1.   Šī regula paredz noteikumus fizisku personu aizsardzībai attiecībā uz personas datu apstrādi Savienības iestādēs un struktūrās un noteikumus, kas attiecas uz personas datu brīvu apriti to starpā vai ar citiem saņēmējiem, kas veic uzņēmējdarbību Savienībā.

2.   Šī regula aizsargā fizisku personu pamattiesības un pamatbrīvības un jo īpaši to tiesības uz personas datu aizsardzību.

3.   Eiropas datu aizsardzības uzraudzītājs uzrauga šīs regulas noteikumu piemērošanu visās apstrādes darbībās, kuras veic Savienības iestādes vai struktūras.

1.   Šo regulu piemēro personas datu apstrādei visās Savienības iestādēs un struktūrās.

2.   Gadījumos, kad Savienības struktūras, biroji un aģentūras apstrādā operatīvos personas datus, īstenojot darbības, uz kurām attiecas LESD trešās daļas V sadaļas 4. vai 5. nodaļa, piemēro tikai šīs regulas 3. pantu un IX nodaļu.

3.   Šo regulu nepiemēro operatīvo personas datu apstrādei, ko veic Eiropols un Eiropas Prokuratūra, līdz brīdim, kad Eiropas Parlamenta un Padomes Regula (ES) 2016/794 (15) un Padomes Regula (ES) 2017/1939 (16) būs pielāgota saskaņā ar šīs regulas 98. pantu.

4.   Šo regulu nepiemēro personas datu apstrādei LES 42. panta 1. punktā, 43. un 44. pantā minētajās misijās.

5.   Šo regulu piemēro personas datu apstrādei, kas pilnībā vai daļēji veikta ar automatizētiem līdzekļiem, un tādu personas datu apstrādei, kuri veido daļu no kartotēkas vai ir paredzēti, lai veidotu daļu no kartotēkas, ja apstrādi neveic ar automatizētiem līdzekļiem.

1.   Personas dati:

2.   Pārzinis ir atbildīgs par atbilstību 1. punktam un var to uzskatāmi parādīt (“pārskatatbildība”).

1.   Apstrāde ir likumīga tikai tādā apmērā un tikai tad, ja ir piemērojams vismaz viens no turpmāk minētajiem pamatojumiem:

2.   Šā panta 1. punkta a) un b) apakšpunktā minēto apstrādes pamatu nosaka Savienības tiesību aktos.

1.   Ja apstrāde pamatojas uz piekrišanu, pārzinim ir jāspēj uzskatāmi parādīt, ka datu subjekts ir piekritis savu personas datu apstrādei.

2.   Ja datu subjekta piekrišanu dod saistībā ar rakstisku deklarāciju, kas attiecas arī uz citiem jautājumiem, lūgumu dot piekrišanu norāda tā, lai to varētu skaidri atšķirt no citiem jautājumiem, saprotamā un viegli pieejamā veidā, izmantojot skaidru un vienkāršu valodu. Jebkura šādas deklarācijas daļa, kura ir šīs regulas pārkāpums, nav saistoša.

3.   Datu subjektam ir tiesības atsaukt savu piekrišanu jebkurā laikā. Piekrišanas atsaukums neietekmē apstrādes likumību, kas pamatojas uz piekrišanu pirms atsaukuma. Datu subjektam jābūt par to informētam, pirms viņš dod savu piekrišanu. Atsaukt piekrišanu ir tikpat viegli, kā to dot.

4.   Novērtējot to, vai piekrišana ir dota brīvi, maksimāli ņem vērā to, vai cita starpā līguma izpilde, tostarp pakalpojuma sniegšana, ir atkarīga no piekrišanas tādai personas datu apstrādei, kura nav nepieciešama minētā līguma izpildei.

1.   Ja attiecībā uz informācijas sabiedrības pakalpojumu tiešu sniegšanu bērnam ir piemērojams 5. panta 1. punkta d) apakšpunkts, bērna personas datu apstrāde ir likumīga, ja bērns ir vismaz 13 gadus vecs. Ja bērns ir jaunāks par 13 gadiem, šāda apstrāde ir likumīga tikai tad un tādā apmērā, ja piekrišanu ir devusi vai apstiprinājusi persona, kurai ir vecāku atbildība par bērnu.

2.   Pārzinis pieliek saprātīgas pūles, lai šādos gadījumos pārbaudītu, vai piekrišanu ir devusi vai apstiprinājusi persona, kurai ir vecāku atbildība par bērnu, ņemot vērā pieejamās tehnoloģijas.

3.   Šā panta 1. punkts neietekmē dalībvalstu vispārējās līgumtiesības, piemēram, noteikumus par attiecībā uz bērnu noslēgta līguma spēkā esību, noslēgšanu vai sekām.

1.   Neskarot 4., 5., 6. un 10. pantu, personas datus saņēmējiem, kas nav Savienības iestādes un struktūras un kas veic uzņēmējdarbību Savienībā, nosūta tikai tad, ja:

2.   Ja pārzinis ierosina datu nosūtīšanu saskaņā ar šo pantu, tas uzskatāmi parāda, ka personas datu nosūtīšana ir nepieciešama un samērīga nosūtīšanas mērķiem, piemērojot kritērijus, kas noteikti 1. punkta a) vai b) apakšpunktā.

3.   Savienības iestādes un struktūras līdzsvaro tiesības uz personas datu aizsardzību un tiesības piekļūt dokumentiem saskaņā ar Savienības tiesību aktiem.

1.   Ir aizliegta tādu personas datu apstrāde, kas atklāj rases vai etnisko piederību, politiskos uzskatus, reliģisko vai filozofisko pārliecību vai dalību arodbiedrībās, un ģenētisko datu, biometrisko datu, lai veiktu fiziskas personas unikālu identifikāciju, veselības datu vai datu par fiziskas personas dzimumdzīvi vai seksuālo orientāciju apstrāde.

2.   Šā panta 1. punktu nepiemēro, ja ir piemērojams kāds no šādiem pamatojumiem:

3.   Šā panta 1. punktā minētos personas datus var apstrādāt 2. punkta h) apakšpunktā minētajos nolūkos, ja šos datus apstrādā profesionālis, uz kuru saskaņā ar Savienības vai dalībvalsts tiesību aktiem vai valsts kompetento iestāžu ieviestiem noteikumiem attiecas dienesta noslēpuma ievērošanas pienākums, vai ja tos apstrādā šāda profesionāļa atbildībā vai cita persona, uz kuru arī attiecas pienākums ievērot dienesta noslēpumu saskaņā ar Savienības vai dalībvalsts tiesību aktiem vai valsts kompetento iestāžu ieviestiem noteikumiem.

1.   Ja nolūki, kādos pārzinis apstrādā personas datus, neprasa vai vairs neprasa pārzinim identificēt datu subjektu, pārzinim nav pienākuma saglabāt, iegūt vai apstrādāt papildu informāciju, lai identificētu datu subjektu, ja vienīgais nolūks ir ievērot šo regulu.

2.   Ja šā panta 1. punktā minētajos gadījumos pārzinis spēj uzskatāmi parādīt, ka viņš nevar identificēt datu subjektu, pārzinis, ja iespējams, attiecīgi informē datu subjektu. Šādos gadījumos 17.–22. pantu nepiemēro, izņemot gadījumos, kad datu subjekts, lai īstenotu savas tiesības saskaņā ar minētajiem pantiem, sniedz papildu informāciju, kas ļauj viņu identificēt.

1.   Pārzinis veic atbilstošus pasākumus, lai kodolīgā, pārredzamā, saprotamā un viegli pieejamā veidā, izmantojot skaidru un vienkāršu valodu, datu subjektam sniegtu visu 15. un 16. pantā minēto informāciju un nodrošinātu visu 17.–24. pantā un 35. pantā minēto saziņu attiecībā uz apstrādi, jo īpaši attiecībā uz visu informāciju, kas konkrēti paredzēta bērnam. Informāciju sniedz rakstiski vai citā veidā, tostarp – vajadzības gadījumā – elektroniskā formā. Pēc datu subjekta pieprasījuma informāciju var sniegt mutiski – ar noteikumu, ka datu subjekta identitāte ir pierādīta citā veidā.

2.   Pārzinis veicina 17.–24. pantā paredzēto datu subjekta tiesību īstenošanu. Regulas 12. panta 2. punktā minētajos gadījumos pārzinis neatsakās rīkoties pēc datu subjekta pieprasījuma par savu 17.–24. pantā paredzēto tiesību īstenošanu, izņemot gadījumus, kad pārzinis uzskatāmi parāda, ka nespēj identificēt datu subjektu.

3.   Pārzinis bez nepamatotas kavēšanās un jebkurā gadījumā mēneša laikā pēc pieprasījuma saņemšanas datu subjektu informē par darbību, kas pēc pieprasījuma veikta saskaņā ar 17.–24. pantu. Vajadzības gadījumā minēto laikposmu var pagarināt vēl uz diviem mēnešiem, ņemot vērā pieprasījumu sarežģītību un skaitu. Pārzinis informē datu subjektu par jebkuru šādu pagarinājumu un kavēšanās iemesliem mēneša laikā pēc pieprasījuma saņemšanas. Ja datu subjekts pieprasījumu iesniedz elektroniskā formā, informāciju, ja iespējams, sniedz elektroniskā formā, izņemot, ja datu subjekts pieprasa citādi.

4.   Ja pārzinis neveic darbību, ko pieprasījis datu subjekts, pārzinis bez kavēšanās un vēlākais mēneša laikā pēc pieprasījuma saņemšanas informē datu subjektu par darbības neveikšanas iemesliem un par iespēju iesniegt sūdzību Eiropas datu aizsardzības uzraudzītājam un vērsties tiesā.

5.   Informācija, ko sniedz saskaņā ar 15. un 16. pantu, un visa saziņa un visas darbības, ko īsteno saskaņā ar 17.–24. pantu un 35. pantu, ir bez maksas. Ja datu subjekta pieprasījumi ir acīmredzami nepamatoti vai pārmērīgi, jo īpaši to regulāras atkārtošanās dēļ, pārzinis var atteikties izpildīt pieprasījumu. Pārzinim ir pienākums uzskatāmi parādīt, ka pieprasījums ir acīmredzami nepamatots vai pārmērīgs.

6.   Neskarot 12. pantu – ja pārzinim ir pamatotas šaubas par tās fiziskās personas identitāti, kura iesniedz 17.–23. pantā minēto pieprasījumu, pārzinis var prasīt, lai tiktu sniegta papildu informācija, kas vajadzīga datu subjekta identitātes apstiprināšanai.

7.   Informāciju, kas datu subjektiem sniedzama, ievērojot 15. un 16. pantu, var sniegt apvienojumā ar standartizētām ikonām, lai viegli uztveramā, saprotamā un skaidri salasāmā veidā sniegtu jēgpilnu pārskatu par paredzēto apstrādi. Ja ikonas attēlo elektroniski, tās ir mašīnlasāmas.

8.   Ja Komisija pieņem deleģētos aktus saskaņā ar Regulas (ES) 2016/679 12. panta 8. punktu, lai noteiktu informāciju, kas sniedzama, izmantojot ikonas, un procedūras standartizētu ikonu nodrošināšanai, Savienības iestādes un struktūras vajadzības gadījumā sniedz informāciju saskaņā ar šīs regulas 15. un 16. pantu kopā ar šādām standartizētām ikonām.

1.   Ja datu subjekta personas datus vāc no datu subjekta, pārzinis personas datu iegūšanas laikā datu subjektam sniedz visu šādu informāciju:

2.   Papildus 1. punktā minētajai informācijai pārzinis personas datu iegūšanas laikā datu subjektam sniedz šādu papildu informāciju, kas vajadzīga, lai nodrošinātu godprātīgu un pārredzamu apstrādi:

3.   Ja pārzinis paredz personas datus turpmāk apstrādāt citā nolūkā, kas nav nolūks, kādā personas dati tika vākti, pārzinis pirms minētās turpmākās apstrādes informē datu subjektu par minēto citu nolūku un sniedz tam visu attiecīgo papildu informāciju, kā minēts 2. punktā.

4.   Šā panta 1., 2. un 3. punktu nepiemēro, ja un ciktāl datu subjekta rīcībā jau ir attiecīgā informācija.

