РЕГЛАМЕНТ ЗА ИЗПЪЛНЕНИЕ (ЕС) 2021/1772 НА КОМИСИЯТА

от 28 юни 2021 година

съгласно Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета относно адекватното ниво на защита на личните данни от страна на Обединеното кралство

(нотифицирано под номер C(2021) 4800)

(текст от значение за ЕИП)

ЕВРОПЕЙСКАТА КОМИСИЯ,

като взе предвид Договора за функционирането на Европейския съюз,

като взе предвид Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) (1), и по-специално член 45, параграф 3 от него,

като има предвид, че:

1. ВЪВЕДЕНИЕ

(1) С Регламент (ЕС) 2016/679 се определят правилата за предаването на лични данни от администратори или обработващи лични данни в Европейския съюз на трети държави и международни организации, доколкото това предаване попада в неговото приложно поле. Правилата относно международното предаване на данни са установени в глава V от посочения регламент, по-специално в членове 44—50. Въпреки че движението на лични данни към и от държави извън Европейския съюз е от съществено значение за разширяването на международното сътрудничество и презграничната търговия, нивото на защита, което се предоставя на личните данни в Европейския съюз, не трябва да се излага на риск при предаване на трети държави (2).

(2) Съгласно член 45, параграф 3 от Регламент (ЕС) 2016/679 Комисията може да реши посредством акт за изпълнение, че дадена трета държава, територия или един или повече конкретни сектори в дадена трета държава, или дадена международна организация осигуряват адекватно ниво на защита. При това условие предаването на лични данни на трета държава може да се извършва, без да е необходимо допълнително разрешение, както е предвидено в член 45, параграф 1 и в съображение 103 от посочения регламент.

(3) Както е посочено в член 45, параграф 2 от Регламент (ЕС) 2016/679, приемането на решение относно адекватността трябва да се основава на цялостен анализ на правния ред на третата държава, който обхваща както правилата, приложими към вносителите на данни, така и ограниченията и гаранциите по отношение на достъпа до лични данни от страна на публичните органи. В своята оценка Комисията трябва да определи дали въпросната трета държава гарантира ниво на защита, „по същество равностойно“ на осигуреното в рамките на Европейския съюз (съображение 104 от Регламент (ЕС) 2016/679). Стандартът, спрямо който се оценява „равностойността по същество“, е определеният от законодателството на ЕС, по-специално от Регламент (ЕС) 2016/679, както и от съдебната практика на Съда на Европейския съюз (3). Референтният документ на Европейския комитет по защита на данните (ЕКЗД) за адекватното ниво на защита също е от значение в това отношение (4).

(4) Както бе изяснено от Съда на Европейския съюз, това не изисква установяване на идентично ниво на защита (5). По-специално средствата, до които въпросната трета държава прибягва за защита на личните данни, могат да са различни от прилаганите в Европейския съюз, стига те на практика да се окажат ефективни за осигуряването на адекватно ниво на защита (6). Поради това стандартът за адекватно ниво на защита не включва изискване за буквално възпроизвеждане на правилата на Съюза. Критерият се състои по-скоро в това дали чрез същността на правото на защита на личния живот и неговото ефективно прилагане, надзор и изпълнение чуждестранната система като цяло осигурява необходимото ниво на защита (7).

(5) Комисията анализира внимателно законодателство и практиката на Обединеното кралство. Въз основа на своите констатации, изложени в съображения 8—270, Комисията стига до заключението, че Обединеното кралство осигурява адекватно ниво на защита на личните данни, предавани от Европейския съюз към Обединеното кралство в рамките на приложното поле на Регламент (ЕС) 2016/679.

