31995L0046

Europos Parlamento ir Tarybos direktyva (95/46/EB)

1995 m. spalio 24 d.

dėl asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo

EUROPOS PARLAMENTAS IR EUROPOS SĄJUNGOS TARYBA,

atsižvelgdami į Europos bendrijos steigimo sutartį, ypač į jos 100a straipsnį,

atsižvelgdami į Komisijos pasiūlymą [1],

atsižvelgdami į Ekonomikos ir socialinių reikalų komiteto nuomonę [2],

laikydamiesi Sutarties 189 b straipsnyje [3] numatytos tvarkos,

(1) kadangi, be kitų Bendrijos tikslų, kaip išdėstyta Sutartyje su pakeitimais, padarytais Europos Sąjungos sutartimi, yra tikslas sukurti dar glaudesnę Europos tautų sąjungą, puoselėti glaudesnius Bendrijai priklausančių valstybių santykius, užtikrinti ekonominę ir socialinę pažangą, bendromis pastangomis pašalinti Europą skiriančius barjerus, skatinti nuolatinį jos tautų gyvenimo sąlygų gerinimą, išsaugoti ir stiprinti taiką ir laisvę bei plėtoti demokratiją, remiantis valstybių narių konstitucijose ir teisės aktuose bei Europos žmogaus teisių ir pagrindinių laisvių apsaugos konvencijoje pripažintomis pagrindinėmis teisėmis;

(2) kadangi duomenų tvarkymo sistemos skirtos tarnauti žmogui; kadangi nepriklausomai nuo fizinių asmenų tautybės ar gyvenamos vietos, duomenys turi būti tvarkomi gerbiant žmogaus teises ir laisves, ypač privatumo teisę, taip pat remiant ekonominę ir socialinę pažangą, prekybos plėtrą bei žmonių gerovę;

(3) kadangi sukurti ir veikti vidaus rinkai, kurioje pagal Sutarties 7a straipsnį užtikrinamas laisvas prekių, žmonių, paslaugų ir kapitalo judėjimas, būtina ne tik galimybė asmens duomenims laisvai judėti iš vienos valstybės narės į kitą, bet taip pat ir asmens pagrindinių teisių apsauga;

(4) kadangi įvairiose Bendrijos ekonominės ir socialinės veiklos srityse vis dažniau imamasi tvarkyti asmens duomenis; kadangi dėl informacinės technologijos pažangos yra kur kas lengviau tokius duomenis tvarkyti ir jais apsikeisti;

(5) kadangi ekonominė ir socialinė integracija, vykstanti dėl to, kad vidaus rinka bus sukurta ir veiks pagal Sutarties 7a straipsnį, neišvengiamai sąlygos išaugusius asmens duomenų srautus iš vienos valstybės į kitą tarp visų valstybėse narėse esančių valstybinio ar privataus sektoriaus subjektų, dalyvaujančių ekonominėje ar socialinėje veikloje; kadangi keitimosi asmens duomenimis tarp įvairiose valstybėse narėse esančių įmonių mastai yra linkę augti; kadangi Bendrijos teisės aktai ragina įvairių valstybių narių nacionalines valdžios institucijas bendradarbiauti ir keistis asmens duomenimis, kad jos galėtų vykdyti savo pareigas arba atlikti užduotis kitoje valstybėje narėje esančios valdžios institucijos vardu, kaip turėtų būti vidaus sienų neskiriamoje erdvėje, kurią sudaro vidaus rinka;

(6) kadangi, be to, vis plačiau bendradarbiaujant mokslinėje-techninėje srityje ir koordinuotai diegiant naujus telekomunikacijų tinklus Bendrijoje, atsiranda būtinybė ir galimybė asmens duomenims judėti iš vienos valstybės į kitą;

(7) kadangi nevienodas asmenų teisių ir laisvių, ypač jų privatumo teisės, apsaugos lygis tvarkant asmens duomenis įvairiose valstybėse narėse gali trukdyti perduoti tokius duomenis iš vienos valstybės narės į kitą; kadangi šie skirtumai gali kliudyti užsiimti kai kuriomis ekonominės veiklos rūšimis Bendrijos lygiu, iškreipti konkurenciją ar trukdyti valdžios institucijoms vykdyti savo pareigas pagal Bendrijos teisę; kadangi šie apsaugos lygių skirtumai atsiranda dėl pernelyg didelės nacionalinių įstatymų ir kitų teisės aktų įvairovės;

(8) kadangi, siekiant pašalinti kliūtis asmens duomenims judėti, asmenų teisių ir laisvių apsauga tvarkant tokius duomenis turi būti lygiavertė visose valstybėse narėse; kadangi šis tikslas yra gyvybiškai svarbus vidaus rinkai, tačiau valstybės narės nepasieks jo vienos, ypač žinant, kokie dideli taikytinų valstybių narių įstatymų skirtumai ir kaip būtina koordinuoti valstybių narių įstatymus, kad būtų užtikrinta, jog asmens duomenų judėjimas iš vienos valstybės į kitą reglamentuojamas nuosekliai, t. y. laikantis vidaus rinkos tikslų, kaip numatyta Sutarties 7a straipsnyje; kadangi dėl to Bendrija turi imtis veiksmų, kad minėti įstatymai būtų suderinti;

(9) kadangi suderinus nacionalinius įstatymus bus pasiekta minėta lygiavertė apsauga ir valstybės narės nebegalės trukdyti asmens duomenims laisvai judėti iš vienos valstybės į kitą tuo pagrindu, kad yra saugomos asmenų teisės ir laisvės, ypač privatumo teisė; kadangi valstybėms narėms liks šiek tiek pasirinkimo laisvės, kuria, įgyvendinant šią direktyvą, galės pasinaudoti ir verslo bei socialiniai partneriai; kadangi valstybės narės galės savo nacionaliniuose įstatymuose apibrėžti bendrąsias sąlygas, reglamentuojančias duomenų tvarkymo teisėtumą; kadangi tai darydamos valstybės narės sieks gerinti galiojančių savo įstatymų numatytą apsaugą; kadangi netgi nepažeidus pasirinkimo laisvės ribų ir Bendrijos įstatymų nuostatų, įgyvendinant šią direktyvą, gali atsirasti skirtumų, turėsiančių įtakos duomenų judėjimui vienoje valstybėje narėje ar visoje Bendrijoje;

(10) kadangi asmens duomenų tvarkymą reglamentuojančių nacionalinių įstatymų tikslas – apsaugoti pagrindines teises ir laisves, ypač privatumo teisę, ir tai pripažįstama Europos žmogaus teisių ir pagrindinių laisvių apsaugos konvencijos 8 straipsnyje, taip pat Bendrijos teisės aktų bendruosiuose principuose; kadangi dėl šios priežasties, suvienodinant tokius įstatymus, negali būti sumažinta juose numatyta apsauga, o priešingai – turi būti siekiama aukšto apsaugos lygio visoje Bendrijoje;

(11) kadangi šioje direktyvoje apibrėžti asmens teisių ir laisvių, ypač privatumo teisės, apsaugos principai remia tuos principus, kurie pateikiami 1981 m. sausio 28 d. Europos Tarybos konvencijoje dėl asmenų apsaugos ryšium su asmens duomenų automatizuotu tvarkymu;

(12) kadangi šie apsaugos principai, tvarkant asmens duomenis, turi būti taikomi bet kuriam asmeniui, kurio veiklą reglamentuoja Bendrijos teisės aktai; kadangi jie netaikomi asmens duomenis tvarkant tokiam fiziniam asmeniui, kuris užsiima tik asmeninio pobūdžio veikla, kaip susirašinėjimas ar adresų užrašų saugojimas;

(13) kadangi Bendrijos teisė neapima Europos Sąjungos sutarties V ir VI antraštinėse dalyse dėl visuomenės saugumo, gynybos ir nacionalinio saugumo nurodytos veiklos bei valstybės veiklos baudžiamosios teisės srityje, nepažeidžiant pagal Europos bendrijos steigimo sutarties 56 straipsnio 2 dalį, 57 ar 100a straipsnius valstybėms narėms priklausančius įsipareigojimus; kadangi ši direktyva netaikoma, kai asmens duomenys tvarkomi, kad būtų užtikrinta valstybės ekonominė gerovė, jeigu šie duomenys yra susiję su valstybės saugumu;

(14) kadangi, suvokiant vykstančių pokyčių svarbą, visuomenės informuotumo lygį ir būdus surinkti, persiųsti, manipuliuoti, įrašyti, saugoti ar perduoti su fiziniais asmenimis susijusius garsinius ir vaizdinius duomenis, ši direktyva turėtų būti taikoma tvarkant ir tokius duomenis;

(15) kadangi, tvarkant minėtus duomenis, ši direktyva taikoma tiktai tuomet, jei tvarkoma automatiniu būdu, arba jei tvarkomi duomenys yra laikomi arba ketinama juos laikyti rinkmenų sistemoje, kuri sistemiškai išdėstyta pagal specifinius su asmenimis susijusius kriterijus, kad būtų lengviau gauti šiuos asmens duomenis;

(16) kadangi ši direktyva neapima atvejų, kai tvarkomi garsiniai ar vaizdiniai duomenys, pavyzdžiui, vaizdinio sekimo metu, jeigu tvarkoma visuomenės saugumo, gynybos, nacionalinio saugumo sumetimais arba vykdant valstybinę su baudžiamąja teise susijusią veiklą ar kitą Bendrijos teisės aktų neapimamą veiklą;

(17) kadangi, tvarkant garsinius ar vaizdinius duomenis žurnalistiniais sumetimais arba literatūrinės ar meninės raiškos tikslais, ypač garsinėje-vaizdinėje srityje, šios direktyvos principai turi būti taikomi ribotai, laikantis 9 straipsnyje išdėstytų nuostatų;

(18) kadangi, norint užtikrinti, kad asmenims suteikiama visa apsauga, kurią jiems numato ši direktyva, bet kokie asmens duomenys Bendrijoje turi būti tvarkomi laikantis vienos iš valstybių narių įstatymų; kadangi, jeigu atsakomybę už duomenų tvarkymą prisiima kurioje nors valstybėje narėje įsisteigęs duomenų valdytojas, tai turėtų reglamentuoti būtent tos valstybės įstatymai;

(19) kadangi duomenų valdytojas, įsisteigęs kurioje nors valstybėje narėje, gali veiksmingai ir realiai užsiimti savo veikla pagal nusistovėjusią tvarką; kadangi įmonės teisinė forma nėra lemiamas veiksnys: tai gali būti paprastas skyrius ar dukterinė įmonė su juridinio asmens teisėmis; kadangi kai kelių valstybių narių teritorijoje steigiamas vienas duomenų valdytojas, ypač filialas, norėdamas išvengti bet kokio nacionalinių taisyklių apėjimo, jis privalo užtikrinti, kad kiekvienas įsteigtas padalinys vykdys nacionalinės teisės aktų nustatytas jo veiklai taikomas prievoles;

(20) kadangi tai, kad duomenis tvarko trečiojoje šalyje įsisteigęs asmuo, neturėtų kliudyti šioje direktyvoje numatytai asmenų apsaugai; kadangi tokiais atvejais tvarkymą turėtų reglamentuoti tos valstybės narės, kurioje įrengtos duomenų tvarkymui naudojamos priemonės, priimti teisės aktai, ir turėtų būti garantijos, kurios užtikrintų, kad šioje direktyvoje numatytos teisės ir prievolės yra tikrai gerbiamos;