1.   Ja personas dati nav iegūti no datu subjekta, pārzinis datu subjektam sniedz šādu informāciju:

2.   Papildus 1. punktā minētajai informācijai pārzinis datu subjektam sniedz turpmāk norādīto informāciju, kas vajadzīga, lai nodrošinātu godprātīgu un pārredzamu apstrādi attiecībā uz datu subjektu:

3.   Pārzinis 1. un 2. punktā minēto informāciju sniedz:

4.   Ja pārzinis paredz personas datus turpmāk apstrādāt citā nolūkā, kas nav nolūks, kādā personas dati tika iegūti, pārzinis pirms minētās turpmākās apstrādes informē datu subjektu par minēto citu nolūku un sniedz tam visu attiecīgo papildu informāciju, kā minēts 2. punktā.

5.   Šā panta 1.–4. punktu nepiemēro, ja un ciktāl:

6.   Šā panta 5. punkta b) apakšpunktā minētajos gadījumos pārzinis veic atbilstošus pasākumus, lai aizsargātu datu subjekta tiesības un brīvības, un leģitīmās intereses, tostarp darot informāciju publiski pieejamu.

1.   Datu subjektam ir tiesības saņemt no pārziņa apstiprinājumu par to, vai attiecībā uz datu subjektu tiek vai netiek apstrādāti personas dati, un, ja tiek, datu subjektam ir tiesības piekļūt attiecīgajiem datiem un saņemt šādu informāciju:

2.   Ja personas datus nosūta trešai valstij vai starptautiskai organizācijai, datu subjektam ir tiesības saņemt informāciju par atbilstošām garantijām, ko saistībā ar datu nosūtīšanu piemēro, ievērojot 48. pantu.

3.   Pārzinis nodrošina apstrādē esošo personas datu kopiju. Ja datu subjekts pieprasījumu iesniedz elektroniskā formā un ja vien datu subjekts nepieprasa citādi, informāciju sniedz plaši izmantotā elektroniskā formātā.

4.   Tiesības saņemt 3. punktā minēto kopiju neietekmē nelabvēlīgi citu personu tiesības un brīvības.

1.   Datu subjektam ir tiesības panākt, lai pārzinis bez nepamatotas kavēšanās dzēstu datu subjekta personas datus, un pārziņa pienākums ir bez nepamatotas kavēšanās dzēst personas datus, ja pastāv viens no šādiem nosacījumiem:

2.   Ja pārzinis ir publiskojis personas datus un tā pienākums saskaņā ar 1. punktu ir minētos personas datus dzēst, pārzinis, ņemot vērā pieejamo tehnoloģiju un tās piemērošanas izmaksas, veic saprātīgus pasākumus, tostarp tehniskus pasākumus, lai informētu pārziņus vai pārziņus, kas nav Savienības iestādes un struktūras, kuri veic personas datu apstrādi, ka datu subjekts ir pieprasījis, lai minētie pārziņi dzēstu visas saites uz minētajiem personas datiem vai minēto personas datu kopijas vai atveidojumus.

3.   Šā panta 1. un 2. punktu nepiemēro, ciktāl apstrāde ir nepieciešama:

1.   Datu subjektam ir tiesības panākt, lai pārzinis ierobežotu apstrādi, ja pastāv viens no šādiem apstākļiem:

2.   Ja apstrāde ir ierobežota saskaņā ar 1. punktu, šādus personas datus, izņemot glabāšanu, apstrādā tikai ar datu subjekta piekrišanu vai tādēļ, lai celtu, īstenotu vai aizstāvētu likumīgas prasības vai lai aizsargātu citas fiziskas vai juridiskas personas tiesības, vai Savienības vai dalībvalsts svarīgu sabiedrības interešu dēļ.

3.   Pārzinis datu subjektu, kas ir panācis apstrādes ierobežošanu saskaņā ar 1. punktu, informē pirms apstrādes ierobežojuma atcelšanas.

4.   Automatizētās kartotēkās apstrādes ierobežojums principā ir jānodrošina ar tehniskiem līdzekļiem. Faktu, ka personas dati ir ierobežoti, sistēmā atspoguļo tā, lai kļūtu skaidrs, ka personas datus nedrīkst izmantot.

1.   Datu subjektam ir tiesības saņemt personas datus attiecībā uz sevi, kurus viņš sniedzis pārzinim, strukturētā, plaši izmantotā un mašīnlasāmā formātā un ir tiesības minētos datus nosūtīt citam pārzinim, un pārzinis, kuram attiecīgie personas dati sniegti, tam nerada nekādus šķēršļus, ja:

2.   Īstenojot savas tiesības uz datu pārnesamību saskaņā ar 1. punktu, datu subjektam ir tiesības uz personas datu nosūtīšanu tieši no viena pārziņa citam pārzinim vai pārziņiem, kas nav Savienības iestādes un struktūras, ja tas ir tehniski iespējams.

3.   Šā panta 1. punktā minēto tiesību īstenošana neskar 19. pantu. Minētās tiesības neattiecas uz apstrādi, kas ir vajadzīga, lai izpildītu uzdevumu, ko veic sabiedrības interesēs vai īstenojot pārzinim likumīgi piešķirtas oficiālas pilnvaras.

4.   Tiesības, kas minētas 1. punktā, neietekmē nelabvēlīgi citu personu tiesības un brīvības.

1.   Datu subjektam, balstoties uz iemesliem saistībā ar viņa īpašo situāciju, ir tiesības jebkurā laikā iebilst pret savu personas datu apstrādi, kas pamatojas uz 5. panta 1. punkta a) apakšpunktu, tostarp profilēšanu, kas pamatojas uz minēto noteikumu. Pārzinis personas datus vairs neapstrādā, izņemot, ja pārzinis norāda uz pārliecinošiem leģitīmiem apstrādes iemesliem, kas ir svarīgāki par datu subjekta interesēm, tiesībām un brīvībām, vai šādiem iemesliem celt, īstenot vai aizstāvēt likumīgas prasības.

2.   Vēlākais tad, kad ar datu subjektu notiek pirmā saziņa, datu subjektu nepārprotami informē par 1. punktā minētajām tiesībām, un to dara tā, lai šī informācija būtu skaidra un lai to varētu atšķirt no jebkuras citas informācijas.

3.   Neskarot 36. un 37. pantu, saistībā ar informācijas sabiedrības pakalpojumu izmantošanu datu subjekts savas tiesības iebilst var īstenot ar automatizētiem līdzekļiem, izmantojot tehniskās specifikācijas.

4.   Ja personas datus apstrādā zinātniskās vai vēstures pētniecības nolūkos vai statistikas nolūkos, datu subjektam, pamatojoties uz savu īpašo situāciju, ir tiesības iebilst pret savu personas datu apstrādi, izņemot, ja apstrāde ir vajadzīga, lai izpildītu uzdevumu, ko veic sabiedrības interesēs.

1.   Datu subjektam ir tiesības nebūt tāda lēmuma subjektam, kura pamatā ir tikai automatizēta apstrāde, tostarp profilēšana, un kurš attiecībā uz datu subjektu rada tiesiskās sekas vai kurš līdzīgā veidā ievērojami ietekmē datu subjektu.

2.   Šā panta 1. punktu nepiemēro, ja lēmums:

3.   Šā panta 2. punkta a) un c) apakšpunktā minētajos gadījumos datu pārzinis veic atbilstīgus pasākumus, lai aizsargātu datu subjekta tiesības un brīvības, un leģitīmās intereses – vismaz tiesības panākt cilvēka līdzdalību no pārziņa puses –, lai datu subjekts varētu paust savu viedokli un apstrīdēt lēmumu.

4.   Šā panta 2. punktā minētos lēmumus nepamato ar īpašām personas datu kategorijām, kuras minētas 10. panta 1. punktā, izņemot, ja tiek piemērots 10. panta 2. punkta a) vai g) apakšpunkts un tiek nodrošināti atbilstīgi pasākumi, ar ko aizsargā datu subjekta tiesības un brīvības, un leģitīmās intereses.

1.   Tiesību akti, kas pieņemti uz Līgumu pamata, vai – gadījumos, kad runa ir par apstākļiem, kas saistīti ar Savienības iestāžu un struktūru darbību, – to iekšēji noteikumi var ierobežot 14.–22. panta, 35. un 36. panta piemērošanu, kā arī 4. panta piemērošanu, ciktāl tā noteikumi atbilst 14.–22. pantā paredzētajām tiesībām un pienākumiem, – ja ar šādu ierobežojumu tiek ievērota pamattiesību un pamatbrīvību būtība un tas demokrātiskā sabiedrībā ir nepieciešams un samērīgs, lai garantētu:

2.   Jo īpaši – jebkurā tiesību aktā vai iekšējā noteikumā, kas minēti 1. punktā, attiecīgā gadījumā ietver konkrētus noteikumus par:

3.   Ja personas datus apstrādā zinātniskās vai vēstures pētniecības nolūkos vai statistikas nolūkos, Savienības tiesību aktos, kas var ietvert iekšējus noteikumus, kurus Savienības iestādes un struktūras pieņēmušas ar savu darbību saistītos jautājumos, var paredzēt atkāpes no tiesībām, kas minētas 17., 18., 20. un 23. pantā, ņemot vērā 13. pantā minētos nosacījumus un garantijas, ciktāl šādas tiesības var neļaut vai būtiski traucēt īstenot konkrētos nolūkus un šādas atkāpes ir vajadzīgas minēto nolūku īstenošanai.

4.   Ja personas datus apstrādā arhivēšanas nolūkos sabiedrības interesēs, Savienības tiesību aktos, kas var ietvert iekšējus noteikumus, kurus Savienības iestādes un struktūras pieņēmušas ar savu darbību saistītos jautājumos, var paredzēt atkāpes no tiesībām, kas minētas 17., 18., 20., 21., 22. un 23. pantā, ņemot vērā 13. pantā minētos nosacījumus un garantijas, ciktāl šādas tiesības var neļaut vai būtiski traucēt īstenot konkrētos nolūkus un šādas atkāpes ir vajadzīgas minēto nolūku īstenošanai.

5.   Šā panta 1., 3. un 4. punktā minētie iekšējie noteikumi ir skaidri un precīzi vispārēji piemērojami akti, kuru nolūks ir radīt juridiskas sekas datu subjektiem un kurus pieņem Savienības iestāžu un struktūru augstākās vadības līmenī un publicē Eiropas Savienības Oficiālajā Vēstnesī.

6.   Ja tiek piemērots ierobežojums saskaņā ar 1. punktu, datu subjektu informē saskaņā ar Savienības tiesību aktiem par galvenajiem iemesliem, kas ir pamatā ierobežojuma piemērošanai, kā arī par viņa tiesībām iesniegt sūdzību Eiropas datu aizsardzības uzraudzītājam.

7.   Ja tiek piemērots ierobežojums saskaņā ar 1. punktu un to izmanto, lai liegtu piekļuvi datu subjektam, Eiropas datu aizsardzības uzraudzītājs, izmeklējot sūdzību, informē datu subjektu tikai par to, vai dati ir apstrādāti pareizi un, ja nav – vai ir izdarīti vajadzīgie labojumi.

8.   Šā panta 6. un 7. punktā un 45. panta 2. punktā minētās informācijas sniegšanu var atlikt, izlaist vai atteikt, ja tādējādi ierobežojums, kas uzlikts saskaņā ar šā panta 1. punktu, vairs nebūtu iedarbīgs.

1.   Ņemot vērā apstrādes raksturu, apmēru, kontekstu un nolūkus, kā arī dažādas iespējamības un nopietnības pakāpes riskus attiecībā uz fizisku personu tiesībām un brīvībām, pārzinis īsteno atbilstošus tehniskus un organizatoriskus pasākumus, lai nodrošinātu un spētu uzskatāmi parādīt, ka apstrāde notiek saskaņā ar šo regulu. Ja nepieciešams, minētos pasākumus pārskata un atjaunina.

2.   Ja tas ir samērīgi attiecībā uz apstrādes darbībām, 1. punktā minētajos pasākumos ietver to, ka pārzinis īsteno atbilstīgu politiku attiecībā uz datu aizsardzību.

3.   Atbilstību Regulas (ES) 2016/679 42. pantā minētiem apstiprinātiem sertifikācijas mehānismiem var izmantot kā elementu, ar ko apliecina pārziņa pienākumu izpildi.

