EURÓPAI BIZOTTSÁG

Brüsszel, 2025.11.19.

COM(2025) 837 final

2025/0360(COD)

Javaslat

AZ EURÓPAI PARLAMENT ÉS A TANÁCS RENDELETE

az (EU) 2016/679, az (EU) 2018/1724, az (EU) 2018/1725 és az (EU) 2023/2854 rendeletnek, valamint a 2002/58/EK, az (EU) 2022/2555 és az (EU) 2022/2557 irányelvnek a digitális jogszabályi keret egyszerűsítése tekintetében történő módosításáról, továbbá az (EU) 2018/1807, az (EU) 2019/1150 és az (EU) 2022/868 rendelet és az (EU) 2019/1024 irányelv hatályon kívül helyezéséről (digitális omnibusz csomag)

{SWD(2025) 836 final}

INDOKOLÁS

1.A JAVASLAT HÁTTERE

•A javaslat indokai és céljai

A Bizottság a végrehajtásról és az egyszerűsítésről szóló közleményében („Egyszerűbb és gyorsabb Európa”) 1 ismertette az Unió szabályozási keretének a változékonyabb világhoz való hozzáigazítására vonatkozó megközelítését, ami nem más, mint az uniós vívmányok egyszerűsítésére, egyértelműsítésére és javítására irányuló új törekvés, amely kulcsfontosságú intézkedés az Unió versenyképességének támogatása szempontjából.

Ez a jövőkép tükrözi a Bizottság elnöke, Ursula von der Leyen által a 2024–2029-es ciklusra vonatkozó politikai iránymutatásban 2 meghatározott tágabb tervet. Ugyanakkor a Draghi 3 - és Letta-jelentések 4 hangsúlyozzák, hogy a szabályok felhalmozódása olykor kedvezőtlenül hatott a versenyképességre. Az embereknek és a vállalkozásoknak arra van szükségük, hogy a szabályok költséghatékonyabb és innovációbarátabb végrehajtásának eredményeként gyors és látható javulás következzen be, mégpedig úgy, hogy közben érvényesülnek a magas szintű normák és az elfogadott célkitűzések.

Az Európai Tanács a 2025. március 20-i következtetéseiben felszólította továbbá a Bizottságot, hogy „folytassa az uniós vívmányok felülvizsgálatát és stressztesztelését, és határozza meg a jogszabályok további egyszerűsítésének és egységes szerkezetbe foglalásának módjait” 5 . Hangsúlyozta továbbá, hogy új egyszerűsítési kezdeményezésekre van szükség. Június 26-i következtetéseiben az Európai Tanács hangsúlyozta a „beépített egyszerűségre” vonatkozó jogszabályok fontosságát, „anélkül, hogy azok aláásnák a kiszámíthatóságot, a szakpolitikai célokat és a magas szintű normákat” 6 . Az Európai Tanács a 2025. október 23-i következtetéseiben újólag megerősítette, hogy „Európa versenyképességének biztosítása érdekében minden – uniós, nemzeti és regionális – szinten és minden területen sürgősen elő kell mozdítani egy ambiciózus és horizontálisan vezérelt egyszerűsítési és minőségi jogalkotási programot”. Felszólították továbbá a Bizottságot, hogy „gyorsan terjesszen elő további ambiciózus egyszerűsítési csomagokat, többek között […] a digitális ágazatra vonatkozóan” 7 .

A szeptember 11-i plenáris ülésen megszavazott, „Az uniós belső piaci szabályok végrehajtásáról és egyszerűsítéséről az egységes piac erősítése érdekében” 8 című állásfoglalásában az Európai Parlament hangsúlyozta, hogy egyszerűsítésre van szükség a vállalkozások megfelelésének megkönnyítése érdekében, anélkül, hogy az veszélyeztetné az Unió alapvető szakpolitikai célkitűzéseit.

A Bizottság által végzett, az egyszerűsítési menetrenddel kapcsolatos konzultációs és a bevonást célzó tevékenységek során a különböző érdekeket képviselő érdekelt felek egyes digitális szabályok célzott módosítását szorgalmazták mind a megfelelési költségek egyszerűsítése, mind pedig az ágazatuk szabályai közötti kölcsönhatások tisztázása érdekében.

Az IKT-ágazat, amely 2022-ben Unió-szerte 791 milliárd EUR hozzáadott értéket teremtett 9 , döntő szerepet játszik az Unió versenyképességének előmozdításában a gazdaság valamennyi ágazatában, mind a digitális vállalkozások növekedése, mind pedig a kulcsfontosságú digitális megoldások minden szereplő részére történő biztosítása révén. A digitális szabályok döntő szerepet játszottak a tisztességes üzleti környezet kialakításában az Unióban. A szabályok egy valódi egységes piacot hoztak létre a digitális szolgáltatások számára. Az Unió úttörő szerepet játszott a digitális szabályozás terén, és az alapjogok legmagasabb szintű védelmének, a fogyasztói biztonságnak és az európai értékek védelmének etalonját állította fel.

A Bizottság elkötelezett amellett, hogy a jogalkotási ciklus során végig elvégezze a digitális szabálykönyv átfogó stressztesztjét. A cél egyértelmű: biztosítani kell, hogy a szabályok továbbra is alkalmasak legyenek az innováció és a növekedés támogatására, teljesítsék célkitűzéseiket, és a versenyképesség mozgatórugóiként működjenek. E folyamat során a Bizottság arra fog törekedni, hogy meggyőző megoldásokat kínáljon a szabályok hatékonyságának és érvényesítésének egyszerűsítésére, pontosítására és megszilárdítására valamennyi rendelkezésére álló eszközzel, legyen szó akár szabályozási kiigazításokról, a hatóságok közötti megerősített együttműködésről, a szabályozásnak való „beépített” megfelelést egyszerűsítő digitális megoldások előmozdításáról vagy más kísérő intézkedésekről.

A digitális omnibusz javaslat az első lépés a digitális szabálykönyv alkalmazásának optimalizálása felé. A digitális jogszabályok széles körére vonatkozóan tartalmaz számos technikai módosítást, melyeket úgy állítottak össze, hogy a versenyképesség ösztönzése érdekében azonnali segítséget nyújtsanak a vállalkozásoknak, a közigazgatási szerveknek és a polgároknak egyaránt. A közvetlen cél annak biztosítása, hogy a szabályoknak való megfelelés alacsonyabb költséggel járjon, ugyanazokat a célkitűzéseket valósítsa meg, és önmagában versenyelőnyt biztosítson a felelős vállalkozások számára. A módosítások fontossági sorrendjét az érdekelt felekkel folytatott konzultációk és az első végrehajtási párbeszédek alapján határozták meg, melyeket Henna Virkkunen ügyvezető alelnök és Michael McGrath biztos vezetett.

A módosítások emiatt az adatoknak – mint az uniós gazdaság alapvető erőforrásának – felhasználásában rejlő lehetőségek kiaknázására összpontosítanak, nem utolsósorban a megbízható mesterségesintelligencia-megoldások uniós piacon történő fejlesztésének és használatának támogatása érdekében. Az adatvédelmi és a magánélet védelmére vonatkozó szabályok célzott módosításai támogatják ezt a célkitűzést, és azonnali egyszerűsítési intézkedéseket biztosítanak a vállalkozások és a magánszemélyek számára, megerősítve a jogaik gyakorlására való képességüket.

Emellett az (EU) 2024/1689 rendelet (MI-rendelet 10 ) módosításai, amelyeket a digitális omnibusz csomag részét képező külön jogalkotási javaslat tartalmaz, arra irányulnak, hogy megkönnyítsék a mesterséges intelligencia biztonságos és megbízható fejlesztésére és használatára vonatkozó szabályok zökkenőmentes és hatékony alkalmazását.

A digitális omnibusz csomag emellett nagyon egyértelmű megoldást javasol a kiberbiztonsági incidensek bejelentésének egyszerűsítésére, egyetlen jelentéstételi mechanizmus keretében kezelve valamennyi kapcsolódó jelentéstételi kötelezettséget.

Végezetül: a javaslat hatályon kívül helyezi a platformszabályozás területét érintő elavult szabályokat, amelyeket újabbak váltanak fel.

A módosítások célja a szabályok egyszerűsítése, a jogszabályok számának csökkentése és a rendelkezések harmonizálása. A rendelkezések és eljárások egyszerűsítésének eredményeként csökkentik az adminisztratív költségeket. A módosítások – a már eleve a különleges rendszer hatálya alá tartozó kis- és mikrovállalkozások mellett – a kis méretű, közepes piaci tőkeértékű vállalatokat is mentesítik az adatokra vonatkozó jogszabályokban és az (EU) 2024/1689 rendeletben (MI-rendelet 11 ) foglalt bizonyos kötelezettségek alól. Ösztönzik továbbá az élénk üzleti környezethez kapcsolódó lehetőségeket, nagyobb jogbiztonságot és lehetőségeket teremtve, különösen az adatok megosztása és további felhasználása, a személyes adatok kezelése vagy a mesterségesintelligencia-rendszerek és -modellek tanítása terén.

Ugyanakkor a javasolt módosítások megőrzik technikai jellegüket: céljuk a szabályozási keret kiigazítása, nem pedig az annak alapjául szolgáló célkitűzések módosítása. Az intézkedéseket úgy dolgozták ki, hogy az alapvető jogok védelmére vonatkozóan ugyanazon normákat biztosítsák.

A digitális omnibusz csomaggal együtt a Bizottság előterjeszti az európai üzleti tárcákról szóló rendeletre irányuló javaslatát is, amely a szabályozásnak való megfelelés egyszerűsítésére és a vállalkozások adminisztratív terheinek csökkentésére irányuló kulcsfontosságú kezdeményezés. Az üzleti tárcákat úgy alakítják ki, hogy biztonságos digitális eszközként szolgáljanak a vállalkozások számára, és egységes platformként működjenek Unió-szerte a vállalkozások közötti interakciók egyszerűsítése érdekében. Az egyedi és tartós azonosító bevezetésével a vállalkozások felhatalmazást kapnak arra, hogy egyetlen megoldás alkalmazásával digitálisan ellenőrizzék a személyazonosságot, dokumentumokat írjanak alá, időbélyegzőt alkalmazzanak és zökkenőmentesen cseréljenek ellenőrzött digitális információkat határokon átnyúlóan. Az európai üzleti tárcák bevezetésével a vállalatok – különösen a kkv-k – könnyen tudják kezelni a megfelelést, aminek köszönhetően létfontosságú erőforrások szabadulnak fel, melyeket aztán a növekedésre és az innovációra fordíthatnak.

A digitális szabálykönyv stressztesztjére vonatkozó kötelezettségvállalás második lépéseként a Bizottság digitális célravezetőségi vizsgálatot is végez. Jóllehet a digitális omnibusz javaslatok közvetlenek és célzottak, a Bizottság által a digitális célravezetőségi vizsgálat keretében végzett elemzés a digitális szabályok kumulatív hatására fog összpontosítani, törekedve annak tesztelésére, hogy e szabályok hogyan támogatják az Unió versenyképességét, és mely pontokon szükséges további kiigazításokat javasolni a jogalkotási ciklus második felében.

A digitális célravezetőségi vizsgálat az omnibusz javaslattal egy időben indul, széles körű nyilvános konzultáció mellett. A Bizottság arra törekszik, hogy valamennyi érdekelt féllel együttműködjön, és széles körben folytasson konzultációt. A cél annak áttekintése és kiterjedt feltérképezése, hogy a digitális szabálykönyv hogyan fedi le az uniós ipar stratégiai ágazatait, valamint annak kezelése, hogy a szabályok kumulatív hatása hogyan befolyásolja ezeknek az ágazatoknak a versenyképességét. Ennek alapján az elemzés a második lépésben mélyrehatóbban vizsgálja majd a szinergiákat és a jobban összehangolható területeket, a fogalommeghatározásoktól és jogi fogalmaktól kezdve az irányítási rendszerek és más támogató intézkedések hatékonyságáig és kölcsönhatásáig bezárólag.

A digitális vívmányok stressztesztje a végrehajtási párbeszédek, valamint az összes fő jogi eszköz értékelése keretében is folytatódni fog. A jelenlegi tervezés során a Bizottság – egyéb kezdeményezések mellett – 2026-ban várhatóan közzéteszi a digitális piacokról szóló jogszabály, a digitális évtized szakpolitikai program, a csipekről szóló jogszabály és az audiovizuális médiaszolgáltatásokról szóló irányelv felülvizsgálatát, valamint a szerzői jogi irányelv értékelését. A 2027-ben várhatóan értékelendő jogi aktusok közé tartozik többek között a kiberszolidaritásról szóló jogszabály, a nyílt internetről szóló rendelet, a NIS 2 irányelv és a digitális szolgáltatásokról szóló rendelet. 2028-ban a Bizottságnak értékelnie kell például a tömegtájékoztatás szabadságáról szóló európai rendeletet és az adatrendeletet, amelyet 2029-ben az MI-rendelet értékelése, majd az Európai Kiberbiztonsági Kompetenciaközpont és -hálózat létrehozásáról szóló rendelet hatályvesztésre vonatkozó rendelkezésének értékelése követ.

Az érdekelt felek többször is hangsúlyozták, hogy az egyszerűsítési erőfeszítések sok esetben nem annyira a szabályok módosítására irányulnak, mint inkább azok alkalmazásának egyértelműsítésére. A Bizottság prioritásként kezel egy sor olyan iránymutatást, amelyek célja a szabályok egységes alkalmazásának támogatása, a Bíróság általi értelmezések sérelme nélkül.

A Bizottság bejelentette, hogy az európai adatuniós stratégián belül prioritásként kezeli az adatszabályozási keretet, és különösen az észszerű kompenzációra vonatkozó iránymutatásokra összpontosít annak tisztázása érdekében, hogy milyen összeg számítható fel az adatmegosztásért, amivel jogbiztonságot nyújt mind az adatbirtokosok, mind az adatátvevők számára, valamint a fogalommeghatározások pontosítására vonatkozó iránymutatásokra fókuszál.

Az MI-rendelet alkalmazásának támogatása érdekében a Bizottság továbbra is prioritásként kezeli, hogy iránymutatásokat adjon ki több szempontra vonatkozóan, amint azt az MI-rendeletet módosító digitális omnibusz javaslat indokolása részletesebben kifejti.

Javaslatok a digitális omnibusz csomagban

A személyes adatok vonatkozásában a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról szóló (EU) 2016/679 rendelet (általános adatvédelmi rendelet, GDPR) 2018. május 25-én vált alkalmazandóvá, létrehozva az egyének személyes adatainak kezelésére vonatkozó uniós szintű normákat, szabályokat és garanciákat, az érintettek jogait, valamint a személyes adatok kezelésére vonatkozó általános jogi keretet. Bár az érdekelt felek általában kiegyensúlyozottnak és megalapozottnak találták az (EU) 2016/679 rendeletet (általános adatvédelmi rendelet), amely továbbra is megfelel a célnak, egyes szervezetek – különösen a kisebb vállalatok és az alacsony számú, nem intenzív, gyakran alacsony kockázatú adatkezelési műveletekben érintett egyesületek – aggályaiknak adtak hangot az általános adatvédelmi rendeletben előírt egyes kötelezettségek érvényesítésével kapcsolatban. Ezen aggályok némelyike kezelhető azzal, hogy valamennyi tagállam következetesebben és összehangoltabban értelmezi és hajtja végre a jogszabályt, míg más aggályok esetében a jogszabályok célzott módosítására van szükség. Ebben az összefüggésben az e javaslatban foglalt módosítások célja a szóban forgó aggályok kezelése, különösen egyes kulcsfontosságú fogalommeghatározások útján, például a személyes adatok fogalmának pontosításával; a megfelelés megkönnyítésével – például úgy, hogy az adatkezelők támogatást kapnak az annak meghatározására szolgáló kritériumok és eszközök tekintetében, hogy az álnevesítésből származó adatok nem minősülnek-e személyes adatnak – a tájékoztatási követelmények és a felügyeleti hatóságoknak a személyes adatok megsértésével járó jogsértésekről küldött értesítések tekintetében; valamint a mesterséges intelligencia tanításához és fejlesztéséhez szükséges adatkezelés bizonyos szempontjainak tisztázása révén. A javasolt módosítások a tudományos kutatás feltételeivel kapcsolatos egyértelműség hiányát is orvosolják azáltal, hogy meghatározzák a tudományos kutatás fogalmát, tovább pontosítják, hogy a tudományos célú további adatkezelés összeegyeztethető az adatkezelés eredeti céljával, és egyértelművé teszik, hogy a tudományos kutatás jogos érdeknek minősül. A dokumentum javasolja továbbá az adatkezelésre vonatkozó tájékoztatási kötelezettség alóli kivételek kiterjesztését. Adott esetben e javaslat tükrözi az általános adatvédelmi rendeletnek a természetes személyeknek a személyes adatok uniós intézmények, szervek, hivatalok és ügynökségek általi kezelése tekintetében való védelméről szóló (EU) 2018/1725 rendelet szerinti módosításait.

Az e rendeletben előterjesztett módosítások egyablakos ügyintézési pontot vezetnek be, amelyen keresztül a szervezetek egyidejűleg teljesíthetik a különböző jogi aktusok által előírt incidensbejelentési kötelezettségeiket. Az „egyszeri bejelentés, többszöri megosztás” elvének előmozdításával az egyablakos ügyintézési pont csökkenteni fogja a szervezetekre nehezedő adminisztratív terheket, miközben biztosítja az incidensre vonatkozó információk hatékony és biztonságos áramlását a vonatkozó jogszabályokban meghatározott címzettek felé.

A javaslat arra kötelezi az ENISA-t, hogy hozza létre ezt az egyablakos ügyintézési pontot, figyelembe véve az (EU) 2024/2847 rendelet (a kiberrezilienciáról szóló rendelet) szerinti, az aktívan kihasznált sérülékenységek és súlyos események bejelentésére szolgáló egységes jelentéstételi platformot. A javaslat konkrét követelményeket ír elő az eszközre mint a szervezetek által jelentett és az illetékes hatóságok részére továbbított információk biztonságos csatornájára vonatkozóan. Változatlanul hagyja az események bejelentésére vonatkozó alapul szolgáló jogi követelményeket, ugyanakkor jelentős mértékben optimalizálja a munkafolyamatot és a szervezetektől megkövetelt erőforrásokat.

A javaslat előírja továbbá az egyablakos ügyintézési pont használatát az (EU) 2022/2555 irányelvben (NIS 2 irányelv), az (EU) 2016/679 rendeletben (általános adatvédelmi rendelet), az (EU) 2022/2554 rendeletben (DORA-rendelet), a 910/2014/EU rendeletben (eIDAS-rendelet) és az (EU) 2022/2557 irányelvben (CER-irányelv) meghatározott, szorosan összefüggő incidensbejelentési kötelezettségek tekintetében. Az egyéb ágazati jelentéstételi kötelezettségek – például a határkeresztező villamosenergia-áramlás kiberbiztonsági szempontjaira vonatkozó üzemi és kereskedelmi szabályzat (NCCS) keretében és a légi közlekedési ágazatra vonatkozó releváns eszközökben meghatározott kötelezettségek – szintén az egyablakos ügyintézési pont hatálya alá kerülnek azoknak a felhatalmazáson alapuló releváns jogi aktusoknak és végrehajtási releváns jogi aktusoknak a módosítása révén, melyek említett keretek szerinti jelentéstételi kötelezettségeket állapítják meg.

A javaslat célja továbbá a bejelentett információk tartalmának egyszerűsítése azáltal, hogy több jogi aktusra vonatkozó felhatalmazásokat vezet be azokban az esetekben, ahol ilyenek nem léteznek. A javaslat egyértelművé teszi, hogy az (EU) 2022/2555 irányelv, az (EU) 2022/2557 irányelv vagy az (EU) 2016/679 rendelet közös jelentéstételi sablonjainak kidolgozása során a következetesség biztosítása, a szinergiák előmozdítása és a szervezetekre nehezedő adminisztratív terhek csökkentése érdekében a Bizottságnak kellően figyelembe kell vennie a megszerzett tapasztalatokat és az (EU) 2022/2554 rendelet (DORA) alapján kidolgozott közös sablonokat.

Ezen alapvető változtatások mellett a javaslat megragadja az alkalmat arra, hogy hatályon kívül helyezze az online közvetítő szolgáltatások üzleti felhasználói tekintetében alkalmazandó tisztességes és átlátható feltételek előmozdításáról szóló, 2019. június 20-i (EU) 2019/1150 európai parlamenti és tanácsi rendeletet (a platformok és az üzleti felhasználók közötti kapcsolatokról szóló rendelet vagy P2B rendelet). A rendeletet 2020. július 12. óta alkalmazzák, és ez volt az első lépés a platformgazdaság átfogó jogi keretének biztosítása felé. A rendelet alkalmazásának kezdete óta egyéb olyan uniós jogi aktusok is keletkeztek, amelyek az online közvetítő szolgáltatásokat és az online platformokat szabályozzák. Ezek közé tartozik az (EU) 2022/1925 rendelet (a digitális piacokról szóló jogszabály) és az (EU) 2022/2065 rendelet (a digitális szolgáltatásokról szóló rendelet), amelyek nagyrészt felülírják a P2B rendelet rendelkezéseit. A P2B rendelet egyes rendelkezései továbbra is érvényben maradnak az e rendelkezésekre való kereszthivatkozásokat tartalmazó jogi aktusok – például a platformalapú munkavégzés munkakörülményeinek javításáról szóló (EU) 2023/2831 irányelv – kapcsán a jogbiztonság garantálása érdekében. Általában elmondható, hogy az online platformokra vonatkozó szabályozási keret egyszerűsítésének eredményeként csökkenni fognak a többszintű és egymást átfedő szabályokból eredő megfelelési költségek, amit az érdekelt felek szorgalmaztak. Az online közvetítő szolgáltatók számára előnyt jelent majd a jogszabályi rendelkezések nagyobb egyértelműsége. A végrehajtás célzottabb lesz.

•Összhang a szabályozási terület jelenlegi rendelkezéseivel

•Összhang az Unió egyéb szakpolitikáival

2.JOGALAP, SZUBSZIDIARITÁS ÉS ARÁNYOSSÁG

•Jogalap

•Szubszidiaritás (nem kizárólagos hatáskör esetén)

•Arányosság

3.AZ UTÓLAGOS ÉRTÉKELÉSEK, AZ ÉRDEKELT FELEKKEL FOLYTATOTT KONZULTÁCIÓK ÉS A HATÁSVIZSGÁLATOK EREDMÉNYEI

•A jelenleg hatályban lévő jogszabályok utólagos értékelése / célravezetőségi vizsgálata

•Az érdekelt felekkel folytatott konzultációk

2025 tavaszán három nyilvános konzultációt és véleményezési felhívást tettek közzé a javaslat fő pilléreiről. Április 9. és június 4. között konzultációra került sor a mesterséges intelligencia alkalmazásának ösztönzésére irányuló stratégiáról 14 , április 11. és június 20. között egy másik konzultáció zajlott az (EU) 2019/881 rendelet (a kiberbiztonsági jogszabály) felülvizsgálatáról 15 , végül pedig május 23. és július 20. között az európai adatuniós stratégiáról 16 . Minden kérdőív tartalmazott egy (esetenként több) külön szakaszt a végrehajtással és az egyszerűsítéssel kapcsolatos aggályokról, amelyek közvetlenül összefüggésben álltak a digitális omnibusz csomagra vonatkozó meglátásokkal. Az első konzultációs folyamat keretében összesen 718 egyedi válasz érkezett.

2025. szeptember 16. és október 14. között véleményezési felhívást tettek közzé a digitális omnibusz csomagról 17 . Célja az volt, hogy lehetőséget biztosítson az érdekelt feleknek arra, hogy észrevételeket tegyenek a digitális omnibusz csomag hatályára vonatkozó, egységes szerkezetbe foglalt javaslattal kapcsolatban. 513 válasz érkezett különböző érdekképviseleti csoportoktól, nem utolsósorban vállalkozásoktól és vállalkozói szövetségektől, a civil társadalomtól, tudományos szakemberektől, hatóságoktól, valamint magánszemélyektől.

Henna Virkkunen ügyvezető alelnök két végrehajtási párbeszédet vezetett a digitális omnibusz csomagban tárgyalt kulcsfontosságú témákról: az első az adatpolitikával 18 (2025. július 1.), a második pedig a kiberbiztonsági politikával 19 (szeptember 15.) volt kapcsolatos.

McGrath biztos az általános adatvédelmi rendelet alkalmazásával kapcsolatban vezetett párbeszédet a végrehajtásról (2025. július 16.).

A Bizottság szolgálatai több tényellenőrzést is végeztek – mélyreható fókuszcsoportos megbeszéléseket tartottak vállalkozásokkal és a civil társadalom képviselőivel –, melyekre 2025. szeptember 15. és október 6. között került sor a napi szinten tapasztalt gyakorlati végrehajtási kihívások megvitatása és a megfelelési költségek becslése céljából.

2025. szeptember 4. és október 16. között az Enterprise Europe Networkön (EEN) 20 keresztül külön kkv-panelt szerveztek, melynek célja az volt, hogy kifejezetten a kis- és középvállalkozásokkal (kkv-k) konzultáljanak és tőlük gyűjtsenek visszajelzéseket.

Végezetül a Bizottság szolgálatai számos állásfoglalást kaptak kézhez, továbbá kétoldalú találkozókat szerveztek különböző érdekelt felekkel. A Bizottság szolgálatai kerekasztal-megbeszéléseken és különböző tanácsi munkacsoportok keretében is együttműködtek a tagállamokkal.

Összességében elmondható: az érdekelt felek visszajelzései arra mutattak, hogy egyes digitális szabályok egyszerűsített alkalmazására van szükség. Az érdekelt felek üdvözölték a szabályok koherenciájára és egyesítésére, valamint a megfelelési költségek optimalizálására helyezett hangsúlyt.

Egyértelműen szorgalmazták az adatokra vonatkozó uniós vívmányok egyszerűsítését és a szabályok egyesítését. A javaslat, valamint az érdekelt felek által támogatott célzott módosítások foglalkoznak ezzel, többek között az általános adatvédelmi rendelet és a sütitájékoztató csíkok által okozott fáradtság tekintetében. Emellett a vállalkozások felhívták a figyelmet az adatokra vonatkozó szabályok közötti kölcsönhatás további értékelésére, amely a minőségi jogalkotási eszközök, különösen a közelgő digitális célravezetőségi vizsgálat útján elvégzendő mélyrehatóbb elemzést tesz szükségessé.

A különböző ágazatokban működő vállalkozások rámutattak azokra az indokolatlan terhekre is, amelyek abból erednek, hogy az incidenseket több jogi keretben, megkettőzve kell bejelenteni. Ezzel a cselekvési felhívással az incidensek bejelentésére szolgáló egyablakos ügyintézési pontra irányuló javaslat foglalkozik.

Az MI-rendelet kapcsán az érdekelt felek rámutattak arra, hogy a szabályok alkalmazása során jogbiztonságra van szükség, és különösen hangsúlyozták, hogy a szabályok alkalmazását megelőzően szükség van arra, hogy rendelkezésre álljanak szabványok és iránymutatások. A digitális omnibusz csomagba tartozó külön szabályozási javaslat ezekre az aggályokra reagál.

Végezetül az érdekelt felek nem nyilatkoztak a platformok és az üzleti felhasználók közötti kapcsolatokról szóló rendelet hatásáról, ami megerősíti az időközi értékelő jelentés eredményeit, melyek szerint a szabályok nem közismertek, és nem is hatékonyak a célkitűzéseik elérése tekintetében. Ez a rendelet a platformok és az üzleti felhasználók közötti kapcsolatokra vonatkozó szabályok hatályon kívül helyezését javasolja, különösen annak fényében, hogy e szabályok átfedésben vannak a legújabb szabályokkal.

Az érdekelt felekkel folytatott konzultációk részletesebb áttekintésével, valamint annak ismertetésével, hogy e konzultációk hogyan jelennek meg a javaslatban, a digitális omnibusz csomagot kísérő bizottsági szolgálati munkadokumentum szolgál.

•Szakértői vélemények összegyűjtése és felhasználása

•Hatásvizsgálat

•Célravezető szabályozás és egyszerűsítés

•Alapvető jogok

4.KÖLTSÉGVETÉSI VONZATOK

5.EGYÉB ELEMEK

•Végrehajtási tervek, valamint a nyomon követés, az értékelés és a jelentéstétel szabályai

•A javaslat egyes rendelkezéseinek részletes magyarázata

·A 4. pont az (EU) 2023/2854 rendeletbe (adatrendelet) beillesztett rendelkezésekből vezet be fogalommeghatározásokat, harmonizálva az adatok és dokumentumok fogalommeghatározását azáltal, hogy szigorúan megkülönbözteti egymástól a digitális tartalmat (adat) és a nem digitális tartalmat (dokumentum).

·Beilleszti az új VIIc. fejezetet, melynek tárgya a közszférabeli szervezetek birtokában lévő adatok és dokumentumok további felhasználása.

·Beilleszti az új 1. szakaszt, amely az újonnan bevezetett fejezetre alkalmazandó általános elveket ismerteti.

·Megállapítja az összevont fejezet tárgyát és hatályát, ötvözve az (EU) 2022/868 rendelet (adatkormányzási rendelet) II. fejezetében és az (EU) 2019/1024 irányelvben (a nyílt hozzáférésű adatokról szóló irányelv) foglalt közös szabályokat.

·Meghatározza a megkülönböztetésmentesség közös elvét, amely a nyílt kormányzati adatok és a védett adatok bizonyos kategóriáinak megosztására alkalmazandó.

·Előírja a kizárólagosságot biztosító megállapodások tilalmát, amely a nyílt kormányzati adatok és a védett adatok bizonyos kategóriáinak szabályrendszerére egyaránt alkalmazandó.

·Előírja továbbá a nyílt kormányzati adatok és a védett adatok bizonyos kategóriáinak további felhasználására vonatkozó általános elveket. Új szabály, hogy a nyílt kormányzati adatok további felhasználása vonatkozásában a közszférabeli szervezeteknek biztosítaniuk kell, hogy a díjakat online, széles körben elterjedt, határokon átnyúló pénzforgalmi szolgáltatásokon keresztül is meg lehessen fizetni, megkülönböztetés nélkül. Ez a rendelkezés a szabály hatályának kiterjesztését jelenti, amely korábban csak az (EU) 2022/868 rendelet (adatkormányzási rendelet) II. fejezete szerinti védett adatok bizonyos kategóriáinak további felhasználása tekintetében volt ismert.

·A rendelkezés előírja a nyílt kormányzati adatok és a védett adatok bizonyos kategóriái továbbfelhasználóinak jogát arra, hogy tájékoztatást kapjanak az őket érintő határozatokkal és eljárásokkal szemben igénybe vehető jogorvoslati lehetőségekről.

·Beilleszti a nyílt kormányzati adatok további felhasználására vonatkozó szabályokról szóló szakaszt, amely korábban az (EU) 2019/1024 irányelv (a nyílt hozzáférésű adatokról szóló irányelv) részét képezte.

·Meghatározza a szakasz hatályát, beleértve azt is, hogy a közszférabeli szervezetek birtokában lévő adatok és dokumentumok további felhasználásáról szóló általános fejezet hatálya alá tartozó védett adatok bizonyos kategóriáira e szakasz nem alkalmazandó.

·Rendelkezik a nyílt kormányzati adatok további felhasználásának általános elvéről.

·Előírja a nyílt kormányzati adatok további felhasználása iránti kérelmek kezelése vonatkozó szabályokat, beillesztve a szövegbe az (EU) 2019/1024 irányelv (a nyílt hozzáférésű adatokról szóló irányelv) egy korábbi rendelkezését.

·Beilleszti a nyílt kormányzati adatok további felhasználásához kapcsolódóan elérhető formátumokra vonatkozó szabályokat, amelyek korábban az (EU) 2019/1024 irányelv (a nyílt hozzáférésű adatokról szóló irányelv) részét képezték.

·Beilleszti a nyílt kormányzati adatokért felszámított díjakra nézve irányadó szabályokat, mely díjakat korábban az (EU) 2019/1024 irányelv (a nyílt hozzáférésű adatokról szóló irányelv) szabályozta. Egy új szabály értelmében a közszférabeli szervezetek magasabb díjakat számíthatnak fel a nagyon nagy vállalkozások általi további felhasználásért. E díjaknak arányosaknak kell lenniük, összegüknek pedig objektív kritériumokon kell alapulnia.

·Beilleszti a nyílt kormányzati adatok további felhasználásához kapcsolódó standard felhasználási engedélyekre vonatkozó szabályokat, amelyek korábban az (EU) 2019/1024 irányelv (a nyílt hozzáférésű adatokról szóló irányelv) részét képezték. Egy új szabály értelmében a közszférabeli szervezetek különleges feltételeket állapíthatnak meg a nagyon nagy vállalkozások általi további felhasználására vonatkozóan. E feltételeknek arányosaknak kell lenniük, és objektív kritériumokon kell alapulniuk.

·Az (EU) 2023/2854 rendeletbe (adatrendelet) beilleszti a gyakorlati intézkedésekre nézve korábban az (EU) 2019/1024 irányelvben (a nyílt hozzáférésű adatokról szóló irányelv) foglalt szabályokat, azzal a céllal, hogy megkönnyítse a további felhasználás céljára rendelkezésre álló adatok vagy dokumentumok keresését.

·Az (EU) 2023/2854 rendeletbe (adatrendelet) beilleszti a kutatási adatokra vonatkozó szabályokat, amelyeket korábban az (EU) 2019/1024 irányelv (a nyílt hozzáférésű adatokról szóló irányelv) foglalt magában.

·Az (EU) 2023/2854 rendeletbe (adatrendelet) beilleszti a nagy értékű adatkészletekről szóló szabályokat, amelyeket korábban az (EU) 2019/1024 irányelv (a nyílt hozzáférésű adatokról szóló irányelv) foglalt magában.

·Új szakaszt hoz létre a védett adatok bizonyos kategóriáinak további felhasználására vonatkozóan, azzal a céllal, hogy az (EU) 2022/868 rendelet (adatkormányzási rendelet) II. fejezete szerinti korábbi szabályokat belefoglalja a fejezetbe. A pont felvázolja e harmadik szakasz alkalmazási körét, amely kizárja a hatálya alól a nyílt kormányzati adatok további felhasználásának rendszerét szabályozó második szakasz hatálya alá tartozó adatokat és dokumentumokat. Új szabály, hogy a dokumentumok e szakasz hatálya alá tartoznak.

·Előírja továbbá a védett adatok bizonyos kategóriáinak további felhasználására vonatkozó általános elvet. Ez az (EU) 2022/868 rendelet (adatkormányzási rendelet) II. fejezetében előírt elv, amely szerint a szakasz nem kötelezi a közszférabeli szervezeteket a védett adatok további felhasználásának engedélyezésére, hanem minimumfeltételeket határoz meg arra az esetre, ha a közszférabeli szervezetek úgy döntenek, hogy a szóban forgó adatokat további felhasználás céljából rendelkezésre bocsátják.

·Bevezeti a védett adatok bizonyos kategóriái további felhasználásának feltételeire vonatkozó szabályokat, amelyek korábban az (EU) 2022/868 rendelet (adatkormányzási rendelet) II. fejezetében szerepeltek egyszerűsített és észszerűsített formában. Egyértelművé teszi, hogy mely szabályok alkalmazandók azokban az esetekben, amikor a személyes adatok anonimizálására került sor. A nem személyes adatok harmadik országokba történő továbbítására vonatkozó követelmények megmaradnak, de az 54. pont alatt egy új cikket alkotnak.

·Az (EU) 2023/2854 rendeletbe (adatrendelet) bevezeti a díjak felszámítására vonatkozó szabályokat, amelyek korábban az (EU) 2022/868 rendelet (adatkormányzási rendelet) II. fejezetének részét képezték. Egy új szabály értelmében a közszférabeli szervezetek magasabb díjakat irányozhatnak elő a nagyon nagy vállalkozások általi további felhasználásért. E költségeknek arányosaknak kell lenniük, és objektív kritériumokon kell alapulniuk. A kkv-k általi további felhasználás ösztönzésének különös megfontolása a kis méretű, közepes piaci tőkeértékű vállalatokra is kiterjed.

·Az (EU) 2023/2854 rendeletbe (adatrendelet) bevezeti az illetékes szervekre vonatkozó szabályokat, amelyek korábban az (EU) 2022/868 rendelet (adatkormányzási rendelet) II. fejezetének részét képezték. Az illetékes szervek célja, hogy segítsék a közszférabeli szervezeteket a 3. szakaszban szereplő adatok és dokumentumok további felhasználására irányuló kérelmekre való reagálásában.

·Az (EU) 2023/2854 rendeletbe (adatrendelet) bevezeti az egyablakos információs pontra vonatkozó szabályokat, amelyek korábban az (EU) 2022/868 rendelet (adatkormányzási rendelet) II. fejezetének részét képezték. Az egyablakos információs pontokat úgy alakították ki, hogy segítsék a továbbfelhasználókat abban, hogy könnyen megtalálják a védett adatok bizonyos kategóriáinak további felhasználására vonatkozó információkat.

·Az (EU) 2023/2854 rendeletbe (adatrendelet) bevezeti a védett adatok bizonyos kategóriái további felhasználása iránti kérelmekhez kapcsolódó eljárásra vonatkozó szabályokat, melyeket korábban az (EU) 2022/868 rendelet (adatkormányzási rendelet) II. fejezete szabályozott.

Az (EU) 2016/679 rendelet, az (EU) 2018/1725 rendelet és a 2002/58/EK irányelv módosításai

A javaslat 3. cikke célzott módosításokat szándékozik bevezetni az (EU) 2016/679 rendeletre (a továbbiakban: általános adatvédelmi rendelet) nézve.

A 3. cikkben:

Az (1) bekezdés egyértelművé teszi a személyes adatoknak az (EU) 2016/679 rendelet (általános adatvédelmi rendelet) 4. cikke szerinti fogalommeghatározását, amikor kijelenti, hogy egy adott szervezet esetében az információ nem tekintendő személyes adatnak abban az esetben, ha a szervezet nem rendelkezik olyan eszközökkel, amelyekről észszerűen feltételezhető, hogy felhasználják azon természetes személy azonosítására, akire az információ vonatkozik. Következésképpen az ilyen szervezet elvben nem tartozik majd az említett rendelet hatálya alá.

A (2) bekezdés két további mentességet ír elő a különleges adatkategóriák kezelése tekintetében: Mentességet biztosít a biometrikus adatok kezelésének általános tilalma alól, abban az esetben, ha ez az érintett személyazonosságának megerősítéséhez szükséges, és ha a szóban forgó ellenőrzéshez szükséges adatok és eszközök az érintett kizárólagos ellenőrzése alatt állnak. Ezen túlmenően bizonyos feltételek mellett mentességet biztosít a személyes adatok különleges kategóriáinak valamely MI-rendszer vagy MI-modell fejlesztése és működtetése céljából történő reziduális kezelése tekintetében, beleértve a személyes adatok különleges kategóriái gyűjtésének elkerülését célzó megfelelő szervezeti és technikai intézkedéseket és az ilyen adatok eltávolítását.

A (3) bekezdés tisztázza az (EU) 2016/679 rendelet (általános adatvédelmi rendelet) 12. cikke szerinti helyzetet, nevezetesen azt a helyzetet, amikor az érintettek az adataik védelmén kívüli célokból visszaélnek a hozzáférési joggal. Ennek eredményeként az adatkezelő megtagadhatja a kérelem teljesítését, vagy észszerű díjat számíthat fel. Ezenkívül pontosítja azokat a feltételeket, amelyek alapján bizonyítható, hogy egy hozzáférés iránti kérelem túlzó volt.