(21) kadangi ši direktyva nepažeidžia teritoriškumo principų, taikomų baudžiamosios teisės srityje;

(22) kadangi valstybės narės, priimdamos įstatymus arba įgyvendindamos pagal šią direktyvą priimtas priemones, turi tiksliau apibrėžti bendras aplinkybes, kurioms esant tvarkymas yra teisėtas; kadangi 5, 7 ir 8 straipsniai leidžia valstybėms narėms, nesilaikant bendrųjų taisyklių, numatyti specialias tvarkymo sąlygas specifiniams sektoriams ir įvairioms 8 straipsnyje nurodytoms duomenų kategorijoms;

(23) kadangi valstybėms narėms yra suteikta teisė užtikrinti, kad asmenų apsauga būtų įgyvendinama ir bendrais teisės aktais dėl asmenų apsaugos tvarkant asmens duomenis, ir atskiriems sektoriams skirtais teisės aktais, pavyzdžiui, dėl statistikos institutų;

(24) kadangi ši direktyva nedaro įtakos teisės aktams dėl juridinių asmenų apsaugos, tvarkant su jais susijusius duomenis;

(25) kadangi apsaugos principai turi atsispindėti, viena vertus – atitinkamas prievoles paskiriant asmenims, valstybės valdžios institucijoms, įmonėms, agentūroms ar kitiems organams, atsakingiems už tvarkymą, ypač už duomenų kokybę, techninį saugumą, pranešimą prižiūrinčiai valdžios institucijai ir aplinkybes, kurioms esant galima tvarkyti, o kita vertus, suteikiant tiems asmenims, apie kuriuos yra tvarkomi duomenys, teisę reikalauti ištaisyti duomenis ar netgi prieštarauti dėl jų tvarkymo tam tikromis aplinkybėmis;

(26) kadangi apsaugos principai turi būti taikomi visai informacijai apie asmenį, kurio tapatybė yra nustatyta arba gali būti nustatyta; kadangi norint nustatyti, ar asmens tapatybė gali būti nustatyta, reikėtų atsižvelgti į visas priemones, kuriomis galėtų pasinaudoti duomenų valdytojas ar bet kuris kitas asmuo minėto asmens tapatybei nustatyti; kadangi apsaugos principai netaikomi duomenims, kurie paversti anoniminiais tokiu būdu, kad duomenų subjekto tapatybė nebegali būti nustatyta; kadangi šiuo tikslu etikos kodeksai, apibrėžti 27 straipsnyje, gali būti naudinga priemonė, nurodant, kaip duomenys galėtų būti paversti anoniminiais ir išlaikyti tokio pavidalo, kad duomenų subjekto tapatybės nebebūtų įmanoma nustatyti;

(27) kadangi asmenų apsaugos reikalavimai turi būti taikomi tvarkant duomenis ir automatiniu, ir rankiniu būdu; kadangi tokios apsaugos mastas iš esmės neturi priklausyti nuo naudojamo metodo, priešingu atveju iškiltų rimta įstatymų apėjimo grėsmė; kadangi tvarkant rankiniu būdu, ši direktyva taikoma tiktai rinkmenų sistemoms, tačiau negalioja nesistemintoms rinkmenoms; kadangi ypač svarbu, kad rinkmenų sistemos turinys turi būti sistemiškai išdėstytas pagal specifinius su asmenimis susijusius kriterijus, leidžiančius lengvai gauti asmens duomenų; kadangi pagal 2 straipsnio c dalyje pateiktą apibrėžimą kiekviena valstybė narė gali nustatyti kriterijus, pagal kuriuos nustatomos sisteminio asmens duomenų rinkinio sudėtinės dalys, bei kriterijus, reglamentuojančius, kaip galima gauti duomenų iš tokio rinkinio; kadangi bet kuriuo atveju ši direktyva netaikoma pagal specifinius kriterijus nesusistemintoms rinkmenoms ar rinkmenų rinkiniams, taip pat jų tituliniams lapams;

(28) kadangi bet kurie asmens duomenys turi būti tvarkomi teisėtai ir teisingai suinteresuotų asmenų atžvilgiu; kadangi tokie duomenys turi atitikti jų tvarkymo temą, tikslą ir apimtis; kadangi tokie tikslai turi būti aiškūs, teisėti ir nustatyti jau renkant duomenis; kadangi, be to, tvarkymo tikslai tolesniam rinkimui negali būti nesuderinami su tikslais, kurie buvo nurodyti iš pradžių;

(29) kadangi tolesnis asmens duomenų tvarkymas istoriniais, statistiniais ar moksliniais tikslais nėra laikomas nesuderinamu su tais tikslais, dėl kurių duomenys buvo anksčiau surinkti, su sąlyga, kad valstybės narės parūpina tinkamas apsaugos priemones; kadangi ypač tokiomis apsaugos priemonėmis turi būti užtikrinta, kad duomenys nebūtų panaudoti, priimant priemones ar sprendimus dėl bet kurio konkretaus asmens;

(30) kadangi būtina asmens duomenų teisėto tvarkymo sąlyga yra be kita ko duomenų subjekto sutikimas arba duomenų tvarkymas, norint sudaryti ar įvykdyti duomenų subjektui privalomą sutartį, vykdant teisinį reikalavimą, atliekant užduotį visuomenės labui, įgyvendinant oficialią valdžią ar ginant teisėtus fizinio ar juridinio asmens interesus, tačiau su sąlyga, kad tokių interesų bei duomenų subjekto teisės ir laisvės nėra viršesnės; kadangi valstybės narės, norėdamos išlaikyti susijusių interesų pusiausvyrą, tuo pat metu garantuodamos veiksmingą konkurenciją, gali apibrėžti, kokiomis aplinkybėmis asmens duomenys gali būti naudojami arba atskleidžiami trečiajai šaliai, kai bendrovės ar kitos institucijos užsiima teisėtu įprastiniu verslu; kadangi panašiai valstybės narės gali nurodyti, kokiomis sąlygomis asmens duomenys gali būti atskleisti trečiajai šaliai, kai prekiauja prekybos įmonės arba labdaringos organizacijos, kitos asociacijos ar fondai, pavyzdžiui, politinės pakraipos organizacijos, tačiau laikomasi nuostatos, leidžiančios duomenų subjektui prieštarauti duomenų apie jį tvarkymui, be jokių išlaidų sau ir neprivalant nurodyti priežasties;

(31) kadangi lygiai taip pat turi būti laikoma, kad asmens duomenis tvarkyti teisėta ir tuomet, kai tvarkoma norint apsaugoti bet kokį gyvybinį duomenų subjekto interesą;

(32) kadangi būtent nacionaliniuose teisės aktuose turi būti apibrėžta, ar duomenų valdytojas, vykdantis užduotį visuomenės labui arba įgyvendinantis oficialią valdžią, turėtų būti valstybės valdymo institucija arba kitas fizinis ar juridinis asmuo, kurio veiklą reglamentuoja arba viešoji teisė, arba privačioji teisė, kaip antai profesinė asociacija;

(33) kadangi duomenys, kurie dėl savo pobūdžio gali pažeisti pagrindines asmens laisves ar privatumo teisę, neturėtų būti tvarkomi, nebent duomenų subjektas duotų aiškų sutikimą; kadangi vis dėlto turi būti aiškiai numatyta, kad šio draudimo nesilaikoma atsiradus specifinėms reikmėms, ypač tokiais atvejais, kai tokius duomenis tam tikrais sveikatos tikslais tvarko asmenys, saistomi įstatymų numatytos profesinės paslapties saugojimo prievolės, arba kai savo teisėtos veiklos metu juos tvarko tam tikros asociacijos ar fondai, kurių paskirtis yra užtikrinti galimybę naudotis pagrindinėmis laisvėmis;

(34) kadangi valstybės narės taip pat turi gauti leidimą, kai tai pateisinama dėl svarbių visuomenės interesų, nesilaikyti draudimo tvarkyti ypatingų kategorijų duomenis tokiose srityse kaip visuomenės sveikatos ar socialinė apsauga, ypač užtikrinant, kad sveikatos draudimo sistemoje nagrinėjant pretenzijas dėl išmokų ir paslaugų šie duomenys būtų tvarkomi kokybiškai ir taupiai, taip pat mokslinių tyrimų ir valstybinės statistikos srityse; kadangi valstybės narės yra įpareigotos parūpinti specifines ir tinkamas apsaugos priemones, kad būtų apsaugotos pagrindinės asmenų laisvės ir privatumo teisė;

(35) kadangi, be to, oficialios valdžios institucijos, siekdamos oficialiai pripažintų religinių asociacijų tikslų, išdėstytų konstitucinėje teisėje arba tarptautinėje viešojoje teisėje, tvarko asmens duomenis dėl svarbių visuomenės interesų;

(36) kadangi, jeigu, vykstant rinkimams, demokratinei sistemai veikti kai kuriose valstybėse narėse būtina, kad politinės partijos surinktų duomenis apie žmonių politines pažiūras, gali būti leista tvarkyti tokius duomenis dėl svarbių visuomenės interesų, su sąlyga, kad yra nustatytos tinkamos apsaugos priemonės;

(37) kadangi, tvarkant asmens duomenis žurnalistiniais sumetimais arba literatūrinės ar meninės raiškos tikslais, ypač garsinėje ir vaizdinėje srityje, turėtų būti atleidžiama nuo kai kurių šios direktyvos reikalavimų, kad būtų galima suderinti pagrindines asmenų teises su informacijos laisve, ypač su teise gauti ir skleisti informaciją, kaip garantuojama Europos žmogaus teisių ir pagrindinių laisvių apsaugos konvencijos 10 straipsnyje; kadangi todėl valstybės narės turėtų išdėstyti reikalingas išimtis ir leidžiančias nukrypti nuostatas, kad būtų pasiekta pagrindinių teisių pusiausvyros, taikant bendrąsias priemones dėl duomenų tvarkymo teisėtumo bei priemones dėl duomenų perdavimo į trečiąsias šalis ir dėl priežiūros institucijos galių; kadangi tai vis dėlto neturėtų paskatinti valstybių narių nustatyti išimtis, kai taikomos priemonės, kurios užtikrina tvarkymo saugumą; kadangi bent už šį sektorių atsakingai priežiūros institucijai turėtų būti suteiktos tam tikros expost galios, pavyzdžiui, reguliariai skelbti ataskaitas arba perduoti klausimus nagrinėti teisės institucijoms;

(38) kadangi norint, kad duomenys būtų tvarkomi teisingai, duomenų subjektui turi būti sudaryta galimybė sužinoti apie tvarkymo operacijos vyksmą, o jeigu duomenys yra renkami iš duomenų subjekto, jis turi gauti tikslią ir išsamią informaciją, atsižvelgus į rinkimo aplinkybes;

(39) kadangi kartais tvarkomi tokie duomenys, kurių duomenų valdytojas nerinko tiesiogiai iš šių duomenų subjekto; kadangi be to duomenys gali būti teisėtai atskleisti trečiajai šaliai, net jeigu tai nebuvo numatyta tuomet, kai duomenys buvo renkami iš duomenų subjekto; kadangi visais atvejais duomenų subjektas turėtų būti informuojamas, kai duomenys yra įrašomi, o vėliausiai tuomet, kai duomenys yra pirmą kartą atskleidžiami trečiajai šaliai;

