kifejezetten megengedik a cél megváltoztatását.

(2) A kizárólag adatfeldolgozó rendszerek vagy műveletek biztonsága vagy ellenőrzése céljából gyűjtött személyes adatok semmilyen más célra nem használhatók, kivéve a súlyos bűncselekmények megakadályozását, kivizsgálását, felderítését és üldözését.

7. cikk

Személyes adatok továbbítása a közösségi intézményeken vagy szerveken belül, illetve azok között

A 4., 5., 6. és 10. cikk sérelme nélkül:

(1) A személyes adatok csak abban az esetben továbbíthatók a közösségi intézményeken vagy szerveken belül vagy azok között, ha az adatok a címzett hatáskörébe tartozó feladatok jogszerű végrehajtásához szükségesek.

(2) Abban az esetben, ha az adatok továbbítása a címzett kérelmére történik, mind az adatkezelő, mind a címzett felelős e továbbítás törvényességéért.

Az adatkezelő köteles meggyőződni a címzett illetékességéről, és az adatok továbbításának szükségességét előzetesen elbírálni. Ha a szükségességgel kapcsolatban kétségek merülnek fel, az adatkezelő további tájékoztatást kér a címzettől.

A címzett gondoskodik arról, hogy az adatok továbbításának szükségessége utóbb igazolható legyen.

(3) A címzett a személyes adatokat csak azok továbbítása céljának megfelelően dolgozhatja fel.

8. cikk

Személyes adatok továbbítása közösségi intézményektől és szervektől eltérő, a 95/46/EK irányelv hatálya alá tartozó címzettek részére

A 4., 5., 6. és 10. cikk sérelme nélkül, a személyes adatokat a 95/46/EK irányelv végrehajtására elfogadott nemzeti jogszabályok hatálya alá tartozó címzettek részére kizárólag akkor lehet továbbítani,

a) ha a címzett nyilatkozata szerint az adatok közérdekből elvégzendő feladat végrehajtásához szükségesek, vagy hivatali hatáskör gyakorlásához kapcsolódnak; vagy

b) ha a címzett nyilatkozata szerint az adatok továbbítása szükséges, és nincs ok azt feltételezni, hogy az érintett törvényes érdekei sérelmet szenvedhetnek.

9. cikk

Személyes adatok továbbítása közösségi intézményektől és szervektől eltérő, a 95/46/EK irányelv hatálya alá nem tartozó címzettek részére

(1) A személyes adatok csak abban az esetben továbbíthatók a 95/46/EK irányelv szerint elfogadott nemzeti jogszabályok hatálya alá nem tartozó, a közösségi intézményektől és szervektől eltérő címzettek részére, ha a címzett országában vagy a címzett nemzetközi szervezetben megfelelő szintű adatvédelem biztosított, és az adatok továbbítása kizárólag az adatkezelő hatáskörébe tartozó feladatok végrehajtását teszi lehetővé.

(2) Az adott harmadik ország vagy nemzetközi szervezet által biztosított védelem szintjének megfelelő mivoltát az adattovábbítási művelettel vagy adattovábbítási műveletsorral kapcsolatos valamennyi körülmény figyelembevételével kell értékelni; különös figyelmet kell fordítani az adatok jellegére, a tervezett adatfeldolgozási művelet vagy műveletek céljára és időtartamára, a címzett harmadik országra vagy címzett nemzetközi szervezetre, az adott harmadik országban vagy nemzetközi szervezetben hatályos, általános és ágazati jogszabályokra, valamint az adott harmadik országban vagy nemzetközi szervezetben érvényesülő szakmai szabályokra és biztonsági intézkedésekre.

(3) A közösségi intézmények vagy szervek értesítik a Bizottságot és az európai adatvédelmi biztost azokról az esetekről, amelyekben úgy vélik, hogy az adott harmadik ország vagy nemzetközi szervezet nem biztosít megfelelő szintű védelmet a (2) bekezdés értelmében.

(4) A Bizottság értesíti a tagállamokat a (3) bekezdésben említett esetekről.

(5) A közösségi intézmények és szervek megteszik a szükséges intézkedéseket annak érdekében, hogy megfeleljenek a Bizottság határozatának abban az esetben, ha a Bizottság a 95/46/EK irányelv 25. cikkének (4), illetve (6) bekezdése szerint megállapítja, hogy valamely harmadik ország vagy nemzetközi szervezet megfelelő szintű védelmet biztosít-e.

(6) Az (1) és (2) bekezdéstől eltérve, a közösségi intézmény vagy szerv továbbíthat személyes adatokat abban az esetben, ha:

a) az érintett egyértelműen hozzájárulását adta a tervezett továbbításhoz; vagy

b) a továbbítás az érintett és az adatkezelő közötti szerződés teljesítéséhez, vagy az érintett kérelmére hozott, szerződést megelőző intézkedések végrehajtásához szükséges; vagy

c) a továbbítás az adatkezelő és valamely harmadik személy közötti, az érintett érdekét szolgáló szerződés megkötéséhez vagy teljesítéséhez szükséges; vagy

d) a továbbítás fontos közérdekből vagy jogi követelések megállapítása, érvényesítése vagy védelme miatt szükséges, illetve azt jogszabály írja elő; vagy

e) a továbbítás az érintett létfontosságú érdekeinek védelme miatt szükséges; vagy

f) a továbbítást olyan nyilvántartásból végzik, amely a közösségi jognak megfelelően a nyilvánosság tájékoztatását szolgálja, és amely általában a nyilvánosság számára, vagy bármely, jogos érdekét igazoló személy számára betekintés céljából rendelkezésre áll, amennyiben a közösségi jog által a betekintésre megállapított feltételek az adott esetben teljesülnek.

(7) A (6) bekezdés sérelme nélkül, az európai adatvédelmi biztos engedélyezheti személyes adatok olyan harmadik ország vagy nemzetközi szervezet részére történő továbbítását vagy továbbítássorozatát, amely az (1) és a (2) bekezdés értelmében nem biztosít megfelelő szintű védelmet, amennyiben az adatkezelő megfelelő garanciákat teremt az egyének magánéletének, alapvető jogainak és szabadságainak védelme, továbbá a kapcsolódó jogok gyakorlása tekintetében; ilyen garanciát jelenthetnek különösen a megfelelő szerződési záradékok.

(8) A közösségi intézmények és szervek tájékoztatják az európai adatvédelmi biztost azokról az esetkategóriákról, amelyekben a (6) és a (7) bekezdést alkalmazták.

3. SZAKASZ

AZ ADATFELDOLGOZÁS KÜLÖNLEGES KATEGÓRIÁI

10. cikk

Különleges adatkategóriák feldolgozása

(1) Tilos az olyan személyes adatok feldolgozása, amelyekből következtetni lehet a faji vagy etnikai hovatartozásra, a politikai véleményre, a vallási vagy világnézeti meggyőződésre, a szakszervezeti tagságra, az egészségi állapotra vagy a szexuális életre.