A (4) bekezdés az adatkezelő azon kötelezettségére összpontosít, hogy tájékoztassa az érintetteket személyes adataiknak az (EU) 2016/679 rendelet (általános adatvédelmi rendelet) 13. cikke szerinti kezeléséről: e kötelezettséget megszünteti azokban a helyzetekben, amikor alapos okkal feltételezhető, hogy az érintett már rendelkezik az információkkal, kivéve, ha az adatkezelő az adatokat más címzetteknek vagy címzettek más kategóriáinak továbbítja, az adatokat harmadik országba továbbítja, automatizált döntéshozatalt végez, vagy az adatkezelés valószínűsíthetően magas kockázattal jár az érintett jogaira nézve.

Az (5) bekezdés egyértelműsíti az (EU) 2016/679 rendelet (általános adatvédelmi rendelet) 22. cikke szerinti, az egyedi ügyekben alkalmazandó automatizált döntéshozatalra vonatkozó követelményeket az érintett és az adatkezelő közötti szerződés megkötésével vagy teljesítésével összefüggésben, és különösen azt, hogy a „szükségesség” követelménye független attól, hogy a döntés meghozható-e nem kizárólag automatizált módon.

A (6) bekezdés összehangolja az adatkezelő azon kötelezettségét, hogy az (EU) 2016/679 rendelet (általános adatvédelmi rendelet) 33. cikke értelmében értesítse az illetékes felügyeleti hatóságot az adatvédelmi incidensekről, valamint azon kötelezettségét, hogy értesítse az érintetteket az ilyen incidensekről; a (6) bekezdés azt is előírja, hogy az értesítésre csak akkor van szükség, ha az adatvédelmi incidens valószínűsíthetően magas kockázattal jár az érintett jogaira nézve. Emellett az értesítési határidőt 96 órára hosszabbítja meg. Javasolja továbbá, hogy az adatkezelők használják az egyablakos ügyintézési pontot, amikor bejelentik az adatvédelmi incidenseket a felügyeleti hatóságnak. Emellett az Európai Adatvédelmi Testület köteles javaslatot készíteni és benyújtani a Bizottságnak az adatvédelmi incidensek bejelentésére szolgáló közös sablonról, melyet a Bizottság – szükség szerinti felülvizsgálatot követően – végrehajtási jogi aktus útján fogadhat el.

A (7) bekezdés az adatvédelmi hatásvizsgálatot igénylő és nem igénylő adatkezelési tevékenységek jegyzékét harmonizálja úgy, hogy előírja: uniós szinten egységes jegyzéket kell benyújtani az adatvédelmi hatásvizsgálatot igénylő és nem igénylő adatkezelési műveletekről, hozzájárulva ezáltal a magas kockázat fogalmának harmonizációjához. Az Európai Adatvédelmi Testület feladata, hogy javaslatokat készítsen az ilyen listákra vonatkozóan. Az is kötelessége, hogy javaslatot készítsen az adatvédelmi hatásvizsgálatok elvégzésére szolgáló közös sablonra és közös módszertanra vonatkozóan, melyet a Bizottság – szükség szerinti felülvizsgálatot követően – végrehajtási jogi aktus útján fogadhat el.

A (8) bekezdés megállapítja, hogy a Bizottság az Európai Adatvédelmi Testülettel együtt támogathatja az adatkezelőket annak értékelésében, hogy az álnevesítésből származó adatok nem minősülnek-e személyes adatnak, úgy, hogy meghatározza a szóban forgó értékelés szempontjából releváns eszközöket és kritériumokat, beleértve az újbóli azonosítás kockázatának értékelésére szolgáló legkorszerűbb rendelkezésre álló technikákat és kritériumokat...

Jogi aktusok hatályon kívül helyezése és záró rendelkezések

2025/0360 (COD)

Javaslat

AZ EURÓPAI PARLAMENT ÉS A TANÁCS RENDELETE

az (EU) 2016/679, az (EU) 2018/1724, az (EU) 2018/1725 és az (EU) 2023/2854 rendeletnek, valamint a 2002/58/EK, az (EU) 2022/2555 és az (EU) 2022/2557 irányelvnek a digitális jogszabályi keret egyszerűsítése tekintetében történő módosításáról, továbbá az (EU) 2018/1807, az (EU) 2019/1150 és az (EU) 2022/868 rendelet és az (EU) 2019/1024 irányelv hatályon kívül helyezéséről (digitális omnibusz csomag)

AZ EURÓPAI PARLAMENT ÉS AZ EURÓPAI UNIÓ TANÁCSA,

tekintettel az Európai Unió működéséről szóló szerződésre és különösen annak 16. és 114. cikkére.

tekintettel az Európai Bizottság javaslatára,

A jogalkotási aktus tervezete nemzeti parlamenteknek való megküldését követően,

tekintettel az Európai Gazdasági és Szociális Bizottság véleményére 21 ,

tekintettel az Európai Központi Bank véleményére 22 ,

tekintettel a Régiók Bizottságának véleményére 23 ,

rendes jogalkotási eljárás keretében,

mivel:

(1)Az „Egyszerűbb és gyorsabb Európa” című közleményében 24 a Bizottság bejelentette, hogy elkötelezett egy ambiciózus program mellett, amely olyan előretekintő, innovatív szakpolitikákat mozdít elő, amelyek erősítik az Unió versenyképességét, és radikális mértékben enyhítik az emberekre, a vállalkozásokra és a közigazgatásra nehezedő szabályozási terheket, miközben továbbra is a legmagasabb színvonalon mozdítják elő az Unió értékeit. Következésképpen a Bizottság az Unió versenyképességi kihívásainak kezelése érdekében prioritásként kezelte a jogszabályok – többek között a digitális jogszabályok – azonnali kiigazítására irányuló javaslatot.

(2)Az uniós digitális jogszabályok magas szintű normákat határoznak meg az Unióban, és a versenyelőny jelentős forrásai lehetnek a szabályokat betartó vállalkozások számára, mivel a világszinten kiemelkedő minőséget, biztonságot és megbízhatóságot jelzik. A digitális szabályozások egyértelmű szabályokat határoztak meg az Unióban a felelős vállalkozások számára, biztosítva a vállalkozások közötti kapcsolatok tisztességességét és átláthatóságát, ösztönözve az innovatív üzleti modelleket, magas szintű fogyasztóvédelmet és biztonságot írva elő, valamint az alapvető jogok, nem utolsósorban a magánélet és az adatvédelem védelme érdekében.

(3)Az uniós digitális jogszabályok az elmúlt években fokozatosan fejlődtek, reagálva a digitális technológiáknak az Unió gazdaságában és társadalmi dinamikájában gyorsan növekvő lábnyomára, valamint a felmerülő kihívások kezelése és az üzleti lehetőségek Unión belüli előmozdítása érdekében. Jóllehet a Bizottság elkötelezte magát a digitális szabályok és más uniós szabályok szisztematikus „stressztesztje” mellett – amely további szabályozási kiigazításokhoz vezethet, különösen a közelgő digitális célravezetőségi vizsgálat, valamint a digitális szabályok egyéb célzott értékelése nyomán –, azonnali szabályozási változtatásokra van szükség. Ez a rendelet ezért a digitális jogszabályi keret módosításainak első csomagjára nézve tesz javaslatot, amelynek célja, hogy azonnali szabályozási pontosításokat nyújtson, amelyek ösztönzik az innovációt az uniós piacon, és csökkentik az adminisztratív megfelelési költségeket – különösen a vállalkozások számára –, miközben észszerűsítik a felügyeleti hatóságok és a tanácsadó szervek felügyeleti és adminisztratív költségeit is. A módosítások célja továbbá, hogy egyértelmű helyzetet teremtsenek az egyének számára.

(4)Tekintettel arra, hogy az adatok alapvető szerepet játszanak a digitális gazdaságban az értékteremtés előmozdításában, valamint az európai adatuniós stratégiáról szóló közlemény célkitűzéseivel összhangban az adatokra vonatkozó jogszabályi keret e rendeletben előterjesztett módosításai arra irányulnak, hogy koherens szabályozási keretet hozzanak létre az adatok rendelkezésre állására és felhasználására vonatkozóan, észszerűsítve és csupán két jogi aktusba – nevezetesen az (EU) 2016/679 25 és az (EU) 2023/2854 európai parlamenti és tanácsi rendeletbe 26 – foglalva az adatokra vonatkozó szabályozási keretet, amely jelenleg öt különböző alkalmazandó jogi aktusból áll. A módosítások célja a szükségtelen adminisztratív költségek csökkentése és az adatok rendelkezésre állásának ösztönzése, ami előfeltétele a versenyképes digitális vállalkozások támogatásának az Unióban, ugyanakkor célja az is, hogy fenntartsa a magánélet védelmének, a személyes adatok védelmének és a tisztességes üzleti gyakorlatoknak a legmagasabb szintjét, továbbá biztosítsa az alapvető szabályozási célkitűzéseket, beleértve az uniós és nemzeti versenyjognak való megfelelést.

(5)A horizontális és ágazatspecifikus szabályok fokozatos fejlődésére tekintettel elengedhetetlen kezelni az egyes rendelkezések közötti átfedéseket is, amelyek az adminisztratív terhek szükségtelen megkettőzését eredményezik. Ez a helyzet a kiberbiztonsági incidenseket és a kapcsolódó incidenseket követő bejelentésre vonatkozó, több szabályban előírt követelmények esetében, melyek tekintetében az e rendeletben javasolt digitális megoldások azonnali segítséget nyújthatnak a vállalkozásoknak valamennyi érintett ágazatban.

(6)Hasonlóképpen, az online platformok elmúlt években tapasztalható fokozatos fejlődésének köszönhetően az újabb szabályok egyértelműbb és ambiciózusabb keretet hoztak létre, mint egyes korábbi szabályok, mely utóbbiak így elavulttá váltak. A jogi keretnek tehát fejlődnie kell, és meg kell szüntetnie a jogi összetettséget megnövelő szükségtelen átfedéseket.

(7)Az (EU) 2022/868 európai parlamenti és tanácsi rendelet 27 a közvetítő funkciókra vonatkozóan írt elő szabályokat három különböző kontextusban, melyek a következők: a) a közszférabeli szervezetek birtokában lévő védett adatok ellenőrzött feltételek melletti további felhasználását támogató funkciók; b) az érintettek, az adatbirtokosok és az adatfelhasználók közötti adatmegosztást elősegítő adatközvetítő szolgáltatások; valamint c) az érintettek és az adatbirtokosok által altruista vagy emberbaráti alapon rendelkezésre bocsátott adatok felhasználását támogató adataltruista szervezetek. A közszféra birtokában lévő védett adatok további felhasználását támogató funkciók szorosan kapcsolódnak az (EU) 2019/1024 európai parlamenti és tanácsi irányelvben 28 előírt szabályokhoz. Kölcsönhatásuk zavart okozott, különösen a közszférabeli szervezetek körében. Ezért a két szabályrendszert össze kell vonni. Az adatközvetítő szolgáltatásokra vonatkozó szabályok értékelése arra hívta fel a figyelmet, hogy az adatközvetítő szolgáltatók fogalmának meghatározása hiányosságokat mutat, és hogy a szabályok túlságosan szigorúak, aminek következtében a szolgáltatóknak nem áll módjukban fenntartható pénzügyi modellt találni. Ezért a rendszer egyszerűsítésére is szükség van. Az adataltruizmust illetően az (EU) 2022/868 rendelet egyes szabályai – nevezetesen a tagállamok azon kötelezettsége, hogy rendelkezzenek az adataltruizmusra vonatkozó nemzeti szakpolitikákkal, egy úgynevezett szabálykönyv létrehozása és az adataltruizmushoz kapcsolódó európai hozzájárulási űrlap kidolgozása – szükségtelen szabályozásnak tűnnek, többek között az (EU) 2016/679 európai parlamenti és tanácsi rendelet 29 68. cikkében említett Európai Adatvédelmi Testület által a személyes adatok tudományos kutatással összefüggésben történő kezelésére vonatkozó iránymutatás kapcsán jelenleg végzett munka fényében.

(8)Bár az adatközvetítő szolgáltatások fontosságát számos, az adatmegosztást és az együttműködést támogató kezdeményezéssel összefüggésben elismerik, az (EU) 2022/868 rendelet adatközvetítő szolgáltatókra vonatkozó szabályait egyértelműsíteni szükséges. Különösen a szóban forgó szolgáltatók fogalmának meghatározását kell pontosítani. Ki kell küszöbölnie azokat az elemeket, amelyek csupán szemléltető példaként szolgáltak, nem pedig kivételnek tekintendők. Ezenkívül foglalkoznia kell a kétértelmű megfogalmazásokból eredő joghézagokkal, különösen a „zárt csoport” fogalmát illetően. El kell érni, hogy szolgáltatások ne legyenek adatközvetítő szolgáltatásként felvehetők a nyilvántartásba abban az esetben, ha azokat kizárólag zárt vállalatcsoport veszi igénybe, és ha a vállalatcsoport kiterjesztéséről csak maga csoport dönthet, nem pedig a szolgáltató. Ennél is fontosabb szempont, hogy ennek a feltörekvő piacnak a kötelező rendszer alá vonása szükségtelen megfelelési költségeket eredményezett. A piac fejlődésének e szakaszában a jelek szerint elegendő az olyan önkéntes rendszer, amely lehetővé teszi a semleges szereplők számára, hogy megkülönböztessék magukat a többi szereplőtől. Emellett a fenntartható üzleti modellek lehetővé tétele érdekében a szabályrendszer szigorúságát enyhíteni kell az adatközvetítő szolgáltatások és a szolgáltatás által nyújtható egyéb hozzáadott értéket képviselő szolgáltatások jogi elkülönítésére vonatkozó követelmény kivezetésével, és azt bizonyos garanciák fenntartása mellett funkcionális elkülönítéssel kell felváltani. Az adminisztratív nyomonkövetési rendszert egyszerűsíteni kell. Az adatközvetítő szolgáltatók és az adataltruista szervezetek nemzeti és uniós nyilvános nyilvántartása helyett csak uniós nyilvános nyilvántartásokra van szükség: egyre az adatközvetítő szolgáltatók, egyre pedig az adataltruista szervezetek számára. E feladat tekintetében függetlennek kell lenniük azoknak az illetékes hatóságoknak, amelyek felügyelik a címke odaítélését és azt, hogy a szervezetek megfelelnek-e a címke megszerzéséhez kapcsolódó követelményeknek. Ez úgy értendő, hogy a szervezetek jogilag és funkcionálisan függetlenek az adatközvetítő szolgáltatástól vagy az adataltruista szervezettől, többek között a felső vezetésük szintjén is. Lehetővé kell tenni a kormányzati szervezetek számára, hogy pénzügyileg támogassák az adatközvetítő szolgáltatásokat vagy az adataltruista szervezeteket – különös tekintettel e szervezetek kialakulóban lévő jellegére –, feltéve, hogy jogilag különálló szervezetek. Annak biztosítása érdekében, hogy az elismert szervezetek Unió-szerte könnyen azonosíthatók legyenek, a Bizottság megalkotta az Unióban elismert adatközvetítő szolgáltatók és adataltruista szervezetek azonosítására szolgáló közös logók mintájáról szóló (EU) 2023/1622 végrehajtási rendeletet.

(9)Az (EU) 2023/2854 rendelet felszámolja az adatokhoz való hozzáférés és az adatok felhasználása előtt álló akadályokat, utat enged az adatvezérelt innovációnak és versenyképességnek, továbbá védi az adattechnológiákba beruházó szereplőket ösztönző tényezőket.

(10)Az (EU) 2023/2854 rendelet II. fejezete előírja az adatbirtokosok számára, hogy a felhasználók és az általuk kiválasztott harmadik felek rendelkezésére bocsássák az adatokat, beleértve az üzleti titokként védett adatokat is, feltéve, hogy fenntartják az adatbirtokos által meghatározott titoktartási intézkedéseket. Ez a titoktartási követelmény kiegészíti az (EU) 2016/943 európai parlamenti és tanácsi irányelvet  30 , amely az üzleti titkok Unión belüli védelmére vonatkozó standardokat határoz meg. Az üzleti titkok harmadik országbeli jogalanyokkal való közlése azonban megnövelheti az üzleti titkok sértetlenségét és bizalmas jellegét érintő kockázatokat, ha olyan joghatóságokkal kerülnek kapcsolatba, amelyek nem nyújtanak megfelelő védelmet, vagy amelyek számára nehézséget jelent a tényleges jogérvényesítés, ami potenciálisan jogosulatlan felhasználáshoz, gazdasági kárhoz és jogbizonytalansághoz vezethet.

(11)Szükség van az (EU) 2023/2854 rendeletet megerősítésére; ehhez be kell vezetni egy további indokot, melyre hivatkozva az adatbirtokosok megtagadhatják az üzleti titkok felfedését. Ez az indok azokat a meglévő rendelkezéseket egészítené ki, amelyek azon az alapon teszik lehetővé az elutasítást, hogy az adatbirtokos bizonyítja a súlyos gazdasági kár nagy valószínűségét. Az új rendelkezés értelmében az adatbirtokosok megtagadhatják az üzleti titkok felfedését, ha bizonyítják, hogy nagy a kockázata annak, hogy azokat jogosulatlanul megszerzik, felhasználják vagy felfedik olyan szabályrendszerek hatálya alá tartozó szervezetek előtt, amelyek nem nyújtanak megfelelő védelmet, vagy az alkalmazandó uniós szabályokkal nem egyenértékű, azoknál gyengébb jogi keretet biztosítanak. Az új rendelkezés hatálya azokra az esetekre is kiterjed, amikor a harmadik ország jogi kerete elméletileg szilárd vagy erősebb a szóban forgó uniós szabályoknál, azonban a gyakorlatban nem érvényesül megfelelően. Ezek a kockázatok annak lehetőségét hordozzák, hogy az üzleti titkokat az uniós jogot megsértve meg lehet szerezni, fel lehet használni vagy fel lehet fedni, veszélyeztetve az üzleti titkok sértetlenségét és bizalmas jellegét.

(12)Az elutasítási mechanizmus aktiválásának önkéntesnek kell maradnia, és a bizonyításra csak az aktiválást követően kerülhet sor. Az adatbirtokosok nem kötelezhetők arra, hogy – annak előfeltételeként, hogy alá tudják támasztani az adatok megosztásának vagy az üzleti titkok felfedésének megtagadását – teljes körű elemzést végezzenek az üzleti titkok harmadik országokban vagy valamely harmadik országbeli szervezet által biztosított védelmének szintjéről vagy bizonyítsák azt. A bizonyítás során az adatbirtokosok különböző tényezőket vehetnek figyelembe, például az elégtelen vagy nem megfelelő jogi normákat, a gyenge vagy önkényes végrehajtást, a múltbeli jogsértéseket, a felfedésre vonatkozó és az uniós joggal ellentétes külföldi kötelezettségeket, az uniós szervezetek korlátozott jogorvoslati lehetőségeit, az eljárási taktikákkal való stratégiai visszaélést a versenytársak helyzetének aláásása érdekében, vagy az indokolatlan politikai befolyást. Tekintettel az érintett szervezetek, harmadik országok és adatmegosztási forgatókönyvek sokféleségére, az adatbirtokosoknak az értékelés és a bizonyítás során a releváns kockázatokra kell összpontosítaniuk, és ennek megfelelően kell eljárniuk, többek között úgy, hogy megfelelő garanciákat határoznak meg vagy aktiválják az elutasítási mechanizmust. Az elutasításnak egyértelműnek és arányosnak kell lennie, és az egyes esetek sajátos körülményeihez kell igazodnia, ahelyett, hogy az egész harmadik országra nézve szisztematikusan, általánosan alkalmaznák.

(13)Az üzleti titkok elégtelen védelme és a harmadik országokban történő érvényesítésükkel kapcsolatban jelentkező kihívások helyrehozhatatlan károkat okozhatnak az európai vállalkozásoknak. A cél tehát az üzleti titkokra vonatkozó garanciák megerősítése annak megakadályozásával, hogy kiszivárogjanak a szóban forgó kockázatot jelentő joghatóságokban letelepedett vagy ilyen joghatóságok alá tartozó természetes vagy jogi személyekhez. Ez magában foglalja a harmadik országbeli szervezetek ellenőrzése alatt álló uniós székhelyű szervezeteket is, amelyek rosszhiszeműen vagy harmadik országbeli szervezetek fedőszervezeteként járhatnak el. Emellett a cél az ilyen joghatóságok alá tartozó, az Unióban működő harmadik országbeli szervezeteknek való közvetlen kitettség elkerülése. A harmadik ország joghatósága alá tartozás azt jelenti, hogy a szóban forgó természetes vagy jogi személy egy harmadik ország jogszabályainak vagy szabályozó hatóságának jogi hatálya alá tartozik, az azok általi irányítás alatt működik, vagy azok más módon rónak rá kötelezettségeket. A harmadik országbeli anyavállalatok leányvállalatai vagy kapcsolt vállalkozásai a szóban forgó joghatóságokat az uniós jogszabályok megkerülésére vagy kijátszására használhatják fel. A közvetlen vagy közvetett irányítás a valamely másik szervezet vezetői döntései vagy stratégiai döntései feletti meghatározó befolyás gyakorlására való képességet jelenti, tőke vagy szavazati jogok tulajdonlása, pénzügyi részesedés, szerződéses megállapodások vagy közvetítő szervezetek révén. Az irányítás gyakorolható közvetlenül vagy más módon, akár többségi tulajdon nélkül is. Az adatbirtokosok kötelesek minden tőlük telhetőt megtenni annak érdekében, hogy megszerezzék a releváns információkat – adott esetben úgy, hogy a nyilvános nyilvántartásokban keresnek, vagy úgy, hogy ezeket az információkat közvetlenül a felhasználótól vagy harmadik féltől kérik be –, ugyanakkor biztosítaniuk kell, hogy megfelelő mértékben behatolásmentesen járnak el.

(14)Az üzleti titkok e sebezhetőségekkel szembeni védelme elengedhetetlen ahhoz, hogy az európai iparágak fenntartsák piaci pozíciójukat és versenyelőnyüket. Jóllehet az adatbirtokosok mérlegelési jogkört gyakorolhatnak üzleti titkaik védelme terén, az adatmegosztás megtagadását indokolt, kivételes körülményekre kell korlátozni, hiszen így valósulhat meg az (EU) 2023/2854 rendelet azon célkitűzése, hogy az Unióban elő kell mozdítani az adatvezérelt innovációt és a virágzó digitális gazdaságot. Fenn kell tartani az elutasítási mechanizmussal való visszaélés elleni biztosítékokat, beleértve az adatbirtokos azon kötelezettségét, miszerint kellően megalapozott módon bizonyítania kell, hogy az adatok felfedése nagy kockázatot jelent, valamint értesítenie kell az illetékes hatóságokat. A bizonyítást írásban, indokolatlan késedelem nélkül a felhasználó vagy harmadik fél rendelkezésére kell bocsátani, és annak arányosnak kell lennie a szóban forgó üggyel. A szóban forgó üzleti titkok bizalmas jellegének megőrzése érdekében valamennyi érintett fél köteles bizalmasan kezelni a döntést és az azt alátámasztó bizonyítást. A felhasználók és adott esetben a harmadik felek az illetékes hatóságnál, a bíróságon vagy vitarendezési testületek bevonásával megtámadhatják az adatbirtokos döntését.

(15)Az üzleti és a közszféra közötti, az (EU) 2023/2854 rendelet szerinti adatmegosztás keretének egyszerűsítése, valamint a vállalkozásokra korábban szélesebb körű kötelezettségeket előíró kétértelműségek tisztázása érdekében az említett rendelet V. fejezetének hatályát a „rendkívüli igényről” a „szükséghelyzetekre” kell szűkíteni. A „szükséghelyzetek” fogalma – melyet az (EU) 2023/2854 rendelet 2. cikkének 29. pontja határoz meg – biztosítja, hogy az említett fejezetben meghatározott kötelezettségekre csak jól meghatározott, sürgős helyzetekben lehessen hivatkozni, ami enyhíti azokat a műszaki, adminisztratív és jogi kihívásokat, amelyekkel a vállalkozások a korábbi szabályrendszer keretében szembesültek. Ez biztosítaná, hogy az adatigénylések a szükséghelyzetre való reagálás, a szükséghelyzet enyhítése vagy a szükséghelyzetből való kilábalás támogatása szempontjából relevánsak és arányosak legyenek. Mivel az európai statisztikáknak a 223/2009/EK európai parlamenti és tanácsi rendelet 31 szerinti aktualizált uniós kerete nem tér ki a szükséghelyzetekre, alapvető fontosságú a hivatalos statisztikáknak az (EU) 2023/2854 rendelet V. fejezete szerinti szerepének megőrzése annak érdekében, hogy az említett helyzetekben biztosítható legyen az egyértelműség és a hatékonyság. Egyértelművé kell tenni továbbá az olyan helyzetekre vonatkozó kompenzációs rendszert, amikor a mikro- és kisvállalkozásoknak a szükséghelyzet kezelése érdekében adatokat kell szolgáltatniuk, mely esetben e vállalkozások kompenzációt igényelhetnek.

(16)Az innovatív üzleti modellektől esetlegesen eltántorító jogbizonytalanságok enyhítése érdekében foglalkozni kell a megfelelési bizonytalanságokkal és terhekkel, amelyek az (EU) 2023/2854 rendelet 36. cikke szerinti adatmegosztási megállapodásokat végrehajtó intelligens szerződésekre vonatkozó rendelkezésekkel kapcsolatban adódnak. A bizonyos kulcsfontosságú fogalmakra – mint például a „robusztusság”, a „hozzáférés-ellenőrzés” és a „szerződési feltételekkel való összhang” – vonatkozó harmonizált szabványok és egyértelmű fogalommeghatározások hiánya, melyhez társul „a biztonságos leállítás vagy megszakítás mechanizmusát” előíró követelmény, amely potenciálisan összeegyeztethetetlen a módosíthatatlan főkönyvekre épülő decentralizált vagy nyilvános blokklánc-architektúrákkal, kihívást jelentett az innovátorok számára ami a költségek és a lehetőségek szempontjából. Emellett az említett rendelet 36. cikkének (2) bekezdése szerinti megfelelőségértékelés elvégzését övező kétértelműség aránytalan terhek kockázatával jár. Emiatt az (EU) 2023/2854 rendelet 36. cikkének törlése előmozdítaná az új üzleti modellek fejlesztését és piaci bevezetését, ösztönözné az innovációt, és csökkentené a kialakulóban lévő technológiák előtt álló akadályokat.

(17)Egyes adatkezelési szolgáltatások, amelyek nem tartoznak az infrastruktúra-szolgáltatás (IaaS) szolgáltatási modell körébe, az ügyfél igényeihez vagy ökoszisztémájához igazodnak. A szóban forgó adatkezelési szolgáltatások nyújtása a szerződéskötést megelőző, illetve a szerződésre vonatkozó időigényes tárgyalásokon alapul, melyek célja az ügyfél konkrét igényeinek meghatározása, valamint az adatkezelési szolgáltatás testreszabására és a testre szabott megoldás biztosítására irányuló későbbi technikai erőfeszítések végrehajtása. E szolgáltatások nem készen kaphatók, és az ügyfél igényeihez vannak igazítva annak érdekében, hogy testre szabott megoldást nyújtsanak, amennyiben a szolgáltató az adatkezelési szolgáltatás jellemzőinek és funkcionalitásainak többségét a szolgáltató az ügyfél sajátos igényeihez igazította, és amennyiben a jellemzők és a funkcionalitások többsége a szolgáltató általi előzetes kiigazítás nélkül nem lenne használható az ügyfél számára. Ezek a szolgáltatások eltérnek az (EU) 2023/2854 rendelet 31. cikkének (1) bekezdésében említett, személyre szabottan kialakított adatkezelési szolgáltatásoktól. A személyre szabottan kialakított adatkezelési szolgáltatások olyan szolgáltatások, amelyek fő jellemzőinek túlnyomó részét egy egyedi ügyfél sajátos igényeinek kielégítésére, személyre szabottan alakították ki, és amennyiben az említett adatkezelési szolgáltatásokat nem kínálják széleskörű kereskedelmi méretekben az adatkezelési szolgáltató szolgáltatási katalógusán keresztül. A 2025. szeptember 12-én vagy azt megelőzően kötött szerződések újranyitásának és újratárgyalásának szükségességével kapcsolatos többletköltségek és adminisztratív terhek elkerülése érdekében egyértelművé kell tenni, hogy – a szolgáltatóváltási díj és az adattovábbítási díj csökkentésére és végső soron megszüntetésére vonatkozó kötelezettség kivételével – a 2025. szeptember 12-én vagy azt megelőzően kötött szerződéseknek megfelelően nyújtott, személyre szabottan kialakított szolgáltatások nem tartozhatnak az (EU) 2023/2854 rendelet VI. fejezetének hatálya alá.

(18)A pénzügyi tervezéssel és a beruházások vonzásával kapcsolatos okokból az adatkezelési szolgáltatók – különösen a kkv-k és a kis méretű, közepes piaci tőkeértékű vállalatok – előnyben részesíthetik a határozott idejű szerződéseket, továbbá kínálhatnak ilyen szerződéseket. Egyértelműsíteni kell, hogy az adatkezelési szolgáltatók az említett szerződésekbe belefoglalhatnak az idő előtti megszüntetés esetén alkalmazandó arányos szankciókra vonatkozó rendelkezéseket, amennyiben azok nem akadályozzák a szolgáltatóváltást. Hozzá kell tenni, hogy a kkv-nak vagy kis méretű, közepes piaci tőkeértékű vállalatnak minősülő adatkezelési szolgáltatókra különösen nagy terhet ró, hogy az adatkezelési szolgáltatások nyújtására vonatkozó meglévő szerződéseket össze kell hangolni az (EU) 2023/2854 rendelettel. Ezért külön szabályrendszert kell létrehozni e szolgáltatókra vonatkozóan, amennyiben 2025. szeptember 12-én vagy azt megelőzően kötött szerződések alapján az IaaS-től eltérő adatkezelési szolgáltatásokat nyújtanak. Figyelembe véve az (EU) 2023/2854 rendelet azon célját, hogy lehetővé tegye az adatkezelési szolgáltatások közötti váltást, és tekintettel arra, hogy a szolgáltatóváltási díjak – beleértve az adattovábbítási díjakat is – a szolgáltatóváltás komoly akadályát képezik, a kkv-k vagy a kis méretű, közepes piaci tőkeértékű vállalatok által személyre szabott vagy nyújtott adatkezelési szolgáltatásokat szabályozó új, kevésbé szigorú szabályrendszerek nem áshatják alá az említett díjak fokozatos visszavonását Az e célkitűzéssel ellentétes szerződéses rendelkezéseket úgy kell tekinteni, mint amelyek soha nem léteztek, amennyiben azokat az e két új külön szabályrendszer hatálya alá tartozó szolgáltatások nyújtására vonatkozó szerződéses megállapodások tartalmazzák.

(19)Az (EU) 2018/1807 európai parlamenti és tanácsi rendelet 32 kulcsfontosságú elvet vezetett be az adatvezételt gazdaság Unión belüli támogatására, konkrétan formában támogatva a letelepedés és a szolgáltatásnyújtás szabadságát. Továbbra is alapvető elv az adatok Unión belüli szabad áramlása – melyet az adatlokalizációs követelmény tilalma egyértelműsít –, amely jogbiztonságot nyújt a vállalkozások számára, és amelyet meg kell tartani az (EU) 2023/2854 rendeletben. A rendelkezés nem érinti az adatkezelést abban az esetben, ha azt az Európai Unióról szóló szerződés 4. cikkével összhangban az uniós jog hatályán kívül eső tevékenység részeként végzik, különösen a nemzetbiztonság tekintetében. Ugyanakkor az (EU) 2018/1807 rendelet egyéb rendelkezéseit újabb szabályok váltják fel. Nevezetesen: az (EU) 2023/2854 rendelet VI. fejezete korszerű horizontális jogi keretet vezetett be az adatkezelési szolgáltatások közötti váltás kezelésére, és gyakorlatilag elavulttá tette az (EU) 2018/1807 rendelet 6. cikkét. E rendelkezések párhuzamos megléte bonyolultabbá tette a jogi helyzetet a vállalkozások számára. Az (EU) 2018/1807 rendeletet ezért hatályon kívül kell helyezni.

(20)A „közbiztonság” fogalma az EUMSZ 52. cikke értelmében és a Bíróság értelmezése szerint a tagállamok külső és belső biztonságára egyaránt kiterjed, ahogyan a közvédelem kérdéseire is, különösen a bűncselekmények kivizsgálásának, felderítésének és büntetőeljárás alá vonásának elősegítése érdekében. Valamely alapvető társadalmi érdeket érintő, olyan tényleges és kellően súlyos fenyegetés fennállását feltételezi, mint például az intézmények és alapvető közszolgáltatások működésének vagy a lakosság életének veszélyeztetése, továbbá a külkapcsolatoknak vagy a népek békés együttélésének súlyos megzavarása vagy a katonai érdekeket fenyegető kockázat. Az arányosság elvével összhangban a közbiztonsági okokból indokolt adatlokalizációs követelményeknek alkalmasaknak kell lenniük a kitűzött cél elérésére, és nem léphetik túl az e cél eléréséhez szükséges mértéket.

(21)Mind az (EU) 2019/1024 irányelv, mind az (EU) 2022/868 rendelet II. fejezete szabályozza a közszféra információinak innovációs célú további felhasználását. A két szabályrendszer kölcsönhatása jogbizonytalanságot teremtett, főként a közszférabeli szervezetek számára. Ezért a jogi koherencia és a jogbiztonság fokozása érdekében a szabályokat egyetlen jogi eszközön belül szükséges összehangolni.

(22) Tekintettel arra, hogy mind az (EU) 2019/1024 irányelv, mind az (EU) 2022/868 rendelet célja, hogy segítse a közszféra információinak további felhasználását, valamint a szabályoknak mind a közszférabeli szervezetek, mind pedig a közszféra információinak továbbfelhasználói szempontjából történő egyszerűsítése érdekében észszerű hatályon kívül helyezni az (EU) 2019/1024 irányelvet és az (EU) 2022/868 rendeletet, összehangolni a két szabályrendszert, és e rendelet keretében egyetlen fejezetben egységes szerkezetbe foglalni a szabályokat. Ez a megoldás Unió-szerte fokozza majd a szóban forgó szabályok harmonizációját, csökkenti a nemzeti jogszabályok értelmezésével és végrehajtásával kapcsolatban jelentkező adminisztratív terheket, és megkönnyíti a vállalkozások számára a határokon átnyúló szolgáltatások és termékek fejlesztését. Az illetékes szervek kijelölésekor a tagállamoknak biztosítaniuk kell, hogy minden érintett ágazat végső soron a rendelet hatálya alá tartozzon, abban az esetben is, ha ágazatspecifikus illetékes szervek kijelölésére kerül sor. E rendelet módosításait úgy kell értelmezni, hogy azok nem változtatják meg a különböző fogalommeghatározások és kifejezések értelmezését, kivéve, ha erről egyértelműen rendelkeznek.

(23)A további felhasználás céljából nyilvánosan hozzáférhetővé tehető adatok és dokumentumok, valamint a kereskedelmi adatokra vonatkozó titoktartás – ideértve az üzleti, a szakmai vagy a vállalati titkokat is –, a statisztikai adatvédelem, a harmadik felek szellemitulajdon-jogainak védelme vagy a személyes adatok védelme – alapján védett adatok és dokumentumok gyakran ugyanazon közszférabeli szervezetek birtokában vannak. Ezért össze kell hangolni a közszféra valamennyi információjára alkalmazandó fogalommeghatározásokat és közös elveket, és foglalkozni kell a két szabályrendszer kölcsönhatásával kapcsolatos kérdésekkel.

(24)A meglévő szabályokat az egyértelműség és a következetesség fokozása érdekében észszerűsíteni kell. Mindazonáltal a további felhasználáshoz kapcsolódó két rendszernek továbbra is különállónak kell maradnia, és alkalmazási körüknek továbbra is az adatok vagy dokumentumok jellemzőitől és további felhasználásuk kontextusától kell függenie. A közszférabeli szervezeteknek lehetőség szerint a nyílt hozzáférésű adatok rendszerét kell alkalmazniuk. Csak abban esetben korlátozhatják az adatok nyilvános hozzáférhetőségét, és mérlegelhetik annak lehetőségét, hogy védett adatként bocsássák rendelkezésre további felhasználás céljából, ha megállapítják, hogy az adatok vagy dokumentumok a védett adatok bizonyos kategóriáinak megfelelő információkat tartalmaznak.

(25)Az induló innovatív vállalkozások, a kisvállalkozások és a 2003/361/EK bizottsági ajánlás 33 mellékletének 2. cikke alapján középvállalkozásnak minősülő vállalkozások, valamint a hagyományos ágazatokban működő, kevésbé fejlett digitális képességekkel rendelkező vállalkozások számára nehézséget okoz az adatok és a dokumentumok további felhasználása. A digitális gazdaságban ugyanakkor kialakult igen kis számú nagyon nagy szervezet, amelyek hatalmas adatmennyiség felhalmozása és összesítése, valamint a monetizálásukhoz szükséges technológiai infrastruktúra révén számottevő gazdasági erőre tettek szert. Az említett nagyon nagy vállalkozások közé tartoznak azon vállalkozások, amelyek alapvető platformszolgáltatásokat nyújtanak és az (EU) 2022/1925 európai parlamenti és tanácsi rendelet 34 értelmében kapuőrnek minősülnek, és amelyekre az egyensúlyhiányok kezelésére vonatkozó különleges kötelezettségek vonatkoznak. A szóban forgó egyensúlyhiányok kezelése, valamint a verseny és az innováció erősítése érdekében a közszférabeli szervezetek számára lehetővé kell tenni, hogy az adatok és dokumentumok nagyon nagy vállalkozások általi további felhasználására vonatkozó engedélyekbe különös feltételeket illesszenek be. Az említett feltételek mindegyikének arányosnak kell lennie, objektív kritériumokon kell alapulnia, figyelembe véve a gazdasági erőt, a szervezet adatszerzésre való képességét vagy az (EU) 2022/1925 rendelet szerinti kapuőrré minősítést, valamint adott esetben más kapcsolódó kritériumokat. Az ilyen különös feltételek vonatkozhatnak többek között a további felhasználás díjaira vagy céljaira.

(26)Az innováció előmozdításának és az Unió digitális piacán zajló tisztességes verseny fenntartásának szellemében elengedhetetlen annak biztosítása, hogy a közszféra adataihoz való hozzáférés és azok további felhasználása a piaci szereplők széles körének javát szolgálja, és ne vezessen a meglévő erőfölény szándékolatlan megerősítéséhez. A nagyon nagy vállalkozások, és különösen az (EU) 2022/1925 rendelet értelmében vett kapuőrnek minősített vállalkozások jelentős hatalmat és befolyást gyakorolnak a belső piacra. Annak megakadályozása érdekében, hogy e szervezetek a tisztességes verseny és az innováció kárára használják nagyhatású eszközeiket, a közszférabeli szervezetek számára lehetővé kell tenni, hogy magasabb díjakat határozzanak meg a nyílt kormányzati adatok és a védett adatok további felhasználására vonatkozóan. E magasabb díjaknak arányosnak kell lenniük és objektív kritériumokon kell alapulniuk, figyelembe véve a gazdasági erőt és a szervezet adatszerzésre való képességét. Ez az intézkedés arra szolgál, hogy biztosítsa a kisebb vállalkozások és az új piaci szereplők innovációra és versenyképességre való lehetőségeit a digitális gazdaságban.

