# Az Európai Unió C 158/2016

| | ISSN 1977-0979 |
| --- | --- |
| Az Európai Unió
  Hivatalos Lapja | C 158 |
| | |
| Magyar nyelvű kiadás | Tájékoztatások és közlemények | 59. évfolyam2016. május 3. |

ISSN 1977-0979

Az Európai Unió

Hivatalos Lapja

C 158

Magyar nyelvű kiadás

Tájékoztatások és közlemények

59. évfolyam2016. május 3.

---

| Közleményszám | Tartalom | Oldal |
| --- | --- | --- |
| | III   Előkészítő jogi aktusok |
| | TANÁCS |
| 2016/C 158/01 | A Tanács (EU) 5/2016 álláspontja első olvasatban a személyes adatoknak az illetékes hatóságok által a bűncselekmények megelőzése, nyomozása, felderítése, üldözése vagy büntetőjogi szankciók végrehajtása céljából végzett kezelése tekintetében a természetes személyek védelméről és az ilyen adatok szabad áramlásáról, valamint a 2008/977/IB tanácsi kerethatározat hatályon kívül helyezéséről szóló európai parlamenti és a tanácsi irányelv elfogadása céljábólA Tanács által 2016. április 8-án elfogadott szöveg | 1 |
| 2016/C 158/02 | A Tanács indokolása: a Tanács (EU) 5/2016 álláspontja első olvasatban a személyes adatoknak az illetékes hatóságok által a bűncselekmények megelőzése, nyomozása, felderítése, üldözése vagy büntetőjogi szankciók végrehajtása céljából végzett kezelése tekintetében a természetes személyek védelméről és az ilyen adatok szabad áramlásáról, valamint a 2008/977/IB tanácsi kerethatározat hatályon kívül helyezéséről szóló európai parlamenti és a tanácsi irányelv elfogadása céljából | 46 |

Közleményszám

Tartalom

Oldal

III   Előkészítő jogi aktusok

TANÁCS

2016/C 158/01

A Tanács (EU) 5/2016 álláspontja első olvasatban a személyes adatoknak az illetékes hatóságok által a bűncselekmények megelőzése, nyomozása, felderítése, üldözése vagy büntetőjogi szankciók végrehajtása céljából végzett kezelése tekintetében a természetes személyek védelméről és az ilyen adatok szabad áramlásáról, valamint a 2008/977/IB tanácsi kerethatározat hatályon kívül helyezéséről szóló európai parlamenti és a tanácsi irányelv elfogadása céljábólA Tanács által 2016. április 8-án elfogadott szöveg

1

2016/C 158/02

A Tanács indokolása: a Tanács (EU) 5/2016 álláspontja első olvasatban a személyes adatoknak az illetékes hatóságok által a bűncselekmények megelőzése, nyomozása, felderítése, üldözése vagy büntetőjogi szankciók végrehajtása céljából végzett kezelése tekintetében a természetes személyek védelméről és az ilyen adatok szabad áramlásáról, valamint a 2008/977/IB tanácsi kerethatározat hatályon kívül helyezéséről szóló európai parlamenti és a tanácsi irányelv elfogadása céljából

46

---

| HU | |
| --- | --- |

HU

---

III Előkészítő jogi aktusok

TANÁCS

| 3.5.2016 | HU | Az Európai Unió Hivatalos Lapja | C 158/1 |
| --- | --- | --- | --- |

3.5.2016

HU

Az Európai Unió Hivatalos Lapja

C 158/1

---

A TANÁCS (EU) 5/2016 ÁLLÁSPONTJA ELSŐ OLVASATBAN

a személyes adatoknak az illetékes hatóságok által a bűncselekmények megelőzése, nyomozása, felderítése, üldözése vagy büntetőjogi szankciók végrehajtása céljából végzett kezelése tekintetében a természetes személyek védelméről és az ilyen adatok szabad áramlásáról, valamint a 2008/977/IB tanácsi kerethatározat hatályon kívül helyezéséről szóló európai parlamenti és a tanácsi irányelv elfogadása céljából

A Tanács által 2016. április 8-án elfogadott szöveg

(2016/C 158/01)

AZ EURÓPAI PARLAMENT ÉS AZ EURÓPAI UNIÓ TANÁCSA,

tekintettel az Európai Unió működéséről szóló szerződésre és különösen annak 16. cikke (2) bekezdésére,

tekintettel az Európai Bizottság javaslatára,

a jogalkotási aktus tervezete nemzeti parlamenteknek való megküldését követően,

tekintettel a Régiók Bizottságának véleményére (1),

rendes jogalkotási eljárás keretében (2),

mivel:

| (1) | A természetes személyek személyes adataik kezelésével összefüggő védelme alapvető jog. Az Európai Unió Alapjogi Chartája (Charta) 8. cikkének (1) bekezdése és az Európai Unió működéséről szóló szerződés (EUMSZ) 16. cikkének (1) bekezdése rögzíti, hogy mindenkinek joga van a rá vonatkozó személyes adatok védelméhez. |
| --- | --- |

(1)

A természetes személyek személyes adataik kezelésével összefüggő védelme alapvető jog. Az Európai Unió Alapjogi Chartája (Charta) 8. cikkének (1) bekezdése és az Európai Unió működéséről szóló szerződés (EUMSZ) 16. cikkének (1) bekezdése rögzíti, hogy mindenkinek joga van a rá vonatkozó személyes adatok védelméhez.

| (2) | A természetes személyek alapvető jogainak és szabadságainak a személyes adataik kezelése tekintetében történő védelméhez kapcsolódó alapelvek és szabályok a természetes személyek állampolgárságától és lakóhelyétől függetlenül tiszteletben tartják e természetes személyek alapvető jogait és szabadságait, különösen ami a személyes adataik védelméhez való jogukat illeti. Ez az irányelv szándékoltan hozzájárul a szabadságon, a biztonságon és a jog érvényesülésén alapuló térség megteremtéséhez. |
| --- | --- |

(2)

A természetes személyek alapvető jogainak és szabadságainak a személyes adataik kezelése tekintetében történő védelméhez kapcsolódó alapelvek és szabályok a természetes személyek állampolgárságától és lakóhelyétől függetlenül tiszteletben tartják e természetes személyek alapvető jogait és szabadságait, különösen ami a személyes adataik védelméhez való jogukat illeti. Ez az irányelv szándékoltan hozzájárul a szabadságon, a biztonságon és a jog érvényesülésén alapuló térség megteremtéséhez.

| (3) | A gyors technológiai fejlődésből és a globalizációból adódóan a személyes adatok védelme új kihívásokkal néz szembe. Az személyes adatok gyűjtésének és megosztásának mértéke jelentősen megnövekedett. A technológia a személyes adatok minden eddiginél nagyobb mértékű kezelését teszi lehetővé olyan tevékenységek végzése érdekében is, mint a bűncselekmények megelőzése, nyomozása, felderítése, üldözése vagy a büntetőjogi szankciók végrehajtása. |
| --- | --- |

(3)

A gyors technológiai fejlődésből és a globalizációból adódóan a személyes adatok védelme új kihívásokkal néz szembe. Az személyes adatok gyűjtésének és megosztásának mértéke jelentősen megnövekedett. A technológia a személyes adatok minden eddiginél nagyobb mértékű kezelését teszi lehetővé olyan tevékenységek végzése érdekében is, mint a bűncselekmények megelőzése, nyomozása, felderítése, üldözése vagy a büntetőjogi szankciók végrehajtása.

| (4) | Ennek érdekében elő kell segíteni az Unión belül az illetékes hatóságok között a személyes adatok szabad áramlását a bűncselekmények megelőzése, nyomozása, felderítése, üldözése vagy a büntetőjogi szankciók végrehajtása – többek között az Unión belül a közbiztonságot fenyegető veszélyekkel szembeni védelem és e veszélyek megelőzése – céljából, valamint az ilyen személyes adatoknak a harmadik országok és nemzetközi szervezetek részére történő továbbítását, biztosítva egyúttal a személyes adatok magas szintű védelmét. Ezek a fejlemények a személyes adatok védelmére vonatkozó szilárd és következetesebb keret létrehozását teszik szükségessé az Unióban, amelyet a szabályok szigorú betartatása kísér. |
| --- | --- |

(4)

Ennek érdekében elő kell segíteni az Unión belül az illetékes hatóságok között a személyes adatok szabad áramlását a bűncselekmények megelőzése, nyomozása, felderítése, üldözése vagy a büntetőjogi szankciók végrehajtása – többek között az Unión belül a közbiztonságot fenyegető veszélyekkel szembeni védelem és e veszélyek megelőzése – céljából, valamint az ilyen személyes adatoknak a harmadik országok és nemzetközi szervezetek részére történő továbbítását, biztosítva egyúttal a személyes adatok magas szintű védelmét. Ezek a fejlemények a személyes adatok védelmére vonatkozó szilárd és következetesebb keret létrehozását teszik szükségessé az Unióban, amelyet a szabályok szigorú betartatása kísér.

| (5) | A 95/46/EK európai parlamenti és tanácsi irányelv (3) alkalmazandó a személyes adatoknak a tagállamokban mind a közszférában, mind a magánszférában végzett valamennyi kezelésére. Az említett irányelv mindazonáltal nem vonatkozik a személyes adatoknak a közösségi jog hatályán kívül eső tevékenységek során – így például a büntetőügyekben folytatott igazságügyi együttműködés és a rendőrségi együttműködés terén folytatott tevékenységek során – végzett kezelésére. |
| --- | --- |

(5)

A 95/46/EK európai parlamenti és tanácsi irányelv (3) alkalmazandó a személyes adatoknak a tagállamokban mind a közszférában, mind a magánszférában végzett valamennyi kezelésére. Az említett irányelv mindazonáltal nem vonatkozik a személyes adatoknak a közösségi jog hatályán kívül eső tevékenységek során – így például a büntetőügyekben folytatott igazságügyi együttműködés és a rendőrségi együttműködés terén folytatott tevékenységek során – végzett kezelésére.

| (6) | A büntetőügyekben folytatott igazságügyi együttműködés és a rendőrségi együttműködés területeire a 2008/977/IB tanácsi kerethatározatot (4) kell alkalmazni. E kerethatározat hatálya a tagállamok között továbbított vagy hozzáférhetővé tett személyes adatok kezelésére korlátozódik. |
| --- | --- |

(6)

A büntetőügyekben folytatott igazságügyi együttműködés és a rendőrségi együttműködés területeire a 2008/977/IB tanácsi kerethatározatot (4) kell alkalmazni. E kerethatározat hatálya a tagállamok között továbbított vagy hozzáférhetővé tett személyes adatok kezelésére korlátozódik.

| (7) | A büntetőügyekben folytatott hatékony igazságügyi együttműködés és rendőrségi együttműködés biztosítása érdekében alapvető fontosságú a természetes személyek személyes adatainak következetes és magas szintű védelme, valamint a tagállamok illetékes hatóságai között a személyes adatok cseréjének elősegítése. Ebből a célból az illetékes hatóságok által a bűncselekmények megelőzése, nyomozása, felderítése, üldözése vagy a büntetőjogi szankciók végrehajtása – többek között a közbiztonságot fenyegető veszélyekkel szembeni védelem és e veszélyek megelőzése – érdekében végzett személyesadat-kezelés során a tagállamokban a természetes személyek jogai és szabadságai védelmi szintjének egyenértékűnek kell lennie. A személyes adatok Unió egészére kiterjedő hatékony védelme érdekében mind az érintettek jogait, mind a személyes adatok kezelőinek kötelezettségeit megerősíteni szükséges, valamint a tagállamokban a személyes adatok védelmére vonatkozó szabályok betartásának ellenőrzéséhez és biztosításához egyenértékű hatásköröket kell biztosítani. |
| --- | --- |

(7)

A büntetőügyekben folytatott hatékony igazságügyi együttműködés és rendőrségi együttműködés biztosítása érdekében alapvető fontosságú a természetes személyek személyes adatainak következetes és magas szintű védelme, valamint a tagállamok illetékes hatóságai között a személyes adatok cseréjének elősegítése. Ebből a célból az illetékes hatóságok által a bűncselekmények megelőzése, nyomozása, felderítése, üldözése vagy a büntetőjogi szankciók végrehajtása – többek között a közbiztonságot fenyegető veszélyekkel szembeni védelem és e veszélyek megelőzése – érdekében végzett személyesadat-kezelés során a tagállamokban a természetes személyek jogai és szabadságai védelmi szintjének egyenértékűnek kell lennie. A személyes adatok Unió egészére kiterjedő hatékony védelme érdekében mind az érintettek jogait, mind a személyes adatok kezelőinek kötelezettségeit megerősíteni szükséges, valamint a tagállamokban a személyes adatok védelmére vonatkozó szabályok betartásának ellenőrzéséhez és biztosításához egyenértékű hatásköröket kell biztosítani.

| (8) | Az EUMSZ 16. cikkének (2) bekezdése felhatalmazza az Európai Parlamentet és a Tanácsot a természetes személyeknek a személyes adatok kezelése tekintetében történő védelmére és a személyes adatok szabad áramlására vonatkozó szabályok megállapítására. |
| --- | --- |

(8)

Az EUMSZ 16. cikkének (2) bekezdése felhatalmazza az Európai Parlamentet és a Tanácsot a természetes személyeknek a személyes adatok kezelése tekintetében történő védelmére és a személyes adatok szabad áramlására vonatkozó szabályok megállapítására.

| (9) | Ennek alapján az (EU) 2016/... európai parlamenti és tanácsi rendelet (5)
   (*) (általános adatvédelmi rendelet) általános szabályokat határoz meg a természetes személyeknek a személyes adatok kezelése tekintetében történő védelme, valamint az ilyen adatok Unión belüli szabad áramlásának biztosítása céljából. |
| --- | --- |

(9)

Ennek alapján az (EU) 2016/... európai parlamenti és tanácsi rendelet (5)
   (*) (általános adatvédelmi rendelet) általános szabályokat határoz meg a természetes személyeknek a személyes adatok kezelése tekintetében történő védelme, valamint az ilyen adatok Unión belüli szabad áramlásának biztosítása céljából.

| (10) | A Lisszaboni Szerződést elfogadó kormányközi konferencia zárónyilatkozatához csatolt, a büntetőügyekben folytatott igazságügyi, valamint a rendőrségi együttműködés területén a személyes adatok védelméről szóló 21. sz. nyilatkozatban a konferencia elismerte, hogy az EUMSZ 16. cikke alapján a büntetőügyekben folytatott igazságügyi együttműködés és a rendőrségi együttműködés területén – e területek sajátos természetéből adódóan – a személyes adatok védelmére és a személyes adatok szabad áramlására vonatkozó különös szabályok válhatnak szükségessé. |
| --- | --- |

(10)

A Lisszaboni Szerződést elfogadó kormányközi konferencia zárónyilatkozatához csatolt, a büntetőügyekben folytatott igazságügyi, valamint a rendőrségi együttműködés területén a személyes adatok védelméről szóló 21. sz. nyilatkozatban a konferencia elismerte, hogy az EUMSZ 16. cikke alapján a büntetőügyekben folytatott igazságügyi együttműködés és a rendőrségi együttműködés területén – e területek sajátos természetéből adódóan – a személyes adatok védelmére és a személyes adatok szabad áramlására vonatkozó különös szabályok válhatnak szükségessé.

| (11) | Ezért helyénvaló, hogy e területek szabályozása irányelvben történjen, amelyben meg kell határozni azokat a különleges szabályokat, amelyek a személyes adatok bűncselekmények megelőzése, nyomozása, felderítése, üldözése vagy büntetőjogi szankciók végrehajtása – többek között a közbiztonságot fenyegető veszélyekkel szembeni védelem és e veszélyek megelőzése – céljából az illetékes hatóságok általi kezelése tekintetében a természetes személyek védelmére vonatkoznak, tiszteletben tartva e tevékenységek jellegét. Az ilyen illetékes hatóságok körébe nemcsak olyan közhatalmi szervek tartozhatnak, mint az igazságügyi hatóságok, a rendőrség vagy egyéb bűnüldöző hatóságok, hanem bármely egyéb olyan szerv vagy szervezet is, amely a nemzeti jog alapján ezen irányelv alkalmazásában hatósági feladatokat láthat el és közhatalmi jogosítványokat gyakorolhat. Amennyiben azonban ezek a szervek vagy szervezetek ezen irányelv céljaitól eltérő célból kezelnek személyes adatokat, akkor az (EU) 2016/... rendeletet (**) kell alkalmazni. A (EU) 2016/... rendeletet (**) kell éppen ezért az alkalmazni azokban az esetekben, amikor valamely szerv vagy szervezet egyéb célból gyűjt és kezel tovább személyes adatokat annak érdekében, hogy egy rá vonatkozó jogi kötelezettséget teljesítsen. Így például bűncselekmények nyomozása, felderítése és üldözése céljából a pénzügyi intézmények bizonyos általuk kezelt személyes adatokat megőriznek, és azokat kizárólag meghatározott esetekben és a nemzeti joggal összhangban az illetékes nemzeti hatóságok részére szolgáltatják. Azokat a szerveket vagy szervezetek, amelyek az említett hatóságok nevében ezen irányelv hatályán belül kezelnek személyes adatokat, szerződés vagy egyéb jogi eszköz és az ezen irányelv alapján az adatfeldolgozókra alkalmazandó rendelkezések kötelezik, az adatfeldolgozó által ezen irányelv hatályán kívül végzett személyes adatok kezelése tekintetében azonban változatlanul az (EU) 2016/... rendelet (**) alkalmazandó. |
| --- | --- |

(11)

Ezért helyénvaló, hogy e területek szabályozása irányelvben történjen, amelyben meg kell határozni azokat a különleges szabályokat, amelyek a személyes adatok bűncselekmények megelőzése, nyomozása, felderítése, üldözése vagy büntetőjogi szankciók végrehajtása – többek között a közbiztonságot fenyegető veszélyekkel szembeni védelem és e veszélyek megelőzése – céljából az illetékes hatóságok általi kezelése tekintetében a természetes személyek védelmére vonatkoznak, tiszteletben tartva e tevékenységek jellegét. Az ilyen illetékes hatóságok körébe nemcsak olyan közhatalmi szervek tartozhatnak, mint az igazságügyi hatóságok, a rendőrség vagy egyéb bűnüldöző hatóságok, hanem bármely egyéb olyan szerv vagy szervezet is, amely a nemzeti jog alapján ezen irányelv alkalmazásában hatósági feladatokat láthat el és közhatalmi jogosítványokat gyakorolhat. Amennyiben azonban ezek a szervek vagy szervezetek ezen irányelv céljaitól eltérő célból kezelnek személyes adatokat, akkor az (EU) 2016/... rendeletet (**) kell alkalmazni. A (EU) 2016/... rendeletet (**) kell éppen ezért az alkalmazni azokban az esetekben, amikor valamely szerv vagy szervezet egyéb célból gyűjt és kezel tovább személyes adatokat annak érdekében, hogy egy rá vonatkozó jogi kötelezettséget teljesítsen. Így például bűncselekmények nyomozása, felderítése és üldözése céljából a pénzügyi intézmények bizonyos általuk kezelt személyes adatokat megőriznek, és azokat kizárólag meghatározott esetekben és a nemzeti joggal összhangban az illetékes nemzeti hatóságok részére szolgáltatják. Azokat a szerveket vagy szervezetek, amelyek az említett hatóságok nevében ezen irányelv hatályán belül kezelnek személyes adatokat, szerződés vagy egyéb jogi eszköz és az ezen irányelv alapján az adatfeldolgozókra alkalmazandó rendelkezések kötelezik, az adatfeldolgozó által ezen irányelv hatályán kívül végzett személyes adatok kezelése tekintetében azonban változatlanul az (EU) 2016/... rendelet (**) alkalmazandó.

| (12) | A rendőrség vagy egyéb bűnüldöző szervek által végzett tevékenységek középpontjában – elsősorban a bűncselekmények megelőzése, nyomozása, felderítése és üldözése áll, ideértve az annak előzetes ismerete nélkül végzett rendőri tevékenységeket is, hogy egy adott eset bűncselekménynek minősül-e. Az ilyen tevékenységek magukban foglalhatják a hatósági jogkör kényszerintézkedések alkalmazásával történő gyakorlását is, így például a tüntetések, jelentős sportesemények és zavargások során végzett rendőrségi tevékenységet is.. Ide tartozik továbbá a rendőrségre és egyéb bűnüldöző szervekre ruházott feladatként a közrend és közbiztonság fenntartása annak érdekében, hogy adott esetben védelmet biztosítsanak a közbiztonságot és a jog által védett alapvető társadalmi érdekeket fenyegető – esetleg bűncselekmény elkövetéséhez is vezető – veszélyekkel szemben, és megelőzzék e veszélyeket. A tagállamok megbízhatják az illetékes hatóságokat olyan egyéb feladatokkal is, amelyeknek ellátása nem feltétlenül a bűncselekmények megelőzése, nyomozása, felderítése és üldözése – többek között a közbiztonságot fenyegető veszélyekkel szembeni védelem és e veszélyek megelőzése – céljából történik; ebben az esetben az említett egyéb célokból történő, egyébiránt az uniós jog hatálya alá tartozó személyesadat-kezelés az (EU) 2016/... rendelet (**) hatálya alá tartozik. |
| --- | --- |

(12)

A rendőrség vagy egyéb bűnüldöző szervek által végzett tevékenységek középpontjában – elsősorban a bűncselekmények megelőzése, nyomozása, felderítése és üldözése áll, ideértve az annak előzetes ismerete nélkül végzett rendőri tevékenységeket is, hogy egy adott eset bűncselekménynek minősül-e. Az ilyen tevékenységek magukban foglalhatják a hatósági jogkör kényszerintézkedések alkalmazásával történő gyakorlását is, így például a tüntetések, jelentős sportesemények és zavargások során végzett rendőrségi tevékenységet is.. Ide tartozik továbbá a rendőrségre és egyéb bűnüldöző szervekre ruházott feladatként a közrend és közbiztonság fenntartása annak érdekében, hogy adott esetben védelmet biztosítsanak a közbiztonságot és a jog által védett alapvető társadalmi érdekeket fenyegető – esetleg bűncselekmény elkövetéséhez is vezető – veszélyekkel szemben, és megelőzzék e veszélyeket. A tagállamok megbízhatják az illetékes hatóságokat olyan egyéb feladatokkal is, amelyeknek ellátása nem feltétlenül a bűncselekmények megelőzése, nyomozása, felderítése és üldözése – többek között a közbiztonságot fenyegető veszélyekkel szembeni védelem és e veszélyek megelőzése – céljából történik; ebben az esetben az említett egyéb célokból történő, egyébiránt az uniós jog hatálya alá tartozó személyesadat-kezelés az (EU) 2016/... rendelet (**) hatálya alá tartozik.

| (13) | A bűncselekmény ezen irányelv értelmében vett fogalma az Európai Unió Bírósága (a továbbiakban: Bíróság) általi értelmezésnek megfelelő, önálló uniós jogi fogalomnak minősül. |
| --- | --- |

(13)

A bűncselekmény ezen irányelv értelmében vett fogalma az Európai Unió Bírósága (a továbbiakban: Bíróság) általi értelmezésnek megfelelő, önálló uniós jogi fogalomnak minősül.

| (14) | Mivel ez az irányelv nem alkalmazandó a személyes adatoknak az uniós jog hatályán kívül eső tevékenységek keretében végzett kezelésére, a nemzetbiztonsággal kapcsolatos tevékenységek, a nemzetbiztonsági ügyekkel foglalkozó ügynökségek vagy egységek tevékenységei, valamint a tagállamok által az Európai Unióról szóló szerződés (EUSZ) V. címe 2. fejezetének hatálya alá tartozó tevékenységek során végzett személyesadat-kezelése nem tekinthető az ezen irányelv hatálya alá tartozó tevékenységnek. |
| --- | --- |

(14)

Mivel ez az irányelv nem alkalmazandó a személyes adatoknak az uniós jog hatályán kívül eső tevékenységek keretében végzett kezelésére, a nemzetbiztonsággal kapcsolatos tevékenységek, a nemzetbiztonsági ügyekkel foglalkozó ügynökségek vagy egységek tevékenységei, valamint a tagállamok által az Európai Unióról szóló szerződés (EUSZ) V. címe 2. fejezetének hatálya alá tartozó tevékenységek során végzett személyesadat-kezelése nem tekinthető az ezen irányelv hatálya alá tartozó tevékenységnek.

| (15) | Annak érdekében, hogy a természetes személyek az Unió egész területén azonos szintű védelemben részesüljenek jogi úton érvényesíthető jogok révén, valamint azt megelőzendő, hogy az illetékes hatóságok között a személyes adatok cseréjét akadályozó eltérések kialakuljanak, ez az irányelv harmonizált szabályokat kell, hogy meghatározzon a bűncselekmények megelőzése, nyomozása, felderítése, üldözése vagy a büntetőjogi szankciók végrehajtása – többek között a közbiztonságot fenyegető veszélyekkel szembeni védelem és e veszélyek megelőzése – céljából kezelt személyes adatok védelme és szabad áramlása tekintetében. A tagállamok jogszabályainak közelítése nem vezethet a személyes adatok általuk nyújtott védelmi szintjének csökkenéséhez, hanem ellenkezőleg, e jogközelítés révén az Unión belül magas védelmi szintet kell biztosítani. A tagállamok számára nem tiltható meg, hogy a személyes adatok illetékes hatóságok általi kezelése vonatkozásában a természetes személyek jogainak és szabadságainak védelme érdekében az ezen irányelvben megállapítottnál magasabb szintű garanciákról rendelkezzenek. |
| --- | --- |

(15)

Annak érdekében, hogy a természetes személyek az Unió egész területén azonos szintű védelemben részesüljenek jogi úton érvényesíthető jogok révén, valamint azt megelőzendő, hogy az illetékes hatóságok között a személyes adatok cseréjét akadályozó eltérések kialakuljanak, ez az irányelv harmonizált szabályokat kell, hogy meghatározzon a bűncselekmények megelőzése, nyomozása, felderítése, üldözése vagy a büntetőjogi szankciók végrehajtása – többek között a közbiztonságot fenyegető veszélyekkel szembeni védelem és e veszélyek megelőzése – céljából kezelt személyes adatok védelme és szabad áramlása tekintetében. A tagállamok jogszabályainak közelítése nem vezethet a személyes adatok általuk nyújtott védelmi szintjének csökkenéséhez, hanem ellenkezőleg, e jogközelítés révén az Unión belül magas védelmi szintet kell biztosítani. A tagállamok számára nem tiltható meg, hogy a személyes adatok illetékes hatóságok általi kezelése vonatkozásában a természetes személyek jogainak és szabadságainak védelme érdekében az ezen irányelvben megállapítottnál magasabb szintű garanciákról rendelkezzenek.

| (16) | Ez az irányelv nem sértheti a hivatalos iratokhoz való nyilvános hozzáférés elvét. Az (EU) 2016/... rendelet (**) értelmében a közhatalmi szervek, illetve egyéb közfeladatot ellátó vagy magánjogi szervek az olyan hivatalos dokumentumokban szereplő személyes adatokat, amelyeknek közérdekű feladat teljesítése érdekében vannak birtokukban, az uniós joggal vagy a hatóságra vagy szervre vonatkozó nemzeti joggal összhangban nyilvánosságra hozhatják annak érdekében, hogy a hivatalos dokumentumokhoz való nyilvános hozzáférést összeegyeztessék a személyes adatok védelméhez való joggal. |
| --- | --- |

(16)

Ez az irányelv nem sértheti a hivatalos iratokhoz való nyilvános hozzáférés elvét. Az (EU) 2016/... rendelet (**) értelmében a közhatalmi szervek, illetve egyéb közfeladatot ellátó vagy magánjogi szervek az olyan hivatalos dokumentumokban szereplő személyes adatokat, amelyeknek közérdekű feladat teljesítése érdekében vannak birtokukban, az uniós joggal vagy a hatóságra vagy szervre vonatkozó nemzeti joggal összhangban nyilvánosságra hozhatják annak érdekében, hogy a hivatalos dokumentumokhoz való nyilvános hozzáférést összeegyeztessék a személyes adatok védelméhez való joggal.

| (17) | A természetes személyek a személyes adataik kezelésével kapcsolatban az ezen irányelv által nyújtott védelem a természetes személyeket állampolgárságuktól és lakóhelyüktől függetlenül megilleti. |
| --- | --- |

(17)

A természetes személyek a személyes adataik kezelésével kapcsolatban az ezen irányelv által nyújtott védelem a természetes személyeket állampolgárságuktól és lakóhelyüktől függetlenül megilleti.

| (18) | A komoly szabály-kerülési kockázat veszélyének elkerülése érdekében, a természetes személyek védelmének technológiailag semlegesnek kell lennie és nem függhet a felhasznált technikai megoldásoktól. A természetes személyek védelme a személyes adatok automatizált eszközök útján végzett kezelése mellett a személyes adatok manuális kezelésére is vonatkozik, amennyiben a személyes adatokat nyilvántartási rendszerben tárolják vagy kívánják tárolni. Olyan iratok, illetve iratok csoportjai, és azok borítóoldalai, amelyek nem rendszerezettek meghatározott szempontok szerint, nem tartoznak ezen irányelv hatálya alá. |
| --- | --- |

(18)

A komoly szabály-kerülési kockázat veszélyének elkerülése érdekében, a természetes személyek védelmének technológiailag semlegesnek kell lennie és nem függhet a felhasznált technikai megoldásoktól. A természetes személyek védelme a személyes adatok automatizált eszközök útján végzett kezelése mellett a személyes adatok manuális kezelésére is vonatkozik, amennyiben a személyes adatokat nyilvántartási rendszerben tárolják vagy kívánják tárolni. Olyan iratok, illetve iratok csoportjai, és azok borítóoldalai, amelyek nem rendszerezettek meghatározott szempontok szerint, nem tartoznak ezen irányelv hatálya alá.

| (19) | A személyes adatok uniós intézmények, szervek, hivatalok és ügynökségek általi kezelésére a 45/2001/EK európai parlamenti és tanácsi rendelet (6) vonatkozik. A 45/2001/EK rendeletet, valamint a személyes adatok ilyen kezelésére vonatkozó egyéb uniós jogi eszközöket hozzá kell igazítani az (EU) 2016/... rendelettel (**) megállapított alapelvekhez és szabályokhoz. |
| --- | --- |

(19)

A személyes adatok uniós intézmények, szervek, hivatalok és ügynökségek általi kezelésére a 45/2001/EK európai parlamenti és tanácsi rendelet (6) vonatkozik. A 45/2001/EK rendeletet, valamint a személyes adatok ilyen kezelésére vonatkozó egyéb uniós jogi eszközöket hozzá kell igazítani az (EU) 2016/... rendelettel (**) megállapított alapelvekhez és szabályokhoz.

| (20) | Ez az irányelv nem akadályozza meg a tagállamokat abban, hogy a nemzeti büntetőeljárási szabályaikban pontosabban meghatározzák a bíróságok és egyéb igazságügyi hatóságok által végzett személyes adatok kezelésével kapcsolatos adatkezelési műveleteket és adatkezelési eljárásokat, különösen ami a bírósági határozatokban és jegyzőkönyvekben szereplő személyes adatokat illeti. |
| --- | --- |

(20)

Ez az irányelv nem akadályozza meg a tagállamokat abban, hogy a nemzeti büntetőeljárási szabályaikban pontosabban meghatározzák a bíróságok és egyéb igazságügyi hatóságok által végzett személyes adatok kezelésével kapcsolatos adatkezelési műveleteket és adatkezelési eljárásokat, különösen ami a bírósági határozatokban és jegyzőkönyvekben szereplő személyes adatokat illeti.

| (21) | Az adatvédelem alapelveit minden azonosított vagy azonosítható természetes személyre vonatkozó információ esetében alkalmazni kell. Egy természetes személy azonosíthatóságának megállapításakor, minden olyan módszert figyelembe kell venni – ideértve például a megjelölést –, amelyet az adatkezelő vagy más személy észszerű módon felhasználhat a természetes személy közvetlen vagy közvetett azonosítására. Annak megállapításakor, hogy mely eszközökről feltételezhető ésszerűen, hogy egy adott természetes személy azonosítására fogják felhasználni, az összes objektív tényezőt figyelembe kell venni, így például az azonosítás költségeit és időigényét, számításba véve mind az adatkezeléskor rendelkezésre álló tudomány és technológia állását. Az adatvédelem alapelvei ennek megfelelően nem alkalmazhatók az anonim információkra, vagyis az olyan információkra, amelyek nem azonosított vagy nem azonosítható természetes személyre vonatkoznak, valamint az olyan személyes adatokra, amelyeket olyan módon anonimizáltak, hogy annak következtében az érintett többé nem azonosítható be. |
| --- | --- |

(21)

Az adatvédelem alapelveit minden azonosított vagy azonosítható természetes személyre vonatkozó információ esetében alkalmazni kell. Egy természetes személy azonosíthatóságának megállapításakor, minden olyan módszert figyelembe kell venni – ideértve például a megjelölést –, amelyet az adatkezelő vagy más személy észszerű módon felhasználhat a természetes személy közvetlen vagy közvetett azonosítására. Annak megállapításakor, hogy mely eszközökről feltételezhető ésszerűen, hogy egy adott természetes személy azonosítására fogják felhasználni, az összes objektív tényezőt figyelembe kell venni, így például az azonosítás költségeit és időigényét, számításba véve mind az adatkezeléskor rendelkezésre álló tudomány és technológia állását. Az adatvédelem alapelvei ennek megfelelően nem alkalmazhatók az anonim információkra, vagyis az olyan információkra, amelyek nem azonosított vagy nem azonosítható természetes személyre vonatkoznak, valamint az olyan személyes adatokra, amelyeket olyan módon anonimizáltak, hogy annak következtében az érintett többé nem azonosítható be.

| (22) | Azok a közhatalmi szervek, amelyekkel hivatalos feladataikkal kapcsolatos jogi kötelezettségeik keretében személyes adatokat közölnek, így például az adó- és vámhatóságok, a pénzügyi nyomozóegységek, a független közigazgatási hatóságok, valamint az értékpapírpiacok szabályozásáért és felügyeletéért felelős pénzügyi hatóságok, nem tekinthetők címzettnek, amikor olyan személyes adatokat kapnak, amelyek az uniós vagy a nemzeti jog alapján egy konkrét közérdekű vizsgálat lefolytatásához szükségesek. A közhatalmi szervek nyilvánosságra hozatal iránti kérelmeit eseti alapon, minden esetben írásban, indokolással ellátva kell benyújtani, és azok nem vonatkozhatnak teljes nyilvántartásokra, illetve nem eredményezhetik nyilvántartási rendszerek összekapcsolását. A személyes adatok kezelése során e közhatalmi szerveknek be kell tartaniuk az adatkezelés céljának megfelelő, alkalmazandó adatvédelmi szabályokat. |
| --- | --- |

(22)

Azok a közhatalmi szervek, amelyekkel hivatalos feladataikkal kapcsolatos jogi kötelezettségeik keretében személyes adatokat közölnek, így például az adó- és vámhatóságok, a pénzügyi nyomozóegységek, a független közigazgatási hatóságok, valamint az értékpapírpiacok szabályozásáért és felügyeletéért felelős pénzügyi hatóságok, nem tekinthetők címzettnek, amikor olyan személyes adatokat kapnak, amelyek az uniós vagy a nemzeti jog alapján egy konkrét közérdekű vizsgálat lefolytatásához szükségesek. A közhatalmi szervek nyilvánosságra hozatal iránti kérelmeit eseti alapon, minden esetben írásban, indokolással ellátva kell benyújtani, és azok nem vonatkozhatnak teljes nyilvántartásokra, illetve nem eredményezhetik nyilvántartási rendszerek összekapcsolását. A személyes adatok kezelése során e közhatalmi szerveknek be kell tartaniuk az adatkezelés céljának megfelelő, alkalmazandó adatvédelmi szabályokat.

| (23) | A genetikai adatot olyan, a természetes személy örökölt vagy szerzett genetikai jellemzőivel összefüggő személyes adatként célszerű meghatározni, amely az adott természetes személy fiziológiájára vagy egészségi állapotára vonatkozóan egyedi információt hordoz, és amely az adott természetes személy biológiai mintája elemzésének, így kromoszómaelemzésnek, illetve a dezoxiribonukleinsav (DNS) vagy a ribonukleinsav (RNS) vizsgálatának, vagy az ezekből kinyerhető információkkal egyenértékű információk kinyerését lehetővé tevő bármilyen más elem vizsgálatának az eredménye. A genetikai információk összetettségére és érzékenységére figyelemmel jelentős a kockázata annak, hogy az adatkezelő visszaél az ilyen információkkal és különböző célokra újra felhasználja azokat. A genetikai jellemzők alapján történő bármilyen megkülönböztetés tilos. |
| --- | --- |

(23)

A genetikai adatot olyan, a természetes személy örökölt vagy szerzett genetikai jellemzőivel összefüggő személyes adatként célszerű meghatározni, amely az adott természetes személy fiziológiájára vagy egészségi állapotára vonatkozóan egyedi információt hordoz, és amely az adott természetes személy biológiai mintája elemzésének, így kromoszómaelemzésnek, illetve a dezoxiribonukleinsav (DNS) vagy a ribonukleinsav (RNS) vizsgálatának, vagy az ezekből kinyerhető információkkal egyenértékű információk kinyerését lehetővé tevő bármilyen más elem vizsgálatának az eredménye. A genetikai információk összetettségére és érzékenységére figyelemmel jelentős a kockázata annak, hogy az adatkezelő visszaél az ilyen információkkal és különböző célokra újra felhasználja azokat. A genetikai jellemzők alapján történő bármilyen megkülönböztetés tilos.

| (24) | Az egészségügyi személyes adatok közé tartoznak, az érintett egészségi állapotára vonatkozó olyan adatok, amelyek információt hordoznak az érintett múltbeli, jelenlegi vagy jövőbeli testi vagy pszichikai egészségi állapotára. Ide értendőek a természetes személyre vonatkozó olyan személyes adatok, amelyeket a 2011/24/EU európai parlamenti és tanácsi irányelvben (7) említett egészségügyi szolgáltatások céljából történő nyilvántartásba vétel és ezen szolgáltatások nyújtása során gyűjtöttek; a természetes személy kizárólag egészségügyi célokból történő azonosítása érdekében a hozzá rendelt szám, jel vagy adat; a valamely testrész vagy a testet alkotó anyag – beleértve a genetikai adatokat és a biológiai mintákat is – teszteléséből vagy vizsgálatából származó információk; és bármilyen, például az érintett betegségével, fogyatékosságával, betegségkockázatával, kórtörténetével, kórházi kezelésével vagy fiziológiai vagy orvosbiológiai állapotával kapcsolatos információ, függetlenül annak forrásától, amely lehet például orvos vagy egyéb egészségügyi dolgozó, kórház, orvostechnikai eszköz vagy in vitro diagnosztikai teszt. |
| --- | --- |

(24)

Az egészségügyi személyes adatok közé tartoznak, az érintett egészségi állapotára vonatkozó olyan adatok, amelyek információt hordoznak az érintett múltbeli, jelenlegi vagy jövőbeli testi vagy pszichikai egészségi állapotára. Ide értendőek a természetes személyre vonatkozó olyan személyes adatok, amelyeket a 2011/24/EU európai parlamenti és tanácsi irányelvben (7) említett egészségügyi szolgáltatások céljából történő nyilvántartásba vétel és ezen szolgáltatások nyújtása során gyűjtöttek; a természetes személy kizárólag egészségügyi célokból történő azonosítása érdekében a hozzá rendelt szám, jel vagy adat; a valamely testrész vagy a testet alkotó anyag – beleértve a genetikai adatokat és a biológiai mintákat is – teszteléséből vagy vizsgálatából származó információk; és bármilyen, például az érintett betegségével, fogyatékosságával, betegségkockázatával, kórtörténetével, kórházi kezelésével vagy fiziológiai vagy orvosbiológiai állapotával kapcsolatos információ, függetlenül annak forrásától, amely lehet például orvos vagy egyéb egészségügyi dolgozó, kórház, orvostechnikai eszköz vagy in vitro diagnosztikai teszt.

| (25) | Valamennyi tagállam tagsággal rendelkezik a Nemzetközi Bűnügyi Rendőrség Szervezetben (Interpol). Az Interpol feladatának teljesítése céljából személyes adatokat kap, tárol és továbbít az illetékes hatóságoknak, hogy támogassa őket a nemzetközi bűnözés megelőzésében és az ellene folytatott küzdelemben. Indokolt ezért megerősíteni az Unió és az Interpol közötti együttműködést a személyes adatok hatékony cseréjének előmozdításával, biztosítva ugyanakkor a személyes adatok automatikus kezelésével kapcsolatban az alapvető jogok és szabadságok tiszteletben tartását. Ezt az irányelvet – különös tekintettel ennek az irányelvnek a nemzetközi adattovábbításra vonatkozó rendelkezéseit – kell alkalmazni akkor, ha az Unióból személyes adatokat továbbítanak az Interpolnak vagy az Interpolban megbízott tagokkal rendelkező országoknak. Ez az irányelv nem sértheti a 2005/69/IB tanácsi közös álláspontban (8), valamint a 2007/533/IB tanácsi határozatban (9) meghatározott egyedi szabályokat. |
| --- | --- |

(25)

Valamennyi tagállam tagsággal rendelkezik a Nemzetközi Bűnügyi Rendőrség Szervezetben (Interpol). Az Interpol feladatának teljesítése céljából személyes adatokat kap, tárol és továbbít az illetékes hatóságoknak, hogy támogassa őket a nemzetközi bűnözés megelőzésében és az ellene folytatott küzdelemben. Indokolt ezért megerősíteni az Unió és az Interpol közötti együttműködést a személyes adatok hatékony cseréjének előmozdításával, biztosítva ugyanakkor a személyes adatok automatikus kezelésével kapcsolatban az alapvető jogok és szabadságok tiszteletben tartását. Ezt az irányelvet – különös tekintettel ennek az irányelvnek a nemzetközi adattovábbításra vonatkozó rendelkezéseit – kell alkalmazni akkor, ha az Unióból személyes adatokat továbbítanak az Interpolnak vagy az Interpolban megbízott tagokkal rendelkező országoknak. Ez az irányelv nem sértheti a 2005/69/IB tanácsi közös álláspontban (8), valamint a 2007/533/IB tanácsi határozatban (9) meghatározott egyedi szabályokat.

| (26) | A személyes adatok kezelésének minden esetben jogszerűnek, tisztességesnek és átláthatónak kell lennie az említett természetes személyek vonatkozásában, és arra csak jogszabályban meghatározott konkrét célokból kerülhet sor. Ez önmagában nem akadályozza meg a bűnüldöző szerveket az olyan tevékenységek végzésében, mint például a fedett nyomozás vagy a videokamerás megfigyelés. Ilyen tevékenységek a bűncselekmények megelőzése, nyomozása, felderítése, üldözése vagy büntetőjogi szankciók végrehajtása, többek között a közbiztonságot fenyegető veszélyekkel szembeni védelem és e veszélyek megelőzése céljából végezhetők, amennyiben jogszabályon alapulnak és – kellő tekintettel az említett természetes személyek jogos érdekeire – egy demokratikus társadalomban szükséges és arányos intézkedésnek minősülnek. A tisztességes adatkezelés elve – mint adatvédelmi alapelv – a tisztességes eljáráshoz való jognak a Charta 47. cikkében és az emberi jogok és alapvető szabadságok védelméről szóló európai egyezmény (EJEE) 6. cikkében meghatározott fogalmától elkülönülő fogalom. A természetes személyt tájékoztatni kell a személyes adatai kezelésével járó kockázatokról, szabályokról, garanciákról és jogokról, valamint arról, hogy hogyan élhet az adatkezeléssel kapcsolatban őt megillető jogokkal. A személyes adatok kezelése konkrét céljainak már a személyes adatok gyűjtésének időpontjában kifejezettnek és jogszerűnek, továbbá meghatározottnak kell lenniük. A személyes adatoknak a kezelésük céljára alkalmasnak és relevánsnak kell lenniük. Biztosítani kell különösen azt, hogy a gyűjtött személyes adatok mennyisége ne legyen túlzott mértékű, és az adatokat csak az adatkezelés célja szempontjából szükséges ideig tárolják. Személyes adatokat abban az esetben lehet csak kezelni, ha az adatkezelés célját egyéb eszközzel nem lehetséges észszerű módon elérni. Annak biztosítása érdekében, hogy a személyes adatok tárolása a szükséges időtartamra korlátozódjon, az adatkezelőnek törlési vagy rendszeres felülvizsgálati határidőket kell megállapítania. A tagállamok megfelelő garanciákat kell, hogy megállapítanak arra az esetre, ha a személyes adatokat közérdekű archiválás céljából, tudományos, statisztikai vagy történelmi felhasználás céljából tovább tárolják. |
| --- | --- |

(26)

A személyes adatok kezelésének minden esetben jogszerűnek, tisztességesnek és átláthatónak kell lennie az említett természetes személyek vonatkozásában, és arra csak jogszabályban meghatározott konkrét célokból kerülhet sor. Ez önmagában nem akadályozza meg a bűnüldöző szerveket az olyan tevékenységek végzésében, mint például a fedett nyomozás vagy a videokamerás megfigyelés. Ilyen tevékenységek a bűncselekmények megelőzése, nyomozása, felderítése, üldözése vagy büntetőjogi szankciók végrehajtása, többek között a közbiztonságot fenyegető veszélyekkel szembeni védelem és e veszélyek megelőzése céljából végezhetők, amennyiben jogszabályon alapulnak és – kellő tekintettel az említett természetes személyek jogos érdekeire – egy demokratikus társadalomban szükséges és arányos intézkedésnek minősülnek. A tisztességes adatkezelés elve – mint adatvédelmi alapelv – a tisztességes eljáráshoz való jognak a Charta 47. cikkében és az emberi jogok és alapvető szabadságok védelméről szóló európai egyezmény (EJEE) 6. cikkében meghatározott fogalmától elkülönülő fogalom. A természetes személyt tájékoztatni kell a személyes adatai kezelésével járó kockázatokról, szabályokról, garanciákról és jogokról, valamint arról, hogy hogyan élhet az adatkezeléssel kapcsolatban őt megillető jogokkal. A személyes adatok kezelése konkrét céljainak már a személyes adatok gyűjtésének időpontjában kifejezettnek és jogszerűnek, továbbá meghatározottnak kell lenniük. A személyes adatoknak a kezelésük céljára alkalmasnak és relevánsnak kell lenniük. Biztosítani kell különösen azt, hogy a gyűjtött személyes adatok mennyisége ne legyen túlzott mértékű, és az adatokat csak az adatkezelés célja szempontjából szükséges ideig tárolják. Személyes adatokat abban az esetben lehet csak kezelni, ha az adatkezelés célját egyéb eszközzel nem lehetséges észszerű módon elérni. Annak biztosítása érdekében, hogy a személyes adatok tárolása a szükséges időtartamra korlátozódjon, az adatkezelőnek törlési vagy rendszeres felülvizsgálati határidőket kell megállapítania. A tagállamok megfelelő garanciákat kell, hogy megállapítanak arra az esetre, ha a személyes adatokat közérdekű archiválás céljából, tudományos, statisztikai vagy történelmi felhasználás céljából tovább tárolják.

| (27) | A bűncselekmények megelőzése, nyomozása és üldözése érdekében szükséges, hogy az illetékes hatóságok azokat a személyes adatokat, amelyeket konkrét bűncselekmények megelőzésével, nyomozásával, felderítésével vagy üldözésével összefüggésben gyűjtöttek, ennél szélesebb összefüggésben is kezeljék annak érdekében, hogy megértsék a bűnözői tevékenységeket és a különböző felderített bűncselekmények közötti összefüggéseket feltárják. |
| --- | --- |

