4.5.2016   

LT

Europos Sąjungos oficialusis leidinys

L 119/89

(1)

fizinių asmenų apsauga tvarkant asmens duomenis yra viena iš pagrindinių teisių. Europos Sąjungos pagrindinių teisių chartijos (toliau – Chartija) 8 straipsnio 1 dalyje ir Sutarties dėl Europos Sąjungos veikimo (toliau – SESV) 16 straipsnio 1 dalyje numatyta, kad kiekvienas asmuo turi teisę į savo asmens duomenų apsaugą;

(2)

fizinių asmenų apsaugos tvarkant jų asmens duomenis principais ir taisyklėmis turėtų būti gerbiamos asmenų pagrindinės teisės ir laisvės, visų pirma jų teisė į asmens duomenų apsaugą, nepriklausomai nuo jų pilietybės ar gyvenamosios vietos. Šia direktyva siekiama prisidėti užbaigiant kurti laisvės, saugumo ir teisingumo erdvę;

(3)

dėl sparčios technologinės plėtros ir globalizacijos kyla naujų asmens duomenų apsaugos sunkumų. Žymiai išaugo asmens duomenų rinkimo ir keitimosi jais mastas. Vykdant veiklą, pavyzdžiui, nusikalstamų veikų prevenciją, tyrimą, atskleidimą ar baudžiamąjį persekiojimą už jas arba vykdant bausmes, technologijos leidžia precedento neturinčiu mastu tvarkyti asmens duomenis;

(4)

turėtų būti palengvintas laisvas asmens duomenų judėjimas tarp kompetentingų institucijų nusikalstamų veikų prevencijos, tyrimo, atskleidimo ar baudžiamojo persekiojimo už jas arba bausmių vykdymo, be kita ko, apsaugos nuo grėsmių visuomenės saugumui ir jų prevencijos, tikslais Sąjungoje ir tokių asmens duomenų perdavimas trečiosioms valstybėms bei tarptautinėms organizacijoms, kartu užtikrinant aukšto lygio asmens duomenų apsaugą. Dėl tų pokyčių Sąjungoje reikia sukurti tvirtą ir nuoseklesnę asmens duomenų apsaugos sistemą, paremtą veiksmingu įgyvendinimu;

(5)

Europos Parlamento ir Tarybos direktyva 95/46/EB (3) taikoma visai asmens duomenų tvarkymo veiklai valstybėse narėse tiek viešajame, tiek privačiajame sektoriuose. Tačiau ji netaikoma tvarkant asmens duomenis, kai yra užsiimama tokia veikla, kuri nepatenka į Bendrijos teisės taikymo sritį, pavyzdžiui, veikla teisminio bendradarbiavimo baudžiamosiose bylose ir policijos bendradarbiavimo srityse;

(6)

Tarybos pamatinis sprendimas 2008/977/TVR (4) taikomas teisminio bendradarbiavimo baudžiamosiose bylose ir policijos bendradarbiavimo srityse. Tas pamatinis sprendimas taikomas tik tarp valstybių narių persiunčiamų asmens duomenų ar asmens duomenų, kuriais naudotis sudaryta galimybė tarp valstybių narių, tvarkymui;

(7)

siekiant užtikrinti veiksmingą teisminį bendradarbiavimą baudžiamosiose bylose ir policijos bendradarbiavimą, labai svarbu užtikrinti nuoseklią fizinių asmenų asmens duomenų aukšto lygio apsaugą ir palengvinti valstybių narių kompetentingų institucijų keitimąsi asmens duomenimis. Tuo tikslu visose valstybėse narėse turėtų būti užtikrinta lygiavertė fizinių asmenų teisių ir laisvių apsauga kompetentingoms institucijoms tvarkant asmens duomenis nusikalstamų veikų prevencijos, tyrimo, atskleidimo, baudžiamojo persekiojimo arba bausmių vykdymo, be kita ko, apsaugos nuo grėsmių visuomenės saugumui ir jų prevencijos, tikslais. Siekiant veiksmingos asmens duomenų apsaugos visoje Sąjungoje, reikia stiprinti duomenų subjektų teises ir asmens duomenis tvarkančiųjų pareigas, taip pat atitinkamus stebėsenos, kaip laikomasi asmens duomenų apsaugos taisyklių, bei tokių taisyklių laikymosi užtikrinimo įgaliojimus valstybėse narėse;

(8)

SESV 16 straipsnio 2 dalimi Europos Parlamentas ir Taryba įpareigoti nustatyti fizinių asmenų apsaugos tvarkant asmens duomenis taisykles ir laisvo asmens duomenų judėjimo taisykles;

(9)

tuo remiantis, Europos Parlamento ir Tarybos reglamente (ES) 2016/679 (5) nustatytos bendrosios taisyklės, kuriomis siekiama užtikrinti fizinių asmenų apsaugą tvarkant asmens duomenis ir užtikrinti laisvą asmens duomenų judėjimą Sąjungoje;

(10)

deklaracijoje Nr. 21 dėl asmens duomenų apsaugos teisminio bendradarbiavimo baudžiamosiose bylose ir policijos bendradarbiavimo srityse, pridėtoje prie Tarpvyriausybinės konferencijos, kurioje priimta Lisabonos sutartis, baigiamojo akto, konferencija pripažino, kad dėl teisminio bendradarbiavimo baudžiamosiose bylose ir policijos bendradarbiavimo sričių ypatingo pobūdžio tose srityse gali reikėti SESV 16 straipsniu grindžiamų specialių taisyklių dėl asmens duomenų apsaugos ir laisvo asmens duomenų judėjimo;

(11)

todėl tikslinga tų sričių klausimus reglamentuoti direktyvoje, kurioje nustatytos specialios fizinių asmenų apsaugos kompetentingoms institucijoms tvarkant asmens duomenis nusikalstamų veikų prevencijos, tyrimo, atskleidimo, baudžiamojo persekiojimo arba bausmių vykdymo, be kita ko, apsaugos nuo grėsmių visuomenės saugumui ir jų prevencijos, tikslais taisyklės, atsižvelgiant į specifinį tokios veiklos pobūdį. Tokios kompetentingos institucijos gali būti ne tik valdžios institucijos, pavyzdžiui, teisminės institucijos, policija ar kitos teisėsaugos institucijos, bet ir bet kuri kita įstaiga arba subjektas, kuriems pagal valstybės narės teisę pavesta vykdyti viešosios valdžios funkcijas ir naudotis viešaisiais įgaliojimais šios direktyvos tikslais. Jei tokia įstaiga arba subjektas tvarko asmens duomenis kitais nei šios direktyvos tikslais, taikomas Reglamentas (ES) 2016/679. Todėl Reglamentas (ES) 2016/679 taikomas tais atvejais, kai įstaiga arba subjektas renka asmens duomenis kitais tikslais ir toliau tvarko tuos asmens duomenis siekdami laikytis teisinės prievolės, kuri jiems taikoma. Pavyzdžiui, nusikalstamų veikų tyrimo, atskleidimo ar baudžiamojo persekiojimo tikslais finansų įstaigos saugo tam tikrus savo tvarkomus asmens duomenis ir pateikia tuos asmens duomenis tik kompetentingoms nacionalinėms institucijoms konkrečiais atvejais ir laikydamosi valstybės narės teisės. Įstaiga arba subjektas, tvarkantys asmens duomenis tokių institucijų vardu šios direktyvos taikymo srityje, turėtų būti saistomi sutarties ar kito teisės akto ir nuostatų, taikytinų duomenų tvarkytojams pagal šią direktyvą, o Reglamento (ES) 2016/679 taikymas išlieka nepakitęs duomenų tvarkytojo vykdomos asmens duomenų tvarkymo veiklos, kuriai ši direktyva netaikoma, atžvilgiu;

(12)

policijos ar kitų teisėsaugos institucijų vykdoma veikla daugiausia yra sutelkta į nusikalstamų veikų prevenciją, tyrimą, atskleidimą ar baudžiamąjį persekiojimą už jas, įskaitant policijos veiklą iš anksto nežinant, ar tam tikras incidentas yra nusikalstama veika, ar ne. Tokia veikla taip pat gali apimti valdžios funkcijų vykdymą imantis prievartos priemonių, pavyzdžiui, policijos veiklą demonstracijose, svarbiuose sporto renginiuose ir riaušėse. Tai taip pat apima viešosios tvarkos palaikymą kaip policijai ar kitoms teisėsaugos institucijoms priskirtą užduotį prireikus užtikrinti apsaugą nuo grėsmių visuomenės saugumui ir teisės aktais saugomiems pagrindiniams visuomenės interesams, dėl kurių gali atsirasti sąlygos nusikalstamai veikai įvykdyti, ir užkirsti joms kelią. Valstybės narės gali kompetentingoms institucijoms pavesti kitas užduotis, kurios nebūtinai atliekamos nusikalstamų veikų prevencijos, tyrimo, atskleidimo ar baudžiamojo persekiojimo už jas, be kita ko, apsaugos nuo grėsmių visuomenės saugumui ir jų prevencijos, tikslais, kad tais kitais tikslais atliekamas asmens duomenų tvarkymas tiek, kiek jam taikoma Sąjungos teisė, patektų į Reglamento (ES) 2016/679 taikymo sritį;

(13)

nusikalstama veika, kaip apibrėžta šioje direktyvoje, turėtų būti savarankiška Sąjungos teisės sąvoka, kaip ją aiškina Europos Sąjungos Teisingumo Teismas (toliau – Teisingumo Teismas);

(14)

kadangi ši direktyva neturėtų būti taikoma asmens duomenų tvarkymui vykdant Sąjungos teisės nereglamentuojamą veiklą, su nacionaliniu saugumu susijusi veikla, nacionalinio saugumo klausimus sprendžiančių agentūrų ar padalinių veikla ir asmens duomenų tvarkymas, kai asmens duomenis valstybės narės tvarko vykdydamos veiklą, kuriai taikomas Europos Sąjungos sutarties (toliau – ES sutartis) V antraštinės dalies 2 skyrius, neturėtų būti laikoma veikla, patenkančia į šios direktyvos taikymo sritį;

(15)

siekiant užtikrinti vienodą fizinių asmenų apsaugos lygį visoje Sąjungoje nustačius teisiškai įgyvendinamas teises ir užkirsti kelią skirtumams, kurie trukdo kompetentingoms institucijoms keistis asmens duomenimis, šia direktyva turėtų būti nustatytos suderintos asmens duomenų, tvarkomų nusikalstamų veikų prevencijos, tyrimo, atskleidimo ar baudžiamojo persekiojimo už jas arba bausmių vykdymo, be kita ko, apsaugos nuo grėsmių visuomenės saugumui ir jų prevencijos, tikslais, apsaugos ir laisvo judėjimo taisyklės. Dėl valstybių narių įstatymų suderinimo neturėtų susilpnėti asmens duomenų apsauga, kurią jie užtikrina, priešingai, suderinimu turėtų būti siekiama užtikrinti aukštą asmens duomenų apsaugos lygį Sąjungoje. Valstybėms narėms neturėtų būti trukdoma taikyti griežtesnes apsaugos priemones nei tos, kurios nustatytos šioje direktyvoje, siekiant užtikrinti duomenų subjekto teisių ir laisvių apsaugą kompetentingoms institucijoms tvarkant asmens duomenis;

(16)

šia direktyva nedaromas poveikis galimybės visuomenei susipažinti su oficialiais dokumentais principui. Reglamente (ES) 2016/679 numatyta, kad valdžios institucijos arba viešosios ar privačiosios įstaigos turimuose oficialiuose dokumentuose esantys asmens duomenys, reikalingi dėl viešojo intereso vykdomai užduočiai atlikti, tos institucijos arba įstaigos gali būti atskleidžiami laikantis Sąjungos ar valstybės narės teisės, kuri taikoma tai valdžios institucijai arba įstaigai, taip siekiant visuomenės teisę susipažinti su oficialiais dokumentais suderinti su teise į asmens duomenų apsaugą;

(17)

šia direktyva teikiama apsauga turėtų būti taikoma fiziniams asmenims nepriklausomai nuo jų pilietybės ar gyvenamosios vietos, tvarkant jų asmens duomenis;

(18)

siekiant išvengti rimtos teisės aktų vengimo grėsmės, fizinių asmenų apsauga turėtų būti neutrali technologijų atžvilgiu ir turėtų nepriklausyti nuo taikomų technikų. Fizinių asmenų apsauga turėtų būti taikoma asmens duomenis tvarkant tiek automatizuotomis priemonėmis, tiek rankiniu būdu, jeigu asmens duomenys laikomi arba juos ketinama laikyti susistemintame rinkinyje. Ši direktyva neturėtų būti taikoma pagal specialius kriterijus nesusistemintoms rinkmenoms ar jų grupėms, taip pat jų tituliniams lapams;

(19)

Sąjungos institucijų, įstaigų, organų ir agentūrų atliekamam asmens duomenų tvarkymui taikomas Europos Parlamento ir Tarybos reglamentas (EB) Nr. 45/2001 (6). Reglamentas (EB) Nr. 45/2001 ir kiti Sąjungos teisės aktai, taikytini tokiam asmens duomenų tvarkymui, turėtų būti pritaikyti pagal Reglamente (ES) 2016/679 nustatytus principus ir taisykles;

(20)

šia direktyva valstybėms narėms netrukdoma nacionalinėse baudžiamųjų procedūrų taisyklėse nurodyti tvarkymo operacijų ir tvarkymo procedūrų, susijusių su teismų ir kitų teisminių institucijų atliekamu asmens duomenų, visų pirma teismo sprendime arba su baudžiamuoju procesu susijusiuose įrašuose esančių asmens duomenų, tvarkymu;

(21)

duomenų apsaugos principai turėtų būti taikomi bet kokiai informacijai apie fizinį asmenį, kurio asmens tapatybė yra nustatyta arba gali būti nustatyta. Sprendžiant, ar galima nustatyti fizinio asmens tapatybę, reikėtų atsižvelgti į visas priemones, kurias fizinio asmens tapatybei tiesiogiai ar netiesiogiai nustatyti, pagrįstai tikėtina, gali naudoti duomenų valdytojas ar kitas asmuo, pavyzdžiui, atrankos metodą. Siekiant išsiaiškinti, ar tam tikros priemonės, pagrįstai tikėtina, gali būti naudojamos fizinio asmens tapatybei nustatyti, reikėtų atsižvelgti į visus objektyvius veiksnius, pavyzdžiui, asmens tapatybei nustatyti reikalingas sąnaudas ir laiko trukmę, atsižvelgiant į duomenų tvarkymo metu turimas technologijas bei technologinę plėtrą. Todėl duomenų apsaugos principai neturėtų būti taikomi nuasmenintai informacijai, t. y. informacijai, kuri nėra susijusi su fiziniu asmeniu, kurio tapatybė yra nustatyta arba gali būti nustatyta, arba asmens duomenims, kurie nuasmeninti taip, kad duomenų subjekto tapatybė nebegali būti nustatyta;

(22)

valdžios institucijos, kurioms asmens duomenys atskleidžiami laikantis teisinės prievolės jų oficialios misijos vykdymo tikslais, pavyzdžiui, mokesčių ir muitinės institucijos, finansinių tyrimų padaliniai, nepriklausomos administracinės institucijos arba už vertybinių popierių rinkų reguliavimą ir priežiūrą atsakingos finansų rinkų institucijos, neturėtų būti laikomos duomenų gavėjais, jei gauna asmens duomenis, kurie yra reikalingi konkrečiam visuotinės svarbos tyrimui atlikti pagal Sąjungos ar valstybės narės teisę. Valdžios institucijų siunčiami prašymai atskleisti duomenis visada turėtų būti pateikiami raštu, būti pagrįsti ir teikiami nesistemingai ir neturėtų būti teikiami dėl viso susisteminto rinkinio, o dėl jų neturėtų būti sujungiami susisteminti rinkiniai. Tų valdžios institucijų atliekamas asmens duomenų tvarkymas turėtų atitikti taikytinas duomenų apsaugos taisykles, atsižvelgiant į duomenų tvarkymo tikslus;

(23)

genetiniai duomenys turėtų būti apibrėžiami kaip asmens duomenys, susiję su asmens paveldėtomis ar įgytomis genetinėmis savybėmis, suteikiančiomis unikalios informacijos apie to fizinio asmens fiziologiją ar sveikatą, ir kurios gautos visų pirma atlikus atitinkamų fizinių asmenų biologinio mėginio analizę, visų pirma chromosomų, deoksiribonukleorūgšties (DNR) arba ribonukleorūgšties (RNR) analizę, arba kitų elementų, suteikiančių galimybę gauti lygiavertę informaciją, analizę. Atsižvelgiant į genetinės informacijos sudėtingumą ir konfidencialų pobūdį, egzistuoja didelė rizika, kad duomenų valdytojas tuos duomenis panaudos netinkamai ir panaudos pakartotinai įvairiais kitais tikslais. Bet kokia diskriminacija dėl genetinių savybių turėtų būti iš esmės draudžiama;

