(1)

W dyrektywie 2002/58/WE Parlamentu Europejskiego i Rady (3) ustanowiono przepisy zapewniające prawo do prywatności i poufności w odniesieniu do przetwarzania danych osobowych w ramach wymiany danych w sektorze łączności elektronicznej. Dyrektywa ta stanowi dookreślenie i uzupełnienie rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (4).

(2)

Dyrektywę 2002/58/WE stosuje się do przetwarzania danych osobowych w związku z dostarczaniem publicznie dostępnych usług łączności elektronicznej. Do dnia 21 grudnia 2020 r. zastosowanie miała definicja „usługi łączności elektronicznej” zawarta w art. 2 lit. c) dyrektywy 2002/21/WE Parlamentu Europejskiego i Rady (5). Tego dnia dyrektywa 2002/21/WE została uchylona na mocy dyrektywy Parlamentu Europejskiego i Rady (UE) 2018/1972 (6). Definicja „usługi łączności elektronicznej” zawarta w art. 2 pkt 4 dyrektywy (UE) 2018/1972 obejmuje usługi łączności interpersonalnej niewykorzystujące numerów zdefiniowane w art. 2 pkt 7 tej dyrektywy. Usługi łączności interpersonalnej niewykorzystujące numerów, obejmujące na przykład telefonię internetową, usługi komunikatorów internetowych i poczty elektronicznej w przeglądarce internetowej, zostały zatem objęte zakresem stosowania dyrektywy 2002/58/WE w dniu 21 grudnia 2020 r.

(3)

Zgodnie z art. 6 ust. 1 Traktatu o Unii Europejskiej (TUE) Unia uznaje prawa, wolności i zasady określone w Karcie praw podstawowych Unii Europejskiej (zwanej dalej „Kartą”). Art. 7 Karty chroni prawo podstawowe każdej osoby do poszanowania życia prywatnego i rodzinnego, domu i komunikowania się, co obejmuje również poufność komunikacji. Art. 8 Karty zawiera prawo do ochrony danych osobowych.

(4)

Art. 3 ust. 1 Konwencji Organizacji Narodów Zjednoczonych o prawach dziecka z 1989 r. (zwanej dalej „Konwencją o prawach dziecka”) oraz art. 24 ust. 2 Karty stanowią, że we wszystkich działaniach dotyczących dzieci, zarówno podejmowanych przez władze publiczne, jak i instytucje prywatne, należy przede wszystkim uwzględnić najlepszy interes dziecka. Art. 3 ust. 2 Konwencji o prawach dziecka i art. 24 ust. 1 Karty przywołują ponadto prawo dzieci do takiej ochrony i opieki, jaka jest konieczna dla ich dobra.

(5)

Ochrona dzieci, zarówno w internecie, jak i poza nim, jest jednym z priorytetów Unii. Niegodziwe traktowanie w celach seksualnych i wykorzystywanie seksualne dzieci stanowią poważne naruszenia praw człowieka i praw podstawowych, w szczególności praw dzieci do ochrony przed wszelkimi formami przemocy, niegodziwego traktowania i zaniedbania, złego traktowania lub wykorzystywania, w tym niegodziwego traktowania w celach seksualnych, zgodnie z Konwencją o prawach dziecka i Kartą. Digitalizacja przyniosła społeczeństwu i gospodarce wiele korzyści, ale przyniosła ona także wyzwania, a wśród nich nasilenie zjawiska niegodziwego traktowania dzieci w celach seksualnych w internecie. W dniu 24 lipca 2020 r. Komisja przyjęła komunikat zatytułowany „Strategia UE na rzecz skuteczniejszej walki z niegodziwym traktowaniem dzieci w celach seksualnych” (zwana dalej „Strategią”). Celem Strategii jest zapewnienie skutecznej reakcji na poziomie Unii na przestępstwo, jakim jest niegodziwe traktowanie dzieci w celach seksualnych.