(27)

A bűncselekmények megelőzése, nyomozása és üldözése érdekében szükséges, hogy az illetékes hatóságok azokat a személyes adatokat, amelyeket konkrét bűncselekmények megelőzésével, nyomozásával, felderítésével vagy üldözésével összefüggésben gyűjtöttek, ennél szélesebb összefüggésben is kezeljék annak érdekében, hogy megértsék a bűnözői tevékenységeket és a különböző felderített bűncselekmények közötti összefüggéseket feltárják.

| (28) | Az adatkezelés biztonságának fenntartása kapcsán és az ezen irányelv rendelkezéseit sértő adatkezelés megelőzése érdekében a személyes adatokat oly módon kell kezelni, hogy biztosított legyen a megfelelő szintű biztonság és bizalmas kezelés – többek között megakadályozva a személyes adatokhoz és a kezelésükhöz használt eszközökhöz való jogosulatlan hozzáférést, valamint az említett adatok és eszközök jogosulatlan felhasználását –, amely figyelembe veszi a tudomány és technológia állását, azt, hogy a megvalósítási költségek hogyan viszonyulnak a kockázatokhoz, valamint a védelmet igénylő személyes adatok jellegét. |
| --- | --- |

(28)

Az adatkezelés biztonságának fenntartása kapcsán és az ezen irányelv rendelkezéseit sértő adatkezelés megelőzése érdekében a személyes adatokat oly módon kell kezelni, hogy biztosított legyen a megfelelő szintű biztonság és bizalmas kezelés – többek között megakadályozva a személyes adatokhoz és a kezelésükhöz használt eszközökhöz való jogosulatlan hozzáférést, valamint az említett adatok és eszközök jogosulatlan felhasználását –, amely figyelembe veszi a tudomány és technológia állását, azt, hogy a megvalósítási költségek hogyan viszonyulnak a kockázatokhoz, valamint a védelmet igénylő személyes adatok jellegét.

| (29) | A személyes adatokat az ezen irányelv hatálya alá tartozó, meghatározott, egyértelmű és jogszerű célokból lehet gyűjteni, és azokat a bűncselekmények megelőzése, nyomozása, felderítése, üldözése vagy büntetőjogi szankciók végrehajtása – többek között a közbiztonságot fenyegető veszélyekkel szembeni védelem és e veszélyek megelőzése – céljával össze nem egyeztethető módon kezelni nem lehet. Amennyiben a személyes adatok kezelését azonos vagy más adatkezelő az ezen irányelv hatálya alá tartozó olyan célból végzi, amely eltér attól a céltól, amelyre az adatgyűjtés eredetileg irányult, az ilyen adatkezelést azzal a feltétellel lehetővé kell tenni, hogy az ilyen adatkezelésre a vonatkozó jogi rendelkezések megfelelő felhatalmazást adnak, továbbá az adatkezelés az említett eltérő cél szempontjából szükséges és arányos. |
| --- | --- |

(29)

A személyes adatokat az ezen irányelv hatálya alá tartozó, meghatározott, egyértelmű és jogszerű célokból lehet gyűjteni, és azokat a bűncselekmények megelőzése, nyomozása, felderítése, üldözése vagy büntetőjogi szankciók végrehajtása – többek között a közbiztonságot fenyegető veszélyekkel szembeni védelem és e veszélyek megelőzése – céljával össze nem egyeztethető módon kezelni nem lehet. Amennyiben a személyes adatok kezelését azonos vagy más adatkezelő az ezen irányelv hatálya alá tartozó olyan célból végzi, amely eltér attól a céltól, amelyre az adatgyűjtés eredetileg irányult, az ilyen adatkezelést azzal a feltétellel lehetővé kell tenni, hogy az ilyen adatkezelésre a vonatkozó jogi rendelkezések megfelelő felhatalmazást adnak, továbbá az adatkezelés az említett eltérő cél szempontjából szükséges és arányos.

| (30) | Az adott adatkezelés jellegére és céljára tekintettel kell az adatok pontosságának elvét alkalmazni. Különösen a bírósági eljárásokban a személyes adatokat tartalmazó nyilatkozatok a természetes személy szubjektív megítélésén alapulnak, amelyek nem mindig visszaellenőrizhetők. A pontosság követelménye következésképpen nem a nyilatkozat pontosságára, hanem pusztán arra a tényre vonatkozik, hogy egy adott nyilatkozat megtételére sor került. |
| --- | --- |

(30)

Az adott adatkezelés jellegére és céljára tekintettel kell az adatok pontosságának elvét alkalmazni. Különösen a bírósági eljárásokban a személyes adatokat tartalmazó nyilatkozatok a természetes személy szubjektív megítélésén alapulnak, amelyek nem mindig visszaellenőrizhetők. A pontosság követelménye következésképpen nem a nyilatkozat pontosságára, hanem pusztán arra a tényre vonatkozik, hogy egy adott nyilatkozat megtételére sor került.

| (31) | A személyes adatoknak a büntetőügyekben folytatott rendőrségi és igazságügyi együttműködés területén történő kezelésével együtt jár, hogy az érintettek különböző kategóriáira vonatkozó személyes adatok kezelésére kerül sor. Ezért – amennyire lehetséges és kivitelezhető – egyértelműen különbséget kell tenni az érintettek különböző kategóriáihoz tartozó személyes adatok között, így a bűncselekmények elkövetésével gyanúsított vagy amiatt elítélt természetes személyekre, az áldozatokra, illetve más részt vevő személyekre, például tanúkra, fontos információk birtokosaira vagy a gyanúsítottak és az elítélt bűnelkövetők kapcsolataira és bűntársaira vonatkozó személyes adatok között. Ez nem akadályozhatja az ártatlanság vélelméhez való jognak a Chartában és az EEJE-ben garantált módon történő alkalmazását, a Bíróság ítélkezési gyakorlata, illetve az Emberi Jogok Európai Bírósága szerinti értelmezéssel összhangban. |
| --- | --- |

(31)

A személyes adatoknak a büntetőügyekben folytatott rendőrségi és igazságügyi együttműködés területén történő kezelésével együtt jár, hogy az érintettek különböző kategóriáira vonatkozó személyes adatok kezelésére kerül sor. Ezért – amennyire lehetséges és kivitelezhető – egyértelműen különbséget kell tenni az érintettek különböző kategóriáihoz tartozó személyes adatok között, így a bűncselekmények elkövetésével gyanúsított vagy amiatt elítélt természetes személyekre, az áldozatokra, illetve más részt vevő személyekre, például tanúkra, fontos információk birtokosaira vagy a gyanúsítottak és az elítélt bűnelkövetők kapcsolataira és bűntársaira vonatkozó személyes adatok között. Ez nem akadályozhatja az ártatlanság vélelméhez való jognak a Chartában és az EEJE-ben garantált módon történő alkalmazását, a Bíróság ítélkezési gyakorlata, illetve az Emberi Jogok Európai Bírósága szerinti értelmezéssel összhangban.

| (32) | Az illetékes hatóságoknak biztosítaniuk kell, hogy pontatlan, hiányos vagy már nem naprakész személyes adatok ne legyenek továbbíthatók vagy hozzáférhetővé tehetők. Annak érdekében, hogy biztosítsák a természetes személyek védelmét, a továbbított vagy hozzáférhetővé tett személyes adatok pontosságát, teljességét, illetve naprakész jellegét és megbízhatóságát, az illetékes hatóságoknak a személyes adatok továbbításakor a szükséges kiegészítő információkat is meg kell küldeniük. |
| --- | --- |

(32)

Az illetékes hatóságoknak biztosítaniuk kell, hogy pontatlan, hiányos vagy már nem naprakész személyes adatok ne legyenek továbbíthatók vagy hozzáférhetővé tehetők. Annak érdekében, hogy biztosítsák a természetes személyek védelmét, a továbbított vagy hozzáférhetővé tett személyes adatok pontosságát, teljességét, illetve naprakész jellegét és megbízhatóságát, az illetékes hatóságoknak a személyes adatok továbbításakor a szükséges kiegészítő információkat is meg kell küldeniük.

| (33) | Amennyiben ez az irányelv nemzeti jogra, jogalapra vagy jogalkotási intézkedésre hivatkozik, ez nem szükségszerűen jelent – az érintett tagállam alkotmányos rendjéből fakadó követelmények sérelme nélkül – valamely parlament által elfogadott jogalkotási eszközt. Mindazonáltal a nemzeti jognak, jogalapnak vagy jogalkotási intézkedésnek világosnak és pontosnak kell lennie, alkalmazása szempontjából pedig kiszámíthatónak kell lennie az érintettek számára, amint azt a Bíróságnak és az Emberi Jogok Európai Bíróságának az ítélkezési gyakorlata megköveteli. A személyes adatok ezen irányelv hatálya alá tartozó kezelését szabályozó nemzeti jogban rendelkezni kell legalább a célkitűzésekről, a kezelendő személyes adatokról, az adatkezelés céljairól, a személyes adatok integritásának és bizalmas jellegének megóvásáról, valamint a személyes adatok megsemmisítésére irányuló eljárásokról, így biztosítva a megfelelő garanciákat az adatokkal való visszaélésnek és az adatok önkényes felhasználásának a kockázata ellen. |
| --- | --- |

(33)

Amennyiben ez az irányelv nemzeti jogra, jogalapra vagy jogalkotási intézkedésre hivatkozik, ez nem szükségszerűen jelent – az érintett tagállam alkotmányos rendjéből fakadó követelmények sérelme nélkül – valamely parlament által elfogadott jogalkotási eszközt. Mindazonáltal a nemzeti jognak, jogalapnak vagy jogalkotási intézkedésnek világosnak és pontosnak kell lennie, alkalmazása szempontjából pedig kiszámíthatónak kell lennie az érintettek számára, amint azt a Bíróságnak és az Emberi Jogok Európai Bíróságának az ítélkezési gyakorlata megköveteli. A személyes adatok ezen irányelv hatálya alá tartozó kezelését szabályozó nemzeti jogban rendelkezni kell legalább a célkitűzésekről, a kezelendő személyes adatokról, az adatkezelés céljairól, a személyes adatok integritásának és bizalmas jellegének megóvásáról, valamint a személyes adatok megsemmisítésére irányuló eljárásokról, így biztosítva a megfelelő garanciákat az adatokkal való visszaélésnek és az adatok önkényes felhasználásának a kockázata ellen.

| (34) | A bűncselekmények megelőzése, nyomozása, felderítése, üldözése vagy büntetőjogi szankciók végrehajtása – többek között a közbiztonságot fenyegető veszélyekkel szembeni védelem és e veszélyek megelőzése – céljából az illetékes hatóságok által végzett személyes adatok kezelésének fogalommeghatározása magában foglalja a személyes adatokon vagy adatállományokon automatizált vagy más módon az említett célokból végzett bármely műveletet vagy műveletek összességét, például a gyűjtést, a rögzítést, a rendszerezést, a tagolást, a tárolást, a módosítást vagy megváltoztatást, a lekérdezést, a betekintést a felhasználást, az összehangolást vagy összekapcsolást, az adatkezelés korlátozását, a törlést, illetve megsemmisítést. Így különösen ezen irányelv szabályai alkalmazandók abban az esetben, ha a személyes adatokat ezen irányelv alkalmazásában olyan címzettnek továbbítják, aki vagy amely nem tartozik ezen irányelv hatálya alá. Az ilyen címzett magában foglalja azt a természetes vagy jogi személyt, közhatalmi szervet, ügynökséget vagy bármely más szervet, akivel vagy amellyel az illetékes hatóság a személyes adatokat jogszerűen közli. Amennyiben a személyes adatokat eredetileg valamely illetékes hatóság gyűjtötte az ezen irányelvben foglalt valamelyik cél érdekében, az (EU) 2016/... rendeletet (**) kell alkalmazni az említett adatoknak az ezen irányelvben foglalt céloktól eltérő célból történő kezelésére, feltéve, hogy az említett adatkezelésre uniós vagy nemzeti jog felhatalmazást ad. Kiváltképpen az (EU) 2016/... rendeletben (**) foglalt szabályok alkalmazandók abban az esetben, ha a személyes adatokat az ezen irányelv hatálya alá nem tartozó célokból továbbítják. A személyes adatok olyan címzett által végzett kezelésére, aki vagy amely nem minősül illetékes hatóságnak, illetve nem az ezen irányelv értelmében vett ilyen hatóságként jár el, és akivel vagy amellyel egy illetékes hatóság jogszerűen személyes adatokat közöl, az (EU) 2016/... rendelet (**) alkalmazandó. Ezenkívül az (EU) 2016/... rendeletben (**) megállapított feltételek mellett a tagállamok ezen irányelv végrehajtásakor tovább pontosíthatják a rendeletben foglalt szabályok alkalmazását. |
| --- | --- |

(34)

A bűncselekmények megelőzése, nyomozása, felderítése, üldözése vagy büntetőjogi szankciók végrehajtása – többek között a közbiztonságot fenyegető veszélyekkel szembeni védelem és e veszélyek megelőzése – céljából az illetékes hatóságok által végzett személyes adatok kezelésének fogalommeghatározása magában foglalja a személyes adatokon vagy adatállományokon automatizált vagy más módon az említett célokból végzett bármely műveletet vagy műveletek összességét, például a gyűjtést, a rögzítést, a rendszerezést, a tagolást, a tárolást, a módosítást vagy megváltoztatást, a lekérdezést, a betekintést a felhasználást, az összehangolást vagy összekapcsolást, az adatkezelés korlátozását, a törlést, illetve megsemmisítést. Így különösen ezen irányelv szabályai alkalmazandók abban az esetben, ha a személyes adatokat ezen irányelv alkalmazásában olyan címzettnek továbbítják, aki vagy amely nem tartozik ezen irányelv hatálya alá. Az ilyen címzett magában foglalja azt a természetes vagy jogi személyt, közhatalmi szervet, ügynökséget vagy bármely más szervet, akivel vagy amellyel az illetékes hatóság a személyes adatokat jogszerűen közli. Amennyiben a személyes adatokat eredetileg valamely illetékes hatóság gyűjtötte az ezen irányelvben foglalt valamelyik cél érdekében, az (EU) 2016/... rendeletet (**) kell alkalmazni az említett adatoknak az ezen irányelvben foglalt céloktól eltérő célból történő kezelésére, feltéve, hogy az említett adatkezelésre uniós vagy nemzeti jog felhatalmazást ad. Kiváltképpen az (EU) 2016/... rendeletben (**) foglalt szabályok alkalmazandók abban az esetben, ha a személyes adatokat az ezen irányelv hatálya alá nem tartozó célokból továbbítják. A személyes adatok olyan címzett által végzett kezelésére, aki vagy amely nem minősül illetékes hatóságnak, illetve nem az ezen irányelv értelmében vett ilyen hatóságként jár el, és akivel vagy amellyel egy illetékes hatóság jogszerűen személyes adatokat közöl, az (EU) 2016/... rendelet (**) alkalmazandó. Ezenkívül az (EU) 2016/... rendeletben (**) megállapított feltételek mellett a tagállamok ezen irányelv végrehajtásakor tovább pontosíthatják a rendeletben foglalt szabályok alkalmazását.

| (35) | Ahhoz, hogy jogszerű legyen, az ezen irányelv szerinti személyesadat-kezelésnek olyan feladat ellátásához kell szükségesnek lennie, amelyet valamely illetékes hatóság közérdekből, uniós vagy nemzeti jog alapján a bűncselekmények megelőzése, nyomozása, felderítése, üldözése vagy büntetőjogi szankciók végrehajtása – többek között a közbiztonságot fenyegető veszélyekkel szembeni védelem és e veszélyek megelőzése – céljából végez, ideértve az érintett vagy más személy létfontosságú érdekeinek védelméhez szükséges adatkezelést is. Mivel a bűncselekmények megelőzése, nyomozása, felderítése és üldözése feladatának ellátását a jog intézményesen ruházza az illetékes hatóságokra, azok felszólíthatják a természetes személyeket kérésük teljesítésére. Ilyen esetben az érintett hozzájárulása (az (EU) 2016/... rendeletben (**) meghatározott fogalom) nem szolgálhat jogalapul a személyes adatok illetékes hatóságok általi kezeléséhez. Amennyiben az érintett jogi kötelezettséget teljesít, nincs valós és szabad választási lehetősége, ezért az érintett reakciója nem tekinthető akarata szabad kinyilvánításának. Ez nem akadályozhatja meg a tagállamokat abban, hogy jogszabályban elő írják azt, hogy az érintett hozzájárulhat a személyes adatainak ezen irányelv alkalmazásában történő kezeléséhez, például bűnügyi nyomozások keretében végzett DNS-vizsgálat lefolytatásához vagy büntetőjogi szankciók végrehajtásakor az érintett feltalálásának elektronikus azonosító igénybevételével történő figyelemmel kíséréséhez. |
| --- | --- |

(35)

Ahhoz, hogy jogszerű legyen, az ezen irányelv szerinti személyesadat-kezelésnek olyan feladat ellátásához kell szükségesnek lennie, amelyet valamely illetékes hatóság közérdekből, uniós vagy nemzeti jog alapján a bűncselekmények megelőzése, nyomozása, felderítése, üldözése vagy büntetőjogi szankciók végrehajtása – többek között a közbiztonságot fenyegető veszélyekkel szembeni védelem és e veszélyek megelőzése – céljából végez, ideértve az érintett vagy más személy létfontosságú érdekeinek védelméhez szükséges adatkezelést is. Mivel a bűncselekmények megelőzése, nyomozása, felderítése és üldözése feladatának ellátását a jog intézményesen ruházza az illetékes hatóságokra, azok felszólíthatják a természetes személyeket kérésük teljesítésére. Ilyen esetben az érintett hozzájárulása (az (EU) 2016/... rendeletben (**) meghatározott fogalom) nem szolgálhat jogalapul a személyes adatok illetékes hatóságok általi kezeléséhez. Amennyiben az érintett jogi kötelezettséget teljesít, nincs valós és szabad választási lehetősége, ezért az érintett reakciója nem tekinthető akarata szabad kinyilvánításának. Ez nem akadályozhatja meg a tagállamokat abban, hogy jogszabályban elő írják azt, hogy az érintett hozzájárulhat a személyes adatainak ezen irányelv alkalmazásában történő kezeléséhez, például bűnügyi nyomozások keretében végzett DNS-vizsgálat lefolytatásához vagy büntetőjogi szankciók végrehajtásakor az érintett feltalálásának elektronikus azonosító igénybevételével történő figyelemmel kíséréséhez.

| (36) | A tagállamoknak rendelkeznek arról, hogy amennyiben a továbbító illetékes hatóságra alkalmazandó uniós vagy nemzeti jog a személyes adatok kezelésére vonatkozóan meghatározott körülmények között különös feltételeket ír elő, úgymint adatkezelési kódok használatát, akkor a továbbító illetékes hatóság tájékoztatja a címzettet az ilyen személyes adatokról, az említett feltételekről és a betartásukra vonatkozó követelményről. Az ilyen feltételek között szerepelhet például a személyes adatok más részére történő továbbításának a tilalma, vagy annak tilalma, hogy címzettnek továbbított személyes adatot a továbbításkor fennálló céltól eltérő célra használják fel, illetve annak tilalma, hogy az érintettet ne tájékoztassák a tájékoztatáshoz való jog korlátozása esetén, a továbbító illetékes hatóság előzetes jóváhagyása nélkül. E kötelezettségeket a továbbító illetékes hatóság által harmadik országbeli címzettek vagy nemzetközi szervezetek részére történő adattovábbítások esetében is alkalmazni kell. A tagállamok előírják, hogy az átadó hatóság az említett feltételeket a más tagállambeli címzettekre ne alkalmazza, illetve az EUMSZ V. címének 4. és 5. fejezete szerint létrehozott ügynökségekre, hivatalokra és szervekre, kivéve azokat a feltételeket, amelyek a továbbító illetékes hatóság szerinti tagállamban a hasonló adattovábbítások esetében alkalmazni kell. |
| --- | --- |

(36)

A tagállamoknak rendelkeznek arról, hogy amennyiben a továbbító illetékes hatóságra alkalmazandó uniós vagy nemzeti jog a személyes adatok kezelésére vonatkozóan meghatározott körülmények között különös feltételeket ír elő, úgymint adatkezelési kódok használatát, akkor a továbbító illetékes hatóság tájékoztatja a címzettet az ilyen személyes adatokról, az említett feltételekről és a betartásukra vonatkozó követelményről. Az ilyen feltételek között szerepelhet például a személyes adatok más részére történő továbbításának a tilalma, vagy annak tilalma, hogy címzettnek továbbított személyes adatot a továbbításkor fennálló céltól eltérő célra használják fel, illetve annak tilalma, hogy az érintettet ne tájékoztassák a tájékoztatáshoz való jog korlátozása esetén, a továbbító illetékes hatóság előzetes jóváhagyása nélkül. E kötelezettségeket a továbbító illetékes hatóság által harmadik országbeli címzettek vagy nemzetközi szervezetek részére történő adattovábbítások esetében is alkalmazni kell. A tagállamok előírják, hogy az átadó hatóság az említett feltételeket a más tagállambeli címzettekre ne alkalmazza, illetve az EUMSZ V. címének 4. és 5. fejezete szerint létrehozott ügynökségekre, hivatalokra és szervekre, kivéve azokat a feltételeket, amelyek a továbbító illetékes hatóság szerinti tagállamban a hasonló adattovábbítások esetében alkalmazni kell.

| (37) | Azok a személyes adatok természetüknél fogva különösen érzékenyek az alapvető jogok és szabadságok szempontjából, különös védelmet érdemelnek, mivel az alapvető jogokra és szabadságokra nézve a kezelésük körülményei jelentős kockázatot hordozhatnak. Ilyen személyes adatnak minősül a faji vagy etnikai származásra utaló személyes adat; e tekintetben megjegyzendő, hogy a „faji származás” kifejezés ezen irányelv keretében történő alkalmazása nem értelmezhető úgy, hogy az Unió elfogadja a különböző emberi fajok létezésének megállapítására törekvő elméleteket. Az ilyen személyes adatok nem kezelhetők, kivéve, ha az adatkezelésre az érintettek jogaira és szabadságaira vonatkozó, jogszabályban előírt megfelelő garanciák alkalmazandók és az adatkezelés jogszabályban meghatározott esetekben megengedett; vagy ha ezt jogszabály még nem teszi lehetővé, akkor az adatkezelés az érintett vagy más személy létfontosságú érdekeinek védelméhez szükséges; vagy ha az adatkezelés olyan adatra vonatkozik, amelyet az érintett kifejezetten nyilvánosságra hozott. Az érintettek jogaira és szabadságaira vonatkozó megfelelő garanciák magukban foglalhatják azt, hogy a kérdéses adatokat kizárólag az említett természetes személyre vonatkozó egyéb adatokhoz kapcsolódóan gyűjthessék, hogy a gyűjtött adatok megfelelő biztosításának lehetősége,hogy az adatokhoz való, az illetékes hatóság személyzete általi hozzáférésre vonatkozóan szigorúbb szabályokat állapítsanak meg, illetve hogy megtiltsák az ilyen adatok továbbítását. Ezeknek az adatoknak a kezelését jogszabály lehetővé teheti abban az esetben is, ha az érintett egyértelműen beleegyezett az olyan adatkezelésbe, amely az számára különösen tolakodó jellegű. Az érintett beleegyezése azonban önmagában nem szolgálhat jogalapul az ilyen érzékeny személyes adatok illetékes hatóságok általi kezeléséhez. |
| --- | --- |

(37)

Azok a személyes adatok természetüknél fogva különösen érzékenyek az alapvető jogok és szabadságok szempontjából, különös védelmet érdemelnek, mivel az alapvető jogokra és szabadságokra nézve a kezelésük körülményei jelentős kockázatot hordozhatnak. Ilyen személyes adatnak minősül a faji vagy etnikai származásra utaló személyes adat; e tekintetben megjegyzendő, hogy a „faji származás” kifejezés ezen irányelv keretében történő alkalmazása nem értelmezhető úgy, hogy az Unió elfogadja a különböző emberi fajok létezésének megállapítására törekvő elméleteket. Az ilyen személyes adatok nem kezelhetők, kivéve, ha az adatkezelésre az érintettek jogaira és szabadságaira vonatkozó, jogszabályban előírt megfelelő garanciák alkalmazandók és az adatkezelés jogszabályban meghatározott esetekben megengedett; vagy ha ezt jogszabály még nem teszi lehetővé, akkor az adatkezelés az érintett vagy más személy létfontosságú érdekeinek védelméhez szükséges; vagy ha az adatkezelés olyan adatra vonatkozik, amelyet az érintett kifejezetten nyilvánosságra hozott. Az érintettek jogaira és szabadságaira vonatkozó megfelelő garanciák magukban foglalhatják azt, hogy a kérdéses adatokat kizárólag az említett természetes személyre vonatkozó egyéb adatokhoz kapcsolódóan gyűjthessék, hogy a gyűjtött adatok megfelelő biztosításának lehetősége,hogy az adatokhoz való, az illetékes hatóság személyzete általi hozzáférésre vonatkozóan szigorúbb szabályokat állapítsanak meg, illetve hogy megtiltsák az ilyen adatok továbbítását. Ezeknek az adatoknak a kezelését jogszabály lehetővé teheti abban az esetben is, ha az érintett egyértelműen beleegyezett az olyan adatkezelésbe, amely az számára különösen tolakodó jellegű. Az érintett beleegyezése azonban önmagában nem szolgálhat jogalapul az ilyen érzékeny személyes adatok illetékes hatóságok általi kezeléséhez.

| (38) | Az érintett számára biztosítani kell a jogot arra, hogy ne terjedhessen ki rá olyan, kizárólag automatizált adatkezelésen alapuló döntés hatálya, és amelynek célja a rá vonatkozó egyes személyes jellemzők értékelése, és amely rá nézve hátrányos joghatással járna vagy őt jelentős mértékben érintené. Ilyen adatkezelésre minden esetben csakis megfelelő garanciák mellett kerülhet sor, ideértve az érintett külön tájékoztatás biztosítását és az ahhoz való jogát, hogy emberi beavatkozást kérjen és kapjon, különösen hogy kifejtse álláspontját, ahhoz való jogát, hogy magyarázatot kapjon az effajta értékelés alapján hozott döntésről és hogy tiltakozzon a döntés ellen. A természetes személyekre vonatkozó olyan profilalkotás, amely az alapvető jogok és szabadságok szempontjából a természetüknél fogva különösen érzékeny személyes adatok alapján történő megkülönböztetést eredményeznek, a Charta 21. és 52. cikkében meghatározott feltételek szerint tilos. |
| --- | --- |

(38)

Az érintett számára biztosítani kell a jogot arra, hogy ne terjedhessen ki rá olyan, kizárólag automatizált adatkezelésen alapuló döntés hatálya, és amelynek célja a rá vonatkozó egyes személyes jellemzők értékelése, és amely rá nézve hátrányos joghatással járna vagy őt jelentős mértékben érintené. Ilyen adatkezelésre minden esetben csakis megfelelő garanciák mellett kerülhet sor, ideértve az érintett külön tájékoztatás biztosítását és az ahhoz való jogát, hogy emberi beavatkozást kérjen és kapjon, különösen hogy kifejtse álláspontját, ahhoz való jogát, hogy magyarázatot kapjon az effajta értékelés alapján hozott döntésről és hogy tiltakozzon a döntés ellen. A természetes személyekre vonatkozó olyan profilalkotás, amely az alapvető jogok és szabadságok szempontjából a természetüknél fogva különösen érzékeny személyes adatok alapján történő megkülönböztetést eredményeznek, a Charta 21. és 52. cikkében meghatározott feltételek szerint tilos.

| (39) | Annak érdekében, hogy az érintett gyakorolhassa jogait, az érintettnek nyújtott tájékoztatásnak – az adatkezelő honlapján is – könnyen hozzáférhetőnek és könnyen érthetőnek kell lennie, ideértve azt is, hogy azt világos és közérthető nyelven fogalmazzák meg. Az ilyen tájékoztatást hozzá kell igazítani a kiszolgáltatott helyzetben lévő természetes személyek, így például a gyermekek szükségleteihez. |
| --- | --- |

(39)

Annak érdekében, hogy az érintett gyakorolhassa jogait, az érintettnek nyújtott tájékoztatásnak – az adatkezelő honlapján is – könnyen hozzáférhetőnek és könnyen érthetőnek kell lennie, ideértve azt is, hogy azt világos és közérthető nyelven fogalmazzák meg. Az ilyen tájékoztatást hozzá kell igazítani a kiszolgáltatott helyzetben lévő természetes személyek, így például a gyermekek szükségleteihez.

| (40) | Az érintettek jogainak gyakorlását elősegítő módokat kell biztosítani az ezen irányelv alapján elfogadott rendelkezések szerint, beleértve különösen a személyes adatokhoz való hozzáférés valamint azok helyesbítésének, törlésének és az adatkezelés korlátozásának térítésmentes kérelmezésére és adott esetben megszerzésére szolgáló mechanizmusokat. Az adatkezelőt kötelezni kell arra, hogy az érintett kérelmére indokolatlan késedelem nélkül adjon választ, kivéve ha az adatkezelő ezen irányelvvel összhangban az érintett jogainak korlátozását alkalmazza. Továbbá, amennyiben a kérelmek egyértelműen megalapozatlanok vagy túlzottak, azaz ha például az érintett indokolatlanul és ismétlődően fordul tájékoztatásért, vagy ha az érintett visszaél a tájékoztatáshoz való jogával és például hamis vagy félrevezető információkat terjeszt elő a kérelmében, az adatkezelő méltányos díjat számíthat fel vagy megtagadhatja a kérelem alapján történő intézkedést. |
| --- | --- |

(40)

Az érintettek jogainak gyakorlását elősegítő módokat kell biztosítani az ezen irányelv alapján elfogadott rendelkezések szerint, beleértve különösen a személyes adatokhoz való hozzáférés valamint azok helyesbítésének, törlésének és az adatkezelés korlátozásának térítésmentes kérelmezésére és adott esetben megszerzésére szolgáló mechanizmusokat. Az adatkezelőt kötelezni kell arra, hogy az érintett kérelmére indokolatlan késedelem nélkül adjon választ, kivéve ha az adatkezelő ezen irányelvvel összhangban az érintett jogainak korlátozását alkalmazza. Továbbá, amennyiben a kérelmek egyértelműen megalapozatlanok vagy túlzottak, azaz ha például az érintett indokolatlanul és ismétlődően fordul tájékoztatásért, vagy ha az érintett visszaél a tájékoztatáshoz való jogával és például hamis vagy félrevezető információkat terjeszt elő a kérelmében, az adatkezelő méltányos díjat számíthat fel vagy megtagadhatja a kérelem alapján történő intézkedést.

| (41) | Amennyiben az adatkezelő az érintett személyazonosságának megerősítéséhez szükséges kiegészítő információk közlését kéri, a megadott információk kizárólag ebből konkrét célból kezelhetők, és az e célhoz szükségesnél hosszabb ideig nem tárolhatók. |
| --- | --- |

(41)

Amennyiben az adatkezelő az érintett személyazonosságának megerősítéséhez szükséges kiegészítő információk közlését kéri, a megadott információk kizárólag ebből konkrét célból kezelhetők, és az e célhoz szükségesnél hosszabb ideig nem tárolhatók.

| (42) | Az érintett rendelkezésére kell bocsátani legalább a következő információkat: az adatkezelő személyét, az adatkezelési művelet ténye, az adatkezelés céljai, tájékoztatás a panasz benyújtásának jogáról, valamint az ahhoz való jogról, hogy az érintett az adatokhoz való hozzáférést, az adatok helyesbítését, törlését, illetve az adatkezelés korlátozását kérje az adatkezelőtől. Ezen információk az illetékes hatóság honlapján is közzétehetők. Továbbá, egyedi esetekben és annak érdekében, hogy az érintett gyakorolni tudja a jogait, az érintettet tájékoztatni kell az adatkezelés jogalapjáról és arról, hogy mennyi ideig fogják az adatokat tárolni, amennyiben az adatkezelés konkrét körülményeit figyelembe véve ezekre a kiegészítő információkra szükség van az érintett vonatkozásában a tisztességes adatkezelés garantálásához. |
| --- | --- |

(42)

Az érintett rendelkezésére kell bocsátani legalább a következő információkat: az adatkezelő személyét, az adatkezelési művelet ténye, az adatkezelés céljai, tájékoztatás a panasz benyújtásának jogáról, valamint az ahhoz való jogról, hogy az érintett az adatokhoz való hozzáférést, az adatok helyesbítését, törlését, illetve az adatkezelés korlátozását kérje az adatkezelőtől. Ezen információk az illetékes hatóság honlapján is közzétehetők. Továbbá, egyedi esetekben és annak érdekében, hogy az érintett gyakorolni tudja a jogait, az érintettet tájékoztatni kell az adatkezelés jogalapjáról és arról, hogy mennyi ideig fogják az adatokat tárolni, amennyiben az adatkezelés konkrét körülményeit figyelembe véve ezekre a kiegészítő információkra szükség van az érintett vonatkozásában a tisztességes adatkezelés garantálásához.

| (43) | Minden természetes személy jogosult arra, hogy hozzáférjen a rá vonatkozóan gyűjtött adatokhoz, valamint ahhoz, hogy e joggal egyszerűen és észszerű időközönként élhessen az adatkezelés jogszerűségének megállapítása és ellenőrzése céljából. Ezért minden érintett jogosult arra, hogy megismerje és tájékoztatást kapjon különösen, hogy az adatokat milyen célokból kezelték, az időtartamot, ameddig az adatokat kezelté és milyen címzettek – ide értve a harmadik országokat is – kaptak adatot. tekintetében is. Amennyiben az ilyen tájékoztatások a személyes adatok eredetére vonatkozó információkat tartalmaznak, az említett információk nem fedhetik fel természetes személyek személyazonosságát, különösen abban az esetben, ha bizalmas forrásokról van szó. Az említett jog érvényesüléséhez elegendő, ha a kezelt adatok teljes körű összefoglalását érthető módon az érintett rendelkezésére bocsátják, azaz oly módon, amely lehetővé teszi az érintett számára az adatok megismerését és pontosságuk ellenőrzését, valamint meggyőződhet, hogy az adat kezelés az ezen irányelvnek megfelelően történik, így az érintett számára lehetséges, hogy ezen irányelv szerinti jogait gyakorolja. Az összefoglalás a adatkezelés alatt álló személyes adatok másolataként is rendelkezésre bocsátható. |
| --- | --- |

(43)

Minden természetes személy jogosult arra, hogy hozzáférjen a rá vonatkozóan gyűjtött adatokhoz, valamint ahhoz, hogy e joggal egyszerűen és észszerű időközönként élhessen az adatkezelés jogszerűségének megállapítása és ellenőrzése céljából. Ezért minden érintett jogosult arra, hogy megismerje és tájékoztatást kapjon különösen, hogy az adatokat milyen célokból kezelték, az időtartamot, ameddig az adatokat kezelté és milyen címzettek – ide értve a harmadik országokat is – kaptak adatot. tekintetében is. Amennyiben az ilyen tájékoztatások a személyes adatok eredetére vonatkozó információkat tartalmaznak, az említett információk nem fedhetik fel természetes személyek személyazonosságát, különösen abban az esetben, ha bizalmas forrásokról van szó. Az említett jog érvényesüléséhez elegendő, ha a kezelt adatok teljes körű összefoglalását érthető módon az érintett rendelkezésére bocsátják, azaz oly módon, amely lehetővé teszi az érintett számára az adatok megismerését és pontosságuk ellenőrzését, valamint meggyőződhet, hogy az adat kezelés az ezen irányelvnek megfelelően történik, így az érintett számára lehetséges, hogy ezen irányelv szerinti jogait gyakorolja. Az összefoglalás a adatkezelés alatt álló személyes adatok másolataként is rendelkezésre bocsátható.

| (44) | A tagállamok számára lehetővé kell tenni, hogy jogalkotási intézkedéseket fogadjanak el az érintettek tájékoztatásának késleltetésére, korlátozására vagy mellőzésére, illetve a személyes adataikhoz való hozzáférésük teljes vagy részleges korlátozására vonatkozóan, amennyiben, illetve mindaddig, amíg az említett intézkedés – kellő tekintettel az érintett természetes személy alapvető jogaira és jogos érdekeire – egy demokratikus társadalomban szükségesnek és arányosnak minősül a következők érdekében: ne gördüljenek akadályok a hivatalos vagy jogi vizsgálatok, nyomozások vagy eljárások elé; annak elkerülése, hogy a bűncselekmények megelőzése, felderítése, nyomozása, üldözése vagy a büntetőjogi szankciók végrehajtása veszélybe kerüljön; a közbiztonság vagy nemzetbiztonság védelme; valamint mások jogainak és szabadságainak védelme. Az adatkezelőnek minden egyes eset konkrét és egyedi vizsgálatakor felméri, hogy a hozzáférési jog részleges vagy teljes korlátozására szükséges-e. |
| --- | --- |

(44)

A tagállamok számára lehetővé kell tenni, hogy jogalkotási intézkedéseket fogadjanak el az érintettek tájékoztatásának késleltetésére, korlátozására vagy mellőzésére, illetve a személyes adataikhoz való hozzáférésük teljes vagy részleges korlátozására vonatkozóan, amennyiben, illetve mindaddig, amíg az említett intézkedés – kellő tekintettel az érintett természetes személy alapvető jogaira és jogos érdekeire – egy demokratikus társadalomban szükségesnek és arányosnak minősül a következők érdekében: ne gördüljenek akadályok a hivatalos vagy jogi vizsgálatok, nyomozások vagy eljárások elé; annak elkerülése, hogy a bűncselekmények megelőzése, felderítése, nyomozása, üldözése vagy a büntetőjogi szankciók végrehajtása veszélybe kerüljön; a közbiztonság vagy nemzetbiztonság védelme; valamint mások jogainak és szabadságainak védelme. Az adatkezelőnek minden egyes eset konkrét és egyedi vizsgálatakor felméri, hogy a hozzáférési jog részleges vagy teljes korlátozására szükséges-e.

| (45) | Alapértelmezés szerint a hozzáférés megtagadását vagy korlátozását írásban közölni kell az érintettel a döntés ténybeli és jogi indokaival együtt. |
| --- | --- |

(45)

Alapértelmezés szerint a hozzáférés megtagadását vagy korlátozását írásban közölni kell az érintettel a döntés ténybeli és jogi indokaival együtt.

| (46) | Bármely, az érintett jogaira vonatkozó korlátozásnak meg kell felelnie a Chartának, valamint az EEJE-nek, a Bíróság, illetve az Emberi Jogok Európai Bíróságának ítélkezési gyakorlata szerinti értelmezésnek megfelelően, és mindenekelőtt tiszteletben kell tartania az említett jogok és szabadságok lényeges tartalmát. |
| --- | --- |

(46)

Bármely, az érintett jogaira vonatkozó korlátozásnak meg kell felelnie a Chartának, valamint az EEJE-nek, a Bíróság, illetve az Emberi Jogok Európai Bíróságának ítélkezési gyakorlata szerinti értelmezésnek megfelelően, és mindenekelőtt tiszteletben kell tartania az említett jogok és szabadságok lényeges tartalmát.

| (47) | A természetes személyek számára biztosítani kell a rájuk vonatkozó pontatlan személyes adatok – különösen amikor azok tényekre vonatkoznak – helyesbítéséhez való jogot, illetve amennyiben azok kezelése sérti ezen irányelv rendelkezéseit, az adatok törléséhez való jogot. A helyesbítéshez való jog azonban nem érintheti például a tanúvallomások tartalmát. A természetes személyek számára biztosítani kell továbbá az adatkezelés korlátozásához való jogot, amennyiben az említett természetes személy vitatja a személyes adatok pontosságát, és azok pontossága vagy pontatlansága nem állapítható meg egyértelműen, vagy amennyiben a személyes adatokat bizonyíték céljából kell megőrizni. Különösen, amennyiben az adott esetben alapos okkal feltételezhető, hogy a törlés sértheti az érintett jogos érdekeit, a személyes adatok törlése helyett korlátozni kell az adatkezelést. Ilyen esetben a korlátozott adatokat csak abból a célból lehet kezelni, amely megakadályozta a törlésüket. A személyes adatok kezelésének korlátozására alkalmazott módszerek közé tartozhat többek között az említett adatoknak – például archiválási céllal – egy másik adatkezelő rendszerbe történő migrálása vagy az említett adatok hozzáférhetőségük megszüntetése. Az adatkezelés korlátozását az automatizált nyilvántartási rendszerekben alapvetően technikai eszközökkel kell biztosítani. Azt a tényt, hogy a személyes adatok kezelése korlátozott, olyan módon kell jelezni a rendszerben, amelyből egyértelműen kitűnik, hogy az adatkezelés korlátozott jellegű. Az ilyen helyesbítésről, törlésről vagy az adatkezelés korlátozásáról tájékoztatni kell azokat a címzetteket, akikhez az adatokat továbbították, valamint azokat az illetékes hatóságokat, amelyektől a pontatlan adatok származtak. Az adatkezelőknek továbbá tartózkodniuk kell az ilyen adatok további terjesztésétől. |
| --- | --- |

(47)

A természetes személyek számára biztosítani kell a rájuk vonatkozó pontatlan személyes adatok – különösen amikor azok tényekre vonatkoznak – helyesbítéséhez való jogot, illetve amennyiben azok kezelése sérti ezen irányelv rendelkezéseit, az adatok törléséhez való jogot. A helyesbítéshez való jog azonban nem érintheti például a tanúvallomások tartalmát. A természetes személyek számára biztosítani kell továbbá az adatkezelés korlátozásához való jogot, amennyiben az említett természetes személy vitatja a személyes adatok pontosságát, és azok pontossága vagy pontatlansága nem állapítható meg egyértelműen, vagy amennyiben a személyes adatokat bizonyíték céljából kell megőrizni. Különösen, amennyiben az adott esetben alapos okkal feltételezhető, hogy a törlés sértheti az érintett jogos érdekeit, a személyes adatok törlése helyett korlátozni kell az adatkezelést. Ilyen esetben a korlátozott adatokat csak abból a célból lehet kezelni, amely megakadályozta a törlésüket. A személyes adatok kezelésének korlátozására alkalmazott módszerek közé tartozhat többek között az említett adatoknak – például archiválási céllal – egy másik adatkezelő rendszerbe történő migrálása vagy az említett adatok hozzáférhetőségük megszüntetése. Az adatkezelés korlátozását az automatizált nyilvántartási rendszerekben alapvetően technikai eszközökkel kell biztosítani. Azt a tényt, hogy a személyes adatok kezelése korlátozott, olyan módon kell jelezni a rendszerben, amelyből egyértelműen kitűnik, hogy az adatkezelés korlátozott jellegű. Az ilyen helyesbítésről, törlésről vagy az adatkezelés korlátozásáról tájékoztatni kell azokat a címzetteket, akikhez az adatokat továbbították, valamint azokat az illetékes hatóságokat, amelyektől a pontatlan adatok származtak. Az adatkezelőknek továbbá tartózkodniuk kell az ilyen adatok további terjesztésétől.

| (48) | Amennyiben az adatkezelő megtagadja az érintettől a tájékoztatáshoz, hozzáféréshez, helyesbítéshez, törléshez, illetve az adatkezelés korlátozásához való jog gyakorlását, az érintett jogosult kérni az adatkezelés jogszerűségének vizsgálatát a nemzeti felügyeleti hatóságtól. Az érintettet e jogról tájékoztatni kell. Amennyiben a felügyeleti hatóság az érintett nevében jár el, a felügyeleti hatóság legalább arról tájékoztatja az érintettet, hogy minden szükséges ellenőrzést vagy felülvizsgálatot elvégzett. A felügyeleti hatóság az érintettet tájékoztatja a bírósági jogorvoslathoz való jogáról is. |
| --- | --- |

(48)

Amennyiben az adatkezelő megtagadja az érintettől a tájékoztatáshoz, hozzáféréshez, helyesbítéshez, törléshez, illetve az adatkezelés korlátozásához való jog gyakorlását, az érintett jogosult kérni az adatkezelés jogszerűségének vizsgálatát a nemzeti felügyeleti hatóságtól. Az érintettet e jogról tájékoztatni kell. Amennyiben a felügyeleti hatóság az érintett nevében jár el, a felügyeleti hatóság legalább arról tájékoztatja az érintettet, hogy minden szükséges ellenőrzést vagy felülvizsgálatot elvégzett. A felügyeleti hatóság az érintettet tájékoztatja a bírósági jogorvoslathoz való jogáról is.

| (49) | Amennyiben a személyes adatokat bűnügyi nyomozás és büntetőügyben folytatott bírósági eljárás során kezelik, a tagállamok számára lehetővé kell tenni, hogy a tájékoztatáshoz, a hozzáféréshez, a helyesbítéshez, a törléshez és az adatkezelés korlátozásához való jogot a bírósági eljárásokra vonatkozó nemzeti szabályokkal összhangban gyakorolják. |
| --- | --- |

(49)

Amennyiben a személyes adatokat bűnügyi nyomozás és büntetőügyben folytatott bírósági eljárás során kezelik, a tagállamok számára lehetővé kell tenni, hogy a tájékoztatáshoz, a hozzáféréshez, a helyesbítéshez, a törléshez és az adatkezelés korlátozásához való jogot a bírósági eljárásokra vonatkozó nemzeti szabályokkal összhangban gyakorolják.

| (50) | A személyes adatok az adatkezelő által vagy az adatkezelő nevében végzett bármilyen kezelése vonatkozásában az adatkezelő hatáskörét és felelősségét rögzíteni kell. Az adatkezelőt így különösen kötelezni kell arra, hogy megfelelő és hatékony intézkedéseket hajtson végre, valamint bizonyítani kell tudnia, hogy az adatkezelési tevékenységek megfelelnek ezen irányelvnek. Az ilyen intézkedéseket az adatkezelés jellegének, hatókörének, körülményének és céljainak, valamint a természetes személyek jogait és szabadságait érintő kockázatnak a figyelembevételével kell meghozni. Az adatkezelőnek intézkedéseket kell hoznia többek között a kiszolgáltatott helyzetben lévő természetes személyek, így például a gyermekek személyes adatainak kezelése tekintetében alkalmazandó garanciák kidolgozására és alkalmazására. |
| --- | --- |

(50)

A személyes adatok az adatkezelő által vagy az adatkezelő nevében végzett bármilyen kezelése vonatkozásában az adatkezelő hatáskörét és felelősségét rögzíteni kell. Az adatkezelőt így különösen kötelezni kell arra, hogy megfelelő és hatékony intézkedéseket hajtson végre, valamint bizonyítani kell tudnia, hogy az adatkezelési tevékenységek megfelelnek ezen irányelvnek. Az ilyen intézkedéseket az adatkezelés jellegének, hatókörének, körülményének és céljainak, valamint a természetes személyek jogait és szabadságait érintő kockázatnak a figyelembevételével kell meghozni. Az adatkezelőnek intézkedéseket kell hoznia többek között a kiszolgáltatott helyzetben lévő természetes személyek, így például a gyermekek személyes adatainak kezelése tekintetében alkalmazandó garanciák kidolgozására és alkalmazására.