1.   Ņemot vērā tehnikas līmeni, īstenošanas izmaksas un apstrādes raksturu, apmēru, kontekstu un nolūkus, kā arī dažādas iespējamības un nopietnības pakāpes riskus attiecībā uz fizisku personu tiesībām un brīvībām, kurus rada apstrāde, pārzinis gan apstrādes līdzekļu noteikšanas, gan pašas apstrādes laikā īsteno atbilstošus tehniskus un organizatoriskus pasākumus, piemēram, pseidonimizāciju, kas ir paredzēti, lai efektīvi īstenotu datu aizsardzības principus, piemēram, datu minimizēšanu, un lai apstrādē integrētu vajadzīgās garantijas nolūkā izpildīt šīs regulas prasības un aizsargāt datu subjektu tiesības.

2.   Pārzinis īsteno atbilstošus tehniskus un organizatoriskus pasākumus, lai nodrošinātu, ka pēc noklusējuma tiek apstrādāti tikai tādi personas dati, kas ir nepieciešami katram konkrētajam apstrādes nolūkam. Minētais pienākums attiecas uz vākto personas datu apjomu, to apstrādes pakāpi, glabāšanas laikposmu un to pieejamību. Jo īpaši – ar šādiem pasākumiem nodrošina, ka pēc noklusējuma personas datus bez personas līdzdalības nedara pieejamus nenoteiktam fizisku personu skaitam.

3.   Apstiprināts sertifikācijas mehānisms atbilstoši Regulas (ES) 2016/679 42. pantam var tikt izmantots kā elements, ar ko apliecina atbilstību šā panta 1. un 2. punktā izklāstītajām prasībām.

1.   Ja apstrādes mērķus un veidus kopīgi nosaka divi vai vairāk pārziņi vai viens vai vairāk pārziņi kopā ar vienu vai vairāk pārziņiem, kas nav Savienības iestādes un struktūras, tie ir kopīgi pārziņi. Kopīgi pārziņi pārredzamā veidā nosaka savus attiecīgos pienākumus izpildīt tiem piemērojamās datu aizsardzības prasības, jo īpaši attiecībā uz datu subjekta tiesību īstenošanu un kopīgo pārziņu attiecīgajiem pienākumiem sniegt 15. un 16. pantā minēto informāciju; kopīgie pārziņi pienākumus nosaka, savstarpēji vienojoties, – izņemot, ja un ciktāl attiecīgie kopīgo pārziņu pienākumi ir noteikti saskaņā ar Savienības vai dalībvalsts tiesību aktiem, kas piemērojami kopīgajiem pārziņiem. Ar vienošanos var noteikt datu subjektu kontaktpunktu.

2.   Šā panta 1. punktā minētā vienošanās pienācīgi atspoguļo kopīgo pārziņu attiecīgās lomas un attiecības ar datu subjektiem. Vienošanās galveno saturu dara pieejamu datu subjektam.

3.   Neatkarīgi no 1. punktā minētās vienošanās nosacījumiem datu subjekts saskaņā ar šo regulu var īstenot savas tiesības attiecībā uz un pret katru pārzini.

1.   Gadījumos, kad apstrāde ir jāveic pārziņa vārdā, pārzinis izmanto tikai tādus apstrādātājus, kas sniedz pietiekamas garantijas, ka tiks īstenoti atbilstoši tehniskie un organizatoriskie pasākumi tādā veidā, ka apstrādē tiks ievērotas šīs regulas prasības un tiks nodrošināta datu subjekta tiesību aizsardzība.

2.   Apstrādātājs bez iepriekšējas konkrētas vai vispārējas rakstiskas pārziņa atļaujas nepiesaista citu apstrādātāju. Vispārējas rakstiskas atļaujas gadījumā apstrādātājs informē pārzini par jebkādām iecerētām pārmaiņām saistībā ar papildu apstrādātāju vai apstrādātāja aizstāšanu, tādējādi sniedzot pārzinim iespēju iebilst pret šādām izmaiņām.

3.   Apstrādi, ko veic apstrādātājs, reglamentē ar līgumu vai ar citu juridisku aktu saskaņā ar Savienības vai dalībvalsts tiesību aktiem, kurš ir saistošs apstrādātājam un pārzinim un kurā norāda apstrādes priekšmetu un ilgumu, apstrādes raksturu un nolūku, personas datu veidu un datu subjektu kategorijas un pārziņa pienākumus un tiesības. Minētais līgums vai cits juridiskais akts jo īpaši paredz, ka apstrādātājs:

Attiecībā uz pirmās daļas h) apakšpunktu apstrādātājs nekavējoties informē pārzini, ja tā ieskatā kāds norādījums pārkāpj šo regulu vai citus Savienības vai dalībvalstu datu aizsardzības noteikumus.

4.   Ja apstrādātājs ar līgumu vai citu juridisku aktu saskaņā ar Savienības vai dalībvalsts tiesību aktiem piesaista citu apstrādātāju konkrētu apstrādes darbību veikšanai pārziņa vārdā, šim citam apstrādātājam nosaka tos pašus datu aizsardzības pienākumus, kas noteikti 3. punktā minētajā līgumā vai citā juridiskā aktā, kas noslēgts starp pārzini un apstrādātāju, jo īpaši pietiekami garantējot, ka tiks īstenoti piemēroti tehniskie un organizatoriskie pasākumi tādā veidā, ka apstrādē tiek ievērotas šajā regulā noteiktās prasības. Ja minētais cits apstrādātājs nepilda savus datu aizsardzības pienākumus, sākotnējais apstrādātājs paliek pilnībā atbildīgs pārzinim par šā cita apstrādātāja pienākumu izpildi.

5.   Ja apstrādātājs nav Savienības iestāde vai struktūra, tā atbilstību Regulas (ES) 2016/679 40. panta 5. punktā minētam apstiprinātam rīcības kodeksam vai Regulas (ES) 2016/679 42. pantā minētam apstiprinātam sertifikācijas mehānismam var izmantot kā elementu, ar ko apliecina šā panta 1. un 4. punktā minētās pietiekamās garantijas.

6.   Neskarot atsevišķu līgumu starp pārzini un apstrādātāju, šā panta 3. un 4. punktā minēto līgumu vai citu juridisku aktu var pilnībā vai daļēji balstīt uz šā panta 7. un 8. punktā minētajām līguma standartklauzulām, tostarp ja tās ir daļa no sertifikāta, kurš apstrādātājam, kas nav Savienības iestāde vai struktūra, piešķirts saskaņā ar Regulas (ES) 2016/679 42. pantu.

7.   Komisija var izstrādāt līguma standartklauzulas šā panta 3. un 4. punktā minētajiem jautājumiem saskaņā ar pārbaudes procedūru, kas minēta 96. panta 2. punktā.

8.   Eiropas datu aizsardzības uzraudzītājs var pieņemt līguma standartklauzulas šā panta 3. un 4. punktā minētajiem jautājumiem.

9.   Šā panta 3. un 4. punktā minētais līgums vai cits juridiskais akts ir sagatavots rakstiskā formā, tostarp elektroniski.

10.   Neskarot 65. un 66. pantu – ja apstrādātājs, nosakot apstrādes nolūkus un līdzekļus, pārkāpj šo regulu, apstrādātāju uzskata par pārzini attiecībā uz minēto apstrādi.

1.   Katrs pārzinis reģistrē tā pakļautībā veiktās apstrādes darbības. Minētajā reģistrā ietver visu šādu informāciju:

2.   Katrs apstrādātājs uztur visu pārziņa vārdā veikto apstrādes darbību kategoriju reģistru, ietverot šādu informāciju:

3.   Šā panta 1. un 2. punktā minēto reģistrēšanu veic rakstiski, tostarp elektroniskā formātā.

4.   Savienības iestādes un struktūras pēc pieprasījuma nodrošina reģistra pieejamību Eiropas datu aizsardzības uzraudzītājam.

5.   Savienības iestādes un struktūras uzglabā informāciju par veiktajām apstrādes darbībām centrālā reģistrā, ja vien tas nav nelietderīgi Savienības iestādes vai struktūras lieluma dēļ. Tās padara šo reģistru publiski pieejamu.

1.   Ņemot vērā tehnikas līmeni, īstenošanas izmaksas un apstrādes raksturu, apmēru, kontekstu un nolūkus, kā arī dažādas iespējamības un smaguma pakāpes riskus attiecībā uz fizisku personu tiesībām un brīvībām, pārzinis un apstrādātājs īsteno atbilstīgus tehniskus un organizatoriskus pasākumus, lai nodrošinātu tādu drošības līmeni, kas atbilst riskam, tostarp attiecīgā gadījumā cita starpā:

2.   Novērtējot atbilstīgo drošības līmeni, jo īpaši ņem vērā riskus, ko rada apstrāde, jo īpaši nejauša vai nelikumīga nosūtīto, uzglabāto vai citādi apstrādāto personas datu iznīcināšana, nozaudēšana, pārveidošana, neatļauta izpaušana vai piekļuve tiem.

3.   Pārzinis un apstrādātājs veic pasākumus, lai nodrošinātu, ka jebkura fiziska persona, kas darbojas pārziņa vai apstrādātāja pakļautībā un kam ir piekļuve personas datiem, tos neapstrādā bez pārziņa norādījumiem, izņemot, ja minētajai personai tas jādara saskaņā ar Savienības tiesību aktiem.

4.   Atbilstību Regulas (ES) 2016/679 42. pantā minētam apstiprinātam sertifikācijas mehānismam var izmantot kā elementu, ar ko apliecina šā panta 1. punktā noteikto prasību izpildi.

1.   Personas datu aizsardzības pārkāpuma gadījumā pārzinis bez nepamatotas kavēšanās un, ja iespējams, ne vēlāk kā 72 stundu laikā no brīža, kad pārkāpums tam kļuvis zināms, paziņo par personas datu aizsardzības pārkāpumu Eiropas datu aizsardzības uzraudzītājam, izņemot gadījumus, kad ir maz ticams, ka personas datu aizsardzības pārkāpums varētu radīt risku fizisku personu tiesībām un brīvībām. Ja paziņojums Eiropas datu aizsardzības uzraudzītājam nav sniegts 72 stundu laikā, tam pievieno kavēšanās iemeslus.

2.   Apstrādātājs, tiklīdz tam kļuvis zināms personas datu aizsardzības pārkāpums, bez nepamatotas kavēšanās paziņo par to pārzinim.

3.   Paziņojumā, kas minēts 1. punktā, vismaz:

4.   Ja un ciktāl informāciju nav iespējams sniegt vienlaikus, informāciju var sniegt pa posmiem bez turpmākas nepamatotas kavēšanās.

5.   Par personas datu aizsardzības pārkāpumu pārzinis informē datu aizsardzības speciālistu.

6.   Pārzinis dokumentē visus personas datu aizsardzības pārkāpumus, norādot faktus, kas saistīti ar personas datu pārkāpumu, tā sekas un veiktās koriģējošās darbības. Minētā dokumentācija ļauj Eiropas datu aizsardzības uzraudzītājam pārbaudīt šā panta ievērošanu.

1.   Gadījumā, ja personas datu aizsardzības pārkāpums varētu radīt augstu risku fizisku personu tiesībām un brīvībām, pārzinis bez nepamatotas kavēšanās paziņo datu subjektam par personas datu aizsardzības pārkāpumu.

2.   Paziņojumā datu subjektam, kas minēts šā panta 1. punktā, izmantojot skaidru un vienkāršu valodu, apraksta personas datu aizsardzības pārkāpuma raksturu un ietver vismaz 34. panta 3. punkta b), c) un d) apakšpunktā paredzēto informāciju un pasākumus.

3.   Šā panta 1. punktā minētais paziņojums datu subjektam, nav jāsniedz, ja tiek izpildīts kāds no šādiem nosacījumiem:

4.   Ja pārzinis vēl nav paziņojis datu subjektam par personas datu aizsardzības pārkāpumu, Eiropas datu aizsardzības uzraudzītājs, apsvēris iespējamību, ka personas datu pārkāpums varētu radīt augstu risku, var pieprasīt pārzinim paziņot datu subjektam vai var nolemt, ka ir izpildīti visi 3. punktā minētie nosacījumi.