(6) Това заключение не се отнася до личните данни, предавани за целите на имиграционния контрол на Обединеното кралство, или до данните, които по друг начин попадат в обхвата на изключението по отношение на определени права на субекта на данни за целите на поддържането на ефективен имиграционен контрол („изключението във връзка с имиграционния контрол“) съгласно точка 4, подточка 1 от приложение 2 към Закона за защита на данните на Обединеното кралство. Валидността и тълкуването на изключението във връзка с имиграционния контрол съгласно правото на Обединеното кралство не са уредени вследствие на решение на Апелативния съд на Англия и Уелс от 26 май 2021 г. Макар да признава, че правата на субектите на данни принципно могат да бъдат ограничавани за целите на имиграционния контрол като „важен аспект на обществения интерес“, Апелативният съд установи, че в настоящата си форма изключението във връзка с имиграционния контрол е несъвместимо с правото на Обединеното кралство, тъй като за тази законодателна мярка липсват конкретни разпоредби, определящи гаранциите, изброени в член 23, параграф 2 от Общия регламент относно защитата на данните на Обединеното кралство (ОРЗД на Обединеното кралство) (8). При тези условия предаването на лични данни от Съюза към Обединеното кралство, за което може да се приложи изключението във връзка с имиграционния контрол, следва да бъде изключено от обхвата на настоящото решение (9). След като несъвместимостта с правото на Обединеното кралство бъде отстранена, изключението във връзка с имиграционния контрол следва да бъде преразгледано, както и необходимостта да се запази ограничението на обхвата на настоящото решение.

(7) Настоящото решение не следва да засяга прякото приложение на Регламент (ЕС) 2016/679 спрямо организации, установени в Обединеното кралство, когато условията относно териториалното приложение на посочения регламент, изложени в член 3 от него, са изпълнени.

2. ПРАВИЛА, ПРИЛОЖИМИ КЪМ ОБРАБОТВАНЕТО НА ЛИЧНИ ДАННИ

2.1. Конституционна уредба

(8) Обединеното кралство е парламентарна демокрация с държавен глава конституционен суверен. То има суверенен парламент, който е върховен спрямо всички останали държавни институции, изпълнителна власт, представителите на която се избират от парламента и се отчитат пред него, и независима съдебна власт. Изпълнителната власт черпи правомощията си от способността си да се ползва от доверието на избраната Камара на общините и се отчита пред двете камари на парламента, които отговарят за контрола върху правителството и за обсъждането и приемането на закони.

(9) Парламентът на Обединеното кралство е делегирал законодателни правомощия на парламента на Шотландия, парламента на Уелс (Senedd Cymru) и Събранието на Северна Ирландия по вътрешни въпроси в Шотландия, Уелс и Северна Ирландия, които Обединеното кралство не е резервирало за себе си. Макар защитата на данните да е въпрос, резервиран за компетентността на Обединеното кралство, т.е. едно и също законодателство се прилага в цялата страна, други области на политиката, свързани с настоящото решение, са делегирани. Например правомощията, свързани с наказателноправните системи на Шотландия и Северна Ирландия, включително полицейската дейност, са делегирани съответно на парламента на Шотландия и на Събранието на Северна Ирландия. Обединеното кралство не разполага с кодифицирана конституция в смисъла на утвърден учредителен документ. Конституционните принципи са се оформили с течение на времето и произтичат по-специално от съдебната практика и правните обичаи. Някои нормативни актове, като например Магна харта (Magna Carta), Законът за правата (Bill of Rights) от 1689 г. и Законът за правата на човека (Human Rights Act) от 1998 г., имат призната конституционна стойност от съдилищата. Като част от конституцията, основните права на физическите лица са развити чрез общото право, нормативните актове и международните договори, по-специално Европейската конвенция за правата на човека, която Обединеното кралство ратифицира през 1951 г. Обединеното кралство също така ратифицира Конвенцията на Съвета на Европа за защита на лицата при автоматизираната обработка на лични данни (Конвенция № 108) през 1987 г. (10).