(2) Az (1) bekezdést nem lehet alkalmazni abban az esetben, ha:

a) az érintett kifejezett hozzájárulását adta az említett adatok feldolgozásához, kivéve, ha a közösségi intézmény vagy szerv belső szabályai úgy rendelkeznek, hogy az (1) bekezdésben említett tilalom alól nem engedhető kivétel az érintett hozzájárulásával sem; illetve

b) az adatfeldolgozás az adatkezelő munkajogi kötelezettségeinek és meghatározott jogainak való megfelelés érdekében szükséges, amennyiben az Európai Közösségeket létrehozó szerződések vagy az azok alapján elfogadott más jogi eszközök ezt lehetővé teszik, illetve, szükség esetén, amennyiben az európai adatvédelmi biztos – a megfelelő biztosítékok mellett – ehhez hozzájárul; illetve

c) az adatfeldolgozás az érintett létfontosságú érdekeinek védelméhez szükséges vagy más személy létfontosságú érdekeinek védelméhez szükséges abban az esetben, ha az érintett fizikailag vagy jogilag nem képes a hozzájárulását adni; illetve

d) az adatfeldolgozás olyan adatokra vonatkozik, amelyeket az érintett egyértelműen nyilvánosságra hozott, vagy amelyek jogi követelések megállapításához, érvényesítéséhez vagy védelméhez szükségesek; illetve

e) az adatfeldolgozás közösségi intézmény vagy szerv részét képező, a 95/46/EK irányelv 4. cikke értelmében a nemzeti adatvédelmi jog hatálya alá nem tartozó nonprofit szervezet megfelelő biztosítékok mellett végzett törvényes tevékenysége keretében történik, politikai, világnézeti, vallási vagy szakszervezeti céllal, azzal a feltétellel, hogy az adatfeldolgozás kizárólag az ilyen szerv tagjaira, vagy olyan személyekre vonatkozik, akik azzal rendszeres kapcsolatban állnak a szerv céljainak megfelelően, és azzal a feltétellel, hogy az adatok az érintettek hozzájárulása nélkül nem tehetők hozzáférhetővé harmadik személy számára.

(3) Az (1) bekezdés nem alkalmazható, ha az adatok feldolgozása megelőző egészségügyi, orvosi diagnosztikai célból, gondozás vagy kezelés alkalmazása vagy egészségügyi szolgáltatások igazgatása céljából szükséges, és ha az adatokat szakmai titoktartás hatálya alá tartozó egészségügyi szakember vagy azzal egyenértékű titoktartás hatálya alá tartozó más személy dolgozza fel.

(4) Ha a megfelelő biztosítékok rendelkezésre állnak, illetve ha azt fontos közérdek indokolja, a fenti (2) bekezdésben meghatározott mentességeken túl is meghatározhatók mentességek az Európai Közösségeket létrehozó szerződésekben vagy az azok alapján elfogadott más jogi eszközökben, illetve szükség esetén az európai adatvédelmi biztos határozata által.

(5) A bűncselekményekre, büntetőítéletekre vagy biztonsági intézkedésekre vonatkozó adatok feldolgozása csak az Európai Közösségeket létrehozó szerződések vagy az azok alapján elfogadott más jogi eszközök, illetve szükség esetén az európai adatvédelmi biztos felhatalmazása alapján, a megfelelő konkrét biztosítékok mellett történhet.

(6) Az európai adatvédelmi biztos meghatározza azokat a feltételeket, amelyek szerint a közösségi intézmény vagy szerv személyi számot vagy más általános alkalmazású azonosító jelet feldolgozhat.

4. SZAKASZ

AZ ÉRINTETT TÁJÉKOZTATÁSA

11. cikk

Tájékoztatás az érintettől való adatgyűjtés esetében

(1) Az adatkezelő köteles legalább az alábbiakról tájékoztatni az érintettet, akitől a rá vonatkozó adatokat gyűjtik, kivéve, ha az érintett már rendelkezik ezekkel az információkkal:

a) az adatkezelő személye;

b) az adatfeldolgozási művelet célja, amelyre az adatokat szánják;

c) az adatok címzettjei, illetve a címzettek kategóriái;

d) hogy a kérdések megválaszolása kötelező vagy önkéntes, továbbá a válaszadás elmulasztásának lehetséges következményei;

e) betekintési jog és helyesbítési jog megléte az érintettre vonatkozó adatok tekintetében;

f) bármely egyéb információ, mint például:

i. annak az adatfeldolgozási műveletnek a jogalapja, amelyre az adatokat szánják;

ii. az adatok tárolásának időtartama;

iii. tájékoztatás arról, hogy joga van bármikor az európai adatvédelmi biztoshoz fordulni,

amennyiben e további információk, tekintettel az adatgyűjtés sajátos körülményeire, az érintett vonatkozásában a tisztességes adatfeldolgozás biztosításához szükségesek.

(2) Az (1) bekezdéstől eltérve, az információk vagy részinformációk közlése statisztikai okból késleltethető, kivéve az (1) bekezdés a), b) és d) pontjában említett információkat. Az információt haladéktalanul közölni kell, amint a visszatartására vonatkozó ok megszűnik.

12. cikk

Tájékoztatás, ha az adatokat nem az érintettől szerezték be

(1) Abban az esetben, ha az adatokat nem az érintettől szerezték be, az adatkezelő a személyes adatok felvételének elvállalásakor, illetve, ha az adatokat harmadik személlyel kívánják közölni, legkésőbb az adatok első közlésekor köteles az érintettel legalább az alábbi információkat közölni, kivéve ha az érintett már rendelkezik ezekkel az információkkal:

a) az adatkezelő személye;

b) az adatfeldolgozási művelet célja;

c) az érintett adatkategóriák;

d) az adatok címzettjei vagy a címzettek kategóriái;

e) betekintési jog és helyesbítési jog megléte az érintettre vonatkozó adatok tekintetében;

f) bármely egyéb információ, mint például:

i. annak az adatfeldolgozási műveletnek a jogalapja, amelyre az adatokat szánják;

ii. az adatok tárolásának időtartama;

iii. tájékoztatás arról, hogy joga van bármikor az európai adatvédelmi biztoshoz fordulni;

iv. az adatok forrása, kivéve ha az adatkezelő szakmai titoktartási kötelezettség miatt ezt az információt nem közölheti,

amennyiben e további információk, tekintettel az adatgyűjtés sajátos körülményeire, az érintett vonatkozásában a tisztességes adatfeldolgozás biztosításához szükségesek.

(2) Az (1) bekezdés nem alkalmazható, különösen a statisztikai célú vagy a történelmi, vagy tudományos célú adatfeldolgozás esetében, ha a kérdéses információk rendelkezésre bocsátása lehetetlennek bizonyul vagy aránytalanul nagy erőfeszítést igényel, illetve ha a rögzítést vagy a közlést a közösségi jog kifejezetten előírja. Ezekben az esetekben a közösségi intézménynek vagy szervnek az európai adatvédelmi biztossal történő konzultációt követően garantálnia kell a megfelelő biztosítékokat.

5. SZAKASZ

AZ ÉRINTETT JOGAI

13. cikk

A tájékoztatáshoz való jog

Az érintettnek jogában áll az adatkezelőtől bármikor korlátozás nélkül és díjmentesen, a kérelem kézhezvételétől számított három hónapon belül:

a) megerősítést kapni arról, hogy rá vonatkozó adat feldolgozására sor került-e vagy sem;

b) tájékoztatást kapni legalább az adatfeldolgozási művelet céljáról, az érintett adatkategóriákról és a címzettekről vagy a címzettek kategóriáiról, akikkel, illetve amelyekkel az adatokat közlik;

c) az adatfeldolgozás tárgyát képező adatokat és azok forrásával kapcsolatos minden rendelkezésre álló információt érthető formában megkapni;

d) tájékoztatást kapni a rá vonatkozó adatok automatizált feldolgozásának logikájáról.