(24)

prie asmens sveikatos duomenų turėtų būti priskirti visi duomenys apie duomenų subjekto sveikatos būklę, kurie atskleidžia informaciją apie duomenų subjekto buvusią, esamą ar būsimą fizinės ar psichikos sveikatos būklę. Tai apima informaciją apie fizinį asmenį, surinktą jį registruojant sveikatos priežiūros paslaugoms gauti arba teikiant sveikatos priežiūros paslaugas, kaip nurodyta Europos Parlamento ir Tarybos direktyvoje 2011/24/ES (7), tam fiziniam asmeniui: fiziniam asmeniui priskirtą asmens numerį, simbolį ar žymę, kad būtų galima unikaliai nustatyti to asmens tapatybę sveikatos priežiūros tikslais; informaciją, gautą atliekant kūno dalies ar kūno medžiagos, įskaitant genetinius duomenis ir biologinius ėminius, tyrimus ar analizę; taip pat bet kokią kitą informaciją, pavyzdžiui, apie ligą, negalią, riziką susirgti, sveikatos istoriją, klinikinį gydymą arba duomenų subjekto fiziologinę ar biomedicininę būklę, neatsižvelgiant į informacijos šaltinį, kuris, pavyzdžiui, gali būti gydytojas, kitas sveikatos priežiūros specialistas, ligoninė, medicinos priemonė ar in vitro diagnostinis tyrimas;

(25)

visos valstybės narės yra Tarptautinės kriminalinės policijos organizacijos (Interpolo) narės. Tam, kad Interpolas galėtų atlikti savo misiją, jis gauna, saugo ir platina asmens duomenis, taip padėdamas kompetentingoms institucijoms užkirsti kelią tarptautiniam nusikalstamumui ir su juo kovoti. Todėl tikslinga stiprinti Sąjungos ir Interpolo bendradarbiavimą skatinant veiksmingai keistis asmens duomenimis, kartu užtikrinant, kad automatizuoto asmens duomenų tvarkymo atveju būtų paisoma pagrindinių teisių ir laisvių. Jei asmens duomenys perduodami iš Sąjungos Interpolui ir šalims, kurios yra paskyrusios Interpolo narius, turėtų būti taikoma ši direktyva, visų pirma nuostatos dėl tarptautinio duomenų perdavimo. Šia direktyva neturėtų būti daromas poveikis specialioms taisyklėms, nustatytoms Tarybos bendrojoje pozicijoje 2005/69/TVR (8) ir Tarybos sprendime 2007/533/TVR (9);

(26)

bet koks asmens duomenų tvarkymas privalo būti teisėtas, sąžiningas ir skaidrus atitinkamų fizinių asmenų atžvilgiu, ir asmens duomenys gali būti tvarkomi tik teisės aktais nustatytais konkrečiais tikslais. Tai savaime neužkerta kelio teisėsaugos institucijoms vykdyti veiklos, pavyzdžiui, slaptųjų tyrimų ar stebėjimo vaizdo kameromis. Tokia veikla gali būti vykdoma nusikalstamų veikų prevencijos, tyrimo, atskleidimo ar baudžiamojo persekiojimo už jas arba bausmių vykdymo, be kita ko, apsaugos nuo grėsmių visuomenės saugumui ir jų prevencijos, tikslais, jei tik tokia veikla, tinkamai paisant teisėtų atitinkamo fizinio asmens interesų, yra nustatyta įstatymu ir yra laikoma būtina ir proporcinga demokratinės visuomenės priemone. Vienas iš duomenų apsaugos principų – sąžiningo duomenų tvarkymo principas – yra sąvoka, kuri skiriasi nuo teisės į teisingą bylos nagrinėjimą, kaip apibrėžta Chartijos 47 straipsnyje ir Europos žmogaus teisių ir pagrindinių laisvių apsaugos konvencijos (EŽTK) 6 straipsnyje. Fiziniai asmenys turėtų būti informuoti apie su jų asmens duomenų tvarkymu susijusius pavojus, taisykles, apsaugos priemones bei teises ir apie tai, kaip naudotis savo teisėmis duomenų tvarkymo atžvilgiu. Visų pirma, konkretūs tikslai, kuriais tvarkomi asmens duomenys, turėtų būti aiškūs, teisėti ir nustatyti asmens duomenų rinkimo metu. Asmens duomenys turėtų būti adekvatūs ir susiję su tikslais, kuriais jie tvarkomi. Reikėtų visų pirma užtikrinti, kad būtų surinkta ne per daug asmens duomenų ir kad asmens duomenys būtų saugomi ne ilgiau nei būtina tuo tikslu, kuriuo jie tvarkomi. Asmens duomenys turėtų būti tvarkomi tik tuo atveju, jei duomenų tvarkymo tikslo pagrįstai nebuvo galima pasiekti kitomis priemonėmis. Siekiant užtikrinti, kad duomenys būtų saugomi ne ilgiau nei būtina, duomenų valdytojas turėtų nustatyti duomenų ištrynimo arba periodinės peržiūros terminus. Valstybės narės turėtų nustatyti tinkamas apsaugos priemones asmens duomenims, saugomiems ilgesniais laikotarpiais archyvavimo dėl viešojo intereso, panaudojimo moksliniais, statistiniais ar istorinių tyrimų tikslais;

(27)

nusikalstamų veikų prevencijos, tyrimo ir baudžiamojo persekiojimo už jas tikslais kompetentingoms institucijoms būtina tvarkyti asmens duomenis, surinktus vykdant konkrečių nusikalstamų veikų prevenciją, tyrimą, jas nustatant ar traukiant baudžiamojon atsakomybėn už jas, neapsiribojant šiais tikslais, kad būtų galima geriau suprasti nusikalstamą veiklą ir nustatyti sąsajas tarp skirtingų nustatytų nusikalstamų veikų;

(28)

siekiant išlaikyti duomenų tvarkymo saugumą ir užkirsti kelią duomenų tvarkymui pažeidžiant šią direktyvą, asmens duomenys turėtų būti tvarkomi taip, kad būtų užtikrintas tinkamas saugumo ir konfidencialumo lygis, be kita ko, užkertant kelią neteisėtai prieigai prie asmens duomenų ir jų tvarkymui naudojamos įrangos ar naudojimuisi jais, ir būtų atsižvelgta į turimų techninių galimybių išsivystymo lygį bei turimas technologijas, įgyvendinimo sąnaudas pavojų ir saugotinų asmens duomenų pobūdžio atžvilgiu;

(29)

asmens duomenys turėtų būti renkami konkrečiai nustatytais, aiškiai apibrėžtais ir teisėtais tikslais šios direktyvos taikymo srityje ir neturėtų būti tvarkomi tikslais, kurie yra nesuderinami su nusikalstamų veikų prevencijos, tyrimo, atskleidimo ar baudžiamojo persekiojimo už jas arba bausmių vykdymo, be kita ko, apsaugos nuo grėsmių visuomenės saugumui ir jų prevencijos, tikslais. Jeigu tas pats ar kitas duomenų valdytojas tvarko asmens duomenis tikslu, kuris patenka į šios direktyvos taikymo sritį, tačiau nėra tikslas, kuriuo jie buvo surinkti, toks duomenų tvarkymas turėtų būti leidžiamas su sąlyga, kad jis yra leidžiamas pagal taikytinas teisės nuostatas ir yra būtinas bei proporcingai atitinka tą kitą tikslą;

(30)

duomenų tikslumo principas turėtų būti taikomas atsižvelgiant į atitinkamo duomenų tvarkymo pobūdį ir tikslą. Visų pirma vykstant teismo procesui daromi pareiškimai, kuriuose yra asmens duomenų, yra pagrįsti subjektyviu fizinių asmenų suvokimu ir jų neįmanoma visada patikrinti. Todėl tikslumo reikalavimas neturėtų būti siejamas su pareiškimo tikslumu, o tik su faktu, kad padarytas konkretus pareiškimas;

(31)

tvarkant asmens duomenis teisminio bendradarbiavimo baudžiamosiose bylose ir policijos bendradarbiavimo srityse, paprastai tvarkomi su skirtingų kategorijų duomenų subjektais susiję asmens duomenys. Todėl, kai taikytina ir kiek įmanoma, reikėtų aiškiai atskirti skirtingų kategorijų duomenų subjektų, pavyzdžiui, įtariamųjų, asmenų, nuteistų už nusikalstamą veiką, aukų ir kitų asmenų, pavyzdžiui, liudytojų, atitinkamą informaciją tvarkančių asmenų arba įtariamųjų ir nuteistųjų bendrininkų bei su jais susijusių asmenų, asmens duomenis. Tai neturėtų kliudyti taikyti nekaltumo prezumpcijos teisę, kuri garantuojama Chartija ir EŽTK, kaip išaiškinta atitinkamai pagal Teisingumo Teismo ir Europos Žmogaus Teisių Teismo praktiką;

(32)

kompetentingos institucijos turėtų užtikrinti, kad asmens duomenys, kurie yra netikslūs, neišsamūs arba pasenę, nebūtų persiunčiami ir nebūtų sudaroma galimybė jais naudotis. Siekiant užtikrinti fizinių asmenų apsaugą, persiunčiamų asmens duomenų bei asmens duomenų, kuriais suteikiama galimybė naudotis, tikslumą, išsamumą ar naujumą ir patikimumą, kompetentingos institucijos turėtų, kiek įmanoma, visus persiunčiamus asmens duomenis papildyti būtina informacija;

(33)

kai šioje direktyvoje daroma nuoroda į valstybės narės teisę, teisinį pagrindą arba teisėkūros priemonę, tai nebūtinai reiškia, kad parlamentas turi priimti teisės aktą, nedarant poveikio reikalavimams, taikomiems pagal atitinkamos valstybės narės konstitucinę tvarką. Tačiau tokia valstybės narės teisė, teisinis pagrindas ar teisėkūros priemonė turėtų būti aiškūs ir tikslūs, o jų taikymas numatomas tiems subjektams, kuriems jie turi būti taikomi, kaip reikalaujama pagal Teisingumo Teismo ir Europos Žmogaus Teisių Teismo praktiką. Valstybės narės teisėje, kuria reglamentuojamas asmens duomenų tvarkymas šios direktyvos taikymo srityje, turėtų būti konkrečiai nurodyti bent siekiai, tvarkytini asmens duomenys, duomenų tvarkymo tikslai ir procedūros asmens duomenų vientisumui bei konfidencialumui užtikrinti, taip pat jų sunaikinimo procedūros, tokiu būdu suteikiant pakankamų garantijų, kad nekiltų piktnaudžiavimo ir savivalės pavojus;

(34)

kompetentingų institucijų atliekamas asmens duomenų tvarkymas nusikalstamų veikų prevencijos, tyrimo, atskleidimo ar baudžiamojo persekiojimo už jas arba bausmių vykdymo, be kita ko, apsaugos nuo grėsmių visuomenės saugumui ir jų prevencijos, tikslais turėtų apimti bet kokią automatizuotomis arba neautomatizuotomis priemonėmis su asmens duomenimis ar jų rinkiniais atliekamą operaciją ar operacijų seką minėtais tikslais, pavyzdžiui, rinkimą, įrašymą, rūšiavimą, sisteminimą, saugojimą, adaptavimą ar keitimą, išgavą, paiešką, naudojimą, sugretinimą ar sujungimą su kitais duomenimis, tvarkymo apribojimą, ištrynimą ar sunaikinimą. Visų pirma šios direktyvos taisyklės turėtų būti taikomos, kai asmens duomenys šios direktyvos tikslais persiunčiami duomenų gavėjui, kuriam ši direktyva nėra taikoma. Toks duomenų gavėjas turėtų būti fizinis arba juridinis asmuo, valdžios institucija, agentūra ar bet kuri kita įstaiga, kuriems kompetentinga institucija teisėtai atskleidžia asmens duomenis. Jeigu asmens duomenis vienu iš šios direktyvos tikslų iš pradžių buvo surinkusi kompetentinga institucija, Reglamentas (ES) 2016/679 turėtų būti taikomas tų duomenų tvarkymui kitais tikslais nei šios direktyvos tikslai, jeigu taip juos tvarkyti yra leidžiama pagal Sąjungos arba valstybės narės teisę. Visų pirma Reglamento (ES) 2016/679 taisyklės turėtų būti taikomos, kai asmens duomenys persiunčiami į šios direktyvos taikymo sritį nepatenkančiais tikslais. Tais atvejais, kai asmens duomenis tvarko duomenų gavėjas, kuris nėra kompetentinga institucija arba kuris neveikia kaip tokia, kaip apibrėžta šioje direktyvoje, ir kuriam kompetentinga institucija teisėtai atskleidžia asmens duomenis, turėtų būti taikomas Reglamentas (ES) 2016/679. Įgyvendindamos šią direktyvą, valstybės narės taip pat turėtų turėti galimybę išsamiau nurodyti, kaip turi būti taikomos Reglamento (ES) 2016/679 taisyklės, laikantis jame nustatytų sąlygų;

(35)

tam, kad asmens duomenų tvarkymas pagal šią direktyvą būtų teisėtas, jis turėtų būti būtinas kompetentingai institucijai įgyvendinant viešąjį interesą, grindžiamą Sąjungos arba valstybės narės teise nusikalstamų veikų prevencijos, tyrimo, atskleidimo ar baudžiamojo persekiojimo už jas arba bausmių vykdymo, be kita ko, apsaugos nuo grėsmių visuomenės saugumui ir jų prevencijos, tikslais. Ta veikla turėtų apimti gyvybinių duomenų subjekto interesų apsaugą. Nusikalstamų veikų prevencijos, tyrimo, atskleidimo ar baudžiamojo persekiojimo už jas užduočių vykdymas, instituciniu požiūriu teisės aktais priskirtas kompetentingoms institucijoms, suteikia joms galimybę prašyti ar reikalauti, kad fiziniai asmenys vykdytų pateiktus prašymus. Tokiu atveju duomenų subjekto sutikimas, kaip apibrėžta Reglamente (ES) 2016/679, neturėtų suteikti teisinio pagrindo kompetentingų institucijų vykdomam asmens duomenų tvarkymui. Tuo atveju, kai iš duomenų subjekto reikalaujama įvykdyti teisinę prievolę, duomenų subjektas faktiškai neturi laisvo pasirinkimo, taigi duomenų subjekto reakcija negalėtų būti laikoma laisvai išreikštais jo pageidavimais. Tuo valstybėms narėms neturėtų būti trukdoma teisės aktais nustatyti, kad duomenų subjektas gali sutikti su jo asmens duomenų tvarkymu šios direktyvos tikslais, pavyzdžiui, DNR tyrimų vykdant nusikalstamų veikų tyrimus tikslu arba duomenų subjekto buvimo vietos stebėsenos naudojant elektroninius žymenis, siekiant vykdyti baudžiamąsias sankcijas, tikslu;

(36)

valstybės narės turėtų nustatyti, kad tais atvejais, kai Sąjungos arba valstybės narės teisėje, taikytinoje duomenis persiunčiančiai kompetentingai institucijai, numatytos konkrečiomis aplinkybėmis asmens duomenų tvarkymui taikytinos konkrečios sąlygos, pavyzdžiui, duomenų tvarkymo kodeksų naudojimas, persiunčianti kompetentinga institucija turėtų informuoti tokių asmens duomenų gavėją apie tas sąlygas ir reikalavimą jų laikytis. Tokiomis sąlygomis galėtų būti, pavyzdžiui, draudimas persiųsti asmens duomenis kitiems subjektams arba juos naudoti kitais tikslais nei tie, kuriais jie buvo persiųsti gavėjui, arba reikalavimas pranešti duomenų subjektui teisės gauti informaciją apribojimo be išankstinio persiunčiančios kompetentingos institucijos sutikimo atveju. Tie įpareigojimai taip pat turėtų būti taikomi persiunčiančiai kompetentingai institucijai duomenis perduodant gavėjams trečiosiose valstybėse arba tarptautinėms organizacijoms. Valstybės narės turėtų užtikrinti, kad persiunčianti kompetentinga institucija gavėjams kitose valstybėse narėse arba agentūroms, organams ir įstaigoms, įsteigtiems pagal SESV V antraštinės dalies 4 ir 5 skyrius, netaikytų kitokių sąlygų nei tos, kurios taikytinos panašiems duomenų persiuntimams tos kompetentingos institucijos valstybėje narėje;