(10) Със Закона за правата на човека от 1998 г. правата, съдържащи се в ЕКПЧ, се въвеждат в правото на Обединеното кралство. По силата на Закона за правата на човека на всяко физическо лице се предоставят основните права и свободи, предвидени в членове 2—12 и в член 14 от Европейската конвенция за правата на човека, както и в членове 1, 2 и 3 от Първия протокол към нея и в член 1 от Тринадесетия протокол към нея, във връзка с членове 16, 17 и 18 от посочената конвенция. Това включва правото на зачитане на личния и семейния живот (и правото на защита на личните данни като част от него) и правото на справедлив съдебен процес (11). По-специално, съгласно член 8 от ЕКПЧ държавните власти могат да се намесват в ползването на правото на неприкосновеност на личния живот само в случаите, предвидени в закона, когато това е необходимо в едно демократично общество в интерес на националната и обществената сигурност или на икономическото благосъстояние на страната, за предотвратяване на безредици или престъпления, за защита на здравето и морала или на правата и свободите на другите.

(11) В съответствие със Закона за правата на човека от 1998 г. всяко действие на публичните органи трябва да бъде съвместимо с право, гарантирано съгласно ЕКПЧ (12). Освен това първичното законодателство и подзаконовите актове трябва да се тълкуват и прилагат по начин, който е съвместим с тези права (13).

2.2. Уредбата на Обединеното кралство за защита на данните

(12) На 31 януари 2020 г. Обединеното кралство се оттегли от Европейския съюз. Въз основа на Споразумението за оттеглянето на Обединеното кралство Великобритания и Северна Ирландия от Европейския съюз и Европейската общност за атомна енергия (14) правото на Съюза продължи да се прилага в Обединеното кралство по време на преходния период до 31 декември 2020 г. Преди оттеглянето и по време на преходния период правната уредба относно защитата на личните данни в Обединеното кралство се състоеше от съответното законодателство на ЕС (по-специално Регламент (ЕС) 2016/679 и Директива (ЕС) 2016/680 на Европейския парламент и на Съвета (15)) и национално законодателство, по-специално Закона за защита на данните от 2018 г. (ЗЗД от 2018 г.) (16), с който са установени национални норми в областите, в които това е допустимо съгласно Регламент (ЕС) 2016/679, уточнено е и е ограничено прилагането на нормите на Регламент (ЕС) 2016/679 и е транспонирана Директива (ЕС) 2016/680.

(13) С цел подготвяне за оттеглянето от Европейския съюз правителството на Обединеното кралство прие Закона от 2018 г. за оттеглянето от Европейския съюз (17), с който пряко приложимите законодателни актове на Съюза бяха включени в правото на Обединеното кралство (18). Това така наречено „запазено право на ЕС“ включва Регламент (ЕС) 2016/679 в неговата цялост (заедно със съображенията към него) (19). По силата на горепосочения закон „произтичащото от правото на ЕС национално законодателство“, което не е изменено, трябва да се тълкува от съдилищата на Обединеното кралство съгласно съответната съдебна практика на Съда на Европейския съюз и общите принципи на правото на Съюза във вида, в който са били в сила непосредствено преди края на преходния период (наричани съответно „запазена съдебна практика на ЕС“ и „запазени общи принципи на правото на ЕС“) (20).

(14) Съгласно Закона за оттеглянето от Европейския съюз от 2018 г. министрите на Обединеното кралство имат правомощието чрез нормативни актове да създават вторично законодателство във връзка с въвеждането на необходими изменения в запазеното законодателство на ЕС, произтичащи от оттеглянето на Обединеното кралство от Съюза. Те упражниха това правомощие с приемането на Наредбите от 2019 г. за защита на данните, неприкосновеността на личния живот и електронните съобщения (изменения и т.н.) (Напускане на ЕС) (21). С тях се изменя Регламент (ЕС) 2016/679, както той е въведен в правото на Обединеното кралство посредством Закона от 2018 г. за оттеглянето от Европейския съюз, ЗЗД от 2018 г. и други законодателни актове в областта на защитата на данните, с цел привеждане в съответствие с националния контекст (22).

(15) Вследствие на това правната уредба за защита на личните данни в Обединеното кралство след края на преходния период се състои от: — ОРЗД на Обединеното кралство, включен в правото на Обединеното кралство съгласно Закона от 2018 г. за оттеглянето от Европейския съюз и изменен с Наредбите за защита на данните, неприкосновеността на личния живот и електронните съобщения (изменения и т.н.) (Напускане на ЕС) (23), и — ЗЗД от 2018 г. (24), изменен с Наредбите за защита на данните, неприкосновеността на личния живот и електронните съобщения (изменения и т.н.) (Напускане на ЕС).