| (51) | Az érintettek jogait és szabadságait veszélyeztető – változó valószínűségű és súlyosságú – kockázatok olyan adatkezelésből származhatnak, amely fizikai, vagyoni vagy nem vagyoni károkhoz vezethet, különösen amennyiben az adatkezelésből hátrányos megkülönböztetés, személyazonosság-lopás vagy személyazonossággal való visszaélés, pénzügyi veszteség, a jó hírnév sérülése, a szakmai titoktartási kötelezettség által védett adatok bizalmas jellegének sérülése, az álnevesítés engedély nélkül történő feloldása, vagy bármilyen egyéb jelentős gazdasági vagy szociális hátrány fakad; vagy ha az érintettek nem élhetnek jogaikkal és szabadságaikkal, vagy nem rendelkezhetnek saját személyes adataik felett; vagy ha olyan személyes adatok kerülnek kezelésre, amelyek faji- vagy etnikai származásra, politikai véleményre, vallási vagy világnézeti meggyőződésre vagy szakszervezeti tagságra utalnak; valamint a genetikai adatokat vagy biometrikus adatokat a természetes személyek kizárólagos azonosításához kezelnek, illetve az egészségi állapotra vonatkozó adatok vagy a szexuális életre és szexuális irányultságra, büntetőjogi felelősség megállapítására vonatkozó határozatok, illetve bűncselekményekre, vagy ezekhez kapcsolódó biztonsági intézkedésekre vonatkozó adatokat kezelnek; vagy ha személyes jellemzők értékelésére, különösen munkahelyi teljesítménnyel kapcsolatos jellemzők, anyagi helyzet, egészségi állapot, személyes preferenciák vagy érdeklődési körök, megbízhatóság vagy viselkedés, tartózkodási hely vagy helyváltoztatások elemzésére és előrejelzésére kerül sor személyes profil létrehozása vagy felhasználása céljából; ha kiszolgáltatott helyzetben lévő természetes személyek – különösen, ha gyermekek – személyes adatainak a kezelésére kerül sor; vagy ha az adatkezelés nagy mennyiségű személyes adat alapján zajlik, és nagyszámú érintettre terjed ki. |
| --- | --- |

(51)

Az érintettek jogait és szabadságait veszélyeztető – változó valószínűségű és súlyosságú – kockázatok olyan adatkezelésből származhatnak, amely fizikai, vagyoni vagy nem vagyoni károkhoz vezethet, különösen amennyiben az adatkezelésből hátrányos megkülönböztetés, személyazonosság-lopás vagy személyazonossággal való visszaélés, pénzügyi veszteség, a jó hírnév sérülése, a szakmai titoktartási kötelezettség által védett adatok bizalmas jellegének sérülése, az álnevesítés engedély nélkül történő feloldása, vagy bármilyen egyéb jelentős gazdasági vagy szociális hátrány fakad; vagy ha az érintettek nem élhetnek jogaikkal és szabadságaikkal, vagy nem rendelkezhetnek saját személyes adataik felett; vagy ha olyan személyes adatok kerülnek kezelésre, amelyek faji- vagy etnikai származásra, politikai véleményre, vallási vagy világnézeti meggyőződésre vagy szakszervezeti tagságra utalnak; valamint a genetikai adatokat vagy biometrikus adatokat a természetes személyek kizárólagos azonosításához kezelnek, illetve az egészségi állapotra vonatkozó adatok vagy a szexuális életre és szexuális irányultságra, büntetőjogi felelősség megállapítására vonatkozó határozatok, illetve bűncselekményekre, vagy ezekhez kapcsolódó biztonsági intézkedésekre vonatkozó adatokat kezelnek; vagy ha személyes jellemzők értékelésére, különösen munkahelyi teljesítménnyel kapcsolatos jellemzők, anyagi helyzet, egészségi állapot, személyes preferenciák vagy érdeklődési körök, megbízhatóság vagy viselkedés, tartózkodási hely vagy helyváltoztatások elemzésére és előrejelzésére kerül sor személyes profil létrehozása vagy felhasználása céljából; ha kiszolgáltatott helyzetben lévő természetes személyek – különösen, ha gyermekek – személyes adatainak a kezelésére kerül sor; vagy ha az adatkezelés nagy mennyiségű személyes adat alapján zajlik, és nagyszámú érintettre terjed ki.

| (52) | A kockázat valószínűségét és súlyosságát az adatkezelés jellegére, hatókörére, körülményére és céljaira tekintettel kell meghatározni. A kockázatot objektív értékelés alapján kell felmérni, amely által megállapítható, hogy az adatkezelési műveletek magas kockázattal járnak-e. Magas kockázatnak az a különös kockázat minősül, amely az érintettek jogainak és szabadságainak sérelmével jár. |
| --- | --- |

(52)

A kockázat valószínűségét és súlyosságát az adatkezelés jellegére, hatókörére, körülményére és céljaira tekintettel kell meghatározni. A kockázatot objektív értékelés alapján kell felmérni, amely által megállapítható, hogy az adatkezelési műveletek magas kockázattal járnak-e. Magas kockázatnak az a különös kockázat minősül, amely az érintettek jogainak és szabadságainak sérelmével jár.

| (53) | A természetes személyek alapvető jogainak és szabadságainak a személyes adataik kezelése tekintetében történő védelme az ezen irányelv követelményeinek teljesítését biztosító megfelelő technikai és szervezési intézkedések meghozatalát követeli meg. Az említett intézkedések alkalmazása nem függhet kizárólag gazdasági megfontolásoktól. Az adatkezelőnek ahhoz, hogy bizonyítani tudja az ezen irányelvnek való megfelelését, olyan belső szabályokat kell alkalmaznia, valamint olyan intézkedéseket kell végrehajtania, amelyek tiszteletben tartják mindenekelőtt a beépített adatvédelem és az alapértelmezett adatvédelem elveit. Amennyiben az adatkezelő az ezen irányelv szerinti adatvédelmi hatásvizsgálatot végzett, annak eredményeit az intézkedések és eljárások kidolgozása során figyelembe kell venni. Az említett intézkedések többek között magukban foglalhatják az álnevesítés lehető leghamarabb történő alkalmazását. Az ezen irányelv alkalmazásában történő álnevesítés olyan eszköz lehet, amely előmozdítja különösen a személyes adatoknak a szabadságon, a biztonságon és a jog érvényesülésén alapuló térségben való szabad áramlását. |
| --- | --- |

(53)

A természetes személyek alapvető jogainak és szabadságainak a személyes adataik kezelése tekintetében történő védelme az ezen irányelv követelményeinek teljesítését biztosító megfelelő technikai és szervezési intézkedések meghozatalát követeli meg. Az említett intézkedések alkalmazása nem függhet kizárólag gazdasági megfontolásoktól. Az adatkezelőnek ahhoz, hogy bizonyítani tudja az ezen irányelvnek való megfelelését, olyan belső szabályokat kell alkalmaznia, valamint olyan intézkedéseket kell végrehajtania, amelyek tiszteletben tartják mindenekelőtt a beépített adatvédelem és az alapértelmezett adatvédelem elveit. Amennyiben az adatkezelő az ezen irányelv szerinti adatvédelmi hatásvizsgálatot végzett, annak eredményeit az intézkedések és eljárások kidolgozása során figyelembe kell venni. Az említett intézkedések többek között magukban foglalhatják az álnevesítés lehető leghamarabb történő alkalmazását. Az ezen irányelv alkalmazásában történő álnevesítés olyan eszköz lehet, amely előmozdítja különösen a személyes adatoknak a szabadságon, a biztonságon és a jog érvényesülésén alapuló térségben való szabad áramlását.

| (54) | Az érintettek jogainak és szabadságainak védelme csakúgy, mint az adatkezelők és az adatfeldolgozók hatáskör és felelőssége – a felügyeleti hatóságok általi ellenőrzéssel és azok intézkedéseivel összefüggésben is – megköveteli az ezen irányelvbe foglalt felelősségi körök egyértelmű megállapítását, ideértve azt az esetet is, amikor az adatkezelő más adatkezelőkkel együttesen határozza meg az adatkezelés céljait és eszközeit, vagy amikor egy adatkezelő nevében végeznek adatkezelési műveletet. |
| --- | --- |

(54)

Az érintettek jogainak és szabadságainak védelme csakúgy, mint az adatkezelők és az adatfeldolgozók hatáskör és felelőssége – a felügyeleti hatóságok általi ellenőrzéssel és azok intézkedéseivel összefüggésben is – megköveteli az ezen irányelvbe foglalt felelősségi körök egyértelmű megállapítását, ideértve azt az esetet is, amikor az adatkezelő más adatkezelőkkel együttesen határozza meg az adatkezelés céljait és eszközeit, vagy amikor egy adatkezelő nevében végeznek adatkezelési műveletet.

| (55) | Az adatfeldolgozó adatkezelését jogi eszköz, például szerződés szabályozza, amely köti az adatfeldolgozót az adatkezelővel szemben, és amely előírja különösen azt, hogy az adatfeldolgozó kizárólag az adatkezelő utasításai alapján végezheti tevékenységét. Az adatfeldolgozó figyelembe veszi a beépített adatvédelem és az alapértelmezett adatvédelem elvét. |
| --- | --- |

(55)

Az adatfeldolgozó adatkezelését jogi eszköz, például szerződés szabályozza, amely köti az adatfeldolgozót az adatkezelővel szemben, és amely előírja különösen azt, hogy az adatfeldolgozó kizárólag az adatkezelő utasításai alapján végezheti tevékenységét. Az adatfeldolgozó figyelembe veszi a beépített adatvédelem és az alapértelmezett adatvédelem elvét.

| (56) | Az adatkezelő vagy adatfeldolgozó annak érdekében, hogy bizonyítsa, hogy megfelel ennek az irányelvnek, a hatáskörébe tartozó összes adatkezelési tevékenységének kategóriáiról nyilvántartást vezet. Minden adatkezelőt és adatfeldolgozót kötelezni kell arra, hogy a felügyeleti hatósággal együttműködjön és az említett nyilvántartást kérésre hozzáférhetővé tegye, így az érintett adatkezelési műveletek esetlegesen ellenőrizhetők. A nem automatizált adatkezelési rendszerekben személyes adatok kezelését végző adatkezelőnek vagy adatfeldolgozónak hatékony módszereket kell alkalmaznia az adatkezelés jogszerűségének bizonyítására, az önellenőrzés lehetővé tételére, valamint az adatok integritásának és biztonságának szavatolására, például naplók vagy más nyilvántartások formájában. |
| --- | --- |

(56)

Az adatkezelő vagy adatfeldolgozó annak érdekében, hogy bizonyítsa, hogy megfelel ennek az irányelvnek, a hatáskörébe tartozó összes adatkezelési tevékenységének kategóriáiról nyilvántartást vezet. Minden adatkezelőt és adatfeldolgozót kötelezni kell arra, hogy a felügyeleti hatósággal együttműködjön és az említett nyilvántartást kérésre hozzáférhetővé tegye, így az érintett adatkezelési műveletek esetlegesen ellenőrizhetők. A nem automatizált adatkezelési rendszerekben személyes adatok kezelését végző adatkezelőnek vagy adatfeldolgozónak hatékony módszereket kell alkalmaznia az adatkezelés jogszerűségének bizonyítására, az önellenőrzés lehetővé tételére, valamint az adatok integritásának és biztonságának szavatolására, például naplók vagy más nyilvántartások formájában.

| (57) | Naplózni kell legalább az automatizált adatkezelési rendszerben végzett adatkezelési műveleteket, például a gyűjtést, módosítást, betekintést, a közlést – ideértve a továbbítást is –, az összekapcsolást és a törlést. A naplóban olyan módon kell bejegyezni a személyes adatokba betekintő vagy azokat közlő természetes személyek személyazonosságát, hogy abból a bejegyzésből igazolható legyen az adatkezelési művelet indokoltsága. A naplók kizárólag az adatkezelés jogszerűségének ellenőrzésére, önellenőrzésre, valamint az adatok integritásának és biztonságának szavatolására, valamint büntetőeljárások keretében használhatók fel. Az önellenőrzés az illetékes hatóságoknál lefolytatott belső fegyelmi eljárásokat is magában foglalja. |
| --- | --- |

(57)

Naplózni kell legalább az automatizált adatkezelési rendszerben végzett adatkezelési műveleteket, például a gyűjtést, módosítást, betekintést, a közlést – ideértve a továbbítást is –, az összekapcsolást és a törlést. A naplóban olyan módon kell bejegyezni a személyes adatokba betekintő vagy azokat közlő természetes személyek személyazonosságát, hogy abból a bejegyzésből igazolható legyen az adatkezelési művelet indokoltsága. A naplók kizárólag az adatkezelés jogszerűségének ellenőrzésére, önellenőrzésre, valamint az adatok integritásának és biztonságának szavatolására, valamint büntetőeljárások keretében használhatók fel. Az önellenőrzés az illetékes hatóságoknál lefolytatott belső fegyelmi eljárásokat is magában foglalja.

| (58) | Az adatkezelő adatvédelmi hatásvizsgálatot végez, amennyiben az adatkezelési műveletek a jellegükből, a hatókörükből vagy a céljaikból fakadóan valószínűsíthetően magas kockázatot jelentenek az érintettek jogaira és szabadságaira nézve. A hatásvizsgálat különösen a személyes adatok védelmét biztosító tervezett intézkedésekre, garanciákra és mechanizmusokra, valamint az ezen irányelvvel való összhang bemutatására terjed ki. A hatásvizsgálat tárgyát az adatkezelési műveletek releváns rendszerei és folyamatai kell, hogy képezzék, nem pedig egyedi esetek. |
| --- | --- |

(58)

Az adatkezelő adatvédelmi hatásvizsgálatot végez, amennyiben az adatkezelési műveletek a jellegükből, a hatókörükből vagy a céljaikból fakadóan valószínűsíthetően magas kockázatot jelentenek az érintettek jogaira és szabadságaira nézve. A hatásvizsgálat különösen a személyes adatok védelmét biztosító tervezett intézkedésekre, garanciákra és mechanizmusokra, valamint az ezen irányelvvel való összhang bemutatására terjed ki. A hatásvizsgálat tárgyát az adatkezelési műveletek releváns rendszerei és folyamatai kell, hogy képezzék, nem pedig egyedi esetek.

| (59) | Az érintettek jogai és szabadságai hatékony védelmének biztosítása érdekében az adatkezelő vagy az adatfeldolgozó bizonyos esetekben az adatkezelést megelőzően a felügyeleti hatósággal konzultál. |
| --- | --- |

(59)

Az érintettek jogai és szabadságai hatékony védelmének biztosítása érdekében az adatkezelő vagy az adatfeldolgozó bizonyos esetekben az adatkezelést megelőzően a felügyeleti hatósággal konzultál.

| (60) | A biztonság fenntartása és az ezen irányelvet sértő adatkezelés megelőzése érdekében az adatkezelő vagy az adatfeldolgozó értékeli az adatkezelés természetéből fakadó kockázatokat, és az e kockázatok csökkentését szolgáló intézkedéseket, például titkosítást alkalmaz. Ezek az intézkedések megfelelő szintű biztonságot – többek között a bizalmas kezelést is – kell, hogy biztosítsanak, figyelembe veszik a tudomány és technológia állását, valamint a végrehajtásnak a kockázatokkal és a védelmet igénylő személyes adatok jellegével összefüggő költségeit. Az adatbiztonsági kockázat felmérése során mérlegelni kell az adatkezelés jelentette olyan kockázatokat, mint például a továbbított, tárolt vagy más módon kezelt személyes adatok véletlen vagy jogellenes megsemmisítése, elvesztése, módosítása, vagy jogosulatlan közzététele vagy az azokhoz való jogosulatlan hozzáférés, amelyek különösen fizikai, vagyoni vagy nem vagyoni károkhoz vezethetnek. Az adatkezelőnek és az adatfeldolgozónak gondoskodnia kell arról, hogy a személyes adatok kezelését jogosulatlan személy ne végezhesse. |
| --- | --- |

(60)

A biztonság fenntartása és az ezen irányelvet sértő adatkezelés megelőzése érdekében az adatkezelő vagy az adatfeldolgozó értékeli az adatkezelés természetéből fakadó kockázatokat, és az e kockázatok csökkentését szolgáló intézkedéseket, például titkosítást alkalmaz. Ezek az intézkedések megfelelő szintű biztonságot – többek között a bizalmas kezelést is – kell, hogy biztosítsanak, figyelembe veszik a tudomány és technológia állását, valamint a végrehajtásnak a kockázatokkal és a védelmet igénylő személyes adatok jellegével összefüggő költségeit. Az adatbiztonsági kockázat felmérése során mérlegelni kell az adatkezelés jelentette olyan kockázatokat, mint például a továbbított, tárolt vagy más módon kezelt személyes adatok véletlen vagy jogellenes megsemmisítése, elvesztése, módosítása, vagy jogosulatlan közzététele vagy az azokhoz való jogosulatlan hozzáférés, amelyek különösen fizikai, vagyoni vagy nem vagyoni károkhoz vezethetnek. Az adatkezelőnek és az adatfeldolgozónak gondoskodnia kell arról, hogy a személyes adatok kezelését jogosulatlan személy ne végezhesse.

| (61) | Az adatvédelmi incidens megfelelő és kellő idejű intézkedés hiányában fizikai, vagyoni vagy nem vagyoni károkat okozhat a természetes személyek számára, ideértve többek között a személyes adataik feletti rendelkezés elvesztését vagy a jogaik korlátozását, a hátrányos megkülönböztetést, a személyazonosság-lopást vagy a személyazonossággal való visszaélést, a pénzügyi veszteséget, az álnevesítés engedély nélküli feloldását, a jó hírnév sérülését, a szakmai titoktartási kötelezettség által védett személyes adatok bizalmas jellegének sérülését, illetve az említett természetes személyeket sújtó egyéb jelentős gazdasági vagy szociális hátrányt. Következésképpen, amint az adatkezelő tudomására jut az adatvédelmi incidens, azt indokolatlan késedelem nélkül, és ha lehetséges, legkésőbb 72 órával azután, hogy az adatvédelmi incidens a tudomására jutott, bejelenti az illetékes felügyeleti hatóságnak, kivéve, ha az elszámoltathatóság elvével összhangban bizonyítani tudja, hogy az adatvédelmi incidens valószínűsíthetően nem jár kockázattal a természetes személyek jogaira és szabadságaira nézve. Ha ilyen értesítésre 72 órán belül nincs mód, akkor az értesítésben a késedelem okát meg kell jelölni, az előírt információk pedig – további indokolatlan késedelem nélkül – részletekben is közölhetők. |
| --- | --- |

(61)

Az adatvédelmi incidens megfelelő és kellő idejű intézkedés hiányában fizikai, vagyoni vagy nem vagyoni károkat okozhat a természetes személyek számára, ideértve többek között a személyes adataik feletti rendelkezés elvesztését vagy a jogaik korlátozását, a hátrányos megkülönböztetést, a személyazonosság-lopást vagy a személyazonossággal való visszaélést, a pénzügyi veszteséget, az álnevesítés engedély nélküli feloldását, a jó hírnév sérülését, a szakmai titoktartási kötelezettség által védett személyes adatok bizalmas jellegének sérülését, illetve az említett természetes személyeket sújtó egyéb jelentős gazdasági vagy szociális hátrányt. Következésképpen, amint az adatkezelő tudomására jut az adatvédelmi incidens, azt indokolatlan késedelem nélkül, és ha lehetséges, legkésőbb 72 órával azután, hogy az adatvédelmi incidens a tudomására jutott, bejelenti az illetékes felügyeleti hatóságnak, kivéve, ha az elszámoltathatóság elvével összhangban bizonyítani tudja, hogy az adatvédelmi incidens valószínűsíthetően nem jár kockázattal a természetes személyek jogaira és szabadságaira nézve. Ha ilyen értesítésre 72 órán belül nincs mód, akkor az értesítésben a késedelem okát meg kell jelölni, az előírt információk pedig – további indokolatlan késedelem nélkül – részletekben is közölhetők.

| (62) | Amennyiben az adatvédelmi incidens valószínűsíthetően magas kockázattal jár a természetes személyek jogaira és szabadságaira nézve, a természetes személyeket indokolatlan késedelem nélkül tájékoztatni kell annak érdekében, hogy a szükséges óvintézkedéseket megtehessék. Az tájékoztatásnak egyrészt tartalmaznia kell annak leírását, hogy milyen jellegű az adatvédelmi incidens, másrészt az érintett természetes személynek szóló, a lehetséges hátrányos hatások enyhítését célzó ajánlásokat. Az érintettek tájékoztatásáról az észszerűség keretei között a lehető leghamarabb gondoskodni kell, szorosan együttműködve a felügyeleti hatósággal, és az általa vagy más érintett hatóságok által adott útmutatások tiszteletben tartásával. Például, a kár közvetlen veszélyének mérséklése az érintettek sürgős tájékoztatását teszi szükségessé, ugyanakkor hosszabb időtartamot indokolhat az, hogy megfelelő intézkedéseket szükséges végrehajtani az adatvédelmi incidens folytatódásának vagy megelőzésének érdekében. Amennyiben a hivatalos vagy jogi vizsgálatok, nyomozások vagy eljárások akadályozásának elkerülése, valamint annak elkerülése, hogy a bűncselekmények megelőzése, felderítése, nyomozása, üldözése vagy a büntetőjogi szankciók végrehajtása sérelmet szenvedjen, továbbá a közbiztonság vagy nemzetbiztonság védelme, illetve mások jogainak és szabadságainak védelme nem valósítható meg azzal, ha késleltetik vagy korlátozzák a természetes személy tájékoztatását az adatvédelmi incidensről, akkor – kivételes körülmények között – a tájékoztatás elmaradhat. |
| --- | --- |

(62)

Amennyiben az adatvédelmi incidens valószínűsíthetően magas kockázattal jár a természetes személyek jogaira és szabadságaira nézve, a természetes személyeket indokolatlan késedelem nélkül tájékoztatni kell annak érdekében, hogy a szükséges óvintézkedéseket megtehessék. Az tájékoztatásnak egyrészt tartalmaznia kell annak leírását, hogy milyen jellegű az adatvédelmi incidens, másrészt az érintett természetes személynek szóló, a lehetséges hátrányos hatások enyhítését célzó ajánlásokat. Az érintettek tájékoztatásáról az észszerűség keretei között a lehető leghamarabb gondoskodni kell, szorosan együttműködve a felügyeleti hatósággal, és az általa vagy más érintett hatóságok által adott útmutatások tiszteletben tartásával. Például, a kár közvetlen veszélyének mérséklése az érintettek sürgős tájékoztatását teszi szükségessé, ugyanakkor hosszabb időtartamot indokolhat az, hogy megfelelő intézkedéseket szükséges végrehajtani az adatvédelmi incidens folytatódásának vagy megelőzésének érdekében. Amennyiben a hivatalos vagy jogi vizsgálatok, nyomozások vagy eljárások akadályozásának elkerülése, valamint annak elkerülése, hogy a bűncselekmények megelőzése, felderítése, nyomozása, üldözése vagy a büntetőjogi szankciók végrehajtása sérelmet szenvedjen, továbbá a közbiztonság vagy nemzetbiztonság védelme, illetve mások jogainak és szabadságainak védelme nem valósítható meg azzal, ha késleltetik vagy korlátozzák a természetes személy tájékoztatását az adatvédelmi incidensről, akkor – kivételes körülmények között – a tájékoztatás elmaradhat.

| (63) | Az adatkezelő kijelöl egy személyt, aki segítséget nyújt az ezen irányelv alapján elfogadott rendelkezéseknek való belső megfelelés ellenőrzésében, kivéve abban az esetben, ha valamely tagállam úgy határoz, hogy a bíróságok és más független igazságügyi hatóságok részére igazságszolgáltatási feladatkörük ellátása keretében mentességet biztosít. Ez a kijelölt személy lehet az adatkezelő meglévő személyzetének valamely olyan tagja, aki az adatvédelmi joggal és gyakorlattal kapcsolatos külön képzésben részesült annak érdekében, hogy szakértői ismeretekkel rendelkezzen ezen a területen. A szakértői ismeretek szükséges szintjét mindenekelőtt az adatkezelő által végzett adatkezelés, valamint az általa kezelt személyes adatok tekintetében megkövetelt védelem alapján kell meghatározni. A kijelölt személy a feladatait teljes munkaidőben vagy részmunkaidőben is végezheti. Szervezeti struktúrájuk és méretük figyelembevételével több adatkezelő együttesen is kinevezhet adatvédelmi tisztviselőt például abban az esetben, ha a központi egységeikben közös erőforrásokat használnak fel. Az adatvédelmi tisztviselő az érintett adatkezelők struktúráján belül különböző pozíciókba is kinevezhető. Feladata, hogy az adatkezelő és az adatkezelést végző alkalmazottak munkáját az adatvédelmi kötelezettségeknek való megfelelésre vonatkozó tájékoztatással és tanácsadással segítse. Az ilyen adatvédelmi tisztviselőnek kötelezettségeit és feladatait független módon, a nemzeti joggal összhangban kell tudnia ellátni. |
| --- | --- |

(63)

Az adatkezelő kijelöl egy személyt, aki segítséget nyújt az ezen irányelv alapján elfogadott rendelkezéseknek való belső megfelelés ellenőrzésében, kivéve abban az esetben, ha valamely tagállam úgy határoz, hogy a bíróságok és más független igazságügyi hatóságok részére igazságszolgáltatási feladatkörük ellátása keretében mentességet biztosít. Ez a kijelölt személy lehet az adatkezelő meglévő személyzetének valamely olyan tagja, aki az adatvédelmi joggal és gyakorlattal kapcsolatos külön képzésben részesült annak érdekében, hogy szakértői ismeretekkel rendelkezzen ezen a területen. A szakértői ismeretek szükséges szintjét mindenekelőtt az adatkezelő által végzett adatkezelés, valamint az általa kezelt személyes adatok tekintetében megkövetelt védelem alapján kell meghatározni. A kijelölt személy a feladatait teljes munkaidőben vagy részmunkaidőben is végezheti. Szervezeti struktúrájuk és méretük figyelembevételével több adatkezelő együttesen is kinevezhet adatvédelmi tisztviselőt például abban az esetben, ha a központi egységeikben közös erőforrásokat használnak fel. Az adatvédelmi tisztviselő az érintett adatkezelők struktúráján belül különböző pozíciókba is kinevezhető. Feladata, hogy az adatkezelő és az adatkezelést végző alkalmazottak munkáját az adatvédelmi kötelezettségeknek való megfelelésre vonatkozó tájékoztatással és tanácsadással segítse. Az ilyen adatvédelmi tisztviselőnek kötelezettségeit és feladatait független módon, a nemzeti joggal összhangban kell tudnia ellátni.

| (64) | A tagállamok előírják, hogy harmadik országba vagy nemzetközi szervezet részére történő adattovábbításra kizárólag akkor kerüljön sor, ha az bűncselekmények megelőzése, nyomozása, felderítése, üldözése vagy büntetőjogi szankciók végrehajtása – többek között a közbiztonságot fenyegető veszélyekkel szembeni védelem és e veszélyek megelőzése – érdekében szükséges, és a harmadik országbeli adatkezelő vagy a nemzetközi szervezet az ezen irányelv értelmében vett illetékes hatóságnak minősül. Az adattovábbítást kizárólag adatkezelőként eljáró illetékes hatóságok végezhetik, kivéve abban az esetben, ha adatfeldolgozók kifejezett utasítást kapnak arra, hogy az adatkezelők nevében adattovábbítást végezzenek. Ilyen adattovábbításra csak azokban az esetekben kerülhet sor, amelyeknél a Bizottság úgy ítélte meg, hogy az említett harmadik ország vagy nemzetközi szervezet megfelelő védelmi szintet képes biztosítani, vagy ha megfelelő garanciákat nyújtottak, vagy kivételes esetekben biztosított eltéréseket kell alkalmazni. Amennyiben személyes adatokat az Unióból harmadik országbeli adatkezelőkhöz, adatfeldolgozókhoz, egyéb címzettekhez vagy nemzetközi szervezetek részére történő továbbítanak az ezen irányelv által az Unióban a természetes személynek biztosított védelem szintje nem sérülhet, és annak fenn kell maradnia akkor is, ha az adott harmadik ország vagy nemzetközi szervezet ezt követően ugyanazon vagy másik harmadik országbeli adatkezelőhöz, adatfeldolgozóhoz vagy nemzetközi szervezet részér újból továbbítja az említett személyes adatokat. |
| --- | --- |

(64)

A tagállamok előírják, hogy harmadik országba vagy nemzetközi szervezet részére történő adattovábbításra kizárólag akkor kerüljön sor, ha az bűncselekmények megelőzése, nyomozása, felderítése, üldözése vagy büntetőjogi szankciók végrehajtása – többek között a közbiztonságot fenyegető veszélyekkel szembeni védelem és e veszélyek megelőzése – érdekében szükséges, és a harmadik országbeli adatkezelő vagy a nemzetközi szervezet az ezen irányelv értelmében vett illetékes hatóságnak minősül. Az adattovábbítást kizárólag adatkezelőként eljáró illetékes hatóságok végezhetik, kivéve abban az esetben, ha adatfeldolgozók kifejezett utasítást kapnak arra, hogy az adatkezelők nevében adattovábbítást végezzenek. Ilyen adattovábbításra csak azokban az esetekben kerülhet sor, amelyeknél a Bizottság úgy ítélte meg, hogy az említett harmadik ország vagy nemzetközi szervezet megfelelő védelmi szintet képes biztosítani, vagy ha megfelelő garanciákat nyújtottak, vagy kivételes esetekben biztosított eltéréseket kell alkalmazni. Amennyiben személyes adatokat az Unióból harmadik országbeli adatkezelőkhöz, adatfeldolgozókhoz, egyéb címzettekhez vagy nemzetközi szervezetek részére történő továbbítanak az ezen irányelv által az Unióban a természetes személynek biztosított védelem szintje nem sérülhet, és annak fenn kell maradnia akkor is, ha az adott harmadik ország vagy nemzetközi szervezet ezt követően ugyanazon vagy másik harmadik országbeli adatkezelőhöz, adatfeldolgozóhoz vagy nemzetközi szervezet részér újból továbbítja az említett személyes adatokat.

| (65) | Amennyiben valamely tagállamból személyes adatokat továbbítanak harmadik országoknak vagy nemzetközi szervezetek részére, az adattovábbításra alapértelmezés szerint csak azután kerülhet sor, hogy az a tagállam, amelyből az adatok származnak, engedélyezte azt. A hatékony bűnüldözési együttműködés szükségessé teszi azt, ha egy tagállam vagy harmadik ország közbiztonságát vagy egy tagállam alapvető érdekeit fenyegető veszély jellegénél fogva olyan közvetlen, hogy nincs mód az előzetes engedély kellő időben történő beszerzésére, akkor az illetékes hatóság számára lehetővé kell tenni, hogy a vonatkozó személyes adatokat az említett előzetes engedély nélkül továbbíthassa az érintett harmadik országnak vagy nemzetközi szervezetnek. A tagállamok előírják, hogy az adattovábbítás esetleges különös feltételeit a harmadik országokkal vagy a nemzetközi szervezetekkel közölni kell. A személyes adatok újbóli továbbítására kizárólag az eredeti adattovábbítást végző illetékes hatóság előzetes engedélyével kerülhet sor. Amikor az eredeti adattovábbítást végző illetékes hatóság az újbóli továbbítás engedélyezése iránti kérelemről határoz, figyelembe vesz minden releváns tényezőt, többek között a bűncselekmény súlyosságát, azt, hogy az eredeti adattovábbítás milyen egyedi feltételekkel és milyen céllal történt, a büntetőjogi szankció jellegét és végrehajtásának feltételeit, valamint a személyes adatok védelmének szintjét abban a harmadik országban vagy annál a nemzetközi szervezetnél, amely a személyes adatok újbóli továbbításának címzettje. Az eredeti adattovábbítást végző illetékes hatóság külön feltételekhez is kötheti az újbóli továbbítás engedélyezését. Ezeket a külön feltételeket például adatkezelési kódokkal lehet ismertetni |
| --- | --- |

(65)

Amennyiben valamely tagállamból személyes adatokat továbbítanak harmadik országoknak vagy nemzetközi szervezetek részére, az adattovábbításra alapértelmezés szerint csak azután kerülhet sor, hogy az a tagállam, amelyből az adatok származnak, engedélyezte azt. A hatékony bűnüldözési együttműködés szükségessé teszi azt, ha egy tagállam vagy harmadik ország közbiztonságát vagy egy tagállam alapvető érdekeit fenyegető veszély jellegénél fogva olyan közvetlen, hogy nincs mód az előzetes engedély kellő időben történő beszerzésére, akkor az illetékes hatóság számára lehetővé kell tenni, hogy a vonatkozó személyes adatokat az említett előzetes engedély nélkül továbbíthassa az érintett harmadik országnak vagy nemzetközi szervezetnek. A tagállamok előírják, hogy az adattovábbítás esetleges különös feltételeit a harmadik országokkal vagy a nemzetközi szervezetekkel közölni kell. A személyes adatok újbóli továbbítására kizárólag az eredeti adattovábbítást végző illetékes hatóság előzetes engedélyével kerülhet sor. Amikor az eredeti adattovábbítást végző illetékes hatóság az újbóli továbbítás engedélyezése iránti kérelemről határoz, figyelembe vesz minden releváns tényezőt, többek között a bűncselekmény súlyosságát, azt, hogy az eredeti adattovábbítás milyen egyedi feltételekkel és milyen céllal történt, a büntetőjogi szankció jellegét és végrehajtásának feltételeit, valamint a személyes adatok védelmének szintjét abban a harmadik országban vagy annál a nemzetközi szervezetnél, amely a személyes adatok újbóli továbbításának címzettje. Az eredeti adattovábbítást végző illetékes hatóság külön feltételekhez is kötheti az újbóli továbbítás engedélyezését. Ezeket a külön feltételeket például adatkezelési kódokkal lehet ismertetni

| (66) | A Bizottság az Unió egészére kiterjedő hatállyal úgy határozhat, hogy bizonyos harmadik országok, a harmadik ország területe vagy egy vagy több meghatározott ágazata, illetve valamely nemzetközi szervezet megfelelő adatvédelmi szintet nyújt, biztosítva ezáltal az Unió egész területén a jogbiztonságot és az egységességet az ilyen védelmi szintet biztosítónak tekintett harmadik országok vagy nemzetközi szervezetek vonatkozásában. Ilyen esetekben a személyes adatok az említett országokba történő továbbításához külön engedély beszerzése nem szükséges, kivéve amikor, ha az adattovábbításhoz egy másik tagállamnak – mégpedig annak a tagállamnak, amelytől az adatok származnak – engedélyt kell adnia. |
| --- | --- |

(66)

A Bizottság az Unió egészére kiterjedő hatállyal úgy határozhat, hogy bizonyos harmadik országok, a harmadik ország területe vagy egy vagy több meghatározott ágazata, illetve valamely nemzetközi szervezet megfelelő adatvédelmi szintet nyújt, biztosítva ezáltal az Unió egész területén a jogbiztonságot és az egységességet az ilyen védelmi szintet biztosítónak tekintett harmadik országok vagy nemzetközi szervezetek vonatkozásában. Ilyen esetekben a személyes adatok az említett országokba történő továbbításához külön engedély beszerzése nem szükséges, kivéve amikor, ha az adattovábbításhoz egy másik tagállamnak – mégpedig annak a tagállamnak, amelytől az adatok származnak – engedélyt kell adnia.

| (67) | A Bizottság – az Unió alapjául szolgáló alapvető értékekkel, így különösen az emberi jogok védelmével összhangban – a harmadik országra vagy a harmadik ország területére vagy meghatározott ágazatára vonatkozó értékelés elkészítésekor figyelembe veszi, hogy az adott harmadik országban mennyire tartják tiszteletben a jogállamiságot, valamint az igazságszolgáltatáshoz való jogot, valamint a nemzetközi emberi jogi normákat és előírásokat, valamint megvizsgálja az adott ország általános és ágazati jogszabályait, ideértve a közbiztonságra, a védelemre és a nemzetbiztonságra vonatkozó jogszabályait, valamint közrendjét és büntetőjogát is. Az adott ország területére vagy meghatározott ágazatára vonatkozó megfelelőségi határozat elfogadásakor olyan egyértelmű és objektív kritériumokat szükséges figyelembe venni, mint például a konkrét adatkezelési tevékenységek, továbbá a harmadik országban alkalmazandó jogi normák és jogszabályok hatálya. A harmadik országnak olyan garanciákat kell vállalnia, amelyek megfelelő – az Unión belül biztosítottal lényegében egyenértékű – védelmi szintet biztosítanak, különösen amikor egy vagy több konkrét ágazatban történik az adatkezelés. A harmadik országnak gondoskodnia kell különösen a hatékony, független adatvédelmi felügyeletről, valamint a tagállami adatvédelmi hatóságokkal aló együttműködés mechanizmusairól, továbbá biztosítania kell, hogy az érintettek hatékony és érvényesíthető jogokkal, valamint hatékony közigazgatási és bírósági jogorvoslati lehetőségekkel rendelkezzenek. |
| --- | --- |

(67)

A Bizottság – az Unió alapjául szolgáló alapvető értékekkel, így különösen az emberi jogok védelmével összhangban – a harmadik országra vagy a harmadik ország területére vagy meghatározott ágazatára vonatkozó értékelés elkészítésekor figyelembe veszi, hogy az adott harmadik országban mennyire tartják tiszteletben a jogállamiságot, valamint az igazságszolgáltatáshoz való jogot, valamint a nemzetközi emberi jogi normákat és előírásokat, valamint megvizsgálja az adott ország általános és ágazati jogszabályait, ideértve a közbiztonságra, a védelemre és a nemzetbiztonságra vonatkozó jogszabályait, valamint közrendjét és büntetőjogát is. Az adott ország területére vagy meghatározott ágazatára vonatkozó megfelelőségi határozat elfogadásakor olyan egyértelmű és objektív kritériumokat szükséges figyelembe venni, mint például a konkrét adatkezelési tevékenységek, továbbá a harmadik országban alkalmazandó jogi normák és jogszabályok hatálya. A harmadik országnak olyan garanciákat kell vállalnia, amelyek megfelelő – az Unión belül biztosítottal lényegében egyenértékű – védelmi szintet biztosítanak, különösen amikor egy vagy több konkrét ágazatban történik az adatkezelés. A harmadik országnak gondoskodnia kell különösen a hatékony, független adatvédelmi felügyeletről, valamint a tagállami adatvédelmi hatóságokkal aló együttműködés mechanizmusairól, továbbá biztosítania kell, hogy az érintettek hatékony és érvényesíthető jogokkal, valamint hatékony közigazgatási és bírósági jogorvoslati lehetőségekkel rendelkezzenek.

| (68) | A harmadik ország vagy a nemzetközi szervezet által vállalt nemzetközi kötelezettségeken túl a Bizottság figyelembe veszi a harmadik ország vagy a nemzetközi szervezet egyéb, többoldalú vagy regionális rendszerekben való részvételéből eredő – különösen a személyes adatok védelmével kapcsolatos – kötelezettségeit is, továbbá az említett kötelezettségek végrehajtását. Különösen figyelembe kell venni azt, ha a harmadik ország csatlakozott a személyes adatok gépi feldolgozása során az egyének védelméről szóló, 1981. január 28-i Európa tanácsi egyezményhez, valamint annak kiegészítő jegyzőkönyvéhez. A Bizottságnak a harmadik országok vagy a nemzetközi szervezetek által biztosított védelem szintjének értékelésekor konzultálnia kell az (EU) 2016/... rendelettel (**) létrehozott Európai Adatvédelmi Testülettel (a továbbiakban: a Testület). A Bizottság figyelembe veszi továbbá, hogy van-e az (EU) 2016/... rendelet (**) 45. cikkével összhangban elfogadott, releváns bizottsági megfelelőségi határozat. |
| --- | --- |

(68)

A harmadik ország vagy a nemzetközi szervezet által vállalt nemzetközi kötelezettségeken túl a Bizottság figyelembe veszi a harmadik ország vagy a nemzetközi szervezet egyéb, többoldalú vagy regionális rendszerekben való részvételéből eredő – különösen a személyes adatok védelmével kapcsolatos – kötelezettségeit is, továbbá az említett kötelezettségek végrehajtását. Különösen figyelembe kell venni azt, ha a harmadik ország csatlakozott a személyes adatok gépi feldolgozása során az egyének védelméről szóló, 1981. január 28-i Európa tanácsi egyezményhez, valamint annak kiegészítő jegyzőkönyvéhez. A Bizottságnak a harmadik országok vagy a nemzetközi szervezetek által biztosított védelem szintjének értékelésekor konzultálnia kell az (EU) 2016/... rendelettel (**) létrehozott Európai Adatvédelmi Testülettel (a továbbiakban: a Testület). A Bizottság figyelembe veszi továbbá, hogy van-e az (EU) 2016/... rendelet (**) 45. cikkével összhangban elfogadott, releváns bizottsági megfelelőségi határozat.

| (69) | A Bizottság ellenőrzi a harmadik ország,annak adott területe vagy meghatározott ágazata, illetve valamely nemzetközi szervezet által biztosított védelem szintjével kapcsolatos határozatokban foglaltak érvényesülését. A megfelelőségi határozataiban a Bizottság rendelkezik a határozatokban foglaltak érvényesülése időszakos felülvizsgálatának mechanizmusáról. Az időszakos felülvizsgálatot az említett harmadik országgal vagy nemzetközi szervezettel konzultálva kell elvégezni, és annak során a harmadik országgal vagy nemzetközi szervezettel kapcsolatos minden releváns fejleményt figyelembe kell venni. |
| --- | --- |

(69)

A Bizottság ellenőrzi a harmadik ország,annak adott területe vagy meghatározott ágazata, illetve valamely nemzetközi szervezet által biztosított védelem szintjével kapcsolatos határozatokban foglaltak érvényesülését. A megfelelőségi határozataiban a Bizottság rendelkezik a határozatokban foglaltak érvényesülése időszakos felülvizsgálatának mechanizmusáról. Az időszakos felülvizsgálatot az említett harmadik országgal vagy nemzetközi szervezettel konzultálva kell elvégezni, és annak során a harmadik országgal vagy nemzetközi szervezettel kapcsolatos minden releváns fejleményt figyelembe kell venni.

| (70) | A Bizottság azt is megállapíthatja, hogy ha az adott harmadik ország, valamely harmadik ország egy adott területe vagy meghatározott ágazata, illetve valamely nemzetközi szervezet a továbbiakban már nem biztosít megfelelő szintű adatvédelmet. Következésképpen a személyes adatok ilyen harmadik országba vagy nemzetközi szervezet részére történő továbbítását meg kell tiltani, kivéve, ha az ebben az irányelvben foglalt, adattovábbításhoz kapcsolódó követelmények a megfelelő garanciák és kivételes esetekre vonatkozó eltérések alá esnek. A Bizottság és az ilyen harmadik országok vagy nemzetközi szervezetek közötti konzultációkra vonatkozó eljárásokról rendelkezik. A Bizottság megfelelő időben tájékoztatja az érintett harmadik országot vagy nemzetközi szervezetet az indokokról, és a helyzet orvoslása érdekében konzultációkat folytat vele. |
| --- | --- |

(70)

A Bizottság azt is megállapíthatja, hogy ha az adott harmadik ország, valamely harmadik ország egy adott területe vagy meghatározott ágazata, illetve valamely nemzetközi szervezet a továbbiakban már nem biztosít megfelelő szintű adatvédelmet. Következésképpen a személyes adatok ilyen harmadik országba vagy nemzetközi szervezet részére történő továbbítását meg kell tiltani, kivéve, ha az ebben az irányelvben foglalt, adattovábbításhoz kapcsolódó követelmények a megfelelő garanciák és kivételes esetekre vonatkozó eltérések alá esnek. A Bizottság és az ilyen harmadik országok vagy nemzetközi szervezetek közötti konzultációkra vonatkozó eljárásokról rendelkezik. A Bizottság megfelelő időben tájékoztatja az érintett harmadik országot vagy nemzetközi szervezetet az indokokról, és a helyzet orvoslása érdekében konzultációkat folytat vele.

| (71) | Amennyiben az adattovábbítás nem ilyen megfelelőségi határozaton alapul, akkor az adattovábbítás csak akkor lehetséges, ha a személyes adatok védelmét biztosító jogilag kötelező erejű eszköz útján megfelelő garanciákat nyújtottak, vagy ha az adatkezelő az adattovábbítás valamennyi körülményét megvizsgálta, és e vizsgálat alapján úgy véli, hogy a személyes adatok védelme tekintetében megfelelő garanciák állnak fenn. Ilyen jogilag kötelező erejű eszközök lehetnek például az olyan, tagállamok által kötött, jogilag kötelező erejű kétoldalú megállapodások, amelyeket a tagállamok átültettek belső jogrendjükbe, és amelyeket az érintettek érvényesíthetnek, továbbá amelyek biztosítják az adatvédelmi követelményeknek való megfelelést és az érintettek jogainak – köztük a hatékony közigazgatási vagy bírósági jogorvoslat igénybevételéhez való jognak – az érvényesülését. Az adatkezelő az adattovábbítás valamennyi körülményének megvizsgálásakor figyelembe kell, hogy vegye az Europol vagy az Eurojust és a harmadik országok által kötött, a személyes adatok cseréjét lehetővé tevő együttműködési megállapodásokat is. Az adatkezelő azt is figyelembe veszi azt a tényt is, ha a személyes adatok továbbítására titoktartási kötelezettség és a célhoz kötöttség elve vonatkozik, mivel ezek biztosítják, hogy az adatok nem használhatók fel az adattovábbítás céljától eltérő célra. Emellett az adatkezelő figyelembe veszi azt is, hogy a személyes adatokat halálbüntetés vagy egyéb kegyetlen és embertelen bánásmód kérelmezéséhez, kiszabásához vagy végrehajtásához ne használják fel. Annak ellenére, hogy az ezek a feltételek olyan megfelelő garanciáknak tekinthetők, amelyek lehetővé teszik az adattovábbítást, az adatkezelő számára lehetővé kell tenni, hogy további garanciákat is megkövetelhessen. |
| --- | --- |

(71)

Amennyiben az adattovábbítás nem ilyen megfelelőségi határozaton alapul, akkor az adattovábbítás csak akkor lehetséges, ha a személyes adatok védelmét biztosító jogilag kötelező erejű eszköz útján megfelelő garanciákat nyújtottak, vagy ha az adatkezelő az adattovábbítás valamennyi körülményét megvizsgálta, és e vizsgálat alapján úgy véli, hogy a személyes adatok védelme tekintetében megfelelő garanciák állnak fenn. Ilyen jogilag kötelező erejű eszközök lehetnek például az olyan, tagállamok által kötött, jogilag kötelező erejű kétoldalú megállapodások, amelyeket a tagállamok átültettek belső jogrendjükbe, és amelyeket az érintettek érvényesíthetnek, továbbá amelyek biztosítják az adatvédelmi követelményeknek való megfelelést és az érintettek jogainak – köztük a hatékony közigazgatási vagy bírósági jogorvoslat igénybevételéhez való jognak – az érvényesülését. Az adatkezelő az adattovábbítás valamennyi körülményének megvizsgálásakor figyelembe kell, hogy vegye az Europol vagy az Eurojust és a harmadik országok által kötött, a személyes adatok cseréjét lehetővé tevő együttműködési megállapodásokat is. Az adatkezelő azt is figyelembe veszi azt a tényt is, ha a személyes adatok továbbítására titoktartási kötelezettség és a célhoz kötöttség elve vonatkozik, mivel ezek biztosítják, hogy az adatok nem használhatók fel az adattovábbítás céljától eltérő célra. Emellett az adatkezelő figyelembe veszi azt is, hogy a személyes adatokat halálbüntetés vagy egyéb kegyetlen és embertelen bánásmód kérelmezéséhez, kiszabásához vagy végrehajtásához ne használják fel. Annak ellenére, hogy az ezek a feltételek olyan megfelelő garanciáknak tekinthetők, amelyek lehetővé teszik az adattovábbítást, az adatkezelő számára lehetővé kell tenni, hogy további garanciákat is megkövetelhessen.