(37)

asmens duomenys, kurie yra itin opaus pobūdžio pagrindinių teisių ir laisvių atžvilgiu, turėtų būti ypač saugomi, kadangi dėl jų tvarkymo konteksto galėtų kilti didelis pavojus pagrindinėms teisėms ir laisvėms. Tiems asmens duomenims turėtų priklausyti ir asmens duomenys, kuriais atskleidžiama rasinė ar etninė kilmė; termino „rasinė kilmė“ vartojimas šioje direktyvoje nereiškia, kad Sąjunga pritaria teorijoms, kuriomis bandoma apibrėžti atskirų žmonių rasių egzistavimą. Tokie asmens duomenys neturėtų būti tvarkomi, nebent jų tvarkymui taikomos tinkamos teisės aktais nustatytos duomenų subjekto teisių ir laisvių apsaugos priemonės ir juos tvarkyti leidžiama teisės aktais leidžiamais atvejais; jeigu juos tvarkyti dar nėra leidžiama tokiu teisės aktu, jų tvarkymas yra būtinas siekiant apsaugoti gyvybinius duomenų subjekto arba kito asmens interesus; arba tvarkomi duomenys, kuriuos duomenų subjektas yra akivaizdžiai paskelbęs viešai. Tinkamos duomenų subjekto teisių ir laisvių apsaugos priemonės galėtų būti galimybė rinkti tuos duomenis tik tiek, jei jie susiję su kitais duomenimis apie atitinkamą fizinį asmenį, galimybė tinkamai apsaugoti surinktus duomenis, griežtesnės taisyklės, reglamentuojančios kompetentingos institucijos darbuotojų teisę susipažinti su tais duomenimis, ir draudimas tuos duomenis persiųsti. Tais atvejais, kai duomenų tvarkymas yra ypač invazinio pobūdžio jo atžvilgiu, teisės aktais taip pat turėtų būti leidžiama tvarkyti tokius duomenis, kai duomenų subjektas yra aiškiai su tuo sutikęs. Tačiau duomenų subjekto sutikimas pats savaime neturėtų suteikti teisinio pagrindo kompetentingoms institucijoms tvarkyti tokius neskelbtinus asmens duomenis;

(38)

duomenų subjektas turėtų turėti teisę reikalauti, kad jam nebūtų taikomas sprendimas dėl su juo susijusių asmeninių aspektų vertinimo, jeigu toks sprendimas grindžiamas tik automatizuotu duomenų tvarkymu, jo atžvilgiu turi neigiamų teisinių pasekmių arba jam daro didelį poveikį. Bet kuriuo atveju tokiam duomenų tvarkymui turėtų būti taikomos tinkamos apsaugos priemonės, įskaitant konkrečios informacijos duomenų subjektui suteikimą ir teisę reikalauti žmogaus įsikišimo, visų pirma pareikšti savo požiūrį, gauti sprendimo, priimto atlikus tokį vertinimą, paaiškinimą, arba ginčyti tą sprendimą. Profiliavimas, sukeliantis fizinių asmenų diskriminaciją remiantis asmens duomenimis, kurie yra itin opaus pobūdžio pagrindinių teisių ir laisvių atžvilgiu, turėtų būti draudžiamas, laikantis Chartijos 21 ir 52 straipsniuose nustatytų sąlygų;

(39)

kad duomenų subjektas galėtų naudotis savo teisėmis, bet kokia informacija duomenų subjektui turėtų būti lengvai prieinama, be kita ko, pateikta duomenų valdytojo interneto svetainėje, ir turėtų būti lengvai suprantama, naudojant aiškią ir paprastą kalbą. Tokia informacija turėtų būti pritaikyta pažeidžiamų asmenų, pavyzdžiui, vaikų, poreikiams;

(40)

siekiant palengvinti duomenų subjekto naudojimąsi savo teisėmis remiantis pagal šią direktyvą priimtomis nuostatomis, turėtų būti nustatytos naudojimosi jomis sąlygos, įskaitant prašymo suteikti teisę nemokamai visų pirma susipažinti su asmens duomenimis, ir juos ištaisyti ar ištrinti ir apriboti jų tvarkymą ir, jei taikoma, naudojimosi ta teise tvarką. Duomenų valdytojas turėtų būti įpareigotas į duomenų subjekto prašymus atsakyti nepagrįstai nedelsiant, išskyrus atvejus, kai duomenų valdytojas taiko apribojimus duomenų subjekto teisėms pagal šią direktyvą. Be to, jeigu prašymai yra akivaizdžiai nepagrįsti arba neproporcingi, pavyzdžiui, kai duomenų subjektas nepagrįstai ir pakartotinai prašo pateikti informaciją arba kai duomenų subjektas piktnaudžiauja savo teise gauti informaciją, pavyzdžiui, pateikdamas prašymą nurodo neteisingą ar klaidinančią informaciją, duomenų valdytojas turėtų galėti imti pagrįstą mokestį arba atsisakyti imtis veiksmų pagal prašymą;

(41)

kai duomenų valdytojas prašo pateikti papildomos informacijos, reikalingos norint patvirtinti duomenų subjekto tapatybę, ta informacija turėtų būti tvarkoma tik tuo konkrečiu tikslu ir neturėtų būti saugoma ilgiau nei būtina tuo tikslu;

(42)

duomenų subjektui turėtų būti padaryta prieinama bent ši informacija: duomenų valdytojo tapatybė, tai, kad vykdoma duomenų tvarkymo operacija, duomenų tvarkymo tikslai, teisė pateikti skundą ir tai, kad jis turi teisę reikalauti, kad duomenų valdytojas leistų susipažinti su asmens duomenimis, juos ištaisytų ar ištrintų arba apribotų jų tvarkymą. Tokia informacija galėtų būti pateikta kompetentingos institucijos interneto svetainėje. Be to, konkrečiais atvejais ir siekiant suteikti galimybę duomenų subjektui pasinaudoti savo teisėmis, jis turėtų būti informuojamas apie duomenų tvarkymo teisinį pagrindą ir apie tai, kaip ilgai duomenys bus saugomi, tiek, kiek tokia išsamesnė informacija yra būtina, atsižvelgiant į konkrečias duomenų tvarkymo aplinkybes, kad būtų garantuotas sąžiningas duomenų tvarkymas duomenų subjekto atžvilgiu;

(43)

fizinis asmuo turėtų turėti teisę susipažinti su apie jį surinktais duomenimis ir galimybę šia teise lengvai ir pagrįstais laiko tarpais pasinaudoti, kad žinotų apie duomenų tvarkymą ir galėtų patikrinti jo teisėtumą. Todėl kiekvienas duomenų subjektas turėtų turėti teisę žinoti ir gauti informaciją apie duomenų tvarkymo tikslus, duomenų tvarkymo laikotarpį ir duomenų gavėjus, įskaitant ir gavėjus trečiosiose valstybėse. Jei tokia informacija apima informaciją apie asmens duomenų kilmę, joje neturėtų būti atskleista asmenų, visų pirma konfidencialių šaltinių, tapatybė. Kad ta teisė būtų užtikrinta, pakanka duomenų subjektui pateikti išsamią tų duomenų santrauką suprantama forma, t. y. tokia forma, kuria tam duomenų subjektui būtų suteikta galimybė sužinoti apie tuos duomenis ir patikrinti, ar jie yra tikslūs ir tvarkomi laikantis šios direktyvos, tokiu būdu užtikrinant, kad jis galėtų pasinaudoti jam pagal šią direktyvą suteiktomis teisėmis. Tokia pateikiama santrauka galėtų būti tvarkomų asmens duomenų kopija;

(44)

valstybės narės turėtų turėti galimybę priimti teisėkūros priemones, kuriomis vadovaujantis informacijos teikimas duomenų subjektams galėtų būti atidėtas, apribotas arba kuriomis vadovaujantis tokios informacijos būtų galima neteikti, arba teisėkūros priemones, kuriomis duomenų subjektų teisė susipažinti su savo asmens duomenimis būtų visiškai arba iš dalies apribota, tiek, kiek ir tol, kol tokia priemonė, tinkamai paisant atitinkamo fizinio asmens pagrindinių teisių ir teisėtų interesų, yra būtina ir proporcinga demokratinės visuomenės priemonė, siekiant netrukdyti atlikti oficialius arba teisinius nagrinėjimus, tyrimus ar procedūras, nepakenkti nusikalstamų veikų prevencijai, tyrimui, atskleidimui ar baudžiamajam persekiojimui už jas arba bausmių vykdymui, užtikrinti visuomenės saugumą arba nacionalinį saugumą arba apsaugoti kitų asmenų teises ir laisves. Duomenų valdytojas turėtų įvertinti, konkrečiai ir atskirai išnagrinėdamas kiekvieną atvejį, ar teisė susipažinti su duomenimis turėtų būti iš dalies arba visiškai apribota;

(45)

apie bet kokį atsisakymą suteikti teisę susipažinti su duomenimis arba tokios teisės apribojimą duomenų subjektui iš principo turėtų būti pranešta raštu, kartu nurodant faktines arba teisines priežastis, kuriomis pagrįstas sprendimas;

(46)

bet kokie duomenų subjekto teisių apribojimai turi atitikti Chartiją ir EŽTK, kaip išaiškinta atitinkamai pagal Teisingumo Teismo ir Europos Žmogaus Teisių Teismo praktiką, ir visų pirma tokiais apribojimais negalima pažeisti tų teisių ir laisvių esmės;

(47)

fizinis asmuo turėtų turėti teisę reikalauti, kad su juo susiję netikslūs asmens duomenys būtų ištaisyti, visų pirma kalbant apie su faktais susijusius duomenis, ir teisę reikalauti juos ištrinti, jeigu tokių duomenų tvarkymas pažeidžia šią direktyvą. Tačiau teisė reikalauti ištaisyti duomenis neturėtų daryti poveikio, pavyzdžiui, liudytojų parodymų turiniui. Fizinis asmuo taip pat turėtų turėti teisę į tai, kad duomenų tvarkymas būtų apribotas, kai jis ginčija asmens duomenų tikslumą, o jų tikslumo arba netikslumo patvirtinti neįmanoma, arba kai asmens duomenys turi būti išsaugoti, nes jie bus naudojami kaip įrodymas. Visų pirma vietoj asmens duomenų ištrynimo turėtų būti apribojamas tvarkymas, jeigu konkrečiu atveju yra pagrįstų priežasčių manyti, kad jų ištrynimas galėtų padaryti poveikį teisėtiems duomenų subjekto interesams. Tokiu atveju duomenys, kurių tvarkymas yra apribotas, turėtų būti tvarkomi tik tuo tikslu, dėl kurio jie nebuvo ištrinti. Būdai, kuriais būtų ribojamas asmens duomenų tvarkymas, galėtų, inter alia, būti tokie: perkelti atrinktus duomenis į kitą duomenų tvarkymo sistemą, pavyzdžiui, archyvavimo tikslais, arba padaryti atrinktus duomenis neprieinamus naudotojams. Automatizuotuose susistemintuose rinkiniuose tvarkymo ribojimas iš esmės turėtų būti užtikrinamas techninėmis priemonėmis. Tai, kad asmens duomenų tvarkymas yra apribotas, turėtų būti rinkinyje nurodyta taip, kad būtų aišku, kad asmens duomenų tvarkymas yra apribotas. Apie tokį asmens duomenų ištaisymą ar ištrynimą arba jų tvarkymo apribojimą turėtų būti informuojami gavėjai, kuriems tie duomenys buvo atskleisti, ir kompetentingos institucijos, iš kurių netikslūs duomenys buvo gauti. Duomenų valdytojai taip pat turėtų toliau tokių duomenų neplatinti;

(48)

jei duomenų valdytojas nesuteikia duomenų subjektui teisės gauti informaciją, susipažinti su duomenimis arba teisės reikalauti duomenis ištaisyti ar ištrinti arba apriboti jų tvarkymą, duomenų subjektas turėtų turėti teisę prašyti, kad nacionalinė priežiūros institucija patikrintų duomenų tvarkymo teisėtumą. Duomenų subjektas turėtų būti informuotas apie tokią teisę. Jei priežiūros institucija imasi veiksmų duomenų subjekto vardu, priežiūros institucija turėtų bent pranešti duomenų subjektui apie tai, kad priežiūros institucija yra atlikusi visus būtinus patikrinimus ar peržiūrą. Priežiūros institucija taip pat turėtų informuoti duomenų subjektą apie jo teisę siekti teisminės teisių gynimo priemonės;

(49)

jeigu asmens duomenys tvarkomi vykdant nusikalstamų veikų tyrimą ir teismo procesuose baudžiamosiose bylose, valstybės narės turėtų turėti galimybę numatyti, kad naudojimasis teise gauti informaciją, teise susipažinti su duomenimis bei teise reikalauti ištaisyti ar ištrinti asmens duomenis ir apriboti jų tvarkymą vykdomas pagal teismo procesą reglamentuojančias nacionalines taisykles;

(50)

turėtų būti nustatyta duomenų valdytojo atsakomybė ir teisinė atsakomybė už bet kokį duomenų valdytojo arba jo vardu vykdomą asmens duomenų tvarkymą. Duomenų valdytojas visų pirma turėtų būti įpareigotas įgyvendinti tinkamas ir veiksmingas priemones ir turėtų turėti galimybę įrodyti, kad duomenų tvarkymo veikla atitinka šią direktyvą. Tokiomis priemonėmis turėtų būti atsižvelgta į duomenų tvarkymo pobūdį, aprėptį, kontekstą ir tikslus, taip pat į pavojų fizinių asmenų teisėms ir laisvėms. Priemonės, kurių imasi duomenų valdytojas, turėtų apimti konkrečių apsaugos priemonių pažeidžiamų fizinių asmenų, pavyzdžiui, vaikų, asmens duomenų tvarkymo atžvilgiu parengimą ir įgyvendinimą;

(51)

dėl duomenų tvarkymo gali kilti įvairios rizikos ir dydžio pavojus fizinių asmenų teisėms ir laisvėms, o dėl to galėtų būti padaryta fizinė, materialinė ar nematerialinė žala, visų pirma, kai dėl duomenų tvarkymo gali atsirasti diskriminacija, būti pavogta ar suklastota tapatybė, padaryta finansinių nuostolių, pakenkta reputacijai, prarastas duomenų, kurie saugomi profesine paslaptimi, konfidencialumas, neleistinai panaikinti pseudonimai arba padaryta kita didelė ekonominė ar socialinė žala, arba kai duomenų subjektai gali netekti galimybės naudotis savo teisėmis ir laisvėmis ar kontroliuoti savo asmens duomenis, kai tvarkomi asmens duomenys, kurie atskleidžia rasinę arba etninę kilmę, politines pažiūras, religiją ar filosofinius įsitikinimus, priklausymą profesinėms sąjungoms; kai tvarkomi genetiniai ar biometriniai duomenys siekiant vienareikšmiškai nustatyti asmens tapatybę, arba duomenys apie sveikatą ar duomenys apie lytinį gyvenimą ir seksualinę orientaciją, arba apkaltinamuosius nuosprendžius ir teisės pažeidimus, arba susijusias saugumo priemones; kai siekiant sukurti arba naudoti asmens profilį vertinami asmeniniai aspektai, visų pirma, nagrinėjami ir numatomi su asmens darbo rezultatais, ekonomine situacija, sveikatos būkle, asmeniniais pomėgiais ar interesais, patikimumu arba elgesiu, vieta arba judėjimu susiję aspektai; kai tvarkomi pažeidžiamų fizinių asmenų, visų pirma vaikų, asmens duomenys; arba kai duomenų tvarkymas apima didelį kiekį asmens duomenų ir daro poveikį daugeliui duomenų subjektų;

(52)

pavojaus rizika ir dydis turėtų būti nustatomi atsižvelgiant į duomenų tvarkymo pobūdį, apimtį, kontekstą ir tikslus. Pavojus turėtų būti vertinamas remiantis objektyviu įvertinimu, kuriuo būtų nustatyta, ar duomenų tvarkymo operacijos yra susijusios su dideliu pavojumi. Didelis pavojus yra konkretus pavojus, kad bus padarytas poveikis duomenų subjektų teisėms ir laisvėms;