(6)

Zgodnie z dyrektywą Parlamentu Europejskiego i Rady 2011/93/UE (7) niniejsze rozporządzenie nie reguluje polityki państw członkowskich w zakresie czynności seksualnych podejmowanych dobrowolnie przez dzieci, które mogą być uznawane za normalne odkrywanie seksualności w trakcie rozwoju człowieka, z uwzględnieniem różnych tradycji kulturowych i prawnych oraz nowych form nawiązywania i podtrzymywania relacji między dziećmi i nastolatkami, w tym poprzez technologie informacyjno-komunikacyjne.

(7)

Niektórzy dostawcy pewnych usług łączności interpersonalnej niewykorzystujących numerów (zwani dalej „dostawcami”), takich jak usługi aplikacji webmail i usługi komunikatorów internetowych, już stosują dobrowolnie specjalne technologie do wykrywania w swoich usługach przypadków niegodziwego traktowania dzieci w celach seksualnych w internecie i do zgłaszania ich organom ścigania i organizacjom działającym w interesie publicznym przeciwko niegodziwemu traktowaniu dzieci w celach seksualnych, poprzez skanowanie treści, takich jak zdjęcia i tekst, albo danych o ruchu pochodzących z łączności elektronicznej z wykorzystaniem, w niektórych przypadkach, danych historycznych. Technologią stosowaną w tych działaniach może być technologia haszowania zdjęć i filmów oraz klasyfikatory i sztuczna inteligencja do analizy tekstu lub danych o ruchu. Gdy stosowana jest technologia haszowania, materiały przedstawiające niegodziwe traktowanie dzieci w celach seksualnych w internecie są zgłaszane w przypadku trafienia, które oznacza zgodność stwierdzoną w wyniku porównania zdjęcia lub filmu z niepowtarzalnym, nieprzekształcalnym podpisem cyfrowym (zwanym dalej „skrótem”) z bazy danych prowadzonej przez organizację działającą w interesie publicznym przeciwko niegodziwemu traktowaniu dzieci w celach seksualnych, która zawiera zweryfikowane materiały przedstawiające niegodziwe traktowanie dzieci w celach seksualnych w internecie. Dostawcy ci kontaktują się z krajowymi numerami interwencyjnymi służącymi zgłaszaniu materiałów przedstawiających niegodziwe traktowanie dzieci w celach seksualnych w internecie oraz z organizacjami, znajdującymi się zarówno w Unii, jak i w państwach trzecich, których celem jest identyfikacja dzieci, ograniczenie wykorzystywania seksualnego dzieci oraz ich niegodziwego traktowania w celach seksualnych i zapobieganie wiktymizacji dzieci. Takie organizacje mogą nie być objęte zakresem stosowania rozporządzenia (UE) 2016/679. W ujęciu zbiorczym takie dobrowolne działania odgrywają znaczącą rolę w umożliwianiu identyfikacji i ratowania ofiar, których prawa podstawowe do godności człowieka oraz do integralności cielesnej i psychicznej są poważnie naruszane. Takie dobrowolne działania mają również istotne znaczenie dla ograniczania dalszego rozpowszechniania materiałów przedstawiających niegodziwe traktowanie dzieci w celach seksualnych w internecie, dla przyczyniania się do identyfikacji sprawców i prowadzenia w ich sprawach postępowań przygotowawczych w sprawach karnych oraz dla zapobiegania przestępstwom związanym z niegodziwym traktowaniem dzieci w celach seksualnych, wykrywania i ścigania takich przestępstw oraz prowadzenia w ich sprawach postępowań przygotowawczych w sprawach karnych.