1.   Lietotāju sarakstos iekļautos personas datus, kā arī piekļuvi šiem sarakstiem ierobežo tādā apmērā, cik tas nepieciešams attiecīgā saraksta konkrētajam mērķim.

2.   Savienības iestādes un struktūras veic visus vajadzīgos pasākumus, lai nepieļautu to, ka šajos sarakstos esošos personas datus izmanto tiešās tirgvedības nolūkiem neatkarīgi no tā, vai tie ir publiski pieejami vai nav.

1.   Ja apstrādes veids, jo īpaši jaunu tehnoloģiju lietojums, ņemot vērā apstrādes raksturu, apjomu, kontekstu un nolūkus, ļoti iespējams, varētu radīt augstu risku fizisku personu tiesībām un brīvībām, pārzinis pirms apstrādes veic novērtējumu par to, kā plānotās apstrādes darbības ietekmēs personas datu aizsardzību. Vienā novērtējumā var pievērsties tādu līdzīgu apstrādes darbību kopumam, kurām piemīt līdzīgi augsti riski.

2.   Pārzinis, veicot novērtējumu par ietekmi uz datu aizsardzību, lūdz padomu no datu aizsardzības speciālista.

3.   Šā panta 1. punktā minētais novērtējums par ietekmi uz datu aizsardzību jo īpaši ir vajadzīgs šādos gadījumos:

4.   Eiropas datu aizsardzības uzraudzītājs izstrādā un publisko sarakstu ar tiem apstrādes darbību veidiem, attiecībā uz kuriem ir jāveic novērtējums par ietekmi uz datu aizsardzību saskaņā ar 1. punktu.

5.   Eiropas datu aizsardzības uzraudzītājs var izstrādāt un publiskot arī sarakstu ar tiem apstrādes darbību veidiem, attiecībā uz kuriem nav vajadzīgs novērtējums par ietekmi uz datu aizsardzību.

6.   Pirms šā panta 4. un 5. punktā minēto sarakstu pieņemšanas Eiropas datu aizsardzības uzraudzītājs prasa, lai Eiropas Datu aizsardzības kolēģija, kas izveidota ar Regulas (ES) 2016/679 68. pantu, izskata šādus sarakstus saskaņā ar minētās regulas 70. panta 1. punkta e) apakšpunktu, ja tie attiecas uz apstrādes darbībām, ko pārzinis īsteno kopā ar vienu vai vairāk pārziņiem, kas nav Savienības iestādes un struktūras.

7.   Novērtējumā ietver vismaz:

8.   Attiecīgo apstrādātāju, kas nav Savienības iestāde vai struktūra, atbilstību Regulas (ES) 2016/679 40. pantā minētajam rīcības kodeksam pienācīgi ņem vērā, novērtējot šādu apstrādātāju veikto apstrādes darbību ietekmi, jo īpaši saistībā ar novērtējumu par ietekmi uz datu aizsardzību.

9.   Attiecīgā gadījumā pārzinis pieprasa datu subjektu vai viņu pārstāvju viedokli par plānoto apstrādi, neskarot sabiedrības interešu aizsardzību vai apstrādes darbību drošību.

10.   Ja saskaņā ar 5. panta 1. punkta a) vai b) apakšpunktu veiktās apstrādes juridiskais pamats ir noteikts tiesību aktā, kas pieņemts uz Līgumu pamata un kas reglamentē konkrēto apstrādes darbību vai minēto darbību kopumu, un novērtējums par ietekmi uz datu aizsardzību jau ir veikts kā daļa no vispārējā ietekmes novērtējuma pirms minētā tiesību akta pieņemšanas, šā panta 1.–6. punktu nepiemēro, izņemot, ja minētajā tiesību aktā ir noteikts citādi.

11.   Ja vajadzīgs, pārzinis veic pārskatu, lai novērtētu, vai apstrāde notiek saskaņā ar novērtējumu par ietekmi uz datu aizsardzību, vismaz tad, ja ir izmaiņas attiecībā uz apstrādes darbību radīto risku.

1.   Pārzinis pirms apstrādes apspriežas ar Eiropas datu aizsardzības uzraudzītāju, ja saskaņā ar 39. pantu veicamajā novērtējumā par ietekmi uz datu aizsardzību ir norādīts, ka apstrāde bez garantiju, drošības pasākumu un riska mazināšanas mehānismu piemērošanas radītu augstu risku fizisku personu tiesībām un brīvībām un pārzinis uzskata, ka risku nevar mazināt ar saprātīgiem pasākumiem, ņemot vērā pieejamās tehnoloģijas un īstenošanas izmaksas. Par vajadzību veikt iepriekšēju apspriešanos pārzinis lūdz padomu no datu aizsardzības speciālista.

2.   Ja Eiropas datu aizsardzības uzraudzītājs uzskata, ka 1. punktā minētā plānotā apstrāde pārkāptu šo regulu, jo īpaši, ja pārzinis nav pietiekami identificējis vai mazinājis risku, Eiropas datu aizsardzības uzraudzītājs laikposmā līdz astoņām nedēļām no pieprasījuma par apspriešanos saņemšanas sniedz pārzinim un attiecīgā gadījumā apstrādātajam rakstisku padomu un var izmantot jebkuras no savām pilnvarām, kas minētas 58. pantā. Minēto laikposmu var pagarināt par sešām nedēļām, ņemot vērā plānotās apstrādes sarežģītību. Eiropas datu aizsardzības uzraudzītājs informē pārzini un attiecīgā gadījumā apstrādātāju par jebkādu šādu pagarinājumu viena mēneša laikā pēc pieprasījuma par apspriešanos saņemšanas, norādot kavēšanās iemeslus. Minētos laikposmus var apturēt līdz brīdim, kad Eiropas datu aizsardzības uzraudzītājs saņem informāciju, ko tas pieprasījis apspriešanās nolūkiem.

3.   Apspriežoties ar Eiropas datu aizsardzības uzraudzītāju saskaņā ar 1. punktā noteikto, pārzinis sniedz Eiropas datu aizsardzības uzraudzītājam šādu informāciju:

4.   Komisija var īstenošanas aktā noteikt to gadījumu sarakstu, kuros pārziņiem ir jāapspriežas ar Eiropas datu aizsardzības uzraudzītāju un jāsaņem no tā iepriekšēja atļauja saistībā ar personas datu apstrādi, ko veic pārzinis, lai izpildītu sabiedrības interesēs īstenojamu uzdevumu, tostarp, kad šādu datu apstrādi veic saistībā ar sociālo aizsardzību un sabiedrības veselību.

1.   Izstrādājot administratīvas vienošanās un iekšējus noteikumus, kas attiecas uz personas datu apstrādi, kurā Savienības iestāde vai struktūra ir iesaistīta viena pati vai kopā ar citām, Savienības iestādes un struktūras informē Eiropas datu aizsardzības uzraudzītāju.

2.   Izstrādājot 25. pantā minētos iekšējos noteikumus, Savienības iestādes un struktūras apspriežas ar Eiropas datu aizsardzības uzraudzītāju.

1.   Komisija pēc tiesību aktu priekšlikumu, ieteikumu vai priekšlikumu Padomei saskaņā ar LESD 218. pantu pieņemšanas vai, gatavojot deleģētos aktus vai īstenošanas aktus, apspriežas ar Eiropas datu aizsardzības uzraudzītāju gadījumos, kad ir ietekme uz personas tiesību un brīvību aizsardzību saistībā ar personas datu apstrādi.

2.   Ja šāds 1. punktā minēts akts ir īpaši svarīgs personas tiesību un brīvību aizsardzībai attiecībā uz personas datu apstrādi, Komisija var apspriesties arī ar Eiropas Datu aizsardzības kolēģiju. Šādos gadījumos Eiropas datu aizsardzības uzraudzītājs un Eiropas Datu aizsardzības kolēģija koordinē sadarbību ar mērķi izdot kopēju atzinumu.

3.   Šā panta 1. un 2. punktā minētais padoms ir jāsniedz rakstiski laikposmā, kas nepārsniedz astoņas nedēļas kopš 1. un 2. punktā minētā pieprasījuma par apspriešanos saņemšanas. Steidzamos gadījumos vai citos atbilstošos apstākļos Komisija var saīsināt šo termiņu.

4.   Šis pants nav piemērojams, ja saskaņā ar Regulas (ES) 2016/679 prasībām Komisijai ir jākonsultējas ar Eiropas datu aizsardzības uzraudzītāju.

1.   Katra Savienības iestāde vai struktūra ieceļ datu aizsardzības speciālistu.

2.   Ņemot vērā organizatorisko struktūru un izmēru, vairākas Savienības iestādes un struktūras var iecelt kopīgu datu aizsardzības speciālistu.

3.   Datu aizsardzības speciālistu ieceļ, pamatojoties uz viņa profesionālo kvalifikāciju, jo īpaši speciālām zināšanām datu aizsardzības tiesību un prakses jomā un spēju pildīt 45. pantā minētos uzdevumus.

4.   Datu aizsardzības speciālists ir Savienības iestādes vai struktūras darbinieks. Savienības iestādes un struktūras, ņemot vērā to lielumu un gadījumā, ja netiek izmantota 2. punktā minētā iespēja, var iecelt datu aizsardzības speciālistu, kurš savus uzdevumus pilda uz pakalpojumu līguma pamata.

5.   Savienības iestādes un struktūras publisko datu aizsardzības speciālista kontaktinformāciju un paziņo to Eiropas datu aizsardzības uzraudzītājam.

1.   Savienības iestādes un struktūras nodrošina, ka datu aizsardzības speciālists tiek pienācīgi un laikus iesaistīts visos jautājumos saistībā ar personas datu aizsardzību.

2.   Savienības iestādes un struktūras atbalsta datu aizsardzības speciālistu 45. pantā minēto uzdevumu izpildē, nodrošinot resursus, kas nepieciešami, lai veiktu minētos uzdevumus, un nodrošinot piekļuvi personas datiem un apstrādes darbībām, un lai viņš uzturētu speciālās zināšanas.

3.   Savienības iestādes un struktūras nodrošina, ka datu aizsardzības speciālists nesaņem nekādus norādījumus attiecībā uz minēto uzdevumu veikšanu. Pārzinis vai apstrādātājs viņu neatlaiž vai viņam nepiemēro sankcijas par viņa uzdevumu veikšanu. Datu aizsardzības speciālists ir tieši atbildīgs pārziņa vai apstrādātāja augstākās vadības priekšā.

4.   Datu subjekti var vērsties pie datu aizsardzības speciālista visos jautājumos, kas saistīti ar viņu personas datu apstrādi un šajā regulā paredzēto tiesību īstenošanu.

5.   Datu aizsardzības speciālistam un viņa darbiniekiem ir saistoša slepenības vai konfidencialitātes ievērošana saistībā ar viņu uzdevumu pildīšanu, kā paredzēts Savienības tiesību aktos.

6.   Datu aizsardzības speciālists var pildīt citus uzdevumus un pienākumus. Pārzinis vai apstrādātājs nodrošina, lai neviens no minētajiem uzdevumiem un pienākumiem neradītu interešu konfliktu.

7.   Jautājumos, kas attiecas uz regulas interpretāciju vai piemērošanu, ar datu aizsardzības speciālistu var apspriesties pārzinis un apstrādātājs, attiecīgā personāla komiteja un jebkura fiziska persona, neizmantojot oficiālos kanālus. Neviena intereses netiek skartas tādēļ, ka kompetentajam datu aizsardzības speciālistam ir darīta zināma lieta, kurā ir aizdomas par šīs regulas noteikumu pārkāpumu.

8.   Datu aizsardzības speciālistu ieceļ uz trīs līdz pieciem gadiem, un viņu var iecelt atkārtoti. Savienības iestāde vai struktūra, kas iecēlusi datu aizsardzības speciālistu, var viņu atbrīvot no šā amata, ja viņš vairs neatbilst nosacījumiem, kas nepieciešami, lai pildītu tā pienākumus, un tikai ar Eiropas datu aizsardzības uzraudzītāja piekrišanu.

9.   Savienības iestāde vai struktūra, kas iecēlusi datu aizsardzības speciālistu, pēc iecelšanas viņu reģistrē Eiropas datu aizsardzības uzraudzītāja reģistrā.