(40) kadangi šios prievolės taikyti nebūtina, jeigu duomenų subjektas minėtą informaciją jau turi; kadangi be to, ši prievolė netaikoma ir tuomet, kai taip įrašyti ar atskleisti duomenis aiškiai reikalauja įstatymai arba kai pateikti reikalaujamą informaciją duomenų subjektui būtų neįmanoma arba pernelyg sunku, kaip gali atsitikti tuo atveju, kai tvarkoma istoriniais, statistiniais ar moksliniais tikslais; kadangi čia galima atsižvelgti į duomenų subjektų skaičių, duomenų senumą ir bet kurias nustatytas kompensacines priemones;

(41) kadangi bet kuriam asmeniui turi būti sudarytos galimybės pasinaudoti teise gauti su juo susijusius tvarkomus duomenis, ypač norint patikrinti duomenų tikslumą ir tvarkymo teisėtumą; kadangi tais pačiais sumetimais kiekvienam duomenų subjektui turi būti suteikta teisė žinoti, kokie loginiai metodai naudojami, automatiniu būdu tvarkant duomenis apie jį, bent 15 straipsnio 1 dalyje nurodytų automatinių sprendimų atveju; kadangi ši teisė neturi pakenkti gamybos paslaptims, intelektinei nuosavybei ir ypač programinę įrangą saugančioms autorinėms teisėms; kadangi vis dėlto dėl šios priežasties negalima duomenų subjektui nesuteikti jokios informacijos;

(42) kadangi valstybės narės, gindamos duomenų subjekto interesus arba kitų asmenų teises ir laisves, gali apriboti teisę gauti duomenis ir informacijos teisę; kadangi jos gali, pavyzdžiui, nurodyti, kad medicinos duomenis galima gauti tiktai per sveikatos apsaugos darbuotoją;

(43) kadangi panašiu būdu valstybės narės gali apriboti teisę gauti duomenis ir informacijos teisę bei tam tikras duomenų valdytojo prievoles, kad būtų galima užtikrinti, pavyzdžiui, nacionalinį saugumą, gynybą, visuomenės saugumą, svarbius valstybės narės arba Europos Sąjungos ekonominius bei finansinius interesus, taip pat nusikaltimų tyrimą ir baudžiamąjį persekiojimą bei ieškinius dėl reglamentuojamų profesijų etikos pažeidimų; kadangi vardijant išimtis ir apribojimus, turėtų būti numatytos užduotys kontroliuoti, tirti arba reguliuoti trijose išvardytose visuomenės saugumo, ekonominių ir finansinių interesų bei nusikaltimų prevencijos srityse; kadangi tokių užduočių minėtose trijose srityse išvardijimas neturi įtakos valstybės saugumo ir gynybos sumetimais daromų išimčių ar apribojimų teisėtumui;

(44) kadangi Bendrijos teisės aktų nuostatos gali paskatinti valstybes nares, užtikrinant kuriuos nors iš nurodytų tikslų, nesilaikyti šios direktyvos nuostatų dėl teisės gauti duomenis, prievolės informuoti asmenis ir dėl duomenų kokybės;

(45) kadangi netgi tais atvejais, kai duomenys gali būti teisėtai tvarkomi, remiantis visuomenės interesais, oficialia valdžia bei fizinio ar juridinio asmens teisėtais interesais, bet kuriam duomenų subjektui turėtų būti garantuota teisė teisėtu arba būtinu su jo konkrečia padėtimi susijusiu pagrindu prieštarauti, kad būtų tvarkomi su juo susiję duomenys; kadangi valstybės narės vis dėlto gali numatyti priešingas nacionalines nuostatas;

(46) kadangi dėl duomenų subjektų teisių ir laisvių apsaugos, tvarkant asmens duomenis reikia, kad būtų imamasi atitinkamų techninių ir organizacinių priemonių ir tuomet, kai kuriamos tvarkymo sistemos, ir tuomet, kai duomenys tvarkomi, ypač siekiant išlaikyti saugumą ir taip neleisti be leidimo tvarkyti duomenis; kadangi valstybės narės įpareigotos užtikrinti, kad duomenų valdytojai laikytųsi šių priemonių; kadangi šios priemonės turi užtikrinti atitinkamą saugumo lygį, atsižvelgiant į technologijų lygį ir jų įgyvendinimo išlaidas susijusias su tvarkymo keliamais pavojais ir saugotinų duomenų pobūdžiu;

(47) kadangi, jeigu žinutė su asmens duomenimis perduodama telekomunikacijomis ar elektroniniu paštu, kurių vienintelė paskirtis – perduoti tokias žinutes, ta žinute perduodamų asmens duomenų atžvilgiu duomenų valdytoju paprastai laikomas tas asmuo, kuris žinutę sukūrė, o ne tas, kuris teikia perdavimo paslaugas; kadangi nepaisant to, tokias paslaugas teikiantys asmenys paprastai yra laikomi duomenų valdytojais, kai tvarkomi papildomi asmens duomenys, reikalingi minėtoms paslaugoms teikti;

(48) kadangi pranešimo priežiūros institucijai tvarka turi garantuoti, kad bet kurios tvarkymo operacijos tikslai ir pagrindiniai bruožai būtų atskleidžiami taip, jog būtų galima patikrinti, ar tokia operacija atitinka pagal šią direktyvą priimtas nacionalines priemones;

(49) kadangi bereikalingiems administraciniams formalumams išvengti valstybės narės gali numatyti prievolės pranešti išimčių arba supaprastinti reikalaujamo pranešimo tvarką tais atvejais, kai neatrodo, kad tvarkant galėtų būti pakenkta duomenų subjektų teisėms ir laisvėms, su sąlyga, kad tokios išimtys ar supaprastinimai atitinka valstybės narės priimtą jų ribas apibrėžiančią priemonę; kadangi valstybės narės gali numatyti panašių išimčių ar supaprastinimų tokiais atvejais, kai duomenų valdytojo paskirtas asmuo užtikrina, kad tvarkant nebus pakenkta duomenų subjektų teisėms ir laisvėms; kadangi tokiam duomenų apsaugos pareigūnui, nepriklausomai nuo to, ar jis yra duomenų valdytojo darbuotojas, turi būti sudaryta galimybė atlikti savo funkcijas visiškai nepriklausomai;

(50) kadangi atitinkamų išimčių ir supaprastinimų gali būti numatyta, kai tvarkoma vienu tikslu – parengti registrą, kuris pagal nacionalinius įstatymus skirtas teikti informaciją visuomenei ir kuriuo gali naudotis visuomenė arba bet kuris teisėtai reikalaujantis asmuo;

(51) kadangi, nepaisant to, prievolės pranešti supaprastinimai ar išimtys neatleidžia duomenų valdytojo nuo jokių kitų šios direktyvos numatytų prievolių;

(52 kadangi šiuo reikalu pakankama priemone turi būti laikoma ex post facto patikra, kurią atlieka kompetentingos valdžios institucijos;

(53) kadangi vis dėlto kai kurios tvarkymo operacijos gali duomenų subjektų teisėms ir laisvėms kelti konkrečius pavojus dėl savo pobūdžio, masto ar tikslų, kurie, pavyzdžiui, neleidžia asmenims pasinaudoti teise, turėti naudos ar sudaryti sutartį, arba dėl konkretaus naujų technologijų panaudojimo; kadangi valstybės narės gali savo įstatymuose įvardyti tokius pavojus;

(54) kadangi, žinant bendrą visuomenėje vykstantį duomenų tvarkymo mastą, tokius specifinius pavojus kelianti tvarkymo dalis turėtų būti labai nedidelė; kadangi valstybės narės privalo numatyti, kad priežiūros institucija arba duomenų apsaugos pareigūnas, bendradarbiaudamas su šia institucija, turi tikrinti, prieš pradėdami tvarkyti, kaip bus tvarkoma; kadangi po tokios išankstinės patikros priežiūros institucija, laikydamasi galiojančių nacionalinių įstatymų, gali pareikšti nuomonę arba išduoti leidimą taip tvarkyti; kadangi tokios patikros gali būti laikomasi ir tuomet, kai rengiama nacionalinio parlamento priemonė arba šiuo būdu paremta priemonė, apibrėžianti tvarkymo pobūdį ir numatanti tinkamą apsaugą;

(55) kadangi tam atvejui, jeigu duomenų valdytojas pažeidžia duomenų subjektų teises, nacionaliniuose teisės aktuose turi būti numatyta teisinės gynybos priemonė; kadangi bet kokią žalą, kurią asmuo gali patirti dėl neteisėto duomenų tvarkymo, turi kompensuoti duomenų valdytojas, bet jis gali būti atleistas nuo šios atsakomybės, jeigu įrodo, kad nėra atsakingas už tą žalą, ypač tokiais atvejais, kai duomenų valdytojas nustato duomenų subjekto kaltę, arba force majeure atveju; kadangi minėtos sankcijos turi būti taikomos bet kuriam asmeniui, nesilaikančiam pagal šią direktyvą priimtų nacionalinių priemonių, nepriklausomai nuo to, kokia teisė – viešoji ar privačioji – reglamentuoja jo veiklą;

(56) kadangi norint, kad plėstųsi tarptautinė prekyba, reikia, kad asmens duomenys judėtų iš vienos valstybės į kitą; kadangi asmenų apsauga, kurią Bendrijoje garantuoja ši direktyva, nekliudo perduoti asmens duomenų į trečiąsias šalis, užtikrinančias adekvatų apsaugos lygį; kadangi trečiosios šalies suteikiamos apsaugos lygio adekvatumą reikia vertinti atsižvelgiant į visas perdavimo operacijos ar operacijų grupės aplinkybes;

(57) kadangi, kita vertus, turi būti uždrausta perduoti asmens duomenis į trečiąją šalį, kuri neužtikrina adekvataus apsaugos lygio;

(58) kadangi šiam draudimui turėtų būti numatytos išimtys, esant tam tikroms aplinkybėms: kai duomenų subjektas yra davęs sutikimą, kai perduoti būtina dėl sutarties ar teisinio ieškinio, kai tai reikalinga dėl svarbių visuomenės interesų apsaugos, pavyzdžiui, tarptautiniu mastu perduodant duomenis tarp mokesčių inspekcijų ar muitinių arba už socialinę apsaugą atsakingų tarnybų, arba kai perduodami duomenys iš įstatymu įsteigto registro, kuris skirtas naudotis visuomenei ar asmenims, turintiems teisėtų interesų; kadangi šiuo atveju neturėtų būti perduodama registre sukauptų duomenų visuma arba ištisos jų kategorijos, o jeigu registras skirtas naudoti asmenims, turintiems teisėtų interesų, duomenys turėtų būti perduodami tiktai šių asmenų prašymu arba jiems būsiant duomenų gavėjais;

(59) kadangi, kad būtų kompensuota apsaugos stoka trečiojoje šalyje, gali būti priimtos konkrečios priemonės tokiais atvejais, kai duomenų valdytojas pasiūlo atitinkamus apsaugos būdus; kadangi be to, turi būti numatyta derybų tarp Bendrijos ir tokių trečiųjų šalių tvarka;