(8)

Niezależnie od ich uzasadnionego celu dobrowolne działania dostawców w celu wykrywania w swoich usługach przypadków niegodziwego traktowania dzieci w celach seksualnych w internecie i do zgłaszania ich stanowią ingerencję w podstawowe prawa do poszanowania życia prywatnego i rodzinnego oraz do ochrony danych osobowych wszystkich użytkowników usług łączności interpersonalnej niewykorzystujących numerów (zwanych dalej „użytkownikami”). Żadne ograniczenie w korzystaniu z podstawowego prawa do poszanowania życia prywatnego i rodzinnego, w tym do poufności komunikacji, nie może być uzasadnione wyłącznie tym, że dostawcy stosowali pewne technologie w czasie, gdy usługi łączności interpersonalnej niewykorzystujące numerów nie były objęte zakresem definicji „usługi łączności elektronicznej”. Takie ograniczenia są dopuszczalne wyłącznie pod pewnymi warunkami. Zgodnie z art. 52 ust. 1 Karty, takie ograniczenia muszą być przewidziane ustawą i szanować istotę prawa do życia prywatnego i rodzinnego oraz do ochrony danych osobowych, a także, z zastrzeżeniem zasady proporcjonalności, muszą być konieczne i rzeczywiście odpowiadać celom interesu ogólnego uznawanym przez Unię lub potrzebom ochrony praw i wolności innych osób. Jeżeli takie ograniczenia wiążą się trwale z ogólnym i powszechnym monitorowaniem i analizowaniem komunikatów wszystkich użytkowników, wówczas naruszają one prawo do poufności komunikacji.

(9)

Do dnia 20 grudnia 2020 r. przetwarzanie danych osobowych przez dostawców za pomocą dobrowolnych środków na potrzeby wykrywania w swoich usługach przypadków niegodziwego traktowania dzieci w celach seksualnych w internecie i zgłaszania ich oraz usuwania materiałów przedstawiających niegodziwe traktowanie dzieci w celach seksualnych w internecie ze swoich usług było regulowane wyłącznie rozporządzeniem (UE) 2016/679. Zgodnie z dyrektywą (UE) 2018/1972, której termin transpozycji upływał w dniu 20 grudnia 2020 r., dostawcy zostali objęci zakresem stosowania dyrektywy 2002/58/WE. Aby kontynuować stosowanie takich dobrowolnych środków po dniu 20 grudnia 2020 r., dostawcy powinni spełnić warunki określone w niniejszym rozporządzeniu. Przetwarzanie danych osobowych prowadzone za pomocą takich dobrowolnych środków będzie nadal podlegać rozporządzeniu (UE) 2016/679.

(10)

Dyrektywa 2002/58/WE nie zawiera żadnych szczegółowych przepisów dotyczących przetwarzania danych osobowych przez dostawców w związku ze świadczeniem usług łączności elektronicznej na potrzeby wykrywania w ich usługach przypadków niegodziwego traktowania dzieci w celach seksualnych w internecie i zgłaszania ich oraz usuwania materiałów przedstawiających niegodziwe traktowanie dzieci w celach seksualnych w internecie z ich usług. Zgodnie z art. 15 ust. 1 dyrektywy 2002/58/WE państwa członkowskie mogą jednak uchwalić środki ustawodawcze w celu ograniczenia zakresu praw i obowiązków przewidzianych między innymi w art. 5 i 6 tej dyrektywy, które dotyczą poufności komunikacji i danych o ruchu, na potrzeby zapobiegania przestępstwom związanym z niegodziwym traktowaniem dzieci w celach seksualnych, wykrywania ich, prowadzenia w ich sprawach postępowań przygotowawczych w sprawach karnych oraz ich ścigania. Wobec braku takich krajowych środków ustawodawczych oraz w oczekiwaniu na przyjęcie długoterminowych ram prawnych na poziomie Unii służących zwalczaniu niegodziwego traktowania dzieci w celach seksualnych, po dniu 21 grudnia 2020 r. dostawcy nie mogą już opierać się na rozporządzeniu (UE) 2016/679 jako podstawie do dalszego stosowania dobrowolnych środków na potrzeby wykrywania w swoich usługach przypadków niegodziwego traktowania dzieci w celach seksualnych w internecie i zgłaszania ich oraz usuwania materiałów przedstawiających niegodziwe traktowanie dzieci w celach seksualnych w internecie ze swoich usług. Niniejsze rozporządzenie nie stanowi podstawy prawnej przetwarzania danych osobowych przez dostawców, którego jedynym celem jest wykrywanie w ich usługach przypadków niegodziwego traktowania dzieci w celach seksualnych w internecie i zgłaszanie ich oraz usuwanie materiałów przedstawiających niegodziwe traktowanie dzieci w celach seksualnych w internecie z ich usług, lecz przewiduje odstępstwo od niektórych przepisów dyrektywy 2002/58/WE. Niniejsze rozporządzenie ustanawia dodatkowe zabezpieczenia, których muszą przestrzegać dostawcy, jeżeli chcą powoływać się na jego przepisy.