(53)

kad būtų užtikrinta fizinių asmenų teisių ir laisvių apsauga tvarkant asmens duomenis, reikia imtis tinkamų techninių ir organizacinių priemonių siekiant užtikrinti, kad būtų laikomasi šios direktyvos reikalavimų. Tokių priemonių įgyvendinimas neturėtų priklausyti vien tik nuo ekonominių aplinkybių. Kad duomenų valdytojas galėtų įrodyti, jog laikosi šios direktyvos, jis turėtų priimti nuostatas dėl vidaus politikos ir įgyvendinti priemones, kuriomis visų pirma būtų paisoma pritaikytosios duomenų apsaugos ir standartizuotosios duomenų apsaugos principų. Tais atvejais, kai duomenų valdytojas yra atlikęs poveikio duomenų apsaugai vertinimą pagal šią direktyvą, rengiant šias priemones ir procedūras turėtų būti atsižvelgiama į to vertinimo rezultatus. Tokios priemonės galėtų apimti, inter alia, pseudonimų suteikimo naudojimą, tai padarant kuo greičiau. Pseudonimų suteikimo naudojimas šios direktyvos tikslais gali būti priemonė, kuri galėtų visų pirma sudaryti palankesnes sąlygas laisvam asmens duomenų srautui laisvės, saugumo ir teisingumo erdvėje;

(54)

siekiant užtikrinti duomenų subjektų teisių bei laisvių apsaugą ir nustatyti duomenų valdytojų bei duomenų tvarkytojų atsakomybę bei teisinę atsakomybę, be kita ko, priežiūros institucijų vykdomos stebėsenos ir taikomų priemonių atžvilgiu, reikia aiškiai paskirstyti šioje direktyvoje nustatytus įpareigojimus, be kita ko, tais atvejais, kai duomenų valdytojas kartu su kitais duomenų valdytojais nustato duomenų tvarkymo tikslus ir būdus arba kai duomenų tvarkymo operacija atliekama duomenų valdytojo vardu;

(55)

duomenų tvarkytojo atliekamas duomenų tvarkymas turėtų būti reglamentuojamas teisės aktu, taip pat sutartimi, kuriais nustatomi duomenų tvarkytojo įsipareigojimai duomenų valdytojui ir kuriuose visų pirma nurodoma, kad duomenų tvarkytojas turėtų veikti tik pagal duomenų valdytojo nurodymus. Duomenų tvarkytojas turėtų atsižvelgti į pritaikytosios duomenų apsaugos ir standartizuotosios duomenų apsaugos principus;

(56)

siekiant įrodyti, kad laikomasi šios direktyvos nuostatų, duomenų valdytojas ar tvarkytojas turėtų saugoti įrašus apie visų kategorijų duomenų tvarkymo veiklą, už kurią jis yra atsakingas. Kiekvienas duomenų valdytojas ir duomenų tvarkytojas turėtų būti įpareigotas bendradarbiauti su priežiūros institucija ir jos prašymu jai pateikti tuos įrašus, kad juos būtų galima panaudoti atliekant tų duomenų tvarkymo operacijų stebėseną. Asmens duomenis neautomatizuotose duomenų tvarkymo sistemose tvarkantis duomenų valdytojas arba duomenų tvarkytojas turėtų būti įdiegęs veiksmingus metodus, tokius kaip registracijos įrašai ar kitų formų įrašai, kuriais būtų įrodomas duomenų tvarkymo teisėtumas, suteikiama galimybė vykdyti savikontrolę ir užtikrinamas duomenų vientisumas bei duomenų saugumas;

(57)

turėtų būti saugomi registracijos įrašai bent apie operacijas automatizuotose duomenų tvarkymo sistemose, pavyzdžiui, rinkimą, keitimą, užklausą, atskleidimą, įskaitant perdavimą, sujungimą arba ištrynimą. Turėtų būti registruojamas asmens, kuris susipažino su asmens duomenimis arba juos atskleidė, tapatybės nustatymas, o iš to tapatybės nustatymo turėtų būti galima nustatyti duomenų tvarkymo operacijų priežastis. Registracijos įrašai turėtų būti naudojami tik siekiant patikrinti duomenų tvarkymo teisėtumą, vykdyti savikontrolę, užtikrinti duomenų vientisumą bei duomenų saugumą ir baudžiamojo proceso tikslais. Savikontrolė turėtų taip pat apimti kompetentingų institucijų vidaus drausmines procedūras;

(58)

jei duomenų tvarkymo operacijos dėl savo pobūdžio, apimties ar tikslų gali kelti didelį pavojų duomenų subjektų teisėms ir laisvėms, duomenų valdytojas turėtų atlikti poveikio duomenų apsaugai vertinimą, kuris visų pirma turėtų apimti numatomas priemones, apsaugos priemones ir mechanizmus, kuriais būtų užtikrinama asmens duomenų apsauga ir įrodoma, kad laikomasi šios direktyvos. Poveikio vertinimai turėtų apimti atitinkamas duomenų tvarkymo operacijų sistemas ir procesus, bet ne atskirus atvejus;

(59)

siekiant užtikrinti veiksmingą duomenų subjektų teisių ir laisvių apsaugą, duomenų valdytojas arba duomenų tvarkytojas tam tikrais atvejais prieš duomenų tvarkymo veiksmus turėtų pasikonsultuoti su priežiūros institucija;

(60)

siekiant užtikrinti saugumą ir užkirsti kelią duomenų tvarkymui, kuriuo būtų pažeista ši direktyva, duomenų valdytojas arba duomenų tvarkytojas turėtų įvertinti su duomenų tvarkymu susijusius pavojus ir turėtų įgyvendinti tokių pavojų mažinimo priemones, pavyzdžiui, šifravimą. Tokiomis priemonėmis turėtų būti užtikrintas tinkamo lygio saugumas, įskaitant konfidencialumą, ir atsižvelgiama į techninių galimybių išsivystymo lygį, įgyvendinimo sąnaudas pavojaus ir saugotinų asmens duomenų pobūdžio atžvilgiu. Vertinant pavojus duomenų saugumui, reikėtų atsižvelgti į pavojus, kurie kyla tvarkant duomenis, pavyzdžiui, į tai, kad persiunčiami, saugomi ar kitaip tvarkomi asmens duomenys gali būti netyčia arba neteisėtai sunaikinti, prarasti, pakeisti, be leidimo atskleisti arba prie jų be leidimo gauta prieiga, ir dėl to visų pirma galėtų būti padaryta fizinė, materialinė ar nematerialinė žala. Duomenų valdytojas ir duomenų tvarkytojas turėtų užtikrinti, kad asmens duomenų netvarkytų leidimo neturintys asmenys;

(61)

dėl asmens duomenų saugumo pažeidimo, jei dėl jo laiku nesiimama tinkamų priemonių, fiziniai asmenys gali patirti fizinę, materialinę ar nematerialinę žalą, pavyzdžiui, prarasti savo asmens duomenų kontrolę, patirti teisių apribojimą, diskriminaciją, gali būti pavogta ar suklastota atitinkamo asmens tapatybė, jam padaryta finansinių nuostolių, neleistinai panaikinti pseudonimai, gali būti pakenkta jo reputacijai, prarastas asmens duomenų, kurie saugomi profesine paslaptimi, konfidencialumas arba padaryta kitokia didelė ekonominė ar socialinė žala atitinkamam fiziniam asmeniui. Todėl, kai tik duomenų valdytojas sužino, kad padarytas asmens duomenų saugumo pažeidimas, duomenų valdytojas nepagrįstai nedelsdamas ir, kai įmanoma, ne vėliau kaip per 72 valandas nuo to momento, kai sužinojo apie asmens duomenų saugumo pažeidimą, turėtų apie tai pranešti priežiūros institucijai, nebent duomenų valdytojas gali įrodyti, kad pagal atskaitomybės principą neatrodo, kad dėl asmens duomenų saugumo pažeidimo gali kilti pavojus fizinių asmenų teisėms ir laisvėms. Kai pranešti per 72 valandas neįmanoma, pateikiant tokį pranešimą kartu turėtų būti pateikiamos vėlavimo priežastys, o informaciją galima teikti etapais, toliau nepagrįstai nedelsiant;

(62)

fiziniams asmenims turėtų būti nepagrįstai nedelsiant pranešama, kai dėl asmens duomenų saugumo pažeidimo gali kilti didelis pavojus fizinių asmenų teisėms ir laisvėms, kad jie galėtų imtis būtinų atsargumo priemonių. Pranešime turėtų būti aprašytas asmens duomenų saugumo pažeidimo pobūdis ir pateiktos atitinkamam fiziniam asmeniui skirtos rekomendacijos, siekiant sumažinti galimą neigiamą poveikį. Duomenų subjektams apie tai turėtų būti pranešta, kai tik tai tampa pagrįstai įmanoma, glaudžiai bendradarbiaujant su priežiūros institucija ir laikantis jos ar kitų atitinkamų institucijų pateiktų rekomendacijų. Pavyzdžiui, siekiant sumažinti tiesioginį žalos pavojų, reikėtų nedelsiant apie tai pranešti duomenų subjektams; tačiau būtinybe įgyvendinti tinkamas priemones, kuriomis siekiama užkirsti kelią besikartojantiems ar panašiems duomenų saugumo pažeidimams, galima pateisinti ilgesnio termino pranešimui pateikti numatymą. Pranešimas apie asmens duomenų saugumo pažeidimus gali būti neteikiamas tik išimtiniais atvejais, kai siekiama išvengti kliudymo oficialiems ar teisiniams nagrinėjimams, tyrimams ar procedūroms, siekiant nepakenkti nusikalstamų veikų prevencijai, tyrimui, atskleidimui, traukimui baudžiamojon atsakomybėn ar bausmių vykdymui, siekiant užtikrinti visuomenės ar nacionalinį saugumą, bei siekiant apsaugoti kitų asmenų teises ir laisves, ir kai to neįmanoma užtikrinti atidedant arba apribojant informacijos apie asmens duomenų saugumo pažeidimą teikimą atitinkamam fiziniam asmeniui;

(63)

duomenų valdytojas turėtų paskirti asmenį, kuris padėtų jam stebėti atitiktį vidaus lygiu pagal šią direktyvą priimtoms nuostatoms, išskyrus atvejus, kai valstybė narė nusprendžia šio įpareigojimo netaikyti teismams ir kitoms nepriklausomoms teisminėms institucijoms, vykdančioms savo teismines funkcijas. Tas asmuo galėtų būti esamas duomenų valdytojo darbuotojas, kuriam buvo surengtas specialus mokymas duomenų apsaugos teisės ir praktikos klausimu, kad jis įgytų dalykinių žinių toje srityje. Būtinas dalykinių žinių lygis turėtų būti nustatomas visų pirma atsižvelgiant į atliekamą duomenų tvarkymą ir būtiną duomenų valdytojo tvarkomų asmens duomenų apsaugą. Jo užduotis galėtų būti atliekama ne visą darbo dieną arba visą darbo dieną. Duomenų apsaugos pareigūną gali kartu paskirti keli duomenų valdytojai, atsižvelgiant į jų organizacinę struktūrą ir dydį, pavyzdžiui, tuo atveju, kai centriniai padaliniai dalijasi ištekliais. Tas asmuo atitinkamų duomenų valdytojų struktūroje taip pat gali būti paskirtas į įvairias pareigas. Tas asmuo turėtų padėti duomenų valdytojui ir asmens duomenims tvarkantiems darbuotojams juos informuodamas ir konsultuodamas apie jų atitinkamų duomenų apsaugos prievolių laikymąsi. Tokie duomenų apsaugos pareigūnai turėtų turėti galimybę savo pareigas ir užduotis atlikti nepriklausomai pagal valstybės narės teisę;

(64)

valstybės narės turėtų užtikrinti, kad duomenys trečiajai valstybei arba tarptautinei organizacijai būtų perduodami tik tuo atveju, jeigu tai būtina nusikalstamų veikų prevencijos, tyrimo, atskleidimo ar baudžiamojo persekiojimo už jas arba bausmių vykdymo, be kita ko, apsaugos nuo grėsmių visuomenės saugumui ir jų prevencijos, tikslais, ir kad duomenų valdytojas trečiojoje valstybėje arba tarptautinėje organizacijoje būtų pagal šią direktyvą kompetentinga institucija. Perdavimą turėtų atlikti tik kompetentingos institucijos, veikiančios kaip duomenų valdytojai, išskyrus atvejus, kai duomenų tvarkytojams yra aiškiai nurodyta duomenis perduoti duomenų valdytojų vardu. Tokį duomenų perdavimą galima atlikti tais atvejais, jeigu Komisija nusprendė, kad atitinkama trečioji valstybė arba tarptautinė organizacija užtikrina tinkamo lygio apsaugą, kai numatytos tinkamos apsaugos priemonės, arba jeigu konkrečioms situacijoms taikomos nukrypti leidžiančios nuostatos. Jei asmens duomenys perduodami iš Sąjungos duomenų valdytojams, duomenų tvarkytojams ar kitiems gavėjams trečiosiose valstybėse arba tarptautinėms organizacijoms, neturėtų sumažėti Sąjungoje šia direktyva fiziniams asmenims numatytos apsaugos lygis, be kita ko, atvejais, susijusiais su tolesniu asmens duomenų perdavimu iš tos trečiosios valstybės ar tarptautinės organizacijos duomenų valdytojams arba duomenų tvarkytojams toje pačioje arba kitoje trečiojoje valstybėje ar tarptautinėje organizacijoje;

(65)

kai asmens duomenys yra perduodami iš valstybės narės trečiosioms valstybėms arba tarptautinėms organizacijoms, toks perdavimas iš esmės turėtų vykti tik po to, kai valstybė narė, iš kurios duomenys buvo gauti, duoda sutikimą juos perduoti. Siekiant veiksmingo bendradarbiavimo teisėsaugos srityje, tais atvejais, kai valstybės narės ar trečiosios valstybės visuomenės saugumui arba valstybės narės esminiams interesams kilusios grėsmės pobūdis yra toks tiesioginis, kad laiku gauti išankstinį leidimą yra neįmanoma, kompetentinga institucija turėtų turėti galimybę perduoti atitinkamus asmens duomenis susijusiai trečiajai valstybei arba tarptautinei organizacijai be tokio išankstinio leidimo. Valstybės narės turėtų nustatyti, kad trečiosioms valstybėms arba tarptautinėms organizacijoms turėtų būti pranešta apie visas konkrečias asmens duomenų perdavimo sąlygas. Asmens duomenys toliau perduodami turėtų būti tik gavus pirminį duomenų perdavimą atlikusios kompetentingos institucijos išankstinį leidimą. Priimdama sprendimą dėl prašymo leisti duomenis perduoti toliau, pirminį duomenų perdavimą atlikusi kompetentinga institucija turėtų tinkamai atsižvelgti į visus susijusius veiksnius, įskaitant nusikalstamos veikos sunkumą, su pirminiu duomenų perdavimu susijusias konkrečias sąlygas ir tikslą, kurių laikantis ir dėl kurio buvo atliktas pirminis duomenų perdavimas, baudžiamosios sankcijos pobūdį ir jos vykdymo sąlygas, taip pat asmens duomenų apsaugos trečiojoje valstybėje arba tarptautinėje organizacijoje, kuriai toliau perduodami asmens duomenys, lygį. Pirminį duomenų perdavimą atlikusi kompetentinga institucija taip pat turėtų turėti galimybę nustatyti konkrečias tolesnio duomenų perdavimo sąlygas. Tokios konkrečios sąlygos gali būti apibūdintos, pavyzdžiui, duomenų tvarkymo kodeksuose;

(66)

Komisija turėtų turėti galimybę nuspręsti, sprendimui galiojant visoje Sąjungoje, kad tam tikros trečiosios valstybės, teritorija, arba vienas ar daugiau nurodytų sektorių trečiojoje valstybėje, arba tarptautinė organizacija užtikrina tinkamą duomenų apsaugos lygį, ir taip garantuoti teisinį tikrumą ir vienodą teisės taikymą visoje Sąjungoje, kiek tai susiję su trečiosiomis valstybėmis ar tarptautinėmis organizacijomis, kurios laikomos užtikrinančiomis tokį apsaugos lygį. Tokiais atvejais asmens duomenys į tas šalis galėtų būti perduodami be jokio specialaus leidimo, išskyrus tuos atvejus, kai kita valstybė narė, iš kurios duomenys buvo gauti, turi duoti leidimą tam perdavimui;