1.   Datu aizsardzības speciālistam ir šādi uzdevumi:

2.   Datu aizsardzības speciālists var sagatavot ieteikumus pārzinim un apstrādātājam par to, kā praktiski uzlabot datu aizsardzību, un konsultēt viņus jautājumos, kas attiecas uz datu aizsardzības noteikumu piemērošanu. Turklāt pēc savas iniciatīvas vai pēc pārziņa vai apstrādātāja, attiecīgās personāla komitejas un jebkuras fiziskas personas pieprasījuma viņš var izmeklēt jautājumus un gadījumus, kas tieši ir saistīti ar viņa uzdevumiem un kas tam kļuvuši zināmi, un attiecīgā gadījumā ziņot par rezultātiem personai, kura pasūtījusi attiecīgo izmeklēšanu, vai pārzinim vai apstrādātājam.

3.   Turpmākus īstenošanas noteikumus attiecībā uz datu aizsardzības speciālistu pieņem katra Savienības iestāde vai struktūra atsevišķi. Īstenošanas noteikumi jo īpaši attiecas uz datu aizsardzības speciālista uzdevumiem, pienākumiem un pilnvarām.

1.   Personas datus var nosūtīt uz trešo valsti vai starptautisku organizāciju, ja Komisija saskaņā ar Regulas (ES) 2016/679 45. panta 3. punktu vai Direktīvas (ES) 2016/680 36. panta 3. punktu ir nolēmusi, ka trešā valsts, kāda minētās trešās valsts teritorija vai viens vai vairāki konkrēti sektori, vai attiecīgā starptautiskā organizācija nodrošina pietiekamu aizsardzības līmeni, un personas datus nosūta vienīgi ar mērķi ļaut pārzinim izpildīt viņa kompetencē esošus uzdevumus.

2.   Savienības iestādes un struktūras informē Komisiju un Eiropas datu aizsardzības uzraudzītāju par gadījumiem, kuros tās uzskata, ka trešā valsts, kāda trešās valsts teritorija vai viens vai vairāki konkrēti sektori vai attiecīgā starptautiskā organizācija nenodrošina pietiekamu aizsardzības līmeni 1. punkta nozīmē.

3.   Savienības iestādes un struktūras veic visus vajadzīgos pasākumus, lai pildītu Komisijas pieņemtos lēmumus, kuros tā, ievērojot Regulas (ES) 2016/679 45. panta 3. vai 5. punktu vai Direktīvas (ES) 2016/680 36. panta 3. vai 5. punktu, nosaka, ka trešā valsts, kāda trešās valsts teritorija vai viens vai vairāki konkrēti sektori vai starptautiska organizācija nodrošina vai vairs nenodrošina pietiekamu aizsardzības līmeni.

1.   Ja nav pieņemts lēmums saskaņā ar Regulas (ES) 2016/679 45. panta 3. punktu vai Direktīvas (ES) 2016/680 36. panta 3. punktu, pārzinis vai apstrādātājs var nosūtīt personas datus uz trešo valsti vai uz starptautisku organizāciju tikai tad, ja pārzinis vai apstrādātājs ir sniedzis atbilstošas garantijas, un ar nosacījumu, ka datu subjektiem ir pieejamas īstenojamas datu subjekta tiesības un efektīvi tiesiskās aizsardzības līdzekļi.

2.   Šā panta 1. punktā minētās atbilstošās garantijas, neprasot īpašu atļauju Eiropas datu aizsardzības uzraudzītājam, var tikt nodrošinātas ar:

3.   Ja Eiropas datu aizsardzības uzraudzītājs dod atļauju, tad 1. punktā minētās atbilstošās garantijas var arī nodrošināt jo īpaši ar:

4.   Eiropas datu aizsardzības uzraudzītāja atļaujas, kas izsniegtas saskaņā ar Regulas (EK) Nr. 45/2001 9. panta 7. punktu, ir spēkā, kamēr Eiropas datu aizsardzības uzraudzītājs tās vajadzības gadījumā negroza, neaizstāj vai neatceļ.

5.   Savienības iestādes un struktūras informē Eiropas datu aizsardzības uzraudzītāju par to gadījumu kategorijām, kuros šis pants ir piemērots.

1.   Ja nav pieņemts lēmums saskaņā ar Regulas (ES) 2016/679 45. panta 3. punktu vai Direktīvas (ES) 2016/680 36. panta 3. punktu vai nav nodrošināti atbilstoši aizsardzības pasākumi saskaņā ar šīs regulas 48. pantu, personas datus var nosūtīt vai vairākkārtīgi nosūtīt uz trešo valsti vai starptautisku organizāciju tikai tad, ja ir izpildīts kāds no šādiem nosacījumiem:

2.   Šā panta 1. punkta a), b), un c) apakšpunktu nepiemēro darbībām, ko Savienības iestādes un struktūras veic, īstenojot savas publiskās pilnvaras.

3.   Sabiedrības intereses, kas minētas 1. punkta d) apakšpunktā, ir atzītas Savienības tiesībās.

4.   Nosūtot datus saskaņā ar 1. punkta g) apakšpunktu, nenosūta pilnīgi visus reģistrā ietvertos personas datu vai veselas personas datu kategorijas, izņemot, ja to atļauj Savienības tiesību akti. Ja reģistrs ir paredzēts, lai to varētu izmantot personas, kurām ir leģitīmas intereses, datus nosūta tikai pēc minēto personu pieprasījuma vai ja šīs personas ir datu saņēmēji.

5.   Ja nav lēmuma par aizsardzības līmeņa pietiekamību, Savienības tiesību aktos, ja ir svarīgi iemesli sabiedrības interesēs, skaidri nosaka ierobežojumus attiecībā uz konkrētu kategoriju personas datu nosūtīšanu uz trešo valsti vai starptautiskai organizācijai.

6.   Savienības iestādes un struktūras informē Eiropas datu aizsardzības uzraudzītāju par to gadījumu kategorijām, kuros šis pants ir piemērots.

1.   Ar šo izveido Eiropas datu aizsardzības uzraudzītāja amatu.

2.   Attiecībā uz personas datu apstrādi Eiropas datu aizsardzības uzraudzītājs nodrošina to, ka Savienības iestādes un struktūras ievēro fizisku personu pamattiesības un pamatbrīvības un jo īpaši viņu tiesības uz datu aizsardzību.

3.   Eiropas datu aizsardzības uzraudzītājs atbild par šīs regulas un citu Savienības tiesību aktu tādu noteikumu piemērošanas uzraudzību un nodrošināšanu, kas saistīti ar fizisku personu pamattiesību un pamatbrīvību aizsardzību attiecībā uz personas datu apstrādi Savienības iestādē vai struktūrā, kā arī par padomu sniegšanu Savienības iestādēm un struktūrām un datu subjektiem visās lietās, kas attiecas uz personas datu apstrādi. Šiem nolūkiem Eiropas datu aizsardzības uzraudzītājs pilda 57. pantā noteiktos uzdevumus un īsteno 58. pantā piešķirtās pilnvaras.

4.   Eiropas datu aizsardzības uzraudzītāja rīcībā esošajiem dokumentiem piemēro Regulu (EK) Nr. 1049/2001. Eiropas datu aizsardzības uzraudzītājs pieņem detalizētus noteikumus par Regulas (EK) Nr. 1049/2001 piemērošanu attiecībā uz minētajiem dokumentiem.

1.   Savstarpēji vienojoties, Eiropas Parlaments un Padome ieceļ Eiropas datu aizsardzības uzraudzītāju uz pieciem gadiem, pamatojoties uz sarakstu, ko Komisija sagatavo pēc atklāta pretendentu konkursa izsludināšanas. Pretendentu konkursā ir jānodrošina, ka visi interesenti visā Savienībā var iesniegt pieteikumus. Komisijas sagatavotais kandidātu saraksts ir publisks, un tajā ir vismaz trīs kandidāti. Pamatojoties uz Komisijas sagatavoto sarakstu, Eiropas Parlamenta kompetentā komiteja var pieņemt lēmumu organizēt uzklausīšanu, lai tā varētu noteikt, kuram kandidātam tā dod priekšroku.

2.   Sarakstā, kas minēts 1. punktā, iekļauj personas, par kuru neatkarību nav ne mazāko šaubu un kuras ir atzītas par tādām, kam ir speciālās zināšanas datu aizsardzības jomā, kā arī pieredze un prasmes, kas nepieciešamas Eiropas datu aizsardzības uzraudzītāja pienākumu pildīšanai.

3.   Eiropas datu aizsardzības uzraudzītāja pilnvaru termiņu var atjaunot vienreiz.

4.   Eiropas datu aizsardzības uzraudzītāja pienākumu izpildi izbeidz šādos gadījumos:

5.   Pēc Eiropas Parlamenta, Padomes vai Komisijas pieprasījuma Tiesa var atlaist Eiropas datu aizsardzības uzraudzītāju no amata vai atņemt viņam tiesības uz pensiju vai citas priekšrocības, ja viņš vairs neatbilst uzraudzītāja pienākumu izpildes nosacījumiem vai ir vainīgs smaga pārkāpuma izdarīšanā.

6.   Parastas aizstāšanas vai labprātīgas atkāpšanās gadījumā Eiropas datu aizsardzības uzraudzītājs tomēr paliek amatā, līdz viņu aizstāj.

7.   Eiropas datu aizsardzības uzraudzītājam piemēro arī Protokola par Eiropas Kopienu privilēģijām un neaizskaramību 11.–14. un 17. pantu.

1.   Eiropas datu aizsardzības uzraudzītājs ir uzskatāms par līdzvērtīgu Tiesas tiesnesim attiecībā uz to, kā nosaka atalgojumu, pabalstus, izdienas pensijas un jebkuru citu atlīdzību, ko saņem kā atalgojumu.

2.   Budžeta plānošanas iestāde nodrošina Eiropas datu aizsardzības uzraudzītājam cilvēku un finanšu resursus, kas vajadzīgi viņa uzdevumu izpildei.

3.   Eiropas datu aizsardzības uzraudzītāja budžetu atspoguļo kā atsevišķu budžeta pozīciju Savienības kopējā budžeta iedaļā par administratīvajiem izdevumiem.

4.   Eiropas datu aizsardzības uzraudzītājam palīdz sekretariāts. Sekretariāta ierēdņus un citus darbiniekus ieceļ Eiropas datu aizsardzības uzraudzītājs, un Eiropas datu aizsardzības uzraudzītājs ir viņu vadītājs. Viņi ir pakļauti tikai Eiropas datu aizsardzības uzraudzītājam. Darbinieku skaitu katru gadu apstiprina ar budžeta procedūru. Eiropas datu aizsardzības uzraudzītāja darbiniekiem, kas piedalās tādu Eiropas Datu aizsardzības kolēģijas uzdevumu izpildē, kuri tai uzdoti ar Savienības tiesību aktiem, piemēro Regulas (ES) 2016/679 75. panta 2. punktu.

5.   Eiropas datu aizsardzības uzraudzītāja sekretariāta ierēdņi un citi darbinieki ir pakļauti noteikumiem, ko piemēro Savienības ierēdņiem un citiem darbiniekiem.

6.   Eiropas datu aizsardzības uzraudzītāja mītne atrodas Briselē.

1.   Eiropas datu aizsardzības uzraudzītājs, pildot savus uzdevumus un īstenojot savas pilnvaras saskaņā ar šo regulu, rīkojas pilnīgi neatkarīgi.

2.   Eiropas datu aizsardzības uzraudzītājs, pildot savus uzdevumus un īstenojot pilnvaras saskaņā ar šo regulu, ir brīvs no ārējas – tiešas vai netiešas – ietekmes un ne no viena nelūdz un nepieņem norādījumus.

3.   Eiropas datu aizsardzības uzraudzītājs atturas veikt jebkādas darbības, kas nav savienojamas ar viņa pienākumiem, un, esot amatā, neuzņemas nekādu citu nesavienojamu algotu vai nealgotu darbu.

4.   Pēc Eiropas datu aizsardzības uzraudzītāja pilnvaru termiņa beigām viņš izturas godīgi un apdomīgi attiecībā uz amatu un priekšrocību pieņemšanu.