(11)

Przetwarzanie danych do celów niniejszego rozporządzenia może wiązać się z przetwarzaniem szczególnych kategorii danych osobowych określonych w rozporządzeniu (UE) 2016/679. Przetwarzanie zdjęć i filmów za pomocą specjalnych środków technicznych umożliwiających jednoznaczną identyfikację osoby fizycznej lub potwierdzenie jej tożsamości uznaje się za przetwarzanie szczególnych kategorii danych osobowych.

(12)

Niniejsze rozporządzenie przewiduje tymczasowe odstępstwo od art. 5 ust. 1 i art. 6 ust. 1 dyrektywy 2002/58/WE, które chronią poufność komunikacji i dane o ruchu. Dobrowolne korzystanie przez dostawców z technologii przetwarzania danych osobowych i innych danych w zakresie niezbędnym do wykrywania w ich usługach przypadków niegodziwego traktowania dzieci w celach seksualnych w internecie i zgłaszania ich oraz usuwania materiałów przedstawiających niegodziwe w internecie traktowanie dzieci w celach seksualnych w internecie z ich usług podlega odstępstwu przewidzianemu w niniejszym rozporządzeniu, pod warunkiem że spełnia warunki określone w niniejszym rozporządzeniu, a zatem podlega gwarancjom i warunkom określonym w rozporządzeniu (UE) 2016/679.

(13)

Dyrektywa 2002/58/WE została przyjęta na podstawie art. 114 Traktatu o funkcjonowaniu Unii Europejskiej (TFUE). Ponadto nie wszystkie państwa członkowskie wprowadziły środki ustawodawcze zgodnie z dyrektywą 2002/58/WE w celu ograniczenia zakresu praw i obowiązków dotyczących poufności komunikacji i danych o ruchu określonych w tej dyrektywie, a wprowadzenie takich środków wiąże się ze znacznym ryzykiem rozdrobnienia, które może negatywnie wpłynąć na rynek wewnętrzny. W związku z tym niniejsze rozporządzenie powinno opierać się na art. 114 TFUE.

(14)

Ponieważ dane związane z łącznością elektroniczną z udziałem osób fizycznych zazwyczaj kwalifikują się jako dane osobowe, podstawą niniejszego rozporządzenia powinien również być art. 16 TFUE, który stanowi szczególną podstawę prawną na potrzeby przyjęcia zasad dotyczących ochrony osób fizycznych w zakresie przetwarzania danych osobowych przez instytucje, organy i jednostki organizacyjne Unii oraz przez państwa członkowskie w wykonywaniu działań wchodzących w zakres stosowania prawa Unii, a także zasad dotyczących swobodnego przepływu takich danych.

(15)

Rozporządzenie (UE) 2016/679 stosuje się do przetwarzania danych osobowych w związku ze świadczeniem usług łączności elektronicznej przez dostawców, którego jedynym celem jest wykrywanie w ich usługach przypadków niegodziwego traktowania dzieci w celach seksualnych w internecie i zgłaszanie ich oraz usuwanie materiałów przedstawiających niegodziwe traktowanie dzieci w celach seksualnych w internecie z ich usług, w zakresie, w jakim przetwarzanie to wchodzi w zakres odstępstwa przewidzianego w niniejszym rozporządzeniu.