14. cikk

Helyesbítés

Az érintettnek joga van az adatkezelőtől a hibás vagy hiányos személyes adatok haladéktalan helyesbítését kérni.

15. cikk

Zárolás

(1) Az érintettnek joga van az adatkezelőtől az adatok zárolását kérni, ha:

a) pontosságukat az érintett vitatja, annyi ideig, amely alatt az adatkezelő megvizsgálhatja az adatok pontosságát, ideértve azok hiánytalanságát; vagy

b) az adatkezelőnek már nincs szüksége az adatokra feladatainak végrehajtásához, de az adatokat bizonyítás céljából meg kell őrizni; vagy

c) az adatfeldolgozás jogellenes, és az érintett ellenzi az adatok törlését, és ehelyett zárolásukat kéri.

(2) Az automatizált nyilvántartó rendszerekben a zárolást lehetőleg technikai eszközök útján kell biztosítani. A személyes adatok zárolásának tényét a rendszerben olyan módon kell feltüntetni, amelyből egyértelmű, hogy az adatok nem használhatók fel.

(3) Az e cikk alapján zárolt személyes adatok, a tárolást kivéve, kizárólag bizonyítási célból, vagy az érintett hozzájárulásával, vagy harmadik személy jogainak védelmében használhatók fel.

(4) Az adatainak zárolását kérelmező érintettet az adatkezelő az adatok zárolásának feloldását megelőzően értesíti.

16. cikk

Törlés

Az érintettnek joga van az adatkezelőtől az adatok törlését kérni, ha feldolgozásuk jogellenesen történt, különösen akkor, ha a II. fejezet 1., 2. és 3. szakaszát megsértették.

17. cikk

Harmadik személyek értesítése

Az érintettnek joga van az adatkezelőtől kérni, hogy azokat a harmadik személyeket, akikkel az adatokat közölték, értesítse a 13–16. cikk szerinti helyesbítésről, törlésről vagy zárolásról, kivéve ha ez lehetetlennek bizonyul vagy aránytalanul nagy erőfeszítést kíván.

18. cikk

Az érintett kifogásolási joga

Az érintettnek joga van ahhoz, hogy:

a) sajátos helyzetével kapcsolatos, fontos jogos érdekből bármikor kifogást emelhessen a rá vonatkozó adatok feldolgozása ellen, kivéve az 5. cikk b), c) és d) pontjában szabályozott eseteket. Megalapozott kifogás esetén a kérdéses adatfeldolgozás a továbbiakban nem terjedhet ki a szóban forgó adatokra;

b) tájékoztassák személyes adatainak harmadik személyekkel első alkalommal történő közlését vagy a nevében közvetlen üzletszerzés céljára történő felhasználását megelőzően, valamint, hogy számára kifejezetten felajánlják az ilyen közlés, illetve felhasználás elleni költségmentes kifogás lehetőségét.

19. cikk

Automatizált egyedi döntések

Az érintettnek joga van ahhoz, hogy ne terjedhessen ki rá olyan döntés hatálya, amely rá nézve jogi hatással járna, vagy őt jelentős mértékben érintené, és amely kizárólag az ő személyes jellemzőinek – így a munkahelyi teljesítményének, a megbízhatóságának, vagy az életvitelének – értékelését szolgáló automatizált adatfeldolgozáson alapul, kivéve, ha a döntést nemzeti vagy közösségi jogszabály kifejezetten megengedi, illetve, szükség szerint, az európai adatvédelmi biztos kifejezetten engedélyezi. Mindkét esetben meg kell tenni az érintett jogos érdekeit védő, például véleménynyilvánítását lehetővé tevő intézkedéseket.

6. SZAKASZ

MENTESSÉGEK ÉS KORLÁTOZÁSOK

20. cikk

Mentességek és korlátozások

(1) A közösségi intézmények és szervek korlátozhatják a 4. cikk (1) bekezdésének, a 11. cikknek, a 12. cikk (1) bekezdésének, a 13–17. cikknek és a 37. cikk (1) bekezdésének az alkalmazását, ha ilyen korlátozó intézkedés a következők védelmében szükséges:

a) bűncselekmények megelőzése, vizsgálata, felderítése és üldözése;

b) valamely tagállam vagy az Európai Közösségek fontos gazdasági vagy pénzügyi érdeke, beleértve a monetáris, a költségvetési és az adózási kérdéseket;

c) az érintett védelme, vagy mások jogainak és szabadságainak védelme;

d) a tagállamok nemzetbiztonsága, közbiztonsága vagy honvédelme;

e) ellenőrzési, felügyeleti vagy szabályozási tevékenység, amely az a) és b) pontban említett esetekben – akár alkalmilag – hatósági feladatok ellátásához kapcsolódik.

(2) A 13–16. cikk nem alkalmazható akkor, ha az adatokat kizárólag tudományos kutatás céljából dolgozzák fel, vagy személyes jellegüket megőrző formában csak a statisztikák összeállításához szükséges ideig tárolják, feltéve hogy nyilvánvalóan nem áll fenn annak a veszélye, hogy az érintett magánélethez való jogát sérelem éri, továbbá feltéve, hogy az adatkezelő megfelelő jogi garanciát nyújt, különösen arra nézve, hogy az adatokat nem használhatják fel meghatározott személyekre vonatkozó intézkedések megtételéhez vagy döntések meghozatalához.

(3) Ha az (1) bekezdésben foglalt korlátozásra kerül sor, az érintettet tájékoztatni kell – a közösségi joggal összhangban – a korlátozás alkalmazásának fő okairól, és arról, hogy joga van az európai adatvédelmi biztoshoz fordulni.

(4) Ha az (1) bekezdésben foglalt korlátozás alapján megtagadják az érintettől a betekintést, az európai adatvédelmi biztos – a panasz kivizsgálásakor – a jogosultat csak arról tájékoztatja, hogy az adatot szabályszerűen dolgozták-e fel, és ha nem, akkor történt-e helyesbítés.

(5) A (3) és a (4) bekezdésben említett tájékoztatás elhalasztható mindaddig, amíg az (1) bekezdés alapján elrendelt korlátozást hatásától megfosztaná.

7. SZAKASZ

AZ ADATFELDOLGOZÁS TITKOSSÁGA ÉS BIZTONSÁGA

21. cikk

Az adatfeldolgozás titkossága

Közösségi intézmény vagy szerv által foglalkoztatott, adatfeldolgozóként eljáró személy, illetve bármely, adatfeldolgozóként eljáró közösségi intézmény vagy szerv, amely személyes adatokhoz hozzáféréssel rendelkezik, kizárólag az adatkezelő utasítása alapján dolgozhatja fel ezeket az adatokat, kivéve ha az adatfeldolgozásra őt nemzeti vagy közösségi jogszabály kötelezi.

22. cikk

Az adatfeldolgozás biztonsága

(1) Tekintettel a technika vívmányaira és alkalmazásuk költségeire, az adatkezelő megfelelő műszaki és szervezeti intézkedéseket hajt végre annak érdekében, hogy biztosítsa az adatok feldolgozásával járó kockázatnak és a védelmet igénylő személyes adatok jellegének megfelelő szintű biztonságot.