(60) kadangi bet kokiu atveju į trečiąsias šalis duomenys gali būti perduodami tiktai griežtai laikantis pagal šią direktyvą, o ypač jos 8 straipsnį, valstybių narių priimtų nuostatų;

(61) kadangi valstybės narės ir Komisija savo atitinkamose kompetencijos srityse privalo skatinti prekybos asociacijas ir kitas suinteresuotas atstovaujančias organizacijas sudaryti etikos kodeksus, kad būtų lengviau taikyti šią direktyvą, atsižvelgiant į konkrečias ypatybes, kai tvarkoma tam tikruose sektoriuose, ir laikantis šiai direktyvai įgyvendinti priimtų nuostatų;

(62) kadangi valstybėse narėse įsteigus priežiūros institucijas, savo funkcijas vykdančias visiškai nepriklausomai, šios institucijos sudarys esminę asmenų apsaugos tvarkant asmens duomenis dalį;

63) kadangi tokios valdžios institucijos privalo turėti būtinas priemones, kad galėtų atlikti savo pareigas, taip pat vykdyti savo įgaliojimus tirti ir įsikišti, ypač asmenims pateikus skundus, ir savo galias dalyvauti teisminiuose nagrinėjimuose; kadangi tokios valdžios institucijos privalo padėti užtikrinti duomenų tvarkymo skaidrumą tose valstybėse narėse, kurių jurisdikcijon jos patenka;

(64) kadangi skirtingose valstybėse narėse esančioms valdžios institucijoms teks viena kitai padėti atliekant savo pareigas, kad būtų užtikrinta, jog apsaugos taisyklių bus deramai laikomasi visoje Europos Sąjungoje;

(65) kadangi Bendrijos lygiu turi būti sudaryta darbo grupė asmenų apsaugai tvarkant asmens duomenis, kuri turi būti visiškai nepriklausoma atlikdama savo funkcijas; kadangi dėl savo specifinio pobūdžio ši darbo grupė privalo patarinėti Komisijai, ypač prisidėdama prie vienodo pagal šią direktyvą priimtų nacionalinių taisyklių taikymo;

(66) kadangi, perduodant duomenis į trečiąsias šalis, šiai direktyvai taikyti reikalinga, kad Komisijai būtų suteikti įgaliojimai įgyvendinti šią direktyvą ir kad būtų nustatyta atitinkama tvarka, kaip numatyta Tarybos direktyvoje Nr. 87/373/EEB [4];

(67) kadangi 1994 m. gruodžio 20 d. tarp Europos Parlamento, Tarybos ir Komisijos buvo sudarytas modus vivendi susitarimas dėl priemonių įgyvendinti teisės aktams, priimtiems pagal EB sutarties 189 b straipsnyje nustatytą tvarką;

(68) kadangi šioje direktyvoje išdėstyti principai dėl asmenų teisių ir laisvių, ypač jų privatumo teisės, apsaugos tvarkant asmens duomenis gali būti papildyti arba paaiškinti, ypač tam tikrų sektorių atžvilgiu, priimant specifines tais principais pagrįstas taisykles;

(69) kadangi valstybėms narėms turėtų būti leista ne vėliau kaip per trejus metus nuo šią direktyvą perkeliančių nacionalinių priemonių įsigaliojimo pradėti vis plačiau taikyti šias naujas nacionalines taisykles visoms jau vykstančioms tvarkymo operacijoms; kadangi tam, kad būtų lengviau šias taisykles įgyvendinti taupiai, per tolesnį 12 metų laikotarpį nuo šios direktyvos priėmimo valstybėms narėms bus leidžiama užtikrinti, jog esamos rankinės rinkmenų sistemos atitiktų šios direktyvos nuostatas; kadangi jeigu tokiose rinkmenų sistemose sukaupti duomenys rankiniu būdu tvarkomi per šį pratęstą pereinamąjį laikotarpį, tos sistemos turi būti priderintos, kad atitiktų jau minėtas nuostatas tuomet, kai yra tvarkoma;

(70) kadangi duomenų subjektui nebūtina kartoti savo sutikimo, kad po to, kai įsigalioja pagal šią direktyvą priimtos nacionalinės nuostatos, duomenų valdytojas galėtų toliau tvarkyti bet kokius ypatingus asmens duomenis, reikalingus vykdyti sutartį, kuri buvo sudaryta remiantis sutikimu, duotu savanoriškai ir žinomai, prieš įsigaliojant minėtoms nuostatoms;

(71) kadangi ši direktyva nekliudo valstybei narei reguliuoti prekybą, orientuotą į jos teritorijoje gyvenančius vartotojus, kol toks reguliavimas nėra susijęs su asmenų apsauga tvarkant asmens duomenis;

(72) kadangi ši direktyva leidžia įgyvendinant joje išdėstytus principus atsižvelgti į visuomenės teisę gauti oficialius dokumentus,

PRIĖMĖ ŠIĄ DIREKTYVĄ:

I SKYRIUS

BENDROSIOS NUOSTATOS

1 straipsnis

Direktyvos paskirtis

1. Pagal šią direktyvą valstybės narės saugo fizinių asmenų pagrindines teises ir laisves, o ypač jų privatumo teisę tvarkant asmens duomenis.

2. Valstybės narės nevaržo ir nedraudžia laisvo asmens duomenų judėjimo tarp valstybių narių dėl priežasčių, susijusių su apsauga, skiriama pagal šio straipsnio 1 dalį.

2 straipsnis

Sąvokos

Šioje direktyvoje:

a) "asmens duomenys" reiškia bet kurią informaciją, susijusią su asmeniu (duomenų subjektu), kurio tapatybė yra nustatyta arba gali būti nustatyta; asmuo, kurio tapatybė gali būti nustatyta, yra tas asmuo, kurio tapatybė gali būti nustatyta tiesiogiai ar netiesiogiai, ypač pasinaudojus nurodytu asmens identifikavimo kodu arba vienu ar keliais to asmens fizinei, fiziologinei, protinei, ekonominei, kultūrinei ar socialinei tapatybei būdingais veiksniais;

b) "asmens duomenų tvarkymas" (tvarkymas) reiškia bet kurią operaciją ar operacijų rinkinį, automatiniais arba neautomatiniais būdais atliekamus su asmens duomenimis, kaip antai: rinkimas, užrašymas, rūšiavimas, saugojimas, adaptavimas ar keitimas, atgaminimas, paieška, naudojimas, atskleidimas perduodant, platinant ar kitu būdu padarant juos prieinamus, išdėstymas reikiama tvarka ar sujungimas derinant, blokavimas, trynimas ar naikinimas;

c) "asmens duomenų kaupimo rinkmenose sistema" (rinkmenų sistema) reiškia bet kurį susistemintą pagal specifinius kriterijus prieinamų asmens duomenų rinkinį, kuris gali būti centralizuotas, decentralizuotas arba suskirstytas funkciniu ar geografiniu pagrindu;

d) "duomenų valdytojas" reiškia tokį fizinį ar juridinį asmenį, valstybės valdžios instituciją, agentūrą ar bet kurį kitą organą, kuris vienas ar drauge su kitais nustato asmens duomenų tvarkymo tikslus ir būdus; jeigu tvarkymo tikslus ir būdus nusako nacionaliniai arba Bendrijos įstatymai bei norminiai aktai, tai duomenų valdytoją arba specifinius kriterijus, pagal kuriuos skiriamas duomenų valdytojas, gali apibrėžti nacionaliniai arba Bendrijos įstatymai;

e) "duomenų tvarkytojas" reiškia fizinį ar juridinį asmenį, valstybės valdžios instituciją, agentūrą ar bet kurį kitą organą, kuris tvarko asmens duomenis duomenų valdytojo vardu;

f) "trečioji šalis" reiškia bet kurį fizinį ar juridinį asmenį, valstybės valdžios instituciją, agentūrą ar bet kurį kitą organą, nesantį duomenų subjektu, duomenų valdytoju ar duomenų tvarkytoju, arba tokiu asmeniu, kuriam leidžiama tvarkyti duomenis, tiesiogiai įgaliotam duomenų valdytojo ar duomenų tvarkytojo;

g) "duomenų gavėjas" reiškia tokį fizinį ar juridinį asmenį, valstybės valdžios instituciją, agentūrą ar bet kurį kitą organą, kuriam atskleidžiami duomenys, net jei jis yra trečioji šalis; tačiau valdžios institucijos, kurios gauna duomenų, padavusios konkretų užklausimą, nėra laikomos gavėjomis;

h) "duomenų subjekto sutikimas" reiškia bet kurį savanoriškai ir žinomai duotą konkretų duomenų subjekto pareiškimą, kuriuo duomenų subjektas nurodo savo sutikimą, kad būtų tvarkomi su juo susiję duomenys.

3 straipsnis

Taikymo sritis

1. Ši direktyva taikoma automatiniais būdais tvarkant asmens duomenis ištisai arba dalimis ir neautomatiniais būdais tvarkant asmens duomenis, kai tie duomenys sudaro arba yra skirti sudaryti rinkmenų sistemos dalį.

2. Ši direktyva netaikoma tvarkant asmens duomenis:

- kai yra užsiimama tokia veikla, kuri nepatenka į Bendrijos teisės taikymo sritį, kaip antai veikla, kuri numatyta Europos Sąjungos sutarties V ir VI dalyse, taip pat kai atliekamos tvarkymo operacijos, susijusios su visuomenės saugumu, gynyba, valstybės saugumu (taip pat ir valstybės ekonomine gerove, kai tvarkymo operacija susijusi su valstybės saugumo klausimais) ir su valstybės veiksmais baudžiamosios teisės srityje;

- kai duomenis tvarko fizinis asmuo, užsiimdamas tik asmenine ar namų ūkio veikla.

4 straipsnis

Taikytina nacionalinė teisė

1. Kiekviena valstybė narė taiko nacionalines nuostatas, kurias ji priima pagal šią direktyvą, kai tvarkomi asmens duomenys, jeigu:

a) tvarkoma, duomenų valdytojo padaliniui veikiant valstybės narės teritorijoje; jeigu tas pats duomenų valdytojas steigiamas kelių valstybių narių teritorijoje, jis privalo imtis reikalingų priemonių, kad kiekvienas jo padalinys vykdytų taikytinų nacionalinių įstatymų nustatytas prievoles;

b) duomenų valdytojas įsikūręs ne valstybės narės teritorijoje, bet tokioje vietoje, kur jos nacionaliniai įstatymai galioja, remiantis tarptautine viešąja teise;

c) duomenų valdytojas įsisteigęs ne Bendrijos teritorijoje ir tvarkydamas asmens duomenis naudojasi automatine ar kitokia įranga, esančia minėtos valstybės narės teritorijoje, nebent tokia įranga būtų naudojama tiktai duomenis tranzitu persiunčiant per Bendrijos teritoriją.

2. Susiklosčius 1 dalies c punkte nurodytoms aplinkybėms, duomenų valdytojas privalo paskirti atstovą, įsteigtą minėtos valstybės narės teritorijoje, nepažeisdamas nuostatų dėl teisinių veiksmų, kurių gali būti imtasi prieš patį duomenų valdytoją.

II SKYRIUS

BENDROSIOS ASMENS DUOMENŲ TVARKYMO TEISĖTUMO TAISYKLĖS

5 straipsnis

Kiek leidžia šio skyriaus nuostatos, valstybės narės tiksliau apibrėžia sąlygas, kuriomis asmens duomenų tvarkymas yra teisėtas.