1.   Neskarot citus uzdevumus, kas noteikti ar šo regulu, Eiropas datu aizsardzības uzraudzītājs:

2.   Eiropas datu aizsardzības uzraudzītājs atvieglo 1. punkta e) apakšpunktā minēto sūdzību iesniegšanu, piedāvājot sūdzības iesniegšanas veidlapu, kuru var aizpildīt arī elektroniski, neizslēdzot arī iespēju izmantot citus saziņas līdzekļus.

3.   Attiecībā uz datu subjektu Eiropas datu aizsardzības uzraudzītājs savus pienākumus veic bez maksas.

4.   Ja pieprasījumi ir acīmredzami nepamatoti vai pārmērīgi, jo īpaši to regulāras atkārtošanās dēļ, Eiropas datu aizsardzības uzraudzītājs var atteikties izpildīt pieprasījumu. Eiropas datu aizsardzības uzraudzītāja pienākums ir pierādīt, ka pieprasījums ir acīmredzami nepamatots vai pārmērīgs.

1.   Eiropas datu aizsardzības uzraudzītājam ir šādas izmeklēšanas pilnvaras:

2.   Eiropas datu aizsardzības uzraudzītājam ir šādas korektīvās pilnvaras:

3.   Eiropas datu aizsardzības uzraudzītājam ir šādas atļauju izsniegšanas un padomdevēja pilnvaras:

4.   Eiropas datu aizsardzības uzraudzītājam ir pilnvaras nodot lietas Tiesai saskaņā ar Līgumos paredzētajiem nosacījumiem un iestāties lietās, kas tiek izskatītas Tiesā.

5.   Eiropas datu aizsardzības uzraudzītājs saskaņā ar šo pantu piešķirto pilnvaru īstenošanā ievēro atbilstošas garantijas, tostarp efektīvu tiesību aizsardzību tiesā un pienācīgas procedūras, kas noteiktas Savienības tiesību aktos.

1.   Eiropas datu aizsardzības uzraudzītājs iesniedz gada pārskatu par savu darbību Eiropas Parlamentam, Padomei un Komisijai, vienlaikus to publiskojot.

2.   Šā panta 1. punktā minēto pārskatu Eiropas datu aizsardzības uzraudzītājs nosūta pārējām Savienības iestādēm un struktūrām, kas var iesniegt piezīmes, ņemot vērā pārskata iespējamu izskatīšanu Eiropas Parlamentā.

1.   Ja kāds Savienības tiesību akts atsaucas uz šo pantu, Eiropas datu aizsardzības uzraudzītājs un valstu uzraudzības iestādes, rīkojoties savu attiecīgo kompetenču robežās, aktīvi sadarbojas savu pienākumu izpildē, lai nodrošinātu lielapjoma IT sistēmu un Savienības struktūru, biroju un aģentūru efektīvu uzraudzību.

2.   Eiropas datu aizsardzības uzraudzītājs un valstu uzraudzības iestādes, darbojoties savu attiecīgo kompetenču robežās un pienākumu ietvaros, pēc nepieciešamības apmainās ar būtisku informāciju, cita citai palīdz veikt revīzijas un pārbaudes, izskata šīs regulas un citu piemērojamu Savienības tiesību aktu interpretācijas vai piemērošanas grūtības, analizē problēmas saistībā ar neatkarīgas uzraudzības īstenošanu vai datu subjektu tiesību īstenošanu, izstrādā saskaņotus priekšlikumus problēmu risinājumiem un veicina informētību par tiesībām datu aizsardzības jomā.

3.   Šā panta 2. punktā noteiktajiem mērķiem Eiropas datu aizsardzības uzraudzītājs vismaz divas reizes gadā Eiropas Datu aizsardzības kolēģijā tiekas ar valstu uzraudzības iestādēm. Ja nepieciešams, šajā nolūkā Eiropas Datu aizsardzības kolēģija var izstrādāt turpmākas darba metodes.

4.   Eiropas Datu aizsardzības kolēģija reizi divos gados Eiropas Parlamentam, Padomei un Komisijai sniedz kopīgu ziņojumu par koordinētas uzraudzības darbībām.

1.   Neskarot tiesiskus, administratīvus un ārpustiesas tiesību aizsardzības līdzekļus, katram datu subjektam ir tiesības iesniegt sūdzību Eiropas datu aizsardzības uzraudzītājam, ja viņš uzskata, ka viņa personas datu apstrāde neatbilst šai regulai.

2.   Eiropas datu aizsardzības uzraudzītājs informē sūdzības iesniedzēju par sūdzības virzību un iznākumu, tostarp par tiesību aizsardzības tiesā iespēju saskaņā ar 64. pantu.

3.   Ja Eiropas datu aizsardzības uzraudzītājs trīs mēnešu laikā neizskata sūdzību vai neinformē datu subjektu par sūdzības izskatīšanas virzību vai rezultātiem, uzskata, ka Eiropas datu aizsardzības uzraudzītājs ir pieņēmis negatīvu lēmumu.

1.   Tiesai ir piekritīgi visi strīdi, kas attiecas uz šīs regulas noteikumiem, tostarp prasības par zaudējumu atlīdzību.

2.   Prasības pret Eiropas datu aizsardzības uzraudzītāja lēmumiem, tostarp 63. panta 3. punktā minētajiem lēmumiem, ceļ Tiesā.

3.   Tiesai ir neierobežota jurisdikcija attiecībā uz 66. pantā minēto administratīvo naudas sodu pārskatīšanu. Tā, ņemot vērā 66. pantā noteiktos ierobežojumus, var minētos naudas sodus atcelt, samazināt vai palielināt.

1.   Eiropas datu aizsardzības uzraudzītājs var uzlikt Savienības iestādēm un struktūrām administratīvu naudas sodu, kas atkarīgs no katra konkrētā gadījuma apstākļiem, par to, ka Savienības iestāde vai struktūra nav izpildījusi Eiropas datu aizsardzības uzraudzītāja rīkojumu saskaņā ar 58. panta 2. punkta d)–h) un j) apakšpunktu. Lemjot par to, vai piemērot administratīvo naudas sodu, un pieņemot lēmumu par administratīvā naudas soda apmēru, katrā konkrētā gadījumā pienācīgi ņem vērā šādus elementus:

2.   Ja Savienības iestāde vai struktūra neievēro savus pienākumus, kas paredzēti 8., 12., 27. līdz 35., 39., 40., 43., 44. un 45. pantā, saskaņā ar šā panta 1. punktu tām var uzlikt administratīvu naudas sodu, kura apmērs par katru pārkāpumu nepārsniedz 25 000 EUR, bet par gadu kopā - 250 000 EUR.

3.   Ja Savienības iestāde vai struktūra neievēro turpmāk minētos noteikumus, saskaņā ar 1. punktu tām var uzlikt administratīvu naudas sodu, kura apmērs par katru pārkāpumu nepārsniedz 50 000 EUR, bet par gadu kopā - 500 000 EUR:

4.   Ja Savienības iestāde vai struktūra attiecībā uz to pašu vai saistītu vai nepārtrauktu apstrādes darbību pārkāpj vairākus šīs regulas noteikumus vai to pašu regulas noteikumu vairākas reizes, kopējais administratīvā naudas soda apmērs nepārsniedz summu, kas paredzēta par vissmagāko pārkāpumu.

5.   Pirms pieņemt lēmumus saskaņā ar šo pantu, Eiropas datu aizsardzības uzraudzītājs dod Savienības iestādei vai struktūrai, kas ir uzraudzītāja veikto procedūru subjekts, iespēju izteikt savu viedokli par jautājumiem, par kuriem uzraudzītājs ir izteicis iebildumus. Eiropas datu aizsardzības uzraudzītājs balsta savus lēmumus vienīgi uz tiem iebildumiem, kurus iesaistītās puses ir varējušas komentēt. Sūdzību iesniedzējus cieši iesaista šajos procesos.

6.   Šajos procesos pilnībā respektē attiecīgo pušu aizstāvības tiesības. Tām ir tiesības piekļūt Eiropas datu aizsardzības uzraudzītāja lietas materiāliem, ievērojot fizisku personu likumīgās intereses personas datu aizsardzībā un uzņēmumu likumīgās intereses komercnoslēpumu aizsardzībā.

7.   Līdzekļi, kas iegūti, uzliekot naudas sodus saskaņā ar šo pantu, ir Savienības vispārējā budžeta ieņēmumi.

1.   Operatīvie personas dati:

2.   Apstrāde, ko veic tas pats vai cits pārzinis nolūkos, kuri ir izklāstīti Savienības struktūras, biroja vai aģentūras izveides aktā, bet kuri nav tie paši, kādos operatīvie personas dati tiek vākti, ir atļauta, ciktāl:

3.   Apstrāde, ko veic tas pats vai cits pārzinis, var ietvert arhivēšanu sabiedrības interesēs, izmantošanu zinātniskiem, statistikas vai vēsturiskiem mērķiem Savienības struktūras, biroja vai aģentūras izveides aktā izklāstītajos nolūkos, ņemot vērā atbilstošas garantijas attiecībā uz datu subjektu tiesībām un brīvībām.

4.   Pārzinis ir atbildīgs par atbilstību 1., 2. un 3. punktam un var to uzskatāmi pierādīt.

1.   Operatīvo personas datu apstrāde ir likumīga tikai tad un tikai tiktāl, cik apstrāde ir nepieciešama uzdevuma izpildei, ko Savienības struktūras, biroji un aģentūras veic, īstenojot darbības, uz kurām attiecas LESD trešās daļas V sadaļas 4. vai 5. nodaļa, un ja tā pamatojas uz Savienības tiesību aktiem.

2.   Īpašos Savienības tiesību aktos, ar ko reglamentē apstrādi, uz kuru attiecas šī nodaļa, nosaka vismaz apstrādes mērķus, apstrādājamos operatīvos personas datus, apstrādes nolūkus un termiņus operatīvo personas datu glabāšanai vai operatīvo personas datu turpmākas glabāšanas vajadzības regulārai pārskatīšanai.

1.   Pārzinis, ciktāl iespējams, nošķir operatīvos personas datus, kas balstās uz faktiem, no operatīvajiem personas datiem, kas balstās uz personiskiem vērtējumiem.

2.   Pārzinis veic visus saprātīgos pasākumus, lai nodrošinātu, ka operatīvos personas datus, kas ir neprecīzi, nepilnīgi vai vairs nav aktuāli, nepārsūta vai nedara pieejamus. Tāpēc, pirms personas dati tiek nosūtīti vai darīti pieejami, pārzinis, ciktāl tas praktiski iespējams un nepieciešams, pārbauda operatīvo personas datu kvalitāti, piemēram, apspriežoties ar kompetento iestādi, no kuras dati ir iegūti. Ciktāl iespējams, visos operatīvo personas datu nosūtīšanas gadījumos pārzinis pievieno nepieciešamo informāciju, kas datu saņēmējam ļauj izvērtēt operatīvo personas datu pareizuma, pilnīguma un ticamības pakāpi, kā arī to, cik lielā mērā tie ir aktuāli.

3.   Ja izrādās, ka ir nosūtīti nepareizi operatīvie personas dati vai operatīvie personas dati ir nosūtīti nelikumīgi, par to nekavējoties informē datu saņēmēju. Šādā gadījumā attiecīgos operatīvos personas datus labo vai dzēš vai ierobežo to apstrādi saskaņā ar 82. pantu.

1.   Ja Savienības tiesību aktos, kuri piemērojami pārzinim, kas nosūta datus, ir paredzēti īpaši apstrādes nosacījumi, pārzinis par šiem nosacījumiem un prasību tos ievērot informē šādu operatīvo personas datu saņēmēju.

2.   Pārzinis ievēro īpašus datu apstrādes nosacījumus, kurus kompetentā iestāde, kas nosūta datus, ir paredzējusi saskaņā ar Direktīvas (ES) 2016/680 9. panta 3. un 4. punktu.

1.   Operatīvo personas datu apstrāde, kas atklāj rases vai etnisko piederību, politiskos uzskatus, reliģisko vai filozofisko pārliecību vai dalību arodbiedrībās, un ģenētisko datu, biometrisko datu apstrāde nolūkā veikt fiziskas personas viennozīmīgu identifikāciju, vai tādu operatīvo personas datu apstrāde, kas attiecas uz veselību, fiziskas personas dzimumdzīvi vai seksuālo orientāciju, ir atļauta tikai tad, ja tas ir absolūti nepieciešams operatīvos nolūkos, tiek veikta attiecīgās Savienības struktūras, biroja vai aģentūras pilnvaru robežās un uz to attiecas atbilstošas garantijas attiecībā uz datu subjekta tiesībām un brīvībām. Fizisku personu diskriminācija uz šādu personas datu pamata ir aizliegta.