Az említett intézkedéseket különösen azért kell meghozni, hogy megakadályozzák a jogosulatlan közlést vagy hozzáférést, a véletlen vagy jogellenes megsemmisítést, a véletlen elvesztést vagy változtatást, és az adatfeldolgozás minden egyéb jogellenes formáját.

(2) Ha személyes adatok automatizált feldolgozására kerül sor, a kockázatoknak megfelelően szükség szerint intézkedéseket kell tenni különösen abból a célból, hogy:

a) megakadályozzanak minden jogosulatlan személyt abban, hogy a személyes adatokat feldolgozó számítógépes rendszerhez hozzáférhessen;

b) megakadályozzák az adathordozók jogosulatlan leolvasását, másolását, módosítását vagy eltávolítását;

c) megakadályozzák a jogosulatlan adatbevitelt, valamint a tárolt személyes adatok jogosulatlan közlését, megváltoztatását vagy törlését;

d) megakadályozzák a jogosulatlan személyeket abban, hogy adatátviteli eszközök segítségével adatfeldolgozó rendszereket használjanak;

e) biztosítsák, hogy az adatfeldolgozó rendszer jogosult felhasználói csak azokhoz a személyes adatokhoz férhessenek hozzá, amelyekre hozzáférési joguk kiterjed;

f) rögzítsék, hogy mely személyes adatot közöltek, mikor és kivel;

g) biztosítsák annak lehetőségét, hogy utólag ellenőrizhető legyen, mely személyes adat feldolgozására került sor, mikor és ki által;

h) biztosítsák, hogy a harmadik személyek érdekében feldolgozásra kerülő személyes adatokat kizárólag a szerződő intézmény vagy szerv által előírt módon lehessen feldolgozni;

i) biztosítsák, hogy a személyes adatok közlése és az adathordozók szállítása során az adatokat engedély nélkül ne lehessen leolvasni, másolni, illetve törölni;

j) az intézményen vagy szerven belül a szervezeti felépítést olyan módon tervezzék meg, hogy az megfeleljen az adatvédelemre vonatkozó különleges követelményeknek.

23. cikk

Az adatkezelők nevében végzett személyesadat-feldolgozás

(1) Az adatkezelő – amennyiben az adatfeldolgozási műveletet az ő nevében végzik – olyan adatfeldolgozót választ, aki, illetőleg amely a 22. cikk által megkövetelt műszaki és szervezeti biztonsági intézkedésekre vonatkozóan megfelelő garanciákat nyújt, továbbá az adatkezelő gondoskodik az ezen intézkedéseknek való megfelelésről.

(2) Az adatfeldolgozó által történő adatfeldolgozásra olyan szerződésnek vagy jogi aktusnak kell vonatkoznia, amely az adatfeldolgozót az adatkezelővel szemben köti, és amely különösen a következőket írja elő:

a) az adatfeldolgozó kizárólag az adatkezelő utasításai alapján járhat el;

b) a 21. és a 22. cikkben meghatározott kötelezettségek az adatfeldolgozót is terhelik, kivéve, ha a 95/46/EK irányelv 16. cikke vagy 17. cikke (3) bekezdésének második francia bekezdése alapján az adatfeldolgozót már a tagállamok valamelyikének nemzeti jogában megállapított titoktartási és biztonsági kötelezettségek terhelik.

(3) A bizonyítékok megőrzése céljából, a szerződés vagy a jogi aktus adatvédelemre vonatkozó részeit és a 22. cikkben említett intézkedésekre vonatkozó követelményeket írásba vagy más, ezzel egyenértékű formába kell foglalni.

8. SZAKASZ

AZ ADATVÉDELMI TISZTVISELŐ

24. cikk

Az adatvédelmi tisztviselő kinevezése és feladatai

(1) Minden közösségi intézmény és közösségi szerv legalább egy személyt kinevez adatvédelmi tisztviselőnek. E személy feladatai a következők:

a) biztosítja, hogy az adatkezelőket és az adatok jogosultjait tájékoztassák e rendelet szerinti jogaikról és kötelezettségeikről;

b) válaszol az európai adatvédelmi biztos megkereséseire, és illetékességi körén belül együttműködik az európai adatvédelmi biztossal annak kérésére vagy saját kezdeményezése alapján;

c) független módon biztosítja e rendelet rendelkezéseinek belső alkalmazását;

d) vezeti az adatkezelő által végzett adatfeldolgozási műveletek nyilvántartását, amely tartalmazza a 25. cikk (2) bekezdésében említett adatokat;

e) értesíti az európai adatvédelmi biztost azokról az adatfeldolgozási műveletekről, amelyek a 27. cikk értelmében külön kockázatot hordoznak.

A kinevezett személy ezáltal biztosítja, hogy az adatfeldolgozási műveletek során ne álljon fenn az érintettek jogai és szabadságai sérelmének veszélye.

(2) Az adatvédelmi tisztviselő kiválasztása személyes tulajdonságai és szakmai képességei, és különösen adatvédelmi szaktudása alapján történik.

(3) Az adatvédelmi tisztviselő kiválasztása nem okozhat összeférhetetlenséget a kiválasztott személy adatvédelmi tisztviselőként végzett feladatai és bármely más, különösen e rendelet rendelkezéseinek alkalmazásával kapcsolatban végzett hivatali feladatai között.

(4) Az adatvédelmi tisztviselő kinevezése kettőtől öt évig terjedő időtartamra szól. Megbízatása mindaddig megújítható, amíg megbízatási ideje nem éri el a maximum tízéves összesített időtartamot. Az adatvédelmi tisztviselőt az őt kinevező közösségi intézmény vagy szerv mentheti fel, kizárólag az európai adatvédelmi biztos hozzájárulásával, ha az adatvédelmi tisztviselő már nem felel meg a feladatának teljesítéséhez előírt feltételeknek.

(5) Kinevezése után az adatvédelmi tisztviselőt az őt kinevező intézmény vagy szerv az európai adatvédelmi biztos által vezetett nyilvántartásba felveteti.

(6) Az adatvédelmi tisztviselőt kinevező közösségi intézmény vagy szerv biztosítja az adatvédelmi tisztviselő számára a feladatai elvégzéséhez szükséges személyi és anyagi erőforrásokat.

(7) Az adatvédelmi tisztviselő a feladatai végzése tekintetében nem utasítható.

(8) Az adatvédelmi tisztviselőre vonatkozó további végrehajtási szabályokat az egyes közösségi intézmények vagy szervek a melléklet rendelkezései szerint fogadják el. A végrehajtási szabályok különösen az adatvédelmi tisztviselő feladataira, kötelességeire és hatáskörére vonatkoznak.

25. cikk

Az adatvédelmi tisztviselő értesítése

(1) Az adatkezelő minden adatfeldolgozási műveletről és az egy azonos célt vagy több egymással összefüggő célt szolgáló adatfeldolgozási műveletek sorozatáról előzetesen értesíti az adatvédelmi tisztviselőt.

(2) Az értesítés a következőket tartalmazza:

a) az adatkezelő nevét és címét, és az intézmény vagy szerv személyesadat-feldolgozással meghatározott célból megbízott szervezeti egységeinek megjelölését;

b) az adatfeldolgozás célját vagy céljait;

c) az érintettek kategóriájának vagy kategóriáinak, valamint a rájuk vonatkozó adatoknak vagy adatkategóriáknak a leírását;

d) annak az adatfeldolgozási műveletnek a jogalapját, amelynek az adatokat alá kívánják vetni;

e) azon címzetteket vagy címzettek kategóriáit, akikkel az adatok közölhetők;

f) a különböző adatkategóriákra vonatkozó zárolási és törlési határidőkkel kapcsolatos általános információt;

g) a harmadik országok vagy nemzetközi szervezetek számára történő, tervezett adattovábbítást;

h) olyan általános leírást, amely a 22. cikk alapján hozott, az adatfeldolgozás biztonságát szolgáló intézkedések megfelelőségének előzetes értékelését lehetővé teszi.