(16) Тъй като ОРЗД на Обединеното кралство се основава на законодателството на ЕС, правилата за защита на личните данни в Обединеното кралство в много отношения следват тясно съответните правила, приложими в Европейския съюз.

(17) Наред с правомощията, предоставени на министъра съгласно Закона от 2018 г. за оттеглянето от Европейския съюз, няколко разпоредби на ЗЗД от 2018 г. дават правомощия на министъра да приема вторично законодателство за изменение на определени разпоредби на закона или да определя допълващи и допълнителни правила (25). Досега министърът е упражнил само правомощието по член 137 от ЗЗД от 2018 г. с цел приемането на Наредбите за защита на данните (Такси и информация) (изменения) от 2019 г., в които се определят обстоятелствата, при които администраторите на данни трябва да плащат годишна такса на независимия орган на Обединеното кралство за защита на данните — комисаря по информацията.

(18) И накрая, допълнителни насоки относно законодателството на Обединеното кралство за защита на данните са предвидени в кодексите за поведение и в други насоки, приети от комисаря по информацията. Въпреки че официално насоките не са правнообвързващи, те имат тълкувателна тежест и показват как законодателството за защита на данните се прилага и привежда в изпълнение на практика от комисаря. По-специално съгласно членове 121—125 от ЗЗД от 2018 г. комисарят трябва да изготви кодекси за поведение относно споделянето на данни, директния маркетинг, съобразените с възрастта дизайн и защита на данните и журналистиката.

(19) Следователно по своята структура и основни компоненти правната уредба на Обединеното кралство, която се прилага по отношение на данните, предавани съгласно настоящото решение, е много сходна с тази, която се прилага в ЕС. Това включва и факта, че тази уредба се основава не само на предвидени в националното право задължения, които са съобразени с правото на ЕС, но и на задължения, залегнали в международното право, по-специално чрез присъединяването на Обединеното кралство към ЕКПЧ и Конвенция № 108, както и подчиняването му на юрисдикцията на Европейския съд по правата на човека. Следователно тези задължения, които произтичат от правнообвързващи международни инструменти, отнасящи се по-специално до защитата на личните данни, са особено важен елемент от правната уредба, която е предмет на оценка в настоящото решение.

2.3. Материален и териториален обхват

(20) Както Регламент (ЕС) 2016/679, така и ОРЗД на Обединеното кралство се прилагат за обработването на лични данни изцяло или частично с автоматични средства или за обработването с други средства, ако личните данни са част от регистър с лични данни (26). Определенията на понятията „лични данни“, „субект на данни“ и „обработване“ в ОРЗД на Обединеното кралство са идентични с тези в Регламент (ЕС) 2016/679 (27). Освен това ОРЗД на Обединеното кралство се прилага за ръчното неструктурирано обработване на лични данни (28), съхранявани от определени публични органи на Обединеното кралство (29), въпреки че принципите и правата, залегнали в ОРЗД на Обединеното кралство, които нямат отношение към такива лични данни, са отменени с членове 24 и 25 от ЗЗД от 2018 г. Подобно на Регламент (ЕС) 2016/679, ОРЗД на Обединеното кралство не се прилага за обработването на лични данни от физическо лице в хода на чисто лични или домашни занимания (30).

(21) Приложното поле на ОРЗД на Обединеното кралство се простира и върху обработването на лични данни в хода на дейност, която непосредствено преди края на преходния период е попадала извън приложното поле на правото на Европейския съюз (напр. националната сигурност) (31) или е била в приложното поле на дял 5, глава 2 от Договора за Европейския съюз (дейности по общата външна политика и политика на сигурност) (32). Както е в системата на Европейския съюз, ОРЗД на Обединеното кралство не се прилага за обработването на лични данни от компетентен орган за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания, включително предпазването от заплахи за обществената сигурност и тяхното предотвратяване (така наречените „цели на правоприлагането“) — този вид обработване е уредено в част 3 от ЗЗД от 2018 г. и съответно в Директива (ЕС) 2016/680 съгласно правото на Европейския съюз — нито за обработването на лични данни от разузнавателните служби (Службата за сигурност, Службата за тайно разузнаване и Правителствената централа за комуникации), което е обхванато в част 4 от ЗЗД от 2018 г. (33).