2.   Datu aizsardzības speciālistu, lieki nekavējoties, informē par šā panta izmantošanu.

1.   Lēmums, kas balstās tikai uz automatizētu apstrādi, tostarp profilēšanu, un kas datu subjektam rada nelabvēlīgas juridiskas sekas vai būtiski viņu ietekmē, ir aizliegts, ja vien tas nav atļauts Savienības vai dalībvalstu tiesību aktos, kuri attiecas uz pārzini un kuros ir paredzētas atbilstošas garantijas attiecībā uz datu subjekta tiesībām un brīvībām, vismaz attiecībā uz tiesībām panākt cilvēka iejaukšanos no pārziņu puses.

2.   Šā panta 1. punktā minētos lēmumus nepamato ar īpašām personas datu kategorijām, kuras minētas 76. pantā, izņemot, ja tiek nodrošināti atbilstīgi pasākumi, ar ko aizsargā datu subjekta tiesības, brīvības un leģitīmās intereses.

3.   Saskaņā ar Savienības tiesību aktiem profilēšana, kas izraisa diskrimināciju pret fiziskām personām, pamatojoties uz 76. pantā minēto īpašu kategoriju personas datiem, ir aizliegta.

1.   Pārzinis veic saprātīgus pasākumus, lai datu subjektam sniegtu jebkādu 79. pantā minēto informāciju un sakarā ar 80. līdz 84. pantu un 92. pantu apstrādes jautājumos ar datu subjektu vienmēr sazinātos kodolīgā, saprotamā un viegli pieejamā veidā, izmantojot skaidru un vienkāršu valodu. Informāciju sniedz, izmantojot jebkādus atbilstīgus līdzekļus, tostarp elektroniskos līdzekļus. Parasti pārzinis informāciju sniedz tādā pašā veidā, kādā ir iesniegts pieprasījums.

2.   Pārzinis atvieglina datu subjekta tiesību īstenošanu saskaņā ar 79. līdz 84. pantu.

3.   Pārzinis bez nepamatotas kavēšanās un jebkurā gadījumā vēlākais trīs mēnešu laikā pēc datu subjekta pieprasījuma saņemšanas rakstiski informē datu subjektu par turpmākajām darbībām saistībā ar viņa pieprasījumu.

4.   Pārzinis sniedz informāciju saskaņā ar 79. pantu, un visa saziņa vai darbības, ko veic saskaņā ar 80. līdz 84. pantu un 92. pantu, tiek nodrošinātas bez maksas. Ja datu subjekta pieprasījumi ir acīmredzami nepamatoti vai pārmērīgi, jo īpaši to regulāras atkārtošanās dēļ, pārzinis var atteikties izpildīt pieprasījumu. Pārzinim ir pienākums uzskatāmi parādīt, ka pieprasījums ir acīmredzami nepamatots vai pārmērīgs.

5.   Ja pārzinim ir pamatotas šaubas par tās fiziskās personas identitāti, kura iesniedz 80. vai 82. pantā minēto pieprasījumu, pārzinis var prasīt, lai tiktu sniegta papildu informācija, kas vajadzīga datu subjekta identitātes apstiprināšanai.

1.   Pārzinis datu subjektam dara pieejamu vismaz šādu informāciju:

2.   Papildus 1. punktā minētajai informācijai pārzinis datu subjektam Savienības tiesību aktos paredzētos konkrētos gadījumos sniedz šādu informāciju, lai datu subjekts varētu īstenot savas tiesības:

3.   Pārzinis var atlikt, ierobežot vai nesniegt informāciju datu subjektam saskaņā ar 2. punktu, ciktāl un kamēr šāds pasākums ir nepieciešams un samērīgs demokrātiskā sabiedrībā, pienācīgi ņemot vērā attiecīgās fiziskās personas pamattiesības un leģitīmās intereses, lai:

1.   Pārzinis var pilnībā vai daļēji ierobežot datu subjekta piekļuves tiesības, ciktāl un tik ilgi, cik šāds daļējs vai pilnīgs ierobežojums ir nepieciešams un samērīgs pasākums demokrātiskā sabiedrībā, pienācīgi ņemot vērā attiecīgās fiziskās personas pamattiesības un leģitīmās intereses, lai:

2.   Šā panta 1. punktā minētajos gadījumos pārzinis bez nepamatotas kavēšanās informē datu subjektu par atteikumu vai ierobežojumiem piekļūt datiem un par atteikuma vai ierobežojuma iemesliem. Šādu informāciju var nesniegt, ja tās sniegšana apdraudētu kādu no 1. punktā noteiktajiem nolūkiem. Pārzinis informē datu subjektu par iespēju iesniegt sūdzību Eiropas datu aizsardzības uzraudzītājam vai vērsties Tiesā. Pārzinis dokumentē faktiskos vai juridiskos iemeslus, kuri ir lēmuma pamatā. Šo informāciju pēc pieprasījuma dara pieejamu Eiropas datu aizsardzības uzraudzītājam.

1.   Ikvienam datu subjektam ir tiesības panākt, lai pārzinis bez nepamatotas kavēšanās labotu neprecīzus operatīvos personas datus, kas attiecas uz datu subjektu. Ņemot vērā apstrādes nolūkus, datu subjektam ir tiesības panākt, lai nepilnīgi operatīvie personas dati tiktu papildināti, tostarp sniedzot papildu paziņojumu.

2.   Pārzinis bez nepamatotas kavēšanās dzēš operatīvos personas datus un datu subjektam ir tiesības panākt, lai pārzinis bez nepamatotas kavēšanās dzēstu operatīvos personas datus, kas attiecas uz datu subjektu, ja apstrāde pārkāpj 71. pantu, 72. panta 1. punktu vai 76. pantu vai ja operatīvie personas dati ir jādzēš, lai izpildītu uz pārzini attiecināmu juridisku pienākumu.

3.   Dzēšanas vietā pārzinis ierobežo apstrādi, ja:

Ja apstrāde ir ierobežota, ievērojot pirmās daļas a) apakšpunktu, pārzinis informē datu subjektu pirms apstrādes ierobežojuma atcelšanas.

Datus, kuriem piekļuve ierobežota, apstrādā tikai mērķim, kas novērsa to dzēšanu.

4.   Pārzinis rakstiski informē datu subjektu par atteikumu labot vai dzēst operatīvos personas datus vai ierobežot to apstrādi un par atteikuma iemesliem. Pārzinis var pilnībā vai daļēji ierobežot šādas informācijas sniegšanu, ciktāl šāds ierobežojums ir nepieciešams un samērīgs pasākums demokrātiskā sabiedrībā, pienācīgi ņemot vērā attiecīgās fiziskās personas pamattiesības un leģitīmās intereses, lai:

Pārzinis informē datu subjektu par iespēju iesniegt sūdzību Eiropas datu aizsardzības uzraudzītājam vai vērsties Tiesā.

5.   Pārzinis par neprecīzo operatīvo personas datu labošanu informē kompetento iestādi, no kuras iegūti neprecīzie operatīvie personas dati.

6.   Gadījumos, kad, ievērojot šā panta 1., 2. un 3. punktu, operatīvie personas dati ir laboti vai dzēsti vai ir ierobežota to apstrāde, pārzinis paziņo saņēmējiem un informē tos, ka tiem ir jālabo vai jādzēš operatīvie personas dati vai jāierobežo to atbildībā esošo operatīvo personas datu apstrāde.

1.   Šīs regulas 79. panta 3. punktā, 81. pantā un 82. panta 4. punktā minētajos gadījumos datu subjekta tiesības var īstenot arī ar Eiropas datu aizsardzības uzraudzītāja starpniecību.

2.   Pārzinis informē datu subjektu, ka tam ir iespēja īstenot savas tiesības ar Eiropas datu aizsardzības uzraudzītāja starpniecību, ievērojot šā panta 1. punktu.

3.   Ja tiek īstenotas 1. punktā minētās tiesības, Eiropas datu aizsardzības uzraudzītājs informē datu subjektu vismaz par to, ka viņš ir veicis visas nepieciešamās pārbaudes vai pārskatīšanu. Eiropas datu aizsardzības uzraudzītājs informē datu subjektu arī par viņa tiesībām vērsties Tiesā.

1.   Pārzinis, ņemot vērā tehnikas līmeni, īstenošanas izmaksas un apstrādes raksturu, apmēru, kontekstu un nolūkus, kā arī dažādas iespējamības un nopietnības pakāpes riskus attiecībā uz fizisko personu tiesībām un brīvībām, kurus rada apstrāde, gan apstrādes līdzekļu noteikšanas, gan pašas apstrādes laikā īsteno atbilstošus tehniskus un organizatoriskus pasākumus, piemēram, pseidonimizāciju, kas ir paredzēti, lai efektīvi īstenotu datu aizsardzības principus, piemēram, datu minimizēšanu, un lai apstrādē integrētu vajadzīgās garantijas nolūkā izpildīt šīs regulas un tā izveides tiesību akta prasības un aizsargāt datu subjektu tiesības.

2.   Pārzinis īsteno atbilstīgus tehniskus un organizatoriskus pasākumus, nodrošinot, ka pēc noklusējuma tiek apstrādāti tikai tādi operatīvie personas dati, kas ir adekvāti, būtiski un nav pārmērīgi, ņemot vērā nolūkus, kādos tos apstrādā. Minētais pienākums attiecas uz vākto operatīvo personas datu apjomu, to apstrādes pakāpi, glabāšanas laikposmu un to pieejamību. Jo īpaši – ar šādiem pasākumiem nodrošina, ka pēc noklusējuma operatīvos personas datus bez personas līdzdalības nedara pieejamus nenoteiktam fizisku personu skaitam.

1.   Ja apstrādes mērķus un veidus kopīgi nosaka divi vai vairāk pārziņi vai viens vai vairāk pārziņi kopā ar vienu vai vairāk pārziņiem, kas nav Savienības iestādes un struktūras, tie ir kopīgi pārziņi. Kopīgi pārziņi pārredzamā veidā nosaka savus attiecīgos pienākumus izpildīt tiem piemērojamās datu aizsardzības prasības, jo īpaši attiecībā uz datu subjekta tiesību īstenošanu un kopīgo pārziņu attiecīgajiem pienākumiem sniegt 79. pantā minēto informāciju; kopīgie pārziņi pienākumus nosaka, savstarpēji vienojoties, – izņemot, ja un ciktāl attiecīgie kopīgo pārziņu pienākumi ir noteikti saskaņā ar Savienības vai dalībvalsts tiesību aktiem, kas piemērojami kopīgajiem pārziņiem. Ar vienošanos var noteikt datu subjektu kontaktpunktu.

2.   Šā panta 1. punktā minētā vienošanās pienācīgi atspoguļo kopīgo pārziņu attiecīgās lomas un attiecības ar datu subjektu. Vienošanās galveno saturu dara pieejamu datu subjektam.

3.   Neatkarīgi no 1. punktā minētās vienošanās nosacījumiem datu subjekts saskaņā ar šo regulu var īstenot savas tiesības attiecībā uz un pret katru pārzini.

1.   Gadījumos, kad apstrāde ir jāveic pārziņa vārdā, pārzinis izmanto tikai tādus apstrādātājus, kas sniedz pietiekamas garantijas, ka tiks īstenoti atbilstoši tehniskie un organizatoriskie pasākumi tādā veidā, ka apstrādē tiks ievērotas šīs regulas un pārziņa izveides tiesību akta prasības un tiks nodrošināta datu subjekta tiesību aizsardzība.

2.   Apstrādātājs bez iepriekšējas konkrētas vai vispārējas rakstiskas pārziņa atļaujas nepiesaista citu apstrādātāju. Vispārējas rakstiskas atļaujas gadījumā apstrādātājs informē pārzini par jebkādām iecerētām pārmaiņām saistībā ar papildu apstrādātāju vai apstrādātāja aizstāšanu, tādējādi sniedzot pārzinim iespēju iebilst pret šādām izmaiņām.