(67)

atsižvelgdama į pagrindines vertybes, kuriomis grindžiama Sąjunga, visų pirma žmogaus teisių apsaugą, Komisija, vertindama trečiąją valstybę arba teritoriją, arba nurodytą sektorių trečiojoje valstybėje, turėtų atsižvelgti į tai, kaip atitinkama trečioji valstybė laikosi teisinės valstybės, teisės kreiptis į teismą principų, tarptautinių žmogaus teisių normų ir standartų, taip pat į jos bendrą ir atskirų sektorių teisę, įskaitant visuomenės saugumą, gynybą ir nacionalinį saugumą reglamentuojančius teisės aktus, taip pat viešąją tvarką bei baudžiamąją teisę. Priimant su teritorija arba nurodytu sektoriumi trečiojoje valstybėje susijusį sprendimą dėl tinkamumo turėtų būti atsižvelgiama į aiškius ir objektyvius kriterijus, pavyzdžiui, konkrečią duomenų tvarkymo veiklą ir trečiojoje valstybėje taikytinų teisinių standartų bei galiojančių teisės aktų taikymo sritį. Trečioji valstybė turėtų suteikti garantijų, kuriomis būtų užtikrinta atitinkamo lygio apsauga, iš esmės lygiavertė Sąjungoje užtikrinamai apsaugai, visų pirma tada, kai duomenys tvarkomi viename ar keliuose konkrečiuose sektoriuose. Visų pirma, trečioji valstybė turėtų užtikrinti veiksmingą nepriklausomą duomenų apsaugos priežiūrą ir nustatyti bendradarbiavimo su valstybių narių duomenų apsaugos institucijomis mechanizmus, o duomenų subjektams turėtų būti užtikrintos veiksmingos bei įgyvendinamos teisės ir galimybė naudotis veiksmingomis administracinėmis ir teisminėmis teisių gynimo priemonėmis;

(68)

Komisija turėtų atsižvelgti ne tik į trečiosios valstybės arba tarptautinės organizacijos prisiimtus tarptautinius įsipareigojimus, bet ir į įsipareigojimus, kylančius dėl trečiosios valstybės arba tarptautinės organizacijos dalyvavimo daugiašalėse ar regioninėse sistemose, visų pirma susijusio su asmens duomenų apsauga, ir į tokių įsipareigojimų įgyvendinimą. Visų pirma reikėtų atsižvelgti į trečiosios valstybės prisijungimą prie 1981 m. sausio 28 d. Europos Tarybos konvencijos dėl asmenų apsaugos ryšium su asmens duomenų automatizuotu tvarkymu ir jos papildomo protokolo. Vertindama apsaugos lygį trečiosiose valstybėse ar tarptautinėse organizacijose, Komisija turėtų konsultuotis su Europos duomenų apsaugos valdyba, įsteigta Reglamentu (ES) 2016/679 (toliau – Valdyba). Komisija taip pat turėtų atsižvelgti į visus atitinkamus Komisijos sprendimus dėl tinkamumo, priimtus pagal Reglamento (ES) 2016/679 45 straipsnį;

(69)

Komisija turėtų stebėti, kaip vykdomi sprendimai dėl apsaugos lygio trečiojoje valstybėje, teritorijoje arba nurodytame sektoriuje trečiojoje valstybėje, arba tarptautinėje organizacijoje. Savo sprendimuose dėl tinkamumo Komisija turėtų numatyti periodinės jų vykdymo peržiūros mechanizmą. Ta periodinė peržiūra turėtų būti atliekama konsultuojantis su atitinkama trečiąja valstybe arba tarptautine organizacija ir ja turėtų būti atsižvelgta į visus svarbius pokyčius toje trečiojoje valstybėje arba tarptautinėje organizacijoje;

(70)

Komisija taip pat turėtų galėti pripažinti, kad trečioji valstybė, teritorija arba nurodytas sektorius trečiojoje valstybėje, arba tarptautinė organizacija nebeužtikrina tinkamo duomenų apsaugos lygio. Todėl perduoti asmens duomenis tai trečiajai valstybei arba tai tarptautinei organizacijai turėtų būti draudžiama, išskyrus atvejus, kai tenkinami šioje direktyvoje nustatyti reikalavimai, susiję su duomenų perdavimu, kuriam taikomos tinkamos apsaugos priemonės ir nukrypti leidžiančios nuostatos atskirais atvejais. Turėtų būti numatyta Komisijos konsultavimosi su tokiomis trečiosiomis valstybėmis arba tarptautinėmis organizacijomis tvarka. Komisija turėtų laiku informuoti trečiąją valstybę arba tarptautinę organizaciją apie priežastis ir pradėti su ja konsultacijas, kad padėtis būtų ištaisyta;

(71)

perduoti duomenis, kai tai nėra grindžiama tokiu sprendimu dėl tinkamumo, turėtų būti leidžiama tik tais atvejais, jeigu teisiškai privalomoje priemonėje yra nustatytos tinkamos apsaugos priemonės, užtikrinančios asmens duomenų apsaugą, arba jeigu duomenų valdytojas įvertino visas su duomenų perdavimu susijusias aplinkybes ir remdamasis tuo įvertinimu mano, kad esama tinkamų apsaugos priemonių, susijusių su asmens duomenų apsauga. Tokiomis teisiškai privalomomis priemonėmis galėtų būti, pavyzdžiui, teisiškai privalomi dvišaliai susitarimai, kuriuos valstybės narės yra sudariusios ir įgyvendinusios savo teisinėje sistemoje ir kuriuos galėtų įgyvendinti jų duomenų subjektai, užtikrinant, kad būtų laikomasi duomenų apsaugos reikalavimų ir būtų užtikrinamos duomenų subjektų teisės, įskaitant teisę naudotis veiksmingomis administracinėmis ar teisminėmis teisių gynimo priemonėmis. Atlikdamas visų su duomenų perdavimu susijusių aplinkybių vertinimą, duomenų valdytojas turėtų turėti galimybę atsižvelgti į Europolo ar Eurojusto ir trečiųjų valstybių sudarytus bendradarbiavimo susitarimus, kuriais leidžiama keistis asmens duomenimis. Duomenų valdytojas turėtų taip pat turėti galimybę atsižvelgti į tai, kad asmens duomenų perdavimui bus taikomi konfidencialumo įpareigojimai ir savitumo principas, užtikrinant, kad duomenys būtų tvarkomi tik tais tikslais, kuriais jie yra perduodami. Be to, duomenų valdytojas turėtų atsižvelgti į tai, kad asmens duomenys nebus naudojami siekiant tikslo reikalauti paskelbti, paskelbti ar įvykdyti mirties bausmę arba kitą žiauraus ir nežmoniško elgesio bausmę. Nors tos sąlygos galėtų būti laikomos tinkamomis apsaugos priemonėmis, suteikiančiomis galimybę perduoti duomenis, tačiau duomenų valdytojas turėtų turėti galimybę pareikalauti, kad būtų nustatytos papildomos apsaugos priemonės;

(72)

kai nepriimtas joks sprendimas dėl tinkamumo arba nėra tinkamų apsaugos priemonių, perdavimą arba tam tikros kategorijos perdavimus būtų galima vykdyti tik konkrečiomis situacijomis, jei tai būtina siekiant apsaugoti gyvybinius duomenų subjekto ar kito asmens interesus arba teisėtus duomenų subjekto interesus, kai tai numatyta pagal asmens duomenis perduodančios valstybės narės teisę; siekiant užkirsti kelią tiesioginei ir didelei grėsmei valstybės narės arba trečiosios valstybės visuomenės saugumui; atskiru atveju nusikalstamų veikų prevencijos, tyrimo, atskleidimo ar baudžiamojo persekiojimo už jas arba bausmių vykdymo, be kita ko, apsaugos nuo grėsmių visuomenės saugumui ir jų prevencijos, tikslais; arba atskiru atveju, siekiant nustatyti, vykdyti ar ginti teisinius reikalavimus. Tos nukrypti leidžiančios nuostatos turėtų būti aiškinamos siaurai ir jas taikant neturėtų būti leidžiama atlikti dažną, didelio masto ir struktūrinį asmens duomenų perdavimą, taip pat didelio masto duomenų perdavimus; jos turėtų būti taikomos tik tikrai būtinų duomenų perdavimui. Tokie duomenų perdavimai turėtų būti dokumentuojami ir priežiūros institucijos prašymu jai turėtų būti suteikta galimybė su jais susipažinti tam, kad būtų galima stebėti duomenų perdavimo teisėtumą;

(73)

valstybių narių kompetentingos institucijos taiko su trečiosiomis valstybėmis sudarytus galiojančius dvišalius ar daugiašalius tarptautinius susitarimus teisminio bendradarbiavimo baudžiamosiose bylose ir policijos bendradarbiavimo srityse keisdamosi atitinkama informacija, leidžiančia joms vykdyti joms teisiškai paskirtas užduotis. Iš principo tai vyksta per atitinkamas šios direktyvos tikslais kompetentingas institucijas trečiosiose valstybėse arba bent jau su jomis bendradarbiaujant, kartais net tuo atveju, jeigu dvišalių ar daugiašalių tarptautinių susitarimų nėra. Tačiau konkrečiais individualiais atvejais įprastos procedūros, pagal kurias numatyta, kad reikia susisiekti su tokia institucija trečiojoje valstybėje, gali būti neveiksmingos ar netinkamos, visų pirma dėl to, kad duomenų perdavimas negalėtų būti atliktas laiku, arba dėl to, kad ta institucija trečiojoje valstybėje nesilaiko teisinės valstybės principų arba tarptautinių žmogaus teisių normų ir standartų, todėl tokiu atveju valstybių narių institucijos galėtų nuspręsti perduoti asmens duomenis tiesiogiai duomenų gavėjams, įsteigtiems tose trečiosiose valstybėse. Taip gali būti tuo atveju, kai būtina nedelsiant perduoti asmens duomenis siekiant išgelbėti asmens, kuris gali tapti nusikalstamos veikos auka, gyvybę arba siekiant užkirsti kelią realiai gresiančiam nusikaltimui, įskaitant terorizmą. NET jeigu toks duomenų perdavimas tarp kompetentingų institucijų ir duomenų gavėjų, įsteigtų trečiosiose valstybėse, turėtų vykti tik konkrečiais individualiais atvejais, šioje direktyvoje turėtų būti numatytos tokių atvejų reglamentavimo sąlygos. Tos nuostatos neturėtų būti laikomos nukrypti nuo galiojančių dvišalių ar daugiašalių tarptautinių susitarimų teisminio bendradarbiavimo baudžiamosiose bylose ir policijos bendradarbiavimo srityse leidžiančiomis nuostatomis. Tos taisyklės turėtų būti taikomos kartu su kitomis šios direktyvos taisyklėmis, visų pirma su taisyklėmis dėl duomenų tvarkymo teisėtumo ir V skyriaus taisyklėmis;

(74)

kai asmens duomenys perduodami į kitas valstybes, fiziniams asmenims gali būti daug sunkiau pasinaudoti teisėmis į duomenų apsaugą, kad apsisaugotų nuo neteisėto tų duomenų naudojimo arba atskleidimo. Be to, priežiūros institucijoms gali paaiškėti, kad jos negali nagrinėti skundų ar vykdyti tyrimų, susijusių su veikla už jų valstybės sienų. Jų pastangoms bendradarbiauti tarpvalstybiniu mastu taip pat gali kliudyti nepakankami įgaliojimai imtis prevencinių ar taisomųjų veiksmų ir nenuoseklus teisinis reglamentavimas. Todėl reikia skatinti glaudesnį duomenų apsaugos priežiūros institucijų bendradarbiavimą siekiant padėti joms keistis informacija su užsienio kolegomis;

(75)

visiškai nepriklausomai savo funkcijas galinčių vykdyti priežiūros institucijų įsteigimas valstybėse narėse yra esminė fizinių asmenų apsaugos tvarkant jų asmens duomenis dalis. Priežiūros institucijos turėtų stebėti, kaip taikomos pagal šią direktyvą priimtos nuostatos, ir turėtų padėti jas nuosekliai taikyti visoje Sąjungoje, kad būtų apsaugoti fiziniai asmenys tvarkant jų asmens duomenis. Tuo tikslu priežiūros institucijos turėtų bendradarbiauti tarpusavyje ir su Komisija;

(76)

valstybės narės gali pagal Reglamentą (ES) 2016/679 jau įsteigtai priežiūros institucijai pavesti atlikti pagal šią direktyvą įsteigtinų nacionalinių priežiūros institucijų užduotis;

(77)

valstybėms narėms turėtų būti leidžiama įsteigti daugiau nei vieną priežiūros instituciją atsižvelgiant į jų konstitucinę, organizacinę ir administracinę sandarą. Kiekvienai priežiūros institucijai turėtų būti suteikta finansinių ir žmogiškųjų išteklių, taip pat patalpos ir infrastruktūra, kurie joms yra reikalingi jų užduotims veiksmingai vykdyti, įskaitant su savitarpio pagalba ir bendradarbiavimu su kitomis priežiūros institucijomis visoje Sąjungoje susijusias užduotis. Kiekviena priežiūros institucija turėtų turėti atskirą viešą metinį biudžetą; jis gali būti viso valstybės ar nacionalinio biudžeto dalis;

(78)

priežiūros institucijoms turėtų būti taikomi jų finansinių išlaidų nepriklausomos kontrolės ar stebėsenos mechanizmai, tačiau tokia finansinė kontrolė neturi turėti poveikio jų nepriklausomumui;

(79)

bendrieji reikalavimai priežiūros institucijos nariui arba nariams turėtų būti nustatyti pagal valstybės narės teisę, ir visų pirma turėtų būti nustatyta, kad tuos narius turėtų skirti atitinkamos valstybės narės parlamentas arba Vyriausybė, arba valstybės vadovas, remiantis Vyriausybės ar Vyriausybės nario arba parlamento ar parlamento rūmų pasiūlymu, arba nepriklausoma įstaiga, kuriai pagal valstybės narės teisę pavesta skirti narius taikant skaidrią procedūrą. Siekiant užtikrinti priežiūros institucijos nepriklausomumą, narys arba nariai turėtų elgtis sąžiningai, neturėtų imtis jokių su jų pareigomis nesuderinamų veiksmų ir kadencijos metu neturėtų dirbti jokio nesuderinamo – mokamo ar nemokamo – darbo. Siekiant užtikrinti priežiūros institucijos nepriklausomumą, darbuotojus turėtų parinkti priežiūros institucija, o šiame procese gali dalyvauti nepriklausoma įstaiga, kuriai pagal valstybės narės teisę pavesta ta funkcija;

(80)

nors ši direktyva taip pat taikoma nacionalinių teismų ir kitų teisminių institucijų veiklai, priežiūros institucijų kompetencija neturėtų apimti asmens duomenų tvarkymo, kai teismai vykdo savo teismines funkcijas, taip siekiant apsaugoti teisėjų nepriklausomumą jiems atliekant savo teismines užduotis. Ta išimtis turėtų būti taikoma tik teisminei veiklai teismo bylose ir netaikoma kitai veiklai, kurią teisėjai gali vykdyti pagal valstybės narės teisę. Valstybės narės taip pat turėtų turėti galimybę nustatyti, kad priežiūros institucijos kompetencija neapima asmens duomenų tvarkymo, kai duomenis tvarko kitos nepriklausomos teisminės institucijos vykdydamos savo teismines funkcijas, pavyzdžiui, prokuratūra. Bet kuriuo atveju tam, kaip teismai ir kitos nepriklausomos teisminės institucijos laikosi šios direktyvos taisyklių, visada taikoma nepriklausoma kontrolė pagal Chartijos 8 straipsnio 3 dalį;

(81)

kiekviena priežiūros institucija turėtų nagrinėti skundus, kuriuos pateikė bet kuris duomenų subjektas, ir turėtų juos tirti arba perduoti kompetentingai priežiūros institucijai. Tyrimas gavus skundą turėtų būti vykdomas, paliekant galimybę jį peržiūrėti teismine tvarka, tiek, kiek tai yra tikslinga konkrečiu atveju. Priežiūros institucija per pagrįstą laikotarpį turėtų informuoti duomenų subjektą apie skundo tyrimo eigą ir rezultatą. Jeigu konkrečiu atveju reikia tęsti tyrimą arba derinti veiksmus su kita priežiūros institucija, duomenų subjektui turėtų būti suteikta tarpinė informacija;