I SKIRSNIS

DUOMENŲ KOKYBĖS PRINCIPAI

6 straipsnis

1. Valstybės narės numato, kad asmens duomenys turi būti:

a) tvarkomi teisingai ir teisėtai;

b) surinkti įvardintais, aiškiai apibrėžtais ir teisėtais tikslais, o po to tvarkomi su šiais tikslais suderintais būdais. Tolesnis duomenų tvarkymas istoriniais, statistiniais ar moksliniais tikslais laikomas suderinamu dalyku, su sąlyga, kad valstybės narės numato atitinkamas apsaugos priemones;

c) adekvatūs, susiję ir savo apimtimi neviršijantys tikslų, kuriems jie renkami ir (arba) vėliau tvarkomi;

d) tikslūs ir, jei būtina, nuolat atnaujinami; turi būti imtasi visų reikalingų priemonių, kad duomenys, kurie yra netikslūs ar neišsamūs, palyginti su tikslais, dėl kurių jie buvo surinkti ar po to tvarkomi, būtų ištrinti arba ištaisyti;

e) laikomi tokio pavidalo, kad duomenų subjektų tapatybes būtų galima nustatyti ne ilgiau, nei tai yra reikalinga tais tikslais, dėl kurių duomenys buvo surinkti arba po to tvarkomi. Valstybės narės išdėsto asmens duomenų, ilgesnį laiką saugomų dėl istorinės, statistinės ar mokslinės paskirties, atitinkamas apsaugos priemones.

2. Duomenų valdytojo pareiga užtikrinti, kad būtų laikomasi šio straipsnio 1 dalies.

II SKIRSNIS

DUOMENŲ TVARKYMO TEISĖTUMO KRITERIJAI

7 straipsnis

Valstybės narės numato, kad asmens duomenis galima tvarkyti tik tuo atveju, jeigu:

a) duomenų subjektas yra nedviprasmiškai davęs sutikimą;

b) tvarkyti reikia vykdant sutartį, kurią duomenų subjektas yra sudaręs kaip viena iš šalių, arba duomenų subjekto reikalavimu norint imtis priemonių prieš sudarant sutartį;

c) tvarkyti reikia vykdant teisinę prievolę, kuri privaloma duomenų valdytojui;

d) tvarkyti reikia norint apsaugoti gyvybinius duomenų subjekto interesus;

e) tvarkyti reikia vykdant užduotį, atliekamą visuomenės labui, arba įgyvendinant oficialius įgaliojimus, suteiktus duomenų valdytojui arba trečiajai šaliai, kuriai atskleidžiami duomenys; arba

f) tvarkyti reikia dėl teisėtų interesų, kurių siekia duomenų valdytojas arba trečioji šalis (šalys), kurioms atskleidžiami duomenys, išskyrus atvejus, kai duomenų subjekto, kuriam pagal 1 straipsnio 1 dalį reikalinga apsauga, teisės ir laisvės yra viršesnės nei šie interesai.

III SKIRSNIS

YPATINGOS TVARKYMO KATEGORIJOS

8 straipsnis

Ypatingų duomenų kategorijų tvarkymas

1. Valstybės narės uždraudžia tvarkyti asmens duomenis, kurie atskleidžia rasinę ar etninę kilmę, politines, religines ar filosofines pažiūras, priklausymą profesinėms sąjungoms, taip pat tvarkyti duomenis apie asmens sveikatą ar intymų gyvenimą.

2. Šio straipsnio 1 dalis netaikoma, kai:

a) duomenų subjektas davė aiškų sutikimą tvarkyti tokius duomenis, išskyrus, kai valstybės narės įstatymai numato, kad 1 dalyje nurodyto draudimo negalima panaikinti duomenų subjekto duotu sutikimu;

b) tvarkyti būtina, norint įgyvendinti duomenų valdytojo prievoles ir specifines teises darbo įstatymų srityje, kiek tai leidžia nacionalinės teisės aktai, numatantys atitinkamas apsaugos priemones;

c) tvarkyti būtina, kad būtų apsaugoti duomenų subjekto arba kito asmens gyvybiniai interesai, kai duomenų subjektas fiziškai neįgali arba yra juridiškai neveiksnus duoti sutikimą;

d) duomenis tvarko fondas, asociacija ar kita pelno nesiekianti organizacija politiniais, filosofiniais, religiniais ar su profesinėmis sąjungomis susijusiais tikslais savo teisėta veikla su atitinkamomis garantijomis ir su sąlyga, kad taip tvarkomi duomenys yra susiję tiktai su tos organizacijos nariais arba su asmenimis, kurie reguliariai palaiko ryšius su šia organizacija dėl jos siekiamų tikslų, ir kad tokie duomenys nėra atskleidžiami trečiajai šaliai be duomenų subjektų sutikimo; arba

e) tvarkomi tokie duomenys, kuriuos duomenų subjektas yra akivaizdžiai paskelbęs viešai arba kurie yra reikalingi nustatyti, įvykdyti ar apginti teisinius ieškinius.

3. Šio straipsnio 1 dalis netaikoma, kai duomenis reikia tvarkyti teikiant profilaktines medicinos, medicininės diagnostikos, medicinos priežiūros, gydymo, sveikatos apsaugos paslaugas ir kai tokius duomenis tvarko sveikatos apsaugos darbuotojas, kuriam pagal nacionalinius įstatymus arba nacionalinių kompetentingų institucijų nustatytas taisykles galioja profesinės paslapties saugojimo pareiga, arba kitas asmuo, kuriam irgi galioja lygiavertė paslapties saugojimo prievolė.

4. Dėl svarbių visuomenės interesų valstybės narės greta šio straipsnio 2 dalyje išdėstytų išimčių nacionaliniais įstatymais ar priežiūros institucijų sprendimais gali numatyti kitas išimtis, bet turi užtikrinti tinkamas apsaugos priemones.

5. Duomenys, susiję su nusikaltimais, nuteisimais ar valstybės saugumo priemonėmis, gali būti tvarkomi tik tuo atveju, jeigu tai kontroliuoja oficiali valdžios institucija arba jeigu nacionaliniai įstatymai užtikrina tinkamas saugumo priemones, bet galioja išimtys, kurias valstybė narė gali leisti pagal nacionalines nuostatas, numatančias tinkamas konkrečias apsaugos priemones. Tačiau išsamus nuteisimų registras gali būti vedamas tiktai kontroliuojant oficialiai valdžios institucijai.

Valstybės narės gali numatyti, kad duomenys, susiję su administracinėmis sankcijomis ar teismo sprendimais civilinėse bylose turi būti tvarkomi kontroliuojant oficialiai valdžios institucijai.

6. Apie 4 ir 5 dalyse numatytas nuostatas, leidžiančias nukrypti nuo 1 dalies, turi būti pranešta Komisijai.

7. Valstybės narės apibrėžia sąlygas, kuriomis gali būti tvarkomas nacionalinis asmens identifikavimo kodas ar bet kuris kitas bendrojo taikymo žymuo tapatybei nustatyti.

9 straipsnis

Asmens duomenų tvarkymas ir laisvė reikšti savo mintis ir įsitikinimus

Valstybės narės numato išimtis ir nukrypimus nuo šio skyriaus bei IV ir VI skyriaus, kai asmens duomenys tvarkomi tik žurnalistiniais sumetimais arba meninės ar literatūrinės raiškos tikslais, bet tiktai tuomet, jeigu šios išimtys reikalingos, norint privatumo teisę suderinti su laisve reikšti savo mintis ir įsitikinimus reglamentuojančiomis taisyklėmis.

IV SKIRSNIS

DUOMENŲ SUBJEKTO INFORMAVIMAS

10 straipsnis

Informavimas renkant duomenis iš duomenų subjekto

Valstybės narės numato, kad duomenų valdytojas arba jo atstovas privalo duomenų subjektui, iš kurio renkami su juo susiję duomenys, suteikti bent tokią informaciją, jeigu jis jos dar neturi:

a) duomenų valdytojo arba jo atstovo, jei toks yra, tapatybė;

b) tikslai, dėl kurių ketinama tvarkyti šiuos duomenis;

c) bet kokia platesnė informacija, kaip antai:

- duomenų gavėjai ar gavėjų kategorijos,

- ar į klausimus atsakoma privaloma tvarka, ar savanoriškai, taip pat galimos neatsakymo pasekmės,

- teisės gauti informaciją ir teisės pataisyti duomenis apie save buvimas;

kiek tokios platesnės informacijos reikia, atsižvelgus į specifines duomenų rinkimo aplinkybes, kad būtų garantuotas teisingas subjekto duomenų tvarkymas.

11 straipsnis

Informavimas kai duomenys gaunami ne iš duomenų subjekto

1. Kai duomenys gaunami ne iš duomenų subjekto, valstybės narės numato, kad tuo metu, kai imamasi užrašinėti asmens duomenis, arba, jeigu numatoma duomenis atskleisti trečiajai šaliai, ne vėliau kaip iki to laiko, kai duomenys atskleidžiami pirmą kartą, duomenų valdytojas arba jos atstovas privalo duomenų subjektui suteikti bent tokią informaciją, jeigu jis jos dar neturi:

a) duomenų valdytojo arba jo atstovo, jei toks yra, tapatybė;

b) tikslai, dėl kurių tvarkoma;

c) bet kokia platesnė informacija, kaip antai:

- tvarkomų duomenų kategorijos,

- duomenų gavėjai ar gavėjų kategorijos,

- teisės gauti informaciją ar teisės pataisyti duomenis apie save buvimas,

kiek tokios platesnės informacijos reikia, atsižvelgus į specifines duomenų tvarkymo aplinkybes, kad būtų garantuotas teisingas subjekto duomenų tvarkymas.

2. Šio straipsnio 1 dalis netaikoma, ypač tvarkant duomenis statistiniais sumetimais arba istorinių ar mokslinių tyrimų tikslais, kai tokią informaciją pateikti būtų neįmanoma arba pernelyg sunku, arba jeigu įstatymai aiškiai reikalauja duomenis įrašyti ar atskleisti. Tokiais atvejais valstybės narės užtikrina tinkamas apsaugos priemones.

V SKIRSNIS

DUOMENŲ SUBJEKTO TEISĖ GAUTI INFORMACIJĄ

12 straipsnis

Teisė gauti informaciją

Valstybės narės garantuoja kiekvienam duomenų subjektui teisę reikalauti, kad duomenų valdytojas:

a) be apribojimų, priimtinais laiko tarpais, per daug nedelsdamas ir be pernelyg didelių išlaidų, pateiktų:

- patvirtinimą, ar su juo susiję duomenys yra tvarkomi, ir informaciją bent jau apie tvarkymo tikslus, duomenų kategorijas, gavėjus, kuriems atskleidžiami duomenys, arba jų kategorijas,

- pranešimą suprantamu pavidalu apie tvarkomus duomenis ir bet kurią prieinamą informaciją apie jų šaltinius,

- žinias apie loginius metodus, naudojamus automatiškai tvarkant duomenis apie duomenų subjektą, bent 15 straipsnio 1 dalyje nurodytų automatinių sprendimų atveju;

b) tinkamai ištaisytų, ištrintų arba blokuotų duomenis, kurie tvarkomi nesilaikant šios direktyvos nuostatų, o ypač, kai tie duomenys yra neišsamūs ar netikslūs;

c) praneštų trečiosioms šalims, kurioms duomenys buvo atskleisti, kad pagal b punktą duomenys buvo ištaisyti, ištrinti ar blokuoti, nebent tai padaryti būtų neįmanoma arba pernelyg sunku.