(16)

Rodzaje technologii wykorzystywanych na potrzeby niniejszego rozporządzenia powinny powodować jak najmniejszą ingerencję w prywatność zgodnie z aktualnym stanem techniki w branży. Technologie te nie powinny być wykorzystywane do systematycznego filtrowania ani skanowania tekstu w komunikatach, chyba że ma to na celu wyłącznie wykrywanie schematów dających ewentualne konkretne powody, aby podejrzewać przypadki wystąpienia niegodziwego traktowania dzieci w celach seksualnych w internecie i nie powinny one pozwalać na wydedukowanie treści komunikatów. W przypadku technologii wykorzystywanej do identyfikacji nagabywania dzieci takie konkretne powody do podejrzeń powinny opierać się na obiektywnie określonych czynnikach ryzyka, takich jak różnica wieku i prawdopodobny udział dziecka w skanowanej komunikacji.

(17)

Powinny istnieć odpowiednie procedury i mechanizmy ochrony prawnej zapewniające osobom fizycznym składanie skarg do dostawców. Takie procedury i mechanizmy mają znaczenie, w szczególności, w przypadku usunięcia treści, które nie stanowią niegodziwego traktowania dzieci w celach seksualnych w internecie, lub w przypadku zgłoszenia ich organom ścigania lub organizacji działającej w interesie publicznym przeciwko niegodziwemu traktowania dzieci w celach seksualnych.

(18)

W celu zapewnienia jak największej dokładności i wiarygodności technologia wykorzystywana na potrzeby niniejszego rozporządzenia powinna, zgodnie z aktualnym stanem techniki w branży, ograniczać liczbę i współczynniki błędów (wyniki fałszywie dodatnie) w możliwie jak największym stopniu oraz, w razie potrzeby, powinna niezwłocznie korygować wszelkie takie błędy, które mimo wszystko mogą wystąpić.

(19)

Dane dotyczące treści i dane o ruchu oraz dane osobowe wygenerowane podczas wykonywania działań objętych zakresem stosowania niniejszego rozporządzenia oraz okres, w którym dane te są następnie przechowywane w przypadku, gdy zachodzi podejrzenie niegodziwego traktowania dzieci w celach seksualnych w internecie, powinny pozostawać ograniczone do tego, co jest bezwzględnie konieczne do wykonywania tych działań. Wszelkie dane należy natychmiast trwale usunąć z chwilą, gdy nie są one już bezwzględnie konieczne do jednego z celów określonych w niniejszym rozporządzeniu, w tym w przypadkach gdy nie zachodzi podejrzenie niegodziwego traktowania dzieci w celach seksualnych w internecie, a w każdym razie nie później niż 12 miesięcy od dnia wykrycia przypadku, co do którego zachodzi podejrzenie niegodziwego traktowania dzieci w celach seksualnych w internecie. Powinno to pozostawać bez uszczerbku dla możliwości przechowywania odpowiednich danych dotyczących treści i danych o ruchu zgodnie z dyrektywą 2002/58/WE. Niniejsze rozporządzenie nie wpływa na stosowanie obowiązków prawnych do zabezpieczenia danych, które mają zastosowanie do dostawców na podstawie prawa Unii lub prawa krajowego.

(20)

Niniejsze rozporządzenie nie uniemożliwia dostawcom, którzy zgłosili organom ścigania przypadki niegodziwego traktowania dzieci w celach seksualnych w internecie, zwracania się do tych organów o potwierdzenie przyjęcia zgłoszenia.

(21)