(27)Ez a rendelet az (EU) 2016/679 rendelet célzott módosítását javasolja, melyek az egyértelműséget és az egyszerűsítést szolgálják, ugyanakkor az adatvédelem azonos szintjét biztosítják. Az (EU) 2016/679 rendelet 4. cikke úgy rendelkezik, hogy a személyes adat a valamely azonosított vagy azonosítható természetes személyre vonatkozó bármely információ. Valamely természetes személy azonosíthatóságának meghatározásakor minden olyan módszert figyelembe kell venni, amelyről észszerűen feltételezhető, hogy a természetes személy közvetlen vagy közvetett azonosítására felhasználható. Figyelembe véve az Európai Unió Bíróságának a személyes adatok fogalommeghatározásával kapcsolatos ítélkezési gyakorlatát, pontosítani szükséges azt, hogy természetes személy mikor tekintendő azonosíthatónak. Az érintett azonosítását lehetővé tevő további információk megléte önmagában nem jelenti azt, hogy az álnevesített adatokat minden esetben és minden személy vagy szervezet vonatkozásában az (EU) 2016/679 rendelet alkalmazásában személyes adatnak kell tekinteni. Különösen azt kell egyértelművé tenni, hogy egy adott szervezet esetében az információ nem tekintendő személyes adatnak abban az esetben, ha a szervezet nem rendelkezik olyan eszközökkel, amelyekről észszerűen feltételezhető, hogy felhasználják azon természetes személy azonosítására, akire az információ vonatkozik. Ha ezeket az információkat később esetlegesen olyan harmadik felek részére továbbítják, amelyek rendelkeznek olyan eszközökkel, melyekről észszerűen feltételezhető, hogy felhasználják azon természetes személy azonosítására, akire az információ vonatkozik – ilyen eszköz például a rendelkezésükre álló egyéb adatokkal való összevetés –, a szóban forgó információk csak azon harmadik felek vonatkozásában tekintendők személyes adatoknak, amelyek rendelkeznek a fent említett eszközökkel. Az a szervezet, melynek vonatkozásában az információ nem minősül személyes adatnak, főszabály szerint nem tartozik az (EU) 2016/679 rendelet hatálya alá. E tekintetben az Európai Unió Bírósága arra az álláspontra helyezkedett, hogy az érintett azonosításának eszközéről észszerűen nem feltételezhető, hogy használni fogják, ha az azonosítás kockázata a valóságban jelentéktelennek mutatkozik annyiban, hogy az érintett azonosítását jogszabály tiltja vagy a gyakorlatban nem lehetséges, például azért, mert aránytalanul nagy idő-, költség- és munkaerő-ráfordítást tenne szükségessé. Az újbóli azonosítás tilalmára példa az egészségügyiadat-felhasználóknak az (EU) 2025/327 európai parlamenti és tanácsi rendelet 35 61. cikkének (3) bekezdésében foglalt kötelezettségeiben található meg. A Bizottságnak – az Európai Adatvédelmi Testülettel közösen – támogatnia kell az adatkezelőket a szóban forgó aktualizált fogalommeghatározás alkalmazásában úgy, hogy végrehajtási jogi aktusban műszaki kritériumokat ír elő.

(28)Annak értékelése érdekében, hogy a kutatás e rendelet alkalmazásában megfelel-e a tudományos kutatás feltételeinek, figyelembe lehet venni olyan elemeket, mint például az adott területen folytatott kutatás során alkalmazott módszertani és szisztematikus megközelítés. A kutatást és a technológiafejlesztést tudományos, ipari és egyéb környezetben kell végezni – beleértve a kis- és középvállalkozásokat is (az EUMSZ 179. cikkének (2) bekezdése) –, minden esetben magas színvonalon, valamint a megbízhatóság, a becsületesség, a tisztelet és az elszámoltathatóság (ellenőrizhetőség) elvét tiszteletben tartva.

(29)Ismételten ki kell jelenteni, hogy a közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból folytatott további adatkezelést összeegyeztethető, jogszerű adatkezelési műveleteknek kell tekinteni. Ilyen esetekben e rendelet 6. cikkének (4) bekezdése alapján nem szükséges megállapítani, hogy a további adatkezelés célja összeegyeztethető-e a személyes adatok gyűjtésének eredeti céljával.

(30)A megbízható mesterséges intelligencia kulcsfontosságú a gazdasági növekedés biztosításához és a társadalmilag előnyös eredményekkel járó innováció támogatásához. Az MI-rendszerek és az alapul szolgáló modellek, például a nagy nyelvi modellek és a generatív videómodellek fejlesztése és használata az MI életciklusának különböző szakaszaiban – például a tanítási, a tesztelési és a validálási szakaszban – használt adatokra, többek között személyes adatokra támaszkodik, és egyes esetekben megtartható az MI-rendszerben vagy az MI-modellben. A személyes adatok ezzel összefüggésben történő kezelése ezért adott esetben az (EU) 2016/679 rendelet 6. cikke értelmében vett jogos érdek céljából végezhető. Ez nem érinti az adatkezelő kötelezettségét, miszerint gondoskodnia kell arról, hogy az MI adott kontextusban vagy konkrét célokra történő fejlesztése vagy használata (alkalmazása) megfeleljen más uniós vagy nemzeti jogszabályoknak, vagy hogy biztosítania kell a megfelelést abban az esetben, ha annak használatát jogszabály kifejezetten tiltja. Ez nem érinti továbbá az adatkezelő azon kötelezettségét sem, miszerint biztosítania kell az (EU) 2016/679 rendelet 6. cikke (1) bekezdésének f) pontjában foglalt valamennyi egyéb feltétel, valamint az említett rendeletben előírt valamennyi egyéb követelmény és elv teljesülését.

(31)Abban az esetben, ha az adatkezelő az e rendelet szerinti kötelezettségek méretezhetőségét meghatározó kockázatalapú megközelítés alapján egyensúlyt teremt egyfelől az adatkezelő vagy egy harmadik fél jogos érdeke, másfelől pedig az érintett érdekei, jogai és szabadságai között, mérlegelni kell, hogy az adatkezelő által érvényesíteni kívánt érdek előnyös-e az érintett és a társadalom egésze számára, ami például akkor fordulhat elő, ha a személyes adatok kezelése a torzítás észleléséhez és megszüntetéséhez – és ebből adódóan az érintettek megkülönböztetéssel szembeni védelméhez – szükséges, vagy akkor, ha a személyes adatok kezelésének célja a hasznos felhasználást szolgáló pontos és biztonságos kimenetek biztosítása, például bizonyos szolgáltatások hozzáférhetőségének javítása érdekében. Figyelembe kell venni továbbá többek között az érintettnek az adatkezelővel fennálló kapcsolatán alapuló észszerű elvárásait, az érintettek jogaira gyakorolt hatás minimalizálását célzó megfelelő garanciákat – például az érintettek számára fokozott átláthatóság biztosítását –, a feltétel nélküli jogot arra, hogy személyes adataik kezelése ellen tiltakozzanak, a szolgáltatásba ágyazott technikai jelzések tiszteletben tartását, mely jelzések az adatok harmadik felek általi MI-fejlesztésre való felhasználását korlátozzák, a magánélet védelmét szolgáló technikák használatát az MI-rendszerek tanításával összefüggésben, továbbá a magánélet védelmét szolgáló egyéb legkorszerűbb technikák MI-képzéshez való használatát, valamint a megfelelő technikai intézkedéseket, amelyek hatékonyan minimalizálják például a regurgitációból, az adatszivárgásból és más tervezett vagy előre látható intézkedésekből eredő kockázatokat.

(32)A személyes adatok tudományos kutatás céljából történő kezelése és az általános adatvédelmi rendelet tudományos kutatásra vonatkozó rendelkezéseinek alkalmazása az általános adatvédelmi rendelet 89. cikkének (1) bekezdése értelmében az érintettek jogaira és szabadságaira vonatkozó megfelelő garanciák elfogadásától függ. E célból az általános adatvédelmi rendelet egyensúlyt teremt a személyes adatok védelméhez való jog (melyről az Európai Unió Alapjogi Chartájának 8. cikke rendelkezik) és a tudomány szabadsága között (melyről Európai Unió Alapjogi Chartájának 13. cikke rendelkezik). A személyes adatok tudományos kutatás céljából történő kezelése tehát az (EU) 2016/679 rendelet 6. cikke (1) bekezdésének f) pontja értelmében vett jogos érdeket szolgál, feltéve, hogy e kutatás nem ellentétes az uniós vagy a tagállami joggal. Ez nem érinti továbbá az adatkezelő azon kötelezettségét, miszerint biztosítania kell az (EU) 2016/679 rendelet 6. cikke (1) bekezdésének f) pontjában foglalt valamennyi egyéb feltétel, valamint az említett rendeletben előírt valamennyi egyéb követelmény és elv teljesülését.

(33)Egyes MI-rendszerek és MI-modellek fejlesztése igen nagy mennyiségű adat – köztük személyes adatok, illetve személyes adatok különleges kategóriái – gyűjtésével járhat. A tanításhoz, teszteléshez és validáláshoz használt adatkészletekben reziduálisan megtalálhatók lehetnek a személyes adatok különleges kategóriái, vagy megmaradhatnak az MI-rendszerben vagy az MI-modellben, annak ellenére is, hogy a személyes adatok különleges kategóriái nem szükségesek az adatkezeléshez. Annak érdekében, hogy az MI fejlesztése és működése elé ne gördüljön aránytalan akadály, valamint figyelembe véve az adatkezelő azon képességét, hogy azonosítani tudja, illetve el tudja távolítani a személyes adatok különleges kategóriáit, lehetővé kell tenni az eltérést a személyes adatok különleges kategóriái kezelésének az (EU) 2016/679 rendelet 9. cikkének (2) bekezdése szerinti tilalmától. Az eltérés csak akkor alkalmazható, ha az adatkezelő hatékony módon megfelelő technikai és szervezési intézkedéseket hajtott végre az említett adatok kezelésének elkerülése érdekében, ha az MI-rendszer vagy MI-modell teljes életciklusa során meghozza a megfelelő intézkedéseket, valamint ha a szóban forgó adatok azonosítása esetén azonnal és eredményesen eltávolítja azokat. Ha az eltávolítás aránytalan erőfeszítést igényelne – különösen akkor, ha az MI-rendszerben vagy MI-modellben megtartott adatok különleges kategóriáinak eltávolítása az MI-rendszer vagy MI-modell átalakítását tenné szükségessé –, az adatkezelő köteles hatékonyan megvédeni a szóban forgó adatokat attól, hogy azokat kimenetek előállítására használják fel, felfedjék vagy más módon harmadik felek rendelkezésére bocsássák. Ez az eltérés nem alkalmazandó abban az esetben, ha a személyes adatok különleges kategóriáinak kezelése az adatkezelés céljából szükséges. Ebben az esetben az adatkezelőnek az (EU) 2016/679 rendelet 9. cikke (2) bekezdésének a)–j) pontja szerinti eltérésekre kell hivatkoznia.

(34)Az (EU) 2016/679 rendelet 4. cikkének 14. pontjában meghatározott biometrikus adatok a természetes személy bizonyos jellemzőinek meghatározott technikai eszközökkel történő kezelését jelentik, amely lehetővé teszi vagy megerősíti az adott személy egyedi azonosítását. A biometrikus adatok fogalma két különböző funkciót foglal magában, nevezetesen a természetes személy azonosítását vagy az állítólagos személyazonosságának ellenőrzését (más néven a hitelesítést), melyek különböző technikai folyamatokon alapulnak. Az azonosítási eljárás az érintett biometrikus adatainak adatbázisban történő „egy a többhöz megfeleltetés” típusú keresésén, míg az ellenőrzési eljárás az érintett által a személyazonosság közlése során szolgáltatott biometrikus adatok „egy az egyhez megfeleltetés” típusú összehasonlításán alapul. A biometrikus adatok kezelésének a rendelet 9. cikkének (1) bekezdése szerinti tilalmától való eltérést akkor is lehetővé kell tenni, ha az érintett állítólagos személyazonosságának ellenőrzése az adatkezelő által elérni kívánt cél érdekében szükséges, és megfelelő garanciák alkalmazandók annak érdekében, hogy az érintett kizárólagos ellenőrzést gyakorolhasson az ellenőrzési folyamat felett. Például ha a biometrikus adatokat biztonságosan, kizárólag az érintett oldalán tárolják, vagy az adatkezelő oldalán biztonságosan, a legkorszerűbb titkosított formában tárolják, és a kriptográfiai kulcs vagy azzal egyenértékű eszköz kizárólag az érintett birtokában van, az adatkezelés valószínűleg nem jelent komoly kockázatot az érintett alapvető jogaira és szabadságaira nézve. Az adatkezelő az ellenőrzési folyamat során nem, vagy csak nagyon korlátozott időtartamra szerez tudomást a biometrikus adatokról.

(35)Az (EU) 2016/679 rendelet 15. cikke úgy rendelkezik, hogy az érintett jogosult arra, hogy az adatkezelőtől visszajelzést kapjon arra vonatkozóan, hogy személyes adatainak kezelése folyamatban van-e, és ha ilyen adatkezelés folyamatban van, jogosult arra, hogy a személyes adatokhoz és bizonyos további információkhoz hozzáférést kapjon. A hozzáférési jognak lehetővé kell tennie az érintett számára, hogy megállapítsa és ellenőrizze az adatkezelés jogszerűségét, továbbá hogy gyakorolja az (EU) 2016/679 rendelet szerinti egyéb jogait. Ezzel szemben a rendelet 12. cikkében egyértelműsíteni kell, hogy a hozzáférési joggal – amely kezdettől fogva az érintetteknek kedvez – nem szabad visszaélni abban az értelemben, hogy az érintettek visszaélésszerűen használják ki az adataik védelmétől eltérő célból. A hozzáférési joggal való ilyen visszaélés például akkor következne be, ha az érintett arra kívánná késztetni az adatkezelőt, hogy utasítsa el a hozzáférés iránti kérelmet annak érdekében, hogy később kártérítés megfizetését követelhesse, és adott esetben kártérítési kereset benyújtását helyezze kilátásba. A visszaélés egyéb példái közé tartoznak azok a helyzetek, amikor az érintettek túlzó mértékben élnek a hozzáférési joggal, kizárólag azzal a szándékkal, hogy kárt vagy ártalmat okozzanak az adatkezelőnek, vagy amikor egy egyén kérelmet nyújt be, ugyanakkor felajánlja, hogy azt az adatkezelő által nyújtott valamilyen előny ellenében visszavonja. Ezenkívül annak a biztosítása érdekében, hogy a rájuk nehezedő teher észszerű mértékű maradjon, az adatkezelőkre kisebb bizonyítási teher hárul a kérelem túlzó jellege kapcsán, mint a kérelem egyértelműen megalapozatlan jellege kapcsán. Ennek az az oka, hogy egy kérelem egyértelműen megalapozatlan jellege olyan tényektől függ, amelyek elsősorban az adatkezelő felelősségi körébe tartoznak, ezzel szemben a kérelem túlzó jellege az érintett potenciálisan visszaélésszerű magatartásával áll kapcsolatban, amely nagyrészt az adatkezelőn kívül áll, amiből az következik, hogy az adatkezelő az ilyen visszaélést adott esetben csak észszerű mértékben tudja bizonyítani. Az érintett által benyújtott, az (EU) 2016/679 rendelet 15. cikke szerinti hozzáférés iránti kérelemnek mindenesetre a lehető legkonkrétabbnak kell lennie. A túlságosan széles körű és általános kérelmeket is túlzónak kell tekinteni.

(36)Az (EU) 2016/679 rendelet 13. cikke előírja, hogy az adatkezelőnek az érintett rendelkezésére kell bocsátania a személyes adatainak kezelésére vonatkozó bizonyos információkat, valamint az említett rendelkezés (1), (2) és (3) bekezdésében meghatározott, a tisztességes és átlátható adatkezelés biztosításához szükséges bizonyos további információkat. Az (EU) 2016/679 rendelet 13 cikkének (4) bekezdése szerint a szóban forgó kötelezettség nem alkalmazandó, ha és amilyen mértékben az érintett már rendelkezik az információkkal. Az adatkezelők terheinek további csökkentése érdekében – az érintettnek a rendelet III. fejezete szerinti jogai gyakorlására való lehetőségeinek aláásása nélkül – ezt az eltérést ki kell terjeszteni azokra a helyzetekre, amikor az adatkezelés valószínűleg nem jár a rendelet 35. cikke értelmében vett nagy kockázattal, és alapos okkal feltételezhető, hogy az érintett már rendelkezik az (1) bekezdés a) és c) pontjában említett információkkal, tekintettel a személyes adatok gyűjtésének körülményeire, különösen az érintettek és az adatkezelő közötti kapcsolatra. Ezek azok a helyzetek, amikor az adatkezelő és az érintett közötti kapcsolat kontextusa nagyon egyértelmű és körülhatárolt, és az adatkezelő tevékenysége nem adatintenzív – ilyen például egy kézműves és az ügyfelei közötti kapcsolat –, amennyiben az adatkezelés hatálya a szolgáltatás nyújtásához szükséges minimális adatokra korlátozódik. Az adatkezelő tevékenysége abban az esetben nem adatintenzív, ha az adatkezelő kis mennyiségű személyes adatot gyűjt, és adatkezelési műveletei nem összetettek, ami például a foglalkoztatás területén nem áll fenn. Ilyen körülmények között – vagyis ha az adatkezelés nem adatintenzív, nem összetett, és ha az adatkezelő kis mennyiségű személyes adatot gyűjt – észszerűen elvárható például, hogy az érintett tájékoztatást kapjon az adatkezelő személyazonosságáról és elérhetőségéről, valamint az adatkezelés céljáról, abban az esetben, ha az adatkezelésre olyan szerződés teljesítése céljából kerül sor, amelyben az érintett az egyik fél, vagy ha az érintett az (EU) 2016/679 rendeletben meghatározott követelményekkel összhangban hozzájárult az adatkezeléshez. Ugyanez vonatkozik azokra az egyesületekre és sportklubokra is, amelyek esetében a személyes adatok kezelése a tagság kezelésére, a tagokkal folytatott kommunikációra és a tevékenységek szervezésére korlátozódik. Mindazonáltal a 13. cikkben foglalt kötelezettségektől való ezen eltérés nem érinti az adatkezelőnek az említett rendelet 15. cikke szerinti független kötelezettségeit, amelyek abban az esetben alkalmazandók, ha az érintett az utóbbi rendelkezés alapján kéri a hozzáférést. Abban az esetben, ha a 13. cikkben foglalt kötelezettségektől való eltérés nem alkalmazandó, a teljesség és az érintett általi könnyű megértés szükségességének kiegyensúlyozása érdekében az adatkezelők többszintű megközelítést alkalmazhatnak a szükséges információk megadásakor, különösen úgy, hogy lehetővé teszik a felhasználók számára azt, hogy további információkhoz navigáljanak.

(37)Abban az esetben, ha az adatkezelés tudományos kutatás céljából történik, és az érintett tájékoztatása lehetetlennek bizonyul vagy aránytalanul nagy erőfeszítést igényelne, nem szükséges az e rendelet 13. cikkében előírt tájékoztatást megadni. Az adatkezelőnek észszerű erőfeszítéseket kell tennie az elérhetőségek megszerzése érdekében, amennyiben azok könnyen hozzáférhetők, és megszerzésük nem igényel aránytalan erőfeszítést. A tájékoztatás nyújtása különösen akkor igényel aránytalan erőfeszítést, ha a személyes adatok gyűjtésekor az adatkezelőnek nem volt tudomása arról, vagy nem számított arra, hogy egy későbbi szakaszban tudományos kutatás céljából személyes adatokat fog kezelni, mely esetben előfordulhat, hogy nem fér hozzá könnyen az érintettek elérhetőségéhez. Ilyen helyzetekben az adatkezelőnek közvetett módon kell tájékoztatnia az érintetteket, például úgy, hogy az információkat nyilvánosan hozzáférhetővé teszi. Biztosítani kell, hogy ezek az információk a lehető legtöbb érintetthez eljussanak. Az információk nyilvános hozzáférhetővé tételének releváns eszközeit a kutatási projekt kontextusától és az érintettektől függően kell meghatározni.

(38)Az (EU) 2016/679 rendelet 22. cikke a személyes adatok olyan esetekben történő kezelésére vonatkozóan állapít meg szabályokat, amikor az adatkezelő kizárólag automatizált adatkezelés alapján hoz az érintettre nézve joghatással járó vagy őt hasonlóképpen jelentősen érintő döntéseket. A nagyobb jogbiztonság biztosítása érdekében egyértelműsíteni kell, hogy a kizárólag automatizált adatkezelésen alapuló döntések az (EU) 2016/679 rendeletben meghatározott konkrét feltételek teljesülése esetén megengedettek. Egyértelműsíteni kell azt is, hogy annak értékelésekor, hogy – az (EU) 2016/679 rendelet 22. cikke (2) bekezdésének a) pontjában meghatározottak szerint – egy adott döntésre az érintett és az adatkezelő közötti szerződés megkötéséhez vagy teljesítéséhez van-e szükség, nem kell kötelezően teljesülnie annak, hogy a döntés meghozható legyen kizárólag automatizált adatkezeléssel. Tehát az a tény, hogy a döntést ember is meghozhatja, nem akadályozza meg az adatkezelőt abban, hogy a döntést kizárólag automatizált adatkezeléssel hozza meg. Abban az esetben, ha több egyformán hatékony automatizált adatkezelési megoldás létezik, az adatkezelőnek a kevésbé intruzívat kell alkalmaznia.

(39)Az adatkezelők terheinek csökkentése, valamint annak biztosítása érdekében, hogy a felügyeleti hatóságok hozzáférjenek a releváns információkhoz, és felléphessenek a rendelet megsértése esetén, az adatvédelmi incidensnek felügyeleti hatóságnak felé történő, az (EU) 2016/679 rendelet 33. cikke szerinti bejelentésére vonatkozó küszöbértéket össze kell hangolni az adatvédelmi incidens érintettel való, az említett rendelet 34. cikke szerinti közlésére vonatkozó küszöbértékkel. Olyan adatvédelmi incidens esetén, amely valószínűsíthetően nem jár nagy kockázattal a természetes személyek jogaira és szabadságaira nézve, az adatkezelő nem kötelezhető arra, hogy értesítse az illetékes felügyeleti hatóságot. Az adatvédelmi incidens felügyeleti hatóságnak való bejelentésére vonatkozó magasabb küszöbérték nem érinti az adatkezelő azon kötelezettségét, hogy az (EU) 2016/679 rendelet 33. cikkének (5) bekezdésével összhangban nyilvántartsa az incidenst, sem pedig azon kötelezettségét, hogy az említett rendelet 5. cikkének (2) bekezdésével összhangban képesnek kell lennie a szóban forgó rendeletnek való megfelelés igazolására. Az adatkezelők általi megfelelés és az Unión belüli harmonizált megközelítés megkönnyítése érdekében a Testületnek közös sablont kell készítenie az adatvédelmi incidensek illetékes felügyeleti hatóságnak történő bejelentéséhez, valamint közös jegyzéket kell összeállítania azon körülmények jegyzékére vonatkozóan, amelyek fennállása esetén az adatvédelmi incidens valószínűsíthetően magas kockázattal jár valamely természetes személy jogaira és szabadságaira nézve. A Bizottságnak kellően figyelembe kell vennie a Testület által készített javaslatot, és szükség esetén az elfogadás előtt felül kell vizsgálnia azt. Az új információs biztonsági fenyegetések figyelembevétele érdekében a közös sablont és a jegyzéket legalább háromévente felül kell vizsgálni, és szükség esetén naprakésszé kell tenni. Ha nem áll rendelkezésre olyan közös lista, amely azokat a körülményeket sorolja fel, melyek fennállása esetén az adatvédelmi incidens valószínűsíthetően magas kockázattal jár valamely természetes személy jogaira és szabadságaira nézve.

(40)Az (EU) 2016/679 rendelet 35. cikke előírja az adatkezelők számára, hogy adatvédelmi hatásvizsgálatot végezzenek, amennyiben a személyes adatok kezelése valószínűsíthetően magas kockázattal jár természetes személyek jogaira és szabadságaira nézve. A szóban forgó rendelet alapján létrehozott felügyeleti hatóságoknak össze kell állítaniuk és nyilvánosságra kell hozniuk az olyan adatkezelési műveletek típusainak a jegyzékét, amelyekre vonatkozóan adatvédelmi hatásvizsgálatot kell végezni. A rendelet előírja továbbá, hogy a felügyeleti hatóságok összeállíthatják és nyilvánosságra hozhatják az olyan adatkezelési műveletek típusainak a jegyzékét is, amelyekre vonatkozóan nem kell adatvédelmi hatásvizsgálatot végezni. A gazdaságok konvergenciájára irányuló célkitűzés megvalósulásához való hatékony hozzájárulás és a személyes adatok tagállamok közötti szabad áramlásának hatékony biztosítása, a jogbiztonság növelése, az adatkezelők általi megfelelés megkönnyítése, valamint az érintettek jogaira és szabadságaira nézve fennálló magas kockázat fogalmának harmonizált értelmezése érdekében a meglévő nemzeti jegyzékeket felváltó, uniós szinten összeállított egyetlen jegyzéket kell készíteni az adatkezelési műveletekről. Emellett kötelezővé kell tenni azon adatkezelési műveletek jelenleg szabadon választható jegyzékének közzétételét, amelyek esetében nincs szükség adatvédelmi hatásvizsgálatra. Az adatkezelési műveletek jegyzékét a Testületnek kell elkészítenie, és azt a Bizottságnak végrehajtási jogi aktusként kell elfogadnia. Az adatkezelők általi megfelelés megkönnyítése érdekében a Testületnek közös sablont és közös módszertant is kell készítenie az adatvédelmi hatásvizsgálatok elvégzéséhez, melyeket a Bizottságnak végrehajtási jogi aktusként kell elfogadnia. A Bizottságnak kellően figyelembe kell vennie a Testület által készített javaslatokat, és szükség esetén az elfogadás előtt felül kell vizsgálnia azokat. A technológiai fejlemények figyelembevétele érdekében a közös sablont és a jegyzéket legalább háromévente felül kell vizsgálni, és szükség esetén naprakésszé kell tenni.

(41)A személyes adatok uniós intézmények, szervek, hivatalok és ügynökségek általi kezelésére az (EU) 2018/1725 európai parlamenti és tanácsi rendelet 36 vonatkozik. Az Európai Parlament és a Tanács (EU) 2016/680 irányelve 37 a személyes adatoknak az illetékes hatóságok által a bűncselekmények megelőzése, nyomozása, felderítése, büntetőeljárás lefolytatása vagy büntetőjogi szankciók végrehajtása céljából végzett feldolgozására alkalmazandó. Az (EU) 2018/1725 rendeletet és az (EU) 2016/680 irányelvet össze kell hangolni az (EU) 2016/679 rendeletnek a jelen rendelet által bevezetett módosításaival.

(42)Amint azt az (EU) 2018/1725 rendelet (5) preambulumbekezdése egyértelművé teszi, amennyiben az (EU) 2018/1725 rendelet rendelkezései ugyanazon elveket követik, mint az (EU) 2016/679 rendelet rendelkezései, az említett két rendelet rendelkezéseit az Európai Unió Bíróságának ítélkezési gyakorlata szerint egységesen kell értelmezni. Az (EU) 2018/1725 rendeletben előírt szabályrendszert az (EU) 2016/679 rendeletben előírt szabályrendszerrel egyenértékűnek kell tekinteni. Ezért ez a rendelet módosítja az (EU) 2018/1725 rendeletnek az (EU) 2016/679 rendelet módosításai által érintett rendelkezéseit is, amennyiben ez utóbbi módosítások a személyes adatok uniós intézmények, szervek, hivatalok és ügynökségek általi kezelésével összefüggésben is relevánsak.

(43)Annak érdekében, hogy az Unióban szigorú és koherens adatvédelmi keret jöjjön létre, az (EU) 2016/680 irányelv és a személyes adatok szóban forgó kezelésére alkalmazandó bármely más uniós jogi aktus szükséges kiigazításait e rendelet elfogadását követően kell elvégezni annak érdekében, hogy azokat az (EU) 2016/679 rendelet és az (EU) 2018/1725 rendelet módosításainak hatálybalépéséhez a lehető legközelebb eső időponttól kezdődően lehessen alkalmazni.

(44)A személyes adatok végberendezésben történő tárolását vagy a már tárolt személyes adatokhoz való hozzáférés megszerzését és az ilyen adatok későbbi kezelését egyetlen jogi keret, nevezetesen az (EU) 2016/679 rendelet alapján kell szabályozni, amennyiben az elektronikus hírközlési szolgáltatás előfizetője vagy a végberendezés felhasználója természetes személy. Az e rendeletben előterjesztett módosítások továbbra is a személyes adatok legmagasabb szintű védelmét biztosítják, ugyanakkor egyszerűsítik mindazt, amit az érintettek jogaik gyakorlása során és választásaik online kifejezésével kapcsolatban tapasztalnak. A módosítások különösen az információknak az adott berendezésben való olyan tárolására, az adott berendezéshez való olyan hozzáférésre vagy az adott berendezésből való egyéb olyan információgyűjtésre vonatkoznak, amely magában foglalja a személyes adatoknak sütiken vagy hasonló technológiákon keresztül, a végberendezésről való információszerzés érdekében történő kezelését. A vonatkozó szabályokat attól függetlenül is alkalmazni kell, hogy a végberendezés a szóban forgó természetes személy vagy más jogi vagy természetes személy tulajdonában van-e.

A végberendezésében történő személyesadat-tárolás vagy a már tárolt személyes adatokhoz való hozzáférés csak hozzájárulás alapján megengedett. Hasonlóan a 2002/58/EK irányelvben alkalmazott megközelítéshez, ez a követelmény nem zárja ki a személyes adatok tárolását vagy a már tárolt személyes adatokhoz való hozzáférést egy természetes személy végberendezésében, abban az esetben, ha ez az (EU) 2016/679 rendelet 6. cikke értelmében vett uniós vagy tagállami jogon alapul, megfelel az említett rendelkezésben meghatározott valamennyi jogszerűségi feltételnek, és az (EU) 2016/679 rendelet 23. cikkének (1) bekezdésében meghatározott célok érdekében történik.

A megfelelési terhek csökkentése érdekében, továbbá azért, hogy az adatkezelők számára biztosítva legyen a jogi egyértelműség, valamint tekintettel arra, hogy az adatkezelés bizonyos céljai alacsony kockázatot jelentenek az érintettek jogaira és szabadságaira nézve, vagy hogy az adatkezelésre az érintett által kért szolgáltatás nyújtásához lehet szükség, meg kell határozni azon célok korlátozó jegyzékék, amelyek esetében az adatkezelés hozzájárulás nélkül engedélyezhető. A végberendezésében történő személyesadat-tárolás vagy a már ott tárolt személyes adatokhoz való hozzáférés, valamint a szóban forgó célokhoz szükséges későbbi adatkezelés tekintetében tehát e rendeletnek azt kell előírnia, hogy az ilyen adatkezelés jogszerű. Az adatkezelő (például egy médiaszolgáltató) megbízhat egy adatkezelőt (például egy piackutató vállalatot), hogy a nevében végezze el az adatkezelést.

A személyes adatoknak a korlátozó jegyzékben meghatározottaktól eltérő célból történő későbbi kezelésére az (EU) 2016/679 rendelet 6. cikkét és adott esetben 9. cikkét kell alkalmazni. Az adatkezelő feladata, hogy az elszámoltathatóság elvének fényében válassza meg a tervezett adatkezelés megfelelő jogalapját. Ahhoz, hogy a személyes adatok későbbi kezelésének alapjaként az (EU) 2016/679 rendelet 6. cikke (1) bekezdésének f) pontja szerinti jogos érdekre lehessen hivatkozni, az adatkezelőnek bizonyítania kell, hogy az az adatkezelő vagy harmadik felek jogos érdekét szolgálja, az adatkezelésre e jogos érdek céljának eléréséhez van szükség, és az érintett érdekei vagy alapvető jogai nem élveznek elsőbbséget az adatkezelő érdekeivel szemben. Ebben az összefüggésben az adatkezelőknek a lehető legnagyobb mértékben figyelembe kell venniük a következő szempontokat: hogy az érintett gyermek-e; az érintett észszerű elvárásai; az egyénre gyakorolt hatás, akár a kezelt adatok terjedelme, akár a kezelt adatok érzékenysége miatt; a szóban forgó adatkezelés terjedelme abban az értelemben, hogy az nem lehet különösen kiterjedt sem az adatok mennyisége, sem pedig az adatkategóriák köre alapján; az adatkezelésnek a szükséges mértékre korlátozott adatokon kell alapulnia, és nem alapulhat az érintettek online tevékenysége nagy részének nyomon követésén; és adott esetben egyéb releváns tényezők. Az adatkezelés nem eredményezheti az érintett magánéletének folyamatos nyomon követését.

Abban az esetben, ha az adatkezelő a későbbi adatkezelés jogalapjaként nem hivatkozhat jogos érdekre, az adatkezelésnek a 6. cikk (1) bekezdésében szereplő egyéb jogalapon, különösen az (EU) 2016/679 rendelet 6. és 7. cikke szerinti hozzájáruláson kell alapulnia, feltéve, hogy az (EU) 2016/679 rendelet valamennyi elve teljesül.

(45)Azok az érintettek, akik elutasították a hozzájárulás iránti kérelmet, gyakran tapasztalják azt, hogy valahányszor felkeresik ugyanazon adatkezelő online szolgáltatását, a hozzájárulás iránti új kérelmet kapnak. Ez káros hatással lehet az érintettekre, akik adott esetben csak azért adják meg hozzájárulásukat, hogy a továbbiakban ne kapjanak újabb kérelmeket. Az adatkezelőt ezért kötelezni kell arra, hogy legalább egy bizonyos ideig tartsa tiszteletben az érintett választását, hogy elutasítja a hozzájárulás iránti kérelmet.

(46)Az érintettek számára lehetővé kell tenni, hogy automatizált és géppel olvasható jelzésekre támaszkodhassanak azon választásuk tekintetében, hogy az adatkezeléshez hozzájárulásukat adják, megtagadják a hozzájárulásukat, vagy tiltakoznak az adatkezelés ellen. Ezeknek az eszközöknek a legkorszerűbb megoldásokat kell alkalmazniuk. Alkalmazásukra sor kerülhet a 914/2014/EU rendelet szerint a webböngésző-beállításokban vagy az európai digitális személyiadat-tárcában, vagy bármely más megfelelő eszközben. Az e rendeletben meghatározott szabályoknak támogatniuk kell a megfelelő interfészekkel rendelkező, piacvezérelt megoldások kialakulását. Az adatkezelőt kötelezni kell arra, hogy tiszteletben tartsa az érintett választásaira vonatkozó automatizált és géppel olvasható jelzéseket, amint rendelkezésre állnak szabványok. Tekintettel a független újságírás által a demokratikus társadalomban betöltött szerep fontosságára, és annak érdekében, hogy annak gazdasági alapja ne sérüljön, a médiaszolgáltatók nem kötelezhetők arra, hogy tiszteletben tartsák az érintettek választásaira vonatkozó, géppel olvasható jelzéseket. A webböngésző-szolgáltatók azon kötelezettsége, hogy biztosítsák az érintettek számára az adatkezeléssel kapcsolatos választásokhoz szükséges technikai eszközöket, nem rendítheti meg médiaszolgáltatók lehetőségét arra, hogy az érintettek hozzájárulását kérjék.

(47)A magánélet védelméről és az elektronikus hírközlésről szóló 2002/58/EK irányelv (a továbbiakban: elektronikus hírközlési adatvédelmi irányelv), melynek felülvizsgálatára legutóbb 2009-ben került sor, keretet biztosít a magánélet tiszteletben tartásához való jog – beleértve a közlések titkosságához való jogot – védelméhez. Hivatkozik továbbá az (EU) 2016/679 rendeletre a személyes adatoknak az elektronikus hírközlési szolgáltatásokkal összefüggésben történő kezelése tekintetében. Védi a magánéletet, valamint a felhasználó vagy előfizető ilyen kommunikációhoz használt végberendezésének sértetlenségét. A 2002/58/EK irányelv 5. cikke (3) bekezdésének jelenlegi rendelkezését továbbra is alkalmazni kell, amennyiben az előfizető vagy felhasználó nem természetes személy, és a tárolt vagy lekérdezett információk nem minősülnek személyes adatoknak, illetve nem vezetnek ilyen adatok kezeléséhez.

(48)A 2002/58/EK irányelv 4. cikkét hatályon kívül kell helyezni. A 2002/58/EK irányelv 4. cikke követelményeket állapít meg a nyilvánosan elérhető elektronikus hírközlési szolgáltatásokat nyújtó szolgáltatók számára szolgáltatásaik biztonságának védelme és az értesítési követelmények tekintetében. Ezt követően az (EU) 2022/2555 irányelv új követelményeket határozott meg az említett szolgáltatók számára a kiberbiztonsági kockázatkezelési intézkedések és az incidensek bejelentése tekintetében. Az elektronikus hírközlési ágazatban működő szervezetek egymást átfedő kötelezettségeinek visszaszorítása érdekében a 2002/58/EK irányelv 4. cikkét hatályon kívül kell helyezni. A személyes adatok ezen irányelv 4. cikkének (1) és (1a) bekezdése szerinti kezelésének biztonsága, valamint az adatvédelmi incidensek a 2002/58/EK irányelv 4. cikkének (3)–(5) bekezdése szerinti bejelentése tekintetében az (EU) 2016/679 rendelet már jelenleg is átfogó és naprakész szabályokat ír elő. Ezeket a szabályokat ezért alkalmazni kell a nyilvánosan elérhető elektronikus hírközlési szolgáltatásokat nyújtó szolgáltatókra és a nyilvános hírközlő hálózatok szolgáltatóira, biztosítva ezáltal, hogy egyazon szabályrendszer vonatkozik az adatkezelőkre és az adatfeldolgozókra.

(49)Több horizontális vagy ágazati uniós jogi aktus írja elő, hogy ugyanazt az eseményt különböző hatóságok felé különböző technikai eszközök és csatornák használatával kell bejelenteni. Az incidensek bejelentésére szolgáló egyablakos ügyintézési pontnak lehetővé kell tennie a szervezetek számára, hogy az (EU) 2022/2555 irányelv, az (EU) 2016/679 rendelet, az (EU) 2022/2554 rendelet, a 910/2014/EU rendelet és az (EU) 2022/2557 irányelv szerinti jelentéstételi kötelezettségeket a bejelentések egyetlen interfészen keresztül történő benyújtása útján teljesítsék. Ezen túlmenően az egyablakos ügyintézési pontnak lehetővé kell tennie a szervezetek számára, hogy a korábban benyújtott információkat az egyablakos ügyintézési ponton keresztül kérdezhessék le, ami abban segíti a szervezeteket, hogy nyomon kövessék a konkrét incidensekkel kapcsolatos jelentéstételi kötelezettségeknek való megfelelésüket.

(50)Az egyablakos ügyintézési pont biztonságának garantálása érdekében az ENISA megfelelő és arányos technikai, operatív és szervezeti intézkedéseket hoz az egyablakos ügyintézési pont, valamint az egyablakos ügyintézési ponton keresztül benyújtott vagy terjesztett információk biztonságát fenyegető kockázatok kezelése érdekében. A kockázat, valamint az említett intézkedések megfelelőségének és arányosságának értékelése során az ENISA-nak a vonatkozó uniós jogi aktusok alapján figyelembe kell vennie a benyújtott vagy terjesztett információk érzékeny jellegét. Az ENISA-nak az egyablakos ügyintézési pont létrehozásával, karbantartásával és biztonságos üzemeltetésével kapcsolatos technikai, operatív és szervezeti intézkedések kidolgozása során a vonatkozó uniós jogi aktusok értelmében konzultálnia kell az illetékes hatóságokkal, igénybe véve a tagállamok e jogi aktusok alapján létrehozott meglévő együttműködési csoportjait és hálózatait.