(22) Териториалният обхват на ОРЗД на Обединеното кралство е описан в член 3 от ОРЗД на Обединеното кралство (34) и включва обработването на лични данни (независимо къде се извършва) в контекста на дейностите на дадено място на установяване на администратор или обработващ лични данни в Обединеното кралство, както и обработването на лични данни на субекти на данни, които се намират в Обединеното кралство, когато дейностите по обработване на данни са свързани с предлагането на стоки или услуги на такива субекти на данни или наблюдението на тяхното поведение (35). Това отразява подхода, възприет в член 3 от Регламент (ЕС) 2016/679.

2.4. Определения за „лични данни“ и за понятията „администратор“ и „обработващ лични данни“

(23) Определенията за „лични данни“, „обработване“, „администратор“, „обработващ лични данни“, както и определението за „псевдонимизация“, залегнали в Регламент (ЕС) 2016/679, са запазени без съществени изменения в ОРЗД на Обединеното кралство (36). Освен това специалните категории лични данни са определени в член 9, параграф 1 от ОРЗД на Обединеното кралство по същия начин, както и в Регламент (ЕС) 2016/679 („разкриващи расов или етнически произход, политически възгледи, религиозни или философски убеждения или членство в синдикални организации, както и обработването на генетични данни, биометрични данни за целите единствено на идентифицирането на физическо лице, данни за здравословното състояние или данни за сексуалния живот или сексуалната ориентация на физическото лице“). В член 205 от ЗЗД от 2018 г. се съдържат определенията за „биометрични данни“ (37), „данни за здравословното състояние“ (38) и „генетични данни“ (39).

2.5. Гаранции, права и задължения

2.5.1. Законосъобразност и добросъвестност на обработването

(24) Личните данни следва да се обработват законосъобразно и добросъвестно.

(25) Принципите на законосъобразност, добросъвестност и прозрачност и основанията за законосъобразно обработване на лични данни са гарантирани в правото на Обединеното кралство чрез разпоредбите на член 5, параграф 1, буква а) и член 6, параграф 1 от ОРЗД на Обединеното кралство, които са идентични със съответните разпоредби на Регламент (ЕС) 2016/679 (40). Член 8 от ЗЗД от 2018 г. допълва член 6, параграф 1, буква д), като в него се предвижда, че обработването на лични данни съгласно член 6, параграф 1, буква д) от ОРЗД на Обединеното кралство (необходимо за изпълнението на задача, извършвана в обществен интерес, или при упражняването на официалните правомощия на администратора), включва обработването на лични данни, необходимо за правораздаването, за упражняването на функция на някоя от двете камари на Парламента, за упражняването на функция, възложена на лице с акт или правна норма, за упражняването на функция на Короната, на министър на Короната или на правителствен отдел, или на дейност, с която се подкрепя или насърчава демократичната ангажираност.

(26) По отношение на съгласието (едно от основанията за законосъобразно обработване), в ОРЗД на Обединеното кралство са запазени непроменени и условията, предвидени в член 7 от Регламент (ЕС) 2016/679, тоест администраторът трябва да е в състояние да докаже, че субектът на данни е дал съгласие, трябва да бъде представено писмено искане за съгласие, като се използва ясен и прост език, субектът на данни трябва да има правото да оттегли съгласието си по всяко време и, когато се прави оценка дали съгласието е било свободно изразено, следва да се отчита дали изпълнението на даден договор е поставено в зависимост от съгласието за обработване на лични данни, което не е необходимо за изпълнението на този договор. Освен това, съгласно член 8 от ОРЗД на Обединеното кралство, в контекста на предоставянето на услуги на информационното общество съгласието на дете е законосъобразно само когато детето е поне на 13 години. Тази възраст попада във възрастовите граници, определени в член 8 от Регламент (ЕС) 2016/679.