Aby zapewnić przejrzystość i odpowiedzialność w odniesieniu do działań podejmowanych na mocy odstępstwa przewidzianego w niniejszym rozporządzeniu, dostawcy powinni – do dnia 3 lutego 2022 r., a następnie do 31 stycznia każdego roku – publikować sprawozdania i przedkładać je właściwemu organowi nadzorczemu wyznaczonemu zgodnie z rozporządzeniem (UE) 2016/679 (zwanemu dalej „organem nadzorczym”) i Komisji. Takie sprawozdania powinny obejmować przetwarzanie objęte zakresem stosowania niniejszego rozporządzenia, w tym informacje dotyczące rodzaju i ilości przetwarzanych danych, konkretnych podstaw przetwarzania danych osobowych na mocy rozporządzenia (UE) 2016/679, podstaw przekazywania danych osobowych poza Unię na mocy rozdziału V rozporządzenia (UE) 2016/679 w stosownych przypadkach, liczby zidentyfikowanych przypadków niegodziwego traktowania dzieci w celach seksualnych w internecie z rozróżnieniem między materiałami przedstawiającymi niegodziwe traktowanie dzieci w celach seksualnych w internecie a nagabywaniem dzieci, liczby skarg złożonych przez użytkowników w ramach wewnętrznego mechanizmu ochrony prawnej lub przypadków skorzystania ze środka ochrony prawnej przed sądem oraz sposobu rozstrzygnięcia takich skarg i postępowań sądowych, liczby i współczynników błędów (wyniki fałszywie dodatnie) dotyczących poszczególnych zastosowanych technologii, środków zastosowanych w celu ograniczenia poziomu błędu i osiągniętego poziomu błędu, polityki zatrzymywania danych oraz zastosowanych zabezpieczeń w zakresie ochrony danych na mocy rozporządzenia (UE) 2016/679, oraz nazw organizacji działających w interesie publicznym przeciwko niegodziwemu traktowaniu dzieci w celach seksualnych, którym udostępniono dane na mocy niniejszego rozporządzenia.

(22)

Aby wspierać organy nadzorcze w wykonywaniu ich zadań, Komisja powinna zwrócić się do Europejskiej Rady Ochrony Danych o wydanie wytycznych dotyczących zgodności przetwarzania objętego odstępstwem określonym w niniejszym rozporządzeniu z rozporządzeniem (UE) 2016/679. Przy dokonywaniu przez organy nadzorcze oceny, czy ugruntowana lub nowo powstająca technologia, która ma być wykorzystana, jest zgodna z aktualnym stanem techniki w branży, powoduje jak najmniejszą ingerencję w prywatność oraz jest stosowana w oparciu o odpowiednią podstawę prawną zgodnie z rozporządzeniem (UE) 2016/679, wytyczne te powinny, w szczególności, pomóc organom nadzorczym w doradztwie w ramach procedury uprzednich konsultacji przewidzianej w tym rozporządzeniu.

(23)

Niniejsze rozporządzenie ogranicza prawo do ochrony poufności komunikacji i stanowi odstępstwo od decyzji podjętej na mocy dyrektyw (UE) 2018/1972, zgodnie z którą usługi łączności interpersonalnej niewykorzystujące numerów podlegają tym samym przepisom co wszystkie inne usługi łączności elektronicznej w odniesieniu do prywatności, gdy jedynym celem jest wykrywanie w tych usługach przypadków niegodziwego traktowania dzieci w celach seksualnych w internecie i zgłaszanie ich organom ścigania lub organizacjom działającym w interesie publicznym przeciwko niegodziwemu traktowaniu dzieci w celach seksualnych oraz usuwanie materiałów przedstawiających niegodziwe traktowanie dzieci w celach seksualnych w internecie z tych usług. Okres stosowania niniejszego rozporządzenia powinien zatem zostać ograniczony do trzech lat od daty rozpoczęcia jego stosowania w celu zapewnienia czasu niezbędnego do przyjęcia nowych długoterminowych ram prawnych. W przypadku gdy długoterminowe ramy prawne zostaną przyjęte i wejdą w życie przed tą datą, powinny one uchylić niniejsze rozporządzenie.

(24)

W odniesieniu do wszelkich innych działań objętych zakresem stosowania dyrektywy 2002/58/WE, dostawcy powinni podlegać szczegółowym obowiązkom określonym w tej dyrektywie, a w konsekwencji właściwym uprawnionym organom wyznaczonym na podstawie tej dyrektywy do monitorowania i prowadzenia postępowań wyjaśniających.