(51)Az incidensek bejelentésének lehetővé tétele előtt az ENISA-nak el kell végeznie az egyablakos ügyintézési pont működésének tesztjét, melynek a vonatkozó uniós jogi aktusokban a bejelentésekre vonatkozóan meghatározott sajátosságokat és követelményeket vizsgáló alapos tesztelést is magában kell foglalnia. A teszt eredményei alapján a Bizottságnak értékelnie kell az egyablakos ügyintézési pont megfelelő működését, megbízhatóságát, sértetlenségét és bizalmas jellegét. A Bizottságnak az értékelés során konzultálnia kell a CSIRT-ek hálózatával és a vonatkozó uniós jogi aktusok szerinti illetékes hatóságokkal, kihasználva a tagállamok e jogi aktusok alapján létrehozott meglévő együttműködési csoportjai és hálózatai nyújtotta lehetőségeket. Amennyiben a Bizottság megállapítja, hogy az egyablakos ügyintézési pont biztosítja a megfelelő működést, megbízhatóságot, sértetlenséget és bizalmas jelleget, erről értesítést tesz közzé az Európai Unió Hivatalos Lapjában. Abban az esetben, ha a Bizottság úgy ítéli meg, hogy nem biztosított a megfelelő működés, megbízhatóság, sértetlenség és bizalmas jelleg, az ENISA-nak minden szükséges korrekciós intézkedést meg kell hoznia, amit a Bizottság által ismételten elvégzett értékelésnek kell követnie.

(52)Az incidensek bejelentését megkönnyítő meglévő nemzeti műszaki megoldásokkal való folytonosság és interoperabilitás biztosítása érdekében az ENISA-nak a lehetőségekhez mérten figyelembe kell vennie ezeket a nemzeti műszaki megoldásokat az egyablakos ügyintézési pont létrehozásával, karbantartásával és biztonságos üzemeltetésével kapcsolatos technikai, operatív és szervezeti intézkedések kidolgozása során. Az ENISA-nak továbbá figyelembe kell vennie azokat a műszaki protokollokat és eszközöket – például alkalmazásprogramozási interfészeket és géppel olvasható szabványokat –, amelyek lehetővé teszik a szervezetek számára, hogy integrálják a jelentéstételi kötelezettségeket az üzleti folyamatokba, valamint a hatóságok számára, hogy nemzeti jelentéstételi rendszereikkel összekapcsolják az egyablakos ügyintézési pontot.

(53)Annak biztosítása érdekében, hogy az egyablakos ügyintézési pont lehetővé teszi az érintett szervezetek számára a vonatkozó uniós jogi aktusokban előírt információtípus és formátum benyújtását, az ENISA-nak konzultálnia kell a Bizottsággal és az említett jogi aktusok szerinti illetékes hatóságokkal. Amennyiben egy uniós jogi aktus nem teljes mértékben harmonizált az információk típusa és az értesítések formátuma tekintetében, a tagállamoknak tájékoztatniuk kell az ENISA-t nemzeti rendelkezéseikről.

(54)Az (EU) 2022/2554 rendelet alapján a pénzügyi ágazat élen járt a harmonizált, átfogó és hatékony keret végrehajtásában, többek között az incidensek bejelentése tekintetében. A megfelelés egyszerűsítése érdekében helyénvaló összehangolni az (EU) 2022/2554 rendelet alapján létrehozott incidensbejelentési keretet az egyablakos ügyintézési ponttal, biztosítva ugyanakkor a meglévő jelentéstételi keret folytonosságát és stabilitását, és figyelembe véve, hogy az egyablakos ügyintézési pont azt követően működik majd, hogy megállapítást nyert az, hogy biztosítja a megfelelő működést, megbízhatóságot, sértetlenséget és bizalmas jelleget. Emellett az (EU) 2022/2554 rendelet egységes jelentéstételi sablonokat vezetett be, amelyek egyszerűsítik a pénzügyi ágazatot érintő jelentős IKT-vonatkozású incidensekre vonatkozó bejelentések tartalmát. Az e sablonok elfogadása során szerzett tapasztalatok értékes betekintést nyújtanak, továbbá megismerhetők belőlük a bevált gyakorlatok, amelyeket figyelembe kell venni az információk típusának, a bejelentés formátumának és a bejelentési eljárásnak az (EU) 2022/2555 irányelv, az (EU) 2022/2557 irányelv vagy adott esetben az (EU) 2016/679 rendelet szerinti egyablakos ügyintézési pont felé történő jelentéstétel céljából végzett meghatározása során. E célból a Bizottságnak kellően figyelembe kell vennie az (EU) 2022/2554 rendelet alapján elfogadott szabályozástechnikai standardokat, amelyek meghatározzák a jelentős IKT-vonatkozású incidensekről szóló kezdeti bejelentések, valamint az időközi és zárójelentések tartalmát. E megközelítés célja a következetesség biztosítása, a szinergiák előmozdítása és a szervezetekre nehezedő adminisztratív terhek csökkentése azáltal, hogy minimálisra csökkenti a szervezetek által kitöltendő adatmezők számát, segítve ezzel a hatékonyabb és egyszerűsített jelentéstételi folyamatokat.

(55)A vonatkozó uniós jogi aktusok értelmében a hatékony felügyelet és koordináció megkönnyítése érdekében bizonyos incidensspecifikus információkat egy későbbi szakaszban meg kell osztani az illetékes hatóságok között. Ezért az egyablakos ügyintézési pontot úgy kell kialakítani, hogy az minden egyes vonatkozó uniós jogi aktus esetében lehetővé tegye és támogassa az említett szinten zajló információcserét, biztosítva, hogy a hatóságok közötti megfelelő adatáramlás biztonságosan, megfelelő időben és hatékonyan lehetővé váljon, amennyiben a tagállamok úgy döntenek, hogy igénybe veszik ezt a további funkciót.

(56)Annak biztosítása érdekében, hogy az incidensek bejelentése az egyablakos ügyintézési ponton keresztül történjen, az (EU) 2022/2555 irányelvet, az (EU) 2016/679 rendeletet, az (EU) 2022/2554 rendeletet, a 910/2014/EU rendeletet és az (EU) 2022/2557 irányelvet ennek megfelelően módosítani kell. Az egyablakos ügyintézési pontot az e rendelet hatálybalépésétől számított 18 hónapon belül kell használatba venni az említett jogi aktusok szerinti jelentéstétel céljára. Amikor a Bizottság kezdeményezi az értesítési mechanizmust, amely az alkalmazás kezdőnapját a rendelet hatálybalépésétől számított 24 hónapra halasztja, az (EU) 2022/2555 irányelv, a 910/2014/EU rendelet, az (EU) 2022/2554 rendelet és az (EU) 2022/2557 irányelv megfelelő rendelkezéseit továbbra is alkalmazni kell a rendelkezésekben meghatározott jelentéstételi kötelezettségek teljesítése céljából.

(57)Abban a kivételes esetben, ha technikai okokból lehetetlen az incidensekre vonatkozó bejelentések egyablakos ügyintézési ponton keresztül történő benyújtása, a szervezeteknek alternatív eszközökkel kell teljesíteniük jelentéstételi kötelezettségeiket. E célból az incidensbejelentéseknek a vonatkozó uniós jogi aktusok szerinti címzettjei kötelesek biztosítani, hogy alternatív eszközökön keresztül megkaphassák a szóban forgó incidensbejelentéseket, és nyilvánosan hozzáférhetővé kell tenniük az ezekre az alternatív eszközökre vonatkozó információkat.

(58)Az (EU) 2018/1725 európai parlamenti és tanácsi rendelet 38 42. cikkének (1) bekezdésével összhangban a Bizottság egyeztetett az európai adatvédelmi biztossal, aki [DÁTUM]-án/-én véleményt nyilvánított. Az Európai Adatvédelmi Testülettel az (EU) 2018/1725 rendelet 42. cikkének (2) bekezdésével összhangban konzultációra került sor, és a testület [DÁTUM]-án/-én véleményt nyilvánított.

(59)Az (EU) 2019/1150 rendelet uniós szinten célzott kötelező szabályokat állapít meg a tisztességes, kiszámítható, fenntartható és megbízható online üzleti környezet belső piacon belüli biztosítása érdekében. Az (EU) 2022/2065 rendelet és az (EU) 2022/1925 rendelet átfogó szabályozási keretet biztosít a biztonságos, kiszámítható és megbízható online környezethez az online szolgáltatások valamennyi végfelhasználója számára, és egyenlő versenyfeltételeket teremt a vállalkozások számára a digitális piacokon. Az (EU) 2019/1050 rendeletet hatályon kívül kell helyezni az online közvetítő szolgáltatások és az online platformok területére vonatkozó uniós jogszabályok egyszerűsítése érdekében, valamint tekintettel arra, hogy a platformok és az üzleti felhasználók közötti kapcsolatokról szóló rendelet célkitűzéseit és lényegi rendelkezéseit nagyrészt lefedi a digitális szolgáltatásokról szóló rendelet és a digitális piacokról szóló jogszabály. Az (EU) 2022/2065 rendelet és az (EU) 2022/1925 rendelet hozzájárul a digitális szolgáltatások és a digitális piacok teljes mértékben harmonizált szabályozási keretéhez azáltal, hogy közelíti a közvetítő szolgáltatókra vonatkozó követelményekre, valamint a kapuőrök által nyújtott alapvető platformszolgáltatások versengő jellegére és méltányosságára vonatkozó nemzeti intézkedéseket. A jogbiztonság érdekében az eredeti jogi aktusok módosításáig ideiglenesen alkalmazandók maradnak a következők: az (EU) 2019/1150 rendelet 2. cikkében szereplő bizonyos fogalommeghatározások, 4. cikkében foglalt, a korlátozásokra és felfüggesztésekre vonatkozó rendelkezések, valamint a 11. cikkében foglalt, a belső panaszkezelési rendszerre vonatkozó rendelkezések, amelyekre nézve más jogi aktusok – különösen a platformalapú munkavégzés munkakörülményeinek javításáról szóló (EU) 2023/2831 irányelv – tartalmaznak kereszthivatkozásokat, valamint a végrehajtást biztosító 15. cikk.

(60)Tekintettel az e rendeletben javasolt módosítások technikai jellegére és az egyszerűsített jogi keret megvalósításának sürgősségére, e rendeletnek a Hivatalos Lapban való kihirdetését követően azonnal hatályba kell lépnie. Adott esetben átmeneti időszakokat kell biztosítani a tagállamok és a szabályozott jogalanyok számára a szabályokhoz való alkalmazkodásra.

ELFOGADTA EZT A RENDELETET:

1. cikk

Az (EU) 2023/2854 rendelet módosításai

Az (EU) 2023/2854 rendelet a következőképpen módosul:

1.Az 1. cikk a következőképpen módosul:

a)az (1) bekezdés a következő pontokkal egészül ki:

„ea) az adatközvetítő szolgáltatások önkéntes nyilvántartásba vétele;

eb) azon szervezetek önkéntes nyilvántartásba vétele, amelyek altruisztikus célokra rendelkezésre bocsátott adatokat gyűjtenek és dolgoznak fel;

ec) az Európai Adatinnovációs Testület létrehozása;

ed) adatlokalizációs követelmények és az adatok rendelkezésre állása az illetékes hatóságok számára;

ee) a közszférabeli szervezetek vagy bizonyos közvállalkozások birtokában lévő egyes adatok és dokumentumok, valamint a kutatási adatok további felhasználása;”

b)a (2) bekezdés a következő pontokkal egészül ki:

„g) a VIIa. fejezet a személyes és nem személyes adatokra alkalmazandó;

h) a VIIb. fejezet minden nem személyes adatra alkalmazandó;

i) a VIIc. fejezet a személyes és nem személyes adatokra alkalmazandó, nevezetesen a következőkre:

i. olyan dokumentumokra, amelyek a tagállamok

1.32i. cikk (1) bekezdésének a) pontjában említett közszférabeli szervezeteinek birtokában vannak, vagy

2.a 32i. cikk (1) bekezdésének b) pontjában említett közvállalkozások birtokában vannak;

ii. a 32i. cikk (1) bekezdésének c) pontjában említett kutatási adatokra;

iii. a védett adatok 32i. cikk (1) bekezdésének a) pontjában említett bizonyos kategóriáira.”;

c)a (3) bekezdés g) pontja helyébe a következő szöveg lép:

„g) adatterekben résztvevők.”;

d)a (7) bekezdést el kell hagyni;

e)a cikk a következő (11), (12) és (13) bekezdéssel egészül ki:

„(11) E rendelet VIIb. fejezete nem érinti a tagállamok belső szervezetére vonatkozó azon törvényeket, rendeleteket és közigazgatási rendelkezéseket, amelyek meghatározzák a közigazgatási szervek és a közjogi intézmények adatkezeléssel kapcsolatos hatáskörét és felelősségi körét a magánfelek szerződéses díjazása nélkül, továbbá nem érinti a tagállamok azon törvényeit, rendeleteit és közigazgatási rendelkezéseit, amelyek e hatáskörök és felelősségi körök végrehajtását szabályozzák.

(12) Amennyiben az ágazatspecifikus uniós vagy nemzeti jog előírja a közszférabeli szervezetek, vagy az elismert adataltruista szervezetek számára további, a VIIa. fejezethez és a VIIb. fejezethez kapcsolódó specifikus műszaki, adminisztratív vagy szervezeti követelményeknek a teljesítését – többek között engedélyezési vagy tanúsítási rendszer révén –, az említett ágazatspecifikus uniós vagy nemzeti jog érintett rendelkezéseit is alkalmazni kell. Minden ilyen további specifikus követelménynek megkülönböztetéstől mentesnek, arányosnak és objektív módon indokoltnak kell lennie.

(13) A VIIc. fejezet II. szakaszának hatálya alá tartozó adatok és dokumentumok tekintetében e rendelet VIIc. fejezete nem érinti a tagállamok azon lehetőségét, hogy részletesebb vagy szigorúbb szabályokat fogadjanak el, feltéve, hogy a szóban forgó szabályok lehetővé teszik az adatok és dokumentumok szélesebb körű további felhasználását.”

2.A 2. cikk a következőképpen módosul:

a)a szöveg a következő 4a., 4b. és 4c. ponttal egészül ki:

„4a. »hozzájárulás«: az (EU) 2016/679 rendelet 4. cikkének 11. pontjában meghatározott hozzájárulás;

4b. »engedély«: az adatfelhasználók feljogosítása arra, hogy nem személyes adatokat kezeljenek;

4c. »hozzáférés«: az adatok felhasználása meghatározott műszaki, jogi vagy szervezeti követelményeknek megfelelően, anélkül, hogy ez szükségszerűen magában foglalná az adatok továbbítását vagy letöltését;”

b)a 13. pont helyébe a következő szöveg lép:

„13. »adatbirtokos”: olyan természetes vagy jogi személy, akinek vagy amelynek – e rendelettel, az alkalmazandó uniós joggal vagy az uniós joggal összhangban elfogadott nemzeti jogszabályokkal összhangban – joga vagy kötelezettsége olyan adatokat – többek között, amennyiben arról szerződésben megállapodtak, termékadatokat vagy kapcsolódószolgáltatás-adatokat – használni vagy rendelkezésre bocsátani, amelyeket valamely kapcsolódó szolgáltatás nyújtása során visszanyert vagy generált;” 

c)a cikk a következő 28a. és 28b. ponttal egészül ki:

„28a. »közjogi intézmény»: olyan intézmény, amelyre a következők mindegyike jellemző:

a)amely kifejezetten olyan közérdekű célra jött létre, amely nem ipari vagy kereskedelmi jellegű;

b)jogi személyiséggel rendelkezik;

c)nagyobb részben állami, regionális vagy helyi hatóság, vagy egyéb közjogi szerv finanszírozza; vagy amelynek irányítása e szervek felügyelete alatt áll; vagy olyan ügyvezető, döntéshozó vagy felügyelő testülete van, amely tagjainak több mint felét állami, területi vagy települési hatóság, vagy egyéb közjogi intézmény nevezi ki;

28b. »közvállalkozás«: olyan vállalkozás, amely felett valamely közszférabeli szervezet közvetlenül vagy közvetett módon meghatározó befolyást gyakorolhat tulajdonjogánál, pénzügyi részvételénél vagy a vállalkozást szabályozó rendelkezéseknél fogva. A közszférabeli szervezetek meghatározó befolyását vélelmezni kell minden olyan esetben, amikor az említett szervezetek közvetlenül vagy közvetve: 

a)a vállalkozás jegyzett tőkéjének többségével rendelkeznek;

b)a vállalkozás által kibocsátott részvényekhez kötődő szavazati jogok többségével rendelkeznek;

c)a vállalkozás ügyvezető, döntéshozó vagy felügyelő testülete tagjainak több mint felét kinevezheti;”

d)a cikk a következő 38a. és 38b. ponttal egészül ki:

„38a. »adatközvetítő szolgáltatás«: olyan szolgáltatás, amelynek célja kereskedelmi jellegű kapcsolatok létrehozása – technikai, jogi vagy egyéb eszközök révén – meghatározatlan számú érintett vagy adatbirtokos és adatfelhasználó közötti adatmegosztás – többek között az érintettek személyes adatokkal kapcsolatos jogainak gyakorlása – céljából, és:

1. fő célja nem szerzői jogi védelem alatt álló tartalom közvetítése;

2.beszerzését nem közösen végzi több jogi személy kizárólagos belső használat céljából;

38b. »adataltruizmus«: olyan önkéntes adatmegosztás, amely az érintetteknek a rájuk vonatkozó személyes adatok kezeléséhez való hozzájárulásán vagy az adatbirtokosoknak a nem személyes adataik felhasználására vonatkozó engedélyén alapul anélkül, hogy ezért olyan díjat számítanának fel vagy kapnának, amely meghaladja az adataiknak adott esetben a nemzeti jogban előírt közérdekű célokra – mint például az egészségügy, az éghajlatváltozás elleni küzdelem, a mobilitás javítása, a hivatalos statisztikák fejlesztésének, előállításának és közzétételének megkönnyítése, a közszolgáltatások nyújtásának javítása, a közpolitikai döntéshozatal vagy a közérdeket szolgáló tudományos kutatás céljára – való rendelkezésre bocsátása esetén felmerült költségeik ellentételezését;”

e)a szöveg a következő 44–63. ponttal egészül ki:

„44. »középvállalkozás«: a 2003/361/EK ajánlás I. mellékletének 2. cikkében meghatározott középvállalkozás;

45. »kis méretű, közepes piaci tőkeértékű vállalat«: az (EU) 2025/1099 bizottsági ajánlás mellékletének 2. pontjában meghatározott kis méretű, közepes piaci tőkeértékű vállalkozás;

46. »egyetem«: bármely olyan közszférabeli szervezet, amely felsőfokú képesítést adó, középfokú képzést követő felsőfokú oktatást nyújt;

47. »standard felhasználási engedély«: a további felhasználás előre meghatározott feltételei digitális formátumban, amelyek lehetőleg összeegyeztethetőek az online elérhető standardizált nyilvános felhasználási engedélyekkel;

48. »dokumentum«:

a) minden nem digitális tartalom az adathordozótól (papír, hang-, képi vagy audiovizuális felvétel) függetlenül; vagy

b) az ilyen tartalom bármely része;

50. »dinamikus adatok«: digitális formátumú adatok és dokumentumok, amelyeket gyakran vagy valós időben frissítenek, különösen változékonyságuk vagy gyors elavulásuk miatt; a szenzorok által generált adatok tipikusan dinamikus adatnak minősülnek;

51. »kutatási adatok«: olyan – a tudományos publikációktól eltérő – adatok, amelyeket tudományos kutatási tevékenység keretében gyűjtenek vagy állítanak elő, és amelyeket a kutatási folyamat során bizonyítékként használnak, vagy amelyeket a kutatói közösség általában a kutatási megállapítások és eredmények megerősítéséhez szükségesként fogad el;

52. »további felhasználás«: az alábbiak végrehajtása természetes vagy jogi személyek által:

a)közszférabeli szervezetek birtokában lévő dokumentumok felhasználása olyan kereskedelmi vagy nem kereskedelmi célra, amely kívül esik azon a közfeladat ellátása keretén belüli eredeti célkitűzésen, amellyel a dokumentumokat előállították, a közszférabeli szervezetek közötti, kizárólag közfeladataik ellátása keretében történő dokumentumcsere kivételével; vagy

b)közvállalkozások birtokában lévő dokumentumoknak a VIIc. fejezet 2. szakasza szerinti felhasználása olyan kereskedelmi vagy nem kereskedelmi célra, amely kívül esik azon az általános érdekű szolgáltatás nyújtása keretén belüli eredeti célkitűzésen, amellyel a dokumentumokat előállították, a közszférabeli szervezetek és a közvállalkozások közötti, kizárólag a közszférabeli szervezetek közfeladatainak ellátása keretében történő dokumentumcsere kivételével;

53. »nagy értékű adatkészletek«: olyan adatok és dokumentumok, amelyek további felhasználása fontos előnyökkel jár a társadalomra, a környezetre és a gazdaságra nézve, különösen mivel lehetővé teszik hozzáadott értéket képviselő szolgáltatások, alkalmazások, valamint új, jó minőségű és tisztességes munkahelyek létrehozását, valamint az ezeken az adatokon és dokumentumokon alapuló, hozzáadott értéket képviselő szolgáltatások és alkalmazások potenciális felhasználóinak száma miatt;

54. »a védett adatok bizonyos kategóriái«: a közszférabeli szervezetek birtokában lévő olyan adatok és dokumentumok, amelyek a következők alapján részesülnek védelemben:

a)kereskedelmi adatokra vonatkozó titoktartás, ideértve az üzleti, a szakmai vagy a vállalati titkokat is;

b)a statisztikai adatokra vonatkozó titoktartás;

c)harmadik felek szellemitulajdon-jogainak védelme; vagy

d)a személyes adatok védelme, amennyiben a szóban forgó adatok nem tartoznak a VIIc. fejezet 2. szakaszának hatálya alá;

56. »biztonságos adatkezelési környezet«: olyan fizikai vagy virtuális környezet és szervezeti eljárásmód, amely az uniós jognak – különösen az érintettek jogai, a szellemitulajdon-jogok, a kereskedelmi adatokra vonatkozó titoktartás és a statisztikai adatvédelem, valamint az adatok sértetlensége és hozzáférhetősége tekintetében – és az alkalmazandó nemzeti jognak való megfelelés biztosítását és annak lehetővé tételét célozza, hogy a biztonságos adatkezelési környezetet biztosító szervezet meghatározza és felügyelje az összes adatkezelési műveletet, beleértve az adatok megjelenítését, tárolását, letöltését és exportálását, továbbá a számítási algoritmusok segítségével származtatott adatok kiszámítását;

57. »továbbfelhasználó«: olyan természetes vagy jogi személy, aki vagy amely a VIIc. fejezet alapján jogot kapott a valamely közszférabeli szervezet vagy közvállalkozás birtokában lévő adatoknak vagy dokumentumoknak, illetve kutatási adatoknak vagy a védett adatok bizonyos kategóriáinak további felhasználására;

58. »géppel olvasható formátum«: olyan fájlformátum, amely struktúrájának kialakítása folytán lehetővé teszi, hogy a szoftveres alkalmazások a benne szereplő egyedi adatokat – ideértve az egyedi ténymegállapításokat és azok belső struktúráját – könnyen azonosítsák, felismerjék és kinyerjék;

59. »nyílt formátum«: platformfüggetlen és a nyilvánosság számára a dokumentumok további felhasználását akadályozó bármilyen korlátozás nélkül hozzáférhetővé tett fájlformátum;

60. »hivatalos nyílt szabvány«: írásban meghatározott szabvány, amely részletesen leírja a szoftverekkel való interoperabilitás biztosításának módjával kapcsolatos előírásokat;

61. »észszerű megtérülés«: a teljes díjnak az elszámolható költségek fedezéséhez szükséges költségeken felüli százaléka, amely legfeljebb 5 százalékponttal haladja meg az EKB rögzített kamatlábát;

62. »adatlokalizációs követelmény«: bármely olyan, tagállami törvényben, rendeletben vagy közigazgatási rendelkezésben meghatározott vagy a tagállamok és közjogi intézmények általános és következetes közigazgatási gyakorlataiból – beleértve többek között a 2014/24/EU irányelv sérelme nélkül a közbeszerzés területét is – eredő kötelezettség, tilalom, feltétel, korlátozás vagy más követelmény, amely előírja, hogy az adatkezelési tevékenységeket egy adott tagállam területén kell végezni, vagy akadályozza, hogy az adatkezelés bármely másik tagállamban történjen;

63. »álnevesítés«: az (EU) 2016/679 rendelet 4. cikkének 5. pontjában említett álnevesítés.”

3.A 4. cikk (8) bekezdése helyébe a következő szöveg lép:

„(8) Kivételes körülmények között, amennyiben az üzleti titok jogosultjának minősülő adatbirtokos bizonyítani tudja, hogy a felhasználó által az e cikk (6) bekezdése alapján hozott technikai és szervezési intézkedések ellenére nagy valószínűséggel súlyos gazdasági kárt szenved az üzleti titkok felfedése miatt, vagy hogy az üzleti titkok felhasználó számára történő felfedése magas kockázatot jelent a jogosulatlan megszerzés, felhasználás vagy olyan harmadik országbeli szervezetek vagy az ilyen szervezetek közvetlen vagy közvetett ellenőrzése alatt álló, az Unióban letelepedett szervezetek számára való felfedés tekintetében, amelyek az uniós jog által előírtnál gyengébb vagy azzal nem egyenértékű védelmet nyújtó joghatóságok alá tartoznak, az említett adatbirtokos eseti alapon elutasíthatja a szóban forgó konkrét adatokhoz való hozzáférés iránti kérelmet. Az említett bizonyítást objektív elemek – különösen az üzleti titkok védelmének harmadik országokban való érvényesíthetősége, a kért adatok természete és bizalmas jellegének szintje, valamint az összekapcsolt termék egyedisége és újszerűsége – alapján megfelelően alá kell támasztani. Ezt a felhasználóval indokolatlan késedelem nélkül, írásban kell közölni. Amennyiben az adatbirtokos megtagadja az adatmegosztást e bekezdés alapján, értesítenie kell a 37. cikk alapján kijelölt illetékes hatóságot.”;

4.Az 5. cikk (11) bekezdése helyébe a következő szöveg lép:

„(11) Kivételes körülmények között, amennyiben az üzleti titok jogosultjának minősülő adatbirtokos bizonyítani tudja, hogy a harmadik fél által az e cikk (9) bekezdése alapján hozott technikai és szervezési intézkedések ellenére nagy valószínűséggel súlyos gazdasági kárt szenved az üzleti titkok felfedése miatt, vagy hogy az üzleti titkok harmadik fél számára történő felfedése nagy kockázatot jelent a jogosulatlan megszerzés, felhasználás vagy olyan harmadik országbeli szervezetek vagy az ilyen szervezetek közvetlen vagy közvetett ellenőrzése alatt álló, az Unióban letelepedett szervezetek számára való felfedés tekintetében, amelyek az uniós jog által előírtnál gyengébb vagy azzal nem egyenértékű védelmet nyújtó joghatóságok alá tartoznak, az említett adatbirtokos eseti alapon elutasíthatja a szóban forgó konkrét adatokhoz való hozzáférés iránti kérelmet. Az említett bizonyítást objektív elemek – különösen az üzleti titkok védelmének harmadik országokban való érvényesíthetősége, a kért adatok természete és bizalmas jellegének szintje, valamint az összekapcsolt termék egyedisége és újszerűsége – alapján megfelelően alá kell támasztani. Ezt a harmadik féllel indokolatlan késedelem nélkül, írásban kell közölni. Amennyiben az adatbirtokos megtagadja az adatmegosztást e bekezdés alapján, értesítenie kell a 37. cikk alapján kijelölt illetékes hatóságot.”

5.Az V. fejezet címe helyébe a következő szöveg lép:

„ADATOK RENDELKEZÉSRE BOCSÁTÁSA KÖZSZFÉRABELI SZERVEZETEK, A BIZOTTSÁG, AZ EURÓPAI KÖZPONTI BANK ÉS UNIÓS SZERVEK SZÁMÁRA SZÜKSÉGHELYZET ALAPJÁN”.

6.A 14. és az 15. cikket el kell hagyni.

7.A rendelet szövege a következő 15a. cikkel egészül ki:

„15a. cikk

Az adatbirtokosok kötelezettsége az adatok rendelkezésre bocsátására szükséghelyzet alapján

(1)Amennyiben egy közszférabeli szervezet, a Bizottság, az Európai Központi Bank vagy egy uniós szerv bizonyítja, hogy a szükséghelyzetre való reagálás, egy szükséghelyzet enyhítése vagy a szükséghelyzetből való kilábalás támogatása során rendkívüli igény mutatkozik arra, hogy bizonyos adatokat a jogszabályban előírt feladatainak közérdekből történő ellátásához felhasználjon, felkérheti a közszférabeli szervezetektől eltérő jogi személynek minősülő adatbirtokosokat, hogy bocsássák rendelkezésre a szóban forgó adatokat, beleértve az említett adatok értelmezéséhez és felhasználásához szükséges metaadatokat is. Ilyen kellően indokolt kérésre az adatbirtokosok az adatokat és metaadatokat kötelesek a kérelmező közszférabeli szervezet, a Bizottság, az Európai Központi Bank vagy az uniós szerv rendelkezésére bocsátani. Ilyen kérelem akkor is benyújtható, ha szükséghelyzettel kapcsolatban hivatalos statisztikák előállítására van szükség.

(2)Abban az esetben, ha a kért adatok szükséghelyzetre való reagáláshoz szükségesek, és az (1) bekezdés szerinti kérelmező szervnek nem áll módjában ezeket az adatokat más módon, időben és hatékonyan, egyenértékű feltételek mellett megszerezni, a megkeresésnek nem személyes adatokra kell vonatkoznia. Abban az esetben, ha a nem személyes adatok szolgáltatása nem elegendő a szükséghelyzet kezeléséhez, személyes adatok is kérhetők és – amennyiben lehetséges – álnevesített formában rendelkezésre bocsáthatók, a védelmüket biztosító megfelelő technikai és szervezeti intézkedésekre is figyelemmel.

(3)Abban az esetben, ha a kért adatok szükséghelyzet enyhítéséhez vagy szükséghelyzetből való kilábalásnak a támogatásához szükségesek, az (1) bekezdés szerinti, uniós vagy nemzeti jog alapján eljáró kérelmező szerv kikérhet olyan konkrét nem személyes adatokat, melyek hiánya akadályozza a szükséghelyzet enyhítésében vagy a szükséghelyzetből való kilábalás támogatásában. Ilyen kérelem mikro- és kisvállalkozásokhoz nem nyújtható be.”

8.A 16. cikk (2) bekezdése helyébe a következő szöveg lép:

„(2) Ez a fejezet nem alkalmazandó a közszférabeli szervezetek, a Bizottság, az Európai Központi Bank vagy uniós szervek olyan tevékenységeire, amelyek bűncselekmények vagy szabálysértések megelőzésével, nyomozásával, felderítésével, büntetőeljárás alá vonásával vagy büntetőjogi szankciók végrehajtásával kapcsolatosak, sem pedig a vám- és adóigazgatásra. Ez a fejezet nem érinti az ilyen tevékenységekre nézve irányadó uniós vagy nemzeti jogot.”

9.A 17. cikk a következőképpen módosul:

a)    az (1) bekezdés a következőképpen módosul:

i. a bevezető szövegrész helyébe a következő szöveg lép:

„A 15a. cikk szerinti adatigénylés esetén a közszférabeli szervezet, a Bizottság, az Európai Központi Bank vagy egy uniós szerv:”;

ii. a b) és a c) pont helyébe a következő szöveg lép:

„b) bizonyítja, hogy a kérelem benyújtásának 15a. cikk szerinti feltételei teljesülnek;

c) ismerteti a kérelem célját, a kért adatok tervezett felhasználását, beleértve adott esetben azoknak egy harmadik fél általi felhasználását az e cikk (4) bekezdésével összhangban, az említett felhasználás időtartamát, továbbá adott esetben azt, hogy a személyes adatok kezelése hogyan szolgálja a szükséghelyzet kezelését;”

b)    a (2) bekezdés a következőképpen módosul:

i. a c) pont helyébe a következő szöveg lép:

„c) a szükséghelyzettel arányos, továbbá kellően indokolt a kért adatok részletezettségét és mennyiségét, valamint a kért adatokhoz való hozzáférés gyakoriságát illetően;”

ii. az e) pontot el kell hagyni;

c)    az (5) és a (6) bekezdést el kell hagyni.

10.A 18. cikk a következőképpen módosul:

a)    a (2) bekezdésben a bevezető rész helyébe a következő szöveg lép:

„(2) Az uniós vagy a nemzeti jogban meghatározott, az adatok rendelkezésre állásával kapcsolatos meghatározott szükségletek sérelme nélkül az adatbirtokos a szükséghelyzetre való reagáláshoz szükséges adatok esetében – indokolatlan késedelem nélkül, de mindenképpen a 15a. cikk (2) bekezdése szerinti kérelem kézhezvételétől számított legfeljebb öt munkanapon belül, valamint indokolatlan késedelem nélkül, de mindenképpen a 15a. cikk (3) bekezdése szerinti kérelem kézhezvételétől számított legfeljebb 30 munkanapon belül – elutasíthatja az e fejezet szerinti, adatok rendelkezésre bocsátása iránti kérelmet, vagy kérheti annak módosítását a következő indokok bármelyike alapján:”;

b)    az (5) bekezdést el kell hagyni.

11.A 19. cikk a következőképpen módosul:

a) az (1) bekezdésben a bevezető rész helyébe a következő szöveg lép:

„Amennyiben egy közszférabeli szervezet, a Bizottság, az Európai Központi Bank vagy egy uniós szerv a 15a. cikk szerint benyújtott kérelem alapján adatokat kap:”;

b) a (3) bekezdés helyébe a következő szöveg lép:

„(3) Az üzleti titkoknak egy közszférabeli szervezet, a Bizottság, az Európai Központi Bank vagy egy uniós szerv számára történő felfedése csak a 15a. cikk szerinti kérelem céljának eléréséhez feltétlenül szükséges mértékben követelhető meg. Ilyen esetben az adatbirtokosnak vagy – amennyiben nem ugyanazon személyekről van szó – az üzleti titok jogosultjának azonosítania kell, hogy a kapcsolódó metaadatokkal együtt mely adatok védettek üzleti titokként. A közszférabeli szervezet, a Bizottság, az Európai Központi Bank vagy az uniós szerv az üzleti titok felfedése előtt minden szükséges és megfelelő technikai és szervezési intézkedést megtesz, hogy megőrizze az üzleti titkok bizalmas jellegét, ideértve adott esetben minta-szerződésifeltételek és technikai szabványok használatát, valamint magatartási kódexek alkalmazását.”

12.A 20. cikk helyébe a következő szöveg lép:

„20. cikk

Az adatok V. fejezet szerinti rendelkezésre bocsátásáért járó kompenzáció

(1) Az adatbirtokosok díjmentesen bocsátják rendelkezésre a 15a. cikk (2) bekezdése alapján a szükséghelyzetre való reagáláshoz szükséges adatokat. Amennyiben a közszférabeli szervezet, a Bizottság, az Európai Központi Bank vagy az uniós szerv adatokat kapott, az adatbirtokosnak nyilvános elismerést biztosít, ha az adatbirtokos ezt kéri.

(2) Az adatbirtokos méltányos kompenzációra jogosult, amiért a 15a. cikk (3) bekezdése alapján benyújtott kérelemnek eleget téve adatokat bocsát rendelkezésre. Az ilyen kompenzációnak fedeznie kell a kérelem teljesítésével felmerült technikai és szervezési költségeket, ideértve adott esetben az anonimizálás, az álnevesítés, az összesítés és a technikai kiigazítás költségeit és egy észszerű árrést. A közszférabeli szervezet, a Bizottság, az Európai Központi Bank vagy az uniós szerv kérésére az adatbirtokosnak tájékoztatást kell nyújtania a költségek és az észszerű árrés kiszámítására szolgáló alapról.

(3) E cikk (1) bekezdésétől eltérve, a mikrovállalkozásnak vagy kisvállalkozásnak minősülő adatbirtokos az e cikk (2) bekezdésében meghatározott feltételeknek megfelelően kompenzációra tarthat igényt az adatoknak a 15a. cikk (2) bekezdése szerinti kérelemre válaszul történő rendelkezésre bocsátásáért.

(4) Az adatbirtokosok nem jogosultak kompenzációra adatoknak a 15a. cikk (3) bekezdése alapján benyújtott kérelemnek eleget téve történő rendelkezésre bocsátásáért, amennyiben a közérdekből végzett konkrét feladat hivatalos statisztikák előállítása, és amennyiben a nemzeti jog nem teszi lehetővé az adatok megvásárlását. A tagállamok értesítik a Bizottságot, amennyiben a nemzeti jog nem teszi lehetővé adatok megvásárlását a hivatalos statisztikák előállítása céljából.”

13.A 21. cikk a következőképpen módosul:

a) a címsor helyébe a következő szöveg lép:

„Szükséghelyzettel összefüggésben szerzett adatok megosztása kutatószervezetekkel vagy statisztikai szervekkel”;

b) az (5) bekezdés helyébe a következő szöveg lép:

„(5) Amennyiben egy közszférabeli szervezet, a Bizottság, az Európai Központi Bank vagy egy uniós szerv e cikk (1) bekezdése alapján adatokat szándékozik továbbítani vagy rendelkezésre bocsátani, indokolatlan késedelem nélkül értesíti az adatbirtokost, akitől az adatokat kapta, megadva a következőket:

a)az adatokat megkapó szervezet vagy egyén kiléte és elérhetőségei;

b)az adatok továbbításának vagy rendelkezésre bocsátásának célja;

c)az adatok felhasználhatóságának időtartama és a technikai védelem;

d)a meghozott szervezési intézkedések, akkor is, ha személyes adatok és üzleti titkok érintettek.”

14.A VI. fejezet elé a következő 22a. cikk kerül beillesztésre:

„22a. cikk

Panasztételi jog

Amennyiben vita merül fel a 15a. cikk szerinti adatigényléssel kapcsolatban, beleértve annak elutasítását, módosítását, a kompenzáció mértékét vagy az adatok továbbítását vagy rendelkezésre bocsátását, az adatbirtokos, a közszférabeli szervezet, a Bizottság, az Európai Központi Bank vagy az uniós szerv panaszt nyújthat be az adatbirtokos letelepedési helye szerinti tagállamnak a 37. cikk alapján kijelölt illetékes hatóságához.”

15.A 31. cikk a következő (1a) és (1b) bekezdéssel egészül ki:

„(1a) A VI. fejezetben – a 29. cikk kivételével – és a 34. cikkben meghatározott kötelezettségek nem alkalmazandók a 30. cikk (1) bekezdésében említettektől eltérő adatkezelési szolgáltatásokra, amennyiben az adatkezelési szolgáltatás jellemzőinek és funkcionalitásainak többségét a szolgáltató az ügyfél sajátos igényeihez igazította, amennyiben a szóban forgó szolgáltatások nyújtása 2025. szeptember 12-én vagy azt megelőzően kötött szerződésen alapul.

Az ilyen adatkezelési szolgáltatásokat nyújtó szolgáltató nem köteles újratárgyalni vagy módosítani az említett szolgáltatások nyújtására vonatkozó szerződést annak lejárta előtt, ha az említett szerződést 2025. szeptember 12-én vagy azt megelőzően kötötték meg. Semmisnek kell tekinteni az adott szerződésben foglalt minden olyan szerződéses rendelkezést, amely ellentétes a 29. cikk (1), (2) vagy (3) bekezdésével.

(1b) Az adatkezelési szolgáltatásokat nyújtó szolgáltató a 30. cikk (1) bekezdésében említettektől eltérő adatkezelési szolgáltatások nyújtására vonatkozó, határozott idejű szerződésbe foglalhat az idő előtti megszüntetés esetén alkalmazandó arányos szankciókra vonatkozó rendelkezéseket.

Amennyiben az adatkezelési szolgáltatásokat nyújtó szolgáltató kis- és középvállalkozás vagy kis méretű, közepes piaci tőkeértékű vállalat, a VI. fejezetben – a 29. cikk kivételével – és a 34. cikkben meghatározott kötelezettségek nem alkalmazandók a 30. cikk (1) bekezdésében említettektől eltérő adatkezelési szolgáltatásokra, amennyiben a szóban forgó szolgáltatások nyújtása 2025. szeptember 12-én vagy azt megelőzően kötött szerződésen alapul.