| (72) | Megfelelőségi határozat, illetve megfelelő garanciák hiányában az adatok, illetve adatkategóriák továbbítására csak kivételes esetekben kerülhet sor, ha az az érintett vagy más személy létfontosságú érdekeinek védelme, az érintett jogos érdekeinek a személyes adatot továbbító tagállam joga által előírt biztosítása vagy valamely tagállam vagy harmadik ország közbiztonságát közvetlenül és súlyosan fenyegető veszély elhárítása miatt szükséges, illetve ha bűncselekmények megelőzése, nyomozása, felderítése, üldözése vagy büntetőjogi szankciók végrehajtása – többek között a közbiztonságot fenyegető veszélyekkel szembeni védelem és e veszélyek megelőzése –, illetve jogi igények előterjesztése, érvényesítése és védelme – miatt szükséges. Az említett eltéréseket megszorítóan kell értelmezni, és azok nem tehetik lehetővé a személyes adatok gyakori, jelentős mértékű és strukturális továbbítását, vagy adatok nagy mennyiségben történő továbbítását, azonban az adattovábbításnak a feltétlenül szükséges adatokra kell korlátozódnia. Az adattovábbítást dokumentálni kell, és a felügyeleti hatóság kérésére annak rendelkezésére kell bocsátani annak érdekében, hogy ellenőrizze az adattovábbítás jogszerűségét. |
| --- | --- |

(72)

Megfelelőségi határozat, illetve megfelelő garanciák hiányában az adatok, illetve adatkategóriák továbbítására csak kivételes esetekben kerülhet sor, ha az az érintett vagy más személy létfontosságú érdekeinek védelme, az érintett jogos érdekeinek a személyes adatot továbbító tagállam joga által előírt biztosítása vagy valamely tagállam vagy harmadik ország közbiztonságát közvetlenül és súlyosan fenyegető veszély elhárítása miatt szükséges, illetve ha bűncselekmények megelőzése, nyomozása, felderítése, üldözése vagy büntetőjogi szankciók végrehajtása – többek között a közbiztonságot fenyegető veszélyekkel szembeni védelem és e veszélyek megelőzése –, illetve jogi igények előterjesztése, érvényesítése és védelme – miatt szükséges. Az említett eltéréseket megszorítóan kell értelmezni, és azok nem tehetik lehetővé a személyes adatok gyakori, jelentős mértékű és strukturális továbbítását, vagy adatok nagy mennyiségben történő továbbítását, azonban az adattovábbításnak a feltétlenül szükséges adatokra kell korlátozódnia. Az adattovábbítást dokumentálni kell, és a felügyeleti hatóság kérésére annak rendelkezésére kell bocsátani annak érdekében, hogy ellenőrizze az adattovábbítás jogszerűségét.

| (73) | A tagállamok illetékes hatóságai a számukra jogilag előírt feladatok végrehajtása érdekében, a releváns adatok cseréjéhez, jelenleg is alkalmaznak a büntetőügyekben folytatott igazságügyi együttműködés és a rendőrségi együttműködés területén a harmadik országokkal kötött hatályos két- és többoldalú nemzetközi megállapodásokat. Erre alapértelmezés szerint, ezen irányelv alkalmazásában, az érintett harmadik országok illetékes hatóságain keresztül vagy legalább azok közreműködésével kerül sor, néha akár két- vagy többoldalú nemzetközi megállapodás hiányában is. Bizonyos egyedi esetekben azonban az ilyen harmadik országbeli hatósággal való kapcsolatfelvételt előíró rendes eljárások nem hatékonyak vagy nem megfelelőek, elsősorban azért, mert az adattovábbítást nem lehetne időben végrehajtani, vagy mert a harmadik országbeli hatóság nem tartja tiszteletben a jogállamiságot vagy a nemzetközi emberi jogi normákat és előírásokat, és ezért a tagállamok illetékes hatóságai úgy határozhatnak, hogy közvetlenül a harmadik országbeli címzettek részére továbbítják a személyes adatokat. Ilyen helyzet merülhet fel, ha fennáll a veszély, hogy valamely személy bűncselekmény áldozatává válik és a személyes adatok továbbítása az említett természetes személy életének megmentése érdekében, illetve valamely bűncselekmény – például terrorcselekmény – azonnali elkövetésének megelőzése érdekében sürgősen szükséges. Noha az illetékes hatóságok és a harmadik országbeli címzettek közötti efféle adattovábbításra csak egyedi és meghatározott helyzetekben kerülhet sor, ennek az irányelvnek rendelkezéseket kell megállapítania az ilyen eseteket szabályozó feltételekre vonatkozóan is. Ezek a rendelkezések nem tekinthetők a büntetőügyekben folytatott igazságügyi együttműködés és a rendőrségi együttműködés területére vonatkozó, bármely hatályos két- vagy többoldalú nemzetközi megállapodások rendelkezéseitől való eltérésnek. Ezeket a szabályokat továbbá ezen irányelv egyéb szabályaival, különösen az adatkezelés jogszerűségére vonatkozó, illetve az V. fejezetben foglalt szabályokkal együttesen kell alkalmazni. |
| --- | --- |

(73)

A tagállamok illetékes hatóságai a számukra jogilag előírt feladatok végrehajtása érdekében, a releváns adatok cseréjéhez, jelenleg is alkalmaznak a büntetőügyekben folytatott igazságügyi együttműködés és a rendőrségi együttműködés területén a harmadik országokkal kötött hatályos két- és többoldalú nemzetközi megállapodásokat. Erre alapértelmezés szerint, ezen irányelv alkalmazásában, az érintett harmadik országok illetékes hatóságain keresztül vagy legalább azok közreműködésével kerül sor, néha akár két- vagy többoldalú nemzetközi megállapodás hiányában is. Bizonyos egyedi esetekben azonban az ilyen harmadik országbeli hatósággal való kapcsolatfelvételt előíró rendes eljárások nem hatékonyak vagy nem megfelelőek, elsősorban azért, mert az adattovábbítást nem lehetne időben végrehajtani, vagy mert a harmadik országbeli hatóság nem tartja tiszteletben a jogállamiságot vagy a nemzetközi emberi jogi normákat és előírásokat, és ezért a tagállamok illetékes hatóságai úgy határozhatnak, hogy közvetlenül a harmadik országbeli címzettek részére továbbítják a személyes adatokat. Ilyen helyzet merülhet fel, ha fennáll a veszély, hogy valamely személy bűncselekmény áldozatává válik és a személyes adatok továbbítása az említett természetes személy életének megmentése érdekében, illetve valamely bűncselekmény – például terrorcselekmény – azonnali elkövetésének megelőzése érdekében sürgősen szükséges. Noha az illetékes hatóságok és a harmadik országbeli címzettek közötti efféle adattovábbításra csak egyedi és meghatározott helyzetekben kerülhet sor, ennek az irányelvnek rendelkezéseket kell megállapítania az ilyen eseteket szabályozó feltételekre vonatkozóan is. Ezek a rendelkezések nem tekinthetők a büntetőügyekben folytatott igazságügyi együttműködés és a rendőrségi együttműködés területére vonatkozó, bármely hatályos két- vagy többoldalú nemzetközi megállapodások rendelkezéseitől való eltérésnek. Ezeket a szabályokat továbbá ezen irányelv egyéb szabályaival, különösen az adatkezelés jogszerűségére vonatkozó, illetve az V. fejezetben foglalt szabályokkal együttesen kell alkalmazni.

| (74) | Amennyiben a személyes adatok átlépik a határokat, megnövekedhet annak a kockázata, hogy a természetes személyek nem képesek gyakorolni adatvédelmi jogaikat az említett adatok jogellenes felhasználása vagy nyilvánosságra hozatala elleni védelem érdekében. Ugyanakkor előfordulhat, hogy a felügyeleti hatóságoknak az országuk határain kívül folyó tevékenységek tekintetében nem áll módjukban a panaszok kapcsán eljárni vagy vizsgálatot folytatni. A határokon átnyúló közös munka érdekében tett erőfeszítéseiket hátráltathatják az elégtelen megelőzési és jogorvoslati hatáskörök, valamint az egymásnak ellentmondó jogrendszerek is. Ezért elő kell mozdítani az adatvédelmi felügyeleti hatóságok és külföldi partnereik közötti szorosabb együttműködést az információcsere elősegítése érdekében. |
| --- | --- |

(74)

Amennyiben a személyes adatok átlépik a határokat, megnövekedhet annak a kockázata, hogy a természetes személyek nem képesek gyakorolni adatvédelmi jogaikat az említett adatok jogellenes felhasználása vagy nyilvánosságra hozatala elleni védelem érdekében. Ugyanakkor előfordulhat, hogy a felügyeleti hatóságoknak az országuk határain kívül folyó tevékenységek tekintetében nem áll módjukban a panaszok kapcsán eljárni vagy vizsgálatot folytatni. A határokon átnyúló közös munka érdekében tett erőfeszítéseiket hátráltathatják az elégtelen megelőzési és jogorvoslati hatáskörök, valamint az egymásnak ellentmondó jogrendszerek is. Ezért elő kell mozdítani az adatvédelmi felügyeleti hatóságok és külföldi partnereik közötti szorosabb együttműködést az információcsere elősegítése érdekében.

| (75) | Ahhoz, hogy a természetes személyek a személyes adataik kezelése tekintetében megfelelő védelemben részesüljenek, elengedhetetlen, hogy a tagállamokban a feladataikat teljes mértékben függetlenül ellátó felügyeleti hatóságok jöjjenek létre. A felügyeleti hatóságok a természetes személyek személyes adataik kezelése tekintetében történő védelmének biztosítása érdekében figyelemmel kísérik ezen irányelv alapján elfogadott rendelkezések alkalmazását, és hozzájárulnak annak az Unió egész területén történő egységes alkalmazásához. A felügyeleti hatóságoknak ebből a célból együttműködnek egymással és a Bizottsággal. |
| --- | --- |

(75)

Ahhoz, hogy a természetes személyek a személyes adataik kezelése tekintetében megfelelő védelemben részesüljenek, elengedhetetlen, hogy a tagállamokban a feladataikat teljes mértékben függetlenül ellátó felügyeleti hatóságok jöjjenek létre. A felügyeleti hatóságok a természetes személyek személyes adataik kezelése tekintetében történő védelmének biztosítása érdekében figyelemmel kísérik ezen irányelv alapján elfogadott rendelkezések alkalmazását, és hozzájárulnak annak az Unió egész területén történő egységes alkalmazásához. A felügyeleti hatóságoknak ebből a célból együttműködnek egymással és a Bizottsággal.

| (76) | A tagállamok az (EU) 2016/... rendelet (**) alapján korábban létrehozott felügyeleti hatóságra ruházhatják az ezen irányelv alapján létrehozandó nemzeti felügyeleti hatóság által ellátandó feladatokat. |
| --- | --- |

(76)

A tagállamok az (EU) 2016/... rendelet (**) alapján korábban létrehozott felügyeleti hatóságra ruházhatják az ezen irányelv alapján létrehozandó nemzeti felügyeleti hatóság által ellátandó feladatokat.

| (77) | A tagállamok számára lehetővé kell tenni, hogy saját alkotmányos, szervezeti és közigazgatási szerkezetükhöz igazodva egynél több felügyeleti hatóságot is létrehozhatnak. A felügyeleti hatóság számára biztosítani kell a feladatai – beleértve az Unió bármely másik felügyeleti hatóságával való kölcsönös segítségnyújtáshoz és együttműködéshez kapcsolódó feladatokat is – hatékony ellátásához szükséges anyagi és személyzeti forrásokat, helyiségeket és infrastruktúrát. Minden felügyeleti hatóság saját éves költségvetéssel rendelkezik, amely a nemzeti vagy állami költségvetés részét képezheti. |
| --- | --- |

(77)

A tagállamok számára lehetővé kell tenni, hogy saját alkotmányos, szervezeti és közigazgatási szerkezetükhöz igazodva egynél több felügyeleti hatóságot is létrehozhatnak. A felügyeleti hatóság számára biztosítani kell a feladatai – beleértve az Unió bármely másik felügyeleti hatóságával való kölcsönös segítségnyújtáshoz és együttműködéshez kapcsolódó feladatokat is – hatékony ellátásához szükséges anyagi és személyzeti forrásokat, helyiségeket és infrastruktúrát. Minden felügyeleti hatóság saját éves költségvetéssel rendelkezik, amely a nemzeti vagy állami költségvetés részét képezheti.

| (78) | A felügyeleti hatóságokat a pénzügyi kiadásaikat illetően független ellenőrzési vagy nyomonkövetési mechanizmusnak kell alávetni, feltéve, hogy az ilyen pénzügyi felügyelet nem érinti a függetlenségüket. |
| --- | --- |

(78)

A felügyeleti hatóságokat a pénzügyi kiadásaikat illetően független ellenőrzési vagy nyomonkövetési mechanizmusnak kell alávetni, feltéve, hogy az ilyen pénzügyi felügyelet nem érinti a függetlenségüket.

| (79) | A felügyeleti hatóság tagjára vagy tagjaira vonatkozó általános feltételeket a tagállamok jogszabályban rögzítik, és amelyben elő kell írni vagy azt, hogy az említett tagokat az adott tagállam parlamentje vagy kormánya vagy államfője nevezi ki a kormány, a kormány egyik tagja, a parlament vagy valamelyik parlamenti kamara javaslata alapján, vagy pedig azt, hogy a tagokat a nemzeti jogban a kinevezéssel megbízott független szerv átlátható eljárás keretében nevezi ki. A felügyeleti hatóság függetlenségének biztosítása érdekében, az említett tag vagy tagok feddhetetlenül járnak el, tartózkodniuk kell a feladatkörükkel össze nem egyezethető cselekményektől, valamint hivatali idejük alatt nem vállalhatnak semmilyen azzal összeférhetetlen – akár kereső, akár ingyenesen végzett – szakmai tevékenységet. A felügyeleti hatóság függetlenségének biztosítása érdekében a hatóság személyzetét a felügyeleti hatóság választja ki; a kiválasztásban részt vehet egy a nemzeti jogban ezzel megbízott független szerv is. |
| --- | --- |

(79)

A felügyeleti hatóság tagjára vagy tagjaira vonatkozó általános feltételeket a tagállamok jogszabályban rögzítik, és amelyben elő kell írni vagy azt, hogy az említett tagokat az adott tagállam parlamentje vagy kormánya vagy államfője nevezi ki a kormány, a kormány egyik tagja, a parlament vagy valamelyik parlamenti kamara javaslata alapján, vagy pedig azt, hogy a tagokat a nemzeti jogban a kinevezéssel megbízott független szerv átlátható eljárás keretében nevezi ki. A felügyeleti hatóság függetlenségének biztosítása érdekében, az említett tag vagy tagok feddhetetlenül járnak el, tartózkodniuk kell a feladatkörükkel össze nem egyezethető cselekményektől, valamint hivatali idejük alatt nem vállalhatnak semmilyen azzal összeférhetetlen – akár kereső, akár ingyenesen végzett – szakmai tevékenységet. A felügyeleti hatóság függetlenségének biztosítása érdekében a hatóság személyzetét a felügyeleti hatóság választja ki; a kiválasztásban részt vehet egy a nemzeti jogban ezzel megbízott független szerv is.

| (80) | Bár ezt az irányelvet a tagállami bíróságok és egyéb igazságügyi hatóságok tevékenységére is alkalmazni kell, a felügyeleti hatóságok illetékessége nem terjed ki a személyes adatok kezelésére abban az esetben, amikor a bíróságok igazságszolgáltatási feladatkörükben járnak el, annak érdekében, hogy a bírák függetlenségének megőrzése biztosítva legyen az igazságszolgáltatási feladataik ellátása során. Ez a kivétel azonban a bírósági ügyekben ellátott igazságszolgáltatási tevékenységekre korlátozódik, és nem alkalmazható azokra az egyéb tevékenységekre, amelyekben a bírák esetleg a nemzeti jognak megfelelően még részt vehetnek. A tagállamok azt is előírhatják, hogy a felügyeleti hatóság hatásköre nem terjed ki az olyan személyes adatok kezelésre, amelyet az egyéb független igazságügyi hatóságok – például az ügyészségek – igazságszolgáltatási feladatkörükben eljárva végeznek. Mindenesetre, az ezen irányelvben foglalt szabályoknak a bíróságok és egyéb független igazságügyi hatóságok általi tiszteletben tartása minden esetben a Charta 8. cikkének (3) bekezdésével összhangban független ellenőrzés alá tartozik. |
| --- | --- |

(80)

Bár ezt az irányelvet a tagállami bíróságok és egyéb igazságügyi hatóságok tevékenységére is alkalmazni kell, a felügyeleti hatóságok illetékessége nem terjed ki a személyes adatok kezelésére abban az esetben, amikor a bíróságok igazságszolgáltatási feladatkörükben járnak el, annak érdekében, hogy a bírák függetlenségének megőrzése biztosítva legyen az igazságszolgáltatási feladataik ellátása során. Ez a kivétel azonban a bírósági ügyekben ellátott igazságszolgáltatási tevékenységekre korlátozódik, és nem alkalmazható azokra az egyéb tevékenységekre, amelyekben a bírák esetleg a nemzeti jognak megfelelően még részt vehetnek. A tagállamok azt is előírhatják, hogy a felügyeleti hatóság hatásköre nem terjed ki az olyan személyes adatok kezelésre, amelyet az egyéb független igazságügyi hatóságok – például az ügyészségek – igazságszolgáltatási feladatkörükben eljárva végeznek. Mindenesetre, az ezen irányelvben foglalt szabályoknak a bíróságok és egyéb független igazságügyi hatóságok általi tiszteletben tartása minden esetben a Charta 8. cikkének (3) bekezdésével összhangban független ellenőrzés alá tartozik.

| (81) | A felügyeleti hatóság bármely érintett által benyújtott panasszal kapcsolatban eljár, és kivizsgálja az ügyet vagy átadja azt az illetékes felügyeleti hatóságnak. A panaszt követő vizsgálatot – amely bírósági felülvizsgálat tárgyát képzi – a konkrét esethez szükséges mértékben kell lefolytatni. A felügyeleti hatóság észszerű határidőn belül tájékoztatja az érintettet a panasszal kapcsolatos fejleményekről és eredményekről. Amennyiben az ügy további vizsgálatot vagy egy másik felügyeleti hatóság együttműködését teszi szükségessé, az érintett számára időközben tájékoztatást kell nyújtani. |
| --- | --- |

(81)

A felügyeleti hatóság bármely érintett által benyújtott panasszal kapcsolatban eljár, és kivizsgálja az ügyet vagy átadja azt az illetékes felügyeleti hatóságnak. A panaszt követő vizsgálatot – amely bírósági felülvizsgálat tárgyát képzi – a konkrét esethez szükséges mértékben kell lefolytatni. A felügyeleti hatóság észszerű határidőn belül tájékoztatja az érintettet a panasszal kapcsolatos fejleményekről és eredményekről. Amennyiben az ügy további vizsgálatot vagy egy másik felügyeleti hatóság együttműködését teszi szükségessé, az érintett számára időközben tájékoztatást kell nyújtani.

| (82) | Annak érdekében, hogy a Bíróság által értelmezett EUMSZ-nek megfelelően az Unió egészében hatékonyan, megbízhatóan és következetesen nyomon lehessen követni ezen irányelv végrehajtását és az ezen irányelvnek való megfelelést, a felügyeleti hatóságokat a tagállamokban ugyanazokkal a feladatokkal és tényleges hatáskörökkel kell felruházni, ideértve a feladatok elvégzéséhez szükséges vizsgálati, korrekciós és tanácsadási hatáskört. E hatóságok hatáskörei ugyanakkor nem sérthetik a büntetőeljárásokra vonatkozó – ezen belül a bűncselekmények nyomozására és üldözésére – különös szabályokat, illetve az igazságszolgáltatás függetlenségét. Az ügyészségek nemzeti jogban biztosított hatásköreinek tiszteletben tartása mellett a felügyeleti hatóságokat is fel kell jogosítani arra, hogy ezen irányelv megsértése esetén az igazságügyi hatóságokhoz forduljanak vagy bírósági eljárást kezdeményezzenek. A felügyeleti hatóságok hatásköreiket az uniós és a nemzeti joggal egyező eljárási garanciáknak megfelelően, pártatlanul, tisztességesen és észszerű határidőn belül kell hogy gyakorolják. Különösképpen, az ezen irányelvnek való megfelelés biztosítása érdekében minden egyes intézkedésnek megfelelőnek, szükségesnek és arányosnak kell lennie, és azok kapcsán figyelembe kell venni az adott eset körülményeit, tiszteletben kell tartani azt, hogy minden személynek joga van ahhoz, hogy az őt esetleg hátrányosan érintő egyedi intézkedés meghozatala előtt meghallgassák, továbbá kerülni kell, hogy az intézkedés az érintett személynek felesleges költségeket és túlzott kényelmetlenséget okozzon. A helyiségekbe való belépést illetően a vizsgálati hatáskört a nemzeti jogban előírt vonatkozó követelményekkel összhangban kell gyakorolni, ilyen például az előzetes bírói engedély beszerzésének követelménye. A jogilag kötelező erejű döntések bírósági felülvizsgálatnak vethetők az adott döntést elfogadó felügyeleti hatóság tagállamában. |
| --- | --- |

(82)

Annak érdekében, hogy a Bíróság által értelmezett EUMSZ-nek megfelelően az Unió egészében hatékonyan, megbízhatóan és következetesen nyomon lehessen követni ezen irányelv végrehajtását és az ezen irányelvnek való megfelelést, a felügyeleti hatóságokat a tagállamokban ugyanazokkal a feladatokkal és tényleges hatáskörökkel kell felruházni, ideértve a feladatok elvégzéséhez szükséges vizsgálati, korrekciós és tanácsadási hatáskört. E hatóságok hatáskörei ugyanakkor nem sérthetik a büntetőeljárásokra vonatkozó – ezen belül a bűncselekmények nyomozására és üldözésére – különös szabályokat, illetve az igazságszolgáltatás függetlenségét. Az ügyészségek nemzeti jogban biztosított hatásköreinek tiszteletben tartása mellett a felügyeleti hatóságokat is fel kell jogosítani arra, hogy ezen irányelv megsértése esetén az igazságügyi hatóságokhoz forduljanak vagy bírósági eljárást kezdeményezzenek. A felügyeleti hatóságok hatásköreiket az uniós és a nemzeti joggal egyező eljárási garanciáknak megfelelően, pártatlanul, tisztességesen és észszerű határidőn belül kell hogy gyakorolják. Különösképpen, az ezen irányelvnek való megfelelés biztosítása érdekében minden egyes intézkedésnek megfelelőnek, szükségesnek és arányosnak kell lennie, és azok kapcsán figyelembe kell venni az adott eset körülményeit, tiszteletben kell tartani azt, hogy minden személynek joga van ahhoz, hogy az őt esetleg hátrányosan érintő egyedi intézkedés meghozatala előtt meghallgassák, továbbá kerülni kell, hogy az intézkedés az érintett személynek felesleges költségeket és túlzott kényelmetlenséget okozzon. A helyiségekbe való belépést illetően a vizsgálati hatáskört a nemzeti jogban előírt vonatkozó követelményekkel összhangban kell gyakorolni, ilyen például az előzetes bírói engedély beszerzésének követelménye. A jogilag kötelező erejű döntések bírósági felülvizsgálatnak vethetők az adott döntést elfogadó felügyeleti hatóság tagállamában.

| (83) | A felügyeleti hatóságok feladataik ellátásában segítik egymást, és kölcsönös segítséget nyújtanak egymásnak annak érdekében, hogy a belső piacon biztosítsák ezen irányelv alapján elfogadott rendelkezések egységes alkalmazását és végrehajtását. |
| --- | --- |

(83)

A felügyeleti hatóságok feladataik ellátásában segítik egymást, és kölcsönös segítséget nyújtanak egymásnak annak érdekében, hogy a belső piacon biztosítsák ezen irányelv alapján elfogadott rendelkezések egységes alkalmazását és végrehajtását.

| (84) | A Testület az Unió egész területén hozzájárul ezen irányelv következetes alkalmazásához, ideértve a Bizottság részére történő tanácsadást és a felügyeleti hatóságok közötti, Unión belüli együttműködés előmozdítását is. |
| --- | --- |

(84)

A Testület az Unió egész területén hozzájárul ezen irányelv következetes alkalmazásához, ideértve a Bizottság részére történő tanácsadást és a felügyeleti hatóságok közötti, Unión belüli együttműködés előmozdítását is.

| (85) | Minden érintett jogosult, hogy panaszt tegyen egyetlen felügyeleti hatóságnál, és a Charta 47. cikkével összhangban bíróság előtti hatékony jogorvoslattal éljen, amennyiben az érintett úgy ítéli meg, hogy az ezen irányelv alapján elfogadott rendelkezések értelmében őt megillető jogokat megsértették, vagy ha a felügyeleti hatóság nem jár el valamely panasza alapján, illetve részben vagy egészben elutasítja vagy megalapozatlannak tekinti a panaszát, vagy nem jár el olyan esetben, amikor fellépése az érintett jogainak védelmében szükséges. A panaszt követően vizsgálatot kell lefolytatni – amely bírósági felülvizsgálat tárgyát képezheti – a konkrét esethez szükséges mértékben kell lefolytatni. Az illetékes felügyeleti hatóság észszerű határidőn belül tájékoztatja az érintettet a panaszhoz fűződő fejleményekről és eredményekről. Amennyiben az ügy további vizsgálatot vagy egy másik felügyeleti hatósággal való együttműködést tesz szükségessé, az érintett számára időközben tájékoztatást kell nyújtani. A panaszok benyújtásának megkönnyítése érdekében a felügyeleti hatóság intézkedéseket hoz, például olyan panasz benyújtására szolgáló formanyomtatványt biztosít, amely elektronikus úton is kitölthető, nem zárva ki azonban más kommunikációs eszközök alkalmazását sem. |
| --- | --- |

(85)

Minden érintett jogosult, hogy panaszt tegyen egyetlen felügyeleti hatóságnál, és a Charta 47. cikkével összhangban bíróság előtti hatékony jogorvoslattal éljen, amennyiben az érintett úgy ítéli meg, hogy az ezen irányelv alapján elfogadott rendelkezések értelmében őt megillető jogokat megsértették, vagy ha a felügyeleti hatóság nem jár el valamely panasza alapján, illetve részben vagy egészben elutasítja vagy megalapozatlannak tekinti a panaszát, vagy nem jár el olyan esetben, amikor fellépése az érintett jogainak védelmében szükséges. A panaszt követően vizsgálatot kell lefolytatni – amely bírósági felülvizsgálat tárgyát képezheti – a konkrét esethez szükséges mértékben kell lefolytatni. Az illetékes felügyeleti hatóság észszerű határidőn belül tájékoztatja az érintettet a panaszhoz fűződő fejleményekről és eredményekről. Amennyiben az ügy további vizsgálatot vagy egy másik felügyeleti hatósággal való együttműködést tesz szükségessé, az érintett számára időközben tájékoztatást kell nyújtani. A panaszok benyújtásának megkönnyítése érdekében a felügyeleti hatóság intézkedéseket hoz, például olyan panasz benyújtására szolgáló formanyomtatványt biztosít, amely elektronikus úton is kitölthető, nem zárva ki azonban más kommunikációs eszközök alkalmazását sem.

| (86) | Minden természetes vagy jogi személy számára biztosítani kell, hogy a valamely felügyeleti hatóság által hozott és az említett természetes vagy jogi személyekre nézve jogkövetkezményekkel járó döntéssel szemben hatékony bírósági jogorvoslattal élhessen valamely illetékes tagállami bíróság előtt. Ide tartoznak különösen a felügyeleti hatóság vizsgálati, korrekciós és engedélyezési hatásköreinek gyakorlására, illetve a panaszok megalapozatlannak tekintésére vagy elutasítására vonatkozó döntések. Mindazonáltal ez a jog nem vonatkozik a felügyeleti hatóságok egyéb, jogilag kötelező erővel nem bíró intézkedéseire, például a felügyeleti hatóság által kibocsátott véleményekre vagy általa adott tanácsokra. A felügyeleti hatósággal szembeni eljárást a felügyeleti hatóság székhelye szerinti tagállam bírósága előtt kell megindítani, és az eljárást a nemzeti jog szerint kell lefolytatni. Ezek a bíróságok teljes körű joghatósággal rendelkeznek, amely magában foglalja a tárgyalt jogvita szempontjából releváns összes ténybeli és jogi körülmény vizsgálatát. |
| --- | --- |

(86)

Minden természetes vagy jogi személy számára biztosítani kell, hogy a valamely felügyeleti hatóság által hozott és az említett természetes vagy jogi személyekre nézve jogkövetkezményekkel járó döntéssel szemben hatékony bírósági jogorvoslattal élhessen valamely illetékes tagállami bíróság előtt. Ide tartoznak különösen a felügyeleti hatóság vizsgálati, korrekciós és engedélyezési hatásköreinek gyakorlására, illetve a panaszok megalapozatlannak tekintésére vagy elutasítására vonatkozó döntések. Mindazonáltal ez a jog nem vonatkozik a felügyeleti hatóságok egyéb, jogilag kötelező erővel nem bíró intézkedéseire, például a felügyeleti hatóság által kibocsátott véleményekre vagy általa adott tanácsokra. A felügyeleti hatósággal szembeni eljárást a felügyeleti hatóság székhelye szerinti tagállam bírósága előtt kell megindítani, és az eljárást a nemzeti jog szerint kell lefolytatni. Ezek a bíróságok teljes körű joghatósággal rendelkeznek, amely magában foglalja a tárgyalt jogvita szempontjából releváns összes ténybeli és jogi körülmény vizsgálatát.

| (87) | Amennyiben az érintett úgy ítéli meg, hogy az ezen irányelv értelmében fennálló jogait megsértették, jogosult megbízni egy – az érintetteknek a személyes adataik védelmével kapcsolatos jogait és érdekeit védeni hivatott –, a nemzeti jognak megfelelően létrehozott szervet, hogy az a nevében eljárva panaszt tegyen valamely felügyeleti hatóságnál, és éljen a bírósági jogorvoslathoz való jogával. Az érintettek képviselethez való joga nem sértheti a tagállami eljárásjogot, amely előírhatja, hogy érintetteket kötelezően a tagállami bíróságok előtt a 77/249/EGK tanácsi irányelvben (10) foglalt fogalommeghatározás szerinti ügyvéd képviselje. |
| --- | --- |

(87)

Amennyiben az érintett úgy ítéli meg, hogy az ezen irányelv értelmében fennálló jogait megsértették, jogosult megbízni egy – az érintetteknek a személyes adataik védelmével kapcsolatos jogait és érdekeit védeni hivatott –, a nemzeti jognak megfelelően létrehozott szervet, hogy az a nevében eljárva panaszt tegyen valamely felügyeleti hatóságnál, és éljen a bírósági jogorvoslathoz való jogával. Az érintettek képviselethez való joga nem sértheti a tagállami eljárásjogot, amely előírhatja, hogy érintetteket kötelezően a tagállami bíróságok előtt a 77/249/EGK tanácsi irányelvben (10) foglalt fogalommeghatározás szerinti ügyvéd képviselje.

| (88) | Az ezen irányelv alapján elfogadott rendelkezéseket sértő adatkezelés miatt felmerült kárt az adatkezelő vagy a nemzeti jog szerint illetékes más hatóság megtéríti a kárt szenvedett személynek. A kár fogalmát a Bíróság ítélkezési gyakorlatának fényében tágan kell értelmezni, mégpedig oly módon, hogy az teljes mértékben tükrözze ezen irányelv célkitűzéseit. Ez nem érinti a más uniós vagy nemzeti jog megsértéséből eredő károkkal kapcsolatos esetleges kártérítési igényeket. Ahol ez az irányelv jogszerűtlen vagy az ezen irányelv alapján elfogadott rendelkezéseit sértő adatkezelést említ, azon az ezen irányelvvel összhangban elfogadott végrehajtási jogi aktusoknak nem megfelelő adatkezelést is érteni kell. Az érintetteket az őket ért kárért teljes és tényleges kártérítés illeti meg. |
| --- | --- |

(88)

Az ezen irányelv alapján elfogadott rendelkezéseket sértő adatkezelés miatt felmerült kárt az adatkezelő vagy a nemzeti jog szerint illetékes más hatóság megtéríti a kárt szenvedett személynek. A kár fogalmát a Bíróság ítélkezési gyakorlatának fényében tágan kell értelmezni, mégpedig oly módon, hogy az teljes mértékben tükrözze ezen irányelv célkitűzéseit. Ez nem érinti a más uniós vagy nemzeti jog megsértéséből eredő károkkal kapcsolatos esetleges kártérítési igényeket. Ahol ez az irányelv jogszerűtlen vagy az ezen irányelv alapján elfogadott rendelkezéseit sértő adatkezelést említ, azon az ezen irányelvvel összhangban elfogadott végrehajtási jogi aktusoknak nem megfelelő adatkezelést is érteni kell. Az érintetteket az őket ért kárért teljes és tényleges kártérítés illeti meg.

| (89) | Szankciót kell kiróni minden olyan természetes vagy jogi személyre – függetlenül attól, hogy a magánjog vagy a közjog hatálya alá tartozik-e –, aki, illetve amely megsérti ezt az irányelvet. A tagállamok előírják, hogy a szankciók hatékonyak, arányosak és visszatartó erejűek legyenek, és meghoznak minden szükséges intézkedést ezek végrehajtására. |
| --- | --- |

(89)

Szankciót kell kiróni minden olyan természetes vagy jogi személyre – függetlenül attól, hogy a magánjog vagy a közjog hatálya alá tartozik-e –, aki, illetve amely megsérti ezt az irányelvet. A tagállamok előírják, hogy a szankciók hatékonyak, arányosak és visszatartó erejűek legyenek, és meghoznak minden szükséges intézkedést ezek végrehajtására.

| (90) | Ezen irányelv végrehajtása egységes feltételeinek biztosítása érdekében a Bizottságra végrehajtási hatásköröket kell ruházni a következőkre vonatkozóan: valamely harmadik ország vagy a harmadik ország területe vagy meghatározott ágazata, illetve valamely nemzetközi szervezet által biztosított megfelelő védelmi szint, a kölcsönös segítségnyújtás formátuma és eljárásai, valamint a felügyeleti hatóságok közötti, illetve a felügyeleti hatóságok és a Testület közötti, elektronikus úton történő információcserére vonatkozó szabályok. Ezeket a végrehajtási hatásköröket a 182/2011/EU európai parlamenti és tanácsi rendeletnek megfelelően kell gyakorolni (11). |
| --- | --- |

(90)

Ezen irányelv végrehajtása egységes feltételeinek biztosítása érdekében a Bizottságra végrehajtási hatásköröket kell ruházni a következőkre vonatkozóan: valamely harmadik ország vagy a harmadik ország területe vagy meghatározott ágazata, illetve valamely nemzetközi szervezet által biztosított megfelelő védelmi szint, a kölcsönös segítségnyújtás formátuma és eljárásai, valamint a felügyeleti hatóságok közötti, illetve a felügyeleti hatóságok és a Testület közötti, elektronikus úton történő információcserére vonatkozó szabályok. Ezeket a végrehajtási hatásköröket a 182/2011/EU európai parlamenti és tanácsi rendeletnek megfelelően kell gyakorolni (11).

| (91) | A vizsgálóbizottsági eljárást kell alkalmazni a valamely harmadik ország vagy a harmadik ország területe vagy meghatározott ágazata, illetve valamely nemzetközi szervezet által biztosított megfelelő védelmi szintről, a kölcsönös segítségnyújtás formátumáról és eljárásairól, valamint a felügyeleti hatóságok közötti, illetve a felügyeleti hatóságok és a Testület közötti, elektronikus úton történő információcserére vonatkozó szabályokról szóló végrehajtási jogi aktusok elfogadására, mivel ezek a jogi aktusok általános hatállyal bírnak. |
| --- | --- |

(91)

A vizsgálóbizottsági eljárást kell alkalmazni a valamely harmadik ország vagy a harmadik ország területe vagy meghatározott ágazata, illetve valamely nemzetközi szervezet által biztosított megfelelő védelmi szintről, a kölcsönös segítségnyújtás formátumáról és eljárásairól, valamint a felügyeleti hatóságok közötti, illetve a felügyeleti hatóságok és a Testület közötti, elektronikus úton történő információcserére vonatkozó szabályokról szóló végrehajtási jogi aktusok elfogadására, mivel ezek a jogi aktusok általános hatállyal bírnak.

| (92) | A Bizottságnak azonnal alkalmazandó végrehajtási jogi aktusokat kell elfogadnia, ha kellően indokolt esetben ez rendkívül sürgős okból szükséges, amikor valamely harmadik ország, annak területe vagy meghatározott ágazata, illetve valamely nemzetközi szervezet már nem biztosít megfelelő védelmi szintet. |
| --- | --- |

(92)

A Bizottságnak azonnal alkalmazandó végrehajtási jogi aktusokat kell elfogadnia, ha kellően indokolt esetben ez rendkívül sürgős okból szükséges, amikor valamely harmadik ország, annak területe vagy meghatározott ágazata, illetve valamely nemzetközi szervezet már nem biztosít megfelelő védelmi szintet.

| (93) | Mivel ezen irányelv céljait, nevezetesen az érintettek alapvető jogainak és szabadságainak – különösen a személyes adatok védelméhez való joguknak – megóvását, valamint annak biztosítását, hogy az Unión belül az illetékes hatóságok a személyes adatokat szabadon cserélhessék, a tagállamok nem tudják kielégítően megvalósítani, az Unió szintjén azonban az intézkedés terjedelme vagy hatása miatt e célok jobban megvalósíthatók, az Unió intézkedéseket hozhat az EUSZ 5. cikkében foglalt szubszidiaritás elvének megfelelően. Az említett cikkben foglalt arányosság elvének megfelelően ezen irányelv nem lépi túl az e célok eléréséhez szükséges mértéket. |
| --- | --- |

(93)

Mivel ezen irányelv céljait, nevezetesen az érintettek alapvető jogainak és szabadságainak – különösen a személyes adatok védelméhez való joguknak – megóvását, valamint annak biztosítását, hogy az Unión belül az illetékes hatóságok a személyes adatokat szabadon cserélhessék, a tagállamok nem tudják kielégítően megvalósítani, az Unió szintjén azonban az intézkedés terjedelme vagy hatása miatt e célok jobban megvalósíthatók, az Unió intézkedéseket hozhat az EUSZ 5. cikkében foglalt szubszidiaritás elvének megfelelően. Az említett cikkben foglalt arányosság elvének megfelelően ezen irányelv nem lépi túl az e célok eléréséhez szükséges mértéket.

| (94) | A büntetőügyekben folytatott igazságügyi együttműködés és a rendőrségi együttműködés területén az ezen irányelv elfogadásának időpontját megelőzően elfogadott olyan jogi aktusok bizonyos rendelkezései, amelyek a személyes adatok tagállamok közötti kezelését és a kijelölt tagállami hatóságoknak a Szerződések alapján létrehozott, ezen irányelv hatálya alá tartozó információs rendszerekhez való hozzáférését szabályozzák, változatlanul hatályban maradnak, ideértve például a 2008/615/IB tanácsi határozat (12) alapján a személyes adatok védelmére vonatkozóan alkalmazott különös rendelkezéseket, illetve az Unió tagállamai közötti kölcsönös bűnügyi jogsegélyegyezmény (13) 23. cikkét. Mivel a Charta 8. cikke és az EUMSZ 16. cikke előírja, hogy a személyes adatok védelméhez való alapvető jogot az Unió egész területén következetesen biztosítani kell, a Bizottság megvizsgálja, hogy az ezen irányelv és az elfogadásának időpontját megelőzően elfogadott – a személyes adatok tagállamok közötti kezelését vagy a kijelölt tagállami hatóságoknak a Szerződések alapján létrehozott információs rendszerekhez való hozzáférését szabályozó – jogi aktusok egymáshoz való viszonyának fényében szükséges-e a ezeket a rendelkezéseket ehhez az irányelvhez igazítani. Amennyiben szükséges, Bizottság javaslatokat nyújt be annak érdekében, hogy következetes jogi normák biztosítsák a személyes adatok kezelését. |
| --- | --- |

(94)

A büntetőügyekben folytatott igazságügyi együttműködés és a rendőrségi együttműködés területén az ezen irányelv elfogadásának időpontját megelőzően elfogadott olyan jogi aktusok bizonyos rendelkezései, amelyek a személyes adatok tagállamok közötti kezelését és a kijelölt tagállami hatóságoknak a Szerződések alapján létrehozott, ezen irányelv hatálya alá tartozó információs rendszerekhez való hozzáférését szabályozzák, változatlanul hatályban maradnak, ideértve például a 2008/615/IB tanácsi határozat (12) alapján a személyes adatok védelmére vonatkozóan alkalmazott különös rendelkezéseket, illetve az Unió tagállamai közötti kölcsönös bűnügyi jogsegélyegyezmény (13) 23. cikkét. Mivel a Charta 8. cikke és az EUMSZ 16. cikke előírja, hogy a személyes adatok védelméhez való alapvető jogot az Unió egész területén következetesen biztosítani kell, a Bizottság megvizsgálja, hogy az ezen irányelv és az elfogadásának időpontját megelőzően elfogadott – a személyes adatok tagállamok közötti kezelését vagy a kijelölt tagállami hatóságoknak a Szerződések alapján létrehozott információs rendszerekhez való hozzáférését szabályozó – jogi aktusok egymáshoz való viszonyának fényében szükséges-e a ezeket a rendelkezéseket ehhez az irányelvhez igazítani. Amennyiben szükséges, Bizottság javaslatokat nyújt be annak érdekében, hogy következetes jogi normák biztosítsák a személyes adatok kezelését.

| (95) | Annak érdekében, hogy a személyes adatok átfogó és következetes védelme biztosított legyen az Unióban, azok a nemzetközi megállapodások, amelyeket a tagállamok ezen irányelv hatálybalépésének napját megelőzően kötöttek, és amelyek megfelelnek az ezen időpont előtt alkalmazandó vonatkozó uniós jognak, módosításukig, felváltásukig vagy visszavonásukig hatályban maradnak. |
| --- | --- |

(95)

Annak érdekében, hogy a személyes adatok átfogó és következetes védelme biztosított legyen az Unióban, azok a nemzetközi megállapodások, amelyeket a tagállamok ezen irányelv hatálybalépésének napját megelőzően kötöttek, és amelyek megfelelnek az ezen időpont előtt alkalmazandó vonatkozó uniós jognak, módosításukig, felváltásukig vagy visszavonásukig hatályban maradnak.

| (96) | A tagállamok számára ezen irányelv átültetésére ezen irányelv hatálybalépésének napjától számított két éves időszakot meg nem haladó időtartamot kell előírni. A hatálybalépés napján már folyamatban lévő adatkezelést ezen irányelv hatálybalépésének időpontjától számított két éven belül összhangba kell hozni ezen irányelvvel. Mindazonáltal az ezen irányelv hatálybalépésének napja előtt az alkalmazandó uniós jognak megfelelő adatkezelés esetében az ezen irányelvben foglalt, a felügyeleti hatósággal folytatott előzetes konzultációra vonatkozó előírásokat nem kell alkalmazni az említett időpontban már folyamatban lévő adatkezelésre, tekintettel arra, hogy ezeket a követelményeket természetüknél fogva már az adatkezelés megkezdése előtt teljesíteni kell. Amennyiben a tagállamok élnek a hosszabb végrehajtási időtartam lehetőségével, és az ezen irányelv hatálybalépése előtt létesített automatizált adatkezelési rendszerek tekintetében az ezen irányelv hatálybalépésének napjától számított hét éven belül tesznek eleget a naplózási kötelezettségnek, az adatkezelőnek vagy az adatfeldolgozónak az adatkezelés jogszerűségének bizonyítására, az önellenőrzés lehetővé tételére, valamint az adatok integritásának és adatbiztonságának szavatolására, például naplók vagy más nyilvántartások formájában, hatékony módszereket kell alkalmaznia. |
| --- | --- |

(96)

A tagállamok számára ezen irányelv átültetésére ezen irányelv hatálybalépésének napjától számított két éves időszakot meg nem haladó időtartamot kell előírni. A hatálybalépés napján már folyamatban lévő adatkezelést ezen irányelv hatálybalépésének időpontjától számított két éven belül összhangba kell hozni ezen irányelvvel. Mindazonáltal az ezen irányelv hatálybalépésének napja előtt az alkalmazandó uniós jognak megfelelő adatkezelés esetében az ezen irányelvben foglalt, a felügyeleti hatósággal folytatott előzetes konzultációra vonatkozó előírásokat nem kell alkalmazni az említett időpontban már folyamatban lévő adatkezelésre, tekintettel arra, hogy ezeket a követelményeket természetüknél fogva már az adatkezelés megkezdése előtt teljesíteni kell. Amennyiben a tagállamok élnek a hosszabb végrehajtási időtartam lehetőségével, és az ezen irányelv hatálybalépése előtt létesített automatizált adatkezelési rendszerek tekintetében az ezen irányelv hatálybalépésének napjától számított hét éven belül tesznek eleget a naplózási kötelezettségnek, az adatkezelőnek vagy az adatfeldolgozónak az adatkezelés jogszerűségének bizonyítására, az önellenőrzés lehetővé tételére, valamint az adatok integritásának és adatbiztonságának szavatolására, például naplók vagy más nyilvántartások formájában, hatékony módszereket kell alkalmaznia.

| (97) | Ez az irányelv nem sértheti a gyermekek szexuális bántalmazása, szexuális kizsákmányolása és a gyermekpornográfia elleni küzdelemre vonatkozóan a 2011/93/EU európai parlamenti és tanácsi irányelvben (14) megállapított rendelkezéseket. |
| --- | --- |

(97)

Ez az irányelv nem sértheti a gyermekek szexuális bántalmazása, szexuális kizsákmányolása és a gyermekpornográfia elleni küzdelemre vonatkozóan a 2011/93/EU európai parlamenti és tanácsi irányelvben (14) megállapított rendelkezéseket.

| (98) | A 2008/977/IB kerethatározatot ezért hatályon kívül kell helyezni. |
| --- | --- |

(98)

A 2008/977/IB kerethatározatot ezért hatályon kívül kell helyezni.

| (99) | Az EUSZ-hez és az EUMSZ-hez csatolt, az Egyesült Királyságnak és Írországnak a szabadságon, a biztonságon és a jog érvényesülésén alapuló térség tekintetében fennálló helyzetéről szóló 21. jegyzőkönyv 6a. cikkével összhangban az Egyesült Királyságot és Írországot nem kötelezik az ezen irányelvben meghatározott azon szabályok, amelyek a személyes adatoknak a tagállamok által, az EUMSZ harmadik része V. címe 4., illetve 5. fejezetének alkalmazási körébe tartozó tevékenységek során végzett kezelésére vonatkoznak, amennyiben az Egyesült Királyságot vagy Írországot nem kötelezik a büntetőügyekben folytatott igazságügyi együttműködés vagy a rendőrségi együttműködés formáira vonatkozó olyan szabályok, amelyek megkívánják az EUMSZ 16. cikk alapján meghatározott rendelkezések betartását. |
| --- | --- |

(99)

Az EUSZ-hez és az EUMSZ-hez csatolt, az Egyesült Királyságnak és Írországnak a szabadságon, a biztonságon és a jog érvényesülésén alapuló térség tekintetében fennálló helyzetéről szóló 21. jegyzőkönyv 6a. cikkével összhangban az Egyesült Királyságot és Írországot nem kötelezik az ezen irányelvben meghatározott azon szabályok, amelyek a személyes adatoknak a tagállamok által, az EUMSZ harmadik része V. címe 4., illetve 5. fejezetének alkalmazási körébe tartozó tevékenységek során végzett kezelésére vonatkoznak, amennyiben az Egyesült Királyságot vagy Írországot nem kötelezik a büntetőügyekben folytatott igazságügyi együttműködés vagy a rendőrségi együttműködés formáira vonatkozó olyan szabályok, amelyek megkívánják az EUMSZ 16. cikk alapján meghatározott rendelkezések betartását.