3.   Apstrādi, ko veic apstrādātājs, reglamentē ar līgumu vai ar citu juridisku aktu saskaņā ar Savienības vai dalībvalsts tiesību aktiem, kurš ir saistošs apstrādātājam attiecībā uz pārzini un kurā norāda apstrādes priekšmetu un ilgumu, apstrādes raksturu un nolūku, operatīvo personas datu veidu un datu subjektu kategorijas, un pārziņa pienākumus un tiesības. Minētais līgums vai cits juridiskais akts jo īpaši paredz, ka apstrādātājs:

4.   Šā panta 3. punktā minētais līgums vai cits juridiskais akts tiek sagatavots rakstiski, tostarp elektroniski.

5.   Ja apstrādātājs, nosakot apstrādes nolūkus un līdzekļus, pārkāpj šo regulu vai pārziņa izveides tiesību aktu, minēto apstrādātāju uzskata par pārzini attiecībā uz minēto apstrādi.

1.   Pārzinis glabā ierakstus par visām šādām apstrādes darbībām automatizētās apstrādes sistēmās: operatīvo personas datu vākšanu, pārveidošanu, piekļuvi tiem, aplūkošanu, izpaušanu, tostarp nosūtīšanu, kombinēšanu un dzēšanu. Ieraksti par aplūkošanu un izpaušanu dod iespēju noteikt šādu darbību pamatojumu un to datumu un laiku, tās personas identificēšanu, kura aplūkoja vai izpauda operatīvos personas datus, un, ciktāl iespējams, šādu operatīvo personas datu saņēmēju identitāti.

2.   Ierakstus izmanto tikai tālab, lai pārbaudītu apstrādes likumību, veiktu pašuzraudzību, nodrošinātu operatīvo personas datu integritāti un drošību, un kriminālprocesa vajadzībām. Šādus ierakstus dzēš pēc trīs gadiem, ja vien tie nav nepieciešami vēl notiekošai kontrolei.

3.   Pārzinis pēc pieprasījuma nodrošina ierakstu pieejamību saviem datu aizsardzības speciālistiem un Eiropas datu aizsardzības uzraudzītājam.

1.   Ja apstrādes veids, jo īpaši jaunu tehnoloģiju lietojums, ņemot vērā apstrādes raksturu, apmēru, kontekstu un nolūkus, ļoti iespējams, varētu radīt augstu risku fizisko personu tiesībām un brīvībām, pārzinis pirms apstrādes veic novērtējumu par to, kā plānotās apstrādes darbības varētu ietekmēt operatīvo personas datu aizsardzību.

2.   Šā panta 1. punktā minētajā novērtējumā ietver vismaz vispārēju aprakstu par plānotajām apstrādes darbībām, novērtējumu par riskiem datu subjektu tiesībām un brīvībām, pasākumus, kas paredzēti minēto risku novēršanai, garantijas, drošības pasākumus un mehānismus, ar kuriem nodrošina operatīvo personas datu aizsardzību un uzskatāmi parāda, ka ir ievēroti datu aizsardzības noteikumi, ņemot vērā datu subjektu un citu attiecīgo personu tiesības un leģitīmās intereses.

1.   Pārzinis pirms tādu personas datu apstrādes, ko ietvers jaunizveidotā kartotēkā, apspriežas ar Eiropas datu aizsardzības uzraudzītāju gadījumos, ja:

2.   Eiropas datu aizsardzības uzraudzītājs var izveidot to apstrādes darbību sarakstu, par kurām veic iepriekšēju apspriešanos, ievērojot šā panta 1. punktu.

3.   Pārzinis iesniedz Eiropas datu aizsardzības uzraudzītājam 89. pantā minēto novērtējumu par ietekmi uz datu aizsardzību un pēc pieprasījuma jebkuru citu informāciju, kas ļauj Eiropas datu aizsardzības uzraudzītājam izvērtēt apstrādes atbilstību, jo īpaši riskus datu subjekta operatīvo personas datu aizsardzībai un attiecīgās garantijas.

4.   Ja Eiropas datu aizsardzības uzraudzītājs uzskata, ka ar šā panta 1. punktā minēto paredzēto apstrādi tiktu pārkāpta šī regula vai Savienības struktūras, biroja vai aģentūras izveides tiesību akts, jo īpaši gadījumos, kad pārzinis nav pietiekami apzinājis vai mazinājis risku, Eiropas datu aizsardzības uzraudzītājs ilgākais sešu nedēļu laikā pēc apspriešanās pieprasījuma saņemšanas sniedz pārzinim rakstisku padomu. Minēto laikposmu var pagarināt par vienu mēnesi, ņemot vērā paredzētās apstrādes sarežģītību. Eiropas datu aizsardzības uzraudzītājs viena mēneša laikā pēc apspriešanās pieprasījuma saņemšanas informē pārzini par jebkādu šādu pagarinājumu, kā arī par kavēšanās iemesliem.

1.   Pārzinis un apstrādātājs, ņemot vērā tehnikas līmeni, īstenošanas izmaksas un apstrādes raksturu, apmēru, kontekstu un nolūkus, kā arī dažādas iespējamības un nopietnības pakāpes riskus attiecībā uz fizisko personu tiesībām un brīvībām, īsteno atbilstīgus tehniskus un organizatoriskus pasākumus, lai nodrošinātu tādu drošības līmeni, kas ir atbilstīgs riskiem, jo īpaši attiecībā uz īpašo kategoriju operatīvo personas datu apstrādi.

2.   Attiecībā uz automatizētu apstrādi pārzinis un apstrādātājs pēc risku izvērtēšanas īsteno pasākumus, kas paredzēti, lai:

1.   Personas datu aizsardzības pārkāpuma gadījumā pārzinis bez nepamatotas kavēšanās un, ja iespējams, ne vēlāk kā 72 stundu laikā no brīža, kad pārkāpums tam kļuvis zināms, paziņo par personas datu aizsardzības pārkāpumu Eiropas datu aizsardzības uzraudzītājam, izņemot gadījumus, kad ir maz ticams, ka personas datu aizsardzības pārkāpums varētu radīt risku fizisku personu tiesībām un brīvībām. Ja paziņošana Eiropas datu aizsardzības uzraudzītājam nav notikusi 72 stundu laikā, reizē ar paziņojumu informē par kavēšanās iemesliem.

2.   Paziņojumā, kas minēts 1. punktā, vismaz:

3.   Ja un ciktāl 2. punktā minēto informāciju nav iespējams sniegt vienlaikus, informāciju var sniegt pa posmiem bez turpmākas nepamatotas kavēšanās.

4.   Pārzinis dokumentē visus personas datu aizsardzības pārkāpumus, kas minēti 1. punktā, norādot faktus, kas saistīti ar personas datu pārkāpumu, tā sekas un veiktās koriģējošās darbības. Minētā dokumentācija ļauj Eiropas datu aizsardzības uzraudzītājam pārbaudīt šā panta ievērošanu.

5.   Ja personas datu aizsardzības pārkāpums ietver operatīvos personas datus, kurus ir nosūtījušas kompetentās iestādes vai kuri ir nosūtīti kompetentajām iestādēm, pārzinis bez nepamatotas kavēšanās paziņo 2. punktā minēto informāciju attiecīgajām kompetentajām iestādēm.

1.   Ja personas datu aizsardzības pārkāpums varētu radīt augstu risku fizisku personu tiesībām un brīvībām, pārzinis bez nepamatotas kavēšanās paziņo datu subjektam par personas datu aizsardzības pārkāpumu.

2.   Šā panta 1. punktā minētajā informācijā datu subjektam, izmantojot skaidru un vienkāršu valodu, apraksta personas datu aizsardzības pārkāpuma raksturu un ietver vismaz 92. panta 2. punkta b), c) un d) apakšpunktā paredzēto informāciju un ieteikumus.

3.   Šā panta 1. punktā minētais paziņojums datu subjektam nav jāsniedz, ja ir izpildīts kāds no šiem nosacījumiem:

4.   Ja pārzinis vēl nav paziņojis datu subjektam par personas datu aizsardzības pārkāpumu, Eiropas datu aizsardzības uzraudzītājs, apsvēris iespējamību, ka personas datu pārkāpums varētu radīt augstu risku, var pieprasīt pārzinim paziņot datu subjektam vai var nolemt, ka ir izpildīts kāds no 3. punktā minētajiem nosacījumiem.

5.   Šā panta 1. punktā minēto paziņošanu datu subjektam var atlikt, ierobežot vai neveikt, ievērojot nosacījumus un pamatojoties uz iemesliem, kas minēti 79. panta 3. punktā.

1.   Ievērojot Savienības struktūras, biroja vai aģentūras izveides tiesību aktā noteiktos ierobežojumus un nosacījumus, pārzinis operatīvos personas datus var nosūtīt trešai valstij vai starptautiskai organizācijai, ja šāda nosūtīšana ir nepieciešama pārziņa uzdevumu izpildei, un tikai tad, ja ir izpildīti šā panta nosacījumi, proti:

2.   Savienības struktūru, biroju un aģentūru izveides tiesību aktos var ietvert vai ar tiem var ieviest detalizētākus noteikumus par to, kādi ir operatīvo personas datu starptautiskās nosūtīšanas nosacījumi, jo īpaši par personas datu nosūtīšanu, nodrošinot pienācīgas garantijas un piemērojot atkāpes īpašās situācijās.

3.   Pārzinis savā tīmekļa vietnē publisko un atjaunina sarakstu, kurā iekļauti lēmumi par pietiekamību, kas minēti 1. punkta a) apakšpunktā, nolīgumi, administratīvās vienošanās un citi instrumenti, kas attiecas uz operatīvo personas datu nosūtīšanu saskaņā ar 1. punktu.

4.   Pārzinis veic detalizētu uzskaiti par visiem nosūtīšanas gadījumiem, kas veikti, ievērojot šo pantu.

1.   Komisijai palīdz komiteja, kas izveidota ar Regulas (ES) 2016/679 93. pantu. Minētā komiteja ir komiteja Regulas (ES) Nr. 182/2011 nozīmē.

2.   Ja ir atsauce uz šo punktu, piemēro Regulas (ES) Nr. 182/2011 5. pantu.

1.   Līdz 2022. gada 30. aprīlim Komisija pārskata uz Līgumu pamata pieņemtos tiesību aktus, kuri regulē operatīvo personas datu apstrādi, ko veic Savienības struktūras, biroji un aģentūras, īstenojot darbības, uz kurām attiecas LESD trešās daļas V sadaļas 4. vai 5. nodaļa, lai

2.   Pamatojoties uz pārskatīšanu, nolūkā nodrošināt fizisku personu vienādu un konsekventu aizsardzību attiecībā uz apstrādi Komisija var iesniegt attiecīgus leģislatīvu aktu priekšlikumus, jo īpaši nolūkā piemērot šīs regulas IX nodaļu Eiropolam un Eiropas Prokuratūrai un kas ietver šīs regulas IX nodaļas pielāgojumus.

1.   Šī regula neietekmē Eiropas Parlamenta un Padomes Lēmumu Nr. 2014/886/ES (20) un Eiropas datu aizsardzības uzraudzītāja un uzraudzītāja palīga pilnvaru laikus.

2.   Uzraudzītāja palīgs ir līdzvērtīgs Tiesas sekretāram attiecībā uz to, kā nosaka atalgojumu, pabalstus, izdienas pensijas un jebkuru citu atlīdzību, ko saņem kā atalgojumu.

3.   Uz pašreizējo uzraudzītāja palīgu līdz pilnvaru termiņa beigām ir attiecināms regulas 53. panta 4., 5. un 7. punkts un 55. un 56. pants.

4.   Uzraudzītāja palīgs palīdz Eiropas datu aizsardzības uzraudzītājam visu tā pienākumu izpildē un aizvieto Eiropas datu aizsardzības uzraudzītāju viņa prombūtnes laikā vai tad, kad viņš nevar pildīt savus pienākumus, līdz uzraudzītāja palīga pilnvaru termiņa beigām.

1.   Šī regula stājas spēkā divdesmitajā dienā pēc tās publicēšanas Eiropas Savienības Oficiālajā Vēstnesī.

2.   Taču personas datu apstrādei, ko veic Eurojust, šo regulu piemēro no 2019. gada 12. decembris.