Amennyiben az adatkezelési szolgáltatásokat nyújtó szolgáltató kis- és középvállalkozás vagy kis méretű, közepes piaci tőkeértékű vállalat, a szolgáltató nem köteles újratárgyalni vagy módosítani a 30. cikk (1) bekezdésében említettektől eltérő adatkezelési szolgáltatás nyújtására vonatkozó szerződést annak lejárta előtt, amennyiben az említett szerződést 2025. szeptember 12-én vagy azt megelőzően kötötték meg. Semmisnek kell tekinteni az adott szerződésben foglalt minden olyan szerződéses rendelkezést, amely ellentétes a 29. cikk (1), (2) vagy (3) bekezdésével.”

16.A 32. cikk a következőképpen módosul:

a) az (1) és a (2) bekezdés helyébe a következő szöveg lép:

„(1) Az adatkezelési szolgáltató, az adatokat vagy dokumentumokat a VIIc. fejezet 3. szakaszával összhangban rendelkezésre bocsátó közszférabeli szervezet, az a természetes vagy jogi személy, akinek vagy amelynek a VIIc. fejezet 3. szakaszával összhangban jogot biztosítottak az adatok vagy dokumentumok további felhasználására, az adatközvetítő szolgáltató vagy az elismert adataltruista szervezet – a (2) vagy (3) bekezdés sérelme nélkül – meghoz valamennyi megfelelő technikai, szervezési és jogi intézkedést, ideértve szerződéseket is, annak érdekében, hogy megakadályozzák az Unióban tárolt nem személyes adatok tekintetében a nemzetközi és harmadik ország általi kormányzati hozzáférést és továbbítást, amennyiben az ilyen továbbítás vagy hozzáférés az uniós joggal vagy a releváns tagállam nemzeti jogával való ütközéshez vezetne. 

(2) Valamely harmadik ország bíróságának vagy igazságszolgáltatási fórumának bármely olyan határozata vagy ítélete, vagy harmadik ország közigazgatási hatóságának bármely olyan határozata, amely egy adatkezelési szolgáltatót, az adatokat vagy dokumentumokat a VIIc. fejezet 3. szakaszával összhangban rendelkezésre bocsátó közszférabeli szervezetet, azt a természetes vagy jogi személyt, akinek vagy amelynek a VIIc. fejezet 3. szakaszával összhangban jogot biztosítottak az adatok vagy dokumentumok további felhasználására, valamely adatközvetítő szolgáltatót vagy valamely elismert adataltruista szervezetet az e rendelet hatálya alá tartozó, az Unióban tárolt nem személyes adatok továbbítására vagy az azokhoz való hozzáférés biztosítására kötelezi, csak akkor ismerhető el vagy hajtható végre bármely módon, ha az a kérelmező harmadik ország és az Unió, vagy a kérelmező harmadik ország és valamely tagállam között létrejött, hatályos nemzetközi megállapodáson, például kölcsönös jogsegélyszerződésen alapul.”;

b) a (3) bekezdés első albekezdésében a bevezető szövegrész helyébe a következő szöveg lép:

„(3) A (2) bekezdésben említett nemzetközi megállapodás hiányában, amennyiben egy adatkezelési szolgáltató, az adatokat vagy dokumentumokat a VIIc. fejezet 3. szakaszával összhangban rendelkezésre bocsátó közszférabeli szervezet, az a természetes vagy jogi személy, akinek vagy amelynek a VIIc. fejezet 3. szakaszával összhangban jogot biztosítottak az adatok vagy dokumentumok további felhasználására, valamely adatközvetítő szolgáltató vagy valamely elismert adataltruista szervezet a címzettje valamely harmadik ország bírósága vagy igazságszolgáltatási fóruma által hozott olyan határozatnak vagy ítéletnek, vagy egy harmadik országbeli közigazgatási hatóság olyan határozatának, amely az e rendelet hatálya alá tartozó, az Unióban tárolt nem személyes adatok továbbítását vagy az azokhoz való hozzáférés biztosítását írja elő, és az ilyen határozatnak vagy ítéletnek való megfelelés azzal a kockázattal járna, hogy annak címzettje konfliktusba kerülhet az uniós joggal vagy a releváns tagállam nemzeti jogával, az ilyen adatok csak akkor továbbíthatók az említett harmadik országbeli hatóság részére, vagy azokhoz számára hozzáférés csak akkor biztosítható, ha:”;

c) a (4) és az (5) bekezdés helyébe a következő szöveg lép:

„(4) Ha a (2) vagy a (3) bekezdésben megállapított feltételek teljesülnek, az adatkezelési szolgáltató, az adatokat vagy dokumentumokat a VIIc. fejezet 3. szakaszával összhangban rendelkezésre bocsátó közszférabeli szervezet, az a természetes vagy jogi személy, akinek vagy amelynek a VIIc. fejezet 3. szakaszával összhangban jogot biztosítottak az adatok vagy dokumentumok további felhasználására, valamely adatközvetítő szolgáltató vagy valamely elismert adataltruista szervezet biztosítja a kérelemre válaszul megengedhető minimális adatmennyiséget, az említett kérelemnek a szolgáltató vagy a (3) bekezdés második albekezdésében említett releváns nemzeti szerv vagy hatóság általi észszerű értelmezése alapján.

(5) Az adatkezelési szolgáltató, az adatokat vagy dokumentumokat a VIIc. fejezet 3. szakaszával összhangban rendelkezésre bocsátó közszférabeli szervezet, az a természetes vagy jogi személy, akinek vagy amelynek a VIIc. fejezet 3. szakaszával összhangban jogot biztosítottak az adatok vagy dokumentumok további felhasználására, az adatközvetítő szolgáltató vagy az elismert adataltruista szervezet a kérelem teljesítése előtt tájékoztatja azt a természetes vagy jogi személyt, akinek vagy amelynek a jogait és érdekeit ez érintheti, arról, hogy egy harmadik ország hatósága az adataihoz való hozzáférés iránti kérelmet nyújtott be, kivéve, ha a kérelem bűnüldözési célokat szolgál, és mindaddig, amíg ez a bűnüldözési tevékenység eredményességének megőrzéséhez szükséges.”

17.A 36. cikket el kell hagyni.

18.A rendelet a következő VIIa., VIIb. és VIIc. fejezettel egészül ki:

„VIIa. FEJEZET

adatközvetítő szolgáltatások

az elismert adataltruista szervezetek

32a. cikk

Nyilvános uniós nyilvántartások

(1)A Bizottság nyilvános uniós nyilvántartásokat a következőkről, illetve frissíti e nyilvántartásokat:

a)elismert adatközvetítő szolgáltatók és

b)elismert adataltruista szervezetek.

(2)Az (1) bekezdés a) pontjában említett, a nyilvános uniós nyilvántartásba bejegyzett adatközvetítő szolgáltatók írásbeli és szóbeli kommunikációjukban használhatják „az Unióban elismert adatközvetítő szolgáltató” címkét, valamint a (4) bekezdésben említett közös logót.

(3)Az (1) bekezdés b) pontjában említett, a nyilvános uniós nyilvántartásba bejegyzett adataltruista szervezetek írásbeli és szóbeli kommunikációjukban használhatják „az Unióban elismert adataltruista szervezetek” címkét, valamint a (4) bekezdésben említett közös logót.

(4)Annak biztosítása érdekében, hogy az Unióban elismert adatközvetítő szolgáltatók könnyen azonosíthatók legyenek az Unió egész területén, a Bizottság felhatalmazást kap arra, hogy végrehajtási jogi aktusok elfogadása útján kidolgozza a közös logó rajzolatát. Az említett végrehajtási jogi aktusokat a 46. cikk (1a) bekezdésében említett vizsgálóbizottsági eljárás keretében kell elfogadni.

32b. cikk

Az adatközvetítő szolgáltatók és az adataltruista szervezetek nyilvántartásba vételéért felelős illetékes hatóságok

(1)Minden egyes tagállam kijelöl egy vagy több illetékes hatóságot, amely felelős e fejezetnek a 37. cikk (1) bekezdése szerinti alkalmazásáért és érvényesítéséért.

(2)Az illetékes hatóságokat úgy kell létrehozni, hogy biztosítva legyen az, hogy az Unióban elismert valamennyi adatközvetítő szolgáltatótól vagy elismert adataltruista szervezettől függetlenek.

32c. cikk

Az elismert adatközvetítő szolgáltatók nyilvántartásba vételére vonatkozó általános követelmények

A 32a. cikk (1) bekezdésének a) pontjában említett nyilvános uniós nyilvántartásba való felvételhez az adatközvetítő szolgáltatónak a következő követelmények mindegyikének meg kell felelnie:

a)azokat az adatokat, amelyekre vonatkozóan adatközvetítő szolgáltatásokat nyújt, nem használja fel az adatfelhasználók rendelkezésére bocsátástól eltérő célokra;

b)az általuk valamely természetes vagy jogi személy adatközvetítő szolgáltatás nyújtása céljából végzett bármely tevékenysége tekintetében gyűjtött adatokat – beleértve a dátumot, az időpontot és a földrajzi helymeghatározási adatokat, a tevékenység időtartamát, valamint az adatközvetítő szolgáltatást igénybe vevő személy által más természetes vagy jogi személyekkel létrehozott kapcsolatokat – kizárólag az említett adatközvetítő szolgáltatás fejlesztésére használják fel; 

c)amennyiben az adatcsere megkönnyítésének konkrét céljából további eszközöket és szolgáltatásokat – például ideiglenes tárolást, gondozást, konvertálást, titkosítást, anonimizálást és álnevesítést – kínálnak az adatbirtokosok vagy az érintettek számára, ezeket az eszközöket és szolgáltatásokat csak az adatbirtokos vagy az érintett kifejezett kérésére vagy jóváhagyásával használják; 

d)amennyiben a nem mikro- és kisvállalkozások minősülő adatközvetítő szolgáltatók a c) pontban említett szolgáltatásoktól eltérő, hozzáadott értéket képviselő szolgáltatásokat kínálnak ügyfeleiknek, teljesítik a következő feltételeket:

i.a felhasználó kifejezetten kéri hozzáadott értéket képviselő szolgáltatásokat;

ii.az adatokat nem használják fel a hozzáadott értéket képviselő szolgáltatás nyújtásától célokra;

iii.a hozzáadott értéket képviselő szolgáltatásokat funkcionálisan különálló egységen keresztül kínálják;

iv.a hozzáadott értéket képviselő szolgáltatásokat nyújtani kívánó vállalkozás az (EU) 2022/1925 rendelet 3. cikke értelmében nem minősül kapuőrnek;

v.az adatközvetítő szolgáltatások adatbirtokos vagy adatfelhasználó részére történő nyújtásának kereskedelmi feltételei – beleértve az árképzést is – nem függnek attól, hogy az adatbirtokos vagy az adatfelhasználó az adatközvetítő szolgáltató vagy egy kapcsolt szervezet által nyújtott, hozzáadott értéket képviselő szolgáltatásokat vesz-e igénybe;

e)az érintettek számára szolgáltatásokat kínáló adatközvetítő szolgáltató az érintettek mindenek felett álló érdeke szerint jár el jogaik gyakorlásának elősegítésekor, különösen azáltal, hogy az érintetteknek tömör, átlátható, könnyen érthető és könnyen hozzáférhető formában tájékoztatást, illetve adott esetben tanácsadást nyújt az adatfelhasználók általi tervezett adatfelhasználással, valamint az e felhasználásra vonatkozó általános szerződési feltételekkel kapcsolatban, még azelőtt, hogy az érintettek a hozzájárulásukat adnák.

32d. cikk

Az elismert adataltruista szervezetek nyilvántartásba vételére vonatkozó általános követelmények

A 32a. cikk (1) bekezdésének b) pontjában említett nyilvános uniós nyilvántartásba való felvételhez az adataltruista szervezetnek a következő követelmények mindegyikének meg kell felelnie:

a)adataltruista tevékenységeket kell végeznie;

b)olyan jogi személynek kell lennie, amelyet a nemzeti jog alapján hoztak létre – adott esetben a nemzeti jogban előírt – közérdekű célok teljesítése céljából;

c)nonprofit alapon kell működnie és jogilag függetlennek kell lennie minden olyan szervezettől, amely profitorientáltan működik;

d)az adataltruista tevékenységeket egy olyan struktúrán keresztül kell végeznie, amely funkcionálisan elkülönül az általa végzett egyéb tevékenységektől.

32e. cikk

Nyilvántartásba vétel

(1)A 32c. cikkben meghatározott követelményeket teljesítő adatközvetítő szolgáltató az elismert adatközvetítő szolgáltatók nyilvános uniós nyilvántartásába való felvétel iránti kérelmet nyújthat be az üzleti tevékenysége fő helye szerinti tagállamnak a 32b. cikkben említett illetékes hatóságához.

A 32d. cikkben meghatározott követelményeket teljesítő adataltruista szervezet az elismert adataltruista szervezetek nyilvános uniós nyilvántartásába való felvétel iránti kérelmet nyújthat be az üzleti tevékenysége fő helye szerinti tagállamnak a 32b. cikkben említett illetékes hatóságához.

(2)Azok az adatközvetítő szolgáltatók és adataltruista szervezetek, melyek üzleti tevékenységének fő helye nem az Unióban található, jogi képviselőt kötelesek kijelölni a tagállamok egyikében. A jogi képviselőt meg kell bízni azzal, hogy az illetékes hatóságok vagy az érintettek és az adatbirtokosok az adatközvetítő szolgáltató vagy az adataltruista szervezet mellett vagy helyett hozzá fordulhassanak. A jogi képviselőnek együtt kell működnie az illetékes hatóságokkal, és kérésre teljes körűen be kell mutatnia az adatközvetítő szolgáltató által vagy az adataltruista szervezet által az e rendeletnek való megfelelés biztosítása érdekében hozott intézkedéseket és bevezetett rendelkezéseket.

Az adatközvetítő szolgáltatót vagy az adataltruista szervezetet annak a tagállamnak a joghatósága alá tartozónak kell tekinteni, amelyben a jogi képviselő található. A jogi képviselő kijelölése nem érinti az adatközvetítő szolgáltatóval vagy az adataltruista szervezettel szemben indítható jogi lépéseket.

(3)Az illetékes hatóságok létrehozzák a szükséges kérelmezési formanyomtatványokat.

(4)Abban az esetben, ha az adatközvetítő szolgáltató e cikk (3) bekezdése alapján benyújtotta az összes szükséges információt, és megfelel a 32c. cikkben meghatározott követelményeknek, az illetékes hatóság a nyilvántartásba vétel iránti kérelem kézhezvételétől számított 12 héten belül határozatot hoz arról, hogy a szolgáltató megfelel-e a 32c. cikkben meghatározott kritériumoknak. Abban az esetben, ha a szolgáltató megfelel a kritériumoknak, az illetékes hatóság benyújtja a vonatkozó információkat a Bizottságnak, amely a szolgáltatókat elismert adatközvetítő szolgáltatóként felveszi a nyilvános uniós nyilvántartásba.

Az első albekezdés abban az esetben is alkalmazandó, ha valamely adataltruista szervezet a (2) bekezdés alapján benyújtotta az összes szükséges információt, és megfelel a 32d. cikkben meghatározott nyilvántartásba vételi követelményeknek.

A nyilvános uniós nyilvántartásba való bejegyzés valamennyi tagállamban érvényes.

(5)Az illetékes hatóság a nemzeti joggal összhangban díjat számíthat fel a nyilvántartásba vételért. E díjaknak arányosnak és objektívnek kell lenniük, és a megfelelés nyomon követésével kapcsolatos adminisztratív költségeken kell alapulniuk. A kis méretű, közepes piaci tőkeértékű vállalatok, a kis- és középvállalkozások és az induló innovatív vállalkozások esetében az illetékes hatóság kedvezményes díjat számíthat fel, vagy eltekinthet a díj megfizettetésétől.

(6)A nyilvántartásba vett szervezetek értesítik az illetékes hatóságot a kérelmezési eljárás során megadott információkban bekövetkező bármely későbbi változásról, vagy arról, ha az Unióban beszüntetik adatközvetítő vagy adataltruista tevékenységeiket.

(7)Az illetékes hatóság haladéktalanul, elektronikus úton értesíti a Bizottságot a (6) bekezdés szerinti értesítésekről. A Bizottság indokolatlan késedelem nélkül frissíti a nyilvános uniós nyilvántartást.

32f. cikk

Az elismert adataltruista szervezetek feladatai

(1)Az elismert adataltruista szervezeteknek adataik bármilyen jellegű kezelése előtt világos és közérthető módon tájékoztatniuk kell az érintetteket vagy az adatbirtokosokat az alábbiakról:

a) azon közérdekű célok és – adott esetben – kifejezett, konkrét és jogszerű célok, amely utóbbi célokra a személyesadat-kezelésnek irányulnia kell, és amely célok mindegyikére nézve a szervezet engedélyezi az adatbirtokosok vagy az érintettek adatainak az adatfelhasználók általi kezelését;

b) az adatkezelés azon helyszínei és azon közérdekű célok, amelyen, illetve amelyekre a valamely harmadik országban végzett adatkezelést engedélyezi, amennyiben az adatkezelést az elismert adataltruista szervezet végzi.

(2)Az elismert adataltruista szervezetek az adatokat nem használhatják az azon közérdekű céloktól eltérő célra, amelyekre az érintett vagy az adatbirtokos az adatkezelést engedélyezi. Az elismert adataltruista szervezet nem alkalmazhat megtévesztő marketingtechnikákat az adatszolgáltatás ösztönzése céljából.

(3)Az elismert adataltruista szervezetek elektronikus eszközöket biztosítanak az érintettek hozzájárulásának vagy az adatbirtokosok által rendelkezésre bocsátott adatok kezelésére vonatkozó engedélyeknek a beszerzéséhez, valamint azok visszavonásához.

(4)Az elismert adataltruista szervezeteknek indokolatlan késedelem nélkül tájékoztatniuk kell az adatbirtokosokat az általuk megosztott nem személyes adatokhoz való bármely jogosulatlan hozzáférésről, valamint az ilyen adatok bármely jogosulatlan továbbításáról vagy felhasználásáról.

(5)Ha az elismert adataltruista szervezetek elősegítik a harmadik felek általi adatkezelést, például azáltal, hogy eszközöket biztosítanak az érintettek hozzájárulásának vagy az adatbirtokosok által rendelkezésre bocsátott adatok kezelésére vonatkozó engedélyeknek a beszerzéséhez, adott esetben meg kell határoznia azon harmadik ország joghatóságát, amelyben az adatokat felhasználni szándékoznak.

32g. cikk

A megfelelés nyomon követése

(1)A 32b. cikkben említett illetékes hatóságok saját kezdeményezésükre vagy valamely természetes vagy jogi személy kérésére nyomon követik és felügyelik, hogy az elismert adatközvetítő szolgáltatók és az elismert adataltruista szervezetek megfelelnek-e az e fejezetben meghatározott követelményeknek, beleértve azt is, hogy továbbra is megfelelnek-e az ott előírt nyilvántartásba vételi követelményeknek.

(2)Az illetékes hatóságoknak hatáskörük van bekérni az elismert adatközvetítő szolgáltatóktól vagy az elismert adataltruista szervezetektől vagy azok jogi képviselőjétől minden olyan információt, amely az e fejezetben meghatározott követelményeknek való megfelelés ellenőrzéséhez szükséges. Az információk iránti bármely kérelemnek arányosnak kell lennie a feladat teljesítésével, és azt indokolással kell ellátni.

(3)Ha valamely illetékes hatóság megállapítja, hogy egy elismert adatközvetítő szolgáltató vagy egy elismert adataltruista szervezet nem felel meg az e fejezetben előírt egy vagy több követelménynek, értesítenie kell a szóban forgó szervezetet vagy annak jogi képviselőjét ezekről a megállapításokról, és lehetőséget kell adnia arra, hogy az az értesítés kézhezvételétől számított 30 napon belül kifejtse álláspontját.

(4)Az illetékes hatóságot fel kell hatalmazni arra, hogy az érintett vállalkozást kötelezze a (3) bekezdésben említett meg nem felelés azonnali hatállyal vagy észszerű határidőn belül történő megszüntetésére, és megtegye a megfelelés biztosítását célzó, megfelelő és arányos intézkedéseket.

(5)Abban az esetben, ha valamely elismert adatközvetítő szolgáltató vagy elismert adataltruista szervezet a (3) bekezdéssel összhangban történt értesítést követően sem felel meg az e fejezetben meghatározott egy vagy több követelménynek, az említett szervezet:

a) elveszíti a 32a. cikkben említett címke írásbeli és szóbeli kommunikáció során történő használatára vonatkozó jogát;

b) törlésre kerül a 32a. cikkben említett nyilvános uniós nyilvántartásból.

Az első albekezdés a) pontjában említett címkehasználati jog visszavonásáról szóló határozatot az illetékes hatóság minden esetben köteles közzétenni.

VIIb. FEJEZET

A nem személyes adatok Unión belüli szabad áramlására irányuló kezdeményezés

32h. cikk

A nem személyes adatokra vonatkozó adatlokalizációs követelmények Unión belüli tilalma

(1)Tilos a nem személyes adatokra vonatkozó adatlokalizációs követelmények alkalmazása, kivéve, ha azok az arányosság elvével összhangban közbiztonsági okokból indokoltak vagy ha megállapításukra az uniós jog alapján kerül sor.

(2)A tagállamok az (EU) 2015/1535 európai parlamenti és tanácsi irányelv 5., 6. és 7. cikkében meghatározott eljárásokkal összhangban haladéktalanul közölnek a Bizottsággal minden olyan jogiaktus-tervezetet, amely új adatlokalizációs követelményt vezet be vagy meglévő adatlokalizációs követelményt módosít.

VIIc. FEJEZET

A közszférabeli szervezetek birtokában lévő egyes adatok és dokumentumok további felhasználása

1. szakasz

Általános rendelkezések

32i. cikk

Tárgy és hatály

(1)Ez a fejezet szabályokat állapít meg az alábbiak további felhasználására, valamint a további felhasználás megkönnyítését célzó gyakorlati intézkedésekre vonatkozóan: 

a)a tagállamok közszférabeli szervezetei birtokában lévő meglévő adatok és dokumentumok, beleértve a védett adatok bizonyos kategóriáit is; 

b)olyan közvállalkozások birtokában lévő adatok és dokumentumok, amelyek: 

i.a 2014/25/EU európai parlamenti és tanácsi irányelv II. fejezetében említett területeken tevékenykednek; 

ii.az 1370/2007/EK európai parlamenti és tanácsi rendelet 2. cikke alapján közszolgáltatói tevékenységet végeznek; 

iii.az 1008/2008/EK európai parlamenti és tanácsi rendelet 16. cikke alapján közszolgálati kötelezettséget teljesítő légi fuvarozói tevékenységet végeznek; vagy 

iv.a 3577/92/EGK tanácsi rendelet 4. cikke alapján közszolgálati kötelezettséget teljesítő közösségi hajótulajdonosként járnak el; 

c)    kutatási adatoknak minősülnek a 32t. cikkben meghatározott feltételek szerint.

(2) Ez a fejezet nem alkalmazandó a következőkre: 

a)olyan adatokra és dokumentumokra, amelyek rendelkezésre bocsátása kívül esik az érintett közszférabeli szervezeteknek a törvények vagy a tagállam más kötelező erejű rendelkezései által – vagy ilyen rendelkezések hiányában az adott tagállam szokásos igazgatási gyakorlatával összhangban – meghatározott közfeladatain, feltéve, hogy a közfeladatok köre átlátható és felülvizsgálat tárgyát képezi; 

b)a közvállalkozások birtokában lévő adatokra és dokumentumokra, amelyek: 

i.előállítása kívül esik a tagállamok törvényei vagy más kötelező erejű rendelkezései által meghatározottak szerinti általános érdekű szolgáltatások nyújtásán; 

ii.a versenynek közvetlenül kitett tevékenységekhez kapcsolódnak, és ezért a 2014/25/EU irányelv 34. cikke értelmében nem tartoznak a közbeszerzési szabályok hatálya alá; 

c)olyan adatokra és dokumentumokra, mint például az érzékeny adatok, amelyek a nemzetbiztonság (nevezetesen az állam biztonsága), a védelem vagy a közbiztonság védelme miatt nem hozzáférhetők a tagállam hozzáférésre vonatkozó szabályrendszerei alapján;

d)közszolgálati műsorszolgáltatók és leányvállalataik, valamint más szervek és leányvállalataik birtokában lévő olyan adatok és dokumentumok, amelyek a közszolgálati műsorszolgáltatási feladat teljesítéséhez szükségesek.

(3)E fejezet 2. szakasza nem alkalmazandó a következőkre:

a)olyan adatokra vagy dokumentumokra – mint például a különleges adatok –, amelyekhez a hozzáférést a tagállamok hozzáférésre vonatkozó szabályrendszerei kizárják, például a következők alapján:

i.a statisztikai adatokra vonatkozó titoktartás;  

ii.kereskedelmi titoktartás (ideértve az üzleti, a szakmai vagy a vállalati titkokat);  

b)olyan adatokra vagy dokumentumokra, amelyekhez a hozzáférést a tagállamok hozzáférésre vonatkozó szabályrendszerei korlátozzák:

i.ideértve azokat az eseteket is, amikor a polgároknak vagy jogi személyeknek bizonyítaniuk kell, hogy a dokumentumokhoz való hozzáféréshez különös érdekük fűződik;

ii.személyes adatok védelmének indokával, valamint az említett szabályrendszerek értelmében hozzáférhető adatok vagy dokumentumok azon részei védelmének indokával, amelyek olyan személyes adatokat tartalmaznak, amelyek további felhasználása jogszabályi definíció szerint összeegyeztethetetlen a természetes személyeknek a személyes adatok kezelése tekintetében történő védelmére vonatkozó jogszabályokkal, vagy jogszabályi definíció aláássa az egyén magánéletének és integritásának védelmét, különösen a személyes adatok védelmére vonatkozó uniós vagy nemzeti joggal összhangban; a logókra, a címerpajzsokra és a jelvényekre;

c)olyan adatokra vagy dokumentumokra, amelyekhez harmadik személyeknek szellemitulajdon-joga fűződik; 

d)a könyvtárakon – ideértve az egyetemi könyvtárakat is –, a múzeumokon és a levéltárakon kívüli kulturális intézmények birtokában lévő adatokra vagy dokumentumokra;

e)a középfokú és az annál alacsonyabb fokú oktatási intézmények birtokában lévő adatokra vagy dokumentumokra, bármely egyéb oktatási intézmény esetében pedig az (1) bekezdés c) pontjában említettektől eltérő adatokra;

f)a kutatást végző szervezetek és a kutatásfinanszírozó szervezetek – ideértve a kutatási eredmények átadása céljából létrehozott szervezeteket is – birtokában lévő, az (1) bekezdés c) pontjában említettektől eltérő adatokra vagy dokumentumokra;

g)olyan adatokra vagy dokumentumokra, amelyekhez a hozzáférést az (EU) 2022/2557 irányelv 2. cikkének 1. és 4. pontjában meghatározott kritikus szervezetek vagy kritikus infrastruktúrák védelmével kapcsolatos információk miatt zárták ki vagy korlátozták.

(4)E fejezet 3. szakasza nem alkalmazandó a következőkre:

a)a védett adatok bizonyos kategóriáitól eltérő kategóriába eső adatokra és dokumentumokra;

b)a közvállalkozások birtokában lévő adatokra vagy dokumentumokra;

c)a kulturális intézmények és oktatási intézmények birtokában lévő adatokra vagy dokumentumokra;

d)az e fejezet 2. szakaszának hatálya alá tartozó adatokra és dokumentumokra.

(5)Ez a fejezet a hozzáférésre vonatkozó uniós és nemzeti szabályrendszerekre épül, és azokat nem érinti, különösen a hivatalos dokumentumokhoz való hozzáférés biztosítása, illetve azok közzététele tekintetében.

(6)Az ezzel a fejezettel összhangban meghatározott kötelezettségeket annyiban kell alkalmazni, amennyiben azok összeegyeztethetők a szellemitulajdon-jogok védelmére vonatkozó nemzetközi megállapodásokkal, különösen az irodalmi és művészeti művek védelméről szóló Berni Egyezménnyel (a továbbiakban: a Berni Egyezmény), a szellemitulajdon-jogok kereskedelmi vonatkozásairól szóló megállapodással (a továbbiakban: a TRIPS-megállapodás), valamint a Szellemi Tulajdon Világszervezetének Szerzői Jogi Szerződésével (a továbbiakban: a WCT).

(7)A közszférabeli szervezetek nem gyakorolhatják az adatbázis előállítójának a 96/9/EK irányelv 7. cikkének (1) bekezdésében előírt jogát a dokumentumok további felhasználásának megelőzése vagy az e fejezet által megszabott korlátokon túlmenő korlátozása céljából.

(8)Ez a fejezet a tagállamok közszférabeli szervezetei és közvállalkozásai birtokában lévő meglévő adatok és dokumentumok – köztük a 2007/2/EK európai parlamenti és tanácsi irányelv hatálya alá tartozó adatok és dokumentumok – további felhasználását szabályozza.

(9)Ez a fejezet nem érinti a 2. cikk 54. pontjában említett adat- vagy dokumentumkategóriák védelméről szóló uniós és nemzeti jogot, valamint azokat a nemzetközi megállapodásokat, amelyeknek az Unió vagy a tagállamok részes felei.

32j. cikk

A megkülönböztetés tilalma

(1)Az adatok vagy dokumentumok további felhasználására alkalmazandó feltételeknek megkülönböztetéstől mentesnek, arányosnak és objektív módon indokoltnak kell lenniük az adat- vagy dokumentumkategóriák, a további felhasználás céljai, valamint azon adatok vagy dokumentumok jellege tekintetében, amelyek további felhasználása megengedett. Az említett feltételek nem használhatók fel a verseny korlátozására. Ez az elv a további felhasználás összehasonlítható kategóriáira is alkalmazandó, beleértve a határokon átnyúló további felhasználást is. 

(2)Amennyiben az adatoknak vagy dokumentumoknak egy közszférabeli szervezet a továbbfelhasználója olyan kereskedelmi tevékenysége körében, amely kívül esik közfeladatai ellátásán, az e tevékenység céljára rendelkezésre bocsátott adatok vagy dokumentumok tekintetében ugyanazokat a díjakat és feltételeket kell alkalmazni, mint más továbbfelhasználókkal szemben.

32k. cikk

Kizárólagosságot biztosító megállapodások

(1)A dokumentumok vagy adatok további felhasználását minden potenciális piaci szereplő számára lehetővé kell tenni, akkor is, ha egy vagy több piaci szereplő már hasznosít ezen adatokon vagy dokumentumokon alapuló, többletértékkel bíró termékeket. Tilos az adatok vagy dokumentumok további felhasználására vonatkozó olyan megállapodás vagy egyéb megegyezés vagy gyakorlat, amelynek célja vagy hatása kizárólagos jogok biztosítása vagy az adatok vagy dokumentumok további felhasználás céljából történő rendelkezésre állásának korlátozása a szóban forgó megállapodásokban, megegyezésekben vagy gyakorlatokban részt vevő felektől eltérő szervezetek számára.

(2)Az (1) bekezdéstől eltérve, amennyiben egy általános érdekű szolgáltatás nyújtásához kizárólagos jog szükséges, a szóban forgó jog a szolgáltatás nyújtásához vagy a termék értékesítéséhez szükséges mértékben megadható a következő feltételek mellett:

a)a kizárólagos jogot igazgatási intézkedés vagy szerződéses megállapodás biztosítja az alkalmazandó uniós és nemzeti joggal, valamint az átláthatóság, az egyenlő bánásmód és a megkülönböztetésmentesség elvével összhangban;

b)a kizárólagos jogot biztosító megállapodások – beleértve annak indokolását is, hogy miért szükséges a szóban forgó jogot biztosítása – átláthatóak és online nyilvánosan elérhetők, olyan formában, amely megfelel a közbeszerzésre vonatkozó uniós jognak és a nemzeti jognak;

c)a kulturális erőforrások digitalizálásához kapcsolódó kizárólagos jogok kivételével a 2. szakasz hatálya alá tartozó adatokra és dokumentumokra vonatkozó kizárólagos jogok megadása indokának érvényességét rendszeresen, de legalább háromévente felül kell vizsgálni;

d)a 2019. július 16-án vagy azt követően kötött, kizárólagosságot biztosító megállapodásokat legalább két hónappal hatálybalépésük előtt online nyilvánosan elérhetővé kell tenni. Az ilyen megállapodások végső feltételeinek átláthatónak kell lenniük, és azokat online nyilvánosan elérhetővé kell tenni.

(3)Az (1) bekezdéstől eltérően, amennyiben egy kizárólagos jog kulturális erőforrások digitalizálásához kapcsolódik, e kizárólagosság időtartama elvben nem haladhatja meg a tíz évet. Amennyiben ez az időtartam meghaladja a tíz évet, annak összhangban kell lennie az alkalmazandó uniós és nemzeti joggal, és a 11. év során, valamint adott esetben azt követően hétévente felülvizsgálatot kell végrehajtani.

(4)A (3) bekezdésben említett kizárólagos jog esetén az érintett közintézmény a megállapodás részeként térítésmentesen megkapja a digitalizált kulturális erőforrások egy példányát. Ez a példány a kizárólagosságot biztosító időtartam végén rendelkezésre áll a további felhasználásra.

(5)A védett adatok bizonyos kategóriái esetében az adatok további felhasználására vonatkozó kizárólagos jog időtartama nem haladhatja meg a 12 hónapot. Szerződéskötés esetén a szerződés időtartamának a kizárólagos jog időtartamával azonosnak kell lennie.

(6)Az olyan megállapodásokat, megegyezéseket vagy gyakorlatokat, amelyek – anélkül, hogy kifejezett kizárólagos jogot nyújtanának – korlátozni kívánják, vagy észszerűen feltételezhető, hogy korlátozni fogják a 2. szakasz hatálya alá tartozó adatok vagy dokumentumok további felhasználás céljából való hozzáférhetőségét az ilyen megállapodásban részes felektől eltérő jogalanyok számára, legalább két hónappal hatálybalépésük előtt online nyilvánosan elérhetővé kell tenni. Az ilyen jogi vagy gyakorlati megállapodásoknak az adatok további felhasználás céljából való rendelkezésre állására kifejtett hatását rendszeres felülvizsgálatnak kell alávetni, és minden esetben háromévente felül kell vizsgálni. Az ilyen megállapodások végső feltételeinek átláthatónak kell lenniük, és azokat online nyilvánosan elérhetővé kell tenni.

(7)A kizárólagosságot biztosító meglévő megállapodásokra a következők alkalmazandók:

a)a 2. szakasz hatálya alá tartozó, 2013. július 17-én meglévő olyan adatokra és dokumentumokra vonatkozó, közszférabeli szervezetek által kötött, a kizárólagosságot biztosító megállapodások, amelyek nem felelnek meg a (2) és (3) bekezdésben meghatározott kivételeknek, a szerződés lejártakor, de legkésőbb 2043. július 18-án megszűnnek;

b)a 2. szakasz hatálya alá tartozó, 2019. július 16-án meglévő olyan adatokra és dokumentumokra vonatkozó, közvállalkozások által kötött, a kizárólagosságot biztosító megállapodások, amelyek nem felelnek meg a (2) és (3) bekezdésben meghatározott kivételeknek, a szerződés lejártakor, de legkésőbb 2049. július 17-én megszűnnek.

32l. cikk

A díjszabásra vonatkozó általános elvek

(1)A 2. vagy 3. szakaszban meghatározott díjaknak átláthatónak, megkülönböztetéstől mentesnek, arányosnak és objektív módon indokoltnak kell lenniük, továbbá nem korlátozhatják a versenyt.

(2)Ha az adatok vagy a dokumentumok további felhasználására a szokásos díjak vonatkoznak, az alkalmazandó feltételeket és a díjak tényleges összegét – ideértve az ilyen díjak kiszámításának alapját is – előzetesen meg kell állapítani, és – amennyiben lehetséges és észszerű, elektronikus eszközökön keresztül – közzé kell tenni.

(3)A további felhasználás (1) bekezdésben említett díjaitól eltérő díjak esetében a kezdetektől fogva fel kell tüntetni a díjak kiszámítása során figyelembe vett tényezőket. Az említett adatoknak vagy dokumentumok birtokosa kérelemre jelzi azt is, milyen módon számította ki a díjakat a további felhasználásra irányuló adott kérelem tekintetében.

(4)A közszférabeli szervezeteknek biztosítaniuk kell, hogy a díjakat online, széles körben elterjedt, határokon átnyúló pénzforgalmi szolgáltatásokon keresztül is meg lehessen fizetni, aszerinti megkülönböztetés nélkül, hogy az Unióban hol van a pénzforgalmi szolgáltató letelepedési helye, a fizetési eszköz kibocsátási helye vagy a fizetési számla helye. 

32m. cikk

Tájékoztatás a jogorvoslati lehetőségekről

A közszférabeli szervezetek biztosítják, hogy az adatok vagy dokumentumok további felhasználását kérelmezők megfelelő tájékoztatást kapjanak az őket érintő határozatokkal és eljárásokkal szemben igénybe vehető jogorvoslati lehetőségekről.

2. szakasz

A nyílt kormányzati adatok további felhasználása

1. alszakasz Hatály és általános elvek

32n. cikk

A nyílt kormányzati adatok további felhasználásának általános elve

(1)Az e szakasz hatálya alá tartozó adatok és dokumentumok esetében az 1. szakasszal és a 2. szakasz 3. alszakaszával összhangban kereskedelmi vagy nem kereskedelmi célokra történő további felhasználás lehetséges.

(2)A könyvtárak – ideértve az egyetemi könyvtárakat is –, a múzeumok és a levéltárak szellemi tulajdonát képező adatok vagy dokumentumok, valamint a közvállalkozások birtokában lévő adatok és dokumentumok esetében, amennyiben az ilyen adatok vagy dokumentumok további felhasználása megengedett, ezen adatok vagy dokumentumok kereskedelmi vagy nem kereskedelmi célú további felhasználására az 1. szakasszal és a 2. szakasz 3. alszakaszával összhangban kerül sor.

2. alszakasz

További felhasználás iránti kérelmek

32o. cikk

A további felhasználás iránti kérelmek kezelése

(1)A további felhasználás iránti kérelmek – amennyiben ez lehetséges és észszerű, elektronikus eszközökön keresztül történő – kezelésére és a dokumentumoknak további felhasználás céljából a kérelmező rendelkezésére bocsátására, illetve – amennyiben felhasználási engedély szükséges – a végleges felhasználási engedélyre vonatkozó ajánlat megtételére a közszférabeli szervezeteknek észszerű határidőt kell biztosítaniuk, amely összhangban áll az adatokhoz vagy a dokumentumokhoz való hozzáférés iránti kérelmek feldolgozásának határidejével. 

(2)Ha az adatok vagy dokumentumok időbeni rendelkezésre bocsátására nem állapítottak meg határidőt vagy egyéb szabályokat, a közszférabeli szervezeteknek a lehető leghamarabb, de legkésőbb a kérelem kézhezvételétől számított 20 munkanapon belül fel kell dolgozniuk a kérelmeket, és az adatokat és a dokumentumokat további felhasználás céljára a kérelmező rendelkezésére kell bocsátaniuk, illetve, amennyiben felhasználási engedély szükséges, a kérelmező részére egy végleges felhasználási engedélyre vonatkozó ajánlatot kell tenniük. Ezt a határidőt terjedelmes vagy összetett kérelmek esetében további 20 munkanappal meg lehet hosszabbítani. Ilyen esetekben a kérelmezőt a lehető leghamarabb, de minden esetben az eredeti kérelemtől számított három héten belül értesíteni kell arról, hogy a kérelem kezelése több időt vesz igénybe, valamint ennek okairól. 