VI SKIRSNIS

IŠIMTYS IR APRIBOJIMAI

13 straipsnis

Išimtys ir apribojimai

1. Valstybės narės gali priimti teisines priemones, kad apribotų 6 straipsnio 1 dalyje, 10 straipsnyje, 11 straipsnio 1 dalyje bei 12 ir 21 straipsniuose numatytų prievolių ir teisių mastą, kai toks apribojimas yra reikalinga apsaugos priemonė norint užtikrinti:

a) nacionalinį saugumą;

b) gynybą;

c) visuomenės saugumą;

d) kriminalinių nusikaltimų bei reglamentuojamų profesijų etikos pažeidimų prevenciją, tyrimą, išaiškinimą ir persekiojimą;

e) svarbius ekonominius ar finansinius valstybės narės ar Europos Sąjungos interesus, įskaitant ir monetarinius, biudžeto ar mokesčių klausimus;

f) kontrolės, tikrinimo ar taisyklių nustatymo funkciją, kuri susijusi, bent atsitiktinai, su įgaliojimų vykdymu c, d ir e punktuose nurodytais atvejais;

g) duomenų subjekto apsaugą arba kitų asmenų teisių ir laisvių apsaugą.

2. Tuomet, kai nėra jokio pavojaus pažeisti duomenų subjekto privatumą, valstybės narės gali teisine priemone apriboti 12 straipsnyje numatytas teises, jeigu duomenys yra tvarkomi tik mokslinių tyrimų tikslais arba jeigu jie yra laikomi asmens duomenų pavidalu ne ilgiau, nei yra reikalinga tik statistikos sumetimais, tačiau laikomasi nuostatos dėl adekvačių teisinių apsaugos priemonių, ypač nuostatos, kad duomenys nebūtų naudojami taikant priemones ar priimant sprendimus dėl bet kurio konkretaus asmens.

VII skirsnis

DUOMENŲ SUBJEKTO TEISĖ PRIEŠTARAUTI

14 straipsnis

Duomenų subjekto teisė prieštarauti

Valstybės narės suteikia duomenų subjektui teisę:

a) bent 7 straipsnio e ir f punktuose nurodytais atvejais privalomu teisėtu pagrindu, susijusiu su jo konkrečia padėtimi, prieštarauti duomenų apie jį tvarkymui, išskyrus, kai nacionaliniai įstatymai nustato kitaip. Kai prieštaraujama pagrįstai, tvarkant duomenų valdytojo iniciatyva, tokie duomenys nebegali būti toliau tvarkomi;

b) prieštarauti, paprašius ir nemokamai, tam, kad būtų tvarkomi su juo susiję duomenys, kuriuos duomenų valdytojas įtaria esant tvarkomus tiesioginio pardavimo tikslais, arba būti informuotam, prieš atskleidžiant asmens duomenis trečiosioms šalims pirmą kartą arba prieš panaudojant juos trečiųjų šalių vardu tiesioginio pardavimo tikslais, ir gauti aiškų pasiūlymą pasinaudoti teise nemokamai prieštarauti tam, kad duomenys tokiu būdu būtų atskleisti ar panaudoti.

Valstybės narės imasi reikalingų priemonių užtikrinti, kad duomenų subjektai būtų supažindinti su b punkto pirmoje pastraipoje nurodytos teisės buvimu.

15 straipsnis

Automatiniai individualūs sprendimai

1. Valstybės narės suteikia kiekvienam asmeniui teisę, kad jo atžvilgiu nebus daromas sprendimas, kuris sukuria jam teisinį poveikį arba kuris ženkliai paveikia jį ir kuris yra paremtas tiktai automatiniu duomenų tvarkymu, skirtu įvertinti tam tikrus asmeniškus su juo susijusius aspektus, kaip antai: jo darbingumas, kreditingumas, patikimumas, elgesys ir kt.

2. Laikydamosi ir kitų šios direktyvos straipsnių, valstybės narės numato, kad asmens atžvilgiu gali būti daromas 1 dalyje nurodyto pobūdžio sprendimas, jeigu tas sprendimas:

a) yra priimtas, sudarant arba vykdant sutartį, su sąlyga, kad duomenų subjekto paduotas prašymas sudaryti ar vykdyti sutartį buvo patenkintas arba kad yra tinkamų priemonių jo teisėtiems interesams apsaugoti, pavyzdžiui, atitinkama tvarka, leidžianti jam pareikšti savo nuomonę;

b) yra leidžiamas įstatymo, kuris taip pat išdėsto priemones apsaugoti duomenų subjekto teisėtus interesus.

VIII SKIRSNIS

TVARKYMO KONFIDENCIALUMAS IR SAUGUMAS

16 straipsnis

Tvarkymo konfidencialumas

Bet kuriam asmeniui, veikiančiam pagal duomenų valdytojo ar duomenų tvarkytojo įgaliojimus, įskaitant ir patį duomenų tvarkytoją, galinčiam gauti asmens duomenų, draudžiama tvarkyti juos kitaip, kaip tiktai duomenų valdytojo nurodymu, nebent jo tai padaryti reikalautų įstatymas.

17 straipsnis

Tvarkymo saugumas

1. Valstybės narės numato, kad duomenų valdytojas privalo įgyvendinti tinkamas technines ir organizacines priemones, skirtas apsaugoti, kad asmens duomenys nebūtų netyčia ar neteisėtai sunaikinti ar netyčia prarasti, pakeisti, neleistinai atskleisti ar palikti prieinami, ypač, kai tvarkomus duomenis tenka perduoti tinklu, taip pat apsaugoti nuo bet kokių kitų neteisėtų tvarkymo būdų.

Atsižvelgus į technologijų lygį ir jų įdiegimo išlaidas, minėtos priemonės turi užtikrinti tokį saugumo lygį, kuris atitiktų tvarkymo keliamą riziką ir saugotinų duomenų pobūdį.

2. Valstybės narės numato, kad kai duomenys tvarkomi duomenų valdytojo vardu, jis privalo parinkti tokį kitą duomenų tvarkytoją, kuris garantuotų reikiamas techninio saugumo ir organizacines priemones, taikomas tvarkant numatytus duomenis, ir privalo užtikrinti, kad tokių priemonių būtų laikomasi.

3. Kai duomenys tvarkomi su bet kurio duomenų tvarkytojo pagalba, tai turi reglamentuoti sutartis arba teisės aktas, kuriuo nustatomas duomenų tvarkytojo prievolės duomenų valdytojui ir kuris ypač aiškiai numato, kad:

- duomenų tvarkytojas gali veikti tiktai pagal duomenų valdytojo nurodymus,

- šio straipsnio 1 dalyje išdėstytos prievolės, kaip jas apibrėžia valstybės narės, kurioje įsikūręs duomenų tvarkytojas, įstatymai, taip pat yra privalomos duomenų tvarkytojui.

4. Kad vėliau būtų galima pasiremti įrodymais, sutarties ar teisės akto dalys, susijusios su duomenų apsauga, ir reikalavimai, susiję su šio straipsnio 1 dalyje nurodytomis priemonėmis, turi būti sudaryti raštu ar turėti kitą lygiavertį pavidalą.

IX SKIRSNIS

PRANEŠIMAS

18 straipsnis

Pareiga pranešti priežiūros institucijai

1. Valstybės narės numato, kad duomenų valdytojas arba jo atstovas, jei toks yra, privalo pranešti 28 straipsnyje nurodytai priežiūros institucijai, prieš atlikdamas bet kurią visiškai ar iš dalies automatinę tvarkymo operaciją arba operacijų grupę, numatytą vienam tikslui ar keletui susijusių tikslų.

2. Valstybės narės gali supaprastinti reikalavimą pranešti arba atleisti nuo jo, tačiau tiktai šiais atvejais ir sąlygomis:

- kai, esant tvarkymo operacijų kategorijoms, kurios, atsižvelgus į tvarkytinus duomenis, neturėtų neigiamai paveikti duomenų subjektų teisių ir laisvių, valstybės narės nurodo, kokie yra tvarkymo tikslai, tvarkomi duomenys arba jų kategorijos, duomenų subjektų kategorija arba kategorijos, gavėjai, kuriems duomenys turi būti atskleidžiami, arba jų kategorijos bei numatoma duomenų saugojimo trukmė, ir (arba)

- kai duomenų valdytojas, laikydamasis jam taikomų nacionalinių įstatymų, paskiria pareigūną asmens duomenų apsaugai, kuris privalo:

- nepriklausomai veikdamas užtikrinti, kad duomenų valdytojas laikytųsi pagal šią direktyvą priimtų nacionalinių nuostatų,

- pildyti duomenų valdytojo atliktų tvarkymo operacijų registrą, kuriame būtų pateikta 21 straipsnio 2 dalyje nurodyta informacija,

tokiu būdu užtikrindamos, kad tvarkymo operacijos negalės neigiamai paveikti duomenų subjektų teisių ir laisvių.

3. Valstybės narės gali numatyti, kad šio straipsnio 1 dalis netaikoma tuomet, kai duomenys tvarkomi tik pildant registrą, kuris pagal įstatymus ir norminius aktus turėtų suteikti informacijos visuomenei, ir kuriuo gali naudotis plačioji visuomenė arba bet kuris teisėtai reikalaujantis asmuo.

4. Valstybės narės gali atleisti nuo prievolės pranešti arba supaprastinti pranešimo tvarką 8 straipsnio 2 dalies d punkte nurodytų tvarkymo operacijų atveju.

5. Valstybės narės gali nustatyti, kad turi būti pranešama apie kai kurias arba visas ne automatines tvarkymo operacijas, susijusias su asmens duomenimis, arba gali numatyti, kad šioms tvarkymo operacijoms taikoma supaprastinta pranešimo tvarka.

19 straipsnis

Pranešimo turinys

1. Valstybės narės nurodo, kokią informaciją reikia pateikti pranešime. Jame turi būti nurodyta bent:

a) duomenų valdytojo ir jo atstovo, jei toks yra, pavadinimas ir adresas;

b) tvarkymo tikslas ar tikslai;

c) duomenų subjekto kategorija ar kategorijos bei su jais susijusių duomenų ar jų kategorijų aprašas;

d) gavėjai, kuriems gali būti atskleisti duomenys, arba jų kategorijos;

e) siūlomi duomenų perdavimai į trečiąsias šalis;

f) bendras aprašas, leidžiantis iš anksto įvertinti, ar priemonės, kurių imamasi pagal 17 straipsnį, yra tinkamos tvarkymo saugumui užtikrinti.

2. Valstybės narės nurodo, kokia tvarka turi būti pranešama priežiūros institucijoms apie bet kokį šio straipsnio 1 dalyje nurodytos informacijos pasikeitimą.

20 straipsnis

Išankstinė patikra

1. Valstybės narės nusprendžia, kurios tvarkymo operacijos gali kelti konkretų pavojų duomenų subjekto teisėms ir laisvėms, ir tikrina, ar šios tvarkymo operacijos yra ištiriamos prieš jas pradedant.