(25)

Pełne szyfrowanie transmisji jest ważnym narzędziem służącym zapewnieniu bezpieczeństwa i poufności komunikacji użytkowników, w tym dzieci. Jakiekolwiek ograniczenie szyfrowania mogłoby być potencjalnie wykorzystywane przez osoby trzecie działające w złej wierze. Żaden z przepisów niniejszego rozporządzenia nie powinien być zatem interpretowany jako zakaz lub ograniczenie pełnego szyfrowania transmisji.

(26)

Prawo do poszanowania życia prywatnego i rodzinnego, w tym poufność komunikacji, jest podstawowym prawem gwarantowanym na podstawie art. 7 Karty. Jest to zatem również warunek wstępny bezpiecznej komunikacji między ofiarami niegodziwego traktowania dzieci w celach seksualnych a zaufanymi osobami dorosłymi lub organizacjami zaangażowanymi w walkę z takim traktowaniem dzieci oraz komunikacji między ofiarami a ich prawnikami.

(27)

Niniejsze rozporządzenie nie powinno naruszać przepisów prawa krajowego dotyczących tajemnicy zawodowej, na przykład przepisów dotyczących ochrony komunikacji zawodowej między lekarzami a pacjentami, między dziennikarzami a informatorami lub między prawnikami a klientami, zwłaszcza że poufność komunikacji między prawnikami a klientami ma kluczowe znaczenie dla zapewnienia skutecznego korzystania z prawa do obrony, stanowiącego zasadniczą część prawa do rzetelnego procesu sądowego. Niniejsze rozporządzenie powinno także pozostawać bez uszczerbku dla przepisów krajowych dotyczących rejestrów organów publicznych lub organizacji oferujących doradztwo osobom znajdującym się w trudnej sytuacji.

(28)

Dostawcy powinni przekazać Komisji nazwy organizacji działających w interesie publicznym przeciwko niegodziwemu traktowaniu dzieci w celach seksualnych, którym zgłaszają – na podstawie niniejszego rozporządzenia – potencjalne przypadki niegodziwego traktowania dzieci w celach seksualnych w internecie. Wprawdzie wyłącznie dostawcy działający w charakterze administratorów są odpowiedzialni za ocenę, którym stronom trzecim mogą udostępnić dane osobowe na podstawie rozporządzenia (UE) 2016/679, jednak Komisja powinna zapewnić przejrzystość przekazywania informacji o potencjalnych przypadkach niegodziwego traktowania dzieci w celach seksualnych w internecie, publikując na swoich stronach internetowych wykaz zgłoszonych jej organizacji działających w interesie publicznym przeciwko niegodziwemu traktowaniu dzieci w celach seksualnych. Ten publiczny wykaz powinien być łatwo dostępny. Powinno być także możliwe używanie tego wykazu przez dostawców do identyfikowania odpowiednich organizacji do celów globalnej walki z niegodziwym traktowaniem dzieci w celach seksualnych w internecie. Wykaz ten powinien pozostawać bez uszczerbku dla obowiązków dostawców działających w charakterze administratorów na podstawie rozporządzenia (UE) 2016/679, w tym w odniesieniu do obowiązku, zgodnie z którym przekazywanie danych osobowych poza Unię musi odbywać się zgodnie z rozdziałem V tego rozporządzenia, oraz do spełniania wszystkich obowiązków określonych w rozdziale IV tego rozporządzenia.

(29)

Dane statystyczne, które mają być dostarczone przez państwa członkowskie na mocy niniejszego rozporządzenia, są ważnymi wskaźnikami służącymi ocenie polityki, w tym środków ustawodawczych. Ponadto ważne jest, aby dostrzec wpływ wtórnej wiktymizacji nieodłącznie związanej z udostępnianiem zdjęć i filmów przedstawiających ofiary niegodziwego traktowania dzieci w celach seksualnych, gdyż takie zdjęcia i filmy mogą być rozpowszechniane przez lata, co nie znajduje pełnego odbicia w takich statystykach.