(3)Elutasító határozat esetén a közszférabeli szervezeteknek közölniük kell a kérelmezővel az elutasítás indokait az adott tagállam hozzáférésre vonatkozó szabályrendszerének releváns rendelkezései vagy e rendelet rendelkezései, különösen a 32i. cikk (2) bekezdésének a)–c) pontja és a 32i. cikk (3) bekezdésének a)–d) pontja vagy a 32n. cikk (a nyílt hozzáférésű adatokról szóló irányelv általános elvére vonatkozó szakasz) alapján. Ha az elutasító határozat a 32i. cikk (3) bekezdésének d) pontján alapul, a közszférabeli szervezetnek a határozatban hivatkoznia kell a jogosult természetes vagy jogi személyre, amennyiben az ismert, vagy adott esetben a felhasználási engedélyt adó személyre, akitől a közszférabeli szervezet az érintett anyagot kapta. A könyvtáraknak – ideértve az egyetemi könyvtárakat is –, a múzeumoknak és a levéltáraknak nem kell ilyen hivatkozást tenniük.

(4)Jogorvoslati lehetőség többek között a megfelelő szakértelemmel rendelkező és az érintett közszférabeli szervezetre nézve kötelező határozatot hozni képes pártatlan felülvizsgálati szerv – például a nemzeti versenyhatóság, az adatokhoz vagy a dokumentumokhoz való hozzáférésért felelős megfelelő hatóság, az (EU) 2016/679 rendelettel összhangban létrehozott valamely felügyeleti hatóság vagy valamely nemzeti igazságügyi hatóság – általi felülvizsgálat is. 

(5)A tagállamok e cikk alkalmazásában gyakorlati intézkedéseket határoznak meg abból a célból, hogy elősegítsék az adatok vagy dokumentumok további hatékony felhasználását. Ezen intézkedések közé tartozhatnak különösen az ezen rendeletben foglalt jogokról való megfelelő tájékoztatás nyújtására vonatkozó részletes szabályok, valamint a megfelelő segítségnyújtás és iránymutatás.

(6)E cikk nem alkalmazandó a következőkre:

a)a közvállalkozások; 

b)az oktatási intézmények, a kutatást végző szervezetek és a kutatásfinanszírozó szervezetek. 

3. alszakasz

A további felhasználás feltételei

32p. cikk

Rendelkezésre álló formátumok

(1)Az 5. alszakasz sérelme nélkül a közszférabeli szervezetek és a közvállalkozások adataikat és dokumentumaikat a meglévő formátumban és nyelven, lehetőség szerint és adott esetben elektronikus eszközök révén, olyan formátumban bocsátják rendelkezésre a hozzájuk tartozó metaadatokkal együtt, amely nyílt, géppel olvasható, hozzáférhető, fellelhető és tovább felhasználható. Mind a formátumnak, mind a metaadatoknak lehetőség szerint meg kell felelniük a hivatalos nyílt szabványoknak. 

(2)A tagállamok ösztönzik a közszférabeli szervezeteket és a közvállalkozásokat, hogy az e szakasz hatálya alá tartozó adatokat vagy dokumentumokat a „beépített és alapértelmezett módon nyílt adatok” elvével összhangban állítsák elő és tegyék elérhetővé. 

(3)Az (1) bekezdés nem jelent kötelezettséget a közszférabeli szervezet számára arra, hogy az említett bekezdésnek való megfelelés érdekében létrehozza vagy átalakítsa az adatokat vagy a dokumentumokat, illetve azokból kivonatot készítsen, amennyiben ez aránytalan, egy egyszerű műveleten túlmutató erőfeszítést jelentene. 

(4)A közszférabeli szervezetek nem kötelezhetők bizonyos típusú dokumentum előállításának és tárolásának folytatására azzal a céllal, hogy az ilyen adatokat vagy dokumentumokat a magán- vagy közszféra szervezetei tovább felhasználják.

(5)A közszférabeli szervezetek a dinamikus adatokat közvetlenül azok gyűjtése után, a megfelelő alkalmazásprogramozási interfészeken keresztül és adott esetben csoportos letöltésre alkalmas módon kötelesek további felhasználásra hozzáférhetővé tenni. 

(6)Ha a dinamikus adatoknak közvetlenül azok gyűjtése utáni további felhasználás céljára való, (5) bekezdésben említett hozzáférhetővé tétele meghaladná a közszférabeli szervezet pénzügyi vagy technikai kapacitásait és így aránytalan erőfeszítést tenne szükségessé, a dinamikus adatokat egy olyan időkereten belül vagy olyan ideiglenes technikai korlátozásokkal kell további felhasználás céljára hozzáférhetővé tenni, amely nem akadályozza szükségtelenül e dinamikus adatok gazdasági és társadalmi potenciáljának kiaknázását. 

(7)Az (1)–(6) bekezdést a közvállalkozásoknál lévő, további felhasználás céljára hozzáférhető adatokra vagy dokumentumokra alkalmazni kell. 

(8)A 32v. cikk (1) bekezdésével összhangban jegyzékbe vett nagy értékű adatkészleteket géppel olvasható formátumban, a megfelelő alkalmazásprogramozási interfészeken keresztül és adott esetben csoportos letöltésre alkalmas módon kell további felhasználás céljára hozzáférhetővé tenni. 

32q. cikk

A nyílt kormányzati adatokért felszámított díjakra irányadó elvek

(1)Az e szakasz hatálya alá tartozó adatok vagy dokumentumok további felhasználása ingyenes. Engedélyezhető azonban, hogy az adatok birtokában lévő közszférabeli szervezet megtéríttesse a szóban forgó adatok vagy dokumentumok sokszorosításával, szolgáltatásával és terjesztésével, valamint a személyes adatok anonimizálásával és a kereskedelmileg bizalmas információk védelme érdekében hozott intézkedésekkel kapcsolatban felmerült határköltségeket.

(2)Az (1) bekezdés nem alkalmazandó a következő szervezetekre:

a)azokra a közszférabeli szervezetekre, amelyeknek közfeladataik ellátásával összefüggő költségeik jelentős részét saját bevételből kell fedezniük;

b)a könyvtárakra – ideértve az egyetemi könyvtárakat is –, a múzeumokra és a levéltárakra;

c)a közvállalkozásokra.

(3)A tagállamok online közzéteszik a (2) bekezdés a) pontjában említett közszférabeli szervezetekre vonatkozó jegyzéket.

(4)A (2) bekezdés a) és c) pontjában említett esetekben a teljes díjat objektív, átlátható és ellenőrizhető kritériumok alapján kell kiszámítani. A kritériumokat a tagállamok állapítják meg. A vonatkozó elszámolási időszakban az adatok vagy dokumentumok rendelkezésre bocsátásából és további felhasználásának engedélyezéséből eredő teljes bevétel észszerű megtérüléssel együtt sem haladhatja meg a dokumentumok gyűjtésének, előállításának, sokszorosításának, terjesztésének és az adattárolásnak, valamint – adott esetben – a személyes adatok anonimizálásának és a kereskedelmileg bizalmas információk védelme érdekében hozott intézkedéseknek a költségét. A díjakat az alkalmazandó számviteli szabályokkal összhangban kell kiszámítani.

(5)A (2) bekezdés b) pontjában említett közszférabeli szervezet általi díjszedés esetén a vonatkozó elszámolási időszakban az adatok vagy dokumentumok rendelkezésre bocsátásából és további felhasználásának engedélyezéséből eredő teljes bevétel észszerű megtérüléssel együtt sem haladhatja meg a dokumentumok gyűjtésének, előállításának, sokszorosításának, terjesztésének, az adattárolásnak, a megőrzésnek és a szerzői jogi engedélyeztetésnek, valamint – adott esetben – a személyes adatok anonimizálásának és a kereskedelmileg bizalmas információk védelme érdekében hozott intézkedéseknek a költségét. A díjakat az érintett közszférabeli szervezetekre vonatkozó számviteli szabályokkal összhangban kell kiszámítani.

(6)A közszférabeli szervezetek az adatok és dokumentumok nagyon nagy vállalkozások általi további felhasználásáért az (1), (4) és (5) bekezdésben előírt díjaknál magasabb díjakat is megállapíthatnak. E díjnak minden esetben arányosnak kell lennie, és objektív kritériumokon kell alapulnia, figyelembe véve a gazdasági erőt vagy a szervezet adatszerzésre való képességét, beleértve különösen az (EU) 2022/1925 rendelet szerinti kapuőrré minősítést. Az e cikk (1) bekezdésében felsorolt elemeken túlmenően a szóban forgó díjak fedezhetik a gyűjtés, az előállítás, a sokszorosítás, a terjesztés, az adattárolás és adott esetben az anonimizálás vagy az adatok vagy dokumentumok bizalmas jellegének védelmét célzó intézkedések költségeit, a befektetés észszerű megtérülésével együtt.

(7)A felhasználó számára a további felhasználás díjmentes az alábbiak vonatkozásában:

a)a 32v. cikk (3), (4) és (5) bekezdésében foglaltakra figyelemmel az ugyanazon cikk (1) bekezdésével összhangban felsorolt nagy értékű adatkészletek;

b)a 32i. cikk (1) bekezdésének c) pontjában említett kutatási adatok.

32r. cikk

Standard felhasználási engedélyek

(1)Az adatok vagy dokumentumok további felhasználása nem köthető feltételekhez, kivéve, ha az ilyen feltételek objektívek, arányosak, megkülönböztetésmentesek és azokat valamely közérdekű cél indokolja. 

(2)Ha az adatok vagy dokumentumok további felhasználása feltételekhez kötött, e feltételek nem korlátozhatják szükségtelenül a további felhasználás lehetőségeit, és nem használhatók fel a verseny korlátozására. 

(3)Azokban a tagállamokban, ahol felhasználási szerződések alkalmazására kerül sor, a közszférabeli szervezeteknek biztosítaniuk kell, hogy a közszféra adatainak vagy dokumentumainak további felhasználására – az egyedi felhasználási kérelmekhez igazítható – vonatkozó általános felhasználási szerződési feltételek digitális formátumban elérhetők és elektronikusan feldolgozhatók legyenek.

(4)A közszférabeli szervezetek különleges feltételeket állapíthatnak meg az adatok és dokumentumok nagyon nagy vállalkozások általi további felhasználására vonatkozóan. E feltételeknek arányosaknak kell lenniük, és objektív kritériumokon kell alapulniuk. E feltételek megállapítása során figyelembe kell venni a gazdasági erőt, a szervezet adatszerzésre való képességét, beleértve különösen az (EU) 2022/1925 rendelet szerinti kapuőrré minősítést.

32s. cikk

Gyakorlati intézkedések

(1)A tagállamok olyan, a további felhasználásra rendelkezésre álló adatok vagy dokumentumok keresését megkönnyítő gyakorlati intézkedéseket hoznak, mint a fő adatokat vagy dokumentumokat metaadataikkal együtt tartalmazó, amennyiben lehetséges és szükséges online módon és számítógéppel olvasható formátumban elérhető jegyzékek, illetve a jegyzékekkel összekapcsolt internetes portálok. A tagállamok lehetőség szerint elősegítik az adatok és a dokumentumok nyelvek közötti keresését, mindenekelőtt a metaadatok uniós szintű összesítésének lehetővé tételével.

A tagállamok emellett ösztönzik a közszférabeli szervezeteket, hogy hozzanak olyan gyakorlati intézkedéseket, amelyek elősegítik a további felhasználás céljára rendelkezésre álló adatok vagy dokumentumok megőrzését. 

(2)A tagállamok a Bizottsággal együttműködésben további erőfeszítéseket tesznek annak érdekében, hogy egyszerűsítsék a hozzáférést az adatkészletekhez – többek között azáltal, hogy egységes hozzáférési pontot biztosítanak, és fokozatosan hozzáférhetővé teszik a közszférabeli szervezeteknél meglévő megfelelő adatkészleteket minden olyan adat vagy dokumentum tekintetében, amelyre ez a szakasz alkalmazandó –, valamint az uniós intézményeknél meglévő adatokhoz, olyan formátumokban, amelyek elektronikus eszközökön keresztül hozzáférhetők, könnyen fellelhetők és tovább felhasználhatók. 

4. alszakasz

Kutatási adatok

32t. cikk

Kutatási adatok

(1)A tagállamok – az „alapértelmezetten nyílt” elvet követve, valamint a FAIR-elveknek megfelelően – a közfinanszírozású kutatási adatok nyílt hozzáférését célzó nemzeti szakpolitikák (a továbbiakban: a nyílt hozzáférésre vonatkozó szakpolitikák) és releváns intézkedések elfogadásával támogatják a kutatási adatok hozzáférhetőségét Ennek keretében „a szükséges zártság melletti lehető legnagyobb mértékű nyitottság” elvének megfelelően figyelembe kell venni a szellemi tulajdonhoz fűződő jogokkal, a személyes adatok védelmével, a titoktartással, a biztonsággal, valamint a jogos kereskedelmi érdekekkel kapcsolatos szempontokat. E nyílt hozzáférésre vonatkozó szakpolitikákat a kutatást végző szervezeteknek és a kutatást finanszírozó szervezeteknek kell címezni. 

(2)A 32n. cikk (3) bekezdése d) pontjának sérelme nélkül a kutatási adatoknak az 1. szakasszal, valamint a 2. szakasz 3. alszakaszával összhangban továbbfelhasználhatóknak kell lenniük kereskedelmi vagy nem kereskedelmi célokra, amennyiben közfinanszírozásúak és azokat a kutatók, a kutatást végző szervezetek vagy a kutatásfinanszírozó szervezetek intézményi vagy tematikus adattárakon keresztül már nyilvánosságra hozták. Ezzel összefüggésben figyelembe kell venni a jogos kereskedelmi érdekeket, a tudástranszferrel kapcsolatos tevékenységeket és a fennálló szellemi tulajdonhoz fűződő jogokat.

5. alszakasz

Nagy értékű adatkészletek

32u. cikk

A nagy értékű adatkészletek tematikus kategóriai

(1)A nagy értékű adatkészletek tematikus kategóriáit az I. melléklet határozza meg. 

(2)A Bizottság felhatalmazást kap arra, hogy a 45. cikk (2a) bekezdésének megfelelően felhatalmazáson alapuló jogi aktusokat fogadjon el az I. melléklet olyan módosítására vonatkozóan, hogy azt a technológiai és piaci fejlemények figyelembevétele mellett a nagy értékű adatkészletek új tematikus kategóriáival egészítse ki. 

32v. cikk

A konkrét nagy értékű adatkészletek és a nyilvánosságra hozatalra és a további felhasználásra vonatkozó szabályok

(1)A Bizottság végrehajtási jogi aktusokat fogad el, amelyekben összeállítja az ezen szakasz hatálya alá tartozó adatok vagy dokumentumok közül az I. mellékletben meghatározott kategóriákba tartozó, azon konkrét nagy értékű adatkészletek jegyzékét, amelyeket közszférabeli szervezetek és közvállalkozások birtokolnak.

E konkrét nagy értékű adatkészleteket:

a)a (3), (4) és (5) bekezdésre is figyelemmel díjmentesen;

b)géppel olvasható formában;

c)alkalmazásprogramozási interfészeken keresztül kell rendelkezésre bocsátani; és

d)adott esetben csoportos letöltésre alkalmas módon kell rendelkezésre bocsátani.

Ezekben a végrehajtási jogi aktusokban a Bizottság meghatározhatja a nagy értékű adatkészletek nyilvánosságra hozatalára és további felhasználására vonatkozó részletes szabályokat. E szabályoknak összhangban kell állniuk a nyílt standard felhasználási engedélyekkel.

E szabályokban meg lehet határozni a további felhasználásra vonatkozó feltételeket, az adatformátumokat és a metaadat-formátumokat, valamint a terjesztés technikai szabályait. A tagállamok által tett, a nyílt hozzáférésű adatokra vonatkozó megközelítésekkel – például egyes szabványok kidolgozásával és bevezetésével – kapcsolatos beruházásokat figyelembe kell venni, és azokat egyensúlyba kell hozni a jegyzékbe való esetleges felvétel előnyeivel.

Ezeket a végrehajtási jogi aktusokat a 46. cikk (2) bekezdésében említett vizsgálóbizottsági eljárás keretében kell elfogadni.

(2)A konkrét nagy értékű adatkészleteknek az (1) bekezdésben említett meghatározását annak értékelése alapján kell elvégezni, hogy potenciálisan alkalmasak-e az alábbiakra:

a)jelentős társadalmi-gazdasági vagy környezeti előnyöket és innovatív szolgáltatásokat generálhatnak;

b)nagyszámú felhasználó – különösen a kkv-k és a kis méretű, közepes piaci tőkeértékű vállalatok – számára lehetnek előnyösek;

c)segíthetik a bevételek termelését; és

d)egyéb adatkészletekkel kombinálhatók.

Az ilyen konkrét nagy értékű adatkészletek azonosítása céljából a Bizottság megfelelő konzultációkat folytat, többek között szakértői szinten, hatásvizsgálatot végez, és biztosítja a komplementaritást a meglévő jogi aktusokkal – például a 2010/40/EU európai parlamenti és tanácsi irányelvvel – az adatok vagy dokumentumok további felhasználása tekintetében. A hatásvizsgálat keretében költség-haszon elemzést is kell végezni, és azt is elemezni kell, hogy amennyiben azok a közszférabeli szervezetek, amelyeknek a közfeladataik ellátásával összefüggő költségeik jelentős részét saját bevételből kell fedezniük, díjmentesen bocsátják rendelkezésre a nagy értékű adatkészleteket, az nem befolyásolja-e lényegesen az ilyen szervek költségvetését. A közvállalkozások birtokában lévő nagy értékű adatkészleteket illetően a hatásvizsgálat kiemelt figyelmet fordít a közvállalkozások versenyképes gazdasági környezetben betöltött szerepére.

(3)Az (1) bekezdés második albekezdésének a) pontjától eltérően, az (1) bekezdésben említett végrehajtási jogi aktusok akként kell, hogy rendelkezzenek, hogy a nagy értékű adatkészletek díjmentes rendelkezésre bocsátása nem vonatkozhat a közvállalkozások bizonyos nagy értékű adatkészleteire, ha az torzítaná a versenyt az adott piacokon.

(4)A nagy értékű adatkészletek díjmentes rendelkezésre bocsátására vonatkozó, az (1) bekezdés második albekezdésének a) pontja szerinti követelmény nem alkalmazandó a könyvtárakra – ideértve az egyetemi könyvtárakat is –, a múzeumokra és a levéltárakra.

(5)Ha a nagy értékű adatkészletek díjmentes rendelkezésre bocsátása azon közszférabeli szervezetek által, amelyeknek a közfeladataik ellátásával összefüggő költségeik jelentős részét saját bevételből kell fedezniük, lényegesen befolyásolná az érintett szervek költségvetését, a tagállamok – az (1) bekezdéssel összhangban elfogadott végrehajtási jogi aktus hatálybalépését követő legfeljebb kétéves időtartamra – mentesíthetik ezeket a szervezeteket azon kötelezettség alól, hogy díjmentesen bocsássák rendelkezésre ezeket a nagy értékű adatkészleteket.

3. szakasz

A közszférabeli szervezetek birtokában lévő védett adatok bizonyos kategóriáinak további felhasználása

32w. cikk

A további felhasználás feltételei

(1)Azoknak a közszférabeli szervezeteknek, amelyek a nemzeti jog szerint hatáskörrel rendelkeznek a védett adatok bizonyos kategóriáiba tartozó adatok vagy dokumentumok további felhasználása céljából történő hozzáférés megadására vagy megtagadására, nyilvánosan hozzáférhetővé kell tenniük az ilyen további felhasználás engedélyezésének és a további felhasználás 32aa. cikkben említett egyablakos információs ponton keresztül történő kérelmezésére vonatkozó eljárásnak a feltételeit. A közszférabeli szervezeteket a további felhasználás céljából történő hozzáférés megadása vagy megtagadása érdekében való eljárásuk során a 32z. cikk (1) bekezdésében említett illetékes szervek segíthetik.

A tagállamok biztosítják, hogy a közszférabeli szervezetek rendelkeznek az e cikknek és a 32x. cikknek való megfeleléshez szükséges erőforrásokkal.

(2)Az adatok vagy dokumentumok további felhasználása nem érinti ezen adatok vagy dokumentumok védett jellegét, és csak a következők szerint engedélyezhető:

a)a szellemitulajdon-jogokkal összhangban;

b)abban az esetben, ha a kereskedelmi adatokra vonatkozó titoktartásra és a statisztikai adatvédelemre vonatkozó uniós vagy nemzeti jog értelmében bizalmasnak minősülő adatokat nem hozzák nyilvánosságra a további felhasználás engedélyezése miatt, kivéve, ha a szóban forgó további felhasználás az érintett hozzájárulása vagy az adatbirtokos engedélye alapján az (5) bekezdés szerint megengedett;

c) az (EU) 2016/679 rendelettel összhangban.

(3)A védett jelleg (2) bekezdésben említett megőrzésének biztosítása érdekében a közszférabeli szervezetek a következő követelményeket állapíthatják meg:

a)adatok vagy dokumentumok további felhasználása céljából csak akkor biztosítható hozzáférés, ha a közszférabeli szervezet vagy az illetékes szerv a további felhasználás iránti kérelmet követően megbizonyosodott afelől, hogy az említett adatokat vagy dokumentumokat:

i.anonimizálták a személyes adatok esetében;

ii.a személyes adatok az előkészítésének egyéb formáinak vetették alá;

iii.módosították, összesítették vagy az adatfelfedés elleni védelmet szolgáló bármely más módszerrel kezelték bizalmas üzleti információk – többek között üzleti titkok vagy szellemitulajdon-jogok által védett tartalmak – esetében;

b)az adatokhoz vagy dokumentumokhoz való hozzáférés és azok további felhasználása távoli eléréssel a közszférabeli szervezet által biztosított vagy ellenőrzött biztonságos adatkezelési környezetben történhet meg;

c)az adatokhoz vagy dokumentumokhoz való hozzáférés és azok további felhasználása azon a fizikai létesítményen belül történhet meg, amelyben magas szintű biztonsági előírásoknak megfelelően a biztonságos adatkezelési környezet található, feltéve, hogy a távoli hozzáférés nem engedélyezhető harmadik felek jogainak és érdekeinek veszélyeztetése nélkül.

Az első albekezdés a) pontjának i. alpontjával összhangban engedélyezett további felhasználás esetén az adatok vagy dokumentumok további felhasználására a nyílt kormányzati adatokra vonatkozóan a 2. szakaszban megállapított szabályok vonatkoznak. Ez nem érinti a 32y. cikket, amely ellentmondás esetén irányadó.

A további felhasználásnak az első albekezdés b) és c) pontja szerinti engedélyezése esetén a közszférabeli szervezeteknek olyan feltételeket kell szabniuk, amelyek megőrzik az alkalmazott biztonságos adatkezelési környezet műszaki rendszerei működésének integritását.

(4)A közszférabeli szervezet fenntartja magának a jogot, hogy az adatok vagy dokumentumok védelme integritásának megőrzése érdekében ellenőrizze az adatok vagy dokumentumok továbbfelhasználó általi kezelésének folyamatát, eszközeit és eredményeit. Fenntartja továbbá a jogot arra, hogy megtiltsa az olyan eredmények felhasználását, amelyek harmadik felek jogait és érdekeit veszélyeztető információkat tartalmaznak. Az eredmények felhasználásának tilalmára vonatkozó döntésnek érthetőnek és átláthatónak kell lennie a továbbfelhasználó számára.

Amennyiben a nemzeti jog nem ír elő konkrét biztosítékokat a védett adatok bizonyos kategóriáinak további felhasználásával kapcsolatban alkalmazandó titoktartási kötelezettségekre vonatkozóan, a közszférabeli szervezetnek ahhoz a feltételhez kell kötnie a (3) bekezdésével összhangban nyújtott adatok vagy dokumentumok további felhasználását, hogy a továbbfelhasználó betartja az azt előíró titoktartási kötelezettséget, hogy tilos a harmadik felek jogait és érdekeit veszélyeztető minden olyan információ közzététele, amelyhez a továbbfelhasználó az alkalmazott biztosítékok ellenére juthatott hozzá. Nem személyes adatok jogosulatlan további felhasználásának esetében a továbbfelhasználó késedelem nélkül – adott esetben a közszférabeli szervezet segítségével – tájékoztatni köteles azokat a természetes vagy jogi személyeket, akik vagy amelyek jogait és érdekeit ez érintheti.

(5)Abban az esetben, ha az adatok vagy dokumentumok további felhasználása a (3) és (4) bekezdéssel összhangban nem engedélyezhető, a további felhasználás csak a következők szerint lehetséges:

a)az érintettek hozzájárulásával abban az esetben, ha az adattovábbításnak az (EU) 2016/679 rendelet szerinti hozzájáruláson kívül más jogalapja nincs;   

b)azon adatbirtokosok engedélyével, akiknek jogait és érdekeit a szóban forgó további felhasználás érintheti.

A közszférabeli szervezetnek az uniós és a nemzeti joggal összhangban minden tőle telhetőt meg kell tennie annak érdekében, hogy segítséget nyújtson a potenciális továbbfelhasználóknak azon érintettek hozzájárulásának vagy azon adatbirtokosok engedélyének kérelmezésében, akiknek jogait és érdekeit a szóban forgó további felhasználás érintheti, amennyiben ez nem ró aránytalan terhet a közszférabeli szervezetre.   

A közszférabeli szervezetet az említett segítségnyújtás során a 32z. cikkben említett illetékes szervek segíthetik. 

32x. cikk

A nem személyes adatok további felhasználók általi, harmadik országok részére történő továbbítására vonatkozó követelmények

(1)Amennyiben egy továbbfelhasználó nem személyes adatok bizonyos kategóriáit egy harmadik ország részére szándékozik továbbítani, az adatok további felhasználása kérelmezésének időpontjában tájékoztatnia kell a közszférabeli szervezetet az ilyen adatok továbbítására irányuló szándékáról, valamint e továbbítás céljáról. Az adatbirtokosok engedélyének alapján történő további felhasználás esetében a továbbfelhasználónak – adott esetben a közszférabeli szervezet segítségével – tájékoztatnia kell ezen szándékról, célról és a megfelelő biztosítékokról azon természetes vagy jogi személyt, akinek vagy amelynek a jogait és érdekeit ez érintheti. A közszférabeli szervezet csak abban az esetben engedélyezheti a további felhasználást, ha a természetes vagy jogi személy engedélyt ad a továbbításra.

(2)A közszférabeli szervezetek kizárólag akkor továbbíthatnak nem személyes bizalmas adatokat vagy szellemitulajdon-jogokkal védett adatokat egy olyan továbbfelhasználónak, aki ezen adatokat a (7) bekezdés szerint kijelölt országoktól eltérő harmadik országba szándékozik továbbítani, ha a továbbfelhasználó szerződéses kötelezettséget vállal a következőkre:

a)a szellemitulajdon-jogokkal, valamint a kereskedelmi adatokra vonatkozó titoktartásról és a statisztikai adatvédelemről szóló uniós vagy nemzeti joggal összhangban előírt kötelezettségeknek való megfelelés, az adatok harmadik országba történő továbbítását követően is;

b)a továbbító közszférabeli szervezet tagállama bíróságai vagy igazságszolgáltatási fórumai joghatóságának elfogadása a szellemitulajdon-jogoknak, valamint a kereskedelmi adatokra vonatkozó titoktartásról és a statisztikai adatvédelemről szóló uniós vagy nemzeti jognak való megfeleléssel kapcsolatos viták tekintetében.

(3)A Bizottság végrehajtási jogi aktusokat fogadhat el, amelyekben az e cikk (2) bekezdésében említett kötelezettségeknek való megfelelést szolgáló minta-szerződésifeltételeket állapít meg. Ezeket a végrehajtási jogi aktusokat a 46. cikk (2) bekezdésében említett vizsgálóbizottsági eljárás keretében kell elfogadni.

(4)A közszférabeli szervezeteknek adott esetben és lehetőségeik mértékéig iránymutatást és segítséget kell nyújtaniuk a továbbfelhasználók számára ahhoz, hogy megfeleljenek a 2. cikkben említett kötelezettségeknek.

(5)Amennyiben a nem személyes adatok bizonyos harmadik országokban való további felhasználására vonatkozóan Unió-szerte benyújtott kérelmek jelentős száma indokolja, a Bizottság végrehajtási jogi aktusokat fogadhat el, amelyekben megállapítja, hogy valamely harmadik ország jogi, felügyeleti és végrehajtási kerete:

a)a szellemi tulajdon és az üzleti titkok védelmét az uniós jog által biztosított oltalommal lényegében egyenértékű módon biztosítja;

b)hatékonyan alkalmazott és végrehajtott; és

c)hatékony bírósági jogorvoslatot biztosít.

(6)Ezeket a végrehajtási jogi aktusokat a 46. cikk (2) bekezdésében említett vizsgálóbizottsági eljárás keretében kell elfogadni.

(7)Adott uniós jogalkotási aktusok a közszférabeli szervezetek birtokában lévő, nem személyes adatok kategóriáit e cikk alkalmazásában rendkívül érzékenynek minősíthetik, amennyiben azok harmadik országokba történő továbbítása veszélyeztetheti az Unió közpolitikai célkitűzéseit – például a biztonságot és a népegészséget – vagy a nem személyes, anonimizált adatok anonim jellege megszüntetésének kockázatát idézheti elő. Amennyiben ilyen jogi aktus elfogadására kerül sor, a Bizottság a 45. cikkel összhangban felhatalmazáson alapuló jogi aktusokat fogad el, amelyek ezt a rendeletet az ilyen adatok harmadik országokba történő továbbítására alkalmazandó különleges feltételek megállapítása révén kiegészítik.

Amennyiben az első albekezdésben említett adott uniós jogalkotási aktus ezt előírja, e különleges feltételek között szerepelhetnek a továbbításra alkalmazandó feltételek vagy az ezzel kapcsolatos technikai intézkedések, az adatok harmadik országokban történő további felhasználására vonatkozó korlátozások vagy azon személyek kategóriái, akik jogosultak az említett adatok harmadik országokba történő továbbítására, vagy kivételes esetekben a harmadik országokba történő továbbításra vonatkozó korlátozások.

A továbbfelhasználó, akinek vagy amelynek a nem személyes adatok további felhasználásának jogát megadták, az adatokat csak olyan harmadik országokba továbbíthatja, amelyek tekintetében teljesülnek a (2), a (4) és az (5) bekezdésben foglalt követelmények. 

32y. cikk

Díjak

(1)Azok a közszférabeli szervezetek, amelyek engedélyezik a védett adatok bizonyos kategóriáinak további felhasználását, díjat számíthatnak fel a szóban forgó adatok további felhasználásának engedélyezéséért.

(2)Amennyiben a közszférabeli szervezetek díjat számítanak fel, intézkedéseket kell hozniuk, hogy ösztönzőket nyújtsanak a védett adatok bizonyos kategóriáinak nem kereskedelmi célú, például tudományos kutatási célú, valamint az induló innovatív vállalkozások, a kkv-k és a kis méretű, közepes piaci tőkeértékű vállalatok általi további felhasználására, az uniós állami támogatási szabályokkal összhangban. E tekintetben a közszférabeli szervezetek az adatokat kedvezményes díjért vagy díjmentesen is rendelkezésre bocsáthatják, különösen induló innovatív vállalkozások, kkv-k és a kis méretű, közepes piaci tőkeértékű vállalatok, a civil társadalom, valamint a kutatási és oktatási intézmények számára. E célból a közszférabeli szervezetek összeállíthatják a továbbfelhasználók azon kategóriáinak listáját, akik vagy amelyek számára az adatokat vagy a dokumentumokat kedvezményes díj ellenében vagy díjmentesen bocsátják rendelkezésre. Ezt a listát – az összeállításához használt kritériumokkal együtt – nyilvánosságra kell hozni.

(3)A díjakat a védett adatok bizonyos kategóriáinak további felhasználása iránti kérelmekre vonatkozó eljárás lefolytatásához kapcsolódó költségek alapján kell kiszámítani; és azoknak a következőkkel kapcsolatban felmerülő, szükséges költségekre kell korlátozódniuk:

a)az adatok sokszorosítása, szolgáltatása és terjesztése;

b)szerzői jogi engedélyeztetés;

c)a személyes és a bizalmas üzleti adatoknak a 32w. cikk (3) bekezdésében [a további felhasználás feltételei] előírt anonimizálása vagy egyéb előkészítési módja;

d)a biztonságos adatkezelési környezet karbantartása;

e)az e szakasz szerinti további felhasználás engedélyezésére való jognak a közszférán kívüli harmadik felektől történő megszerzése; és a továbbfelhasználók abban való segítése, hogy azon érintettektől hozzájárulást, illetve azon adatbirtokosoktól) engedélyt kérjenek, akiknek a jogait és érdekeit az ilyen további felhasználás érintheti.

(4)A díjak kiszámítására vonatkozó kritériumokat és módszertant a tagállamok állapítják meg, és hozzák nyilvánosságra. A közszférabeli szervezetnek közzé kell tennie a költségek fő kategóriáinak a leírását és a költségek felosztására alkalmazott szabályokat.

(5)A közszférabeli szervezetek objektív kritériumok alapján – figyelembe véve a gazdasági erőt, a szervezet adatszerzésre való képességét beleértve különösen az (EU) 2022/1925 rendelet szerinti kapuőrré minősítést – az e cikk (2) és (3) bekezdésével összhangban engedélyezett díjaknál magasabb díjakat is felszámíthatnak a nagyon nagy vállalkozások felé. Az így kiszámított díjnak minden esetben arányosnak kell lennie. Az e cikk (3) bekezdésében felsorolt elemeken túlmenően a szóban forgó díjak fedezhetik az adatgyűjtés és -előállítás költségeit, a befektetés észszerű megtérülésével együtt.

32z. cikk

Illetékes szervek

(1)Az e cikkben említett feladatok ellátása céljából minden tagállam a 37. cikk (1) bekezdésével összhangban kijelöl egy vagy több illetékes szervet, amelyek bizonyos ágazatok tekintetében lehetnek illetékesek, de amelyeknek együttesen valamennyi ágazatot le kell fedniük, abból a célból, hogy segítsék azokat a közszférabeli szervezeteket, amelyek a védett adatok bizonyos kategóriáinak további felhasználása céljából történő hozzáférést megadják vagy megtagadják. A tagállamok létrehozhatnak egy vagy több új illetékes szervet, vagy támaszkodhatnak olyan, már meglévő közszférabeli szervezetekre vagy közszférabeli szervezetek belső szolgálataira, amelyek teljesítik az e szakaszban megállapított feltételeket.

(2)Az illetékes szerveket meg lehet bízni azzal, hogy hozzáférést adjanak – az említett hozzáférés megadásáról rendelkező uniós vagy nemzeti jog alapján – a védett adatok bizonyos kategóriáinak további felhasználása céljából. A további felhasználás céljából történő hozzáférés engedélyezése vagy megtagadása esetén a szóban forgó illetékes szervek a 32k., a 32w., a 32x., a 32y. és a 32ab. cikk hatálya alá tartoznak.

(3)Az illetékes szerveknek megfelelő jogi, pénzügyi, technikai és humán erőforrásokkal kell rendelkezniük ahhoz, hogy a rájuk bízott feladatokat el tudják látni, ideértve az ahhoz szükséges technikai szakismereteket is, hogy a 2. cikk 54. pontjában említett védettadat-kategóriákhoz való hozzáférésre vonatkozó szabályrendszereket tartalmazó uniós vagy nemzeti jognak meg tudjanak felelni.

(4)Az (1) bekezdésben említett segítségnek szükség esetén a következőket kell magában foglalnia:

a)technikai támogatás nyújtása az adatok vagy a dokumentumok további felhasználásához való hozzáférést biztosító biztonságos adatkezelési környezet rendelkezésre bocsátásával;

b)iránymutatás és technikai támogatás nyújtása arra vonatkozóan, hogy miként lehet a legjobban strukturálni és tárolni az adatokat annak érdekében, hogy a szóban forgó adatok vagy dokumentumok könnyen hozzáférhetők legyenek;

c)technikai támogatás nyújtása az anonimizáláshoz, az álnevesítéshez és a magánélet védelmét szolgáló legkorszerűbb módszerekhez, amelyek nem korlátozódnak a személyes adatokra, hanem a bizalmas üzleti információkra is kiterjednek, beleértve az üzleti titkokat vagy a szellemitulajdon-jogok által védett tartalmakat;

d)adott esetben a közszférabeli szervezetek segítése abban, hogy támogatást nyújtsanak a továbbfelhasználók számára ahhoz, hogy az érintettektől hozzájárulást, illetve az adatbirtokosoktól engedélyt kérjenek azok egyedi döntéseivel összhangban, többek között azon joghatóságra vonatkozóan, ahol az adatkezelést végezni kívánják, továbbá a közszférabeli szervezetek segítése abban, hogy – amennyiben ez a gyakorlatban megvalósítható – technikai mechanizmust alakítsanak ki a továbbfelhasználók hozzájárulás vagy engedély iránti kérelmeinek továbbítására;

e)segítségnyújtás a közszférabeli szervezetek számára a továbbfelhasználók által a 32x. cikk (2) bekezdése szerinti szerződéses kötelezettségvállalások megfelelőségének értékelése tekintetében.

32aa. cikk

Egyablakos információs pont

(1)Minden tagállam egyetlen egyablakos információs pontot jelöl ki. E pontnak könnyen hozzáférhető információkat kell rendelkezésre bocsátania a 32w., 32x. és 32y. cikk alkalmazására vonatkozóan. 

(2)Az egyablakos információs pontnak hatáskörrel kell rendelkeznie a védett adatok bizonyos kategóriáinak további felhasználására vonatkozó érdeklődések vagy kérelmek fogadására, és – ha lehetséges és megfelelő, akkor automatikusan – továbbítania kell azokat az illetékes közszférabeli szervezeteknek vagy adott esetben a 32z. cikk (1) bekezdésében említett illetékes szerveknek.

(3)Az egyablakos információs pont magában foglalhat egy olyan különálló, egyszerűsített és megfelelően dokumentált információs csatornát a kkv-k, a kis méretű, közepes piaci tőkeértékű vállalatok, az induló innovatív vállalkozások és a kutatási intézmények számára, amelyet azok igényeihez és képességeihez igazít a 2. cikk 54. pontjában említett adatkategóriák további felhasználásának kérelmezését illetően.

(4)Az egyablakos információs pontnak elektronikus úton elérhetővé kell tennie egy olyan kereshető eszközlistát, amely tartalmazza az összes rendelkezésre álló dokumentumforrást, ideértve adott esetben az ágazati, regionális vagy helyi információs pontoknál elérhető dokumentumforrásokat is, és amely tartalmazza a rendelkezésre álló adatokat vagy dokumentumokat leíró releváns információkat, többek között legalább az adatok formátumát és méretét, valamint azok további felhasználásának feltételeit.

(5)A Bizottság egységes európai hozzáférési pontot hoz létre, amelyen keresztül elérhető a nemzeti egyablakos információs pontoknál rendelkezésre álló adatok vagy dokumentumok kereshető elektronikus nyilvántartása, valamint elérhetők az említett nemzeti egyablakos információs pontokon keresztül történő adat- vagy dokumentumigénylések módjára vonatkozó további információk.

32ab. cikk

A további felhasználás iránti kérelmekre vonatkozó eljárás

(1)Amennyiben a nemzeti jognak megfelelően nem kerültek megállapításra rövidebb határidők, az illetékes közszférabeli szervezeteknek vagy a 32z. cikk (1) bekezdésében említett illetékes szerveknek a kérelem beérkezésének napjától számított két hónapon belül döntést kell hozniuk a védett adatok bizonyos kategóriáinak további felhasználása iránti kérelemről.

(2)Kivételesen a további felhasználás iránti terjedelmes és összetett kérelmek esetében ezen kéthónapos határidő legfeljebb 30 nappal meghosszabbítható. Ilyen esetben az illetékes közszférabeli szervezeteknek vagy a 32z. cikk (1) bekezdésében említett illetékes szerveknek a lehető leghamarabb értesíteniük kell a kérelmezőt arról, hogy az eljárás lefolytatása több időt igényel, valamint a határidő-hosszabbítás okairól.