| (100) | Az EUSZ-hez és az EUMSZ-hez csatolt, Dánia helyzetéről szóló 22. jegyzőkönyv 2. és 2a. cikkével összhangban Dániára nézve nem kötelezőek és nem alkalmazandóak az ezen irányelvben megállapított azon szabályok, amelyek a személyes adatoknak a tagállamok által, az EUMSZ harmadik része V. címe 4., illetve 5. fejezete alkalmazási körébe tartozó tevékenységek során végzett feldolgozására vonatkoznak. Mivel ez az irányelv az EUMSZ harmadik része V. címének értelmében a schengeni vívmányokon alapul, Dánia az említett jegyzőkönyv 4. cikkének megfelelően az ezen irányelv elfogadását követő hat hónapon belül dönt arról, hogy azt nemzeti jogában végrehajtja-e. |
| --- | --- |

(100)

Az EUSZ-hez és az EUMSZ-hez csatolt, Dánia helyzetéről szóló 22. jegyzőkönyv 2. és 2a. cikkével összhangban Dániára nézve nem kötelezőek és nem alkalmazandóak az ezen irányelvben megállapított azon szabályok, amelyek a személyes adatoknak a tagállamok által, az EUMSZ harmadik része V. címe 4., illetve 5. fejezete alkalmazási körébe tartozó tevékenységek során végzett feldolgozására vonatkoznak. Mivel ez az irányelv az EUMSZ harmadik része V. címének értelmében a schengeni vívmányokon alapul, Dánia az említett jegyzőkönyv 4. cikkének megfelelően az ezen irányelv elfogadását követő hat hónapon belül dönt arról, hogy azt nemzeti jogában végrehajtja-e.

| (101) | Izland és Norvégia tekintetében ez az irányelv az Európai Unió Tanácsa, valamint az Izlandi Köztársaság és a Norvég Királyság között kötött, e két államnak a schengeni vívmányok végrehajtására, alkalmazására és fejlesztésére irányuló társulásáról szóló megállapodás (15) értelmében a schengeni vívmányok rendelkezéseinek továbbfejlesztését képezi. |
| --- | --- |

(101)

Izland és Norvégia tekintetében ez az irányelv az Európai Unió Tanácsa, valamint az Izlandi Köztársaság és a Norvég Királyság között kötött, e két államnak a schengeni vívmányok végrehajtására, alkalmazására és fejlesztésére irányuló társulásáról szóló megállapodás (15) értelmében a schengeni vívmányok rendelkezéseinek továbbfejlesztését képezi.

| (102) | Svájc tekintetében ez az irányelv az Európai Unió, az Európai Közösség és a Svájci Államszövetség közötti, a Svájci Államszövetségnek a schengeni vívmányok végrehajtására, alkalmazására és fejlesztésére irányuló társulásáról kötött megállapodás (16) értelmében a schengeni vívmányok rendelkezéseinek továbbfejlesztését képezi. |
| --- | --- |

(102)

Svájc tekintetében ez az irányelv az Európai Unió, az Európai Közösség és a Svájci Államszövetség közötti, a Svájci Államszövetségnek a schengeni vívmányok végrehajtására, alkalmazására és fejlesztésére irányuló társulásáról kötött megállapodás (16) értelmében a schengeni vívmányok rendelkezéseinek továbbfejlesztését képezi.

| (103) | Liechtenstein tekintetében ez az irányelv az Európai Unió, az Európai Közösség, a Svájci Államszövetség és a Liechtensteini Hercegség közötti, a Liechtensteini Hercegségnek az Európai Unió, az Európai Közösség és a Svájci Államszövetség közötti, a Svájci Államszövetségnek a schengeni vívmányok végrehajtására, alkalmazására és fejlesztésére irányuló társulásáról szóló megállapodáshoz való csatlakozásáról szóló jegyzőkönyv (17) értelmében a schengeni vívmányok rendelkezéseinek továbbfejlesztését képezi. |
| --- | --- |

(103)

Liechtenstein tekintetében ez az irányelv az Európai Unió, az Európai Közösség, a Svájci Államszövetség és a Liechtensteini Hercegség közötti, a Liechtensteini Hercegségnek az Európai Unió, az Európai Közösség és a Svájci Államszövetség közötti, a Svájci Államszövetségnek a schengeni vívmányok végrehajtására, alkalmazására és fejlesztésére irányuló társulásáról szóló megállapodáshoz való csatlakozásáról szóló jegyzőkönyv (17) értelmében a schengeni vívmányok rendelkezéseinek továbbfejlesztését képezi.

| (104) | Ezen irányelv tiszteletben tartja az alapvető jogokat és betartja a Charta által elismert, az EUMSZ-ben rögzített elveket, különösen a magán- és a családi élet tiszteletben tartásához való jogot, a személyes adatok védelméhez való jogot, a hatékony jogorvoslathoz és a tisztességes eljáráshoz való jogot. Az e jogokat érintő korlátozások összhangban vannak a Charta 52. cikkének (1) bekezdésével, mivel elengedhetetlenek az Unió által elismert általános érdekű célkitűzések megvalósításához, vagy mások jogainak és szabadságainak védelmét szolgálják. |
| --- | --- |

(104)

Ezen irányelv tiszteletben tartja az alapvető jogokat és betartja a Charta által elismert, az EUMSZ-ben rögzített elveket, különösen a magán- és a családi élet tiszteletben tartásához való jogot, a személyes adatok védelméhez való jogot, a hatékony jogorvoslathoz és a tisztességes eljáráshoz való jogot. Az e jogokat érintő korlátozások összhangban vannak a Charta 52. cikkének (1) bekezdésével, mivel elengedhetetlenek az Unió által elismert általános érdekű célkitűzések megvalósításához, vagy mások jogainak és szabadságainak védelmét szolgálják.

| (105) | A tagállamok és a Bizottság magyarázó dokumentumokról szóló, 2011. szeptember 28-i együttes politikai nyilatkozatával összhangban a tagállamok vállalták, hogy az átültető intézkedéseikről szóló értesítéshez indokolt esetben egy vagy több olyan dokumentumot mellékelnek, amely megmagyarázza ezen irányelv elemei és az azt átültető nemzeti intézkedések megfelelő részei közötti kapcsolatot. Ezen irányelv tekintetében a jogalkotó úgy ítéli meg, hogy ilyen dokumentumok átadása indokolt. |
| --- | --- |

(105)

A tagállamok és a Bizottság magyarázó dokumentumokról szóló, 2011. szeptember 28-i együttes politikai nyilatkozatával összhangban a tagállamok vállalták, hogy az átültető intézkedéseikről szóló értesítéshez indokolt esetben egy vagy több olyan dokumentumot mellékelnek, amely megmagyarázza ezen irányelv elemei és az azt átültető nemzeti intézkedések megfelelő részei közötti kapcsolatot. Ezen irányelv tekintetében a jogalkotó úgy ítéli meg, hogy ilyen dokumentumok átadása indokolt.

| (106) | Az európai adatvédelmi biztossal való konzultáció a 45/2001/EK rendelet 28. cikkének (2) bekezdésével összhangban megtörtént; a biztos 2012. március 7-én (18) nyilvánított véleményt. |
| --- | --- |

(106)

Az európai adatvédelmi biztossal való konzultáció a 45/2001/EK rendelet 28. cikkének (2) bekezdésével összhangban megtörtént; a biztos 2012. március 7-én (18) nyilvánított véleményt.

| (107) | Ez az irányelv nem akadályozza meg a tagállamokat abban, hogy nemzeti büntetőeljárási szabályaikban rendelkezzenek az érintetteket a büntetőeljárás során megillető tájékoztatáshoz, hozzáféréshez, helyesbítéshez, törléshez és az adatkezelés korlátozásához fűződő jog gyakorlásáról, valamint ezek esetleges korlátozásáról, |
| --- | --- |

(107)

Ez az irányelv nem akadályozza meg a tagállamokat abban, hogy nemzeti büntetőeljárási szabályaikban rendelkezzenek az érintetteket a büntetőeljárás során megillető tájékoztatáshoz, hozzáféréshez, helyesbítéshez, törléshez és az adatkezelés korlátozásához fűződő jog gyakorlásáról, valamint ezek esetleges korlátozásáról,

ELFOGADTA EZT AZ IRÁNYELVET:

I. FEJEZET

Általános rendelkezések

1. cikk

Tárgy és célok

(1)   Ez az irányelv szabályokat állapít meg természetes személyek védelmére személyes adataiknak az illetékes hatóságok által a bűncselekmények megelőzése, nyomozása, felderítése, üldözése vagy büntetőjogi szankciók végrehajtása – így többek között a közbiztonságot fenyegető veszélyekkel szembeni védelem és az e veszélyek megelőzése – céljából végzett kezelése tekintetében.

(2)   A tagállamok ezen irányelvvel összhangban:

| a) | védik a természetes személyek alapvető jogait és szabadságait, különösen a személyes adatok védelméhez való jogukat, valamint |
| --- | --- |

a)

védik a természetes személyek alapvető jogait és szabadságait, különösen a személyes adatok védelméhez való jogukat, valamint

| b) | biztosítják, hogy a személyes adatok illetékes hatóságok közötti, Unión belüli cseréje – amennyiben e cserét uniós vagy nemzeti jog írja elő – ne legyen korlátozás vagy tiltás tárgya a természetes személyeknek a személyes adatok kezelése tekintetében történő védelmével összefüggő okokból. |
| --- | --- |

b)

biztosítják, hogy a személyes adatok illetékes hatóságok közötti, Unión belüli cseréje – amennyiben e cserét uniós vagy nemzeti jog írja elő – ne legyen korlátozás vagy tiltás tárgya a természetes személyeknek a személyes adatok kezelése tekintetében történő védelmével összefüggő okokból.

(3)   Ez az irányelv nem akadályozza meg a tagállamokat abban, hogy az érintettek jogainak és szabadságainak védelme érdekében a személyes adatok illetékes hatóságok által végzett kezelésére az ezen irányelvben megállapítottnál magasabb szintű garanciákról rendelkezzenek.

2. cikk

Hatály

(1)   Ez az irányelv a személyes adatoknak az illetékes hatóságok által az 1. cikk (1) bekezdésében meghatározott célokból végzett kezelésére alkalmazandó.

(2)   Ezt az irányelvet kell alkalmazni a személyes adatok részben vagy egészben automatizált módon történő kezelésére, valamint az olyan személyes adatok nem automatizált módon történő kezelésére, amelyek valamely nyilvántartási rendszer részét képezik, vagy amelyeket egy nyilvántartási rendszer részévé kívánnak tenni.

(3)   Ezen irányelv nem alkalmazandó:

| a) | a személyes adatoknak az uniós jog hatályán kívül eső tevékenységek során végzett kezelésére; |
| --- | --- |

a)

a személyes adatoknak az uniós jog hatályán kívül eső tevékenységek során végzett kezelésére;

| b) | a személyes adatoknak az Unió intézményei, szervei, hivatalai és ügynökségei által végzett kezelésére. |
| --- | --- |

b)

a személyes adatoknak az Unió intézményei, szervei, hivatalai és ügynökségei által végzett kezelésére.

3. cikk

Fogalommeghatározások

Ezen irányelv alkalmazásában:

1.   „személyes adat”: azonosított vagy azonosítható természetes személyre („érintett”) vonatkozó bármely információ; azonosítható az a természetes személy, aki közvetlen vagy közvetett módon, különösen valamely azonosító, például név, azonosító szám, helymeghatározó adat, online azonosító vagy a természetes személy fizikai, fiziológiai, genetikai, szellemi, gazdasági, kulturális vagy szociális azonosságára vonatkozó egy vagy több tényező alapján azonosítható;

2.   „adatkezelés”: a személyes adatokon vagy adatállományokon automatizált vagy nem automatizált módon végzett bármely művelet vagy műveletek összessége, a gyűjtés, rögzítés, rendszerezés, tagolás, tárolás, átalakítás vagy megváltoztatás, lekérdezés, betekintés, felhasználás, a közlés továbbítás, terjesztés vagy egyéb módon történő hozzáférhetővé tétel útján, az összehangolás vagy összekapcsolás, korlátozás, a törlés, illetve a megsemmisítés;

3.   „az adatkezelés korlátozása”: a tárolt személyes adatok megjelölése jövőbeli kezelésük korlátozása céljából;

4.   „profilalkotás”: személyes adatok automatizált kezelésének bármely olyan formája, amelynek során a személyes adatokat valamely természetes személyhez fűződő bizonyos személyes jellemzők értékelésére – különösen a munkahelyi teljesítményre, anyagi helyzetre, egészségi állapotára, személyes preferenciákra vagy érdeklődési körökre, megbízhatóságra, viselkedésre tartózkodási helyre vagy helyváltoztatások elemzésére vagy előrejelzésére – használnak fel;

5.   „álnevesítés”: a személyes adatok olyan módon történő kezelése, amelynek következtében további információ felhasználása nélkül a továbbiakban már nem állapítható meg, hogy a személyes adat mely konkrét természetes személyre vonatkozik, feltéve hogy az ilyen további információt külön tárolják, és technikai és szervezési intézkedések megtételével biztosított, hogy azt azonosított vagy azonosítható természetes személyhez többé nem lehet kapcsolni;

6.   „nyilvántartási rendszer”: a személyes adatok bármely módon – centralizált, decentralizált vagy funkcionális vagy földrajzi szempontok szerint –tagolt állománya, amely meghatározott ismérvek alapján hozzáférhető;

7.   „illetékes hatóság”:

| a) | olyan közhatalmi szerv, amely hatáskörrel rendelkezik a bűncselekmények megelőzésére, nyomozására, felderítésére vagy üldözésére, illetve büntetőjogi szankciók végrehajtására, beleértve a közbiztonságot fenyegető veszélyekkel szembeni védelmet és e veszélyek megelőzését; vagy |
| --- | --- |

a)

olyan közhatalmi szerv, amely hatáskörrel rendelkezik a bűncselekmények megelőzésére, nyomozására, felderítésére vagy üldözésére, illetve büntetőjogi szankciók végrehajtására, beleértve a közbiztonságot fenyegető veszélyekkel szembeni védelmet és e veszélyek megelőzését; vagy

| b) | bármely egyéb, olyan közfeladatot szerv vagy szervezet, amely a nemzeti jog alapján hatósági feladatokat lát el és közhatalmi jogosítványokat gyakorol a bűncselekmények megelőzése, nyomozása, felderítése vagy üldözése, illetve büntetőjogi szankciók végrehajtása céljából, beleértve a közbiztonság fenntartását fenyegető veszélyekkel szembeni védelmet és e veszélyek megelőzését; |
| --- | --- |

b)

bármely egyéb, olyan közfeladatot szerv vagy szervezet, amely a nemzeti jog alapján hatósági feladatokat lát el és közhatalmi jogosítványokat gyakorol a bűncselekmények megelőzése, nyomozása, felderítése vagy üldözése, illetve büntetőjogi szankciók végrehajtása céljából, beleértve a közbiztonság fenntartását fenyegető veszélyekkel szembeni védelmet és e veszélyek megelőzését;

8.   „adatkezelő”: az az illetékes hatóság, amely a személyes adatok kezelésének céljait és eszközeit önállóan vagy másokkal együtt meghatározza; ha az ilyen adatkezelés céljait és eszközeit uniós vagy nemzeti jog határozza meg, az adatkezelőt vagy a kijelölésre vonatkozó különös szempontokat az uniós vagy nemzeti jog is meghatározhatja;

9.   „adatfeldolgozó”: az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely más szerv, amely az adatkezelő nevében személyes adatokat kezel;

10.   „címzett”: az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely más szerv, akivel vagy amellyel a személyes adatot közlik, függetlenül attól, hogy harmadik fél-e. Nem tekintendők azonban címzettnek azok a közhatalmi szervek, amelyek egy egyedi vizsgálat keretében a nemzeti joggal összhangban kaphatnak személyes adatot, és az említett adatok e közhatalmi szervek általi kezelése során az adatkezelés céljainak megfelelően az alkalmazandó adatvédelmi szabályokat be kell tartani;

11.   „adatvédelmi incidens: az adatbiztonság olyan sérelme, amely a továbbított, tárolt vagy más módon kezelt személyes adatok véletlen vagy jogellenes megsemmisítését, elvesztését, módosítását, jogosulatlan nyilvánosságra hozatalát vagy az azokhoz való jogosulatlan hozzáférést eredményezi;

12.   „genetikai adat”: egy természetes személy örökölt vagy szerzett genetikai jellemzőire vonatkozó minden olyan személyes adat, amely az adott személy fiziológiájára vagy egészségi állapotára vonatkozóegyedi információt hordoz, és amely elsősorban az adott természetes személyből vett biológiai minta elemzéséből ered;

13.   „biometrikus adat”: egy természetes személy fizikai, fiziológiai vagy viselkedési jellemzői vonatkozó olyan, sajátos technikai eljárásokkal nyert személyes adat, amely lehetővé teszi vagy megerősíti a természetes személy egyedi azonosítását, ilyen például az arckép vagy a daktiloszkópiai adat;

14.   „egészségügyi adat”: egy természetes személy testi vagy szellemi egészségi állapotára vonatkozó személyes adat, ideértve a természetes személy számára nyújtott egészségügyi szolgáltatásokra vonatkozó olyan adatot is, amely információt hordoz a természetes személy egészségi állapotáról;

15.   „felügyeleti hatóság”: a tagállam által a 41. cikk alapján létrehozott független közhatalmi szerv;

16.   „nemzetközi szervezet”: a nemzetközi közjog hatálya alá tartozó szervezet vagy annak alárendelt szervei, vagy olyan egyéb szerv, amelyet két vagy több állam közötti megállapodás hozott létre vagy amely ilyen megállapodás alapján jött létre.

II. FEJEZET

Elvek

4. cikk

A személyes adatok kezelésére vonatkozó alapelvek

(1)   A tagállamok előírják, hogy a személyes adatok:

| a) | kezelését jogszerűen és tisztességesen végzik; |
| --- | --- |

a)

kezelését jogszerűen és tisztességesen végzik;

| b) | gyűjtése csak meghatározott, egyértelmű és jogszerű célból történjen, és azokat ne kezeljék az e célokkal össze nem egyeztethető módon; |
| --- | --- |

b)

gyűjtése csak meghatározott, egyértelmű és jogszerű célból történjen, és azokat ne kezeljék az e célokkal össze nem egyeztethető módon;

| c) | az adatkezelés céljai szempontjából megfelelőek és relevánsak kell, hogy legyenek, és szükségesre kell korlátozódniuk; |
| --- | --- |

c)

az adatkezelés céljai szempontjából megfelelőek és relevánsak kell, hogy legyenek, és szükségesre kell korlátozódniuk;

| d) | pontosak, és ha szükséges, naprakészek legyenek, minden észszerű intézkedést meg kell tenni annak érdekében, hogy a kezelésük céljai szempontjából pontatlan személyes adatokat haladéktalanul töröljék vagy helyesbítsék; |
| --- | --- |

d)

pontosak, és ha szükséges, naprakészek legyenek, minden észszerű intézkedést meg kell tenni annak érdekében, hogy a kezelésük céljai szempontjából pontatlan személyes adatokat haladéktalanul töröljék vagy helyesbítsék;

| e) | tárolásának olyan formában kell történnie, amely az érintettek azonosítását csak a kezelésük céljainak eléréséhez szükséges ideig teszi lehetővé; |
| --- | --- |

e)

tárolásának olyan formában kell történnie, amely az érintettek azonosítását csak a kezelésük céljainak eléréséhez szükséges ideig teszi lehetővé;

| f) | kezelését oly módon kell végezni, hogy a megfelelő technikai vagy szervezeti intézkedések alkalmazásával biztosítva legyen a személyes adatok megfelelő biztonsága,az adatok jogosulatlan vagy jogellenes kezelésével, véletlen elvesztésével, megsemmisítésével vagy károsodásával szembeni védelmet is ideértve. |
| --- | --- |

f)

kezelését oly módon kell végezni, hogy a megfelelő technikai vagy szervezeti intézkedések alkalmazásával biztosítva legyen a személyes adatok megfelelő biztonsága,az adatok jogosulatlan vagy jogellenes kezelésével, véletlen elvesztésével, megsemmisítésével vagy károsodásával szembeni védelmet is ideértve.

(2)   Azonos vagy más adatkezelő által az 1. cikk (1) bekezdésében meghatározott, de a személyes adatok gyűjtésének céljától eltérő célból végzett bármilyen adatkezelés akkor megengedett, ha:

| a) | az adatkezelő az uniós vagy nemzeti joggal összhangban jogosult az említett személyes adatokat az említett célból kezelni, valamint |
| --- | --- |

a)

az adatkezelő az uniós vagy nemzeti joggal összhangban jogosult az említett személyes adatokat az említett célból kezelni, valamint

| b) | az adatkezelés az uniós vagy nemzeti joggal összhangban, az említett egyéb cél szempontjából szükséges és arányos. |
| --- | --- |

b)

az adatkezelés az uniós vagy nemzeti joggal összhangban, az említett egyéb cél szempontjából szükséges és arányos.

(3)   Azonos vagy más adatkezelő által végzett adatkezelésbe beletartozhat az 1. cikk (1) bekezdésében meghatározott közérdekű archiválási célokból vagy a tudományos és történelmi kutatási célokból, vagy statisztikai célokból végzett felhasználás is, feltéve, hogy az érintettek jogaira és szabadságaira megfelelő garanciákat alkalmaznak.

(4)   Az adatkezelő a felel az (1), (2) és (3) bekezdésnek való megfelelésért, és képesnek kell lennie a megfelelés bizonyítására.

5. cikk

A tárolásra és a felülvizsgálatra vonatkozó határidők

A tagállamok megfelelő határidőket állapítanak meg a személyes adatok törlésére vagy az adattárolás szükségességének rendszeres felülvizsgálatára. E határidők betartását eljárásjogi intézkedésekkel szükséges biztosítani.

6. cikk

Az érintett különböző kategóriáinak megkülönböztetése

A tagállamok előírják az adatkezelő számára, hogy – adott esetben és lehetőség szerint – világos különbséget tegyen az érintettek különböző kategóriáinak személyes adatai között az alábbiak szerint:

| a) | olyan természetes személyek, akik tekintetében alapos okkal feltételezhető, hogy bűncselekményt követtek el vagy készülnek elkövetni; |
| --- | --- |

a)

olyan természetes személyek, akik tekintetében alapos okkal feltételezhető, hogy bűncselekményt követtek el vagy készülnek elkövetni;

| b) | bűncselekmény elkövetéséért elítélt természetes személyek; |
| --- | --- |

b)

bűncselekmény elkövetéséért elítélt természetes személyek;

| c) | bűncselekmény áldozatai, illetve olyan természetes személyek, akikről bizonyos tények alapján okkal feltételezhető, hogy bűncselekmény áldozatai lehetnek, valamint |
| --- | --- |

c)

bűncselekmény áldozatai, illetve olyan természetes személyek, akikről bizonyos tények alapján okkal feltételezhető, hogy bűncselekmény áldozatai lehetnek, valamint

| d) | a bűncselekmény kapcsán érintett harmadik felek, így például olyan természetes személyek, akiket a bűncselekményekkel kapcsolatos nyomozás vagy az azt követő büntetőeljárás során tanúként lehet beidézni, olyan természetes személyek, akik bűncselekményről információval szolgálhatnak, vagy az a) és b) pontokban említett természetes személyek kapcsolatai vagy bűntársai. |
| --- | --- |

d)

a bűncselekmény kapcsán érintett harmadik felek, így például olyan természetes személyek, akiket a bűncselekményekkel kapcsolatos nyomozás vagy az azt követő büntetőeljárás során tanúként lehet beidézni, olyan természetes személyek, akik bűncselekményről információval szolgálhatnak, vagy az a) és b) pontokban említett természetes személyek kapcsolatai vagy bűntársai.

7. cikk

A személyes adatok és a személyes adatok minőségének ellenőrzése közötti különbségtétel

(1)   A tagállamok előírják, hogy – amennyire lehetséges – a tényeken alapuló és a személyes értékelésen alapuló személyes adatok közötti különbségtétel biztosított legyen.

(2)   A tagállamok az illetékes hatóságok számára előírják, hogy minden észszerű intézkedést megtegyenek annak biztosítása érdekében, hogy a pontatlan, hiányos vagy már nem naprakész személyes adatokat ne lehessen továbbítani vagy hozzáférhetővé tenni. E célból az egyes illetékes hatóságok – amennyire ez a gyakorlatban megvalósítható – a személyes adatok minőségét a továbbítást vagy hozzáférhetővé tételt megelőzően ellenőrzik. Amennyire lehetséges, minden személyes adat továbbításakor csatolni kell azokat a szükséges információkat, amelyek lehetővé teszik az adatokat átvevő illetékes hatóság számára, hogy a személyes adatok pontosságának mértékét, teljességét, megbízhatóságát és azok naprakészségét értékelje.

(3)   Amennyiben kiderül, hogy pontatlan személyes adatokat továbbítottak vagy a személyes adatokat jogszerűtlenül továbbították, a címzettet erről haladéktalanul értesíteni kell. Ebben az esetben a 16. cikkel összhangban a személyes adatokat helyesbíteni, törölni vagy az adatkezelést korlátozni kell.

8. cikk

Az adatkezelés jogszerűsége

(1)   A tagállamok biztosítják, hogy a adatkezelés csak akkor és kizárólag annyiban legyen jogszerű, amennyiben olyan feladat ellátásához szükséges, amelyet valamely illetékes hatóság az 1. cikk (1) bekezdésében meghatározott célokból végez, és az adatkezelés uniós vagy nemzeti jog alapján történik.

(2)   Az ezen irányelv hatálya alá tartozó adatkezelést szabályozó nemzeti jogban rendelkezni kell legalább az adatkezelés célkitűzéseiről, a kezelendő személyes adatokról és az adatkezelés céljairól.

9. cikk

Különös adatkezelési feltételek

(1)   Az illetékes hatóságok által az 1. cikk (1) bekezdésében meghatározott célokból gyűjtött személyes adatok az 1. cikk (1) bekezdésében meghatározott céloktól eltérően nem kezelhetők, kivéve, ha az említett adatok kezelésére uniós vagy nemzeti jog felhatalmazást ad. Amennyiben személyes adatot ilyen más célokból is kezelnek, ebben az esetben az az (EU) 2016/... (**) rendeletet kell alkalmazni, kivéve, ha az adatkezelést az uniós jog hatályán kívül eső tevékenység során végzik.

(2)   Amennyiben a nemzeti jog az 1. cikk (1) bekezdésében meghatározott célok elvégzésétől eltérő célból elvégzendő feladatok elvégzését írják elő az illetékes hatóságok számára, az ilyen közérdekű archiválási célokból tudományos vagy történelmi kutatási célokból, vagy statisztikai célokból történő adatkezelésre az (EU) 2016/... rendeletet (**) kell alkalmazni, kivéve, ha az adatkezelést az uniós jog hatályán kívül eső tevékenység során végzik.

(3)   A tagállamok előírják, hogy amennyiben a továbbító illetékes hatóságra alkalmazandó uniós vagy nemzeti jog az adatkezelésre vonatkozóan különös feltételeket ír elő, akkor a továbbító illetékes hatóság tájékoztassa a címzettet az ilyen személyes adatról, az említett feltételekről és a betartásukra vonatkozó követelményről.

(4)   A tagállamok előírják, hogy a továbbító illetékes hatóság a (3) bekezdés szerinti feltételeket ne alkalmazza más tagállambeli címzettekre, illetve az EUMSZ V. címének 4. és 5. fejezete szerint létrehozott ügynökségekre, hivatalokra és szervekre, azon feltételek kivételével, amelyek a továbbító illetékes hatóság szerinti tagállamon belül a hasonló adattovábbítások esetében alkalmazni kell.

10. cikk

A személyes adatok különleges kategóriáinak kezelése

A faji vagy etnikai származásra, a politikai véleményre, a vallási vagy világnézeti meggyőződésre, vagy szakszervezeti tagságra utaló személyes adatok kezelése, és a genetikai adatok kezelése, kizárólag a természetes személy azonosításához kezelt biometrikus adatok, vagy az a természetes személy egészségügyi adataira vagy szexuális életére és szexuális irányultságára vonatkozó adatok kezelése csak akkor megengedett, ha arra feltétlenül szükség van az érintettek jogaira és szabadságaira vonatkozó megfelelő garanciák mellett és:

| a) | amennyiben azt uniós vagy nemzeti jog lehetővé teszi; |
| --- | --- |

a)

amennyiben azt uniós vagy nemzeti jog lehetővé teszi;

| b) | az érintett vagy más természetes személy létfontosságú érdekeinek védelme céljából szükséges; vagy |
| --- | --- |

b)

az érintett vagy más természetes személy létfontosságú érdekeinek védelme céljából szükséges; vagy

| c) | amennyiben az ilyen adatkezelés olyan adatokra vonatkozik, amelyeket az érintett kifejezetten nyilvánosságra hozott. |
| --- | --- |

c)

amennyiben az ilyen adatkezelés olyan adatokra vonatkozik, amelyeket az érintett kifejezetten nyilvánosságra hozott.

11. cikk

Automatizált döntéshozatal egyedi ügyekben

(1)   A tagállamok biztosítják, hogy tilos olyan, kizárólag automatizált adatkezelésen – többek között profilalkotáson – alapuló döntést hozni, amelynek joghatása az érintettre nézve hátrányos vagy őt jelentős mértékben érinti, kivéve, ha az adatkezelőre alkalmazandó olyan uniós vagy nemzeti jog ezt lehetővé teszi, és amely az érintettek jogaira és szabadságaira vonatkozó megfelelő garanciákról is rendelkezik, ideértve legalább az érintett jogát arra, hogy az adatkezelőtől emberi beavatkozást kérjen.

(2)   Az e cikk (1) bekezdésében említett döntések nem alapulhatnak a személyes adatoknak a 10. cikkben említett különleges kategóriáin, kivéve ha az érintett jogainak, szabadságainak és jogos érdekeinek védelmét megfelelő intézkedések biztosítják.

(3)   A 10. cikk szerinti személyes adatok különleges kategóriái alapján történő olyan profilalkotást, amely a természetes személyekre vonatkozóan megkülönböztetést eredményez, az uniós joggal összhangban tiltani kell.

III. FEJEZET

Az érintett jogai

12. cikk

Tájékoztatás és az érintett jogainak gyakorlására vonatkozó módok

(1)   A tagállamok előírják, hogy az adatkezelő megfelelőnek lépéseket kell hoznia annak érdekében, hogy az érintett részére az adatok kezelésére vonatkozó, a 13. cikkben említett valamennyi információt és a 11., a 14–18. és a 31. cikk szerinti bármilyen tájékoztatást tömör, átlátható érthető és könnyen hozzáférhető formában, világosan és közérthetően megfogalmazva nyújtsa. Az információ bármilyen megfelelő módon – így elektronikus úton is – nyújtható. Az adatkezelő az információkat főszabályként a kérelem formájával megegyező formában nyújtja.

(2)   A tagállamok előírják, hogy az adatkezelőnek elő kell segítenie az érintettek 11. és a 14–18. cikk szerinti jogainak gyakorlását.

(3)   A tagállamok előírják, hogy az érintettet az adatkezelőnek írásban és indokolatlan késedelem nélkül tájékoztatnia kell kérelme elbírálásának fejleményeiről.

(4)   A tagállamok előírják, hogy a 13. cikk szerinti információkat, valamint a 11., a 14–18. és a 31. cikkeknek megfelelő bármilyen tájékoztatást, illetve intézkedéseket díjmentesen kell biztosítani, illetve meghozni. Amennyiben az érintett kérelme egyértelműen megalapozatlan vagy különösen ismétlődő jellege miatt túlzó, az adatkezelő:

| a) | észszerű összegű díjat számíthat fel, figyelemmel a kért információ vagy tájékoztatás nyújtásával vagy a kért intézkedés meghozatalával járó adminisztratív költségekre; vagy |
| --- | --- |

a)

észszerű összegű díjat számíthat fel, figyelemmel a kért információ vagy tájékoztatás nyújtásával vagy a kért intézkedés meghozatalával járó adminisztratív költségekre; vagy

| b) | megtagadja a kérelem alapján történő intézkedést. |
| --- | --- |

b)

megtagadja a kérelem alapján történő intézkedést.

Annak bizonyítása, hogy a kérelem egyértelműen megalapozatlan vagy túlzó az adatkezelőt terheli.

(5)   Amennyiben az adatkezelőnek megalapozott kétségei vannak a 14. vagy 16. cikk szerinti kérelmet benyújtó természetes személy kilétével kapcsolatban további, az érintett személyazonosságának megerősítéséhez szükséges információk nyújtását kérheti.

13. cikk

Az érintett rendelkezésére bocsátandó információk és tájékoztatás

(1)   A tagállamok előírják, hogy az adatkezelőnek az érintett rendelkezésére kell bocsátania legalább az alábbi információkat:

| a) | az adatkezelő személye és elérhetőségei; |
| --- | --- |

a)

az adatkezelő személye és elérhetőségei;

| b) | adott esetben az adatvédelmi tisztviselő elérhetőségei; |
| --- | --- |

b)

adott esetben az adatvédelmi tisztviselő elérhetőségei;

| c) | adott esetben a személyes adatok tervezett kezelésének célja; |
| --- | --- |

c)

adott esetben a személyes adatok tervezett kezelésének célja;

| d) | a felügyeleti hatóságnál benyújtható panasz benyújtásának joga és a felügyeleti hatóság elérhetőségei; |
| --- | --- |

d)

a felügyeleti hatóságnál benyújtható panasz benyújtásának joga és a felügyeleti hatóság elérhetőségei;

| e) | hogy jogosult kérelmezni az adatkezelőtől a személyes adatokhoz való hozzáférést, azok helyesbítését vagy törlését, és rá vonatkozó személyes adatok kezelésének korlátozását. |
| --- | --- |

e)

hogy jogosult kérelmezni az adatkezelőtől a személyes adatokhoz való hozzáférést, azok helyesbítését vagy törlését, és rá vonatkozó személyes adatok kezelésének korlátozását.

(2)   Annak érdekében, hogy az érintett gyakorolni tudja jogait, a tagállamok jogszabályban rendelkeznek arról, hogy az adatkezelőnek meghatározott esetekben az (1) bekezdésben említetteken felül tájékoztatnia kell a címzettet:

| a) | az adatkezelés jogalapjáról; |
| --- | --- |

a)

az adatkezelés jogalapjáról;

| b) | a személyes adatok tárolásának időtartamáról, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjairól; |
| --- | --- |

b)

a személyes adatok tárolásának időtartamáról, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjairól;

| c) | adott esetben a személyes adatok címzettjeinek kategóriáiról, beleértve a harmadik országbeli címzetteket vagy a nemzetközi szervezeteket is; |
| --- | --- |

c)

adott esetben a személyes adatok címzettjeinek kategóriáiról, beleértve a harmadik országbeli címzetteket vagy a nemzetközi szervezeteket is;

| d) | szükség esetén további információkról, különösen akkor, ha az adatok gyűjtésére az érintett tudomása nélkül került sor. |
| --- | --- |

d)

szükség esetén további információkról, különösen akkor, ha az adatok gyűjtésére az érintett tudomása nélkül került sor.

(3)   A tagállamok jogalkotási intézkedéseket fogadhatnak el az érintett (2) bekezdés szerinti tájékoztatásának késleltetéséről, korlátozásáról vagy mellőzéséről, amennyiben és ameddig az említett intézkedés – kellő tekintettel az érintett a természetes személy alapvető jogaira és jogos érdekeire – egy demokratikus társadalomban szükséges és arányos intézkedést jelent annak érdekében, hogy:

| a) | ne gördüljenek akadályok a hivatalos vagy jogi vizsgálatok, nyomozások vagy eljárások elé; |
| --- | --- |

a)

ne gördüljenek akadályok a hivatalos vagy jogi vizsgálatok, nyomozások vagy eljárások elé;

| b) | ne szenvedjen sérelmet a bűncselekmények megelőzése, felderítése, nyomozása vagy üldözése, illetve a büntetőjogi szankciók végrehajtása; |
| --- | --- |

b)

ne szenvedjen sérelmet a bűncselekmények megelőzése, felderítése, nyomozása vagy üldözése, illetve a büntetőjogi szankciók végrehajtása;

| c) | biztosított legyen a közbiztonság védelme; |
| --- | --- |

c)

biztosított legyen a közbiztonság védelme;

| d) | biztosított legyen a nemzetbiztonság védelme; |
| --- | --- |

d)

biztosított legyen a nemzetbiztonság védelme;

| e) | biztosított legyen mások jogainak és szabadságainak védelme. |
| --- | --- |

e)

biztosított legyen mások jogainak és szabadságainak védelme.

(4)   A tagállamok jogalkotási intézkedéseket fogadhatnak el abból a célból, hogy meghatározzák, mely adatkezelési kategóriák tartozhatnak teljesen vagy részlegesen a (3) bekezdés a)–e) pontjának hatálya alá.

14. cikk

Az érintett hozzáférési joga

A 15. cikkre is figyelemmel a tagállamok előírják, hogy az érintett jogosult arra, hogy az adatkezelőtől visszajelzést kapjon arra vonatkozóan, hogy személyes adatainak kezelése folyamatban van-e és ha ilyen adatkezelés folyamatban van, jogosult arra, a személyes adatokhoz és a következő információkhoz hozzáférést kapjon:

| a) | az adatkezelés céljai és jogalapja; |
| --- | --- |

a)

az adatkezelés céljai és jogalapja;

| b) | az érintett személyes adatok kategóriái; |
| --- | --- |

b)

az érintett személyes adatok kategóriái;

| c) | olyan címzettek vagy címzettek kategóriái, akikkel, illetve amelyekkel a személyes adatokat közölték, ideértve különösen a harmadik országbeli címzetteket, illetve a nemzetközi szervezeteket; |
| --- | --- |

c)

olyan címzettek vagy címzettek kategóriái, akikkel, illetve amelyekkel a személyes adatokat közölték, ideértve különösen a harmadik országbeli címzetteket, illetve a nemzetközi szervezeteket;

| d) | adott esetben, a személyes adatok tárolásának tervezett időtartama, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjai; |
| --- | --- |

d)

adott esetben, a személyes adatok tárolásának tervezett időtartama, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjai;

| e) | az érintett azon joga, hogy kérelmezheti az adatkezelőtől a személyes adatok helyesbítését vagy törlését, vagy a rá vonatkozószemélyes adatok korlátozását; |
| --- | --- |

e)

az érintett azon joga, hogy kérelmezheti az adatkezelőtől a személyes adatok helyesbítését vagy törlését, vagy a rá vonatkozószemélyes adatok korlátozását;

| f) | a felügyeleti hatóságnál benyújtható panasz és a felügyeleti hatóság elérhetőségei; |
| --- | --- |

f)

a felügyeleti hatóságnál benyújtható panasz és a felügyeleti hatóság elérhetőségei;

| g) | tájékoztatás az adatkezelés tárgyát képező személyes adatokról és az azok forrására vonatkozó minden elérhető információ. |
| --- | --- |

g)

tájékoztatás az adatkezelés tárgyát képező személyes adatokról és az azok forrására vonatkozó minden elérhető információ.

15. cikk

A hozzáférési jog korlátozása

(1)   A tagállamok jogalkotási intézkedéseket fogadhatnak el az érintettek hozzáférési jogának teljes vagy részleges korlátozására, amennyiben és addig a várható időtartamig, amennyiben és ameddig e részleges vagy teljes korlátozás – kellő tekintettel az érintett természetes személy alapvető jogaira és jogos érdekeire – egy demokratikus társadalomban szükséges és arányos intézkedést jelent annak érdekében, hogy:

| a) | ne gördüljenek akadályok a hivatalos vagy jogi vizsgálatok, nyomozások vagy eljárások elé; |
| --- | --- |

a)

ne gördüljenek akadályok a hivatalos vagy jogi vizsgálatok, nyomozások vagy eljárások elé;

| b) | ne szenvedjen sérelmet a bűncselekmények megelőzése, felderítése, nyomozása vagy üldözése, illetve a büntetőjogi szankciók végrehajtása; |
| --- | --- |

b)

ne szenvedjen sérelmet a bűncselekmények megelőzése, felderítése, nyomozása vagy üldözése, illetve a büntetőjogi szankciók végrehajtása;

| c) | biztosított legyen a közbiztonság védelme; |
| --- | --- |

c)

biztosított legyen a közbiztonság védelme;

| d) | biztosított legyen a nemzetbiztonság védelme; |
| --- | --- |

d)

biztosított legyen a nemzetbiztonság védelme;

| e) | biztosított legyen mások jogainak és szabadságainak védelme. |
| --- | --- |

e)

biztosított legyen mások jogainak és szabadságainak védelme.

(2)   A tagállamok jogalkotási intézkedéseket fogadhatnak el abból a célból, hogy meghatározzák, mely adatkezelési kategóriák tartozhatnak teljesen vagy részlegesen az (1) bekezdés a)–e) pontjának hatálya alá.

(3)   A tagállamok előírják, hogy az (1) és a (2) bekezdésben említett esetekben az adatkezelőnek írásban haladéktalanul tájékoztatnia kell az érintettet a hozzáférés megtagadásáról vagy korlátozásáról és a megtagadás vagy korlátozás indokairól. Az ilyen tájékoztatás elhagyható abban az esetben, ha e tájékoztatás nyújtása ellentétes lenne az (1) bekezdésbe foglalt valamelyik céllal. A tagállamok előírják, hogy az adatkezelőnek tájékoztatnia kell az érintettet a felügyeleti hatósághoz címezhető panasz benyújtásának jogáról, illetve a bírósági jogorvoslat lehetőségéről.

(4)   A tagállamok előírják, hogy az adatkezelőnek nyilván kell tartania a döntés ténybeli vagy jogi indokait. Ezeket az információkat a felügyeleti hatóságok rendelkezésére kell bocsátani.

16. cikk

A helyesbítéshez, törléshez és a személyes adatkezelés korlátozásához való jog

(1)   A tagállamok előírják, hogy az érintett jogosult arra, hogy kérésére az adatkezelő indokolatlan késedelem nélkül helyesbítse a rá vonatkozó pontatlan személyes adatokat. Figyelembe véve az adatok kezelésének célját is, a tagállamok előírják, hogy az érintett jogosult a hiányos személyes adatok – egyebek mellett kiegészítő nyilatkozat útján történő – kiegészítését kérni.

(2)   A tagállamok előírják, hogy az adatkezelőnek indokolatlan késedelem nélkül törölnie kell a személyes adatokat, az érintett pedig jogosult arra, hogy kérésére a rá vonatkozó személyes adatokat az adatkezelő indokolatlan késedelem nélkül törölje, ha az adatkezelés sérti a 4., 8. vagy 10. cikk alapján elfogadott rendelkezéseket, vagy ha a személyes adatokat az adatkezelőre vonatkozó jogi kötelezettségnek való megfelelés érdekében törölni kell.

(3)   Az adatkezelő törlés helyett korlátozza az adatkezelést, ha:

| a) | az érintett vitatja a személyes adatok pontosságát, és azok pontossága vagy pontatlansága nem állapítható meg egyértelműen; vagy |
| --- | --- |

a)

az érintett vitatja a személyes adatok pontosságát, és azok pontossága vagy pontatlansága nem állapítható meg egyértelműen; vagy

| b) | a személyes adatokat bizonyítás céljából kell megőrizni. |
| --- | --- |

b)

a személyes adatokat bizonyítás céljából kell megőrizni.

Amennyiben az adatok kezelése az első albekezdés a) pontja szerint korlátozott, az adatkezelő az érintettet az adatkezelés korlátozásának feloldása előtt tájékoztatja.

(4)   A tagállamok előírják, hogy az adatkezelőnek az érintettet írásban tájékoztatnia kell a helyesbítés, a törlés vagy az adatkezelés korlátozásának a megtagadásáról és a megtagadás indokairól. A tagállamok jogalkotási intézkedéseket fogadhatnak el az ilyen információkra vonatkozó tájékoztatási kötelezettség teljes vagy részleges korlátozására, amennyiben az adatkezelés e korlátozása – kellő tekintettel az érintett természetes személy alapvető jogaira és jogos érdekeire – egy demokratikus társadalomban szükséges és arányos intézkedést jelent ahhoz, hogy:

| a) | ne gördüljenek akadályok a hivatalos vagy jogi vizsgálatok, nyomozások vagy eljárások elé; |
| --- | --- |

a)

ne gördüljenek akadályok a hivatalos vagy jogi vizsgálatok, nyomozások vagy eljárások elé;

| b) | ne szenvedjen sérelmet a bűncselekmények megelőzése, felderítése, nyomozása vagy üldözése, illetve a büntetőjogi szankciók végrehajtása; |
| --- | --- |

b)

ne szenvedjen sérelmet a bűncselekmények megelőzése, felderítése, nyomozása vagy üldözése, illetve a büntetőjogi szankciók végrehajtása;

| c) | biztosított legyen a közbiztonság védelme; |
| --- | --- |

c)

biztosított legyen a közbiztonság védelme;

| d) | biztosított legyen a nemzetbiztonság védelme; |
| --- | --- |

d)

biztosított legyen a nemzetbiztonság védelme;

| e) | biztosított legyen mások jogainak és szabadságainak védelme. |
| --- | --- |

e)

biztosított legyen mások jogainak és szabadságainak védelme.

A tagállamok előírják, hogy az adatkezelő az érintettet tájékoztassa a felügyeleti hatósághoz címzett panasz benyújtásához való jogáról, illetve a bírósági jogorvoslat lehetőségéről.

(5)   A tagállamok előírják, hogy az adatkezelő tájékoztassa a pontatlan személyes adatok helyesbítéséről azt az illetékes hatóságot, amelytől a pontatlan személyes adat származik.

(6)   A tagállamok előírják, hogy amennyiben a személyes adatokat helyesbítették vagy törölték, illetve az adatkezelést korlátozták az (1), (2) és (3) bekezdés szerinti esetekben, az adatkezelőnek értesítenie kell a címzetteket, akiknek vagy amelyeknek saját felelősségi körükön belül kell a személyes adatokat helyesbíteniük vagy törölniük, illetve azok kezelését korlátozniuk.

17. cikk

Az érintett jogainak gyakorlása és a felügyeleti hatóság általi ellenőrzés

(1)   A 13. cikk (3) bekezdése, a 15. cikk (3) bekezdése és a 16. cikk (4) bekezdése szerinti esetekben a tagállamok olyan rendelkezéseket fogadnak el, amelyek értelmében az érintett jogainak gyakorlására az illetékes felügyeleti hatóság közreműködésével is sor kerülhet.

(2)   A tagállamok előírják, hogy az adatkezelőnek tájékoztatnia kell az érintettet arról, hogy jogait a felügyeleti hatóság közreműködésével is gyakorolhatja az (1) bekezdésnek megfelelően.

(3)   Amennyiben az (1) bekezdés szerinti jog gyakorlására sor kerül, a felügyeleti hatóság az érintettet tájékoztatja legalább arról, hogy minden szükséges ellenőrzést, illetve felülvizsgálatot elvégzett. A felügyeleti hatóság az érintetett a bírósági jogorvoslathoz való jogáról is tájékoztatja.

18. cikk

Az érintettet a bűnügyi nyomozások és büntetőeljárások során megillető jogok

A tagállamok előírhatják, hogy a 13., 14. és 16. cikkben említett jogokat a nemzeti joggal összhangban kell gyakorolni, amennyiben a személyes adatokat bűnügyi nyomozás vagy büntetőeljárás során keletkezett bírósági határozat, vagy jegyzőkönyv vagy ügyirat tartalmazza.