(82)

siekiant užtikrinti veiksmingą, patikimą ir nuoseklią šios direktyvos laikymosi stebėseną ir jos vykdymą visoje Sąjungoje pagal SESV, kaip išaiškinta Teisingumo Teismo, kiekvienoje valstybėje narėje priežiūros institucijos turėtų vykdyti tas pačias užduotis ir naudotis tais pačiais veiksmingais įgaliojimais, įskaitant tyrimo įgaliojimus, įgaliojimus imtis taisomųjų veiksmų ir patariamuosius įgaliojimus – šie įgaliojimai yra būtinos priemonės jų užduotims atlikti. Tačiau jų įgaliojimai neturėtų prieštarauti specialioms baudžiamojo proceso, įskaitant nusikalstamų veikų tyrimą ir baudžiamąjį persekiojimą už jas, taisyklėms ar teismų nepriklausomumui. Nedarant poveikio baudžiamojo persekiojimo institucijų įgaliojimams pagal valstybės narės teisę, priežiūros institucijoms taip pat turėtų būti suteikti įgaliojimai atkreipti teisminių institucijų dėmesį į šios direktyvos pažeidimus arba būti teisminio proceso šalimi. Priežiūros institucijų įgaliojimais turėtų būti naudojamasi laikantis atitinkamų procedūrinių apsaugos priemonių, nustatytų pagal Sąjungos ir valstybės narės teisę, nešališkai, sąžiningai ir per pagrįstą laikotarpį. Visų pirma kiekviena priemonė turėtų būti tinkama, būtina ir proporcinga siekiant užtikrinti šios direktyvos laikymąsi, atsižvelgiant į kiekvieno individualaus atvejo aplinkybes, ja turėtų būti gerbiama kiekvieno asmens teisė būti išklausytam prieš imantis konkrečios priemonės, kuri atitinkamam asmeniui padarytų neigiamą poveikį, ir vengiama, kad atitinkamas asmuo patirtų bereikalingų išlaidų ir pernelyg didelių nepatogumų. Tyrimo įgaliojimais, susijusiais su leidimu patekti į patalpas, turėtų būti naudojamasi laikantis valstybės narės teisėje nustatytų konkrečių reikalavimų, pavyzdžiui, reikalavimo iš anksto gauti teismo leidimą. Teisiškai privalomo sprendimo priėmimui turėtų būti taikoma teisminė peržiūra sprendimą priėmusios priežiūros institucijos valstybėje narėje;

(83)

priežiūros institucijos turėtų viena kitai padėti vykdyti savo užduotis ir teikti savitarpio pagalbą, siekiant užtikrinti, kad pagal šią direktyvą priimtos nuostatos būtų nuosekliai taikomos ir vykdomos;

(84)

Valdyba turėtų padėti nuosekliai taikyti šią direktyvą visoje Sąjungoje, be kita ko, patarti Komisijai ir skatinti priežiūros institucijų bendradarbiavimą visoje Sąjungoje;

(85)

kiekvienas duomenų subjektas turėtų turėti teisę pateikti skundą vienai priežiūros institucijai ir teisę į veiksmingą teisminę teisių gynimo priemonę pagal Chartijos 47 straipsnį, jeigu duomenų subjektas mano, kad jo teisės remiantis pagal šią direktyvą priimtomis nuostatomis yra pažeistos, arba jeigu priežiūros institucija nesiima veiksmų dėl skundo, iš dalies arba visiškai atmeta skundą arba jo nepriima, arba nesiima veiksmų, kai tokie veiksmai yra būtini duomenų subjekto teisėms apsaugoti. Tyrimas gavus skundą turėtų būti vykdomas, paliekant galimybę jį peržiūrėti teismine tvarka, tiek, kiek tai yra tikslinga konkrečiu atveju. Kompetentinga priežiūros institucija per pagrįstą laikotarpį turėtų informuoti duomenų subjektą apie skundo tyrimo eigą ir rezultatą. Jeigu konkrečiu atveju reikia tęsti tyrimą arba derinti veiksmus su kita priežiūros institucija, duomenų subjektui turėtų būti suteikta tarpinė informacija. Kad būtų lengviau teikti skundus, kiekviena priežiūros institucija turėtų imtis priemonių, pavyzdžiui, pateikti skundo pateikimo formą, kurią būtų galima taip pat užpildyti elektroniniu būdu, suteikdama galimybę naudotis ir kitomis ryšio priemonėmis;

(86)

kiekvienas fizinis ar juridinis asmuo turėtų turėti teisę kompetentingame nacionaliniame teisme imtis veiksmingų teisminių teisių gynimo priemonių priežiūros institucijos sprendimo, turinčio tam asmeniui teisinių padarinių, atžvilgiu. Toks sprendimas yra susijęs visų pirma su priežiūros institucijos naudojimusi tyrimo įgaliojimais, įgaliojimais imtis taisomųjų veiksmų ir leidimų išdavimo įgaliojimais arba skundų nepriėmimu ar atmetimu. Tačiau ta teisė neapima kitų priežiūros institucijų priemonių, kurios nėra teisiškai privalomos, pavyzdžiui, priežiūros institucijos pateiktų nuomonių ar patarimų. Procesas prieš priežiūros instituciją turėtų būti pradedamas valstybės narės, kurioje priežiūros institucija yra įsteigta, teismuose ir turėtų vykti laikantis valstybės narės teisės. Tie teismai turėtų turėti visapusišką jurisdikciją, kuri turėtų apimti jurisdikciją nagrinėti visus faktinius ir teisinius klausimus, susijusius su ginču, dėl kurio į juos kreiptasi;

(87)

jeigu duomenų subjektas mano, kad jo teisės pagal šią direktyvą yra pažeistos, jis turėtų turėti teisę įgalioti įstaigą, kuri siekia apsaugoti duomenų subjektų teises ir interesus, susijusius su jų asmens duomenų apsauga, ir kuri įsteigta pagal valstybės narės teisę, jo vardu pateikti skundą priežiūros institucijai ir pasinaudoti teise į teisminę teisių gynimo priemonę. Teisė į atstovavimą duomenų subjektams neturėtų daryti poveikio valstybės narės proceso teisei, pagal kurią gali būti reikalaujama, kad nacionaliniuose teismuose duomenų subjektams privaloma tvarka atstovautų teisininkas, kaip apibrėžta Tarybos direktyvoje 77/249/EEB (10);

(88)

bet kokią žalą, kurią asmuo gali patirti dėl duomenų tvarkymo nesilaikant pagal šią direktyvą priimtų nuostatų, turėtų atlyginti duomenų valdytojas arba bet kuri kita pagal valstybės narės teisę kompetentinga institucija. Žalos sąvoka turėtų būti aiškinama plačiai, atsižvelgiant į Teisingumo Teismo praktiką, taip, kad būtų visapusiškai atspindėti šios direktyvos tikslai. Tai nedaro poveikio jokiems reikalavimams dėl žalos atlyginimo, kurie pareiškiami dėl kitų taisyklių, nustatytų Sąjungos ar valstybės narės teisėje, pažeidimo. Kai daroma nuoroda į duomenų tvarkymą, kuris yra neteisėtas arba atliekamas nesilaikant pagal šią direktyvą priimtų nuostatų, tai apima ir duomenų tvarkymą nesilaikant pagal šią direktyvą priimtų įgyvendinimo aktų. Duomenų subjektai turėtų gauti visą ir veiksmingą kompensaciją už jų patirtą žalą;

(89)

privatinės teisės arba viešosios teisės reglamentuojamam fiziniam ar juridiniam asmeniui, nesilaikančiam šios direktyvos, turėtų būti skiriamos sankcijos. Valstybės narės turėtų užtikrinti, kad sankcijos būtų veiksmingos, proporcingos ir atgrasomos, ir jos turėtų imtis visų priemonių sankcijoms vykdyti;

(90)

siekiant užtikrinti vienodas šios direktyvos įgyvendinimo sąlygas, Komisijai turėtų būti suteikti įgyvendinimo įgaliojimai dėl tinkamo apsaugos lygio, kurį turi užtikrinti trečioji valstybė, teritorija arba nurodytas sektorius trečiojoje valstybėje, arba tarptautinė organizacija, dėl savitarpio pagalbos formos ir procedūrų, bei dėl priežiūros institucijų, taip pat priežiūros institucijų ir Valdybos tarpusavio keitimosi informacija elektroninėmis priemonėmis tvarkos. Tais įgaliojimais turėtų būti naudojamasi laikantis Europos Parlamento ir Tarybos reglamento (ES) Nr. 182/2011 (11);

(91)

priimant įgyvendinimo aktus dėl tinkamo apsaugos lygio, kurį turi užtikrinti trečioji valstybė, teritorija arba nurodytas sektorius trečiojoje valstybėje, arba tarptautinė organizacija, dėl savitarpio pagalbos formos ir procedūrų, bei dėl priežiūros institucijų, taip pat priežiūros institucijų ir Valdybos tarpusavio keitimosi informacija elektroninėmis priemonėmis tvarkos turėtų būti taikoma nagrinėjimo procedūra, jeigu tie aktai yra bendro pobūdžio;

(92)

Komisija turėtų priimti nedelsiant taikytinus įgyvendinimo aktus, kai tinkamai pagrįstais atvejais, susijusiais su tinkamo apsaugos lygio nebeužtikrinančia trečiąja valstybe, teritorija arba nurodytu sektoriumi trečiojoje valstybėje, arba tarptautine organizacija, yra privalomų skubos priežasčių;

(93)

kadangi šios direktyvos tikslų, t. y. apsaugoti fizinių asmenų pagrindines teises ir laisves, visų pirma jų teisę į asmens duomenų apsaugą, ir užtikrinti, kad kompetentingų institucijų keitimasis asmens duomenimis Sąjungoje nebūtų varžomas, valstybės narės negali deramai pasiekti, o dėl siūlomo veiksmo masto ir poveikio tų tikslų būtų geriau siekti Sąjungos lygmeniu, laikydamasi ES sutarties 5 straipsnyje nustatyto subsidiarumo principo Sąjunga gali patvirtinti priemones. Pagal tame straipsnyje nustatytą proporcingumo principą šia direktyva neviršijama to, kas būtina nurodytiems tikslams pasiekti;

(94)

specialios teisminio bendradarbiavimo baudžiamosiose bylose ir policijos bendradarbiavimo srityje priimtų Sąjungos aktų, kurie buvo priimti prieš priimant šią direktyvą ir kuriais reglamentuojamas tarp valstybių narių vykdomas asmens duomenų tvarkymas arba valstybių narių paskirtų valdžios institucijų prieiga prie informacinių sistemų, įdiegtų remiantis Sutartimis, nuostatos turėtų likti nepakitusios, pavyzdžiui, specialios nuostatos dėl asmens duomenų apsaugos, taikomos pagal Tarybos sprendimą 2008/615/TVR (12), arba Konvencijos dėl Europos Sąjungos valstybių narių savitarpio pagalbos baudžiamosiose bylose (13) 23 straipsnis. Kadangi Chartijos 8 straipsnyje ir SESV 16 straipsnyje nustatyta, kad pagrindinė teisė į asmens duomenų apsaugą visoje Sąjungoje turi būti užtikrinama nuosekliai, Komisija turėtų įvertinti šios direktyvos ir aktų, priimtų prieš priimant šią direktyvą, kuriais reglamentuojamas tarp valstybių narių vykdomas asmens duomenų tvarkymas arba valstybių narių paskirtų valdžios institucijų prieiga prie informacinių sistemų, įdiegtų remiantis Sutartimis, ryšį, kad nustatytų, ar reikia tas specialias nuostatas suderinti su šia direktyva. Prireikus Komisija turėtų pateikti pasiūlymus, siekdama užtikrinti nuoseklias teisės normas, susijusias su asmens duomenų tvarkymu;

(95)

siekiant užtikrinti visapusišką ir nuoseklią asmens duomenų apsaugą Sąjungoje, tarptautiniai susitarimai, kuriuos valstybės narės sudarė iki šios direktyvos įsigaliojimo dienos ir kurie atitinka atitinkamus Sąjungos teisės aktus, taikytinus iki tos dienos, turėtų likti galioti tol, kol jie nepakeičiami iš dalies, nepakeičiami naujais susitarimais arba nepanaikinami;

(96)

šiai direktyvai perkelti į nacionalinę teisę valstybėms narėms turėtų suteiktas ne ilgesnis kaip dvejų metų laikotarpis nuo jos įsigaliojimo dienos. Tą dieną jau vykdomas duomenų tvarkymas turėtų būti suderintas su šia direktyva per dvejus metus nuo šios direktyvos įsigaliojimo. Tačiau kai toks duomenų tvarkymas atitinka Sąjungos teisę, taikytiną iki šios direktyvos įsigaliojimo dienos, šios direktyvos reikalavimai, susiję su išankstinėmis konsultacijomis su priežiūros institucija, neturėtų būti taikomi duomenų tvarkymo operacijoms, kurios jau buvo atliekamos tą dieną, kadangi tie reikalavimai pagal savo pobūdį turi būti įvykdyti prieš duomenų tvarkymą. Kai valstybės narės, siekdamos įvykdyti iki šios direktyvos įsigaliojimo dienos sukurtų automatizuotų duomenų tvarkymo sistemų atveju taikomas registravimo prievoles, taiko ilgesnįjį įgyvendinimo laikotarpį, kuris baigiasi praėjus septyniems metams nuo tos dienos, duomenų valdytojas arba duomenų tvarkytojas turėtų būti įdiegęs veiksmingus metodus, kuriais būtų įrodomas duomenų tvarkymo teisėtumas, suteikiama galimybė vykdyti savikontrolę ir užtikrinamas duomenų vientisumas bei duomenų saugumas, tokius kaip registracijos įrašai ar kitų formų įrašai;

(97)

šia direktyva nedaromas poveikis taisyklėms, kuriomis reglamentuojama kova su seksualine prievarta prieš vaikus, jų seksualiniu išnaudojimu ir vaikų pornografija, nustatytoms Europos Parlamento ir Tarybos direktyvoje 2011/93/ES (14);

(98)

todėl Pamatinis sprendimas 2008/977/TVR turėtų būti panaikintas;

(99)

pagal prie ES sutarties ir SESV pridėto Protokolo Nr. 21 dėl Jungtinės Karalystės ir Airijos pozicijos dėl laisvės, saugumo ir teisingumo erdvės 6a straipsnį Jungtinei Karalystei ir Airijai nėra privalomos šioje direktyvoje nustatytos taisyklės, kurios yra susijusios su valstybių narių vykdomu asmens duomenų tvarkymu atliekant veiklą, kuriai taikomas SESV trečiosios dalies V antraštinės dalies 4 arba 5 skyrius, tais atvejais, kai Jungtinei Karalystei ir Airijai nėra privalomos taisyklės, kuriomis reglamentuojamos teisminio bendradarbiavimo baudžiamosiose bylose ar policijos bendradarbiavimo, kurį vykdant turi būti laikomasi pagal SESV 16 straipsnį nustatytų nuostatų, formos;

(100)

pagal prie ES sutarties ir SESV pridėto Protokolo Nr. 22 dėl Danijos pozicijos 2 ir 2a straipsnius Danijai nėra privalomos ar taikomos šioje direktyvoje nustatytos taisyklės, kurios yra susijusios su valstybių narių vykdomu asmens duomenų tvarkymu atliekant veiklą, kuriai taikomas SESV trečiosios dalies V antraštinės dalies 4 arba 5 skyrius. Kadangi ši direktyva grindžiama Šengeno acquis, pagal SESV trečiosios dalies V antraštinę dalį Danija, remdamasi to protokolo 4 straipsniu, per šešis mėnesius po šios direktyvos priėmimo turi nuspręsti, ar ją įtrauks į savo nacionalinę teisę;

(101)

Islandijos ir Norvegijos atžvilgiu šia direktyva plėtojamos Šengeno acquis nuostatos, kaip apibrėžta Europos Sąjungos Tarybos ir Islandijos Respublikos bei Norvegijos Karalystės susitarime dėl pastarųjų asociacijos įgyvendinant, taikant ir plėtojant Šengeno acquis  (15);

(102)

Šveicarijos atžvilgiu šia direktyva plėtojamos Šengeno acquis nuostatos, kaip apibrėžta Europos Sąjungos, Europos bendrijos ir Šveicarijos Konfederacijos susitarime dėl Šveicarijos Konfederacijos asociacijos įgyvendinant, taikant ir plėtojant Šengeno acquis  (16);

(103)

Lichtenšteino atžvilgiu šia direktyva plėtojamos Šengeno acquis nuostatos, kaip apibrėžta Europos Sąjungos, Europos bendrijos, Šveicarijos Konfederacijos ir Lichtenšteino Kunigaikštystės protokole dėl Lichtenšteino Kunigaikštystės prisijungimo prie Europos Sąjungos, Europos bendrijos ir Šveicarijos Konfederacijos susitarimo dėl Šveicarijos Konfederacijos asociacijos įgyvendinant, taikant ir plėtojant Šengeno acquis  (17);

(104)