(3)Minden olyan természetes vagy jogi személy számára, akit vagy amelyet közvetlenül érint az (1) bekezdésben említett döntés, tényleges jogot kell biztosítani arra, hogy a szóban forgó szervezet, illetve szerv helye szerinti tagállamban jogorvoslathoz folyamodhasson. Az említett, jogorvoslathoz való jogot a nemzeti jogban rögzíteni kell, és annak ki kell terjednie egy megfelelő szakértelemmel rendelkező pártatlan szerv, így például a nemzeti versenyhatóság, a dokumentumokhoz való hozzáférésért felelős megfelelő hatóság, az (EU) 2016/679 rendelettel összhangban létrehozott felügyeleti hatóság vagy valamely nemzeti igazságügyi hatóság általi felülvizsgálat lehetőségére, amely szervek mindegyikének döntései kötelező erejűek az érintett közszférabeli szervezetre vagy illetékes szervezetre.”

19.A 38. cikk helyébe a következő szöveg lép:

„(1)Az egyéb közigazgatási vagy bírósági jogorvoslatok sérelme nélkül, minden természetes és jogi személy jogosult arra, hogy egyénileg vagy adott esetben kollektíven panaszt nyújtson be:

a)a szokásos tartózkodási helye, a munkahelye vagy a letelepedési helye szerinti tagállam releváns illetékes hatóságához, ha megítélése szerint az e rendelet szerinti jogait megsértették;

b)az e rendelet hatálya alá tartozó bármely kérdésben, kifejezetten valamely elismert adatközvetítő szolgáltatóval vagy elismert adataltruista szervezettel szemben az adatközvetítő szolgáltatások nyilvántartásba vétele tekintetében illetékes hatóságnál vagy az adataltruista szervezetek nyilvántartásba vétele tekintetében illetékes hatóságnál.

(2)Az adatkoordinátornak kérésre meg kell adnia valamennyi szükséges információt a természetes és jogi személyek számára ahhoz, hogy panaszaikat a megfelelő illetékes hatósághoz benyújthassák.

(3)Azon illetékes hatóság, amelyhez a panaszt benyújtották, a nemzeti joggal összhangban köteles tájékoztatni a panaszost:

a)az eljárás fejleményeiről és a meghozott határozatról; és

b)a 39. cikk szerinti bírósági jogorvoslati lehetőségekről.”

20.A 40. cikk a következő (6) bekezdéssel egészül ki:

„(6) Ez a cikk nem alkalmazandó a VIIc. fejezetre.”

21.A 41. cikk után a szöveg a következő címsorral egészül ki:

„IXa. FEJEZET

Európai Adatinnovációs Testület”.

22.A szöveg a következő 41a. cikkel egészül ki:

„41a. cikk

Európai Adatinnovációs Testület

(1)Az Európai Adatinnovációs Testületet azzal a céllal hozták létre, hogy tanácsot adjon és segítséget nyújtson a Bizottságnak e rendelet végrehajtásának koordinálásában, valamint vitafórumként szolgáljon az európai adatgazdaság és adatpolitikák kidolgozásához.

(2)A Testületben legalább a következőknek kell képviseltetniük magukat: a tagállamok adatokkal kapcsolatos ügyekben illetékes képviselői, az e rendelet II., III., V., VIIa. és VIIc. fejezetének végrehajtásáért felelős illetékes hatóságok, az Európai Adatvédelmi Testület, az európai adatvédelmi biztos, az ENISA, az uniós kkv-követ vagy a kkv-követek hálózata által kinevezett képviselő. A Bizottság dönthet úgy, hogy ezt az összetételt tagok további kategóriáival egészíti ki. Az egyéni szakértők kinevezésekor a Bizottság törekszik arra, hogy a csoport tagjai körében megvalósuljon a nemek közötti és a földrajzi egyensúly.

(3)A Bizottság határoz azon különböző formációk összetételéről, amelyekben a Testület ellátja feladatait.

(4)Az Európai Adatinnovációs Testület ülésein a Bizottság elnököl.”

23.A 42. cikk helyébe a következő szöveg lép:

„42. cikk

Az Európai Adatinnovációs Testület szerepe

(1)Az Európai Adatinnovációs Testület a következők révén támogatja e rendelet következetes alkalmazását:

a)fórumként szolgál az adatpolitikákról, az adatkormányzásról, a nemzetközi adatáramlásról és az európai adatgazdaság szempontjából releváns ágazatközi fejleményekről folytatott stratégiai megbeszélésekhez;

b)tanácsadással és segítségnyújtással szolgál a Bizottság számára az illetékes hatóságok következetes gyakorlatának kialakítása tekintetében a II., III., V., VII., VIIa. és VIIc. fejezet érvényesítése során;

c)megkönnyíti az illetékes hatóságok közötti együttműködést a kapacitásépítés és információcsere révén;

d)más érintett irányító szervekkel együttműködésben előmozdítja a közszféra információinak további felhasználása terén szerzett tapasztalatok és bevált gyakorlatok tagállamok közötti cseréjét.” 

24.A 45. cikk a következőképpen módosul:

a)a (2) bekezdés helyébe a következő szöveg lép:

„(2) A Bizottságnak a 29 cikk (7) bekezdésében, a 32u. cikk (2) bekezdésében és a 33. cikk (2) bekezdésében említett, felhatalmazáson alapuló jogi aktus elfogadására vonatkozó felhatalmazása határozatlan időre szól.”;

b)a (3) bekezdés helyébe a következő szöveg lép:

„(3) Az Európai Parlament vagy a Tanács bármikor visszavonhatja a 29. cikk (7) bekezdésében, a 32u. cikk (2) bekezdésében és a 33. cikk (2) bekezdésében említett felhatalmazást. A visszavonásról szóló határozat megszünteti az abban meghatározott felhatalmazást. A határozat az Európai Unió Hivatalos Lapjában való kihirdetését követő napon vagy a benne megjelölt későbbi időpontban lép hatályba. A határozat nem érinti a már hatályban lévő, felhatalmazáson alapuló jogi aktusok érvényességét.”;

c)a (6) bekezdés helyébe a következő szöveg lép:

„(6) A 29. cikk (7) bekezdése, a 32u. cikk (2) bekezdése vagy a 33. cikk (2) bekezdése értelmében elfogadott, felhatalmazáson alapuló jogi aktus csak akkor lép hatályba, ha az Európai Parlamentnek és a Tanácsnak a jogi aktusról való értesítését követő három hónapon belül sem az Európai Parlament, sem a Tanács nem emelt ellene kifogást, illetve ha az említett időtartam lejártát megelőzően mind az Európai Parlament, mind a Tanács arról tájékoztatta a Bizottságot, hogy nem fog kifogást emelni. Az Európai Parlament vagy a Tanács kezdeményezésére ez az időtartam három hónappal meghosszabbodik.” 

25.A 46. cikk a következőképpen módosul:

a)az (1) bekezdés első mondata helyébe a következő szöveg lép:

„A Bizottságot egy bizottság segíti. Ez a bizottság a 182/2011/EU rendelet értelmében vett bizottságnak minősül.”

b)a szöveg a következő (1a) bekezdéssel egészül ki:

„(1a) Az e bekezdésre történő hivatkozáskor a 182/2011/EU rendelet 4. cikkét kell alkalmazni.”

26.A 49. cikk a következőképpen módosul:

a)az (1) bekezdés a következőképpen módosul: 

i.a bevezető szövegrész helyébe a következő szöveg lép:

„(1) A Bizottság 2028. szeptember 12-ig elvégzi e rendelet II., III., IV., V., VI., VII. és VIII. cikkének értékelését, és a főbb megállapításairól jelentést nyújt be az Európai Parlamentnek és a Tanácsnak, valamint az Európai Gazdasági és Szociális Bizottságnak. Az értékelés különösen a következőkre terjed ki:”;

ii. az m) pont helyébe a következő szöveg lép:

„m) e rendeletnek a kkv-kra és a kis méretű, közepes piaci tőkeértékű vállalatokra gyakorolt hatása azok innovációs képessége, valamint az adatkezelési szolgáltatásoknak az unióbeli felhasználók számára való elérhetősége és az új kötelezettségeknek való megfeleléssel járó terhek tekintetében.”;

b)a szöveg a következő (2a) bekezdéssel egészül ki: 

„(2a) A Bizottság [dátum = hatálybalépés + 5 év]-ig elvégzi e rendelet VIIa., VIIb. és VIIc. fejezetének értékelését, és a főbb megállapításairól jelentést nyújt be az Európai Parlamentnek és a Tanácsnak, valamint az Európai Gazdasági és Szociális Bizottságnak.

A jelentésnek különösen a következők vizsgálatára kell kiterjednie:

a)az adatközvetítő szolgáltatások nyilvántartásba vételének állapota és az általuk kínált szolgáltatások típusa;

b)a nyilvántartásba vett adataltruista szervezetek típusa és az adatmegosztás alapjául szolgáló közérdekű célok áttekintése a kapcsolódó egyértelmű kritériumok megállapítása érdekében;

c)a VIIc. fejezet 2. szakaszának hatálya, valamint társadalmi és gazdasági hatása, beleértve a következőket:

d)a VIIc. fejezet 2. szakaszának hatálya alá tartozó közszférabeli dokumentumok további felhasználása terén tapasztalható növekedés mértéke, különösen a kkv-k és a kis méretű, közepes piaci tőkeértékű vállalatok révén megvalósuló növekedés;

e)a nagy értékű adatkészletek hatása;

f)az adatvédelmi szabályok és a további felhasználás lehetőségei közötti kölcsönhatás;

g)a tagállamok megküldik az e jelentés elkészítéséhez szükséges információkat a Bizottságnak.”;

c)az (5) bekezdés helyébe a következő szöveg lép: 

„(5) Az (1), a (2) és a (2a) bekezdésben említett jelentések alapján a Bizottság adott esetben jogalkotási javaslatot nyújthat be az Európai Parlamentnek és a Tanácsnak e rendelet módosítása céljából.” 

27.A rendelet új I. melléklettel egészül ki, amelynek szövegét e rendelet II. melléklete tartalmazza.

2. cikk

Az (EU) 2018/1724 rendelet módosításai

Az (EU) 2018/1724 rendelet II. mellékletében található táblázatban a „Vállalkozás indítása, működtetése és megszüntetése” bejegyzés helyébe a következő szöveg lép:

3. cikk

Az (EU) 2016/679 rendelet (GDPR) módosításai

Az (EU) 2016/679 rendelet a következőképpen módosul:

1. A 4. cikk a következőképpen módosul:

a)az 1. pont a következő mondatokkal egészül ki:

„Egy természetes személyre vonatkozó információ nem feltétlenül minősül személyes adatnak minden más személy vagy szervezet vonatkozásában pusztán azért, mert egy másik szervezet képes azonosítani az adott természetes személyt. Az információ nem minősül személyesnek valamely adott szervezet vonatkozásában, amennyiben az adott szervezet nem képes azonosítani azt a természetes személyt, akire az információ vonatkozik, figyelembe véve azokat az eszközöket, amelyekről észszerűen feltételezhető, hogy a szóban forgó szervezet felhasználja. Az ilyen információ nem minősül személyesnek a szóban forgó szervezet vonatkozásában pusztán azért, mert egy potenciális későbbi címzett nem rendelkezik olyan eszközökkel, amelyekről észszerűen feltételezhető, hogy felhasználják azon természetes személy azonosítására, akire az információ vonatkozik.”;

b)a szöveg a következő pontokkal egészül ki:

„32. »végberendezés«: a 2008/63/EK irányelv 1. cikkének 1. pontjában meghatározott végberendezés;

33. »elektronikus hírközlő hálózatok«: az (EU) 2018/1972 irányelv 2. cikkének 1. pontjában szereplő fogalommeghatározás alkalmazandó;

34. »webböngésző«: az (EU) 2022/1925 rendelet 2. cikkének 11. pontjában meghatározott webböngésző;

35. »médiaszolgáltatás«: az (EU) 2024/1083 rendelet 2. cikkének 1. pontjában meghatározott médiaszolgáltatás;

36. »médiaszolgáltató«: az (EU) 2024/1083 rendelet 2. cikkének 2. pontjában meghatározott médiaszolgáltató;”

37. »online interfész«: az (EU) 2022/2065 rendelet 3. cikkének m) pontjában meghatározott online interfész.”

38. »tudományos kutatás«: minden olyan kutatás, amely az innovációt – például a technológiafejlesztést és a demonstrációt – is támogathatja. Ezeknek a tevékenységeknek hozzá kell járulniuk a meglévő tudományos ismeretekhez, vagy a meglévő ismereteket újszerű módon kell alkalmazniuk, azzal a céllal kell megvalósulniuk, hogy hozzájáruljanak a társadalom általános tudásának és jóllétének növekedéséhez, továbbá meg kell felelniük az adott területen érvényes etikai normáknak. Ez nem zárja ki azt, hogy a kutatás kereskedelmi érdek előmozdítására is irányulhat.”

2.az 5. cikk (1) bekezdésének b) pontja helyébe a következő szöveg lép:

„gyűjtése csak meghatározott, egyértelmű és jogszerű célból történjen, és azokat ne kezeljék ezekkel a célokkal össze nem egyeztethető módon; a 89. cikk (1) bekezdésének megfelelően az eredeti céllal összeegyeztethetőnek minősül a közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból történő további adatkezelés, függetlenül az e rendelet 6. cikkének (4) bekezdésében foglalt feltételektől (»célhoz kötöttség«);”.

3.A 9. cikk a következőképpen módosul:

a)a (2) bekezdés a következő pontokkal egészül ki:

„k) az (EU) 2024/1689 rendelet 3. cikkének 1. pontjában meghatározott MI-rendszer vagy MI-modell fejlesztésével és működtetésével összefüggésben végzett adatkezelés történik, az (5) bekezdésben említett feltételekre is figyelemmel;

l) a biometrikus adatok kezelése az érintett személyazonosságának megerősítése (ellenőrzés) céljából szükséges, amennyiben a biometrikus adatok vagy az ellenőrzéshez szükséges eszközök az érintett kizárólagos ellenőrzése alatt állnak.”;

b)a cikk a következő bekezdéssel egészül ki:

„(5) A (2) bekezdés k) pontjában említett adatkezelés tekintetében megfelelő szervezeti és technikai intézkedéseket kell végrehajtani a személyes adatok különleges kategóriái gyűjtésének és egyéb kezelésének elkerülése érdekében. Abban az esetben, ha az ilyen intézkedések végrehajtása ellenére az adatkezelő a tanításhoz, teszteléshez vagy validáláshoz használt adatkészletekben vagy az MI-rendszerben vagy MI-modellben a személyes adatok különleges kategóriáit azonosítja, köteles eltávolítani a szóban forgó adatokat. Abban az esetben, ha ezeknek az adatok az eltávolítása aránytalanul nagy erőfeszítést igényel, az adatkezelő köteles minden esetben indokolatlan késedelem nélkül hatékonyan megvédeni a szóban forgó adatokat attól, hogy azokat kimenetek előállítására használják fel, felfedjék vagy más módon harmadik felek rendelkezésére bocsássák.”

4.A 12. cikk (5) bekezdése helyébe a következő szöveg lép:

„(5) A 13. és 14. cikk alapján rendelkezésre bocsátott információkat és a 15–22. és 34. cikk alapján végzett minden tájékoztatást és intézkedést díjmentesen kell biztosítani. Ha az érintett kérelme egyértelműen megalapozatlan vagy – különösen ismétlődő jellege miatt – túlzó vagy a 15. cikk szerinti kérelmek esetében is, azért, mert az érintett az adatai védelmén kívüli célokból visszaél az e rendelet által biztosított jogokkal, az adatkezelő:

a)a kért információ vagy tájékoztatás nyújtásával vagy a kért intézkedés meghozatalával járó adminisztratív költségek figyelembevételével észszerű összegű díjat számíthat fel; vagy

b)megtagadhatja a kérelem alapján történő intézkedést.

Az adatkezelőt terheli annak bizonyítása, hogy a kérelem egyértelműen megalapozatlan, vagy alapos okkal feltételezhető, hogy túlzó.”

5.A 13. cikk (4) bekezdése helyébe a következő szöveg lép:

„(4) Az (1), (2) és (3) bekezdés nem alkalmazandó, ha a személyes adatokat az érintettek és a nem adatintenzív tevékenységet folytató adatkezelő közötti egyértelmű és körülhatárolt kapcsolat keretében gyűjtötték, és alapos okkal feltételezhető, hogy az érintett már rendelkezik az (1) bekezdés a) és c) pontjában említett információkkal, kivéve, ha az adatkezelő az adatokat más címzetteknek vagy címzettek más kategóriáinak továbbítja, az adatokat harmadik országba továbbítja, a 22. cikk (1) bekezdésében említett automatizált döntéshozatalt végez – ideértve a profilalkotást is –, vagy az adatkezelés valószínűsíthetően a 35. cikk értelmében vett magas kockázattal jár az érintettek jogaira és szabadságaira nézve.”

6.A 13. cikk a következő (5) bekezdéssel egészül ki:

„(5) Abban az esetben, ha az adatkezelésre tudományos kutatás céljából kerül sor, és az (1), (2) és (3) bekezdésben említett információszolgáltatás lehetetlennek bizonyul vagy aránytalanul nagy erőfeszítést igényelne a 89. cikk (1) bekezdésében említett feltételek és garancia mellett, vagy amennyiben az e cikk (1) bekezdésében említett kötelezettség valószínűsíthetően lehetetlenné tenné vagy komolyan veszélyeztetné az említett adatkezelés céljainak elérését, az adatkezelőnek nem szükséges megadnia az (1), (2) és (3) bekezdésben említett információkat. Ilyen esetekben az adatkezelőnek megfelelő intézkedéseket kell hoznia – az információk nyilvánosan elérhetővé tételét is ideértve – az érintett jogainak, szabadságainak és jogos érdekeinek védelme érdekében.”

7.A 22. cikk (1) és (2) bekezdésének helyébe a következő szöveg lép:

„(1) Az érintettre nézve joghatással járó vagy őt hasonlóképpen jelentős mértékben érintő döntés csak akkor alapulhat kizárólag automatizált adatkezelésen – ideértve a profilalkotást is –, ha a döntés:

a) az érintett és az adatkezelő közötti szerződés megkötéséhez vagy teljesítéséhez szükséges, függetlenül attól, hogy a döntés meghozható-e nem kizárólag automatizált módon;

b) meghozatalát az adatkezelőre alkalmazandó olyan uniós vagy tagállami jog teszi lehetővé, amely az érintett jogainak és szabadságainak, valamint jogos érdekeinek védelmét szolgáló megfelelő intézkedéseket is megállapít; vagy

c)az érintett kifejezett hozzájárulásán alapul.”

8.A 33. cikk a következőképpen módosul:

a)az (1) bekezdés helyébe a következő szöveg lép:

„(1) Olyan adatvédelmi incidens esetén, amely valószínűsíthetően magas kockázattal jár a természetes személyek jogaira és szabadságaira nézve, az adatkezelő indokolatlan késedelem nélkül, és ha lehetséges, legkésőbb 96 órával azután, hogy az adatvédelmi incidens a tudomására jutott, az (EU) 2022/2555 irányelv 23a. cikke alapján létrehozott egyablakos ügyintézési ponton keresztül, az 55. és 56. cikkel összhangban értesíti az illetékes felügyeleti hatóságot az adatvédelmi incidensről. Ha a bejelentés nem történik meg 96 órán belül, mellékelni kell hozzá a késedelem igazolására szolgáló indokokat is.”;

b)a cikk a következő bekezdéssel egészül ki:

„(1a) Az (EU) 2022/2555 irányelv 23a. cikke szerinti egyablakos ügyintézési pont létrehozásáig az adatkezelők az 55. és 56. cikkel összhangban továbbra is közvetlenül értesítik az illetékes felügyeleti hatóságot az adatvédelmi incidensekről.”;

c)a cikk a következő bekezdésekkel egészül ki:

„(6) A Testület javaslatot készít az adatvédelmi incidensről az (1) bekezdésben említett illetékes felügyeleti hatóságnak küldendő értesítés közös sablonjára, valamint azon körülmények jegyzékére vonatkozóan, amelyek fennállása esetén az adatvédelmi incidens valószínűsíthetően magas kockázattal jár valamely természetes személy jogaira és szabadságaira nézve, és e javaslatot továbbítja a Bizottság részére. A javaslatokat [Kiadóhivatal: kérjük, illesszék be az e rendelet alkalmazásának kezdőnapját kilenc hónappal követő dátumot]-ig kell benyújtani a Bizottságnak. A Bizottság kellő mérlegelést követően szükség szerint felülvizsgálja azt, és felhatalmazást kap arra, hogy a 93. cikk (2) bekezdésében meghatározott vizsgálóbizottsági eljárásnak megfelelően végrehajtási jogi aktus útján elfogadja azt.

(7) A (6) bekezdésben említett sablont és jegyzéket legalább háromévente felül kell vizsgálni, és szükség esetén naprakésszé kell tenni. A Testület kellő időben benyújtja értékelését és esetleges aktualizálási javaslatait a Bizottságnak. A Bizottság a javaslatok kellő mérlegelését követően felülvizsgálja azokat, és felhatalmazást kap arra, hogy a (6) bekezdésben említett eljárásnak megfelelően elfogadja az aktualizálásokat.”

9.A 35. cikk a következőképpen módosul:

a)a (4), az (5) és a (6) bekezdés helyébe a következő szöveg lép:

„(4) A Testület javaslatot készít az olyan adatkezelési műveletek típusainak a jegyzékére vonatkozóan, amelyek esetében az (1) bekezdés értelmében adatvédelmi hatásvizsgálatot kell végezni, és e javaslatot továbbítja a Bizottság részére.

(5) A Testület javaslatot készít az olyan adatkezelési műveletek típusainak a jegyzékére vonatkozóan, amelyek esetében nem szükséges adatvédelmi hatásvizsgálatot végezni, és e javaslatot továbbítja a Bizottság részére.

(6) A Testület javaslatot készít az adatvédelmi hatásvizsgálatok elvégzésére szolgáló közös sablonra és közös módszertanra vonatkozóan, és e javaslatot továbbítja a Bizottság részére.”;

b)a cikk a következő bekezdésekkel egészül ki:

„(6a) A (4) és (5) bekezdésben említett jegyzékekre, valamint a (6) bekezdésben említett sablonra és módszertanra vonatkozó javaslatokat [Kiadóhivatal: kérjük, illesszék be az e rendelet alkalmazásának kezdőnapját kilenc hónappal követő dátumot]-ig kell benyújtani a Bizottsághoz. A Bizottság kellő mérlegelést követően szükség szerint felülvizsgálja azokat, és felhatalmazást kap arra, hogy a 93. cikk (2) bekezdésében meghatározott vizsgálóbizottsági eljárásnak megfelelően végrehajtási jogi aktus útján elfogadja azokat.

(6b) A (6a) bekezdésben említett jegyzékeket és sablont legalább háromévente felül kell vizsgálni, és szükség esetén naprakésszé kell tenni. A Testület kellő időben benyújtja értékelését és esetleges aktualizálási javaslatait a Bizottságnak. A Bizottság a javaslatok kellő mérlegelését követően felülvizsgálja azokat, és felhatalmazást kap arra, hogy a (6a) bekezdésben említett eljárásnak megfelelően elfogadja az aktualizálásokat.

(6c) Az adatkezelési műveletek azon típusainak jegyzéke, amelyekre vonatkozóan adatvédelmi hatásvizsgálatot kell végezni, valamint az adatkezelési műveletek azon típusainak jegyzéke, amelyekre vonatkozóan nem kell adatvédelmi hatásvizsgálatot végezni – mely jegyzékeket a felügyeleti hatóságok hoznak létre és hoznak nyilvánosságra – mindaddig érvényben marad, amíg a Bizottság el nem fogadja a (6a) bekezdésben említett végrehajtási jogi aktust.”

10.A szöveg az alábbi cikkel egészül ki:

„41a. cikk

(1)A Bizottság végrehajtási jogi aktusokat fogadhat el az annak megállapítására szolgáló eszközök és kritériumok meghatározása céljából, hogy az álnevesítésből származó adatok bizonyos szervezetek esetében a továbbiakban megszűnnek-e személyes adatnak minősülni.

(2)Az (1) bekezdés alkalmazásában a Bizottság:

a)értékeli a rendelkezésre álló legkorszerűbb technikákat; 

b)kritériumokat és/vagy kategóriákat dolgoz ki az adatkezelők és a címzettek számára az újbóli azonosításnak az adatok tipikus címzettjei tekintetében fennálló kockázatának értékelésére.

(3)A végrehajtási jogi aktusban felvázolt eszközök és kritériumok végrehajtása felhasználható annak bizonyítására, hogy az adatok nem vezethetnek az érintettek újbóli azonosításához.

(4)A Bizottság a végrehajtási jogi aktusok előkészítésébe szorosan bevonja az Európai Adatvédelmi Testületet. Az EPDB a végrehajtási jogi aktusok tervezetéről a Bizottság által benyújtott tervezet kézhezvételétől számított 8 héten belül véleményt ad ki.

(5)A végrehajtási jogi aktusokat a 93. cikk (3) bekezdésében említett vizsgálóbizottsági eljárásnak megfelelően kell elfogadni.”

11.Az 57. cikk (1) bekezdése a következőképpen módosul:

(a)a k) pontot el kell hagyni.

12.A 64. cikk (1) bekezdésének a) pontját el kell hagyni.

13.A 70. cikk (1) bekezdésének h) pontját el kell hagyni.

14.A 70. cikk (1) bekezdése a következő pontokkal egészül ki:

„ha) a 35. cikknek megfelelően javaslatot készít az olyan adatkezelési műveletek típusainak a jegyzékére vonatkozóan, amelyek esetében adatvédelmi hatásvizsgálatot kell végezni, illetve amelyek esetében nem kell adatvédelmi hatásvizsgálatot végezni, és e javaslatot továbbítja a Bizottság részére;

hb) a 35. cikknek megfelelően javaslatot készít az adatvédelmi hatásvizsgálatok elvégzésére szolgáló közös sablonra és közös módszertanra vonatkozóan, és e javaslatot továbbítja a Bizottság részére;

hc) a 33. cikknek megfelelően javaslatot készít az adatvédelmi incidensről az illetékes felügyeleti hatóságnak küldendő értesítés közös sablonjára, valamint azon körülmények jegyzékére vonatkozóan, amelyek fennállása esetén az adatvédelmi incidens valószínűsíthetően magas kockázattal jár valamely természetes személy jogaira és szabadságaira nézve, és e javaslatot továbbítja a Bizottság részére.”

15.A 88. cikk után a rendelet a következő cikkekkel egészül ki:

„88a. cikk

Személyes adatok kezelése természetes személyek végberendezésében

(1)A természetes személy végberendezésében történő személyesadat-tárolás vagy a már ott tárolt személyes adatokhoz való hozzáférés csak akkor megengedett, ha az adott személy e rendelettel összhangban hozzájárulását adta.

(2)Az (1) bekezdés nem zárja ki a személyes adatok tárolását vagy a már tárolt személyes adatokhoz való hozzáférést valamely természetes személy végberendezésében, a 6. cikk értelmében vett uniós vagy tagállami jog alapján és az abban foglalt feltételekre is figyelemmel, a 23. cikk (1) bekezdésében említett célok védelme érdekében.

(3)A természetes személy végberendezésében történő személyesadat-tárolás vagy a már ott tárolt személyes adatokhoz való hozzáférés, és azoknak azt követő kezelése hozzájárulás hiányában annyiban jogszerű, amennyiben az a következők bármelyikéhez szükséges:

a)elektronikus hírközlő hálózaton keresztül történő közléstovábbítás; 

b)az érintett által kifejezetten kért szolgáltatás nyújtása;

c)összesített információk létrehozása az online szolgáltatás használatáról az adott szolgáltatás közönségét érintő mérés elvégzése céljából, amennyiben azt az adott online szolgáltatás adatkezelője kizárólag saját használatra végzi;

d)az adatkezelő által nyújtott és az érintett által kért szolgáltatás vagy az ilyen szolgáltatás nyújtásához használt végberendezés biztonságának fenntartása vagy helyreállítása. 

(4)Abban az esetben, ha a valamely természetes személy végberendezésében történő személyesadat-tárolás vagy a már ott tárolt személyes adatokhoz való hozzáférés megszerzése hozzájáruláson alapul, a következőket kell alkalmazni:

a)az érintett számára lehetővé kell tenni, hogy egyszerű és érthető módon, egy kattintással működő gombbal vagy azzal egyenértékű eszközzel elutasíthasson a hozzájárulás iránti kérelmeket; 

b)abban az esetben, ha az érintett hozzájárulását adja, az adatkezelő ugyanebből a célból nem kérhet újabb hozzájárulást mindaddig, amíg jogszerűen támaszkodhat az érintett hozzájárulására;

c)abban az esetben, ha az érintett elutasítja a hozzájárulás iránti kérelmet, az adatkezelő ugyanebből a célból legalább hat hónapig nem nyújthat be újabb hozzájárulás iránti kérelmet.

Ez a bekezdés a személyes adatok hozzájáruláson alapuló későbbi kezelésére is alkalmazandó.

(5)Ezt a cikket [Kiadóhivatal: kérjük, illesszék be az e rendelet hatálybalépésének kezdőnapját 6 hónappal követő nap dátumát]-tól/-től kell alkalmazni.

88b. cikk

Az érintett választásának automatizált és géppel olvasható jelzése a személyes adatoknak a természetes személyek végberendezésén történő kezelése tekintetében

(1)Az adatkezelők biztosítják, hogy online interfészeik lehetővé tegyék az érintettek számára, hogy:

a)automatizált és géppel olvasható eszközökkel hozzájárulásukat adják, feltéve, hogy a hozzájárulás e rendeletben megállapított feltételei teljesülnek; 

b)és automatizált és géppel olvasható eszközökkel elutasítsák a hozzájárulás iránti kérelmet és gyakorolják a 21. cikk (2) bekezdése szerinti tiltakozáshoz való jogot.

(2)Az adatkezelőknek tiszteletben kell tartaniuk az érintettek által az (1) bekezdéssel összhangban hozott döntéseket.

(3)Az (1) és (2) bekezdés nem alkalmazandó a médiaszolgáltatóknak minősülő adatkezelőkre abban az esetben, amikor azok médiaszolgáltatást nyújtanak.

(4)A Bizottság az 1025/2012/EU rendelet 10. cikkének (1) bekezdésével összhangban felkér egy vagy több európai szabványügyi szervezetet, hogy dolgozzon ki szabványokat az érintettek választására vonatkozó, géppel olvasható jelzések értelmezésére.

Az adatkezelők azon online interfészeiről, amelyek megfelelnek az Európai Unió Hivatalos Lapjában hivatkozott harmonizált szabványoknak vagy azok részeinek, vélelmezni kell, hogy megfelelnek azoknak a követelményeknek is, amelyekre kiterjednek az (1) bekezdésben említett szabványok, illetve szabványrészek.

(5)Az (1) és (2) bekezdést [Kiadóhivatal: kérjük, illesszék be az e rendelet hatálybalépésének kezdőnapját 24 hónappal követő nap dátumát]-tól/-től kell alkalmazni.

(6)A webböngészők nem kkv-knak minősülő szolgáltatóinak biztosítaniuk kell azokat a technikai eszközöket, amelyek lehetővé teszik az érintettek számára, hogy az e cikk (1) bekezdésében említett, az e cikk (2)–(5) bekezdése alapján alkalmazott automatizált és géppel olvasható eszközök révén hozzájárulásukat adják, elutasítsák a hozzájárulás iránti kérelmet, és gyakorolják a 21. cikk (2) bekezdése szerinti tiltakozáshoz való jogot.

(7)A (6) bekezdést [Kiadóhivatal: kérjük, illesszék be az e rendelet hatálybalépésének kezdőnapját 48 hónappal követő nap dátumát]-tól/-től kell alkalmazni.

88c. cikk

Adatkezelés az MI fejlesztésével és működtetésével összefüggésben

Abban az esetben, ha a személyes adatok kezelése az (EU) 2024/1689 rendelet 3. cikkének 1. pontjában meghatározott MI-rendszer vagy MI-modell fejlesztésével és működtetésével összefüggésben az adatkezelő érdekei miatt szükséges, a szóban forgó adatkezelés adott esetben az (EU) 2016/679 rendelet 6. cikke (1) bekezdésének f) pontja értelmében vett jogos érdekből is végezhető, kivéve, ha más uniós vagy nemzeti jogszabályok kifejezetten előírják a hozzájárulást, és ha ezen érdekekkel szemben elsőbbséget élveznek az érintett olyan érdekei vagy alapvető jogai és szabadságai, amelyek a személyes adatok védelmét teszik szükségessé, különösen, ha az érintett gyermek.

Az ilyen adatkezelésre minden esetben megfelelő szervezeti, technikai intézkedések és garanciák alkalmazandók az érintettek jogai és szabadságai tekintetében, például annak érdekében, hogy biztosítsák az adattakarékosság tiszteletben tartását a források kiválasztásának, valamint az MI-rendszer vagy MI-modell tanításának és tesztelésének szakaszában, hogy védelmet nyújtsanak az MI-rendszerben vagy MI-modellben reziduálisan megőrzött adatok közzétételének mellőzésével szemben, annak érdekében, hogy az érintettek számára biztosítsák a fokozott átláthatóságot és feltétel nélküli jogot arra, hogy személyes adataik kezelése ellen tiltakozzanak.”

4. cikk

Az (EU) 2018/1725 rendelet (EUDPR) módosításai

Az (EU) 2018/1725 rendelet a következőképpen módosul:

1.A 3. cikk a következőképpen módosul:

a)az 1. pont a következő mondatokkal egészül ki:

„Egy természetes személyre vonatkozó információ nem feltétlenül minősül személyes adatnak minden más személy vagy szervezet vonatkozásában pusztán azért, mert egy másik szervezet képes azonosítani az adott természetes személyt. Az információ nem minősül személyesnek valamely adott szervezet vonatkozásában, amennyiben az adott szervezet nem képes azonosítani azt a természetes személyt, akire az információ vonatkozik, figyelembe véve azokat az eszközöket, amelyekről észszerűen feltételezhető, hogy a szóban forgó szervezet felhasználja. Az ilyen információ nem minősül személyesnek a szóban forgó szervezet vonatkozásában pusztán azért, mert egy potenciális későbbi címzett nem rendelkezik olyan eszközökkel, amelyekről észszerűen feltételezhető, hogy felhasználják azon természetes személy azonosítására, akire az információ vonatkozik;”

b)a 25. pont helyébe a következő szöveg lép:

„25. »elektronikus hírközlő hálózatok«: az (EU) 2018/1972 irányelv 2. cikkének 1. pontjában szereplő fogalommeghatározás alkalmazandó;”

c)a szöveg a következő pontokkal egészül ki:

„27. »mobilalkalmazás«: az (EU) 2016/2102 irányelv 3. cikkének 2. pontjában meghatározott mobilalkalmazás;

28. »online interfész«: az (EU) 2022/2065 rendelet 3. cikkének m) pontjában meghatározottak szerinti online interfész;

29. »tudományos kutatás«: minden olyan kutatás, amely az innovációt – például a technológiafejlesztést és a demonstrációt – is támogathatja. Ezeknek a tevékenységeknek hozzá kell járulniuk a meglévő tudományos ismeretekhez, vagy a meglévő ismereteket újszerű módon kell alkalmazniuk, azzal a céllal kell megvalósulniuk, hogy hozzájáruljanak a társadalom általános tudásának és jóllétének növekedéséhez, továbbá meg kell felelniük az adott területen érvényes etikai normáknak. Ez nem zárja ki azt, hogy a kutatás kereskedelmi érdek előmozdítására is irányulhat.”

2.A 4. cikk (1) bekezdésének b) pontja helyébe a következő szöveg lép:

„b) gyűjtése meghatározott, egyértelmű és jogszerű célból történjen, és azokat ne kezeljék ezekkel a célokkal össze nem egyeztethető módon; a 13. cikknek megfelelően az eredeti céllal összeegyeztethetőnek minősül a közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból történő további adatkezelés, függetlenül az e rendelet 6. cikkében foglalt feltételektől (»célhoz kötöttség«);”.

3.A 10. cikk a következőképpen módosul:

a)a (2) bekezdés a következő pontokkal egészül ki:

„k) az (EU) 2024/1689 rendelet 3. cikkének 1. pontjában meghatározott MI-rendszer vagy MI-modell fejlesztésével és működtetésével összefüggésben végzett adatkezelés, a (4) bekezdésben említett feltételekre is figyelemmel; .

l) a biometrikus adatok kezelése az érintett személyazonosságának megerősítése (ellenőrzés) céljából szükséges, amennyiben a biometrikus adatok vagy az ellenőrzéshez szükséges eszközök az érintett kizárólagos ellenőrzése alatt állnak.”;

b)a szöveg a következő (4) bekezdéssel egészül ki:

„(4) A (2) bekezdés k) pontjában említett adatkezelés tekintetében megfelelő szervezeti és technikai intézkedéseket kell végrehajtani a személyes adatok különleges kategóriái gyűjtésének és egyéb kezelésének elkerülése érdekében. Abban az esetben, ha az ilyen intézkedések végrehajtása ellenére az adatkezelő a tanításhoz, teszteléshez vagy validáláshoz használt adatkészletekben vagy az MI-rendszerben vagy MI-modellben a személyes adatok különleges kategóriáit azonosítja, köteles eltávolítani a szóban forgó adatokat. Abban az esetben, ha ezeknek az adatok az eltávolítása aránytalanul nagy erőfeszítést igényel, az adatkezelő köteles minden esetben indokolatlan késedelem nélkül hatékonyan megvédeni a szóban forgó adatokat attól, hogy azokat kimenetek előállítására használják fel, felfedjék vagy más módon harmadik felek rendelkezésére bocsássák.”

4.A 14. cikk (5) bekezdése helyébe a következő szöveg lép:

„(5) A 15. és 16. cikk alapján rendelkezésre bocsátott információkat és a 17–24. és 35. cikk alapján végzett minden tájékoztatást és intézkedést díjmentesen kell biztosítani. Ha az érintett kérelme egyértelműen megalapozatlan vagy – különösen ismétlődő jellege miatt – túlzó vagy a 17. cikk szerinti kérelmek esetében is, azért, mert az érintett az adatai védelmén kívüli célokból visszaél az e rendelet által biztosított jogokkal, az adatkezelő megtagadhatja, hogy eljárjon a kérelemmel kapcsolatban. Az adatkezelőt terheli annak bizonyítása, hogy a kérelem egyértelműen megalapozatlan, vagy alapos okkal feltételezhető, hogy túlzó.”

5.A 15. cikk a következő új (5) bekezdéssel egészül ki:

„(5) Abban az esetben, ha az adatkezelésre tudományos kutatás céljából kerül sor, és az (1), (2) és (3) bekezdésben említett információszolgáltatás lehetetlennek bizonyul vagy aránytalanul nagy erőfeszítést igényelne a 13. cikkben említett feltételek és garancia mellett, vagy amennyiben az e cikk (1) bekezdésében említett kötelezettség valószínűsíthetően lehetetlenné tenné vagy komolyan veszélyeztetné az említett adatkezelés céljainak elérését, az adatkezelőnek nem szükséges megadnia az (1), (2) és (3) bekezdésben említett információkat. Ilyen esetekben az adatkezelőnek megfelelő intézkedéseket kell hoznia – az információk nyilvánosan elérhetővé tételét is ideértve – az érintett jogainak, szabadságainak és jogos érdekeinek védelme érdekében.”