(3) Az adatvédelmi tisztviselőt haladéktalanul értesíteni kell a (2) bekezdésben említett adatokat érintő bármely változásról.

26. cikk

Nyilvántartás

Minden adatvédelmi tisztviselő nyilvántartást vezet a 25. cikknek megfelelően bejelentett adatfeldolgozási műveletekről.

A nyilvántartásnak legalább a 25. cikk (2) bekezdésének a)–g) pontjában említett adatokat tartalmaznia kell. A nyilvántartást közvetlenül vagy az európai adatvédelmi biztos révén közvetve bárki megtekintheti.

9. SZAKASZ

AZ EURÓPAI ADATVÉDELMI BIZTOS ÁLTAL VÉGZETT ELŐZETES ELLENŐRZÉS ÉS AZ EGYÜTTMŰKÖDÉSI KÖTELEZETTSÉG

27. cikk

Az előzetes ellenőrzés

(1) Az európai adatvédelmi biztos előzetesen ellenőrzi azokat az adatfeldolgozási műveleteket, amelyek jellegüknél, alkalmazási körüknél vagy céljuknál fogva külön kockázatot jelenthetnek az érintettek jogaira és szabadságaira nézve.

(2) Ilyen kockázatot jelenthetnek a következő adatfeldolgozási műveletek:

a) az egészségi állapottal kapcsolatos adatok feldolgozása, valamint a bűncselekmények gyanújával, bűncselekményekkel, büntetőítéletekkel vagy biztonsági intézkedésekkel kapcsolatos adatok feldolgozása;

b) az érintett személyes jellemzőinek – így például képességeinek, teljesítményének és magatartásának – értékelésére irányuló adatfeldolgozási műveletek;

c) a különböző célból feldolgozott adatoknak a nemzeti, illetve közösségi jogszabályok által elő nem írt összekapcsolását lehetővé tevő adatfeldolgozási műveletek;

d) olyan adatfeldolgozási műveletek, amelyek célja, hogy jogot vagy előnyt megtagadjanak, illetve személyeket valamely szerződésből kizárjanak.

(3) Az előzetes ellenőrzéseket az európai adatvédelmi biztos végzi az adatvédelmi tisztviselőtől kapott értesítés kézhezvételét követően, aki az előzetes ellenőrzés szükségességére vonatkozó kétség esetén egyeztet az európai adatvédelmi biztossal.

(4) Az európai adatvédelmi biztos az értesítés kézhezvételét követő két hónapon belül nyilvánít véleményt. Ez az időtartam felfüggeszthető arra az időre, amíg az európai adatvédelmi biztos beszerzi az általa kért további információkat. Az időtartam az európai adatvédelmi biztos határozata alapján további két hónappal meghosszabbítható, ha az ügy bonyolultsága megkívánja. Az erről szóló határozatról az első két hónapos időtartam letelte előtt kell az adatkezelőt értesíteni.

Ha a véleményezésre a két hónapos időtartam végéig, illetve ezen időtartam bármely meghosszabbításának leteltéig nem kerül sor, akkor a véleményt kedvezőnek kell tekinteni.

Ha az európai adatvédelmi biztos azon a véleményen van, hogy a bejelentett adatfeldolgozás e rendelet bármely rendelkezésének megsértését vonhatja maga után, ennek elkerülése érdekében adott esetben javaslatokat tehet. Ha az adatkezelő nem módosítja ennek megfelelően az adatfeldolgozási műveletet, az európai adatvédelmi biztos a 47. cikk (1) bekezdése által ráruházott hatáskört gyakorolhatja.

(5) Az európai adatvédelmi biztos nyilvántartást vezet minden olyan adatfeldolgozási műveletről, amelyről a (2) bekezdés szerint értesítették. A nyilvántartás tartalmazza a 25. cikkben említett adatokat, és bárki által megtekinthető.

28. cikk

Egyeztetés

(1) A közösségi intézmények és szervek értesítik az európai adatvédelmi biztost azoknak a közigazgatási intézkedéseknek a kidolgozása esetén, amelyek egy közösségi intézmény vagy szerv közreműködésével történő, vagy több közösségi intézmény vagy szerv közös közreműködésével történő személyesadat-feldolgozásra vonatkoznak.

(2) Ha a Bizottság a személyek jogainak és szabadságainak a személyes adatok feldolgozásával kapcsolatos védelmére vonatkozó jogalkotási javaslatot fogad el, az európai adatvédelmi biztossal egyeztet.

29. cikk

Tájékoztatási kötelezettség

A közösségi intézmények és szervek tájékoztatják az európai adatvédelmi biztost a 46. cikk h) pontjában említett határozatai, illetve engedélyei alapján elfogadott intézkedésekről.

30. cikk

Együttműködési kötelezettség

Ha az európai adatvédelmi biztos kéri, az adatkezelők kötelesek őt támogatni feladatainak végrehajtásában, különösen a 47. cikk (2) bekezdésének a) pontjában említett adatok rendelkezésre bocsátása és a 47. cikk (2) bekezdésének b) pontjában említett belépés lehetővé tétele révén.

31. cikk

Válaszadási kötelezettség az állítólagos jogsértések tekintetében

Az európai adatvédelmi biztos által a 47. cikk (1) bekezdésének b) pontja szerinti hatáskör gyakorlása során felmerült kérdésre válaszul az érintett adatkezelő a biztos által megállapítandó ésszerű időn belül tájékoztatja a biztost a véleményéről. Ez a válasz az európai adatvédelmi biztos észrevételei nyomán adott esetben tett intézkedések leírását is tartalmazza.

III. FEJEZET

JOGORVOSLAT

32. cikk

Jogorvoslat

(1) Az e rendelet rendelkezéseivel kapcsolatos valamennyi jogvitában – ideértve a kártérítési igényeket is – az Európai Közösségek Bírósága rendelkezik hatáskörrel.

(2) A bírósági jogorvoslat sérelme nélkül, bármely érintett panaszt nyújthat be az európai adatvédelmi biztoshoz, ha megítélése szerint személyes adatainak közösségi intézmény vagy szerv által végzett feldolgozása következtében a Szerződés 286. cikke szerinti jogait megsértették.

A panaszt elutasítottnak kell tekinteni, ha az európai adatvédelmi biztostól hat hónapon belül nem érkezik rá válasz.

(3) Az európai adatvédelmi biztos döntései ellen az Európai Közösségek Bírósága előtt kell keresetet indítani.

(4) Minden olyan személy, aki jogellenes adatfeldolgozási művelet vagy az e rendelettel össze nem egyeztethető bármely intézkedés miatt kárt szenved, a Szerződés 288. cikkének megfelelően jogosult az okozott kár megtérítésére.