2. Tokias išankstines patikras atlieka priežiūros institucija, gavusi pranešimą iš duomenų valdytojo, arba duomenų apsaugos pareigūnas, kuris, kilus abejonių, privalo tartis su priežiūros institucija.

3. Valstybės narės gali tokias patikras atlikti tuomet, kai rengiama nacionalinio parlamento priimama priemonė arba tokia teisine priemone pagrįsta priemonė, kuri apibrėžia tvarkymo pobūdį ir nurodo tinkamus apsaugos būdus.

21 straipsnis

Tvarkymo operacijų skelbimas viešai

1. Valstybės narės imasi priemonių užtikrinti, kad tvarkymo operacijos būtų skelbiamos viešai.

2. Valstybės narės numato, kad priežiūros institucija turi registruoti tvarkymo operacijas, apie kurias reikia pranešti pagal 18 straipsnį.

Šiame registre pateikiama bent 19 straipsnio 1 dalies nuo a–e punktuose nurodyta informacija.

Su tokiu registru gali susipažinti kiekvienas asmuo.

3. Dėl tvarkymo operacijų, apie kurias neprivalu pranešti, valstybės narės numato, kad duomenų valdytojas ar kita valstybės narės paskirta institucija bent 19 straipsnio 1 dalies nuo a–e punktuose nurodytą informaciją padaro tinkamu pavidalu prieinamą bet kuriam besikreipiančiam asmeniui.

Valstybės narės gali numatyti, kad ši nuostata netaikoma tuomet, kai duomenys tvarkomi tik pildant registrą, kuris pagal įstatymus ir kitus norminius aktus turėtų suteikti informacijos visuomenei ir kuriuo gali naudotis plačioji visuomenė ar bet kuris teisėtai reikalaujantis asmuo.

III SKYRIUS

TEISĖS GYNIMO BŪDAI, TURTINĖ ATSAKOMYBĖ IR SANKCIJOS

22 straipsnis

Teisės gynimo būdai

Nepažeidžiant jokių nuostatų dėl administracinio poveikio priemonių, kurios, inter alia, gali būti numatytos prieš perduodant klausimą 28 straipsnyje nurodytai priežiūros institucijai ir prieš kreipiantis į teismo instituciją, valstybės narės numato, kad kiekvienas asmuo turi teisę į teisminę gynybą, jei pažeidžiamos teisės, kurias jam garantuoja nacionaliniai įstatymai, taikomi tvarkant tam tikru aptariamu būdu.

23 straipsnis

Turtinė atsakomybė

1. Valstybės narės numato, kad bet kuris asmuo, patyręs nuostolių dėl neteisėtos tvarkymo operacijos ar bet kokio veiksmo, nesuderinamo su nacionalinėmis nuostatomis, priimtomis pagal šią direktyvą, turi teisę iš duomenų valdytojo gauti kompensaciją už patirtus nuostolius.

2. Duomenų valdytojas gali būti visiškai ar iš dalies atleistas nuo šios turtinės atsakomybės, jeigu įrodo nesantis atsakingas už nuostolius sukėlusį veiksmą.

24 straipsnis

Sankcijos

Valstybės narės priima tinkamas priemones užtikrinti, kad šios direktyvos nuostatos būtų visiškai įgyvendintos, ir būtinai išdėsto sankcijas, kurios taikomos pažeidus pagal šią direktyvą priimtas nuostatas.

IV SKYRIUS

ASMENS DUOMENŲ PERDAVIMAS Į TREČIĄSIAS ŠALIS

25 straipsnis

Principai

1. Valstybės narės numato, kad asmens duomenys, kurie yra tvarkomi arba kuriuos juos perdavus ketinama tvarkyti, gali būti perduodami į trečiąją šalį tik tuo atveju, jeigu nepažeidžiant nacionalinių nuostatų, priimtų pagal kitas šios direktyvos nuostatas, ši trečioji šalis užtikrina adekvatų apsaugos lygį.

2. Apsaugos, kurią suteikia trečioji šalis, lygio adekvatumas įvertinamas atsižvelgiant į duomenų perdavimo operacijos ar operacijų grupės aplinkybes; ypatingas dėmesys atkreipiamas į duomenų pobūdį, siūlomos tvarkymo operacijos ar operacijų tikslą ir trukmę, duomenų kilmės bei paskirties valstybę ar valstybes, bendrųjų ir atskiriems sektoriams taikomų įstatymų, galiojančių trečiojoje šalyje, nuostatas, taip pat profesines taisykles ir saugumo priemones, kurių laikomasi toje valstybėje.

3. Valstybės narės ir Komisija praneša vienos kitoms apie tokius atvejus, kai jos mano, kad kuri nors trečioji šalis neužtikrina adekvataus apsaugos lygio, kaip numatyta šio straipsnio 2 dalyje.

4. Jeigu 31 straipsnio 2 dalyje numatyta tvarka Komisija išsiaiškina, kad kuri nors trečioji šalis neužtikrina adekvataus apsaugos lygio, kaip numatyta šio straipsnio 2 dalyje, valstybės narės imasi reikalingų priemonių, kad to tipo duomenys aptariamai trečiajai šaliai nebūtų perduoti.

5. Reikiamu metu Komisija pradeda derybas, kad ištaisytų padėtį, susidariusią pagal šio straipsnio 4 dalį išsiaiškinus apsaugos stoką.

6. 31 straipsnio 2 dalyje nurodyta tvarka Komisija gali išsiaiškinti, kad adekvatų apsaugos lygį, kaip numatyta šio straipsnio 2 dalyje, trečioji šalis užtikrina savo šalies įstatymais arba tarptautiniais įsipareigojimais, kuriuos ji yra prisiėmusi, ypač po 5 dalyje nurodytų derybų dėl asmenų privataus gyvenimo ir pagrindinių laisvių bei teisių apsaugos.

Valstybės narės imasi reikalingų priemonių, kad būtų laikomasi Komisijos sprendimo.

26 straipsnis

Nukrypimai

1. Nesilaikydamos 25 straipsnio nuostatų, išskyrus, kai konkrečius atvejus reglamentuojantys šalies įstatymai numato ką kita, valstybės narės numato, kad asmens duomenys gali būti perduodami trečiajai šaliai, kuri neužtikrina adekvataus apsaugos lygio, kaip numatyta 25 straipsnio 2 dalyje, su sąlyga, kad:

a) duomenų subjektas yra nedviprasmiškai davęs sutikimą perduoti siūlomus duomenis; arba

b) duomenis perduoti būtina, kad būtų įvykdyti sutarties tarp duomenų subjekto ir duomenų valdytojo reikalavimai, arba kad būtų įgyvendintos priemonės, kurių prieš pasirašant sutartį imamasi duomenų subjekto prašymu; arba

c) duomenis perduoti būtina, kad duomenų subjekto labui būtų sudaryta duomenų valdytojo ir trečios šalies sutartis ar būtų įvykdyti tokios sutarties reikalavimai; arba

d) duomenis perduoti būtina arba įstatymų numatyta dėl svarbių visuomenės interesų arba norint nustatyti, įvykdyti ar apginti teisinius ieškinius; arba

e) duomenis perduoti būtina, kad būtų apsaugoti gyvybiniai duomenų subjektų interesai; arba

f) duomenys perduodami iš registro, kuris pagal įstatymus ir norminius aktus turėtų suteikti informacijos visuomenei ir kuriuo gali naudotis plačioji visuomenė arba bet kuris teisėtai reikalaujantis asmuo, tačiau kiekvienu konkrečiu atveju turi būti įvykdytos įstatymo numatytos naudojimosi tokiu registru sąlygos.

2. Nepažeisdama šio straipsnio 1 dalies nuostatų, valstybė narė gali leisti perduoti asmens duomenis į trečiąją šalį, kuri neužtikrina adekvataus apsaugos lygio pagal 25 straipsnio 2 dalį, jeigu domenų valdytojas pateikia adekvačias apsaugos priemones asmenų privatumui ir pagrindinėms teisėms bei laisvėms apsaugoti ir atitinkamoms teisėms įgyvendinti; tokios apsaugos priemonės gali būti išdėstytos atitinkamuose sutarčių punktuose.

3. Valstybės narės informuoja Komisiją ir kitas valstybes nares apie leidimus, kuriuos ji suteikia pagal šio straipsnio 2 dalį.

Jei valstybė narė arba Komisija prieštarauja pagrįstai, siekdamos apsaugoti asmenų privatumą ir pagrindines teises bei laisves, Komisija imasi atitinkamų priemonių 31 straipsnio 2 dalyje nurodyta tvarka.

Valstybės narės imasi reikalingų priemonių, kad būtų laikomasi Komisijos sprendimo.

4. Jei 31 straipsnio 2 dalyje nurodyta tvarka Komisija nusprendžia, kad atitinkami standartiniai sutarčių punktai numato pakankamas apsaugos priemones, kaip reikalauja šio straipsnio 2 dalies nuostatos, valstybės narės imasi reikalingų priemonių, kad būtų laikomasi Komisijos sprendimo.

V SKYRIUS

ETIKOS KODEKSAI

27 straipsnis

1. Valstybės narės ir Komisija skatina pastangas parengti etikos kodeksus, kurie padėtų tinkamai įgyvendinti nacionalines nuostatas, valstybių narių priimtas pagal šią direktyvą, atsižvelgiant į specifinius įvairių sektorių bruožus.

2. Valstybės narės numato, kad prekybos asociacijos ar kitos institucijos, atstovaujančios kitoms duomenų valdytojų kategorijoms, kurios parengia nacionalinių kodeksų projektus arba ketina pataisyti ar papildyti galiojančius nacionalinius kodeksus, turi pateikti juos nacionalinei valdžios institucijai įvertinti.

Valstybės narės numato, kad ši valdžios institucija greta kitų dalykų turi išsiaiškinti, ar jai pateikti projektai atitinka pagal šią direktyvą priimtas nacionalines nuostatas. Prireikus ši valdžios institucija aiškinasi duomenų subjektų arba jų atstovų nuomones.

3. Bendrijos kodeksų projektai ir galiojančių Bendrijos kodeksų pataisos ar papildymai gali būti pateikti 29 straipsnyje nurodytai darbo grupei. Ši darbo grupė greta kitų dalykų sprendžia, ar jai pateikti dokumentai atitinka pagal šią direktyvą priimtas nacionalines nuostatas. Prireikus ši institucija aiškinasi duomenų subjektų arba jų atstovų nuomones. Komisija gali užtikrinti reikiamą darbo grupės patvirtintų kodeksų viešumą.

VI SKYRIUS

PRIEŽIŪROS INSTITUCIJA IR DARBO GRUPĖ ASMENŲ APSAUGAI TVARKANT ASMENS DUOMENIS

28 straipsnis

Priežiūros institucija

1. Kiekviena valstybė narė numato, kad viena ar daugiau valdžios institucijų privalo kontroliuoti, kaip jos teritorijoje yra taikomos pagal šią direktyvą valstybių narių priimtos nuostatos.

Šios valdžios institucijos veikia visiškai nepriklausomai, vykdydamos joms patikėtas funkcijas.

2. Kiekviena valstybė narė numato, kad su priežiūros institucijomis turi būti tariamasi, kai rengiamos administracinės priemonės ar taisyklės dėl asmenų teisių ir laisvių apsaugos tvarkant asmens duomenis.