6.A 24. cikk (1) és (2) bekezdésének helyébe a következő szöveg lép:

„(1) Az érintettre nézve joghatással járó vagy őt hasonlóképpen jelentős mértékben érintő döntés csak akkor alapulhat kizárólag automatizált adatkezelésen – ideértve a profilalkotást is –, ha a döntés:

a)az érintett és az adatkezelő közötti szerződés megkötéséhez vagy teljesítéséhez szükséges, függetlenül attól, hogy a döntés meghozható-e nem kizárólag automatizált módon;

b)meghozatalát az adatkezelőre alkalmazandó olyan uniós jog teszi lehetővé, amely az érintett jogainak és szabadságainak, valamint jogos érdekeinek védelmét szolgáló megfelelő intézkedéseket is megállapít; vagy

c)az érintett kifejezett hozzájárulásán alapul.”

7.A 34. cikk (1) bekezdése helyébe a következő szöveg lép:

„(1) Olyan adatvédelmi incidens esetén, amely valószínűsíthetően magas kockázattal jár a természetes személyek jogaira és szabadságaira nézve, az adatkezelő indokolatlan késedelem nélkül, és ha lehetséges, legkésőbb 96 órával azután, hogy az adatvédelmi incidens a tudomására jutott, értesíti az európai adatvédelmi biztost az adatvédelmi incidensről. Ha az európai adatvédelmi biztos felé a bejelentés nem történik meg 96 órán belül, mellékelni kell hozzá a késedelem igazolására szolgáló indokokat is.”

8.A 37. cikk a következő bekezdésekkel egészül ki:

„(2) A természetes személy végberendezésében történő személyesadat-tárolás vagy a már tárolt személyes adatokhoz való hozzáférés csak akkor megengedett, ha az adott személy e rendelettel összhangban hozzájárulását adta.

(3) Az (1) bekezdés nem zárja ki a személyes adatok tárolását vagy a már tárolt személyes adatokhoz való hozzáférést valamely természetes személy végberendezésében, az 5. cikk értelmében vett uniós jog alapján és az abban foglalt feltételekre is figyelemmel, a 25. cikk (1) bekezdésében említett célok védelme érdekében.

(4) A természetes személy végberendezésében történő személyesadat-tárolás vagy a már tárolt személyes adatokhoz való hozzáférés, és azoknak azt követő kezelése hozzájárulás hiányában annyiban jogszerű, amennyiben az a következők bármelyikéhez szükséges:

a) elektronikus hírközlő hálózaton keresztül történő közléstovábbítás; 

b) az érintett által kifejezetten kért szolgáltatás nyújtása;

c) összesített információk létrehozása az online szolgáltatás használatáról az adott szolgáltatás közönségét érintő mérés elvégzése céljából, amennyiben azt az adott online szolgáltatás adatkezelője kizárólag saját használatra végzi;

d) az adatkezelő által nyújtott és az érintett által kért szolgáltatás vagy az ilyen szolgáltatás nyújtásához használt végberendezés biztonságának fenntartása vagy helyreállítása. 

(5) Abban az esetben, ha a valamely természetes személy végberendezésében történő személyesadat-tárolás vagy a már ott tárolt személyes adatokhoz való hozzáférés megszerzése hozzájáruláson alapul, a következőket kell alkalmazni:

a) az érintett számára lehetővé kell tenni, hogy egyszerű és érthető módon, egy kattintással működő gombbal vagy azzal egyenértékű eszközzel elutasíthasson a hozzájárulás iránti kérelmeket; 

b) abban az esetben, ha az érintett hozzájárulását adja, az adatkezelő ugyanebből a célból nem kérhet újabb hozzájárulást mindaddig, amíg jogszerűen támaszkodhat az érintett hozzájárulására;

c) abban az esetben, ha az érintett elutasítja a hozzájárulás iránti kérelmet, az adatkezelő ugyanebből a célból legalább hat hónapig nem nyújthat be újabb hozzájárulás iránti kérelmet.

Ez a bekezdés a személyes adatok hozzájáruláson alapuló későbbi kezelésére is alkalmazandó.

(6) Ezt a cikket [Kiadóhivatal: kérjük, illesszék be az e rendelet hatálybalépésének kezdőnapját 6 hónappal követő nap dátumát]-tól/-től kell alkalmazni.

(7) Az adatkezelők biztosítják, hogy online interfészeik lehetővé tegyék az érintettek számára, hogy:

a) automatizált és géppel olvasható eszközökkel hozzájárulásukat adják, feltéve, hogy a hozzájárulás e rendeletben megállapított feltételei teljesülnek;

b) automatizált és géppel olvasható eszközökkel elutasítsák a hozzájárulás iránti kérelmet.

(8) Az adatkezelőknek tiszteletben kell tartaniuk az érintettek által a (7) bekezdéssel összhangban hozott döntéseket.

(9) Az adatkezelők azon online interfészeiről, amelyek megfelelnek az (EU) 2016/679 rendelet 88b. cikke (4) bekezdésében hivatkozott harmonizált szabványoknak vagy azok részeinek, vélelmezni kell, hogy megfelelnek azoknak a követelményeknek is, amelyekre kiterjednek a (7) bekezdésben említett szabványok, illetve szabványrészek.

(10) A (7)–(9) bekezdést [Kiadóhivatal: kérjük, illesszék be az e rendelet hatálybalépésének kezdőnapját 24 hónappal követő nap dátumát]-tól/-től kell alkalmazni.”

8.A 39. cikk a következőképpen módosul:

a)a (4) bekezdés helyébe a következő szöveg lép:

„(4) A személyes adatok e rendelet szerinti kezelésére a Bizottság által elfogadott és az (EU) 2016/679 rendelet 35. cikkének (6a) bekezdésében említett jegyzékeket, sablont és módszertant kell alkalmazni.”;

b)az (5) és a (6) bekezdést el kell hagyni.

9.A szöveg az alábbi cikkel egészül ki:

„45a. cikk

A személyes adatok e rendelet szerinti kezelésére a Bizottság által elfogadott és az (EU) 2016/679 rendelet 41a. cikkében említett közös kritériumokat kell alkalmazni.”

5. cikk

A 2002/58/EK irányelv (elektronikus hírközlési adatvédelmi irányelv) módosításai

A 2002/58/EK irányelv a következőképpen módosul:

1.A 4. cikket el kell hagyni;

2.Az 5. cikk (3) bekezdése az alábbi albekezdéssel egészül ki:

„Ez a bekezdés nem alkalmazandó, ha az előfizető vagy felhasználó természetes személy, és a tárolt vagy lekérdezett információ személyes adatok kezelésének minősül vagy ahhoz vezet.”

6. cikk

Az (EU) 2022/2555 irányelv módosításai

Az (EU) 2022/2555 irányelv a következőképpen módosul:

1.Az irányelv a következő 23a. cikkel egészül ki:

„23a. cikk

Az incidensekről való jelentéstételre szolgáló egyablakos ügyintézési pont

(1)Az ENISA egyablakos ügyintézési pontot hoz létre és tart fenn az incidensek és kapcsolódó események uniós jogi aktusok szerinti bejelentésére vonatkozó kötelezettség támogatása érdekében, azokban az esetekben, ahol az említett uniós jogi aktusok így rendelkeznek (a továbbiakban: egyablakos ügyintézési pont). Az (EU) 2024/2847 európai parlamenti és tanácsi rendelet 16. cikkének sérelme nélkül az ENISA biztosíthatja, hogy az egyablakos ügyintézési pont az említett rendelet alapján létrehozott egységes jelentéstételi platformra épüljön.

(2)Az ENISA megfelelő és arányos technikai, operatív és szervezeti intézkedéseket hoz az egyablakos ügyintézési pont, valamint az egyablakos ügyintézési ponton keresztül benyújtott vagy terjesztett információk biztonságát fenyegető kockázatok kezelése érdekében. Az ENISA-nak figyelembe kell vennie az (1) bekezdésben említett uniós jogi aktusok alapján benyújtott vagy terjesztett információk érzékeny jellégét, és biztosítania kell, hogy az említett uniós jogi aktusok szerinti illetékes hatóságok az említett uniós jogi aktusokban előírtaknak megfelelően férhessenek hozzá az információkhoz és kezelhessék azokat.

(3)Az ENISA-nak ki kell dolgoznia és végre kell hajtania az egyablakos ügyintézési pont létrehozásával, karbantartásával és biztonságos üzemeltetésével kapcsolatos technikai, operatív és szervezeti intézkedésekre vonatkozó előírásokat. Az ENISA a Bizottsággal, a CSIRT-hálózattal és az (1) bekezdésben említett uniós jogi aktusok szerinti illetékes hatóságokkal együttműködve dolgozza ki az előírásokat. Az előírások biztosítják, hogy:

a)az (1) bekezdésben említett, az egyéb releváns bejelentési kötelezettségekkel kapcsolatos interoperabilitás biztosításához szükséges képességet biztosítják;

b)az (1) bekezdésben említett uniós jogi aktusok szerinti technikai megállapodások vannak érvényben az érintett szervezetekre és hatóságokra nézve az egyablakos ügyintézési pontból származó információkhoz való hozzáférésre, azok benyújtására, lekérdezésére, továbbítására vagy más módon történő kezelésére vonatkozóan, és ezek a technikai megállapodások olyan technikai protokollokat és eszközöket biztosítanak, amelyek lehetővé teszik a szervezetek és hatóságok számára a rendszereiken belül kapott információk további kezelését;

c)megfelelően figyelembe veszik az (1) bekezdésben említett uniós jogi aktusokban az incidensek bejelentésére vonatkozóan megállapított követelmények sajátosságait;

d)adott esetben az egyablakos ügyintézési pont interoperábilis és kompatibilis a [Rendeletjavaslat: kérjük, illesszék be a javaslat címét]-ban/-ben említett európai üzleti tárcákkal, és hogy az európai üzleti tárcák felhasználhatók legalább az egyablakos ügyintézési pontot használó szervezetek azonosítására és hitelesítésére;

e)az egyablakos ügyintézési pontot használó szervezetek lekérdezhetik és kiegészíthetik az egyablakos ügyintézési ponton keresztül általuk korábban benyújtott információkat;

f)a valamely szervezet által az egyablakos ügyintézési ponton keresztül benyújtott egyetlen információbejelentés felhasználható az egyablakos ügyintézési pont felé történő incidensbejelentést előíró bármely más uniós jogi aktusban meghatározott jelentéstételi kötelezettségek teljesítésére.

(4)Amennyiben az e cikk (1) bekezdésében említett uniós jogi aktusok másként nem rendelkeznek, az ENISA nem férhet hozzá az egyablakos ügyintézési ponton keresztül benyújtott bejelentésekhez.

(5)E rendelet hatálybalépésétől számított [18] hónapon belül, valamint a Bizottsággal és a vonatkozó uniós jogi aktusok szerinti érintett illetékes hatóságokkal folytatott konzultációt követően az ENISA minden egyes hozzáadott uniós jogi aktus tekintetében teszteli az egyablakos ügyintézési pont működését, melynek során többek között olyan tesztelést is végez, amely figyelembe veszi az egyes uniós jogi aktusokban a bejelentésekre vonatkozóan meghatározott sajátosságokat és követelményeket. Az ENISA az (1) bekezdésben említett egyes uniós jogi aktusok szerinti biztonsági események bejelentését csak a működés tesztelését követően teszi lehetővé, valamint azt követően, hogy a Bizottság a (6) bekezdés szerinti értesítést tett közzé.

(6)A Bizottság az ENISA-val együttműködve értékeli az egyablakos ügyintézési pont megfelelő működését, megbízhatóságát, sértetlenségét és bizalmas jellegét. Abban az esetben, ha a Bizottság a CSIRT-hálózattal és az (1) bekezdésben említett uniós jogi aktusok szerinti illetékes hatóságokkal folytatott konzultációt követően megállapítja, hogy az egyablakos ügyintézési pont biztosítja a megfelelő működést, megbízhatóságot, sértetlenséget és bizalmas jelleget, erről értesítést tesz közzé az Európai Unió Hivatalos Lapjában.

(7)Abban az esetben, ha a Bizottság értékelésében megállapítja, hogy az egyablakos ügyintézési pont nem biztosítja a megfelelő működést, megbízhatóságot, sértetlenséget vagy bizalmas jelleget, az ENISA a Bizottsággal együttműködve és indokolatlan késedelem nélkül meghoz minden szükséges korrekciós intézkedést a megfelelő működés, megbízhatóság, sértetlenség vagy bizalmas jelleg biztosítása érdekében, és az eredményekről tájékoztatja a Bizottságot. Ezt követően a Bizottság újraértékeli az egyablakos ügyintézési pont megfelelő működését, megbízhatóságát, sértetlenségét vagy bizalmas jellegét, és a (6) bekezdéssel összhangban értesítést tesz közzé.”

2.A 23. cikk a következőképpen módosul:

a)az (1) bekezdés első mondata helyébe a következő szöveg lép:

„Minden tagállam biztosítja, hogy az alapvető és fontos szervezetek az e cikk (4) bekezdésével összhangban a 23a. cikk szerint létrehozott egyablakos ügyintézési ponton keresztül indokolatlan késedelem nélkül értesítsék a tagállam CSIRT-jét vagy adott esetben illetékes hatóságát minden olyan incidensről, amely jelentős hatással van az e cikk (3) bekezdésében említett szolgáltatásaik nyújtására (jelentős incidens).”;

a)a szöveg a következő (12) bekezdéssel egészül ki:

„Amennyiben egy gyártó az (EU) 2024/2847 rendelet 14. cikkének (3) bekezdése alapján jelent be súlyos incidenst, és az említett cikk szerinti incidensbejelentés az e cikk (4) bekezdésében előírt releváns információkat tartalmaz, a gyártónak az (EU) 2024/2847 rendelet 14. cikkének (3) bekezdése szerinti bejelentése az e cikk (4) bekezdése szerinti információbejelentésnek minősül.”

3.A 30. cikk (1) bekezdése helyébe a következő szöveg lép: 

„(1) A tagállamok biztosítják, hogy a 23. cikkben előírt értesítési kötelezettségen túlmenően a CSIRT-ekhez vagy adott esetben az illetékes hatóságokhoz önkéntes alapon a 23a. cikk szerint létrehozott egyablakos ügyintézési ponton keresztül az alábbiak benyújthassanak bejelentéseket:

a)alapvető és fontos szervezetek az incidensek, a kiberfenyegetések és a majdnem bekövetkezett incidensek tekintetében;

b)az a) pontban említettektől eltérő szervezetek – függetlenül attól, hogy ezen irányelv hatálya alá tartoznak-e – a jelentős incidensek, a kiberfenyegetések és a majdnem bekövetkezett incidensek tekintetében.”

7. cikk

A 910/2014/EU rendelet módosításai

Az (EU) 910/2014 rendelet a következőképpen módosul:

1.A 19a. cikk a következő (1a) bekezdéssel egészül ki:

„(1a) Az e cikk (1) bekezdésének b) pontja szerinti, a felügyeleti szervnek és adott esetben más érintett illetékes hatóságoknak szóló értesítéseket az (EU) 2022/2555 irányelv 23a. cikke szerinti egyablakos ügyintézési ponton keresztül kell megtenni.”

2.A 24. cikk a következő (2a) bekezdéssel egészül ki:

„(2a) Az e cikk (2) bekezdésének fb) pontja szerinti, a felügyeleti szervnek és adott esetben más érintett illetékes szerveknek szóló értesítéseket az (EU) 2022/2555 irányelv 23a. cikke szerinti egyablakos ügyintézési ponton keresztül kell megtenni.”;

3.A 45a. cikk a következő (3a) bekezdéssel egészül ki:

„(3a) A (3) bekezdés szerinti, a Bizottságnak és az illetékes felügyeleti szervnek szóló értesítéseket az (EU) 2022/2555 irányelv 23a. cikke szerinti egyablakos ügyintézési ponton keresztül kell megtenni.”

8. cikk

Az (EU) 2022/2554 rendelet módosításai

Az (EU) 2022/2554 rendelet 19. cikke a következőképpen módosul:

1.Az (1) bekezdés első albekezdésének helyébe a következő szöveg lép:

„A pénzügyi szervezetek e cikk (4) bekezdésével összhangban az (EU) 2022/2555 irányelv 23a. cikke alapján létrehozott egyablakos ügyintézési ponton keresztül bejelentik a jelentős IKT-vonatkozású incidenseket a 46. cikkben említett releváns illetékes hatóságnak.”

2.A (2) bekezdés első albekezdésének helyébe a következő szöveg lép:

„A pénzügyi szervezetek az (EU) 2022/2555 irányelv 23a. cikke alapján létrehozott egyablakos ügyintézési ponton keresztül önkéntes alapon értesíthetik a releváns illetékes hatóságot a jelentős kiberfenyegetésekről, amennyiben úgy ítélik meg, hogy a fenyegetés relevanciával bír a pénzügyi rendszer, a szolgáltatás igénybevevői vagy az ügyfelek számára. A releváns illetékes hatóság átadhatja az ilyen információkat a (6) bekezdésben említett egyéb releváns hatóságoknak.”

9. cikk

Az (EU) 2022/2557 irányelv módosításai

Az (EU) 2022/2557 irányelv 15. cikke a következőképpen módosul:

1.Az (1) bekezdés első mondata helyébe a következő szöveg lép:

„A tagállamok biztosítják, hogy a kritikus szervezetek az (EU) 2022/2555 irányelv 23a. cikke alapján létrehozott egyablakos ügyintézési ponton keresztül indokolatlan késedelem nélkül értesítsék az illetékes hatóságokat azon eseményekről, amelyek jelentős zavart okoznak vagy okozhatnak az alapvető szolgáltatások nyújtásában.”

2.A (2) bekezdés a következő albekezdéssel egészül ki:

„A Bizottság végrehajtási jogi aktusokat fogadhat el, amelyekben részletesebben meghatározza a 15. cikk (1) bekezdése szerinti értesítésben szereplő információk típusát és formátumát. Ezeket a végrehajtási jogi aktusokat a 24. cikk (2) bekezdésében említett vizsgálóbizottsági eljárás keretében kell elfogadni.”

10. cikk

Hatályon kívül helyezések és átmeneti rendelkezések

1.Az (EU) 2019/1150 rendelet [dátum: e rendelet alkalmazásának kezdőnapja]-tól/-től hatályát veszti.

2.Az (1) bekezdéstől eltérve a következő rendelkezéseket 2032. december 31-ig továbbra is alkalmazni kell:

a)a 2. cikk 1. pontja;

b)a 2. cikk 2. pontja;

c)a 2. cikk 5. pontja;

d)a 4. cikk;

e)a 11. cikk;

f)a 15. cikk.

3.A következő jogi aktusok [a módosítások alkalmazásának kezdőnapjához igazított dátum]-ával/-ével hatályukat vesztik:

a)az (EU) 2022/868 rendelet;

b)az (EU) 2018/1807 rendelet;

c)az (EU) 2019/1024 irányelv.

4.Az (EU) 2022/868 rendeletre, az (EU) 2018/1807 rendeletre és az (EU) 2019/1024 irányelvre való hivatkozásokat az e rendelet I. mellékletében található megfelelési táblázat szerint kell értelmezni.

11. cikk

Záró rendelkezések

Ez a rendelet az Európai Unió Hivatalos Lapjában való kihirdetését követő harmadik napon lép hatályba.

A (3) bekezdéstől eltérve az 5. cikk (2) bekezdése az Európai Unió Hivatalos Lapjában való közzétételt követő 6 hónap elteltével lép hatályba.

A 3. cikk (8) bekezdésének a)–c) pontja, a 6. cikk (2) és (3) bekezdése, valamint a 7–9. cikk e rendelet hatálybalépésétől számított 18 hónap elteltével lép hatályba. Az első mondattól eltérve amennyiben a Bizottság az (EU) 2022/2555 irányelv 23a. cikkének (7) bekezdése szerinti értékelésében megállapítja, hogy az egyablakos ügyintézési pont nem biztosítja a megfelelő működést, megbízhatóságot, sértetlenséget vagy bizalmas jelleget, az (EU) 2022/2555 irányelv 23. cikkének (4) bekezdésében, a 910/2014/EU rendelet 19a. cikkének (1a) bekezdésében, 24. cikkének (2a) bekezdésében és 45a. cikkének (3a) bekezdésében, az (EU) 2016/679 rendelet 33. cikkének (1) bekezdésében, az (EU) 2022/2554 rendelet 19. cikkének (1) és (2) bekezdésében, valamint az (EU) 2022/2557 irányelv 15. cikkének (1) bekezdésében meghatározott, az egyablakos ügyintézési ponton keresztül történő jelentéstétellel kapcsolatos kötelezettségek az e rendelet hatálybalépésétől számított 24 hónap elteltével lépnek hatályba.

Ez a rendelet teljes egészében kötelező és közvetlenül alkalmazandó valamennyi tagállamban.

Kelt Brüsszelben, -án/-én.

PÉNZÜGYI ÉS DIGITÁLIS KIMUTATÁS

1. A JAVASLAT/KEZDEMÉNYEZÉS FŐBB ADATAI    3

1.1. A javaslat/kezdeményezés címe    3

1.2. Az érintett szakpolitikai terület(ek)    3

1.3. Célkitűzés(ek)    3

1.3.1. Általános célkitűzés(ek)    3

1.3.2. Egyedi célkitűzés(ek)    3

1.3.3.Várható eredmény(ek) és hatás(ok)    3

1.3.4.Teljesítménymutatók    3

1.4. A javaslat/kezdeményezés tárgya:    4

1.5. A javaslat/kezdeményezés indoklása    4

1.5.1.    Rövid vagy hosszú távon kielégítendő szükséglet(ek) a kezdeményezés végrehajtásának részletes ütemtervével    4

1.5.2.    Az uniós részvételből származó hozzáadott érték (adódhat többek között a koordinációból eredő előnyökből, a jogbiztonságból, a fokozott hatékonyságból vagy a kiegészítő jellegből). E szakaszban „az uniós részvételből származó hozzáadott érték” azt az uniós fellépésből adódó értéket jelenti, amely többletként jelentkezik ahhoz az értékhez képest, amely a tagállamok egyedüli fellépése esetén jött volna létre.    4

1.5.3. Hasonló korábbi tapasztalatok tanulsága    4

1.5.4.    A többéves pénzügyi kerettel való összeegyeztethetőség és lehetséges szinergiák egyéb megfelelő eszközökkel    5

1.5.5.    A rendelkezésre álló különböző finanszírozási lehetőségek értékelése, ideértve az átcsoportosítási lehetőségeket is    5

1.6. A javaslat/kezdeményezés és az abból származó pénzügyi hatás időtartama    6

1.7. Tervezett költségvetés-végrehajtási módszer(ek)    6

2. IRÁNYÍTÁSI INTÉZKEDÉSEK    8

2.1. A nyomon követésre és a jelentéstételre vonatkozó rendelkezések    8

2.2. Irányítási és kontrollrendszer(ek)    8

2.2.1.    A költségvetés-végrehajtási módszer(ek)nek, a finanszírozás-végrehajtási mechanizmus(ok)nak, a kifizetési feltételeknek és a javasolt kontrollstratégiának az indokolása    8

2.2.2.    Az azonosított kockázatokkal és a csökkentésükre létrehozott belső kontrollrendszerekkel kapcsolatos információk    8

2.2.3.    A kontrollok költséghatékonyságának becslése (a kontroll költségeinek és az érintett forrásoknak az aránya) és indokolása, valamint a hibakockázat várható szintjeinek értékelése (kifizetéskor és záráskor)    8

2.3. A csalások és a szabálytalanságok megelőzésére irányuló intézkedések    9

3. A JAVASLAT/KEZDEMÉNYEZÉS BECSÜLT PÉNZÜGYI HATÁSA    10

3.1.    A többéves pénzügyi keret érintett fejezete(i) és a költségvetés érintett kiadási sora(i)    10

3.2. A javaslatnak az előirányzatokra gyakorolt becsült pénzügyi hatása    12

3.2.1. Az operatív előirányzatokra gyakorolt becsült hatás összefoglalása    12

3.2.1.1. A megszavazott költségvetésből származó előirányzatok    12

3.2.1.2. Külső címzett bevételekből származó előirányzatok    17

3.2.2. Operatív előirányzatokból finanszírozott becsült kimenet    22

3.2.3. Az igazgatási előirányzatokra gyakorolt becsült hatás összefoglalása    24

3.2.3.1. A megszavazott költségvetésből származó előirányzatok    24

3.2.3.2. Külső címzett bevételekből származó előirányzatok    24

3.2.3.3. Előirányzatok összesen    24

3.2.4. Becsült humánerőforrás-szükségletek    25

3.2.4.1. A megszavazott költségvetésből finanszírozott    25

3.2.4.2. Külső címzett bevételekből finanszírozott    26

3.2.4.3. Becsült humánerőforrás-szükségletek összesen    26

3.2.5. A digitális technológiával kapcsolatos beruházásokra gyakorolt becsült hatás áttekintése    28

3.2.6. A jelenlegi többéves pénzügyi kerettel való összeegyeztethetőség    28

3.2.7. Harmadik felek finanszírozási hozzájárulása    28

3.3. Becsült bevételi hatás    29

4. Digitális vetületek    29

4.1. Digitális vonatkozású követelmények    30

4.2. Adatok    30

4.3. Digitális megoldások    31

4.4. Interoperabilitási értékelés    31

4.5. A digitális végrehajtást támogató intézkedések    32

1.A JAVASLAT/KEZDEMÉNYEZÉS FŐBB ADATAI

1.1.A javaslat/kezdeményezés címe

1.2.Az érintett szakpolitikai terület(ek)

1.3.Célkitűzés(ek)

1.3.1.    Általános célkitűzés(ek)

1.3.2.    Egyedi célkitűzés(ek)

1.3.3.    Várható eredmény(ek) és hatás(ok)

Tüntesse fel, milyen hatásokat gyakorolhat a javaslat/kezdeményezés a kedvezményezettekre/célcsoportokra.

1.3.4.    Teljesítménymutatók

Határozza meg az előrehaladás és az eredmények nyomon követésére szolgáló mutatókat.

1.4.A javaslat/kezdeményezés tárgya:

 új intézkedés 

 kísérleti projektet / előkészítő intézkedést követő új intézkedés 39  

 meglévő intézkedés meghosszabbítása 

 egy vagy több intézkedés összevonása vagy átalakítása egy másik/új intézkedéssé

1.5.A javaslat/kezdeményezés indoklása

1.5.1.    Rövid vagy hosszú távon kielégítendő szükséglet(ek) a kezdeményezés végrehajtásának részletes ütemtervével

1.5.2.    Az uniós részvételből származó hozzáadott érték (adódhat többek között a koordinációból eredő előnyökből, a jogbiztonságból, a fokozott hatékonyságból vagy a kiegészítő jellegből). E szakaszban „az uniós részvételből származó hozzáadott érték” azt az uniós fellépésből adódó értéket jelenti, amely többletként jelentkezik ahhoz az értékhez képest, amely a tagállamok egyedüli fellépése esetén jött volna létre.

1.5.3.    Hasonló korábbi tapasztalatok tanulsága

1.5.4.    A többéves pénzügyi kerettel való összeegyeztethetőség és lehetséges szinergiák egyéb megfelelő eszközökkel

1.5.5.    A rendelkezésre álló különböző finanszírozási lehetőségek értékelése, ideértve az átcsoportosítási lehetőségeket is

1.6.A javaslat/kezdeményezés és az abból származó pénzügyi hatás időtartama

5. határozott időtartam

    időtartam: ÉÉÉÉ [HH/NN]-tól/-től ÉÉÉÉ [HH/NN]-ig

    pénzügyi hatás: ÉÉÉÉ-tól/-től ÉÉÉÉ-ig a kötelezettségvállalási előirányzatok esetében és ÉÉÉÉ-tól/-től ÉÉÉÉ-ig a kifizetési előirányzatok esetében

6. határozatlan időtartam

beindítási időszak: ÉÉÉÉ-tól/-től ÉÉÉÉ-ig

azt követően: rendes ütemű végrehajtás

1.7.Tervezett költségvetés-végrehajtási módszer(ek) 40  

7. Közvetlen irányítás a Bizottság által

 a Bizottság szervezeti egységein keresztül, ideértve az uniós küldöttségek személyzetét

    végrehajtó ügynökségen keresztül

8. Megosztott irányítás a tagállamokkal

9. Közvetett irányítás a költségvetés végrehajtásával kapcsolatos feladatoknak a következőkre történő átruházásával:

 harmadik országok vagy az általuk kijelölt szervek

 nemzetközi szervezetek és ügynökségeik (nevezze meg)

 az Európai Beruházási Bank és az Európai Beruházási Alap

 a költségvetési rendelet 70. és 71. cikkében említett szervek

 közjogi szervek

 magánjog alapján működő, közfeladatot ellátó szervek, amennyiben megfelelő pénzügyi garanciákkal rendelkeznek

 valamely tagállam magánjoga alapján működő, köz- és magánszféra közötti partnerség végrehajtásával megbízott és megfelelő pénzügyi garanciákkal rendelkező szervek

 az Európai Unióról szóló szerződés V. címének értelmében a közös kül- és biztonságpolitika terén konkrét fellépések végrehajtásával megbízott, és a vonatkozó alap-jogiaktusban ekként megjelölt szervek vagy személyek

valamely tagállamban létrehozott, valamely tagállam magánjoga vagy uniós jog alapján működő szervek, amelyek az ágazatspecifikus szabályokkal összhangban megbízást kaphatnak uniós források vagy költségvetési biztosítékok végrehajtására, amennyiben e szervek közjogi szervek vagy közfeladatot ellátó magánjogi intézmények ellenőrzése alá tartoznak, és az ellenőrző szerv által vállalt egyetemleges felelősség formáját öltő vagy azzal egyenértékű pénzügyi garanciával rendelkeznek, amely pénzügyi garancia minden intézkedés esetében az uniós támogatás maximális összegére korlátozódhat.

I

2.IRÁNYÍTÁSI INTÉZKEDÉSEK

2.1.A nyomon követésre és a jelentéstételre vonatkozó rendelkezések

10.A módosítások nyomon követésére a módosított jogszabály részeként kerül sor,

2.2.Irányítási és kontrollrendszer(ek)

2.2.1.A költségvetés-végrehajtási módszer(ek)nek, a finanszírozás-végrehajtási mechanizmus(ok)nak, a kifizetési feltételeknek és a javasolt kontrollstratégiának az indokolása

11.A hatályos jogszabályokra vonatkozó irányítási és kontrollrendszerek a módosítások eredményes ellenőrzését is biztosítják

2.2.2.Az azonosított kockázatokkal és a csökkentésükre létrehozott belső kontrollrendszerekkel kapcsolatos információk

12.Nem azonosítottak további kockázatokat

2.2.3.A kontrollok költséghatékonyságának becslése (a kontroll költségeinek és az érintett forrásoknak az aránya) és indokolása, valamint a hibakockázat várható szintjeinek értékelése (kifizetéskor és záráskor)

13.A kontroll költsége nem tér el a korábbi költségektől

2.3.A csalások és a szabálytalanságok megelőzésére irányuló intézkedések

14.A módosításokra továbbra is ugyanazok a megelőző intézkedések vonatkoznak

3.A JAVASLAT/KEZDEMÉNYEZÉS BECSÜLT PÉNZÜGYI HATÁSA

3.1.A többéves pénzügyi keret érintett fejezete(i) és a költségvetés érintett kiadási sora(i)

Meglévő költségvetési sorok

15.A többéves pénzügyi keret fejezetei, azon belül pedig a költségvetési sorok sorrendjében.

Létrehozandó új költségvetési sorok

16.A többéves pénzügyi keret fejezetei, azon belül pedig a költségvetési sorok sorrendjében.

3.2.A javaslatnak az előirányzatokra gyakorolt becsült pénzügyi hatása

3.2.1.Az operatív előirányzatokra gyakorolt becsült hatás összefoglalása

    A javaslat/kezdeményezés nem vonja maga után operatív előirányzatok felhasználását

    A javaslat/kezdeményezés az alábbi operatív előirányzatok felhasználását vonja maga után:

3.2.1.1.A megszavazott költségvetésből származó előirányzatok

millió EUR (három tizedesjegyig)

Főigazgatóság: <…….>			Év	Év	Év	Év	A 2021–2027-es többéves pénzügyi keretből ÖSSZESEN
			2024	2025	2026	2027
Operatív előirányzatok
Költségvetési sor	Kötelezettségvállalási előirányzatok	(1a)					0,000
	Kifizetési előirányzatok	(2a)					0,000
Költségvetési sor	Kötelezettségvállalási előirányzatok	(1b)					0,000
	Kifizetési előirányzatok	(2b)					0,000
Meghatározott egyedi programok keretéből finanszírozott igazgatási jellegű előirányzatok 44
Költségvetési sor		(3)					0,000
A(z) <…….> Főigazgatósághoz tartozó előirányzatok ÖSSZESEN	Kötelezettségvállalási előirányzatok	=(1a)+(1b)+(3)	0,000	0,000	0,000	0,000	0,000
	Kifizetési előirányzatok	=(2a)+(2b)+(3)	0,000	0,000	0,000	0,000	0,000

================================================================================================

Ezt a részt az igazgatási jellegű költségvetési adatok táblázatában kell kitölteni, melyet először a pénzügyi és digitális kimutatás mellékletébe (az Európai Unió általános költségvetése Bizottságra vonatkozó szakaszának végrehajtására vonatkozó belső szabályzatról szóló bizottsági határozat 5. melléklete 45 ) kell bevezetni; a mellékletet a szolgálatközi konzultációhoz fel kell tölteni a DECIDE rendszerbe.

millió EUR (három tizedesjegyig)

3.2.1.2.Külső címzett bevételekből származó előirányzatok

millió EUR (három tizedesjegyig)

Főigazgatóság: <…….>					Év	Év	Év	Év	A 2021–2027-es többéves pénzügyi keretből ÖSSZESEN
					2024	2025	2026	2027
Operatív előirányzatok
Költségvetési sor	Kötelezettségvállalási előirányzatok		(1a)						0,000
	Kifizetési előirányzatok		(2a)						0,000
Költségvetési sor	Kötelezettségvállalási előirányzatok		(1b)						0,000
	Kifizetési előirányzatok		(2b)						0,000
Meghatározott egyedi programok keretéből finanszírozott igazgatási jellegű előirányzatok 46
Költségvetési sor			(3)						0,000
A(z) <…….> Főigazgatósághoz tartozó előirányzatok ÖSSZESEN	Kötelezettségvállalási előirányzatok		=(1a)+(1b)+(3)		0,000	0,000	0,000	0,000	0,000
	Kifizetési előirányzatok		=(2a)+(2b)+(3)		0,000	0,000	0,000	0,000	0,000
A többéves pénzügyi keret fejezete		7		„Igazgatási kiadások” 47

millió EUR (három tizedesjegyig)

millió EUR (három tizedesjegyig)

3.2.2.Operatív előirányzatokból finanszírozott becsült kimenet (decentralizált ügynökségek esetében nem kell kitölteni)

Kötelezettségvállalási előirányzatok, millió EUR (három tizedesjegyig)

3.2.3.Az igazgatási előirányzatokra gyakorolt becsült hatás összefoglalása

    A javaslat/kezdeményezés nem vonja maga után igazgatási jellegű előirányzatok felhasználását.

    A javaslat/kezdeményezés az alábbi igazgatási jellegű előirányzatok felhasználását vonja maga után:

3.2.3.1.A megszavazott költségvetésből származó előirányzatok

A humánerőforrással és más igazgatási jellegű kiadásokkal kapcsolatos előirányzat-igényeket az adott főigazgatóság rendelkezésére álló, az intézkedés irányításához rendelt előirányzatokkal és/vagy az adott főigazgatóságon belüli átcsoportosítással kell teljesíteni. A források – a költségvetési korlátok betartása mellett – szükség esetén kiegészíthetők az éves elosztási eljárás keretében adott esetben az irányító főigazgatósághoz rendelt további allokációkkal.

3.2.4.Becsült humánerőforrás-szükségletek

    A javaslat/kezdeményezés nem igényel humánerőforrást.

    A javaslat/kezdeményezés az alábbi humánerőforrás-igénnyel jár:

3.2.4.1.A megszavazott költségvetésből finanszírozott

A becsléseket teljes munkaidős egyenértékben (FTE) kell kifejezni 50

17

3.2.5.A digitális technológiával kapcsolatos beruházásokra gyakorolt becsült hatás áttekintése

18.Kötelező: a javaslat/kezdeményezés által érintett, digitális technológiával kapcsolatos beruházásokra vonatkozó legjobb becslést fel kell tüntetni az alábbi táblázatban.

19.Kivételes esetben a 7. fejezethez tartozó előirányzatokat – amennyiben azokra a javaslat/kezdeményezés végrehajtásához szükség van –, a kijelölt sorban kell feltüntetni.

20.Az 1–6. fejezethez tartozó előirányzatokat „operatív programokkal kapcsolatos szakpolitikai informatikai kiadások”-ként kell feltüntetni. Ez a kiadás a kezdeményezés végrehajtásához közvetlenül kapcsolódó informatikai platformok/eszközök újrafelhasználására/vásárlására/fejlesztésére és az azokhoz kapcsolódó beruházásokra (pl. engedélyek, tanulmányok, adattárolás stb.) felhasználandó operatív költségvetést takarja. Az e táblázatban megadott információknak összhangban kell lenniük a 4. szakaszban („Digitális vetületek”) bemutatott részletes információkkal.

3.2.6.A jelenlegi többéves pénzügyi kerettel való összeegyeztethetőség

21.A javaslat/kezdeményezés

    teljes mértékben finanszírozható a többéves pénzügyi keret érintett fejezetén belüli átcsoportosítás révén.

    a többéves pénzügyi keret lekötetlen mozgásterének és/vagy a többéves pénzügyi keretről szóló rendeletben meghatározott különleges eszközöknek a felhasználását teszi szükségessé.

    a többéves pénzügyi keret módosítását teszi szükségessé.

3.2.7.Harmadik felek finanszírozási hozzájárulása

22.A javaslat/kezdeményezés

    nem irányoz elő harmadik felek általi társfinanszírozást.

    előirányoz harmadik felek általi társfinanszírozást az alábbi becslések szerint:

előirányzatok, millió EUR (három tizedesjegyig)

 
3.3.    Becsült bevételi hatás

    A javaslatnak/kezdeményezésnek nincs pénzügyi hatása a bevételre.

–    A javaslatnak/kezdeményezésnek van pénzügyi hatása:

–    a saját forrásokra

–    az egyéb bevételekre

–    adja meg, hogy a bevétel kiadási sorokhoz van-e rendelve

millió EUR (három tizedesjegyig)

23.A címzett bevételek esetében tüntesse fel az érintett kiadáshoz tartozó költségvetési sor(oka)t.

24.[…]

25.Egyéb megjegyzések (pl. a bevételi hatás számítására használt módszer/képlet vagy egyéb más információ).

26.[…]

27.4. DIGITÁLIS VETÜLETEK

4.1. Digitális vonatkozású követelmények

A digitális vonatkozású követelmények és a kapcsolódó kategóriák (adatok, folyamatok digitalizálása és automatizálása, digitális megoldások és/vagy digitális közszolgáltatások) összefoglaló leírása

4.2. Adatok

Az érintett adatok összefoglaló leírása

Az európai adatstratégiának való megfelelés

Annak magyarázata, hogy az egyes követelmények hogyan igazodnak az európai adatstratégiához

Az egyszeri adatszolgáltatás elvének való megfelelés

Annak ismertetése, hogy hogyan vették figyelembe az egyszeri adatszolgáltatás elvét, és hogyan tárták fel a meglévő adatok újrafelhasználásának lehetőségét

Annak bemutatása, hogy az újonnan létrehozott adatok hogyan felelnek meg a megtalálhatóság, a hozzáférhetőség, az interoperabilitás és az újrafelhasználhatóság követelményének, valamint a szigorú minőségi standardoknak

Adatáramlások

Az adatáramlások összefoglaló leírása

Megjegyzés: Az alábbiakban részletezett adatáramlások többsége már meglévő áramlás, amely az egyik rendeletből a másikba kerül át Nevezetesen: az adatkormányzási rendelet rendelkezései kerülnek át az adatrendeletbe.