33. cikk

A Közösség alkalmazottainak panaszai

Bármely, közösségi intézmény vagy szerv által foglalkoztatott személy a hivatali út igénybevétele nélkül panasszal élhet az európai adatvédelmi biztosnál e rendelet személyesadat-feldolgozást szabályozó rendelkezéseinek vélt megsértésével kapcsolatban. Senki sem szenvedhet sérelmet amiatt, hogy a személyesadat-feldolgozást szabályozó rendelkezések vélt megsértésével kapcsolatban panasszal élt az európai adatvédelmi biztosnál.

IV. FEJEZET

A SZEMÉLYES ADATOK ÉS A MAGÁNÉLET TISZTELETBEN TARTÁSÁHOZ VALÓ JOG VÉDELME A BELSŐ TÁVKÖZLŐ HÁLÓZATOK KERETÉBEN

34. cikk

Alkalmazási kör

E rendelet egyéb rendelkezéseinek sérelme nélkül, ezt a fejezetet kell alkalmazni a közösségi intézmény vagy szerv irányítása alatt üzemeltetett távközlő hálózatok, illetve végberendezések használatához kapcsolódó személyesadat-feldolgozásra.

E fejezet alkalmazásában "felhasználó" a közösségi intézmény vagy szerv irányítása alatt üzemeltett távközlő hálózatot vagy végberendezést használó bármely természetes személy.

35. cikk

Biztonság

(1) A közösségi intézmények és szervek megteszik a megfelelő műszaki és szervezeti intézkedéseket annak érdekében, hogy – szükség esetén a nyilvánosan elérhető távközlési szolgáltatások szolgáltatóival, illetve nyilvános távközlő hálózatok szolgáltatóival együtt – biztosítsák a távközlő hálózatok és végberendezések biztonságos használatát. Tekintettel a technika vívmányaira és alkalmazásuk költségeire, ezek az intézkedések a felmerülő kockázatnak megfelelő szintű biztonságot garantálják.

(2) A hálózat és a végberendezés biztonságát veszélyeztető bármely konkrét kockázat esetén az érintett közösségi intézmény vagy szerv tájékoztatja a felhasználókat az adott kockázat fennállásáról, annak lehetséges orvoslásáról és a kommunikáció lehetséges alternatív eszközeiről.

36. cikk

A közlések titkossága

A közösségi intézmények és szervek a közösségi jog általános elveinek megfelelően biztosítják a távközlő hálózatok és végberendezések segítségével történő közlések titkosságát.

37. cikk

Forgalmi és számlázási adatok

(1) A (2), (3) és (4) bekezdés rendelkezéseinek sérelme nélkül, azokat a forgalmi adatokat, amelyek a felhasználókra vonatkoznak, és amelyeket a távközlő hálózaton belüli hívás és egyéb kapcsolat létesítése céljából dolgoznak fel és tárolnak, a hívás, illetve egyéb kapcsolat végződése után törölni kell vagy anonimmá kell tenni.

(2) Szükség esetén az európai adatvédelmi biztos által jóváhagyott jegyzékben feltüntetett forgalmi adatok távközlési költségvetési gazdálkodás és forgalomirányítás céljából feldolgozhatók, ideértve a távközlési rendszerek jogosult használatának az igazolását. Az ilyen adatokat a lehető legrövidebb időn belül, de legkésőbb az adatgyűjtést követő hat hónapon belül törölni kell vagy anonimmá kell tenni, kivéve ha megőrzésük bíróság előtt folyamatban lévő kereset által érintett jog megállapítása, érvényesítése vagy védelme céljából hosszabb ideig szükséges.

(3) A forgalmi és számlázási adatok feldolgozását kizárólag a számlázásért, forgalomirányításért vagy költségvetési gazdálkodásért felelős személyek végezhetik.

(4) A távközlő hálózatok felhasználóinak joguk van nem részletes számlát vagy a hívásokról egyéb jegyzéket kapni.

38. cikk

Felhasználói névjegyzékek

(1) A felhasználók nyomtatott vagy elektronikus névjegyzékeiben tárolt személyes adatok körét és az ilyen jegyzékekhez való hozzáférést a jegyzék konkrét céljához feltétlenül szükségesre kell korlátozni.

(2) A közösségi intézmények és szervek minden szükséges intézkedést megtesznek annak érdekében, hogy megakadályozzák az említett névjegyzékekben szereplő személyes adatok közvetlen üzletszerzés céljára történő felhasználását, függetlenül attól, hogy az adatok a nyilvánosság számára hozzáférhetők-e vagy sem.

39. cikk

Hívó és hívott vonal azonosításának kijelzése és ennek korlátozása

(1) Ha a hívóvonal-azonosítás kijelzésének felajánlására kerül sor, a hívó felhasználónak lehetősége van egyszerű eszközzel, díjmentesen megszüntetni a hívóvonal-azonosítás kijelzését.

(2) Ha a hívóvonal-azonosítás kijelzésének felajánlására kerül sor, a hívott felhasználónak lehetősége van egyszerű eszközzel, díjmentesen megakadályozni a bejövő hívásokra vonatkozó hívóvonal-azonosítás kijelzését.

(3) Ha a hívottvonal-azonosítás kijelzésének felajánlására kerül sor, a hívott felhasználónak lehetősége van egyszerű eszközzel, díjmentesen letiltani a hívottvonal-azonosításnak a hívó felhasználó számára történő kijelzését.

(4) Ha hívóvonal- vagy hívottvonal-azonosítás kijelzésének felajánlására kerül sor, a közösségi intézmények vagy szervek erről és az (1), (2) és (3) bekezdésben meghatározott lehetőségekről tájékoztatják a felhasználókat.

40. cikk

Eltérések

A közösségi intézmények és szervek gondoskodnak arról, hogy átlátható eljárások szabályozzák azt, hogy a hívóvonal-azonosítás kijelzésének letiltását e közösségi intézmények és szervek milyen módon hagyhatják figyelmen kívül:

a) ideiglenesen, ha a felhasználó rosszindulatú vagy zaklató hívások felderítését kéri;

b) segélyhívásokat kezelő szervezetek részére vonalanként, az ilyen hívásokra történő válaszadás céljából.

V. FEJEZET

FÜGGETLEN ELLENŐRZŐ HATÓSÁG: AZ EURÓPAI ADATVÉDELMI BIZTOS

41. cikk

Az európai adatvédelmi biztos

(1) Európai adatvédelmi biztos néven független ellenőrző hatóság jön létre.

(2) A személyes adatok feldolgozása tekintetében az európai adatvédelmi biztos felelős annak biztosításáért, hogy a közösségi intézmények és szervek tiszteletben tartsák a természetes személyek alapvető jogait és szabadságait, különösen a magánélet tiszteletben tartásához való jogukat.

Az európai adatvédelmi biztos feladata, hogy a közösségi intézmény vagy szerv általi személyesadat-feldolgozással kapcsolatban figyelemmel kísérje és biztosítsa az e rendelet és bármely más, a természetes személyek alapvető jogainak és szabadságainak védelméről szóló közösségi jogi aktus rendelkezései alkalmazását, valamint a személyes adatok feldolgozásával kapcsolatos minden ügyben tanácsokkal lássa el a közösségi intézményeket és szerveket, valamint az érintetteket. A fent említett célok végrehajtása céljából az európai adatvédelmi biztos a 46. cikkben előírt feladatokat végzi és a 47. cikkben ráruházott hatáskört gyakorolja.