3. Kiekvienai valdžios institucijai suteikiami:

- įgaliojimai tirti, kaip antai: įgaliojimai sužinoti tvarkymo operacijų turinį ar įgaliojimai surinkti visą informaciją, reikalingą priežiūros funkcijoms atlikti,

- įgaliojimai veiksmingai įsikišti, pavyzdžiui, įgaliojimai pareikšti nuomonę, iš anksto įvertinus tvarkymo operacijas pagal 20 straipsnį, ir užtikrinti, kad tokios nuomonės būtų tinkamu būdu skelbiamos viešai, taip pat įgaliojimai nurodyti blokuoti, ištrinti arba sunaikinti duomenis, laikinai arba visiškai uždrausti tvarkyti duomenis, įspėti arba papeikti duomenų valdytoją arba įgaliojimai perduoti klausimą nacionaliniams parlamentams ar kitoms politinėms institucijoms svarstyti,

- įgaliojimai dalyvauti teismo procesuose, kai pažeidžiamos pagal šią direktyvą priimtos nacionalinės nuostatos, arba atkreipti teismo institucijų dėmesį į tokius pažeidimus.

Priežiūros institucijų priimti sprendimai, sukėlę nusiskundimų, gali būti skundžiami teismuose.

4. Kiekviena priežiūros institucija nagrinėja bet kurio asmens ar tam asmeniui atstovaujančios asociacijos iškeltus ieškinius dėl jo teisių ir laisvių apsaugos tvarkant asmens duomenis. Suinteresuotam asmeniui pranešama apie ieškinio baigtį.

Kiekviena priežiūros institucija taip pat nagrinėja bet kurio asmens iškeltus ieškinius, reikalaujant patikrinti duomenų tvarkymo teisėtumą tais atvejais, kai taikomos pagal šios direktyvos 13 straipsnį priimtos nacionalinės nuostatos. Bet kuriu atveju asmeniui pranešama, kad patikra buvo atlikta.

5. Kiekviena priežiūros institucija reguliariai parengia ataskaitą apie savo veiklą. Ši ataskaita skelbiama viešai.

6. Kad ir kokie nacionaliniai įstatymai būtų taikomi tvarkant aptariamus duomenis, kiekviena priežiūros institucija yra kompetentinga savo valstybės narės teritorijoje naudotis pagal šio straipsnio 3 dalį jai suteiktais įgaliojimais. Kiekviena valdžios institucija gali būti kitos valstybės narės valdžios institucijos paprašyta pasinaudoti savo įgaliojimais.

Priežiūros institucijos tarpusavyje bendradarbiauja tiek, kiek tai reikalinga jų pareigoms vykdyti, ypač keisdamosi visa naudinga informacija.

7. Valstybės narės numato, kad priežiūros institucijos nariai ir personalas, netgi jau nebedirbantys, privalo laikytis profesinės paslapties saugojimo prievolės dėl jų gaunamos konfidencialios informacijos.

29 straipsnis

Darbo grupė asmenų apsaugai tvarkant asmens duomenis

1. Įkuriama darbo grupė asmenų apsaugai tvarkant asmens duomenis (toliau – darbo grupė).

Ji turi patariamąjį statusą ir veikia nepriklausomai.

2. Darbo grupę sudaro kiekvienos valstybės narės paskirtos priežiūros institucijos ar institucijų atstovas, Bendrijos institucijoms ir organams įsteigtos valdžios institucijos ar institucijų atstovas ir Komisijos atstovas.

Kiekvieną darbo grupės narį skiria jo atstovaujama institucija ar institucijos. Jeigu valstybė narė paskiria daugiau nei vieną priežiūros instituciją, pastarosios išrenka vieną bendrą atstovą. Tas pats taikoma Bendrijos institucijoms ir organams įsteigtų valdžios institucijų atžvilgiu.

3. Darbo grupė priima sprendimus paprasta priežiūros institucijų atstovų dauguma.

4. Darbo grupė išsirenka pirmininką. Pirmininko kadencija yra dveji metai. Jis gali būti perrinktas.

5. Darbo grupei sekretoriatą skiria Komisija.

6. Darbo grupė priima savo darbo tvarkos taisykles.

7. Darbo grupė svarsto klausimus, kuriuos į jos darbotvarkę įtraukia pirmininkas savo iniciatyva arba priežiūros institucijų atstovo ar Komisijos prašymu.

30 straipsnis

1. Darbo grupė:

a) nagrinėja bet kurį klausimą, iškilusį taikant nacionalines nuostatas, priimtas pagal šią direktyvą, siekdama padėti vienodai taikyti šias priemones;

b) pareiškia Bendrijai savo nuomonę, įvertinusi apsaugos lygį Bendrijoje ir trečiosiose šalyse;

c) pataria Bendrijai dėl siūlomų šios direktyvos pakeitimų, taip pat dėl papildomų ar specifinių priemonių, skirtų apsaugoti fizinių asmenų teises ir laisves tvarkant asmens duomenis, ir dėl kitų siūlomų Bendrijos priemonių, galinčių turėti įtakos tokioms teisėms ir laisvėms;

d) pareiškia savo nuomonę dėl Bendrijos lygiu parengtų etikos kodeksų.

2. Jeigu darbo grupė išsiaiškina, kad tarp įvairių valstybių narių įstatymų ar praktinių metodų atsiranda skirtumų, kurie gali turėti įtakos asmenų apsaugos tvarkant asmens duomenis lygiavertiškumui Bendrijoje, ji apie tai praneša Komisijai.

3. Darbo grupė gali savo iniciatyva siūlyti rekomendacijas visais klausimais, susijusiais su asmenų apsauga tvarkant asmens duomenis Bendrijoje.

4. Darbo grupės nuomonės ir rekomendacijos perduodamos Komisijai ir 31 straipsnyje nurodytam komitetui.

5. Komisija praneša darbo grupei apie veiksmus, kurių ji ėmėsi reaguodama į darbo grupės pastabas ir rekomendacijas. Tokie veiksmai aptariami ataskaitoje, kuri taip pat perduodama Europos Parlamentui ir Tarybai. Ši ataskaita skelbiama viešai.

6. Darbo grupė parengia metinę ataskaitą apie susidariusią fizinių asmenų apsaugos tvarkant asmens duomenis būklę Bendrijoje ir trečiosiose šalyse ir perduoda ją Komisijai, Europos Parlamentui ir Tarybai. Ši ataskaita skelbiama viešai.

VII SKYRIUS

BENDRIJOS ĮGYVENDINIMO PRIEMONĖS

31 straipsnis

Komitetas

1. Komisijai padeda komitetas, kurį sudaro valstybių narių atstovai ir kuriam pirmininkauja Komisijos atstovas.

2. Komisijos atstovas pateikia komitetui priemonių, kurių turi būti imtasi, projektą. Komitetas savo nuomonę dėl projekto pareiškia per tokį laiką, kurį nustato pirmininkas atsižvelgdamas į klausimo skubumą.

Nuomonė pareiškiama Sutarties 148 straipsnio 2 dalyje nustatyta balsų dauguma. Valstybių narių atstovų komitete balsai paskirstomi taip, kaip nustatyta tame straipsnyje. Pirmininkas nebalsuoja.

Komisija priima priemones, kurios taikomos nedelsiant. Tačiau jeigu šios priemonės neatitinka komiteto nuomonės, Komisija apie jas praneša Tarybai. Tokiu atveju:

- Komisija atideda priemonių, dėl kurių ji priėmė sprendimą, taikymą trims mėnesiams nuo pranešimo dienos,

- Taryba, nustatytajai daugumai pritarus, per pirmojoje pastraipoje nurodytą laiką gali priimti kitokį sprendimą.

BAIGIAMOSIOS NUOSTATOS

32 straipsnis

1. Valstybės narės priima įstatymus ir kitus teisės aktus, būtinus šios direktyvos įgyvendinimui ne vėliau kaip per trejus metus nuo direktyvos priėmimo dienos.

Valstybės narės, priimdamos šias priemones, daro jose nuorodą į šią direktyvą arba tokia nuoroda daroma jas oficialiai skelbiant. Nuorodos darymo tvarką nustato valstybės narės.

2. Valstybės narės užtikrina, kad jeigu įsigaliojant nacionalinėms nuostatoms, priimtoms pagal šią direktyvą, duomenys jau buvo tvarkomi, tai šių nuostatų reikia pradėti laikytis per trejus metus nuo jų įsigaliojimo dienos.

Nukrypdamos nuo pirmos pastraipos, valstybės narės gali numatyti, kad kai tvarkomi duomenys, kurie jau buvo sukaupti rankinėse rinkmenų sistemose, įsigaliojant nacionalinėms nuostatoms, priimtoms įgyvendinant šią direktyvą, tai šios direktyvos 6, 7 ir 8 straipsnių reikia pradėti laikytis per 12 metų nuo direktyvos priėmimo dienos. Nepaisant to, valstybės narės suteikia duomenų subjektui teisę jo prašymu, o ypač jam naudojantis savo teise gauti informaciją, išsireikalauti, kad duomenys, kurie yra neišsamūs, netikslūs arba laikomi tokiu būdu, kuris nesuderinamas su duomenų valdytojo teisėtais tikslais, būtų ištaisyti, ištrinti arba blokuoti.

3. Nukrypdamos nuo šio straipsnio 2 dalies, bet užtikrindamos tinkamas apsaugos priemones, valstybės narės gali numatyti, kad laikant duomenis tik dėl istorinių tyrimų, nereikia pradėti laikytis šios direktyvos 6, 7 ir 8 straipsnių.

4. Valstybės narės pateikia Komisijai šios direktyvos taikymo srityje priimtų vidaus teisės aktų nuostatų tekstus.

33 straipsnis

Ne vėliau kaip po trejų metų nuo 32 straipsnio 1 dalyje nurodytos dienos Komisija pradeda reguliariai atsiskaityti Tarybai ir Europos Parlamentui, kaip įgyvendinama ši direktyva, prie savo ataskaitos pridėdama, jei reikia, tinkamus pataisų siūlymus. Ši ataskaita skelbiama viešai.

Komisija nagrinėja, kaip ši direktyva taikoma tvarkant garsinius ir vaizdinius duomenis, susijusius su fiziniais asmenimis, ir teikia visus atitinkamus siūlymus, kurie yra būtini atsižvelgiant į informacinės technologijos plėtrą ir informacinės visuomenės lygį.

34 straipsnis

Ši direktyva skirta valstybėms narėms.

Priimta Liuksemburge, 1995 m. spalio 24 d.

Europos Parlamento vardu

Pirmininkas

K. Haensch

Tarybos vardu

Pirmininkas

L. Atienza Serna

[1] OL C 277, 1990 11 5, p. 3 ir OL C 311, 1992 11 27, p. 30.

[2] OL C 159, 1991 6 17, p. 38.

[3] 1992 m. kovo 11 d. Europos Parlamento nuomonė (OL C 94, 1992 4 13, p. 198), patvirtinta 1993 m. gruodžio 2 d. (OL C 342, 1993 12 20, p. 30); 1995 m. vasario 20 d. Tarybos bendroji nuomonė (OL C 93, 1995 4 13, p. 1) ir 1995 m. birželio 15 d. Europos Parlamento sprendimas (OL C 166, 1995 7 3).

[4] OL L 197, 1987 7 18, p. 33.

--------------------------------------------------