IV. FEJEZET

Adatkezelő és adatfeldolgozó

1. Szakasz

Általános kötelezettségek

19. cikk

Az adatkezelő kötelezettségei

(1)   A tagállamok az adatkezelő számára előírják, hogy – figyelemmel az adatkezelés jellegére, hatókörére, körülményére és céljaira, valamint a természetes személyek jogait és szabadságait érintő, változó valószínűségű és súlyosságú kockázatokra – megfelelő technikai és szervezeti intézkedéseket kell tennie annak biztosítása és bizonyítása céljából, hogy az adatok kezelése ennek az irányelvnek megfelelően történjen. Ezeket az intézkedéseket felül kell vizsgálni és szükség esetén és naprakésszé kell tenni.

(2)   Amennyiben ez az adatkezelési tevékenységgel arányos, az (1) bekezdésben említett intézkedések részeként az adatkezelő megfelelő belső adatvédelmi szabályokat is alkalmaz.

20. cikk

Beépített és alapértelmezett adatvédelem

(1)   A tagállamok az adatkezelő szemára előírják, hogy – figyelembe véve a tudomány és technológia állását és a megvalósítás költségét, az adatkezelés jellegét, hatókörét, körülményét és céljait, továbbá a természetes személyek jogait és szabadságait érintő, változó valószínűségű és súlyosságú kockázatokat –, mind az adatkezelés módjának meghatározásakor, mind pedig az adatkezeléskor olyan megfelelő technikai és szervezeti intézkedéseket hozzon – például a személyes adatok álnevesítése –, amelyek célja egyrészt adatvédelmi alapelvek hatékony végrehajtása – ilyen például az adattakarékosság elve –, másrészt pedig az ezen irányelvben foglalt követelmények teljesítéséhez és az érintettek jogainak védelméhez szükséges garanciák beépítése adatkezelés folyamatába.

(2)   A tagállamok előírják, hogy az adatkezelőnek megfelelő technikai és szervezeti intézkedéseket kell tennie annak biztosítására, hogy alapértelmezés szerint csak a konkrét adatkezelési cél szempontjából szükséges személyes adatok kezelésére kerüljön sor. Ez a kötelezettség vonatkozik a gyűjtött személyes adatok mennyiségére, kezelésük terjedelmére, tárolásuk időtartamára és hozzáférhetőségükre. Ezek az intézkedések különösen azt biztosítják, hogy a személyes adatok alapértelmezés szerint a természetes személy beavatkozása nélkül meghatározatlan számú természetes személy számára ne váljanak hozzáférhetővé.

21. cikk

Közös adatkezelők

(1)   A tagállamok rendelkeznek arról, hogy abban az esetben, ha az adatkezelés céljait és eszközeit két vagy több adatkezelő együttesen határozza meg, azok közös adatkezelőnek minősülnek. A közös adatkezelők átlátható módon, a közöttük létrejött megállapodásban határozzák meg egyrészről az ezen irányelv szerinti felelősségi köreiknek való megfelelést, különösen ami az érintett jogainak gyakorlására vonatkozik, másrészről a 13. cikkben említett információk rendelkezésre bocsátásával kapcsolatos feladataikat, kivéve, illetve annyiban, amennyiben az adatkezelőkre vonatkozó felelősségi köröket egy rájuk alkalmazandó uniós vagy nemzeti jog határozza meg. A megállapodásban ki kell jelölni azt a kapcsolattartót, akihez az érintettek fordulhatnak. A tagállamok megjelölhetik, hogy a közös adatkezelők közül melyik az az egyedüli kapcsolattartó, akihez az érintettek jogaik gyakorlása érdekében fordulhatnak.

(2)   Az (1) bekezdésben említett megállapodás feltételeitől függetlenül a tagállamok rendelkezhetnek arról, hogy az érintett az ezen irányelv alapján elfogadott rendelkezések szerinti jogait mindegyik adatkezelő vonatkozásában és mindegyik adatkezelővel szemben gyakorolhatja.

22. cikk

Adatfeldolgozó

(1)   A tagállamok előírják, hogy ha az adatkezelést az adatkezelő nevében más végzi, az adatkezelő kizárólag olyan adatfeldolgozókat vehet igénybe, akik vagy amelyek kellő garanciákat nyújtanak az adatkezelés ezen irányelv követelményeinek való megfelelésére és az érintettek jogainak védelmét biztosító, megfelelő technikai és szervezeti intézkedések végrehajtására.

(2)   A tagállamok előírják, hogy az adatfeldolgozó az adatkezelő eseti vagy általános előzetes írásbeli engedélye nélkül nem vesz igénybe másik adatfeldolgozót. Az általános előzetes írásbeli engedély nélkül az adatfeldolgozó tájékoztatja az adatkezelőt minden olyan tervezett változásról, amely további adatfeldolgozók igénybevételét vagy azok cseréjét érinti, ezzel lehetőséget adva az adatkezelőnek arra, hogy a változtatásokkal szemben tiltakozzon.

(3)   A tagállamok előírják, hogy az adatfeldolgozó adatkezelését olyan – az adatkezelés tárgyát, időtartamát, jellegét és célját, a személyes adatok típusát, az érintettek kategóriáit, valamint az adatkezelő kötelezettségeit és jogait meghatározó –, uniós jog vagy nemzeti jog alapján létrejött szerződés vagy más jogi eszköz szabályozza, amely az adatfeldolgozó és az adatkezelő viszonyában kötelező erővel bír. A szerződésnek vagy más jogi eszköznek rendelkeznie kell különösen arról, hogy az adatfeldolgozó:

| a) | kizárólag az adatkezelő utasítása alapján járjon el; |
| --- | --- |

a)

kizárólag az adatkezelő utasítása alapján járjon el;

| b) | biztosítsa azt, hogy a személyes adatok kezelésére feljogosított személyek előzetesen titoktartási kötelezettséget vállalnak vagy jogszabályon alapuló megfelelő titoktartási kötelezettség alatt állnak; |
| --- | --- |

b)

biztosítsa azt, hogy a személyes adatok kezelésére feljogosított személyek előzetesen titoktartási kötelezettséget vállalnak vagy jogszabályon alapuló megfelelő titoktartási kötelezettség alatt állnak;

| c) | támogassa az érintettek jogaira vonatkozó rendelkezéseknek történő megfelelés érdekében minden megfelelő eszközzel az adatkezelőt; |
| --- | --- |

c)

támogassa az érintettek jogaira vonatkozó rendelkezéseknek történő megfelelés érdekében minden megfelelő eszközzel az adatkezelőt;

| d) | az adatkezelési szolgáltatásának befejezését követően, az adatkezelő döntése alapján minden személyes adatot töröljön vagy visszajuttasson az adatkezelőnek, és törölje a meglévő másolatokat, kivéve, ha az uniós vagy nemzeti jog a személyes adatok tárolását írja elő; |
| --- | --- |

d)

az adatkezelési szolgáltatásának befejezését követően, az adatkezelő döntése alapján minden személyes adatot töröljön vagy visszajuttasson az adatkezelőnek, és törölje a meglévő másolatokat, kivéve, ha az uniós vagy nemzeti jog a személyes adatok tárolását írja elő;

| e) | az adatkezelő rendelkezésére bocsásson minden, az e cikknek való megfelelés bizonyításához szükséges információt; |
| --- | --- |

e)

az adatkezelő rendelkezésére bocsásson minden, az e cikknek való megfelelés bizonyításához szükséges információt;

| f) | megfeleljen a másik adatfeldolgozó igénybevételére vonatkozó, a (2) és (3) bekezdésben említett feltételeknek. |
| --- | --- |

f)

megfeleljen a másik adatfeldolgozó igénybevételére vonatkozó, a (2) és (3) bekezdésben említett feltételeknek.

(4)   A (3) bekezdésben említett szerződést vagy más jogi eszközt írásba kell foglalni, ideértve az elektronikus formátumban történő írásba foglalást is.

(5)   Amennyiben egy adatfeldolgozó az adatkezelés céljait és eszközeit ezen irányelvet sértve határozza meg, akkor őt az adott adatkezelés tekintetében adatkezelőnek kell tekinteni.

23. cikk

Az adatkezelő vagy az adatfeldolgozó irányítása alatt végzett adatkezelés

A tagállamok előírják, hogy az adatfeldolgozó és bármely, az adatkezelő vagy az adatfeldolgozó irányítása alatt eljáró, a személyes adatokhoz hozzáféréssel rendelkező személy kizárólag ezeket az adatokat az adatkezelő utasításának megfelelően kezelheti, kivéve, ha az ettől való eltérésre őt uniós vagy nemzeti jog kötelezi.

24. cikk

Az adatkezelési tevékenységek nyilvántartása

(1)   A tagállamok előírják, hogy minden adatkezelőnek a felelősségébe tartozóan végzett összes adatkezelési tevékenységének kategóriáiról nyilvántartást kell vezetnie. E nyilvántartás tartalmazza valamennyi következő információt:

| a) | az adatkezelő, és adott esetben a közös adatkezelő, valamint az adatvédelmi tisztviselő neve és elérhetőségei; |
| --- | --- |

a)

az adatkezelő, és adott esetben a közös adatkezelő, valamint az adatvédelmi tisztviselő neve és elérhetőségei;

| b) | az adatkezelés céljai; |
| --- | --- |

b)

az adatkezelés céljai;

| c) | az érintettek kategóriái, akik számára a személyes adatokat kiadták vagy ki fogják adni, ideértve a harmadik országbeli címzetteket és nemzetközi szervezeteket; |
| --- | --- |

c)

az érintettek kategóriái, akik számára a személyes adatokat kiadták vagy ki fogják adni, ideértve a harmadik országbeli címzetteket és nemzetközi szervezeteket;

| d) | az érintettek kategóriáinak, valamint a személyes adatok kategóriái ismertetése; |
| --- | --- |

d)

az érintettek kategóriáinak, valamint a személyes adatok kategóriái ismertetése;

| e) | adott esetben a profilalkotás alkalmazásának jelzése; |
| --- | --- |

e)

adott esetben a profilalkotás alkalmazásának jelzése;

| f) | adott esetben a valamely harmadik országba vagy nemzetközi szervezet részére továbbított személyes adatok kategóriái; |
| --- | --- |

f)

adott esetben a valamely harmadik országba vagy nemzetközi szervezet részére továbbított személyes adatok kategóriái;

| g) | az adatkezelési művelet, így többek között az adattovábbítás jogalapjának megjelölése, amelyekre a személyes adatok vonatkoznak; |
| --- | --- |

g)

az adatkezelési művelet, így többek között az adattovábbítás jogalapjának megjelölése, amelyekre a személyes adatok vonatkoznak;

| h) | amennyiben lehetséges, a különböző személyes adatkategóriák törlésének várható határidejei; |
| --- | --- |

h)

amennyiben lehetséges, a különböző személyes adatkategóriák törlésének várható határidejei;

| i) | amennyiben lehetséges, a 29. cikk (1) bekezdésében említett technikai és szervezeti biztonsági intézkedések általános leírása. |
| --- | --- |

i)

amennyiben lehetséges, a 29. cikk (1) bekezdésében említett technikai és szervezeti biztonsági intézkedések általános leírása.

(2)   A tagállamok előírják, hogy minden adatfeldolgozónak nyilvántartást kell vezetnie a személyes adatoknak az adatkezelő nevében végzett kezelésével kapcsolatos összes adatkezelési tevékenységének kategóriáiról, és a nyilvántartás a következő információkat tartalmazza:

| a) | az adatfeldolgozó vagy adatfeldolgozók neve és elérhetőségei, minden olyan adatkezelő neve és elérhetősége, amelynek vagy akinek a nevében az adatfeldolgozó eljár, továbbá adott esetben az adatvédelmi tisztviselő neve és elérhetőségei, valamint; |
| --- | --- |

a)

az adatfeldolgozó vagy adatfeldolgozók neve és elérhetőségei, minden olyan adatkezelő neve és elérhetősége, amelynek vagy akinek a nevében az adatfeldolgozó eljár, továbbá adott esetben az adatvédelmi tisztviselő neve és elérhetőségei, valamint;

| b) | az egyes adatkezelők nevében végzett adatkezelési tevékenységek kategóriái; |
| --- | --- |

b)

az egyes adatkezelők nevében végzett adatkezelési tevékenységek kategóriái;

| c) | adott esetben a személyes adatok harmadik országba vagy nemzetközi szervezet részére történő továbbítása, beleértve, amennyiben erre az adatkezelő kifejezetten utasítást ad, a harmadik ország vagy a nemzetközi szervezet azonosítását is; |
| --- | --- |

c)

adott esetben a személyes adatok harmadik országba vagy nemzetközi szervezet részére történő továbbítása, beleértve, amennyiben erre az adatkezelő kifejezetten utasítást ad, a harmadik ország vagy a nemzetközi szervezet azonosítását is;

| d) | amennyiben lehetséges, a 29. cikk (1) bekezdésében említett technikai és szervezeti biztonsági intézkedések általános leírását. |
| --- | --- |

d)

amennyiben lehetséges, a 29. cikk (1) bekezdésében említett technikai és szervezeti biztonsági intézkedések általános leírását.

(3)   Az (1) és a (2) bekezdésben említett nyilvántartást írásban – ideértve az elektronikus formátumot is – kell vezetni.

Az adatkezelő és az adatfeldolgozó megkeresés alapján az említett nyilvántartást a felügyeleti hatóság rendelkezésére kell bocsátja.

25. cikk

Naplózás

(1)   A tagállamok legalább a következő adatkezelési műveletek automatizált adatkezelési rendszerben való naplózását biztosítják: gyűjtés, megváltoztatás, betekintés, közlés – ideértve a továbbítást is –, összekapcsolás, illetve törlés. A betekintésre és a közlésre vonatkozó naplók lehetővé kell, hogy tegyék e műveletek indokoltságának, dátumának és időpontjának, valamint – lehetőség szerint – a személyes adatba betekintő vagy azt közlő személyek személyazonosságának, illetve az ilyen személyes adatok címzettjei személyazonosságának a megállapítását.

(2)   A naplók kizárólag az adatkezelés jogszerűségének ellenőrzésére, önellenőrzésre, a személyes adatok integritása és biztonságának a szavatolására, valamint büntetőeljárások keretében használhatók fel.

(3)   Az adatkezelő és az adatfeldolgozó megkeresés alapján a felügyeleti hatóság rendelkezésére kell hogy bocsássa a naplókat.

26. cikk

Együttműködés a felügyeleti hatósággal

A tagállamok előírják, hogy az adatkezelő és az adatfeldolgozó a feladataik végrehajtása során a felügyeleti hatósággal – annak megkeresése alapján – együttműködni köteles.

27. cikk

Adatvédelmi hatásvizsgálat

(1)   Amennyiben az adatkezelés valamely – különösen új technológiákat alkalmazó – típusa, figyelemmel annak jellegére, hatókörére, körülményére és céljaira, a természetes személyek jogaira és szabadságaira nézve feltehetőleg magas kockázattal jár, akkor a tagállamok előírják, hogy az adatkezelőnek az adatkezelést megelőzően hatásvizsgálatot kell végeznie arra vonatkozóan, hogy a tervezett adatkezelési műveletek a személyes adatok védelmét hogyan érintik.

(2)   Az (1) bekezdésben említett vizsgálat kiterjed legalább a tervezett adatkezelési műveletek általános leírására, az érintettek jogait és szabadságait érintő kockázatok vizsgálatára, a kockázatok kezelése céljából tervezett intézkedésekre, a személyes adatok védelmét és az ezen irányelvben foglalt rendelkezésekkel való összhang igazolására szolgáló garanciákra, biztonsági intézkedésekre és mechanizmusokra, figyelembe véve az érintettek és más személyek jogait és jogos érdekeit.

28. cikk

Előzetes konzultáció a felügyeleti hatósággal

(1)   A tagállamok előírják, hogy az adatkezelőnek vagy az adatfeldolgozónak az olyan személyes adatok kezelését megelőzően konzultálnia kell a felügyeleti hatósággal, amelyeket egy létrehozandó új nyilvántartási rendszer részévé kívánnak tenni, amennyiben:

| a) | a 27. cikkben előírt adatvédelmi hatásvizsgálat megállapítja, hogy az adatkezelés valószínűsíthetően magas kockázattal jár, ha az adatkezelő nem tesz intézkedéseket a kockázat mérséklése céljából; vagy |
| --- | --- |

a)

a 27. cikkben előírt adatvédelmi hatásvizsgálat megállapítja, hogy az adatkezelés valószínűsíthetően magas kockázattal jár, ha az adatkezelő nem tesz intézkedéseket a kockázat mérséklése céljából; vagy

| b) | az adatkezelés típusa, különösen új technológiák, mechanizmusok vagy eljárások alkalmazása magas kockázatot jelent az érintettek jogaira és szabadságaira nézve. |
| --- | --- |

b)

az adatkezelés típusa, különösen új technológiák, mechanizmusok vagy eljárások alkalmazása magas kockázatot jelent az érintettek jogaira és szabadságaira nézve.

(2)   A tagállamok előírják, hogy a felügyeleti hatósággal konzultálni kell az adatkezeléshez kapcsolódó, a nemzeti parlament által elfogadandó jogalkotási intézkedésre, vagy ilyen jogalkotási intézkedésen alapuló szabályozási intézkedésre irányuló javaslatok előkészítése során.

(3)   A tagállamok rendelkeznek arról, hogy a felügyeleti hatóság létrehozhatja az (1) bekezdés szerinti előzetes konzultáció tárgyát képező adatkezelési műveletek jegyzékét.

(4)   A tagállamok előírják, hogy az adatkezelőnek a felügyeleti hatóság rendelkezésére kell bocsátania a 27. cikkben előírt adatvédelmi hatásvizsgálatot, valamint – kérelemre – az összes olyan egyéb információt, amely lehetővé teszi a felügyeleti hatóság számára az adatkezelés megfelelőségének, valamint elsősorban az érintett személyes adatainak védelméhez fűződő kockázatoknak és a kapcsolódó garanciáknak a vizsgálatát.

(5)   A tagállamok előírják, hogy amennyiben a felügyeleti hatóság véleménye szerint az e cikk (1) bekezdése szerinti tervezett adatkezelés sérti az ezen irányelv alapján elfogadott rendelkezéseket – különösen, ha az adatkezelő a kockázatot nem elégséges módon azonosította vagy csökkentette –, a felügyeleti hatóság köteles az adatkezelőnek és adott esetben az adatfeldolgozónak legkésőbb a konzultáció iránti megkeresés kézhezvételétől számított hat héten belül írásban tanácsot adni, és gyakorolhatja a 47. cikkben említett hatásköreit is. Ez a határidő – a tervezett adatkezelés összetettségétől függően – egy hónappal meghosszabbítható. A felügyeleti hatóság a konzultáció iránti megkeresés kézhezvételétől számított egy hónapon belül tájékoztatja az adatkezelőt vagy adott esetben az adatfeldolgozót a meghosszabbításról és a késedelem okairól.

2. Szakasz

A személyes adatok biztonsága

29. cikk

Az adatkezelés biztonsága

(1)   A tagállamok az adatkezelő és az adatfeldolgozó számára előírják, hogy a tudomány és a technológia állása és a megvalósítás költségei, továbbá az adatkezelés jellege, hatóköre, körülménye és céljai, valamint a természetes személy jogaira és szabadságaira jelentett változó valószínűségű és súlyosságú kockázat figyelembevételével megfelelő technikai és szervezési intézkedéseket kell, hogy hozzon annak érdekében, hogy a kockázat mértékének megfelelő szintű adatbiztonságot garantálja, különösen a személyes adatok 10. cikk szerinti különleges kategóriáinak kezelését illetően.

(2)   Az automatizált adatkezelés tekintetében a tagállamok előírják, hogy az adatkezelőnek vagy az adatfeldolgozónak a kockázatok értékelését követően intézkedéseket kell tennie a következő célok érdekében:

| a) | a jogosulatlan személyek általi hozzáférés megtagadása az adatkezeléshez használt adatkezelő berendezésekhez (berendezésekhez való hozzáférés ellenőrzése); |
| --- | --- |

a)

a jogosulatlan személyek általi hozzáférés megtagadása az adatkezeléshez használt adatkezelő berendezésekhez (berendezésekhez való hozzáférés ellenőrzése);

| b) | az adathordozók jogosulatlan olvasásának, másolásának, módosításának vagy eltávolításának megakadályozása (adathordozók ellenőrzése); |
| --- | --- |

b)

az adathordozók jogosulatlan olvasásának, másolásának, módosításának vagy eltávolításának megakadályozása (adathordozók ellenőrzése);

| c) | a személyes adatok jogosulatlan bevitele, valamint a tárolt személyes adatok jogosulatlan megtekintésének, módosításának vagy törlésének megakadályozása (tárolás ellenőrzése); |
| --- | --- |

c)

a személyes adatok jogosulatlan bevitele, valamint a tárolt személyes adatok jogosulatlan megtekintésének, módosításának vagy törlésének megakadályozása (tárolás ellenőrzése);

| d) | az automatikus adatkezelő rendszerek jogosulatlan személyek általi, adatátviteli berendezés útján történő használatának megakadályozása (felhasználók ellenőrzése); |
| --- | --- |

d)

az automatikus adatkezelő rendszerek jogosulatlan személyek általi, adatátviteli berendezés útján történő használatának megakadályozása (felhasználók ellenőrzése);

| e) | annak biztosítása, hogy az automatikus adatkezelő rendszer használatára jogosult személyek kizárólag a hozzáférési engedélyben csak meghatározott személyes adatokhoz férjenek hozzá (az adatokhoz való hozzáférés ellenőrzése); |
| --- | --- |

e)

annak biztosítása, hogy az automatikus adatkezelő rendszer használatára jogosult személyek kizárólag a hozzáférési engedélyben csak meghatározott személyes adatokhoz férjenek hozzá (az adatokhoz való hozzáférés ellenőrzése);

| f) | annak biztosítása, hogy ellenőrizhető és megállapítható legyen, hogy a személyes adatokat adatátviteli berendezés útján mely szervnek továbbították vagy továbbíthatják, illetve bocsátották vagy bocsáthatják rendelkezésre (adattovábbítás ellenőrzése); |
| --- | --- |

f)

annak biztosítása, hogy ellenőrizhető és megállapítható legyen, hogy a személyes adatokat adatátviteli berendezés útján mely szervnek továbbították vagy továbbíthatják, illetve bocsátották vagy bocsáthatják rendelkezésre (adattovábbítás ellenőrzése);

| g) | annak biztosítása, hogy utólag ellenőrizhető és megállapítható legyen, hogy mely személyes adatokat vitték be automatikus adatkezelő rendszerekbe, valamint hogy a személyes adatokat mikor és ki vitte be (bevitel ellenőrzése); |
| --- | --- |

g)

annak biztosítása, hogy utólag ellenőrizhető és megállapítható legyen, hogy mely személyes adatokat vitték be automatikus adatkezelő rendszerekbe, valamint hogy a személyes adatokat mikor és ki vitte be (bevitel ellenőrzése);

| h) | a személyes adatok átadása vagy az adathordozó szállítása közben történő jogosulatlan adatleolvasás, adatmásolás, adatmódosítás vagy adattörlés megakadályozása (szállítás ellenőrzése); |
| --- | --- |

h)

a személyes adatok átadása vagy az adathordozó szállítása közben történő jogosulatlan adatleolvasás, adatmásolás, adatmódosítás vagy adattörlés megakadályozása (szállítás ellenőrzése);

| i) | annak biztosítása, hogy üzemzavar esetén a telepített rendszerek helyreállíthatók (helyreállítás); |
| --- | --- |

i)

annak biztosítása, hogy üzemzavar esetén a telepített rendszerek helyreállíthatók (helyreállítás);

| j) | annak biztosítása, hogy a rendszer teljesíti feladatait, hogy a feladatok során fellépő hibákról jelentés készül (megbízhatóság), és hogy a tárolt személyes adatok a rendszer hibás működése esetén nem sérülnek (sértetlenség). |
| --- | --- |

j)

annak biztosítása, hogy a rendszer teljesíti feladatait, hogy a feladatok során fellépő hibákról jelentés készül (megbízhatóság), és hogy a tárolt személyes adatok a rendszer hibás működése esetén nem sérülnek (sértetlenség).

30. cikk

Az adatvédelmi incidens bejelentése a felügyeleti hatóságnak

(1)   A tagállamok előírják, hogy az adatvédelmi incidenst az adatkezelő indokolatlan késedelem nélkül, és amennyiben lehetséges 72 órával azután, hogy az adatvédelmi incidens a tudomására jutott, be kell, hogy jelentse a felügyeleti hatóságnak, kivéve ha az adatvédelmi incidens valószínűsíthetően nem jár kockázattal a természetes személyek jogaira és szabadságaira nézve. Amennyiben az adatkezelő a felügyeleti hatóságot több mint 72 órával az adatvédelmi incidensről való tudomásszerzést követően értesíti, az adatkezelő az értesítéshez mellékeli a késedelem igazolására szolgáló indokokat is.

(2)   Az adatfeldolgozó az adatvédelmi incidensről, az arról való tudomásszerzést követően indokolatlan késedelem nélkül értesíti az adatkezelőt.

(3)   Az (1) bekezdésben említett értesítésben legalább:

| a) | ismertetni kell az adatvédelmi incidens jellegét, beleértve – amennyiben lehetséges – az érintettek kategóriáit és hozzávetőleges számát, valamint az incidenssel érintett adatok kategóriáit és hozzávetőleges számát; |
| --- | --- |

a)

ismertetni kell az adatvédelmi incidens jellegét, beleértve – amennyiben lehetséges – az érintettek kategóriáit és hozzávetőleges számát, valamint az incidenssel érintett adatok kategóriáit és hozzávetőleges számát;

| b) | közölni kell az adatvédelmi tisztviselő vagy a további tájékoztatást nyújtó egyéb kapcsolattartó nevét és elérhetőségét; |
| --- | --- |

b)

közölni kell az adatvédelmi tisztviselő vagy a további tájékoztatást nyújtó egyéb kapcsolattartó nevét és elérhetőségét;

| c) | ismertetni kell az adatvédelmi incidensből eredő, valószínűsíthető következményeket; |
| --- | --- |

c)

ismertetni kell az adatvédelmi incidensből eredő, valószínűsíthető következményeket;

| d) | ismertetni kell az adatkezelő által az adatvédelmi incidens orvoslására tett vagy tervezett intézkedéseket, beleértve adott esetben az adatvédelmi incidensből eredő esetleges hátrányos következmények enyhítését célzó intézkedéseket. |
| --- | --- |

d)

ismertetni kell az adatkezelő által az adatvédelmi incidens orvoslására tett vagy tervezett intézkedéseket, beleértve adott esetben az adatvédelmi incidensből eredő esetleges hátrányos következmények enyhítését célzó intézkedéseket.

(4)   Ha és amennyiben nem lehetséges az információkat egyidejűleg közölni, azok további indokolatlan késedelem nélkül, a későbbiekben részletekben is közölhetők.

(5)   A tagállamok előírják, hogy az adatkezelőnek nyilván kell tartania az (1) bekezdésben említett összes adatvédelmi incidenst, feltüntetve az adatvédelmi incidenshez kapcsolódó tényeket, annak hatásait és az orvoslására tett intézkedéseket. Ez a nyilvántartás lehetővé teszi, hogy, a felügyeleti hatóság ellenőrizze az e cikk követelményeinek való megfelelést.

(6)   A tagállamok előírják, hogy amennyiben az adatvédelmi incidens során olyan adat sérült, amelyeket valamely másik tagállam adatkezelője továbbított, vagy amelyeket részére továbbítottak, a (3) bekezdésben említett információkat indokolatlan késedelem nélkül közölni kell ezen másik tagállam adatkezelőjével.

31. cikk

Az érintett tájékoztatása az adatvédelmi incidensről

(1)   A tagállamok előírják, hogy amennyiben az adatvédelmi incidens valószínűsíthetően magas kockázattal jár a természetes személyek jogaira és szabadságaira nézve, az adatkezelőnek indokolatlan késedelem nélkül tájékoztatnia kell az érintettet az adatvédelmi incidensről.

(2)   Az e cikk (1) bekezdésében említett, az érintett részére adott tájékoztatásban világosan és közérthetően ismertetni kell az adatvédelmi incidens jellegét, és közölni kell legalább a 30. cikk (3) bekezdésének b), c) és d) pontjában meghatározott információkat és ajánlásokat.

(3)   Az érintettet nem kell az (1) bekezdésben említettek szerint tájékoztatni a következő esetekben, ha a következő feltételek bármelyike teljesül:

| a) | az adatkezelő megfelelő technológiai és szervezési védelmi intézkedéseket hajtott végre, és ezek az intézkedések az adatvédelmi incidens által érintett adatok esetében alkalmazásra kerültek, különös tekintettel az olyan intézkedések – mint például a titkosítás alkalmazása –, amelyek a személyes adatokhoz való hozzáférésre fel nem jogosított személyek számára értelmezhetetlenné teszik az adatokat; vagy |
| --- | --- |

a)

az adatkezelő megfelelő technológiai és szervezési védelmi intézkedéseket hajtott végre, és ezek az intézkedések az adatvédelmi incidens által érintett adatok esetében alkalmazásra kerültek, különös tekintettel az olyan intézkedések – mint például a titkosítás alkalmazása –, amelyek a személyes adatokhoz való hozzáférésre fel nem jogosított személyek számára értelmezhetetlenné teszik az adatokat; vagy

| b) | az adatkezelő az adatvédelmi incidenst követően olyan további intézkedéseket tett, amelyek biztosítják, hogy az érintett jogaira és szabadságaira jelentett, az (1) bekezdésben említett magas kockázat a továbbiakban valószínűsíthetően nem valósul meg; vagy |
| --- | --- |

b)

az adatkezelő az adatvédelmi incidenst követően olyan további intézkedéseket tett, amelyek biztosítják, hogy az érintett jogaira és szabadságaira jelentett, az (1) bekezdésben említett magas kockázat a továbbiakban valószínűsíthetően nem valósul meg; vagy

| c) | a tájékoztatás aránytalan erőfeszítést tenne szükségessé. Ilyen esetben ehelyett az érintetteket nyilvánosan közzétett információk útján kell tájékoztatni vagy olyan hasonló intézkedést kell hozni, amely biztosítja az érintettek azonos módon hatékony tájékoztatását. |
| --- | --- |

c)

a tájékoztatás aránytalan erőfeszítést tenne szükségessé. Ilyen esetben ehelyett az érintetteket nyilvánosan közzétett információk útján kell tájékoztatni vagy olyan hasonló intézkedést kell hozni, amely biztosítja az érintettek azonos módon hatékony tájékoztatását.

(4)   Ha az adatkezelő még nem értesítette az érintettet az adatvédelmi incidensről, a felügyeleti hatóság, miután mérlegelte, hogy az adatvédelmi incidens valószínűsíthetően magas kockázattal jár-e, elrendelheti az érintett tájékoztatását, vagy a (3) bekezdésben említett bármely feltétel teljesítését.

(5)   Az érintettnek az e cikk (1) bekezdése szerinti tájékoztatása a 13. cikk (3) bekezdésében foglalt feltételekkel és okokból késleltethető, korlátozható vagy elhagyható.

3. Szakasz

Adatvédelmi tisztviselő

32. cikk

Az adatvédelmi tisztviselő kijelölése

(1)   A tagállamok előírják, hogy az adatkezelőnek adatvédelmi tisztviselőt kell kijelölnie. A tagállamok az igazságszolgáltatási feladatkörükben eljáró bíróságokat és egyéb független igazságügyi hatóságokat mentesíthetik e kötelezettség alól.

(2)   Az adatvédelmi tisztviselőt szakmai képességei és mindenekelőtt az adatvédelmi jog és gyakorlat szakértői szintű ismerete, valamint a 34. cikkben említett feladatok ellátására való alkalmasság alapján kell kijelölni.

(3)   Több illetékes hatóság szervezeti felépítésük és méretük figyelembevételével egyetlen közös adatvédelmi tisztviselő is kijelölhet.

(4)   A tagállamok előírják, hogy az adatkezelőnek nyilvánosságra kell hoznia az adatvédelmi tisztviselő nevét és elérhetőségeit, és azokat a felügyeleti hatósággal közölnie kell.

33. cikk

Az adatvédelmi tisztviselő jogállása

(1)   A tagállamok előírják, hogy az adatkezelő biztosítsa, hogy az adatvédelmi tisztviselő a személyes adatok védelmével kapcsolatos összes ügybe megfelelő módon és időben bekapcsolódjon.

(2)   Az adatkezelő támogatja az adatvédelmi tisztviselőt a 34. cikkben említett feladatai ellátásában azáltal, hogy biztosítja számára azokat az forrásokat, amelyek e feladatok végrehajtásához, és a személyes adatokhoz és az adatkezelési műveletekhez való hozzáféréshez, valamint szakértői szintű ismereteinek fenntartásához szükségesek.

34. cikk

Az adatvédelmi tisztviselő feladatai

A tagállamok előírják, hogy az adatkezelő az adatvédelmi tisztviselő legalább az alábbi feladatokat ellássa:

| a) | az adatkezelő, továbbá a személyes adatokat kezelő alkalmazottak részére az ezen irányelv, valamint egyéb uniós vagy nemzeti adatvédelmi rendelkezések szerinti kötelezettségeikkel kapcsolatban tájékoztat és szakmai tanácsot ad; |
| --- | --- |

a)

az adatkezelő, továbbá a személyes adatokat kezelő alkalmazottak részére az ezen irányelv, valamint egyéb uniós vagy nemzeti adatvédelmi rendelkezések szerinti kötelezettségeikkel kapcsolatban tájékoztat és szakmai tanácsot ad;

| b) | ellenőrzi az ezen irányelvnek, valamint az egyéb uniós vagy nemzeti adatvédelmi rendelkezéseknek, továbbá az adatkezelő személyes adatok védelmével kapcsolatos belső szabályainak való megfelelést, ideértve a feladatkörök kijelölését, az adatkezelési műveletekben részt vevő személyzet képzését és tudatosság-növelését, valamint a kapcsolódó auditokat is; |
| --- | --- |

b)

ellenőrzi az ezen irányelvnek, valamint az egyéb uniós vagy nemzeti adatvédelmi rendelkezéseknek, továbbá az adatkezelő személyes adatok védelmével kapcsolatos belső szabályainak való megfelelést, ideértve a feladatkörök kijelölését, az adatkezelési műveletekben részt vevő személyzet képzését és tudatosság-növelését, valamint a kapcsolódó auditokat is;

| c) | kérésre tanácsot ad az adatvédelmi hatásvizsgálatra vonatkozóan, valamint nyomon követi annak elvégzését a 27. cikkel összhangban; |
| --- | --- |

c)

kérésre tanácsot ad az adatvédelmi hatásvizsgálatra vonatkozóan, valamint nyomon követi annak elvégzését a 27. cikkel összhangban;

| d) | együttműködik a felügyeleti hatósággal; |
| --- | --- |

d)

együttműködik a felügyeleti hatósággal;

| e) | személyes adatok kezelésével kapcsolatos ügyekben kapcsolattartó pontként szolgál a felügyeleti hatóság felé, beleértve a 28. cikkben említett előzetes konzultációt is, valamint adott esetben bármely egyéb kérdésben konzultációt folytat. |
| --- | --- |

e)

személyes adatok kezelésével kapcsolatos ügyekben kapcsolattartó pontként szolgál a felügyeleti hatóság felé, beleértve a 28. cikkben említett előzetes konzultációt is, valamint adott esetben bármely egyéb kérdésben konzultációt folytat.

V. FEJEZET

A személyes adatok harmadik országokbavagy nemzetközi szervezetek részéretörténő továbbítása

35. cikk

A személyes adatok továbbításaira vonatkozó általános elvek

(1)   A tagállamok előírják, hogy az adatkezelés alatt álló vagy a harmadik országokba vagy nemzetközi szervezet részére történő személyes adatok illetékes hatóságok általi bármely továbbítását követően – ideértve egy további harmadik ország vagy további nemzetközi szervezet részére történő újbóli továbbítást is – csak abban az esetben kerülhet sor, ha az ezen irányelv rendelkezései alapján elfogadott nemzeti rendelkezések betartására is figyelemmel, teljesülnek az e fejezetben rögzített feltételek, nevezetesen:

| a) | az adattovábbítás az 1. cikk (1) bekezdésében meghatározott célokból szükséges; |
| --- | --- |

a)

az adattovábbítás az 1. cikk (1) bekezdésében meghatározott célokból szükséges;

| b) | a személyes adatokat olyan harmadik országbeli adatkezelőhöz vagy olyan nemzetközi szervezet részére továbbítják, amely az 1. cikk (1) bekezdésében említett célok tekintetében illetékes hatóságnak minősül; |
| --- | --- |

b)

a személyes adatokat olyan harmadik országbeli adatkezelőhöz vagy olyan nemzetközi szervezet részére továbbítják, amely az 1. cikk (1) bekezdésében említett célok tekintetében illetékes hatóságnak minősül;

| c) | abban az esetben, ha a személyes adatokat egy másik tagállam továbbította vagy bocsátása rendelkezésre, az említett tagállam a nemzeti jogával összhangban előzetesen engedélyezte az adattovábbítást; |
| --- | --- |

c)

abban az esetben, ha a személyes adatokat egy másik tagállam továbbította vagy bocsátása rendelkezésre, az említett tagállam a nemzeti jogával összhangban előzetesen engedélyezte az adattovábbítást;

| d) | a Bizottság a 36. cikk szerint megfelelőségi határozatot hozott, vagy ilyen határozat hiányában, amennyiben a 37. cikknek megfelelő garanciákat nyújtottak vagy azok adottak, vagy a 36. vagy 37. cikknek megfelelő határozat hiányában a 38. cikk szerint meghatározott kivételes esetekben biztosított eltéréseket kell alkalmazni; és |
| --- | --- |

d)

a Bizottság a 36. cikk szerint megfelelőségi határozatot hozott, vagy ilyen határozat hiányában, amennyiben a 37. cikknek megfelelő garanciákat nyújtottak vagy azok adottak, vagy a 36. vagy 37. cikknek megfelelő határozat hiányában a 38. cikk szerint meghatározott kivételes esetekben biztosított eltéréseket kell alkalmazni; és

| e) | abban az esetben ha egy további harmadik ország vagy további nemzetközi szervezet részére történő újbóli továbbítás esetén az eredeti továbbítást végző illetékes hatóság vagy ugyanazon tagállam valamely más illetékes hatósága engedélyezi az adatok továbbküldését, miután kellőképpen figyelembe vett minden releváns tényezőt, köztük a bűncselekmény súlyosságát, a személyes adat továbbításának eredeti célját, valamint a személyes adatok védelmének szintjét abban a harmadik országban vagy nemzetközi szervezetnél, amelynek részére a személyes adatokat újból továbbítják. |
| --- | --- |

e)

abban az esetben ha egy további harmadik ország vagy további nemzetközi szervezet részére történő újbóli továbbítás esetén az eredeti továbbítást végző illetékes hatóság vagy ugyanazon tagállam valamely más illetékes hatósága engedélyezi az adatok továbbküldését, miután kellőképpen figyelembe vett minden releváns tényezőt, köztük a bűncselekmény súlyosságát, a személyes adat továbbításának eredeti célját, valamint a személyes adatok védelmének szintjét abban a harmadik országban vagy nemzetközi szervezetnél, amelynek részére a személyes adatokat újból továbbítják.

(2)   A tagállamok előírják, hogy a valamely másik tagállam az (1) bekezdés c) pontja szerinti előzetes engedély nélküli továbbítás csak akkor megengedett, ha a személyes adatok továbbítása egy tagállam vagy harmadik ország közbiztonságát vagy egy tagállam alapvető érdekeit fenyegető súlyos és közvetlen veszély megelőzése érdekében szükséges, és az előzetes engedély nem szerezhető be kellő időben. Az előzetes engedélyezésért felelős hatóságot haladéktalanul tájékoztatni kell.

(3)   E fejezet valamennyi rendelkezését alkalmazni kell annak biztosítása érdekében, hogy a természetes személy számára ebben az irányelvben garantált védelem szintje ne sérüljön.

36. cikk

Adattovábbítás megfelelőségi határozat alapján

(1)   A tagállamok előírják, hogy személyes adatok harmadik országba vagy nemzetközi szervezet részére történő továbbítására akkor kerülhet sor, ha a Bizottság megállapította, hogy a harmadik ország, annak valamely területe vagy egy vagy több meghatározott ágazata, vagy az említett nemzetközi szervezet megfelelő védelmi szintet biztosít. Az ilyen adattovábbításhoz nem szükséges külön engedély.

(2)   A védelmi szint megfelelőségének értékelése során a Bizottság különösen a következő tényezőket veszi figyelembe:

| a) | a jogállamiság, az emberi jogok és alapvető szabadságok tiszteletben tartása, a vonatkozó általános és ágazati jogszabályok, köztük a közbiztonságra, a védelemre, a nemzetbiztonságra vonatkozó és a büntető anyagi jogi rendelkezések, a közhatalmi szervek személyes adatokhoz való hozzáférését szabályozó rendelkezések, valamint az ilyen jogszabályok végrehajtása, az adatvédelmi szabályok, szakmai szabályok és biztonsági intézkedések, ideértve a személyes adatok harmadik ország vagy nemzetközi szervezet részére történő újbóli továbbítására vonatkozó azon szabályokat, amelyeknek az adott országban vagy nemzetközi szervezeten belül meg kell felelni; ítélkezési gyakorlat, továbbá az, hogy az érintettek, akiknek személyes adatait továbbítják, rendelkeznek-e hatékonyan érvényesíthető – a hatékony közigazgatási és bírósági jogorvoslatot is magukban foglaló – jogokkal; |
| --- | --- |

a)

a jogállamiság, az emberi jogok és alapvető szabadságok tiszteletben tartása, a vonatkozó általános és ágazati jogszabályok, köztük a közbiztonságra, a védelemre, a nemzetbiztonságra vonatkozó és a büntető anyagi jogi rendelkezések, a közhatalmi szervek személyes adatokhoz való hozzáférését szabályozó rendelkezések, valamint az ilyen jogszabályok végrehajtása, az adatvédelmi szabályok, szakmai szabályok és biztonsági intézkedések, ideértve a személyes adatok harmadik ország vagy nemzetközi szervezet részére történő újbóli továbbítására vonatkozó azon szabályokat, amelyeknek az adott országban vagy nemzetközi szervezeten belül meg kell felelni; ítélkezési gyakorlat, továbbá az, hogy az érintettek, akiknek személyes adatait továbbítják, rendelkeznek-e hatékonyan érvényesíthető – a hatékony közigazgatási és bírósági jogorvoslatot is magukban foglaló – jogokkal;

| b) | a szóban forgó harmadik országban létezik-e egy vagy több olyan független és hatékonyan működő felügyeleti hatóság – a szóban forgó nemzetközi szervezet pedig ilyen hatóság ellenőrzése alatt áll-e –, amelyek felelős az adatvédelmi szabályok betartásának biztosításáért és végrehajtásáért, rendelkezik többek között hatékony kikényszerítési hatáskörrel, és felelősek az érintettek részére történő, a jogaik gyakorlásával kapcsolatos segítségnyújtásért és tanácsadásért, valamint a tagállami felügyeleti hatóságokkal való együttműködésért; továbbá |
| --- | --- |

b)

a szóban forgó harmadik országban létezik-e egy vagy több olyan független és hatékonyan működő felügyeleti hatóság – a szóban forgó nemzetközi szervezet pedig ilyen hatóság ellenőrzése alatt áll-e –, amelyek felelős az adatvédelmi szabályok betartásának biztosításáért és végrehajtásáért, rendelkezik többek között hatékony kikényszerítési hatáskörrel, és felelősek az érintettek részére történő, a jogaik gyakorlásával kapcsolatos segítségnyújtásért és tanácsadásért, valamint a tagállami felügyeleti hatóságokkal való együttműködésért; továbbá

| c) | a szóban forgó harmadik ország vagy nemzetközi szervezet nemzetközi kötelezettségei vagy egyéb jogilag kötelező erejű egyezményekből vagy jogi eszközökből, valamint többoldalú vagy regionális rendszerekben való részvételéből eredő – különösen a személyes adatok védelmével kapcsolatos – kötelezettségei. |
| --- | --- |

c)

a szóban forgó harmadik ország vagy nemzetközi szervezet nemzetközi kötelezettségei vagy egyéb jogilag kötelező erejű egyezményekből vagy jogi eszközökből, valamint többoldalú vagy regionális rendszerekben való részvételéből eredő – különösen a személyes adatok védelmével kapcsolatos – kötelezettségei.

(3)   A védelmi szint megfelelőségének értékelését követően a Bizottság végrehajtási jogi aktus útján úgy határozhat arról, hogy valamely harmadik ország vagy a harmadik ország területe, vagy egy vagy több meghatározott ágazata, illetve valamely nemzetközi szervezet az e cikk (2) bekezdése értelmében biztosítja a megfelelő védelmi szintet. A végrehajtási jogi aktusban rendelkezni kell egy rendszeres, legalább négyévente elvégzendő felülvizsgálatra irányuló mechanizmusról, amely az adott harmadik országban vagy nemzetközi szervezetnél végbement valamennyi releváns fejleményt figyelembe vesz. A végrehajtási jogi aktusban pontosan rögzíteni kell annak területi és ágazati alkalmazási körét, és – adott esetben – az e cikk (2) bekezdése b) pontjában említett felügyeleti hatóságot, illetve hatóságokat. A végrehajtási jogi aktust az 58. cikk (2) bekezdésében említett vizsgálóbizottsági eljárásnak megfelelően kell elfogadni.

(4)   A Bizottság folyamatosan figyelemmel kíséri a harmadik országokban és a nemzetközi szervezeteknél végbement azon fejleményeket, amelyek érinthetik a (3) bekezdés alapján elfogadott határozatok végrehajtását.

(5)   A Bizottság – amennyiben a rendelkezésre álló információk feltárják, különösen az e cikk (3) bekezdésében említett felülvizsgálat alapján – határoz arról, hogy a harmadik ország vagy a harmadik ország területe vagy meghatározott ágazata, vagy valamely nemzetközi szervezet már nem biztosítja az e cikk (2) bekezdése értelmében vett megfelelő védelmi szintet, és a szükséges mértékben, visszaható hatály nélkül hatályon kívül helyezi, módosítja vagy felfüggeszti az e cikk (3) bekezdésében említett korábbi határozatot végrehajtási jogi aktus által. E végrehajtási jogi aktusokat az 58. cikk (2) bekezdésében említett vizsgálóbizottsági eljárás keretében kell elfogadni.

Kellően indokolt, rendkívül sürgős esetben a Bizottság azonnal alkalmazandó végrehajtási jogi aktusokat fogad el az 58. cikk (3) bekezdésében említett eljárás keretében.

(6)   A Bizottság konzultációt kezdeményez a harmadik országgal vagy nemzetközi szervezettel az (5) bekezdés szerinti határozat meghozatalához vezető helyzet orvoslását illetően.

(7)   A tagállamok rendelkeznek arról, hogy az e cikk (5) bekezdése szerinti határozat nem érinti az említett a személyes adatok továbbítását 37 és 38. cikk alapján a harmadik ország, annak területe vagy meghatározott ágazata, illetve az adott nemzetközi szervezet részére.

(8)   A Bizottság a az Európai Unió Hivatalos Lapjában és annak weboldalán közzéteszi az olyan harmadik országok,, harmadik országon belüli területeknek és meghatározott ágazatok, valamint nemzetközi szervezetek jegyzékét, amelyek esetében úgy ítélte meg, hogy a biztosítják, vagy többé nem biztosítják a megfelelő védelmi szintet.