42. cikk

Kinevezés

(1) Az Európai Parlament és a Tanács közös megegyezéssel nevezi ki az európai adatvédelmi biztost ötéves időtartamra, a Bizottság által a nyilvános felhívást követően elkészített lista alapján.

Ugyanezen eljárás szerint és ugyanilyen időtartamra helyettes biztost neveznek ki, aki segíti a biztost feladatainak elvégzésében és helyettesíti őt távolléte, illetve akadályoztatása esetén.

(2) Az európai adatvédelmi biztost olyan személyek közül kell kiválasztani, akiknek függetlenségéhez nem férhet kétség, és akik közismerten rendelkeznek az európai adatvédelmi biztos feladatainak elvégzéséhez szükséges gyakorlattal és képességekkel, például azért, mert a 95/46/EK irányelv 28. cikkében említett felügyelő hatóságokhoz tartoznak vagy tartoztak.

(3) Az európai adatvédelmi biztos kinevezése megújítható.

(4) A megbízatás lejártán, illetve az elhalálozáson kívül, az európai adatvédelmi biztos megbízatása lemondással vagy az (5) bekezdésnek megfelelő felmentéssel szűnik meg.

(5) Az európai adatvédelmi biztost az Európai Parlament, a Tanács vagy a Bizottság kérelmére a Bíróság felmentheti, vagy a nyugdíjhoz, illetve ahelyett egyéb juttatásokhoz való jogától megfoszthatja abban az esetben, ha már nem felel meg a feladatai teljesítéséhez előírt feltételeknek, vagy súlyos kötelességszegést követett el.

(6) A megbízatás lejárta vagy lemondás esetén az európai adatvédelmi biztos mindazonáltal mindaddig hivatalában marad, amíg utódjáról nem gondoskodnak.

(7) Az Európai Közösségek kiváltságairól és mentességeiről szóló jegyzőkönyv 12–15., valamint 18. cikkét az európai adatvédelmi biztosra is alkalmazni kell.

(8) A (2)–(7) bekezdést a helyettes biztosra is alkalmazni kell.

43. cikk

Az európai adatvédelmi biztos feladatkörének ellátására vonatkozó szabályozás és általános feltételek, személyi és anyagi erőforrások

(1) Az Európai Parlament, a Tanács és a Bizottság közös megegyezéssel meghatározza az európai adatvédelmi biztos feladatkörének ellátására vonatkozó szabályokat és általános feltételeket, különösen illetményét és a javadalmazása helyett fizetendő juttatásokat és egyéb kedvezményeket.

(2) A költségvetési hatóság biztosítja, hogy az európai adatvédelmi biztos rendelkezzen a feladatainak elvégzéséhez szükséges személyi és anyagi erőforrásokkal.

(3) Az európai adatvédelmi biztos költségvetése az Európai Unió általános költségvetése VIII. szakaszának külön tételében jelenik meg.

(4) Az európai adatvédelmi biztos munkáját titkárság segíti. A titkárság tisztviselőit és más alkalmazottait az európai adatvédelmi biztos nevezi ki; a felettesük az európai adatvédelmi biztos, és kizárólag az ő irányítása alá tartoznak. Létszámukról évente a költségvetési eljárás keretében döntenek.

(5) Az európai adatvédelmi biztos titkárságának tisztviselőire és más alkalmazottaira az Európai Közösségek tisztviselőire és egyéb alkalmazottaira vonatkozó szabályok és szabályzatok vonatkoznak.

(6) A titkárság személyzetével kapcsolatos ügyekben az európai adatvédelmi biztos ugyanazzal a jogkörrel rendelkezik, mint az Európai Közösségek tisztviselőinek személyzeti szabályzata 1. cikkében szereplő intézmények.

44. cikk

Függetlenség

(1) Az európai adatvédelmi biztos feladatkörének ellátása során teljesen függetlenül jár el.

(2) Az európai adatvédelmi biztos feladatkörének ellátása során senkitől nem kérhet és nem fogadhat el utasítást.

(3) Az európai adatvédelmi biztos tartózkodni köteles minden olyan cselekedettől, amely feladataival nem egyeztethető össze, és megbízatásának ideje alatt nem vállalhat egyéb szakmai tevékenységet, függetlenül attól, hogy abból jövedelme származik-e vagy sem.

(4) Az európai adatvédelmi biztos a megbízatásának lejárta után köteles a kinevezések és előnyök elfogadása tekintetében feddhetetlenül és tartózkodóan eljárni.

45. cikk

Szakmai titoktartás

Az európai adatvédelmi biztost és személyzetét, minden olyan bizalmas információ tekintetében, amelyről hivatali feladataik ellátása során szereztek tudomást, megbízatási idejük alatt és után egyaránt szakmai titoktartási kötelezettség terheli.

46. cikk

Feladatkör

Az európai adatvédelmi biztos:

a) meghallgatja és kivizsgálja a panaszokat, és ésszerű időn belül értesíti az érintettet a vizsgálat eredményéről;

b) saját kezdeményezésére vagy panasz alapján vizsgálatokat végez, és ésszerű időn belül értesíti az érintettet azok eredményéről;

c) figyelemmel kíséri és biztosítja e rendelet és bármely más, a természetes személyek védelmére vonatkozó közösségi jogi aktus rendelkezéseinek alkalmazását a személyes adatok közösségi intézmény vagy szerv általi feldolgozásával kapcsolatban, kivéve ez utóbbiak közül az Európai Közösségek Bíróságát, amennyiben bírósági minőségében jár el;

d) saját kezdeményezése alapján vagy konzultáció keretében tanácsokkal lát el minden közösségi intézményt és szervet a személyes adatok feldolgozására vonatkozó valamennyi kérdésben, különösen azt megelőzően, hogy ezek az intézmények és szervek az alapvető jogoknak és szabadságoknak a személyesadat-feldolgozás tekintetében történő védelmére vonatkozó belső szabályokat határoznának meg;

e) figyelemmel kíséri a tárgyra vonatkozó fejleményeket – különösen az információtechnológia és hírközlési technológia fejlődését –, amennyiben azok hatással vannak a személyes adatok védelmére;

f) i. együttműködik a 95/46/EK irányelv 28. cikkében említett nemzeti felügyelő hatóságokkal az említett irányelv hatálya alá tartozó országokban olyan mértékben, amilyen mértékben erre e hatóságoknak saját feladatkörük ellátásához szükségük van, különösen a hasznos információk cseréje útján, az ilyen hatóság vagy szerv megkeresése útján, vagy az ilyen hatóságtól vagy szervtől érkező megkeresésre adott válasz útján;

ii. együttműködik továbbá az Európai Unióról szóló szerződés VI. címe alapján létrehozott adatvédelmi ellenőrző szervekkel különösen abból a célból, hogy javítsa az egységességet azon szabályok és eljárások alkalmazása terén, amelyek érvényesülésének biztosítása e szervek feladata;

g) részt vesz a 95/46/EK irányelv 29. cikke által létrehozott, a személyesadat-feldolgozás vonatkozásában az egyének védelmével foglalkozó munkacsoport tevékenységében;

h) meghatározza, indokolja és nyilvánosságra hozza a 10. cikk (2) bekezdésének b) pontjában, (4), (5) és (6) bekezdésében, a 12. cikk (2) bekezdésében, a 19. cikkben és a 37. cikk (2) bekezdésében említett mentességeket, biztosítékokat, engedélyeket és feltételeket;

i) nyilvántartást vezet azokról az adatfeldolgozási műveletekről, amelyekről a 27. cikk (2) bekezdése alapján értesítették, és amelyeknek a 27. cikk (5) bekezdése alapján nyilvántartásba vételére sor került, valamint hozzáférést biztosít az adatvédelmi tisztviselők által a 26. cikk szerint vezetett nyilvántartásokhoz;

j) előzetesen ellenőrzi azt az adatfeldolgozást, amelyről értesítették;

k) megállapítja saját eljárási szabályzatát.