(30)

Zgodnie z wymogami określonymi w rozporządzeniu (UE) 2016/679, w szczególności z wymogiem, by państwa członkowskie zapewniały organom nadzorczym zasoby kadrowe, techniczne i finansowe niezbędne do skutecznego wykonywania ich zadań i uprawnień, państwa członkowskie powinny zapewnić organom nadzorczym analogiczne zasoby wystarczające do skutecznego wykonywania zadań i uprawnień na mocy niniejszego rozporządzenia.

(31)

Jeżeli dostawca przeprowadził ocenę skutków dla ochrony danych i skonsultował się z organami nadzorczymi w związku z daną technologią zgodnie z rozporządzeniem (UE) 2016/679 przed wejściem w życie niniejszego rozporządzenia, dostawca ten nie powinien mieć – na podstawie niniejszego rozporządzenia – obowiązku przeprowadzenia dodatkowej oceny skutków dla ochrony danych lub dodatkowej konsultacji, pod warunkiem że organy nadzorcze stwierdziły, że przetwarzanie danych za pomocą tej technologii nie spowoduje wysokiego ryzyka naruszenia praw i wolności osób fizycznych lub że administrator zastosował środki w celu zminimalizowania takiego ryzyka.

(32)

Użytkownicy powinni mieć prawo do skutecznego środka ochrony prawnej przed sądem, w przypadku gdy ich prawa zostały naruszone w wyniku przetwarzania danych osobowych i innych danych na potrzeby wykrywania przypadków niegodziwego traktowania dzieci w celach seksualnych w internecie w ramach usług łączności interpersonalnej niewykorzystujących numerów i zgłaszania ich oraz usuwania materiałów przedstawiających niegodziwe traktowanie dzieci w celach seksualnych w internecie z tych usług, na przykład gdy treści użytkownika lub jego tożsamość zostały zgłoszone organizacji działającej w interesie publicznym przeciwko niegodziwemu traktowaniu dzieci w celach seksualnych lub organom ścigania lub gdy treści użytkownika zostały usunięte, jego konto zostało zablokowane lub usługa oferowana użytkownikowi została zawieszona.

(33)

Zgodnie z dyrektywą 2002/58/WE i zasadą minimalizacji danych przetwarzanie danych osobowych i innych danych powinno zostać ograniczone do danych dotyczących treści i powiązanych danych o ruchu, w takim zakresie, w jakim jest to bezwzględnie konieczne do osiągnięcia celu niniejszego rozporządzenia.

(34)

Odstępstwo przewidziane w niniejszym rozporządzeniu powinno obejmować kategorie danych, o których mowa w art. 5 ust. 1 i art. 6 ust. 1 dyrektywy 2002/58/WE, które mają zastosowanie do danych zarówno osobowych, jak i nieosobowych, przetwarzanych w kontekście świadczenia usług łączności interpersonalnej niewykorzystujących numerów.

(35)

Celem niniejszego rozporządzenia jest ustanowienie tymczasowego odstępstwa od niektórych przepisów dyrektywy 2002/58/WE nie powodując rozdrobnienia na rynku wewnętrznym. Ponadto przepisy krajowe prawdopodobnie nie zostałyby przyjęte na czas we wszystkich państwach członkowskich. Ponieważ cel ten nie może zostać osiągnięty w sposób wystarczający przez państwa członkowskie, natomiast możliwe jest jego lepsze osiągnięcie na poziomie Unii, może ona podjąć działania zgodnie z zasadą pomocniczości określoną w art. 5 TUE. Zgodnie z zasadą proporcjonalności określoną w tym artykule, niniejsze rozporządzenie nie wykracza poza to, co jest konieczne do osiągnięcia tego celu. Wprowadza ono tymczasowe i ściśle ograniczone odstępstwo od stosowania art. 5 ust. 1 i art. 6 ust. 1 dyrektywy 2002/58/WE, wraz z szeregiem zabezpieczeń w celu zapewnienia, że nie wykracza ono poza to, co jest konieczne do osiągnięcia wyznaczonego celu.

(36)

Zgodnie z art. 42 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2018/1725 (8) skonsultowano się z Europejskim Inspektorem Ochrony Danych, który wydał opinię dnia 10 listopada 2020 r.,