37. cikk

Adattovábbítás megfelelő garanciákkal

(1)   A 36. cikk (3) bekezdése szerinti határozat hiányában a tagállamok rendelkeznek arról, hogy harmadik ország vagy nemzetközi szervezet részére személyes adatok akkor továbbíthatók, ha:

| a) | a személyes adatok védelmére kötelező erejű jogi eszköz útján megfelelő garanciákat nyújtottak; vagy |
| --- | --- |

a)

a személyes adatok védelmére kötelező erejű jogi eszköz útján megfelelő garanciákat nyújtottak; vagy

| b) | az adatkezelő a személyes adatok továbbításának valamennyi körülményét megvizsgálta, és megállapította, hogy a személyes adatok védelme tekintetében megfelelő garanciák állnak fenn. |
| --- | --- |

b)

az adatkezelő a személyes adatok továbbításának valamennyi körülményét megvizsgálta, és megállapította, hogy a személyes adatok védelme tekintetében megfelelő garanciák állnak fenn.

(2)   Az adatkezelő tájékoztatja a felügyeleti hatóságot az (1) bekezdés b) pontja szerint továbbított adatok kategóriáiról.

(3)   Ha az adattovábbítás az (1) bekezdés b) pontján alapul, e továbbításokat dokumentálni kell, és kérelemre a dokumentációt a felügyeleti hatóság rendelkezésére kell bocsátani, beleértve a továbbítás napját és időpontját, az átvevő illetékes hatóságra vonatkozó információt, a továbbítás indokát és a továbbított személyes adatokat.

38. cikk

Kivételes esetekben biztosított eltérések

(1)   A tagállamok előírják, hogy a 36. cikk szerinti megfelelőségi határozat vagy a 37. cikk szerinti megfelelő garanciák hiányában a személyes adatok vagy személyes adatok kategóriáinak harmadik ország vagy nemzetközi szervezet részére történő továbbítására csak azzal a feltétellel kerülhet sor, hogy az adattovábbítás szükséges:

| a) | az érintett vagy egy másik személy létfontosságú érdekeinek védelme érdekében; |
| --- | --- |

a)

az érintett vagy egy másik személy létfontosságú érdekeinek védelme érdekében;

| b) | az érintett jogos érdekeinek biztosításához, amennyiben a személyes adatokat továbbító tagállam joga így rendelkezik; |
| --- | --- |

b)

az érintett jogos érdekeinek biztosításához, amennyiben a személyes adatokat továbbító tagállam joga így rendelkezik;

| c) | valamely tagállam vagy harmadik ország közbiztonság fenntartását közvetlenül és komolyan fenyegető veszély elhárítása érdekében; |
| --- | --- |

c)

valamely tagállam vagy harmadik ország közbiztonság fenntartását közvetlenül és komolyan fenyegető veszély elhárítása érdekében;

| d) | egyedi esetekben az 1. cikk (1) bekezdésében meghatározott célokból; vagy |
| --- | --- |

d)

egyedi esetekben az 1. cikk (1) bekezdésében meghatározott célokból; vagy

| e) | valamely egyedi esetben az 1. cikk (1) bekezdésében meghatározott célokhoz kapcsolódó jogi igények előterjesztése, érvényesítése, illetve védelme miatt. |
| --- | --- |

e)

valamely egyedi esetben az 1. cikk (1) bekezdésében meghatározott célokhoz kapcsolódó jogi igények előterjesztése, érvényesítése, illetve védelme miatt.

(2)   Nem továbbítható a személyes adat, amennyiben az adatokat továbbító illetékes hatóság megállapítja, hogy az említett érintett alapvető jogai és szabadságai, az (1) bekezdés d) és e) pontjában említett adattovábbítást igénylő közérdekkel szemben elsőbbséget élveznek.

(3)   Amennyiben az adattovábbítás az (1) bekezdésen alapul, e továbbításokat dokumentálni kell, és kérésre a dokumentációt a felügyeleti hatóság rendelkezésére kell bocsátani, beleértve a továbbítás napját és időpontját, az átvevő illetékes hatóságra vonatkozó információt, a továbbítás indokát és a továbbított személyes adatokat.

39. cikk

Személyes adatok továbbítása harmadik országbeli címzettek részére

(1)   A 35. cikk (1) bekezdésének b) pontjától eltérve és az e cikk (2) bekezdésében említett bármely nemzetközi megállapodás sérelme nélkül, az uniós vagy nemzeti jog előírhatja, hogy a 3. cikk (7) bekezdésének a) pontjában említett illetékes hatóságok egyedi és kivételes esetekben továbbíthatnak személyes adatokat közvetlenül harmadik országbeli címzettek részére, de kizárólag az ezen irányelvben foglalt egyéb rendelkezéseknek való megfelelés és a következő feltételek együttes teljesülése esetén:

| a) | az adattovábbítás feltétlenül szükséges valamely olyan feladat ellátásához, amelyet az adatokat továbbító illetékes hatóság uniós vagy nemzeti jog alapján végez az 1. cikk (1) bekezdésében meghatározott célokból; |
| --- | --- |

a)

az adattovábbítás feltétlenül szükséges valamely olyan feladat ellátásához, amelyet az adatokat továbbító illetékes hatóság uniós vagy nemzeti jog alapján végez az 1. cikk (1) bekezdésében meghatározott célokból;

| b) | az adatokat továbbító illetékes hatóság megállapítja, hogy az adott esetben, az említett érintettnek az adattovábbítást igénylő közérdekkel szemben nincs olyan alapvető joga és szabadsága, amely elsőbbséget élvez; |
| --- | --- |

b)

az adatokat továbbító illetékes hatóság megállapítja, hogy az adott esetben, az említett érintettnek az adattovábbítást igénylő közérdekkel szemben nincs olyan alapvető joga és szabadsága, amely elsőbbséget élvez;

| c) | az adatokat továbbító illetékes hatóság úgy véli, hogy az 1. cikk (1) bekezdésében említett célok tekintetében illetékes harmadik országbeli hatóság számára történő továbbítás nem hatékony vagy nem célszerű, különösen azért, mert arra nem kerülhet kellő időben sor; |
| --- | --- |

c)

az adatokat továbbító illetékes hatóság úgy véli, hogy az 1. cikk (1) bekezdésében említett célok tekintetében illetékes harmadik országbeli hatóság számára történő továbbítás nem hatékony vagy nem célszerű, különösen azért, mert arra nem kerülhet kellő időben sor;

| d) | az 1. cikk (1) bekezdésében említett célok tekintetében illetékes harmadik országbeli hatóság indokolatlan késedelem nélkül tájékoztatják, kivéve, ha ez nem hatékony vagy nem célszerű, és |
| --- | --- |

d)

az 1. cikk (1) bekezdésében említett célok tekintetében illetékes harmadik országbeli hatóság indokolatlan késedelem nélkül tájékoztatják, kivéve, ha ez nem hatékony vagy nem célszerű, és

| e) | az adatokat továbbító illetékes hatóság tájékoztatja a címzettet arról a konkrét célról vagy azokról a konkrét célokról, amelyek alapján a személyes adatokat kezelik, feltéve hogy az ilyen adatkezelésre szükség van. |
| --- | --- |

e)

az adatokat továbbító illetékes hatóság tájékoztatja a címzettet arról a konkrét célról vagy azokról a konkrét célokról, amelyek alapján a személyes adatokat kezelik, feltéve hogy az ilyen adatkezelésre szükség van.

(2)   Az (1) bekezdésben említett nemzetközi megállapodásnak minősül a tagállamok és a harmadik országok között létrejött, a büntetőügyekben folytatott igazságügyi együttműködés és a rendőrségi együttműködés területén hatályos bármely kétoldalú vagy többoldalú nemzetközi megállapodás.

(3)   Az adatokat továbbító illetékes hatóság tájékoztatja a felügyeleti hatóságot az e cikk szerinti adattovábbításokról.

(4)   Amennyiben az adattovábbítás az (1) bekezdésen alapul, akkor azt dokumentálni kell.

40. cikk

A személyes adatok védelmével kapcsolatos nemzetközi együttműködés

A Bizottság és a tagállamok a harmadik országok és nemzetközi szervezetek viszonylatában megfelelő lépéseket tesznek annak érdekében, hogy:

| a) | a személyes adatok védelméről szóló jogszabályok hatékony érvényesítésének elősegítését célzó nemzetközi együttműködési mechanizmusokat alakítsanak ki; |
| --- | --- |

a)

a személyes adatok védelméről szóló jogszabályok hatékony érvényesítésének elősegítését célzó nemzetközi együttműködési mechanizmusokat alakítsanak ki;

| b) | a személyes adatok védelméről szóló jogszabályok érvényesítésében kölcsönös nemzetközi segítségnyújtást biztosítsanak, többek között értesítés, a panaszok illetékes hatósághoz történő továbbítása, a vizsgálatokban történő segítségnyújtás és információcsere útján, a személyes adatok védelmére és a többi alapvető jogra és szabadságra vonatkozó megfelelő garanciákra is figyelemmel; |
| --- | --- |

b)

a személyes adatok védelméről szóló jogszabályok érvényesítésében kölcsönös nemzetközi segítségnyújtást biztosítsanak, többek között értesítés, a panaszok illetékes hatósághoz történő továbbítása, a vizsgálatokban történő segítségnyújtás és információcsere útján, a személyes adatok védelmére és a többi alapvető jogra és szabadságra vonatkozó megfelelő garanciákra is figyelemmel;

| c) | az érintett érdekelt feleket bevonják a személyes adatok védelméről szóló jogszabályok érvényesítése érdekében folytatott nemzetközi együttműködés előmozdítását célzó párbeszédbe és tevékenységekbe; |
| --- | --- |

c)

az érintett érdekelt feleket bevonják a személyes adatok védelméről szóló jogszabályok érvényesítése érdekében folytatott nemzetközi együttműködés előmozdítását célzó párbeszédbe és tevékenységekbe;

| d) | előmozdítsák a személyes adatok védelméről szóló jogszabályok és gyakorlat átadását és dokumentálását, beleértve a harmadik országokkal előforduló joghatósági összeütközéseket is. |
| --- | --- |

d)

előmozdítsák a személyes adatok védelméről szóló jogszabályok és gyakorlat átadását és dokumentálását, beleértve a harmadik országokkal előforduló joghatósági összeütközéseket is.

VI. FEJEZET

Független felügyeleti hatóságok

1. Szakasz

Független jogállás

41. cikk

Felügyeleti hatóság

(1)   A természetes személyek alapvető jogainak és szabadságainak a személyes adataik kezelése tekintetében történő védelme, valamint a személyes adatok Unión belüli szabad áramlásának megkönnyítése érdekében ezen irányelv alkalmazásának ellenőrzéséért egy vagy több független közhatalmi szerv feleljen.

(2)   Minden felügyeleti hatóság elősegíti ezen irányelv az Unió egész területén történő következetes alkalmazását. A felügyeleti hatóságok e célból együtt működnek egymással és a Bizottsággal, a VII. fejezettel összhangban.

(3)   A tagállamok előírhatják, hogy az ezen irányelvben említett felügyeleti hatóság az (EU) 2016/... rendelet (**) alapján létrehozott felügyeleti hatóság legyen, és ez a hatóság lássa el az e cikk (1) bekezdése értelmében létrehozandó felügyeleti hatóság feladatait.

(4)   Amennyiben valamely tagállamban egynél több felügyeleti hatóságot hoztak létre, a tagállam kijelöli azt a felügyeleti hatóságot, amelyik ellátja az említett hatóságok képviseletét az 51. cikk szerinti Testületben.

42. cikk

Függetlenség

(1)   A tagállamok előírják, hogy felügyeleti hatóságaik az ezen irányelvvel összhangban rájuk ruházott feladatok végzése és hatásköreik gyakorlása során teljesen függetlenül kell, hogy eljárjanak.

(2)   A tagállamok előírják, hogy felügyeleti hatóságaik tagja vagy tagjai az ezen irányelvvel összhangban rájuk ruházott feladatok végzése és hatáskörök gyakorlása során mindennemű – közvetlen vagy közvetett – külső befolyástól mentesen kell, hogy eljárjanak, és utasítást senkitől sem kérhetnek vagy fogadhatnak el.

(3)   A tagállamok felügyeleti hatóságainak tagjai tartózkodnak a feladataik ellátásával összeférhetetlen cselekményektől, és hivatali idejük alatt sem javadalmazás ellenében, sem anélkül nem vállalhatnak azzal összeférhetetlen szakmai tevékenységet.

(4)   A tagállamok biztosítják, hogy a felügyeleti hatóság rendelkezésére álljanak a feladatai eredményes ellátásához és hatáskörei – ideértve a kölcsönös segítségnyújtást, az együttműködést és a Testületben való részvétel keretei között végzett tevékenységeket is – eredményes gyakorlásához szükséges emberi, műszaki és pénzügyi források, helyiségek és infrastruktúra.

(5)   A tagállamok biztosítják, hogy a felügyeleti hatóság kiválaszthassa saját személyzetét és rendelkezzen e személyzettel, amely a felügyeleti hatóság tagjának vagy tagjainak kizárólagos irányítása alá tartozik.

(6)   A tagállamok biztosítják, hogy a felügyeleti hatóság a függetlenségét nem befolyásoló pénzügyi ellenőrzés alá tartozzon és saját, nyilvános éves költségvetéssel rendelkezzen, amely az állami vagy nemzeti költségvetés részét képezheti.

43. cikk

A felügyeleti hatóság tagjaira vonatkozó általános feltételek

(1)   A tagállamok előírják, hogy felügyeleti hatóságaik minden tagját átlátható eljárás keretében nevezze ki az alábbiak egyike:

| — | parlamentjük; |
| --- | --- |

—

parlamentjük;

| — | kormányuk; |
| --- | --- |

—

kormányuk;

| — | államfőjük; vagy |
| --- | --- |

—

államfőjük; vagy

| — | a nemzeti jog alapján a kinevezéssel megbízott független szerv. |
| --- | --- |

—

a nemzeti jog alapján a kinevezéssel megbízott független szerv.

(2)   A felügyeleti hatóságok valamennyi tagjának rendelkeznie kell a feladatai ellátásához és hatásköre gyakorlásához szükséges képesítéssel, tapasztalattal és készségekkel, különösen a személyes adatok védelme területén.

(3)   A tagok feladatköre a hivatali idő lejártával, lemondással vagy kötelező nyugdíjazással szűnik meg, az érintett tagállam jogában előírtaknak megfelelően.

(4)   Tag felmentésére kizárólag súlyos kötelességszegés esetén, vagy abban az esetben kerülhet sor, ha a tag már nem felel meg a feladatai ellátásához szükséges feltételeknek.

44. cikk

A felügyeleti hatóság létrehozására vonatkozó szabályok

(1)   A tagállamok jogszabályban rendelkeznek valamennyi alábbi kérdésről:

| a) | minden egyes felügyeleti hatóság létrehozásáról; |
| --- | --- |

a)

minden egyes felügyeleti hatóság létrehozásáról;

| b) | az egyes felügyeleti hatóságok tagjává való kinevezés tekintetében előírt képesítésekről és a pályázati feltételekről; |
| --- | --- |

b)

az egyes felügyeleti hatóságok tagjává való kinevezés tekintetében előírt képesítésekről és a pályázati feltételekről;

| c) | az egyes felügyeleti hatóságok tagjainak kinevezésére vonatkozó szabályokról és eljárásokról; |
| --- | --- |

c)

az egyes felügyeleti hatóságok tagjainak kinevezésére vonatkozó szabályokról és eljárásokról;

| d) | az egyes felügyeleti hatóságok tagja vagy tagjai megbízatásának időtartamáról, amelynek legalább négy évre kell szólnia, kivéve a ... -t [HL: kérjük, illessze be a dátumot: ezen irányelv hatálybalépése] követő első kinevezést, amely rövidebb időtartamra is szólhat, amennyiben ez a felügyeleti hatóság függetlenségének megőrzése érdekében a kinevezéseket több lépcsőben kell végrehajtani; |
| --- | --- |

d)

az egyes felügyeleti hatóságok tagja vagy tagjai megbízatásának időtartamáról, amelynek legalább négy évre kell szólnia, kivéve a ... -t [HL: kérjük, illessze be a dátumot: ezen irányelv hatálybalépése] követő első kinevezést, amely rövidebb időtartamra is szólhat, amennyiben ez a felügyeleti hatóság függetlenségének megőrzése érdekében a kinevezéseket több lépcsőben kell végrehajtani;

| e) | arról, hogy az egyes felügyeleti hatóságok tagja vagy tagjai újra kinevezhetők-e, és ha igen, hány ciklusra; |
| --- | --- |

e)

arról, hogy az egyes felügyeleti hatóságok tagja vagy tagjai újra kinevezhetők-e, és ha igen, hány ciklusra;

| f) | az egyes felügyeleti hatóságok tagjának vagy tagjainak, valamint személyzetének kötelezettségeire vonatkozó feltételekről, a hivatali idő alatt és azt követően az alkalmazással összeférhetetlen tevékenységekről, a szakmai tevékenységre és juttatásokra vonatkozó tiltó rendelkezésekről, valamint az alkalmazás megszűnésére vonatkozó szabályokról. |
| --- | --- |

f)

az egyes felügyeleti hatóságok tagjának vagy tagjainak, valamint személyzetének kötelezettségeire vonatkozó feltételekről, a hivatali idő alatt és azt követően az alkalmazással összeférhetetlen tevékenységekről, a szakmai tevékenységre és juttatásokra vonatkozó tiltó rendelkezésekről, valamint az alkalmazás megszűnésére vonatkozó szabályokról.

(2)   Az uniós vagy nemzeti jognak megfelelően minden egyes felügyeleti hatóság tagját vagy tagjait és személyzetét a feladataik ellátása és hatáskörük gyakorlása során tudomásukra jutott bármely bizalmas információ tekintetében hivatali idejük alatt és annak leteltét követően is szakmai titoktartási kötelezettség terheli. Hivatali idejük alatt ez a szakmai titoktartási kötelezettség különösen vonatkozik a természetes személyek által ezen irányelv megsértését illetően tett bejelentésekre.

2. Szakasz

Illetékesség, feladatok és hatáskörök

45. cikk

Illetékesség

(1)   A tagállamok rendelkeznek arról, hogy felügyeleti hatóságaik a saját tagállamuk területén illetékesek az ezen irányelv alapján ráruházott hatáskörök gyakorlására,, illetve feladatok végzésére.

(2)   A tagállamok rendelkeznek arról, hogy felügyeleti hatóságaik hatásköre nem terjed ki a bíróságok által igazságügyi feladataik ellátása során végzett adatkezelési műveletek felügyeletére. A tagállamok rendelkezhetnek úgy, hogy az egyes felügyeleti hatóságaik hatásköre nem terjed ki az egyéb független igazságügyi hatóságok által igazságszolgáltatási feladataik körében végzett adatkezelési műveletek felügyeletére.

46. cikk

Feladatok

(1)   Valamennyi tagállam rendelkezik arról, hogy a felügyeleti hatóság a saját területén:

| a) | nyomon követi és érvényre juttatja ezen irányelv alapján elfogadott rendelkezések és az azt végrehajtó intézkedések alkalmazását; |
| --- | --- |

a)

nyomon követi és érvényre juttatja ezen irányelv alapján elfogadott rendelkezések és az azt végrehajtó intézkedések alkalmazását;

| b) | elősegíti a nyilvánosság figyelmének felkeltését és az ismeretek terjesztését a személyes adatok kezelésével kapcsolatos kockázatok, szabályok, garanciák és jogok vonatkozásában; |
| --- | --- |

b)

elősegíti a nyilvánosság figyelmének felkeltését és az ismeretek terjesztését a személyes adatok kezelésével kapcsolatos kockázatok, szabályok, garanciák és jogok vonatkozásában;

| c) | tanácsot ad a nemzeti joggal összhangban a nemzeti parlamentnek, a kormánynak és más intézményeknek és szerveknek a természetes személyek jogainak és szabadságainak a személyes adatok kezelése tekintetében történő védelmével kapcsolatos jogalkotási és közigazgatási intézkedésekről; |
| --- | --- |

c)

tanácsot ad a nemzeti joggal összhangban a nemzeti parlamentnek, a kormánynak és más intézményeknek és szerveknek a természetes személyek jogainak és szabadságainak a személyes adatok kezelése tekintetében történő védelmével kapcsolatos jogalkotási és közigazgatási intézkedésekről;

| d) | felhívja az adatkezelők és az adatfeldolgozók figyelmét az ezen irányelv szerinti kötelezettségeikre; |
| --- | --- |

d)

felhívja az adatkezelők és az adatfeldolgozók figyelmét az ezen irányelv szerinti kötelezettségeikre;

| e) | kérésre tájékoztatást ad bármely érintettnek az ezen irányelv alapján őt megillető jogok gyakorlásával kapcsolatban, és e célból adott esetben együttműködik más tagállamok felügyeleti hatóságaival; |
| --- | --- |

e)

kérésre tájékoztatást ad bármely érintettnek az ezen irányelv alapján őt megillető jogok gyakorlásával kapcsolatban, és e célból adott esetben együttműködik más tagállamok felügyeleti hatóságaival;

| f) | foglalkozik az érintett vagy valamely szerv, szervezet vagy egyesület által a 55. cikkel összhangban benyújtott panaszokkal, és a panasz tárgyát a szükséges mértékben kivizsgálja, továbbá észszerű időn belül tájékozatja a panaszost a vizsgálattal kapcsolatos fejleményekről és eredményekről, különösen, ha további vizsgálat vagy egy másik felügyeleti hatósággal való együttműködés válik szükségessé; |
| --- | --- |

f)

foglalkozik az érintett vagy valamely szerv, szervezet vagy egyesület által a 55. cikkel összhangban benyújtott panaszokkal, és a panasz tárgyát a szükséges mértékben kivizsgálja, továbbá észszerű időn belül tájékozatja a panaszost a vizsgálattal kapcsolatos fejleményekről és eredményekről, különösen, ha további vizsgálat vagy egy másik felügyeleti hatósággal való együttműködés válik szükségessé;

| g) | ellenőrzi a 17. cikkel összhangban az adatkezelés jogszerűségét, valamint észszerű határidőn belül tájékozatja az érintettet a 17. cikk (3) bekezdése szerinti ellenőrzés eredményéről vagy az ellenőrzés elmaradásának okairól; |
| --- | --- |

g)

ellenőrzi a 17. cikkel összhangban az adatkezelés jogszerűségét, valamint észszerű határidőn belül tájékozatja az érintettet a 17. cikk (3) bekezdése szerinti ellenőrzés eredményéről vagy az ellenőrzés elmaradásának okairól;

| h) | együttműködik más felügyeleti hatósággal, ideértve az információcserét és kölcsönös segítséget nyújt az ezen irányelv egységes alkalmazásának és érvényesítésének biztosítása érdekében; |
| --- | --- |

h)

együttműködik más felügyeleti hatósággal, ideértve az információcserét és kölcsönös segítséget nyújt az ezen irányelv egységes alkalmazásának és érvényesítésének biztosítása érdekében;

| i) | vizsgálatot folytat le az ezen irányelv alkalmazásával kapcsolatban, akár más felügyeleti hatóságtól vagy más közhatalmi szervtől kapott információ alapján; |
| --- | --- |

i)

vizsgálatot folytat le az ezen irányelv alkalmazásával kapcsolatban, akár más felügyeleti hatóságtól vagy más közhatalmi szervtől kapott információ alapján;

| j) | figyelemmel kíséri személyes adatok védelmére kiható jelentősebb fejleményeket, különösen az információs és kommunikációs technológiák fejlődését; |
| --- | --- |

j)

figyelemmel kíséri személyes adatok védelmére kiható jelentősebb fejleményeket, különösen az információs és kommunikációs technológiák fejlődését;

| k) | tanácsot ad a 28. cikkben említett adatkezelési műveletekkel kapcsolatban; és |
| --- | --- |

k)

tanácsot ad a 28. cikkben említett adatkezelési műveletekkel kapcsolatban; és

| l) | hozzájárul a Testület tevékenységeihez. |
| --- | --- |

l)

hozzájárul a Testület tevékenységeihez.

(2)   A felügyeleti hatóság megkönnyíti az (1) bekezdés f) pontjában említett panaszok benyújtását például olyan intézkedésekkel, hogy elektronikus úton kitölthető panasz benyújtására szolgáló formanyomtatványt hoz létre, nem zárva ki azonban más kommunikációs eszközöket sem.

(3)   A felügyeleti hatóság úgy látja el feladatait, hogy az az érintett és az adatvédelmi tisztviselő számára térítésmentes legyen.

(4)   Amennyiben a kérelem egyértelműen megalapozatlan vagy – különösen ismétlődő jellege miatt – túlzó, a felügyeleti hatóság észszerű összegű, az adminisztratív költségeken alapuló díjat számíthat fel, vagy megtagadhatja, hogy eljárjon a kérelemmel kapcsolatban. Annak bizonyítása, hogy a kérelem egyértelműen megalapozatlan vagy túlzó a felügyeleti hatóságot terheli.

47. cikk

Hatáskörök

(1)   Valamennyi tagállam jogszabályban írja elő, hogy minden felügyeleti hatóság tényleges vizsgálati hatáskörrel rendelkezzen. E hatáskörök magukban foglalják legalább azt, hogy a felügyeleti hatóság hozzáférjen az adatkezelő és az adatfeldolgozó által valamennyi kezelt személyes adathoz és a feladatainak teljesítéséhez szükséges valamennyi információhoz.

(2)   Valamennyi tagállam jogszabályban írja elő, hogy minden felügyeleti hatóság olyan tényleges korrekciós hatáskörökkel rendelkezzen, mint például:

| a) | az adatkezelő vagy az adatfeldolgozó figyelmeztetése azzal kapcsolatban, hogy a tervezett adatkezelési tevékenységei valószínűleg sértik ezt az irányelv alapján elfogadott rendelkezéseket; |
| --- | --- |

a)

az adatkezelő vagy az adatfeldolgozó figyelmeztetése azzal kapcsolatban, hogy a tervezett adatkezelési tevékenységei valószínűleg sértik ezt az irányelv alapján elfogadott rendelkezéseket;

| b) | az adatkezelő vagy az adatfeldolgozó utasítása arra, hogy adatkezelési műveleteit – adott esetben meghatározott módon és meghatározott időn belül – hozza összhangba ezzel az irányelv alapján elfogadott rendelkezésekkel, különösen azáltal, hogy a 16. cikkben foglaltaknak megfelelően a személyes adat helyesbítését vagy törlését, vagy az adatkezelés korlátozását rendeli el; |
| --- | --- |

b)

az adatkezelő vagy az adatfeldolgozó utasítása arra, hogy adatkezelési műveleteit – adott esetben meghatározott módon és meghatározott időn belül – hozza összhangba ezzel az irányelv alapján elfogadott rendelkezésekkel, különösen azáltal, hogy a 16. cikkben foglaltaknak megfelelően a személyes adat helyesbítését vagy törlését, vagy az adatkezelés korlátozását rendeli el;

| c) | az adatkezelés átmeneti vagy végleges korlátozásának, többek között tilalmának elrendelése. |
| --- | --- |

c)

az adatkezelés átmeneti vagy végleges korlátozásának, többek között tilalmának elrendelése.

(3)   Valamennyi tagállam jogszabályban biztosítja, hogy minden felügyeleti hatóság tényleges tanácsadási hatáskörrel rendelkezzen arra, hogy tanácsot adjon az adatkezelő részére a 28. cikkben említett előzetes konzultációs eljárás keretében, valamint hogy saját kezdeményezésre vagy kérésre a személyes adatok védelmével kapcsolatos bármilyen kérdésben véleményt ad a nemzeti parlament, a tagállami kormány vagy – saját nemzeti jogával összhangban – más intézmények és szervek, valamint a nyilvánosság részére.

(4)   Az e cikk szerint a felügyeleti hatóságra ruházott hatáskörök gyakorlására megfelelő garanciák mellett kerülhet sor, ideértve az uniós és a nemzeti jogban a Chartának megfelelően előírt hatékony jogorvoslatot és tisztességes eljárást is.

(5)   A tagállamok jogszabályban előírják, hogy a felügyeleti hatóságok hatáskörrel rendelkezzenek arra, hogy az ezen irányelv alapján elfogadott rendelkezések megsértéséről tájékoztassák az igazságügyi hatóságokat, és adott esetben bírósági eljárást kezdeményezzenek vagy abban más módon részt vegyenek az ezen irányelv alapján elfogadott rendelkezések érvényesítése érdekében.

48. cikk

A jogsértések bejelentése

A tagállamok előírják, hogy az illetékes hatóságok hatékony mechanizmusokat dolgoznak ki annak érdekében, hogy az ezen irányelv megsértésére vonatkozó bizalmas jellegű bejelentések megtételét ösztönözzék.

49. cikk

Tevékenységi jelentések

Minden felügyeleti hatóság éves jelentést készít tevékenységéről, amely tartalmazhatja a bejelentett jogsértések típusainak és a kiszabott szankciók típusainak a jegyzékét is. A jelentéseket a nemzeti parlamentnek, a kormánynak és a nemzeti jogban megjelölt más hatóságoknak kell benyújtani. A jelentéseket a nyilvánosság, a Bizottság és a Testület számára elérhetővé kell tenni.

VII. FEJEZET

Együttműködés

50. cikk

Kölcsönös segítségnyújtás

(1)   A tagállamok előírják, hogy felügyeleti hatóságaik ezen irányelv egységes végrehajtása és alkalmazása érdekében kötelesek megosztani egymással a releváns információkat és kölcsönösen segítséget kell nyújtaniuk egymásnak, valamint a hatékony együttműködést célzó intézkedéseket kell tenniük. A kölcsönös segítségnyújtás különösen az információkérésre és az olyan felügyeleti intézkedésekre terjed ki, mint például az egyeztetés, az ellenőrzés és a vizsgálat iránti megkeresések.

(2)   A tagállamok előírják, hogy minden felügyeleti hatóság megteszi a megfelelő intézkedéseket annak érdekében, hogy a más felügyeleti hatóságtól érkező megkereséseket indokolatlan késedelem nélkül, és legkésőbb a megkeresés kézhezvételétől számított egy hónapon belül megválaszolja. Ezen intézkedések közé tartozhat különösen a vizsgálatok folytatásával kapcsolatos releváns információk továbbítása.

(3)   A segítségnyújtás iránti megkeresésnek minden szükséges információt tartalmaznia kell, beleértve a megkeresés célját és okait. Az átadott információk kizárólag a megkeresésben meghatározott célra használhatók fel.

(4)   A felügyeleti hatóság csak abban az esetben tagadhatja meg a hozzá érkezett segítségnyújtás teljesítését, ha:

| a) | a megkeresés tárgyát vagy a kért intézkedés végrehajtását illetően nem jogosult eljárni; vagy |
| --- | --- |

a)

a megkeresés tárgyát vagy a kért intézkedés végrehajtását illetően nem jogosult eljárni; vagy

| b) | a megkeresés teljesítése nem lenne összeegyeztethető ezen irányelv rendelkezéseivel, az uniós joggal vagy azon nemzeti joggal, amelynek hatálya alá a megkeresett felügyeleti hatóság tartozik. |
| --- | --- |

b)

a megkeresés teljesítése nem lenne összeegyeztethető ezen irányelv rendelkezéseivel, az uniós joggal vagy azon nemzeti joggal, amelynek hatálya alá a megkeresett felügyeleti hatóság tartozik.

(5)   A megkeresett felügyeleti hatóság tájékoztatja a megkereső felügyeleti hatóságot az ügyben elért eredményekről vagy adott esetben fejleményekről, vagy a megkeresés teljesítése érdekében hozott intézkedésekről. Ha a felügyeleti hatóság a (4) bekezdés alapján megtagadja a megkeresés teljesítését, ezt köteles indokolni.

(6)   A felügyeleti hatóságok főszabályként elektronikus úton, egységes formátum alkalmazásával továbbítják a más felügyeleti hatóság által kért információt.

(7)   A megkeresett felügyeleti hatóságok nem számolhatnak fel díjat a kölcsönös segítségnyújtás iránti megkeresés nyomán általuk tett intézkedésekért. A felügyeleti hatóságok megállapodhatnak más felügyeleti hatóságokkal a rendkívüli körülmények közötti kölcsönös segítségnyújtásból eredő különleges költségek megtérítésére vonatkozó szabályokról.

(8)   A Bizottság végrehajtási jogi aktusok által meghatározhatja az e cikk szerinti kölcsönös segítségnyújtás formáját és eljárásait, valamint a felügyeleti hatóságok közötti, illetve a felügyeleti hatóságok és a Testület közötti, elektronikus úton történő információcserére vonatkozó szabályokat. Ezeket a végrehajtási jogi aktusokat az 58. cikk (2) bekezdésében említett vizsgálóbizottsági eljárás keretében kell elfogadni.

51. cikk

A Testület feladatai

(1)   Az (EU) 2016/... rendelettel (**) létrehozott Testület („a Testület”) az ezen irányelv hatálya alá tartozó adatkezeléssel kapcsolatban az alábbi feladatokat látja el:

| a) | tanácsot ad a Bizottságnak a személyes adatok Unión belüli védelmével kapcsolatos kérdésekben, ideértve az ezen irányelv módosítására irányuló javaslatokat is; |
| --- | --- |

a)

tanácsot ad a Bizottságnak a személyes adatok Unión belüli védelmével kapcsolatos kérdésekben, ideértve az ezen irányelv módosítására irányuló javaslatokat is;

| b) | saját kezdeményezésére, illetve valamely tagjának vagy a Bizottságnak a kérésére megvizsgálja az ezen irányelv alkalmazását érintő kérdéseket, valamint ezen irányelv egységes alkalmazásának elősegítése érdekében iránymutatásokat, ajánlásokat és legjobb gyakorlatokat bocsát ki; |
| --- | --- |

b)

saját kezdeményezésére, illetve valamely tagjának vagy a Bizottságnak a kérésére megvizsgálja az ezen irányelv alkalmazását érintő kérdéseket, valamint ezen irányelv egységes alkalmazásának elősegítése érdekében iránymutatásokat, ajánlásokat és legjobb gyakorlatokat bocsát ki;

| c) | iránymutatásokat dolgoz ki a felügyeleti hatóságok számára a 47. cikk (1) és (3) bekezdése szerinti intézkedések alkalmazására; |
| --- | --- |

c)

iránymutatásokat dolgoz ki a felügyeleti hatóságok számára a 47. cikk (1) és (3) bekezdése szerinti intézkedések alkalmazására;

| d) | e bekezdés b) pontjával összhangban iránymutatásokat, ajánlásokat és legjobb gyakorlatokat bocsát ki az adatvédelmi incidensek és a 30. cikk (1) és (2) bekezdésében említett indokolatlan késedelem tényének megállapítására, valamint azokra a konkrét körülményekre vonatkozóan, amelyek fennállása esetén az adatkezelő vagy az adatfeldolgozó köteles bejelenteni az adatvédelmi incidenst; |
| --- | --- |

d)

e bekezdés b) pontjával összhangban iránymutatásokat, ajánlásokat és legjobb gyakorlatokat bocsát ki az adatvédelmi incidensek és a 30. cikk (1) és (2) bekezdésében említett indokolatlan késedelem tényének megállapítására, valamint azokra a konkrét körülményekre vonatkozóan, amelyek fennállása esetén az adatkezelő vagy az adatfeldolgozó köteles bejelenteni az adatvédelmi incidenst;

| e) | e bekezdés b) pontjával összhangban iránymutatásokat, ajánlásokat és legjobb gyakorlatokat bocsát ki azokra a körülményekre vonatkozóan, amelyek fennállása esetén az adatvédelmi incidens valószínűsíthetően magas kockázattal jár a természetes személyek jogaira és szabadságaira nézve, a 31 cikk (1) bekezdésében említettek szerint; |
| --- | --- |

e)

e bekezdés b) pontjával összhangban iránymutatásokat, ajánlásokat és legjobb gyakorlatokat bocsát ki azokra a körülményekre vonatkozóan, amelyek fennállása esetén az adatvédelmi incidens valószínűsíthetően magas kockázattal jár a természetes személyek jogaira és szabadságaira nézve, a 31 cikk (1) bekezdésében említettek szerint;

| f) | áttekinti a b), illetve c) pontban említett iránymutatások, ajánlások és legjobb gyakorlatok gyakorlati alkalmazását; |
| --- | --- |

f)

áttekinti a b), illetve c) pontban említett iránymutatások, ajánlások és legjobb gyakorlatok gyakorlati alkalmazását;

| g) | véleményt bocsát ki a Bizottság számára annak értékeléséhez, hogy egy adott harmadik ország, egy harmadik országon belül egy terület vagy egy vagy több meghatározott ágazat vagy nemzetközi szervezet megfelelő szintű védelmet biztosít-e, ezen belül annak megállapításához, hogy e harmadik ország vagy a harmadik ország területe, meghatározott ágazata vagy a nemzetközi szervezet esetleg már nem nyújt megfelelő szintű védelmet; |
| --- | --- |

g)

véleményt bocsát ki a Bizottság számára annak értékeléséhez, hogy egy adott harmadik ország, egy harmadik országon belül egy terület vagy egy vagy több meghatározott ágazat vagy nemzetközi szervezet megfelelő szintű védelmet biztosít-e, ezen belül annak megállapításához, hogy e harmadik ország vagy a harmadik ország területe, meghatározott ágazata vagy a nemzetközi szervezet esetleg már nem nyújt megfelelő szintű védelmet;

| h) | előmozdítja a felügyeleti hatóságok közötti együttműködést, valamint az információk és a legjobb gyakorlatok hatékony két- és többoldalú cseréjét; |
| --- | --- |

h)

előmozdítja a felügyeleti hatóságok közötti együttműködést, valamint az információk és a legjobb gyakorlatok hatékony két- és többoldalú cseréjét;

| i) | támogatja a közös képzési programokat, továbbá megkönnyíti a személyzeti csereprogramokat a felügyeleti hatóságok között, valamint adott esetben a harmadik országok vagy a nemzetközi szervezetek felügyeleti hatóságaival; |
| --- | --- |

i)

támogatja a közös képzési programokat, továbbá megkönnyíti a személyzeti csereprogramokat a felügyeleti hatóságok között, valamint adott esetben a harmadik országok vagy a nemzetközi szervezetek felügyeleti hatóságaival;

| j) | az adatvédelmi felügyeleti hatóságok körében világszerte előmozdítja az adatvédelmi jogra és gyakorlatokra vonatkozó ismeretek és dokumentáció cseréjét. |
| --- | --- |

j)

az adatvédelmi felügyeleti hatóságok körében világszerte előmozdítja az adatvédelmi jogra és gyakorlatokra vonatkozó ismeretek és dokumentáció cseréjét.

Az első albekezdés g) pontja tekintetében a Bizottság a Testület számára az összes szükséges dokumentációt rendelkezésre bocsátja, köztük a harmadik ország kormányával, a harmadik ország területével vagy meghatározott ágazatával, illetve a nemzetközi szervezettel folytatott levélváltást.

(2)   Amikor a Bizottság tanácsot kér a Testülettől, az ügy sürgősségét figyelembe véve erre határidőt jelölhet meg.

(3)   A Testület véleményeit, iránymutatásait, ajánlásait és legjobb gyakorlatait továbbítja a Bizottságnak és az 58. cikk (1) bekezdésében említett bizottságnak, és nyilvánosságra hozza azokat.

(4)   A Bizottság tájékoztatja a Testületet arról, hogy milyen intézkedéseket hozott a testület által kibocsátott vélemények, iránymutatások, ajánlások és legjobb gyakorlatok nyomán.

VIII. FEJEZET

Jogorvoslat, felelősség és szankciók

52. cikk

A felügyeleti hatóságnál történő panasztételhez való jog

(1)   Az egyéb közigazgatási vagy bírósági jogorvoslatok sérelme nélkül a tagállamok előírják, hogy minden érintett jogosult arra, hogy panaszt tegyen egyetlen felügyeleti hatóságnál, ha az érintett megítélése szerint a rá vonatkozó személyes adatok kezelése megsérti az ezen irányelv alapján elfogadott rendelkezéseket.

(2)   A tagállamok előírják, hogy amennyiben a panaszt nem a 45. cikk (1) bekezdése szerint illetékes felügyeleti hatósághoz nyújtják be, akkor az a felügyeleti hatóság, amelyhez a panaszt benyújtották, az illetékes felügyeleti hatósághoz indokolatlan késedelem nélkül továbbítsa azt. A továbbításról az érintettet tájékoztatni kell.

(3)   A tagállamok előírják, hogy az a felügyeleti hatóság, amelyhez a panaszt benyújtották, az érintett kérésére további segítséget nyújtson.

(4)   Az illetékes felügyeleti hatóság tájékoztatja az érintettet a panasszal kapcsolatos eljárási fejleményekről és annak eredményéről, ideértve azt is, hogy az 53. cikk szerint jogosult bírósági jogorvoslattal élni.

53. cikk

A felügyeleti hatósággal szembeni hatékony bírósági jogorvoslathoz való jog

(1)   Az egyéb közigazgatási vagy nem bírósági útra tartozó jogorvoslatok sérelme nélkül a tagállamok úgy rendelkeznek, hogy minden természetes és jogi személy hatékony bírósági jogorvoslatra jogosult a felügyeleti hatóság rá vonatkozó, jogilag kötelező erejű döntésével szemben.

(2)   Az egyéb közigazgatási vagy nem bírósági útra tartozó jogorvoslatok sérelme nélkül minden érintett hatékony bírósági jogorvoslatra jogosult, amennyiben a 45. cikk (1) bekezdése alapján illetékes felügyeleti hatóság nem foglalkozik a panasszal, vagy három hónapon belül nem tájékoztatja az érintettet az 52. cikknek megfelelően benyújtott panasszal kapcsolatos eljárási fejleményekről vagy annak eredményéről.

(3)   A tagállamok előírják, hogy a felügyeleti hatósággal szembeni eljárást a felügyeleti hatóság székhelye szerinti tagállam bírósága előtt kell megindítani.

54. cikk

Az adatkezelővel vagy az adatfeldolgozóval szembeni hatékony bírósági jogorvoslathoz való jog

A rendelkezésre álló közigazgatási vagy nem bírósági útra tartozó jogorvoslatok – köztük a felügyeleti hatóságnál történő panasztételhez való, 52. cikk szerinti jog – sérelme nélkül, a tagállamok előírják, hogy az érintett hatékony bírósági jogorvoslatra jogosult, ha ítéli meg, a személyes adatainak az ezen irányelv alapján elfogadott rendelkezésekkel ellentétes kezelése következtében megsértették az e rendelkezések szerinti jogait.

55. cikk

Az érintettek képviselete

A tagállamok a tagállami eljárási joggal összhangban rendelkeznek arról, hogy az érintett jogosult arra, hogy panaszának nevében történő benyújtásával, és az 52., 53. és 54. cikkben említett jogoknak a nevében történő gyakorlásával olyan nonprofit jellegű szervet, szervezetet vagy egyesületet bízzon meg, amelyet valamely tagállam jogának megfelelően hoztak létre, és amelynek alapszabályában rögzített céljai a közérdeket szolgálják, valamint az érintettek jogainak és szabadságainak a személyes adataik vonatkozásában biztosított védelme területén tevékenykedik.

56. cikk

A kártérítéshez való jog

A tagállamok előírják, hogy minden olyan személy, aki jogszerűtlen adatkezelési művelet vagy az ezen irányelv alapján elfogadott nemzeti rendelkezéseket sértő egyéb intézkedés eredményeként vagyoni vagy nem vagyoni kárt szenvedett, az elszenvedett kárért az adatkezelőtől vagy a nemzeti jog szerint illetékes bármely más hatóságtól kártérítésre jogosult.

57. cikk

Szankciók

A tagállamok megállapítják az ezen irányelv alapján elfogadott nemzeti rendelkezések megsértése esetén alkalmazandó szankciókra vonatkozó szabályokat, és meghoznak minden szükséges intézkedést ezek végrehajtására. Az előírt szankcióknak hatékonynak, arányosnak és visszatartó erejűnek kell lenniük.

IX. FEJEZET

Végrehajtási jogi aktusok

58. cikk

A bizottsági eljárás

(1)   A Bizottságot az (EU) 2016/... rendelet (**) 93. cikkével létrehozott bizottság segíti. Ez a bizottság a 182/2011/EU rendelet szerinti bizottságnak minősül.

(2)   Az e bekezdésre történő hivatkozáskor a 182/2011/EU rendelet 5. cikkét kell alkalmazni.

(3)   Az e bekezdésre történő hivatkozáskor a 182/2011/EU rendelet 8. cikkét kell alkalmazni, összefüggésben annak 5. cikkével.

X. FEJEZET

Záró rendelkezések

59. cikk

A 2008/977/JHA számú kerethatározat hatályon kívül helyezése

(1)   A 2008/977/IB tanácsi kerethatározat ... -tól/-től [két évvel ezen irányelv hatálybalépését követően] hatályát veszti.

(2)   Az (1) bekezdésben említett, hatályon kívül helyezett határozatra történő hivatkozásokat ezen irányelvre való hivatkozásnak kell tekinteni.

60. cikk

Hatályban lévő uniós jogi aktusok

Változatlanul hatályban maradnak a büntetőügyekben folytatott igazságügyi együttműködés és a rendőrségi együttműködés területén ... -án/-én [ezen irányelv hatálybalépésének időpontja] vagy azt megelőzően hatályba lépett, a személyes adatok védelmére vonatkozó uniós jogi aktusok olyan különös rendelkezései, amelyek a tagállamok közötti adatkezelést és a kijelölt tagállami hatóságoknak a Szerződések alapján létrehozott, ezen irányelv hatálya alá tartozó információs rendszerekhez való hozzáférését szabályozzák.

61. cikk

Kapcsolat a büntetőügyekben folytatott igazságügyi együttműködésés a rendőrségi együttműködés területén korábban megkötött nemzetközi megállapodásokkal

A tagállamok által a ... [ezen irányelv hatálybalépése] előtt kötött olyan nemzetközi megállapodások, amelyek keretében harmadik országok vagy nemzetközi szervezetek részére személyes adatok továbbítására kerül sor, és amelyek megfelelnek az uniós jognak, és amelyeket ... [ezen irányelv hatálybalépése] előtt alkalmaznak, módosításukig, felváltásukig vagy visszavonásukig változatlanul hatályban maradnak.

62. cikk

A Bizottság jelentései

(1)   A Bizottság legkésőbb ... -ig [hat évvel ezen irányelv hatálybalépésének napját követően], ezt követően pedig négyévente rendszeres időközönként jelentést terjeszt az Európai Parlament és a Tanács elé ezen irányelv értékeléséről és felülvizsgálatáról. E jelentéseket nyilvánosságra kell hozni.

(2)   Az (1) bekezdésben említett értékelések és felülvizsgálatok keretében a Bizottság mindenekelőtt a személyes adatok harmadik országok vagy nemzetközi szervezetek részére történő továbbításáról szóló V. fejezetben foglalt rendelkezések alkalmazását és hatékonyságát vizsgálja, különös tekintettel a 36. cikk (3) bekezdése és a 39. cikk alapján elfogadott határozatokra.

(3)   A Bizottság az (1) és az (2) bekezdésben említett célokból információkat kérhet a tagállamoktól és a felügyeleti hatóságoktól.

(4)   A Bizottság az (1) és az (2) bekezdésben említett értékelések és felülvizsgálatok elvégzése során figyelembe veszi az Európai Parlament, a Tanács és az egyéb érintett szervek vagy források álláspontját és megállapításait.

(5)   A Bizottság szükség esetén megfelelő javaslatokat nyújt be ezen irányelv módosítására, figyelembe véve különösen az információs technológia fejlődését és az információs társadalom fejlődési szintjét.