47. cikk

Hatáskör

(1) Az európai adatvédelmi biztos:

a) tanácsot adhat az érintetteknek jogaik gyakorlásával kapcsolatban;

b) a személyesadat-feldolgozást szabályozó rendelkezések állítólagos megsértése esetén az ügyet az adatkezelő elé utalhatja, és szükség esetén javaslatot tehet a rendelkezés megsértésének orvoslására és az érintettek védelmének javítására;

c) elrendelheti az adatokkal kapcsolatos jogok gyakorlására vonatkozó kérelmek teljesítését abban az esetben, ha a kérelmeket a 13–19. cikk megsértésével utasították el;

d) figyelmeztetheti vagy elmarasztalhatja az adatkezelőt;

e) elrendelheti bármely adat helyesbítését, zárolását, törlését vagy megsemmisítését, amennyiben annak feldolgozása a személyes adatok feldolgozására vonatkozó rendelkezések megsértésével történt, és elrendelheti azon harmadik személyek értesítését az ilyen intézkedésről, akikkel az adatot közölték;

f) elrendelheti az adatfeldolgozás átmeneti vagy végleges tilalmát;

g) az ügyet az érintett közösségi intézmény vagy szerv, illetve szükség esetén az Európai Parlament, a Tanács vagy a Bizottság elé utalhatja;

h) az ügyet a Szerződésben meghatározott feltételek szerint az Európai Közösségek Bírósága elé utalhatja;

i) beavatkozóként járhat el az Európai Közösségek Bírósága elé terjesztett ügyekben.

(2) Az európai adatvédelmi biztos hatáskörrel rendelkezik arra, hogy:

a) valamely adatkezelőtől, illetve közösségi intézménytől vagy szervtől valamennyi személyes adatba és a vizsgálódásaihoz szükséges bármely információba betekintést nyerjen;

b) bármely olyan helyiségbe belépjen, ahol valamely adatkezelő, illetve közösségi intézmény vagy szerv végzi tevékenységét, amennyiben ésszerűen feltételezhető, hogy az adott helyiségben valamely, e rendelet hatálya alá tartozó tevékenység zajlik.

48. cikk

A tevékenységről szóló jelentés

(1) Az európai adatvédelmi biztos tevékenységéről éves jelentést nyújt be az Európai Parlamenthez, a Tanácshoz és a Bizottsághoz, és azt egyidejűleg nyilvánosságra is hozza.

(2) Az európai adatvédelmi biztos továbbítja a tevékenységéről szóló jelentést a többi közösségi intézménynek és szervnek is, amelyek észrevételt nyújthatnak be abból a célból, hogy az Európai Parlament vizsgálja meg a jelentést, különösen az európai adatvédelmi biztos 31. cikk szerinti észrevételeire válaszként tett intézkedések ismertetése tekintetében.

VI. FEJEZET

ZÁRÓ RENDELKEZÉSEK

49. cikk

Szankciók

Ha az Európai Közösségek tisztviselője vagy más alkalmazottja az e rendeletben foglalt kötelezettségeit szándékosan vagy gondatlanságból megszegi, ellene az Európai Közösségek tisztviselőinek személyzeti szabályzatában előírt, illetve az egyéb alkalmazottakra vonatkozó alkalmazási feltételekben előírt szabályoknak és eljárásoknak megfelelően fegyelmi eljárás indul.

50. cikk

Átmeneti időszak

A közösségi intézmények és szervek biztosítják, hogy az e rendelet hatálybalépésekor már folyamatban lévő adatfeldolgozási műveletek a hatálybalépés időpontjától számított egy éven belül e rendeletnek megfeleljenek.

51. cikk

Hatálybalépés

Ez a rendelet az Európai Közösségek Hivatalos Lapjában való kihirdetését követő huszadik napon lép hatályba.

Ez a rendelet teljes egészében kötelező és közvetlenül alkalmazandó valamennyi tagállamban.

Kelt Brüsszelben, 2000. december 18-án.

az Európai Parlament részéről

az elnök

N. Fontaine

a Tanács részéről

az elnök

D. Voynet

[1] HL C 376. E, 1999.12.28., 24. o.

[2] HL C 51., 2000.2.23., 48. o.

[3] Az Európai Parlament 2000. november 14-i véleménye és a Tanács 2000. november 30-i határozata.

[4] HL L 281., 1995.11.23., 31. o.

[5] HL L 24., 1998.1.30., 1. o.

[6] HL L 52., 1997.2.22., 1. o.

[7] HL L 318., 1998.11.27., 8. o.

[8] HL L 151., 1990.6.15., 1. o. A 322/97/EK rendelettel (HL L 52., 1997.2.22., 1. o.) módosított rendelet.

--------------------------------------------------

MELLÉKLET

1. Az adatvédelmi tisztviselő ajánlásokat tehet az adatvédelem gyakorlati javítására az őt kinevező közösségi intézmény vagy szerv részére, továbbá tanácsot adhat az adott intézménynek vagy szervnek, illetve az érintett adatkezelőnek az adatvédelmi rendelkezések alkalmazásával kapcsolatos ügyekben. Az adatvédelmi tisztviselő továbbá saját kezdeményezésére, illetve az őt kinevező közösségi intézmény vagy szerv, az adatkezelő, az érintett személyzeti bizottság vagy bármely természetes személy kérelmére, megvizsgálhatja a feladataihoz közvetlenül kapcsolódó és tudomására jutó ügyeket és tényeket, és vizsgálatáról jelentést küldhet a vizsgálatot kérő személynek vagy az adatkezelőnek.

2. Az adatvédelmi tisztviselővel az őt kinevező közösségi intézmény vagy szerv, az érintett adatkezelő, az érintett személyzeti bizottság, illetve bármely természetes személy a hivatali út igénybevétele nélkül konzultálhat az e rendelet értelmezésével vagy alkalmazásával kapcsolatos bármely kérdésben.

3. Senkit sem érhet joghátrány amiatt, hogy olyan tényt hoz az illetékes adatvédelmi tisztviselő tudomására, amely megítélése szerint e rendelet rendelkezéseit sérti.

4. Minden érintett adatkezelő köteles támogatni az adatvédelmi tisztviselőt feladatkörének ellátásában, és számára az általa kért tájékoztatást megadni. Feladatkörének ellátása során az adatvédelmi tisztviselő bármikor betekinthet az adatfeldolgozási művelet tárgyát képező minden adatba, beléphet valamennyi hivatali helyiségbe, valamint hozzáférhet valamennyi adatfeldolgozó berendezéshez és adathordozóhoz.

5. Az adatvédelmi tisztviselő a szükséges mértékben mentesül az egyéb tevékenységek végzése alól. Az adatvédelmi tisztviselő és személyzete, akikre a Szerződés 287. cikke vonatkozik, a feladatkörük ellátása során tudomásukra jutott információt és beszerzett iratok tartalmát nem hozhatják nyilvánosságra.

--------------------------------------------------