šioje direktyvoje užtikrinamos pagrindinės teisės ir laikomasi principų, pripažintų Chartijoje ir įtvirtintų SESV, visų pirma teisės į privatų ir šeimos gyvenimą, teisės į asmens duomenų apsaugą, teisės į veiksmingą teisinę gynybą ir teisingą bylos nagrinėjimą. Tų teisių apribojimai atitinka Chartijos 52 straipsnio 1 dalį, nes jie būtini siekiant atitikti Sąjungos pripažintus bendro intereso tikslus arba reikalingi kitų teisėms ir laisvėms apsaugoti;

(105)

pagal 2011 m. rugsėjo 28 d. Bendrą valstybių narių ir Komisijos politinį pareiškimą dėl aiškinamųjų dokumentų valstybės narės įsipareigojo pagrįstais atvejais prie pranešimų apie perkėlimo į nacionalinę teisę priemones pridėti vieną ar daugiau dokumentų, kuriuose paaiškinamos direktyvos sudėtinių dalių ir nacionalinių perkėlimo į nacionalinę teisę priemonių atitinkamų dalių sąsajos. Šios direktyvos atveju teisės aktų leidėjas laikosi nuomonės, kad tokių dokumentų persiuntimas yra pagrįstas;

(106)

remiantis Reglamento (EB) Nr. 45/2001 28 straipsnio 2 dalimi, buvo pasikonsultuota su Europos duomenų apsaugos priežiūros pareigūnu ir jis 2012 m. kovo 7 d. pateikė nuomonę (18);

(107)

šia direktyva valstybėms narėms neturėtų būti trukdoma nacionalinėse taisyklėse, kuriomis reglamentuojamas baudžiamasis procesas, reglamentuoti naudojimąsi duomenų subjektų teisėmis gauti informaciją, susipažinti su asmens duomenimis, juos ištaisyti ar ištrinti bei apriboti duomenų tvarkymą baudžiamojo proceso metu, taip pat nustatyti galimus tų teisių apribojimus,

a)

saugo fizinių asmenų pagrindines teises ir laisves, visų pirma jų teisę į asmens duomenų apsaugą, ir

b)

užtikrina, kad kompetentingų institucijų keitimasis asmens duomenimis Sąjungoje, kai tokio keitimosi reikalaujama pagal Sąjungos arba valstybės narės teisę, nebūtų ribojamas ar draudžiamas dėl su fizinių asmenų apsauga tvarkant asmens duomenis susijusių priežasčių.

a)

duomenys tvarkomi vykdant veiklą, kuriai Sąjungos teisė netaikoma;

b)

duomenis tvarko Sąjungos institucijos, įstaigos, organai ir agentūros.

a)

bet kokia valdžios institucija, kompetentinga nusikalstamų veikų prevencijos, tyrimo, atskleidimo ar baudžiamojo persekiojimo už jas arba bausmių vykdymo, be kita ko, apsaugos nuo grėsmių visuomenės saugumui ir jų prevencijos, tikslais; arba

b)

bet kokia kita įstaiga arba subjektas, kuriems pagal valstybės narės teisę pavesta vykdyti viešosios valdžios funkcijas ir naudotis viešaisiais įgaliojimais nusikalstamų veikų prevencijos, tyrimo, atskleidimo ar baudžiamojo persekiojimo už jas arba bausmių vykdymo, be kita ko, apsaugos nuo grėsmių visuomenės saugumui ir jų prevencijos, tikslais;

a)

tvarkomi teisėtai ir sąžiningai;

b)

renkami konkrečiai nustatytais, aiškiai apibrėžtais ir teisėtais tikslais ir negali būti tvarkomi tokiu būdu, kuris būtų nesuderinamas su tais tikslais;

c)

tinkami, aktualūs ir ne pernelyg išsamūs tikslų, kuriais jie yra tvarkomi, atžvilgiu;

d)

tikslūs ir prireikus atnaujinami; turi būti imamasi visų pagrįstų priemonių siekiant užtikrinti, kad asmens duomenys, kurie nėra tikslūs, atsižvelgiant į jų tvarkymo tikslus, būtų nedelsiant ištrinti arba ištaisyti;

e)

saugomi tokia forma, kad duomenų subjektų tapatybes būtų galima nustatyti ne ilgiau, nei tai yra būtina tais tikslais, kuriais jie tvarkomi;

f)

tvarkomi taip, kad būtų užtikrintas tinkamas asmens duomenų saugumas, įskaitant apsaugą nuo tvarkymo be leidimo arba neteisėto tvarkymo ir nuo netyčinio praradimo, sunaikinimo ar sugadinimo, taikant tinkamas technines ar organizacines priemones.

a)

duomenų valdytojui leidžiama tvarkyti tokius asmens duomenis tokiu tikslu vadovaujantis Sąjungos arba valstybės narės teise ir

b)

duomenų tvarkymas yra būtinas bei proporcingai atitinka tą kitą tikslą vadovaujantis Sąjungos arba valstybės narės teise.

a)

asmenų, kurių atžvilgiu yra rimtų priežasčių manyti, kad jie įvykdė arba rengiasi įvykdyti nusikalstamą veiką;

b)

asmenų, nuteistų už nusikalstamą veiką;

c)

asmenų, kurie buvo nusikalstamos veikos aukomis arba kurių atžvilgiu, remiantis tam tikrais faktais, yra pagrindo manyti, kad jie galėtų būti nusikalstamos veikos aukomis, ir

d)

kitų su nusikalstama veika susijusių šalių, pavyzdžiui, asmenų, kurie galėtų būti kviečiami liudyti atliekant nusikalstamų veikų tyrimus arba paskesniu baudžiamojo proceso etapu, asmenų, kurie gali suteikti informacijos apie nusikalstamas veikas, arba asmenų, kurie yra pažįstami arba susiję su vienu iš a ir b punktuose nurodytų asmenų.

a)

tai leidžiama pagal Sąjungos arba valstybės narės teisę;

b)

tai reikalinga duomenų subjekto ar kito fizinio asmens gyvybiniams interesams apsaugoti, arba

c)

toks tvarkymas susijęs su duomenimis, kuriuos duomenų subjektas yra akivaizdžiai paskelbęs viešai.

a)

imti pagrįstą mokestį, atsižvelgdamas į administracines išlaidas, už informacijos ar pranešimo teikimą arba prašomų veiksmų vykdymą, arba

b)

atsisakyti imtis veiksmų pagal prašymą.

a)

duomenų valdytojo tapatybę ir kontaktinius duomenis;

b)

duomenų apsaugos pareigūno kontaktinius duomenis, kai taikoma;

c)

duomenų tvarkymo tikslus, kuriems asmens duomenys yra skirti;

d)

informaciją apie teisę pateikti skundą priežiūros institucijai ir priežiūros institucijos kontaktinius duomenis;

e)

tai, kad duomenų subjektas turi teisę duomenų valdytojo reikalauti, kad pastarasis leistų susipažinti su duomenų subjekto asmens duomenimis, juos ištaisytų ar ištrintų ir apribotų asmens duomenų tvarkymą.

a)

duomenų tvarkymo teisinį pagrindą;

b)

asmens duomenų saugojimo laikotarpį arba, jei tai neįmanoma, kriterijus, taikomus tam laikotarpiui nustatyti;

c)

kai taikoma, asmens duomenų gavėjų kategorijas, įskaitant duomenų gavėjus trečiosiose valstybėse arba tarptautinėse organizacijose;

d)

prireikus, papildomą informaciją, visų pirma tais atvejais, kai asmens duomenys renkami apie tai nežinant duomenų subjektui.

a)

netrukdyti atlikti oficialius arba teisinius nagrinėjimus, tyrimus ar procedūras;

b)

nepakenkti nusikalstamų veikų prevencijai, tyrimui, atskleidimui ar baudžiamajam persekiojimui už jas arba bausmių vykdymui;

c)

užtikrinti visuomenės saugumą;

d)

užtikrinti nacionalinį saugumą;

e)

apsaugoti kitų asmenų teises ir laisves.

a)

duomenų tvarkymo tikslais ir teisiniu pagrindu;

b)

atitinkamų asmens duomenų kategorijomis;

c)

informacija apie duomenų gavėjus arba duomenų gavėjų, kuriems buvo atskleisti asmens duomenys, visų pirma duomenų gavėjų trečiosiose valstybėse arba tarptautinėse organizacijose, kategorijas;

d)

jeigu įmanoma, numatomu asmens duomenų saugojimo laikotarpiu arba, jei tai neįmanoma, kriterijais, taikomais tam laikotarpiui nustatyti;

e)

tai, kad duomenų subjektas turi teisę duomenų valdytojo reikalauti, kad pastarasis ištaisytų ar ištrintų duomenų subjekto asmens duomenis arba apribotų jų tvarkymą;

f)

informacija apie teisę pateikti skundą priežiūros institucijai ir priežiūros institucijos kontaktiniais duomenimis;

g)

pranešimu apie tai, kokie asmens duomenys yra tvarkomi, ir apie visą turimą informaciją apie jų kilmę.

a)

netrukdyti atlikti oficialius arba teisinius nagrinėjimus, tyrimus ar procedūras;

b)

nepakenkti nusikalstamų veikų prevencijai, tyrimui, atskleidimui ar baudžiamajam persekiojimui už jas arba bausmių vykdymui;

c)

užtikrinti visuomenės saugumą;

d)

užtikrinti nacionalinį saugumą;

e)

apsaugoti kitų asmenų teises ir laisves.

a)

duomenų subjektas ginčija asmens duomenų tikslumą, o jų tikslumo arba netikslumo patvirtinti neįmanoma, arba

b)

asmens duomenys turi būti išsaugoti įrodymų tikslais.

a)

netrukdyti atlikti oficialius arba teisinius nagrinėjimus, tyrimus ar procedūras;

b)

nepakenkti nusikalstamų veikų prevencijai, tyrimui, atskleidimui ar baudžiamajam persekiojimui už jas arba bausmių vykdymui;

c)

užtikrinti visuomenės saugumą;

d)

užtikrinti nacionalinį saugumą;

e)

apsaugoti kitų asmenų teises ir laisves.

a)

veikia tik pagal duomenų valdytojo nurodymus;

b)

užtikrina, kad asmenys, kuriems leidžiama tvarkyti asmens duomenis, būtų įsipareigoję laikytis konfidencialumo arba kad jiems būtų taikoma tinkama įstatais nustatyta konfidencialumo užtikrinimo prievolė;

c)

visomis tinkamomis priemonėmis padeda duomenų valdytojui užtikrinti, kad būtų laikomasi nuostatų dėl duomenų subjekto teisių;

d)

užbaigus teikti duomenų tvarkymo paslaugas, pagal duomenų valdytojo pasirinkimą pašalina arba grąžina visus asmens duomenis duomenų valdytojui ir pašalina esamas kopijas, išskyrus atvejus, kai pagal Sąjungos arba valstybės narės teisę reikalaujama asmens duomenis saugoti;

e)

pateikia duomenų valdytojui visą informaciją, būtiną norint parodyti, kad laikomasi šio straipsnio;

f)

laikosi 2 ir 3 dalyse nurodytų sąlygų, kurios taikomos siekiant pasitelkti kitą duomenų tvarkytoją.

a)

duomenų valdytojo, visų bendrų duomenų valdytojų ir duomenų apsaugos pareigūno, jeigu toks yra, vardas bei pavardė (pavadinimas) ir kontaktiniai duomenys;

b)

duomenų tvarkymo tikslai;

c)

duomenų gavėjų, kuriems buvo arba bus atskleisti asmens duomenys, įskaitant duomenų gavėjus trečiosiose valstybėse ar tarptautinėse organizacijose, kategorijos;

d)

duomenų subjektų kategorijų ir asmens duomenų kategorijų aprašymas;

e)

kai taikytina, profiliavimo naudojimas;

f)

kai taikytina, asmens duomenų perdavimo trečiosioms valstybėms arba tarptautinėms organizacijoms kategorijos;

g)

informacija apie duomenų tvarkymo operacijos, įskaitant duomenų perdavimus, kuriai yra skirti asmens duomenys, teisinį pagrindą;

h)

jeigu įmanoma, numatomi įvairių kategorijų asmens duomenų ištrynimo terminai;

i)

jeigu įmanoma, bendras 29 straipsnio 1 dalyje nurodytų techninių ir organizacinių saugumo priemonių aprašymas.

a)

duomenų tvarkytojo arba duomenų tvarkytojų, kiekvieno duomenų valdytojo, kurio vardu veikia duomenų tvarkytojas, ir, jei taikytina, duomenų apsaugos pareigūno vardas bei pavardė (pavadinimas) ir kontaktiniai duomenys;

b)

kiekvieno duomenų valdytojo vardu vykdomo duomenų tvarkymo kategorijos;

c)

kai taikytina, asmens duomenų perdavimai trečiajai valstybei arba tarptautinei organizacijai, jeigu duomenų valdytojas aiškiai paveda tai padaryti, be kita ko, nurodant tą trečiąją valstybę arba tarptautinę organizaciją;

d)

jeigu įmanoma, bendras 29 straipsnio 1 dalyje nurodytų techninių ir organizacinių saugumo priemonių aprašymas.

a)

27 straipsnyje numatytame poveikio duomenų apsaugai vertinime nurodyta, kad atliekant duomenų tvarkymą kiltų didelis pavojus tuo atveju, jei duomenų valdytojas nesiimtų priemonių pavojui sumažinti, arba

b)

dėl duomenų tvarkymo rūšies, visų pirma naudojant naujas technologijas, mechanizmus ar taikant naujas procedūras, kyla didelis pavojus duomenų subjektų teisėms ir laisvėms.

a)

nesuteikti leidimo neturintiems asmenims prieigos prie duomenų tvarkymo įrangos, naudojamos duomenims tvarkyti (prieigos prie įrangos kontrolė);

b)

užkirsti kelią neteisėtam duomenų laikmenų skaitymui, kopijavimui, keitimui ar pašalinimui (duomenų laikmenų kontrolė);

c)

užkirsti kelią neteisėtam asmens duomenų įvedimui ir neteisėtam saugomų asmens duomenų tikrinimui, keitimui ar šalinimui (saugojimo kontrolė);

d)

neleisti leidimo neturintiems asmenims, kurie naudojasi duomenų perdavimo įranga, naudotis automatizuotomis duomenų tvarkymo sistemomis (naudotojo kontrolė);

e)

užtikrinti, kad asmenys, kuriems suteiktas leidimas naudotis automatizuota duomenų tvarkymo sistema, turėtų prieigą tik prie tų asmens duomenų, kuriems taikomas jų prieigos leidimas (prieigos prie duomenų kontrolė);

f)

užtikrinti, kad būtų įmanoma patikrinti ir nustatyti įstaigas, kurioms asmens duomenys buvo persiųsti arba gali būti persiųsti, arba kurioms buvo suteikta galimybė su jais susipažinti naudojant duomenų perdavimo įrangą (perdavimo kontrolė);

g)

užtikrinti, kad vėliau būtų galima patikrinti ir nustatyti, kokie asmens duomenys buvo įvesti į automatizuotas duomenų tvarkymo sistemas ir kada bei kas asmens duomenis įvedė (įvedimo kontrolė);

h)

užkirsti kelią neteisėtam asmens duomenų skaitymui, kopijavimui, keitimui arba šalinimui asmens duomenų perdavimo metu arba duomenų laikmenos gabenimo metu (siuntimo kontrolė);

i)

užtikrinti, kad įdiegtos sistemos pertraukties atveju galėtų būti atkurtos (atgaminimas);

j)

užtikrinti, kad sistemos funkcijos veiktų, kad apie pastebėtas funkcionavimo klaidas būtų pranešama (patikimumas) ir kad saugomi asmens duomenys negalėtų būti iškraipyti dėl blogo sistemos veikimo (vientisumas).

a)

aprašomas asmens duomenų saugumo pažeidimo pobūdis, įskaitant, jeigu įmanoma, atitinkamų duomenų subjektų kategorijas ir apytikslį skaičių, taip pat atitinkamų asmens duomenų įrašų kategorijas ir apytikslį skaičių;

b)

nurodoma duomenų apsaugos pareigūno arba kito kontaktinio asmens, galinčio suteikti daugiau informacijos, vardas bei pavardė ir kontaktiniai duomenys;

c)

aprašomos tikėtinos asmens duomenų saugumo pažeidimo pasekmės;

d)

aprašomos priemonės, kurių ėmėsi duomenų valdytojas, arba kurių siūloma, kad jis imtųsi, kad būtų pašalintas asmens duomenų saugumo pažeidimas, be kita ko, kai tinkama, priemonės, kad būtų sumažintas jo galimas neigiamas poveikis.