(6)   A Bizottság -ig ... [az irányelv hatálybalépésének napját követően három évvel] felülvizsgálja az illetékes hatóságok által az 1. cikk (1) bekezdésében meghatározott célokból végzett adatkezelést szabályozó egyéb – többek között az 60. cikkben említett – uniós jogi aktusokat, annak érdekében, hogy megvizsgálja, hogy szükséges-e azokat ezen irányelvhez igazítani, valamint hogy adott esetben megtegye az említett jogi aktusok módosítására irányuló szükséges javaslatokat azzal a céllal, hogy az irányelv hatályán belül biztosított legyen a személyes adatok védelmének következetes megközelítése.

63. cikk

Átültetés

(1)   A tagállamok ... -ig [időpont/ezen irányelv hatálybalépését követően két évvel] elfogadják és kihirdetik azokat a törvényi, rendeleti és közigazgatási rendelkezéseket, amelyek szükségesek ahhoz, hogy ennek az irányelvnek megfeleljenek. E rendelkezések szövegét haladéktalanul közlik a Bizottsággal. A tagállamok ezeket a rendelkezéseket ... [időpont/ezen irányelv hatálybalépését követően két évvel]-tól/-től kezdődően alkalmazzák.

Amikor a tagállamok elfogadják ezeket a rendelkezéseket, azokban hivatkozni kell erre az irányelvre, vagy azokhoz hivatalos kihirdetésük alkalmával ilyen hivatkozást kell fűzni. A hivatkozás módját a tagállamok határozzák meg.

(2)   A tagállamok az (1) bekezdéstől eltérve rendelkezhetnek úgy, hogy – amennyiben az aránytalanul nagy erőfeszítést igényel – a(z) ... [ezen irányelv hatálybalépésének napja]-t megelőzően létrehozott automatizált adatkezelési rendszereket kivételesen ... -ig [hét évvel ezen irányelv hatálybalépését követően] feleltetik meg a 25. cikk (1) bekezdésének.

(3)   E cikk (1) és (2) bekezdésétől eltérve kivételes körülmények között a tagállam az e cikk (2) bekezdésében említett automatizált adatkezelési rendszerét az e cikk (2) bekezdésében említett időtartamot követő meghatározott időn belül is megfeleltetheti a 25. cikk (1) bekezdésének, ha különben komoly nehézségek lépnének fel az adott automatizált adatkezelési rendszer működésében. Az érintett tagállamnak értesítenie kell a Bizottságot a komoly nehézségek okairól és annak az időtartamnak az indokolásáról, amelyen belül a tagállam az adott automatizált adatkezelési rendszert megfelelteti a 25. cikk (1) bekezdésének. Ez a meghatározott időtartam záró időpontja semmilyen körülmények között nem lehet később, mint ... [ezen irányelv hatálybalépésének időpontja után 10 évvel].

(4)   A tagállamok közlik a Bizottsággal a nemzeti jog azon főbb rendelkezéseit, amelyeket az ezen irányelv által szabályozott területen fogadnak el.

64. cikk

Hatálybalépés

Ez az irányelv az Európai Unió Hivatalos Lapjában való kihirdetését követő napon lép hatályba.

65. cikk

Címzettek

Ennek az irányelvnek a tagállamok a címzettjei.

Kelt ...,

az Európai Parlament részéről

az elnök

[...] [...]

a Tanács részéről

az elnök

[...] [...]

---

(1)  HL C 391., 2012.12.18., 127. o.

1

(2)  Az Európai Parlament 2014. március 12-i álláspontja (a Hivatalos Lapban még nem tették közzé) és a Tanács 2016. április 8-i álláspontja első olvasatban. Az Európai Parlament ... -i álláspontja és a Tanács ... -i határozata.

2

(3)  Az Európai Parlament és a Tanács 95/46/EK irányelve (1995. október 24.) a személyes adatok feldolgozása vonatkozásában az egyének védelméről és az ilyen adatok szabad áramlásáról (HL L 281., 1995.11.23., 31. o.).

3

(4)  A Tanács 2008/977/IB kerethatározata (2008. november 27.) a büntetőügyekben folytatott rendőrségi és igazságügyi együttműködés keretében feldolgozott személyes adatok védelméről (HL L 350., 2008.12.30., 60. o.).

4

(5)  Az Európai Parlament és a Tanács (EU) 2016/... rendelete (...) a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK rendelet hatályon kívül helyezéséről (általános adatvédelmi rendelet) (HL L ...).

5

(*)  Az 5419/16 dokumentumban szereplő rendelet (HL C 159., 2016.5.3., 1. o.).

*

(**)  Az 5419/16 dokumentumban szereplő rendelet.

**

(6)  Az Európai Parlament és a Tanács 45/2001/EK rendelete (2000. december 18.) a személyes adatok közösségi intézmények és szervek által történő feldolgozása tekintetében az egyének védelméről, valamint az ilyen adatok szabad áramlásáról (HL L 8., 2001.1.12., 1. o.).

6

(7)  Az Európai Parlament és a Tanács 2011/24/EU irányelve (2011. március 9.) a határon átnyúló egészségügyi ellátásra vonatkozó betegjogok érvényesítéséről (HL L 88., 2011.4.4.., 45. o.).

7

(8)  A Tanács 2005/69/IB közös álláspontja (2005. január 24.) egyes adatoknak az Interpollal történő cseréjéről (HL L 27., 2005.1.29., 61. o.).

8

(9)  A Tanács 2007/533/IB határozata (2007. június 12.) a Schengeni Információs Rendszer második generációjának (SIS II) létrehozásáról, működtetéséről és használatáról (HL L 205., 2007.8.7., 63. o.).

9

(10)  A Tanács 77/249/EGK irányelve (1977. március 22.) az ügyvédi szolgáltatásnyújtás szabadsága tényleges gyakorlásának elősegítéséről (HL L 78., 1977.3.26., 17. o.).

10

(11)  Az Európai Parlament és a Tanács 182/2011/EU rendelete (2011. február 16.) a Bizottság végrehajtási hatásköreinek gyakorlására vonatkozó tagállami ellenőrzési mechanizmusok szabályainak és általános elveinek megállapításáról (HL L 55., 2011.2.28., 13. o.).

11

(12)  A Tanács 2008/615/IB határozata (2008. június 23.) a különösen a terrorizmus és a határokon átnyúló bűnözés elleni küzdelemre irányuló, határokon átnyúló együttműködés megerősítéséről (HL L 210., 2008.8.6., 1. o.).

12

(13)  A Tanács jogi aktusa (2000. május 29.) az Európai Unió tagállamai közötti kölcsönös bűnügyi jogsegélyegyezménynek az Európai Unióról szóló szerződés 34. cikke szerinti létrehozásáról (HL C 197., 2000.7.12., 1. o.).

13

(14)  Az Európai Parlament és a Tanács 2011/92/EU irányelve (2011. december 13.) a gyermekek szexuális bántalmazása, szexuális kizsákmányolása és a gyermekpornográfia elleni küzdelemről, valamint a 2004/68/IB tanácsi kerethatározat felváltásáról (HL L 335., 2011.12.17., 1. o.).

14

(15)  HL L 176., 1999.7.10., 36. o.

15

(16)  HL L 53., 2008.2.27., 52. o.

16

(17)  HL L 160., 2011.6.18., 21. o.

17

(18)  HL C 192., 2012.6.30., 7. o.

18

---

| 3.5.2016 | HU | Az Európai Unió Hivatalos Lapja | C 158/46 |
| --- | --- | --- | --- |

3.5.2016

HU

Az Európai Unió Hivatalos Lapja

C 158/46

---

A Tanács indokolása: a Tanács (EU) 5/2016 álláspontja első olvasatban a személyes adatoknak az illetékes hatóságok által a bűncselekmények megelőzése, nyomozása, felderítése, üldözése vagy büntetőjogi szankciók végrehajtása céljából végzett kezelése tekintetében a természetes személyek védelméről és az ilyen adatok szabad áramlásáról, valamint a 2008/977/IB tanácsi kerethatározat hatályon kívül helyezéséről szóló európai parlamenti és a tanácsi irányelv elfogadása céljából

(2016/C 158/02)

I.   BEVEZETÉS

A Bizottság 2012. január 25-én javaslatot tett egy átfogó adatvédelmi csomagra, amely a következőkből áll:

| — | általános adatvédelmi rendeletjavaslat, amely a (korábbi első pillérbe tartozó) 1995. évi adatvédelmi irányelv helyébe lépne (a továbbiakban: rendelettervezet); |
| --- | --- |

—

általános adatvédelmi rendeletjavaslat, amely a (korábbi első pillérbe tartozó) 1995. évi adatvédelmi irányelv helyébe lépne (a továbbiakban: rendelettervezet);

| — | a személyes adatoknak az illetékes hatóságok által a bűncselekmények megelőzése, nyomozása, felderítése, üldözése vagy büntetőjogi szankciók végrehajtása céljából végzett kezelése tekintetében a természetes személyek védelméről és az ilyen adatok szabad áramlásáról szóló fenti irányelv (1), amely a (korábbi harmadik pillérbe tartozó) 2008. évi adatvédelmi kerethatározatot váltaná fel (a továbbiakban: irányelvtervezet). |
| --- | --- |

—

a személyes adatoknak az illetékes hatóságok által a bűncselekmények megelőzése, nyomozása, felderítése, üldözése vagy büntetőjogi szankciók végrehajtása céljából végzett kezelése tekintetében a természetes személyek védelméről és az ilyen adatok szabad áramlásáról szóló fenti irányelv (1), amely a (korábbi harmadik pillérbe tartozó) 2008. évi adatvédelmi kerethatározatot váltaná fel (a továbbiakban: irányelvtervezet).

Az Európai Parlament 2014 márciusában fogadta el az irányelvtervezetre vonatkozó véleményét (2).

A Tanács2015. október 9-én általános megközelítést (3) fogadott el, tárgyalási megbízást adva az elnökségnek az Európai Parlamenttel tartandó háromoldalú egyeztetésekre.

Az Európai Parlament és a Tanács az Állampolgári Jogi, Bel- és Igazságügyi Bizottság, illetve az Állandó Képviselők Bizottsága szintjén 2015. december 17-én, illetve 18-án megerősítette a háromoldalú egyeztetések nyomán kialakított kompromisszumos szövegről született megállapodást.

A Tanács a február 12-i ülésén politikai megállapodásra (4) jutott az irányelvtervezetről. A Tanács 2016. április 8-án elfogadta az első olvasatban kialakított álláspontját, amely teljes mértékben összhangban áll az irányelvnek a Tanács és az Európai Parlament közötti nem hivatalos tárgyalások során jóváhagyott kompromisszumos szövegével.

A Régiók Bizottsága véleményt nyilvánított a rendelettel kapcsolatban (HL C 391., 2012.12.18., 127. o.).

Az európai adatvédelmi biztossal való konzultáció megtörtént; a biztos először 2012-ben (HL C 192., 2012.6.30., 7. o.), másodjára pedig 2015-ben (HL C 301., 2015.9.12., 18. o.) nyilvánított véleményt.

Az Alapjogi Ügynökség 2012. október 1-jén nyilvánított véleményt.

II.   A JAVASLAT CÉLJA

Az irányelvtervezet célja biztosítani a büntetőügyekben folytatott hatékony igazságügyi együttműködést és rendőrségi együttműködést, valamint elősegíteni a tagállamok illetékes hatóságai között a személyes adatok cseréjét, garantálva a természetes személyek személyes adatainak következetes és magas szintű védelmét. A 2008/977/IB tanácsi kerethatározathoz képest – melynek az irányelvtervezet a helyébe lép majd – az irányelvtervezet a személyes adatok belföldi kezelésére is ki fog terjedni.

Az Európai Unió működéséről szóló szerződés 16. cikke a személyes adatok védelmére vonatkozó szabályok elfogadására vonatkozóan új jogalapot vezet be, mely a személyes adatoknak a büntetőügyekben folytatott igazságügyi együttműködés és a rendőrségi együttműködés területén végzett kezelésére is érvényes.

III.   A TANÁCS ELSŐ OLVASATBAN KIALAKÍTOTT ÁLLÁSPONTJÁNAK ELEMZÉSE

A.   
  Általános megjegyzések

Az irányelvtervezet egy adatvédelmi csomag része. A másik javaslat a fent említett általános adatvédelmi rendeletre irányuló javaslat.

A Bizottság irányelvjavaslata alapján az Európai Parlament és a Tanács nem hivatalos tárgyalásokat folytatott annak érdekében, hogy megállapodást lehessen kötni a Tanács első olvasatbeli álláspontjának szakaszában. Az irányelvtervezettel kapcsolatos, első olvasatban kialakított tanácsi álláspont szövege teljes mértékben tükrözi az irányelvről a két társjogalkotó között az Európai Bizottság közreműködésével létrejött kompromisszumot. Ennek alapján a Tanács első olvasatban kialakított álláspontjára való hivatkozások a háromoldalú egyeztető tárgyalásokon kialakított kompromisszumra való hivatkozásként értendők.

A természetes személyeknek a személyes adataik kezelésével kapcsolatban nyújtott védelem alapvető jog. Az Európai Unió Alapjogi Chartája 8. cikkének (1) bekezdése és az Európai Unió működéséről szóló szerződés 16. cikkének (1) bekezdése leszögezi, hogy mindenkinek joga van a rá vonatkozó személyes adatok védelméhez. Ennek alapján a Tanács első olvasatbeli álláspontja megállapítja a természetes személyeknek a személyes adataik kezelése vonatkozásában való védelméhez kapcsolódó elveket és szabályokat. Ezen elveknek és szabályoknak állampolgárságtól és lakóhelytől függetlenül tiszteletben kell tartaniuk a természetes személyek alapvető jogait és szabadságait, különösen a személyes adatok védelméhez való jogot.

A Tanács első olvasatban kialakított álláspontja fenntartja a kerethatározat (5) és a bizottsági javaslat célkitűzéseit, így például a kerethatározatban szereplő, a harmonizáció minimumszintjére vonatkozó elvet. Az irányelvtervezet szövege egyértelműbb és konkrétabb rendelkezéseket tartalmaz a kerethatározatban foglalt rendelkezések legtöbbjéhez képest, például továbbfejlesztették és kiterjesztették a harmadik országokba vagy nemzetközi szervezetek részére történő adattovábbításra vonatkozó rendelkezéseket.

A Tanács a rendelettervezettel kapcsolatban 2015 júniusában, az irányelvtervezettel kapcsolatban pedig 2015 októberében alakított ki általános megközelítést.

A személyes adatok védelmére vonatkozóan az Európai Unió működéséről szóló szerződésben foglalt új jogalap minden szakpolitikai területre érvényes, nem érintve a közös kül- és biztonságpolitikára meghatározott különös szabályokat. Azonban a Lisszaboni Szerződéshez csatolt 21. nyilatkozat elismeri, hogy a büntetőügyekben folytatott igazságügyi együttműködés és a rendőrségi együttműködés területén különös szabályok válhatnak szükségessé. Mindezek miatt, és figyelembe véve, hogy az irányelvtervezet az adatvédelmi csomag része, a Tanács arra törekedett, hogy az irányelvtervezetben több rendelkezés kapcsán is a rendelettervezethez igazítsa az irányelvtervezet szövegét. Ez különösen igaz a fogalommeghatározásokra, az elvekre, az adatkezelőről és az adatfeldolgozóról szóló fejezetre, a megfelelőségi határozatokra, valamint a független felügyeleti hatóságokról szóló fejezetre. Ezért a szöveg ezen részeiről e feljegyzésben kevésebb szót ejtünk.

B.   
  A legfontosabb szakpolitikai kérdések

1.   
  Hatály (tárgyi és személyi)

A Tanács első olvasatban elfogadott álláspontja az 1. cikk (1) bekezdésében meghatározza az irányelvtervezet tárgyi hatályát. Ebbe beletartozik a személyes adatoknak az illetékes hatóságok által a bűncselekmények megelőzése, nyomozása, felderítése, üldözése vagy büntetőjogi szankciók végrehajtása – így többek között a közbiztonságot fenyegető veszélyekkel szembeni védelem és az e veszélyek megelőzése – céljából végzett kezelése. Ennek értelmében az irányelvtervezet a 2008/977/IB kerethatározattal ellentétben a személyes adatok belföldi kezelésére is kiterjed.

Az adatvédelmi csomag másik része, a rendelettervezet kizárja a hatálya alól az irányelv tárgyát, így a kettő egymást kölcsönösen kizárja. A rendelettervezet az általános szabályokat tartalmazza, az irányelvtervezet pedig külön a büntetőügyekben folytatott igazságügyi együttműködés és a rendőrségi együttműködés területére alkalmazandó.

A rendőrség és más bűnüldöző hatóságok munkájába beletartozik az is, hogy kényszerintézkedések alkalmazásával gyakorolják hatáskörüket, gondoljunk csak a rendőrség tüntetések, nagyobb sportesemények és zavargások során folytatott tevékenységeire. A Tanács az első olvasatban elfogadott álláspontjában arra törekszik, hogy e hatóságok, elsősorban a rendőrség az adatkezelést egyetlen jogszabály szerint, nevezetesen az irányelvtervezetet átültető tagállami jogszabály szerint végezhesse. Ha azonban a rendőrség a személyes adatok kezelését az irányelvtervezet hatályán kívül eső célból végzi, akkor az alábbi 7. pontban foglaltaknak megfelelően a rendelettervezet alkalmazandó. E cél érdekében a Tanács első olvasatban elfogadott álláspontja egyértelművé tette az irányelvtervezet hatályát azzal, hogy kiegészítette „a közbiztonságot fenyegető veszélyekkel szembeni védelem és e veszélyek megelőzése” szövegrésszel.

Ami a személyi hatályt illeti, a Tanács első olvasatban elfogadott álláspontja a hatályt kiterjesztette a bűncselekmények megelőzésében, nyomozásában, felderítésében, üldözésében, illetve büntetőjogi szankciók végrehajtásában illetékes közhatalmi szerveken túl azokra a szervekre és szervezetekre is, amelyek a nemzeti jog alapján a fenti célokból hatósági feladatokat láthatnak el és közhatalmi jogosítványokat gyakorolhatnak. Mindazonáltal az irányelvtervezet alkalmazásában illetékes hatóságnak minősülő hatóságokon kívüli harmadik országbeli címzettek részére kizárólag közhatalmi szervek jogosultak személyes adatokat továbbítani.

2.   
  A személyes adatokra vonatkozó alapelvek

a)   átláthatóság

A rendelettervezetről első olvasatban elfogadott tanácsi állásponttól eltérően az irányelvtervezetről első olvasatban elfogadott tanácsi álláspontban az átláthatóság fogalma nem szerepel a személyes adatok kezelésére vonatkozó alapelvek között, mivel a bűnüldözés terén az átláthatóság veszélyeztethetné a folyamatban lévő nyomozásokat. Azonban az alapelvekkel kapcsolatos preambulumbekezdésbe bekerült az átláthatóság, leszögezve ugyanakkor, hogy lehetőség lesz olyan tevékenységeket folytatni, mint például a fedett nyomozás vagy a videokamerás megfigyelés.

b)   az adatkezelés biztonsága

A Tanács első olvasatban elfogadott álláspontja azt a kiegészítést tartalmazza, hogy a személyes adatok kezelését oly módon kell végezni, hogy biztosítva legyen a személyes adatok megfelelő biztonsága, az adatok jogosulatlan vagy jogellenes kezelésével, véletlen elvesztésével, megsemmisítésével vagy károsodásával szembeni védelmet is ideértve. A Tanács első olvasatban elfogadott álláspontja továbbá azt is kimondja, hogy e célból megfelelő technikai és szervezeti intézkedéseket kell alkalmazni. Ez a rendelettervezet szövegével összhangban van.

3.   
  További adatkezelés

a)   összeegyeztethetőség

A további adatkezelés kérdése, illetve az, hogy azt azonos vagy más adatkezelő végezheti-e, továbbá a célok összeegyeztethetősége nehézségek forrása volt a rendelettervezetről szóló megbeszéléseken. Az irányelvtervezetről első olvasatban elfogadott tanácsi álláspont szerint az 1. cikk (1) bekezdésében meghatározott célokból végzett minden adatkezelés megengedettnek tekinthető, ha az adatkezelő az uniós vagy nemzeti joggal összhangban jogosult a személyes adatokat az említett célból kezelni, és az adatkezelés az uniós vagy nemzeti joggal összhangban, az említett egyéb cél szempontjából szükséges és arányos.

b)   eltérő célú adatkezelés az irányelvtervezet hatályán belül

A Tanács első olvasatban elfogadott álláspontja kimondja, hogy azonos vagy más adatkezelő által az 1. cikk (1) bekezdésében meghatározott, de a személyes adatok gyűjtésének céljától eltérő célból végzett bármilyen adatkezelés csak akkor megengedett, ha az adatkezelő az uniós vagy nemzeti joggal összhangban jogosult a szóban forgó személyes adatokat az említett célból kezelni, és az adatkezelés az uniós vagy nemzeti joggal összhangban, az említett egyéb cél szempontjából szükséges és arányos. Ez lehetővé teszi például azt, hogy az ügyész ugyanazokat a személyes adatokat kezelje egy adott bűncselekményre vonatkozó büntetőeljárás során, mint amelyeket a rendőrség kezelt a bűncselekmény felderítésekor, tekintettel arra, hogy a példában említett mindkét célra kiterjed az 1. cikk (1) bekezdése.

4.   
  A tárolásra és a felülvizsgálatra vonatkozó határidők

A Tanács első olvasatban elfogadott álláspontja kimondja, hogy megfelelő határidőket kell megállapítani a személyes adatok törlésére, illetve – annak ellenőrzése érdekében, hogy a tárolásuk szükséges-e – a tárolt adatok rendszeres felülvizsgálatára vonatkozóan. A kerethatározatban már szerepel egy rendelkezés a határidőkről, és a Tanács első olvasatban elfogadott álláspontja szerint is indokolt a rendelkezés beillesztése.

E rendelkezés megerősíti a 4. cikkben foglalt elvet, mely szerint az adatokat csak addig szabad tárolni, ameddig arra az adatkezelés célja szempontjából szükség van.

5.   
  Az érintettek különböző kategóriái

A Tanács első olvasatban elfogadott álláspontja kimondja, hogy a tagállamoknak elő kell írniuk az adatkezelő számára, hogy „– adott esetben és lehetőség szerint –” világos különbséget tegyen az érintettek különböző kategóriáinak személyes adatai között. Azonban a Tanács első olvasatban elfogadott álláspontja biztosítja, hogy az ártatlanság vélelméhez való jognak az Alapjogi Chartában garantált módon történő alkalmazását ne lehessen akadályozni az érintettek különböző kategóriákba sorolásával, különösen az olyan személyek kategóriájába sorolással, akikkel kapcsolatban alapos okkal feltételezhető, hogy bűncselekményt követtek el vagy készülnek elkövetni.

6.   
  Az adatkezelés jogszerűsége

A Tanács első olvasatban elfogadott álláspontja kimondja, hogy a személyes adatok kezelése csak akkor és kizárólag annyiban jogszerű, amennyiben olyan feladat ellátásához szükséges, amelyet valamely illetékes hatóság a bűncselekmények megelőzése, nyomozása, felderítése, üldözése vagy büntetőjogi szankciók végrehajtása – többek között a közbiztonságot fenyegető veszélyekkel szembeni védelem és e veszélyek megelőzése – céljából végez, és az adatkezelés uniós vagy nemzeti jog alapján történik. A preambulumbekezdésekben kifejezetten szerepel, hogy e tevékenységek körébe beletartozik az érintett létfontosságú érdekeinek védelme is.

A Tanács első olvasatban elfogadott álláspontja felsorolja, hogy a nemzeti adatvédelmi jogszabályoknak milyen elemeket kell tartalmazniuk, például az adatkezelés célkitűzéseit és céljait.

7.   
  Különös adatkezelési feltételek

Főszabály szerint az illetékes hatóságok által az irányelvtervezet 1. cikkének (1) bekezdésében meghatározott célokból gyűjtött személyes adatokat csak az irányelvtervezetben meghatározott valamely célból lehet kezelni. Azonban az illetékes hatóságok által az irányelvtervezetben meghatározott célokból gyűjtött személyes adatok kezelésére a rendelettervezet alapján is sor kerülhet, amennyiben ez az adatkezelés uniós vagy nemzeti jog alapján megengedett, kivéve, ha az adatkezelést az uniós jog hatályán kívül eső tevékenység során végzik. A Tanács első olvasatban elfogadott álláspontja továbbá két olyan esetet is meghatároz, melyekben a rendelettervezet alkalmazandó. Először, amennyiben a nemzeti jog az 1. cikk (1) bekezdésében meghatározott céloktól eltérő célból elvégzendő feladatok ellátását írja elő az illetékes hatóságok számára. Másodszor, a rendelet a közérdekű archiválási célokból vagy tudományos és történelmi kutatási célokból, illetve statisztikai célokból végzett adatkezelésre is alkalmazandó, kivéve, ha az adatkezelést az uniós jog hatályán kívül eső tevékenység során végzik.

8.   
  A személyes adatok különleges kategóriái

Azok a személyes adatok, amelyek természetüknél fogva különösen érzékenyek az alapvető jogok és szabadságok szempontjából, különös védelmet érdemelnek, mivel a kezelésük körülményei az alapvető jogokra és szabadságokra nézve jelentős kockázatot hordozhatnak. A Tanács első olvasatban elfogadott álláspontja lehetővé teszi az ilyen adatok kezelését, de csak ha arra feltétlenül szükség van, és azzal a feltétellel, hogy az érintettek jogaira és szabadságaira vonatkozóan megfelelő garanciák vannak. Mindemellett az ilyen adatkezelés csak akkor megengedett, ha arra az érintett létfontosságú érdekeinek védelme céljából az uniós vagy nemzeti jog feljogosít, illetve ha az adatkezelés olyan adatokra vonatkozik, amelyeket az érintett kifejezetten nyilvánosságra hozott.

Mivel az irányelvtervezet és a rendelettervezet ugyanannak a csomagnak a részét képezi, a Tanács az irányelvtervezetről első olvasatban elfogadott álláspontjában a felsorolt kategóriákat illetően átvette a rendelettervezetben meghatározott kategóriákat, többek között a „biometrikus adatokat” és a „szexuális irányultságot” is.

9.   
  Automatizált döntéshozatal egyedi ügyekben, beleértve a profilalkotást

Az irányelvtervezetben foglalt további elv értelmében tiltani kell az olyan, kizárólag automatizált adatkezelésen – többek között profilalkotáson – alapuló döntéshozatalt, amelynek joghatása az érintettre nézve hátrányos vagy őt jelentős mértékben érinti, kivéve, ha ezt uniós vagy nemzeti jog lehetővé teszi, és emellett az érintettek jogaira és szabadságaira vonatkozó megfelelő garanciák is léteznek. Az ilyen garanciák közé kell tartoznia legalább az érintett azon jogának, hogy az adatkezelőtől emberi beavatkozást kérjen. A Tanács első olvasatban elfogadott álláspontjából egyértelműen kiderül, hogy a kizárólag automatizált adatkezelésen alapuló döntés csak akkor alapulhat a 10. cikkben felsorolt különleges adatkategóriákon, ha az érintettek jogait, szabadságait és jogos érdekeit megfelelő garanciák védik. A szöveg továbbá úgy rendelkezik, hogy tiltani kell a 10. cikk szerinti különleges adatkategóriák alapján történő olyan profilalkotást, amely megkülönböztetést eredményez.

10.   
  Az érintettek jogai

a)   az érintett tájékoztatása

A Tanács első olvasatbeli álláspontja az érintettek jogairól is rendelkezik. Az érintett csak akkor tudja gyakorolni jogait, ha tájékoztatást kap arról, hogy személyes adatait kezelik. A tájékoztatást tömör, érthető és könnyen hozzáférhető formában kell nyújtani, és könnyen érthetőnek kell lennie, ezért azt világos és közérthető módon kell megfogalmazni. A rendelettervezet szövegétől eltérően az irányelvtervezetről első olvasatban kialakított tanácsi álláspont nem írja elő, hogy a tájékoztatásnak egyben átláthatónak is kell lennie. Az irányelv hatálya alá tartozó területen például alááshatja a nyomozás célját, ha az érintett a nyomozás korai szakaszában tájékoztatást kap a konkrét nyomozási intézkedésről.

b)   az érintett rendelkezésére bocsátandó információk

Az első olvasatban elfogadott tanácsi álláspont meghatározza, hogy az érintettnek miről kell minden esetben tájékoztatást kapnia. Ilyen például az adatkezelő személye és elérhetőségei, valamint az adatkezelés célja. Ezen információk az illetékes hatóság honlapján is közzétehetők. A Tanács első olvasatbeli álláspontja emellett azt is meghatározza, hogy meghatározott esetekben milyen további információkat kell megadni. Ide tartozik a jogalap, az adattárolás lehetséges időtartama és a címzettek kategóriái. Bizonyos körülmények esetén, például amennyiben a szóban forgó intézkedés – kellő tekintettel az adott természetes személy alapvető jogaira és jogos érdekeire – egy demokratikus társadalomban szükséges és arányos intézkedést jelent, ez a további tájékoztatás késleltethető, korlátozható vagy mellőzhető. Ezenfelül a további tájékoztatást illetően a tagállamok számára lehetővé kell tenni, hogy jogszabályban rendelkezhessenek arról, hogy a személyes adatok kezelésének egyes kategóriái mentesülhetnek a tájékoztatási kötelezettség alól.

c)   hozzáférési jog

A Tanács első olvasatban elfogadott álláspontja egyaránt meghatározza a személyes adatokhoz való hozzáférés jogát és e hozzáférési jog korlátozását. A tagállamok számára lehetővé kell tenni, hogy a hozzáférési jogot ugyanolyan feltételek mellett korlátozhassák, mint a további tájékoztatás késleltetését, korlátozását vagy mellőzését. A tagállamoknak rendelkezniük kell arról, hogy a hozzáférési jog korlátozása esetén az adatkezelő tájékoztassa az érintettet a korlátozás indokairól, kivéve, ha az érintettnek a korlátozás indokairól való tájékoztatása veszélyeztetné az intézkedés, például a nyomozás célját.

d)   a személyes adatok kezelése korlátozásának különleges esetei

A tagállamoknak rendelkezniük kell arról, hogy az érintettnek joga van saját személyes adatait helyesbíttetni, töröltetni vagy azok kezelését korlátozni. Az első olvasatbeli tanácsi álláspont azt is lehetővé teszi, hogy az érintett két meghatározott esetben személyes adatainak törlése helyett korlátozza azok kezelését. Az egyik ilyen eset az, amikor az érintett vitatja az adatok pontosságát, és azok pontossága vagy pontatlansága nem állapítható meg egyértelműen. A másik eset arra a helyzetre vonatkozik, amikor a személyes adatokat bizonyítási célból megőrzik. A kapcsolódó preambulumbekezdés kimondja, hogy az utóbbi például olyan esetben fordulhat elő, amikor alapos okkal feltételezhető, hogy sérülhetnek az érintett jogos érdekei. Ilyen esetben az adatokat csak abból a célból lehet kezelni, amely megakadályozta a törlésüket.

11.   
  Az érintettek jogainak gyakorlása és a felügyeleti hatóság általi ellenőrzés

Arra az esetre, ha az érintetteknek a tájékoztatáshoz, a hozzáféréshez, a helyesbítéshez, a törléshez vagy az adatkezelés korlátozásához való jogát korlátozzák, a tagállamoknak olyan rendelkezéseket kell elfogadniuk, amelyek értelmében az érintettek jogainak gyakorlására az illetékes felügyeleti hatóság közreműködésével is sor kerülhet.

12.   
  Az adatkezelő és az adatfeldolgozó

Az irányelvtervezetet az illetékes hatóságok belföldön, vagy a személyes adatok uniós tagállamok közötti továbbításakor, illetve harmadik országba vagy nemzetközi szervezetek részére történő továbbításakor alkalmazzák majd. Az illetékes hatóság közhatalmi szerv vagy bármely olyan közfeladatot ellátó szerv vagy szervezet, amely a nemzeti jog alapján hatósági feladatokat lát el és közhatalmi jogosítványokat gyakorol. Az irányelvtervezet rendelkezéseit a közhatalmi szervek és bizonyos körülmények esetén magánjogi szervek alkalmazzák. Amennyiben az irányelvtervezet szerinti illetékes hatóságok nem az irányelv szerinti célokból kezelnek személyes adatokat, akkor a rendelettervezetet kell alkalmazniuk. Ezért a Tanács első olvasatbeli álláspontja – amint azt ezen indokolás bevezetése is tartalmazza – az irányelvtervezet rendelkezéseit bizonyos mértékben összehangolja a rendelettervezet rendelkezéseivel.

A rendelettervezettel összhangban a Tanács első olvasatbeli álláspontja előírja, hogy az adatkezelőnek megfelelő technikai és szervezeti intézkedéseket kell tennie annak biztosítása és bizonyítása céljából, hogy az adatok kezelése megfelelően történik. Az első olvasatban elfogadott tanácsi álláspont egyértelműen meghatározza az adatfeldolgozó kötelezettségeit. Ennek értelmében az adatfeldolgozónak:

| — | kizárólag az adatkezelő utasítása alapján szabad eljárnia; |
| --- | --- |

—

kizárólag az adatkezelő utasítása alapján szabad eljárnia;

| — | biztosítania kell, hogy a személyes adatok kezelésére feljogosítot személyek eleget tegyenek a titoktartási kötelezettségüknek; |
| --- | --- |

—

biztosítania kell, hogy a személyes adatok kezelésére feljogosítot személyek eleget tegyenek a titoktartási kötelezettségüknek;

| — | a kötelezettségei teljesítésének bizonyításához szükséges minden információt az adatkezelő rendelkezésére kell bocsátania. |
| --- | --- |

—

a kötelezettségei teljesítésének bizonyításához szükséges minden információt az adatkezelő rendelkezésére kell bocsátania.

13.   
  Az adatkezelési tevékenységek nyilvántartása

A Tanács első olvasatbeli álláspontja enyhíti az adatfeldolgozóra háruló nyilvántartási terheket, ezért az adatkezelő és az adatfeldolgozó kötelezettségeit két külön bekezdésben ismerteti. Az első olvasatban kialakított tanácsi álláspont értelmében sem az adatkezelőnek, sem az adatfeldolgozónak nem kell nyilvántartást vezetnie minden egyes adatkezelési tevékenységről, hanem csak az adatkezelési tevékenységek kategóriáiról. A Tanács első olvasatbeli álláspontja szerinti szövegben a bekezdés többi része kötelezi az adatkezelőt arra, hogy a nyilvántartás céljából elegendő információt biztosítson. Az adatkezelőnek kötelező például információkat megadnia azon címzettek kategóriáiról, akik számára a személyes adatokat kiadták vagy ki fogják adni, a valamely harmadik országba vagy nemzetközi szervezet részére továbbított személyes adatok kategóriáiról, illetve amennyiben lehetséges, a különböző személyesadat-kategóriák törlésének várható határidejéről. Az adatkezelőnek továbbá a profilalkotásra vonatkozó információkat is meg kell adnia, amit a rendelettervezet nem ír elő. A Tanács első olvasatbeli álláspontja szerint az adatfeldolgozónak például csak az egyes adatkezelők nevében végzett adatkezelési tevékenységek kategóriáiról kell nyilvántartást vezetnie, és lehetőség szerint gondoskodnia kell a technikai és szervezeti biztonsági intézkedések általános leírásáról.

14.   
  Naplózás

A naplók vezetése fontos, mivel lehetővé teszik az automatizált adatkezelési rendszerben végzett egyes adatkezelési műveletek – például a gyűjtés, a betekintés, a közlés és a továbbítás – indokoltságának, dátumának és időpontjának megállapítását. A betekintésre és a közlésre vonatkozó naplóknak emellett a személyes adatokba betekintő vagy azokat közlő személyek személyazonosságának, illetve a címzettek személyazonosságának a megállapítását is lehetővé kell tenniük. A kerethatározattal összhangban a naplók kizárólag az adatkezelés jogszerűségének ellenőrzésére, önellenőrzésre, valamint a személyes adatok integritásának és biztonságának a szavatolására használhatók fel. Az irányelvtervezetben új rendelkezésként szerepel, hogy a naplók felhasználása büntetőeljárások keretében is lehetséges. Az automatizált adatkezelési rendszereket azonban csak rendkívül nehézkes, hosszadalmas és költséges folyamat során lehet összhangba hozni az előírásokkal. A Tanács első olvasatbeli álláspontja ezért az irányelvtervezet hatálybalépését megelőzően létrehozott automatizált adatkezelési rendszerek megfeleltetése érdekében – ha az aránytalanul nagy erőfeszítést igényelne – kivételesen lehetővé teszi az átültetési időszak meghosszabbítását. Mindemellett kivételes esetben akkor is meghosszabbítható az automatizált adatkezelési rendszerek előírásoknak való megfeleltetésére szabott határidő, ha különben az irányelvtervezet hatálybalépését megelőzően létrehozott valamely konkrét automatizált adatkezelési rendszer működésében komoly nehézségek lépnének fel.

15.   
  Hatásvizsgálat

Míg az eredeti bizottsági javaslat nem rendelkezett adatvédelmi hatásvizsgálatról, a rendelettervezet szövege külön cikket szentel a hatásvizsgálatnak, csakúgy, mint az irányelvtervezet hatálya alá tartozó területre vonatkozóan a Tanács első olvasatban kialakított álláspontja. Az első olvasatbeli tanácsi álláspont kötelezi az adatkezelőt hatásvizsgálat végzésére. Az adatkezelőnek akkor kell az adatkezelést megelőzően hatásvizsgálatot végeznie, ha az adatkezelés a természetes személyek jogaira és szabadságaira nézve feltehetőleg magas kockázattal jár.

Az irányelvtervezet a rendelettervezet szövegében foglaltakhoz hasonlóan határozza meg azokat a helyzeteket, amelyekben kötelező a hatásvizsgálat. Ezzel szemben a rendelettervezetnél kevésbé részletesen ismerteti azokat a szempontokat, amelyekre a hatásvizsgálatnak ki kell terjednie. A hatásvizsgálatnak ki kell terjednie legalább a tervezett adatkezelési művelet általános leírására, az érintettek jogait és szabadságait érintő kockázatok vizsgálatára, valamint a személyes adatok védelmét és az ezen irányelvben foglalt rendelkezéseknek való megfelelés igazolására szolgáló garanciák, biztonsági intézkedések és mechanizmusok értékelésére.

16.   
  Adatvédelmi tisztviselő

A Tanács első olvasatban kialakított álláspontja szerint a tagállamoknak elő kell írniuk, hogy az adatkezelőnek adatvédelmi tisztviselőt kell kijelölnie. A tagállamok számára ugyanakkor lehetővé kell tenni, hogy az igazságszolgáltatási feladatkörükben eljáró bíróságokat és egyéb igazságügyi hatóságokat mentesítsék e kötelezettség alól. Adatvédelmi tisztviselő kijelölésére azért van szükség, hogy javítani lehessen az irányelvtervezetnek való megfelelést.

17.   
  Adattovábbítás

Ha harmadik országokkal és nemzetközi szervezetekkel adatokat kívánunk cserélni, ahhoz szabályozni kell az adatok továbbítását. A személyes adatok továbbítására vonatkozó általános elveket illetően a Tanács első olvasatbeli álláspontja kiegészíti a Bizottság által javasolt feltételeket annak előírásával, hogy az átvevő hatóságnak az 1. cikk (1) bekezdésében meghatározott célok tekintetében illetékesnek kell lennie, és hogy a személyes adatoknak egy másik tagállamból való továbbítása vagy rendelkezésre bocsátása esetén a szóban forgó tagállamnak erre előzetesen engedélyt kell adnia. A Tanács első olvasatbeli álláspontja emellett egyértelműen kimondja azt is, hogy az adattovábbításról szóló fejezet valamennyi rendelkezését alkalmazni kell annak biztosítása érdekében, hogy a természetes személyek számára az irányelvtervezetben garantált védelem szintje ne sérüljön.

Az általános elvekről szóló cikk a megfelelőségi határozattal kezdve csökkenő fontossági sorrendben meghatározza, hogy az adatkezelőnek milyen lehetőségei vannak a személyes adatok továbbítására. A megfelelőségi határozat után a megfelelő garanciák megléte esetén végezhető adattovábbítás következik, majd az olyan adattovábbítás, amelyre a kivételes esetekben biztosított eltérések vonatkoznak. A megfelelőségi határozatokról szóló cikk kizárólag az irányelv értelmében hozott megfelelőségi határozatokra utal, a rendelet alapján hozott határozatokra nem. Azok a tényezők, amelyeket az irányelvtervezet szerint a Bizottságnak a védelmi szint megfelelőségének mérlegelése során figyelembe kell vennie, megegyeznek a rendelettervezetben felsoroltakkal.

A Tanács első olvasatbeli álláspontjában a megfelelő garanciák megléte esetén végezhető adattovábbításról és a kivételes esetekben biztosított eltérésekről szóló cikkek kimondják, hogy az ilyen adattovábbításokat dokumentálni kell, a dokumentációt pedig a felügyeleti hatóság rendelkezésére kell bocsátani, valamint meghatározzák a dokumentációban kötelezően feltüntetendő információkat.

Az első olvasatbeli tanácsi álláspont újabb alapot is biztosít az adattovábbításhoz, nevezetesen lehetővé teszi, hogy az illetékes hatóság – kizárólag akkor, ha közhatalmi szerv (tehát a a nemzeti jog alapján közhatalmi jogosítványokat gyakorló, de közhatalmi szervnek nem minősülő szervek vagy szervezetek nem tartoznak ide) – személyes adatokat továbbítson harmadik országbeli címzettek részére. Ez a lehetőség mentességet jelent az alól az általános elv alól, amely szerint a személyes adatok csak akkor továbbíthatók, ha a harmadik országbeli adatkezelő vagy a nemzetközi szervezet az irányelvtervezet 1. cikkének (1) bekezdésében meghatározott célok tekintetében illetékes hatóság. Az első olvasatbeli tanácsi álláspont tehát – mivel a nemzetközi megállapodások nem minden esetben adnak lehetőséget a kellően gyors válaszadásra – lehetővé teszi, hogy a fent említett illetékes hatóságok egyedi és kivételes esetekben, és ha az az irányelvben foglalt egyéb rendelkezéseknek is megfelel, valamint számos tételesen felsorolt feltétel is teljesül, közvetlenül továbbítsanak személyes adatokat harmadik országbeli címzettek részére. E feltételek többek között a következőket foglalják magukban: az adattovábbítás feltétlenül szükséges valamely olyan feladat ellátásához, amelyet az adatokat továbbító illetékes hatóság uniós vagy nemzeti jog alapján végez az 1. cikk (1) bekezdésében meghatározott célokból; az adatokat továbbító illetékes hatóság úgy véli, hogy az 1. cikk (1) bekezdésében említett célok tekintetében illetékes harmadik országbeli hatóság számára történő továbbítás nem hatékony vagy nem célszerű, különösen azért, mert arra nem kerülhet kellő időben sor; továbbá, hogy az adatokat továbbító hatóság tájékoztatja a címzettet arról, hogy a személyes adatok mely konkrét célból vagy célokból kezelhetők. A garanciák mellett, illetve a meghatározott helyzetekben biztosított eltérések alapján végzett adattovábbításhoz hasonlóan az adattovábbítást ebben az esetben is dokumentálni kell. Az effajta adattovábbítás különösen hasznos lehet, ha fennáll a veszély, hogy valamely személy bűncselekmény áldozatává válik és a személyes adatok továbbítása az említett személy életének megmentése érdekében, illetve valamely bűncselekmény – például terrorcselekmény – azonnali elkövetésének megelőzése érdekében sürgősen szükséges.

18.   
  Felügyeleti hatóságok

Az irányelvtervezet előírásainak való megfelelés biztosítása érdekében az irányelvtervezet és a rendelettervezet végrehajtását felügyeleti hatóságok ellenőrzik. Az irányelvtervezet felügyeleti hatóságokra vonatkozó rendelkezései nagyrészt a rendelettervezet szövegéből származnak. A tagállamok előírhatják, hogy a rendelettervezet keretében létrehozott felügyeleti hatóságok az irányelvtervezet szerinti felügyeleti feladatokat is ellássák. Az irányelvtervezet ugyanakkor az általa meghatározott felügyeleti hatóságok hatásköréből kizárja a bíróságok által igazságügyi feladataik ellátása során végzett adatkezelési műveletek felügyeletét. A tagállamok számára lehetővé kell tenni, hogy az irányelvtervezet szerinti felügyeleti hatóságok hatásköréből kizárhassák az egyéb független igazságügyi hatóságok által igazságszolgáltatási feladataik körében végzett adatkezelési műveletek felügyeletét. Ez ugyanakkor nem jelenti azt, hogy az ilyen szervek által végzett adatkezelés mentesül a felügyelet alól. A kapcsolódó preambulumbekezdés ezért pontosítja, hogy a bíróságok és egyéb független igazságügyi hatóságok által végzett adatkezelési műveleteket az Európai Unió Alapjogi Chartájával összhangban független felügyeletnek kell alávetni.

19.   
  A felügyeleti hatóságok hatáskörei

A Tanács első olvasatban elfogadott álláspontja értelmében a felügyeleti hatóságokat a tagállamokban ugyanazokkal a feladatokkal és tényleges hatáskörökkel kell felruházni annak érdekében, hogy elvégezhessék feladataikat, azaz az Unió egészében hatékonyan, megbízhatóan és következetesen nyomon követhessék ezen irányelv végrehajtását és az ezen irányelvnek való megfelelést.

A Tanács első olvasatban elfogadott álláspontja három kategóriába sorolja a felügyeleti hatóságok jogszabályban előírandó hatásköreit: tényleges vizsgálati hatáskör, korrekciós és tanácsadási hatáskör, valamint hatáskör arra, hogy az ezen irányelv alapján elfogadott rendelkezések megsértése esetén az igazságügyi hatóságokhoz forduljanak.

20.   
  Kapcsolat korábban megkötött nemzetközi megállapodásokkal

A Tanács első olvasatbeli álláspontja – a rendelettervezetről első olvasatban kialakított tanácsi állásponttal összhangban – úgy rendelkezik, hogy a tagállamok által az irányelvtervezet hatálybalépése előtt kötött olyan nemzetközi megállapodások, amelyek megfelelnek az uniós jognak, és amelyeket az irányelvtervezet hatálybalépése előtt alkalmaznak, módosításukig, felváltásukig vagy visszavonásukig változatlanul hatályban maradnak. Amint azt a Tanács a rendelettervezettel kapcsolatban kimondta, a hatályos megállapodások fenntartása jogbiztonságot jelent az adatkezelők számára.

IV.   KONKLÚZIÓ

A Tanács első olvasatban elfogadott álláspontja tükrözi a Tanács és az Európai Parlament közötti tárgyalások során – a Bizottság közreműködésével – kialakított kompromisszum tartalmát. Az első olvasatban kialakított tanácsi álláspont módosítások nélküli jóváhagyásával az Európai Parlament – a Tanáccsal közösen – olyan magas szintű adatvédelmi előírásokat vezet be mind nemzeti szinten, mind határokon átnyúló összefüggésben, amelyek lehetővé teszik a bűnüldöző hatóságok közötti szorosabb együttműködést.

---

(1)  5833/12.

(2)  7428/14.

(3)  12555/15.

(4)  5463/16.

(5)  A Tanács 2008. november 27-i 2008/977/IB kerethatározata a büntetőügyekben folytatott rendőrségi és igazságügyi együttműködés keretében feldolgozott személyes adatok védelméről (HL L 350., 2008.12.30., 60. o.).

---