a)

duomenų valdytojas įgyvendino tinkamas technologines ir organizacines apsaugos priemones ir tos priemonės taikytos asmens duomenims, kuriems asmens duomenų saugumo pažeidimas turėjo poveikio, visų pirma tas priemones, kuriomis užtikrinama, kad asmeniui, neturinčiam leidimo susipažinti su asmens duomenimis, jie būtų nesuprantami, pavyzdžiui, šifravimo priemones;

b)

duomenų valdytojas ėmėsi paskesnių priemonių, kuriomis užtikrinama, kad duomenų subjektų teisėms ir laisvėms greičiausiai nebegalėtų kilti 1 dalyje nurodytas didelis pavojus;

c)

tam prireiktų neproporcingai daug pastangų. Tokiu atveju pranešimas skelbiamas viešai arba taikoma panaši priemonė, kuria duomenų subjektai informuojami taip pat veiksmingai.

a)

informuoti duomenų valdytoją ir duomenis tvarkančius darbuotojus apie jų prievoles pagal šią direktyvą ir pagal kitus Sąjungos ar valstybės narės teisės aktus dėl duomenų apsaugos ir teikti jiems patarimus šiais klausimais;

b)

stebėti, kaip laikomasi šios direktyvos, kitų Sąjungos ar valstybės narės teisės aktų dėl duomenų apsaugos ir duomenų valdytojo taikomos politikos asmens duomenų apsaugos srityje, įskaitant pareigų pavedimą, duomenų tvarkymo operacijose dalyvaujančių darbuotojų informuotumo didinimą bei mokymą ir susijusius auditus;

c)

gavus prašymą teikti patarimus dėl poveikio duomenų apsaugai vertinimo ir stebėti jo atlikimą pagal 27 straipsnį;

d)

bendradarbiauti su priežiūros institucija;

e)

atlikti kontaktinio asmens funkcijas priežiūros institucijai kreipiantis su duomenų tvarkymu susijusiais klausimais, įskaitant 28 straipsnyje nurodytas išankstines konsultacijas, ir prireikus konsultuoti visais kitais klausimais.

a)

perduoti duomenis būtina 1 straipsnio 1 dalyje išdėstytais tikslais;

b)

asmens duomenys perduodami duomenų valdytojui trečiojoje valstybėje arba tarptautinėje organizacijoje, kuris yra institucija, kompetentinga 1 straipsnio 1 dalyje nurodytais tikslais;

c)

tuo atveju, kai asmens duomenys persiunčiami iš kitos valstybės narės arba ta valstybė narė suteikia galimybę jais naudotis, ta valstybė narė pagal savo nacionalinę teisę perdavimui yra suteikusi išankstinį leidimą;

d)

Komisija pagal 36 straipsnį yra priėmusi sprendimą dėl tinkamumo arba, jeigu toks sprendimas nepriimtas, buvo nustatytos arba egzistuoja tinkamos apsaugos priemonės pagal 37 straipsnį, arba, nesant sprendimo dėl tinkamumo pagal 36 ar tinkamų apsaugos priemonių pagal 37 straipsnį, taikomos su konkrečiomis situacijomis susijusios nukrypti leidžiančios nuostatos pagal 38 straipsnį, ir

e)

tolesnio duomenų perdavimo kitai trečiajai valstybei arba tarptautinei organizacijai atveju kompetentinga institucija, kuri atliko pirminį perdavimą, arba kita tos pačios valstybės narės kompetentinga institucija leidžia toliau perduoti duomenis, tinkamai atsižvelgusi į visus susijusius veiksnius, įskaitant nusikalstamos veikos sunkumą, tikslą, kuriuo buvo atliktas pirminis asmens duomenų perdavimas, ir asmens duomenų apsaugos trečiojoje valstybėje arba tarptautinėje organizacijoje, kuriai toliau perduodami asmens duomenys, lygį.

a)

teisinės valstybės principą, pagarbą žmogaus teisėms ir pagrindinėms laisvėms, atitinkamus bendruosius ir atskiriems sektoriams skirtus teisės aktus, įskaitant teisės aktus dėl visuomenės saugumo, gynybos, nacionalinio saugumo bei baudžiamosios teisės ir valdžios institucijų galimybės susipažinti su asmens duomenimis, taip pat tų teisės aktų įgyvendinimą, duomenų apsaugos taisykles, profesines taisykles ir saugumo priemones, įskaitant taisykles dėl tolesnio asmens duomenų perdavimo kitai trečiajai valstybei ar tarptautinei organizacijai, kurių laikomasi toje valstybėje arba kurių laikosi ta tarptautinė organizacija, teismų praktiką, taip pat veiksmingas ir vykdytinas duomenų subjektų teises ir veiksmingas administracines bei teismines duomenų subjektų, kurių asmens duomenys yra perduodami, teisių gynimo priemones;

b)

tai, ar yra ir ar veiksmingai veikia viena ar kelios nepriklausomos priežiūros institucijos trečiojoje valstybėje, arba kurioms yra pavaldi tarptautinė organizacija, kurių atsakomybė yra užtikrinti, kad būtų laikomasi duomenų apsaugos taisyklių, ir užtikrinti jų vykdymą, įskaitant tinkamus vykdymo užtikrinimo įgaliojimus, padėti duomenų subjektams naudotis savo teisėmis ir patarti jiems, kaip tai daryti, ir bendradarbiauti su valstybių narių priežiūros institucijomis, ir

c)

atitinkamos trečiosios valstybės arba tarptautinės organizacijos prisiimtus tarptautinius įsipareigojimus ar kitus įsipareigojimus, atsirandančius dėl teisiškai privalomų konvencijų ar priemonių, ir dėl jos dalyvavimo daugiašalėse ar regioninėse sistemose, visų pirma, kiek tai susiję su asmens duomenų apsauga.

a)

su asmens duomenų apsauga susijusios tinkamos apsaugos priemonės yra numatytos teisiškai privalomame dokumente, arba

b)

duomenų valdytojas įvertino visas su asmens duomenų perdavimu susijusias aplinkybes ir daro išvadą, kad nustatytos tinkamos su asmens duomenų apsauga susijusios apsaugos priemonės.

a)

kad būtų apsaugoti gyvybiniai duomenų subjekto arba kito asmens interesai;

b)

kad būtų apsaugoti teisėti duomenų subjekto interesai, kai tai numatyta asmens duomenis perduodančios valstybės narės teisėje;

c)

kad būtų užkirstas kelias tiesioginei ir didelei grėsmei valstybės narės arba trečiosios valstybės visuomenės saugumui;

d)

individualiais atvejais 1 straipsnio 1 dalyje išdėstytais tikslais, arba

e)

atskiru atveju, kad būtų nustatyti, vykdomi ar ginami teisiniai reikalavimai, susiję su 1 straipsnio 1 dalyje išdėstytais tikslais.

a)

perduoti duomenis tikrai būtina siekiant įvykdyti duomenis perduodančios kompetentingos institucijos užduotį, kaip numatyta Sąjungos arba valstybės narės teisėje, 1 straipsnio 1 dalyje išdėstytais tikslais;

b)

duomenis perduodanti kompetentinga institucija nustato, kad jokios atitinkamo duomenų subjekto pagrindinės teisės ir laisvės nėra viršesnės už viešąjį interesą, dėl kurio konkrečiu atveju būtina perduoti duomenis;

c)

duomenis perduodanti kompetentinga institucija laikosi nuomonės, kad duomenų perdavimas institucijai, kuri trečiojoje valstybėje yra kompetentinga 1 straipsnio 1 dalyje nurodytais tikslais, yra neveiksmingas arba netinkamas, visų pirma dėl to, kad perdavimo neįmanoma atlikti laiku;

d)

1 straipsnio 1 dalyje nurodytais tikslais kompetentinga institucija trečiojoje valstybėje nepagrįstai nedelsiant apie tai informuojama, išskyrus atvejus, kai tai yra neveiksminga arba netinkama;

e)

duomenis perduodanti kompetentinga institucija informuoja gavėją apie konkrečiai nustatytą tikslą ar tikslus, kuriais jis asmens duomenis gali tvarkyti, su sąlyga, kad toks duomenų tvarkymas yra būtinas.

a)

kurti tarptautinius bendradarbiavimo mechanizmus, kad būtų lengviau veiksmingai užtikrinti asmens duomenų apsaugos teisės aktų vykdymą;

b)

teikti tarptautinę savitarpio pagalbą užtikrinant asmens duomenų apsaugos teisės aktų vykdymą, be kita ko, teikiant pranešimus, perduodant nagrinėti skundus, padedant atlikti tyrimus ir keičiantis informacija, jeigu taikomos su asmens duomenų apsauga ir kitų pagrindinių teisių ir laisvių apsauga susijusios tinkamos apsaugos priemonės;

c)

atitinkamus suinteresuotuosius subjektus įtraukti į diskusijas ir veiklą, kurių tikslas – skatinti tarptautinį bendradarbiavimą užtikrinant asmens duomenų apsaugos teisės aktų vykdymą,

d)

skatinti keistis asmens duomenų apsaugos teisės aktais bei šios srities praktikos pavyzdžiais, be kita ko, jurisdikcijos konfliktų su trečiosiomis valstybėmis srityje, ir juos dokumentuoti.

—

jų parlamentas;

—

jų Vyriausybė;

—

jų valstybės vadovas, arba

—

nepriklausoma įstaiga, kuriai pagal valstybės narės teisę pavesta skirti narius.

a)

kiekvienos priežiūros institucijos įsteigimą;

b)

kvalifikaciją ir tinkamumo sąlygas, kurias turi atitikti asmuo, kad galėtų būti paskirtas kiekvienos priežiūros institucijos nariu;

c)

kiekvienos priežiūros institucijos nario ar narių skyrimo taisykles ir procedūras;

d)

kiekvienos priežiūros institucijos nario arba narių kadencijos trukmę, kuri negali būti trumpesnė kaip ketveri metai, išskyrus dalį pirmųjų narių, skiriamų po 2016 m. gegužės 6 d., kurių kadencija gali būti trumpesnė, jeigu tai yra būtina siekiant išsaugoti priežiūros institucijos nepriklausomumą, taikant laipsnišką skyrimo procedūrą;

e)

tai, ar kiekvienos priežiūros institucijos nario arba narių kadencija gali būti atnaujinama, ir jei taip – kelioms kadencijoms,

f)

sąlygas, reglamentuojančias kiekvienos priežiūros institucijos nario arba narių ir darbuotojų prievoles, draudimą kadencijos metu ir jai pasibaigus imtis veiksmų, dirbti darbą ir gauti naudos, kurie yra nesuderinami su tomis prievolėmis, ir darbo nutraukimą reglamentuojančias taisykles.

a)

stebi ir užtikrina šios direktyvos ir jos įgyvendinimo priemonių taikymą;

b)

didina visuomenės informuotumą apie su duomenų tvarkymu susijusius pavojus, taisykles, apsaugos priemones bei teises ir jų supratimą;

c)

pagal valstybės narės teisę teikia nacionaliniam parlamentui, Vyriausybei ir kitoms institucijoms bei įstaigoms patarimus dėl teisėkūros ir administracinių priemonių, susijusių su fizinių asmenų teisių ir laisvių apsauga tvarkant duomenis;

d)

didina duomenų valdytojų ir duomenų tvarkytojų informuotumą apie jų prievoles pagal šią direktyvą;

e)

gavusi prašymą bet kuriam duomenų subjektui teikia informaciją apie naudojimąsi jo teisėmis pagal šią direktyvą ir prireikus tuo tikslu bendradarbiauja su kitų valstybių narių priežiūros institucijomis;

f)

nagrinėja skundus, kuriuos pagal 55 straipsnį pateikė duomenų subjektas arba įstaiga, organizacija ar asociacija, ir tinkamu mastu tiria skundo dalyką, taip pat per pagrįstą laikotarpį informuoja skundo pateikėją apie tyrimo pažangą ir rezultatus, visų pirma tais atvejais, kai būtina tęsti tyrimą arba derinti veiksmus su kita priežiūros institucija;

g)

tikrina duomenų tvarkymo teisėtumą pagal 17 straipsnį ir per pagrįstą laikotarpį informuoja duomenų subjektą pagal to straipsnio 3 dalį apie patikrinimo rezultatus arba apie priežastis, dėl kurių patikrinimas nebuvo atliekamas;

h)

bendradarbiauja su kitomis priežiūros institucijomis, be kita ko, dalijantis informacija, ir teikia joms savitarpio pagalbą, siekiant užtikrinti, kad ši direktyva būtų taikoma ir vykdoma nuosekliai;

i)

atlieka tyrimus dėl šios direktyvos taikymo, be kita ko, remiantis iš kitos priežiūros institucijos arba kitos valdžios institucijos gauta informacija;

j)

stebi susijusius įvykius, jei jie daro poveikį asmens duomenų apsaugai, visų pirma informacinių ir ryšių technologijų raidą;

k)

teikia patarimus dėl 28 straipsnyje nurodytų duomenų tvarkymo operacijų, ir

l)

prisideda prie Valdybos veiklos.

a)

įspėti duomenų valdytoją arba duomenų tvarkytoją, kad numatomomis duomenų tvarkymo operacijomis gali būti pažeistos pagal šią direktyvą priimtos nuostatos;

b)

nurodyti duomenų valdytojui arba duomenų tvarkytojui suderinti duomenų tvarkymo operacijas su pagal šią direktyvą priimtomis nuostatomis, atitinkamais atvejais – nustatytu būdu ir per nustatytą laikotarpį, visų pirma nurodant pagal 16 straipsnį ištaisyti ar ištrinti asmens duomenis arba apriboti duomenų tvarkymą;

c)

laikinai arba galutinai nustatyti duomenų tvarkymo apribojimą, be kita ko, uždrausti tvarkyti duomenis.

a)

ji nėra kompetentinga prašymo dalyko arba priemonių, kurias jos prašoma vykdyti, srityje, arba

b)

prašymo patenkinimas pažeistų šią direktyvą arba Sąjungos ar valstybės narės teisę, kuri taikoma prašymą gaunančiai priežiūros institucijai.

a)

teikia patarimus Komisijai visais klausimais, susijusiais su asmens duomenų apsauga Sąjungoje, be kita ko, dėl visų siūlomų šios direktyvos pakeitimų;

b)

savo iniciatyva, vieno iš savo narių prašymu arba Komisijos prašymu nagrinėja klausimus, susijusius su šios direktyvos taikymu, ir skelbia gaires, rekomendacijas ir geriausios praktikos pavyzdžius, kad paskatintų šią direktyvą taikyti nuosekliai;

c)

parengia priežiūros institucijoms skirtas gaires dėl 47 straipsnio 1 ir 3 dalyse nurodytų priemonių taikymo;

d)

skelbia gaires, rekomendacijas ir geriausios praktikos pavyzdžius pagal šios pastraipos b punktą dėl asmens duomenų saugumo pažeidimų ir 30 straipsnio 1 ir 2 dalyse nurodyto nepagrįsto delsimo nustatymo, taip pat dėl konkrečių aplinkybių, kuriomis duomenų valdytojas arba duomenų tvarkytojas privalo pranešti apie asmens duomenų saugumo pažeidimą;

e)

skelbia gaires, rekomendacijas ir geriausios praktikos pavyzdžius pagal šios pastraipos b punktą dėl aplinkybių, kuriomis dėl asmens duomenų saugumo pažeidimo gali kilti didelis pavojus fizinių asmenų teisėms ir laisvėms, kaip nurodyta 31 straipsnio 1 dalyje;

f)

peržiūri b ir c punktuose nurodytų gairių, rekomendacijų ir geriausios praktikos praktinį taikymą;

g)

pateikia Komisijai nuomonę dėl apsaugos lygio trečiojoje valstybėje, teritorijoje ar viename ar keliuose nurodytuose sektoriuose trečiojoje valstybėje arba tarptautinėje organizacijoje tinkamumo įvertinimo, įskaitant įvertinimą, ar tokia trečioji valstybė, teritorija, nurodytas sektorius arba tarptautinė organizacija nebeužtikrina tinkamo lygio apsaugos;

h)

skatina priežiūros institucijų bendradarbiavimą ir jų veiksmingą dvišalį bei daugiašalį keitimąsi informacija ir geriausios praktikos pavyzdžiais;

i)

skatina vykdyti bendras mokymo programas ir palengvina priežiūros institucijų darbuotojų mainus, taip pat, atitinkamais atvejais, darbuotojų mainus su trečiųjų valstybių arba tarptautinių organizacijų priežiūros institucijomis;

j)

skatina keitimąsi žiniomis ir dokumentais apie duomenų apsaugos teisę ir praktiką su duomenų apsaugos priežiūros institucijomis visame pasaulyje.