2.5.2. Обработване на специални категории лични данни

(27) Когато се обработват „специални категории данни“, следва да има специфични гаранции.

(28) В ОРЗД на Обединеното кралство и в ЗЗД от 2018 г. се съдържат специфични правила за обработването на специални категории лични данни, които са определени в член 9, параграф 1 от ОРЗД на Обединеното кралство по същия начин, както и в Регламент (ЕС) 2016/679 (вж. съображение 23 по-горе). В съответствие с член 9 от ОРЗД обработването на специални категории лични данни по принцип е забранено, освен ако се прилага конкретно изключение.

(29) В изключенията (изброени в член 9, параграфи 2 и 3 от ОРЗД на Обединеното кралство) не са въведени промени по същество в сравнение с тези, посочени в член 9, параграфи 2 и 3 от Регламент (ЕС) 2016/679. Освен ако субектът на данни е дал изричното си съгласие за обработването на този вид лични данни, обработването на специални категории лични данни е разрешено само при специфични и ограничени обстоятелства. В повечето случаи обработването на чувствителни данни трябва да е необходимо за конкретна цел, определена в съответната разпоредба (вж. член 9, параграф 2, букви б), в), е), ж), з), и) и й).

(30) Освен това, когато за изключение съгласно член 9, параграф 2 от ОРЗД на Обединеното кралство се изисква разрешение по закон или изключението е свързано с обществения интерес, в член 10 от ЗЗД от 2018 г. и в приложение 1 към него допълнително са уточнени условията, които трябва да бъдат изпълнени за прилагането на тези изключения. Например при обработване на чувствителни данни с цел защита на „общественото здраве“ (член 9, параграф 2, буква и) от ОРЗД на Обединеното кралство), съгласно част 1, точка 3, буква б) от приложение 1, освен проверката за необходимост, се изисква обработването да се извършва „от или под ръководството на медицински специалист“ или „от друго лице, което е обвързано от задължение за поверителност съгласно нормативен акт или правна норма“, включително по силата на утвърденото задължение за поверителност съгласно общото право.

(31) Когато чувствителните данни се обработват по съображения от важен обществен интерес (член 9, параграф 2, буква g) от ОРЗД на Обединеното кралство), в част 2 от приложение 1 към ЗЗД от 2018 г. е предвиден изчерпателен списък от цели, които могат да се считат за цели от важен обществен интерес, и за всяка от тях са определени конкретни допълнителни условия. Например насърчаването на расово и етническо многообразие на висшите равнища в организациите се признава за цел от важен обществен интерес. Обработването на чувствителни данни за тази конкретна цел е предмет на подробни изисквания, които включват то да се извършва в рамките на процедура за определяне на подходящи лица, които да заемат ръководни длъжности, да е необходимо за насърчаване на расовото и етническото многообразие и да е малко вероятно да причини значителна вреда или значителни сътресения на субекта на данни.

(32) В член 11, параграф 1 от ЗЗД от 2018 г. са определени условията за обработване на лични данни при обстоятелствата, описани в член 9, параграф 3 от ОРЗД на Обединеното кралство, свързани със задължението за опазване на професионалната тайна. Това включва обстоятелства, при които обработването се извършва от или под ръководството на медицински специалист или от социален работник, или от друго лице, което при тези обстоятелства е обвързано от задължение за поверителност съгласно нормативен акт или правна норма.

(33) Освен това, за да бъдат приложени много от изключенията, изброени в член 9, параграф 2 от ОРЗД на Обединеното кралство, са необходими подходящи и специфични гаранции. В зависимост от естеството на обработването и равнището на риск за правата и свободите на субектите на данни, в условията за обработване, предвидени в приложение 1 към ЗЗД от 2018 г., са установени различни гаранции. В приложение 1 съответно са определени условията за всеки случай на обработване на данни.

(34) В някои случаи в ЗЗД от 2018 г. видът чувствителни данни, които могат да бъдат обработвани, за да бъде спазено определено правно основание, е регламентиран и ограничен. Например обработването на чувствителни данни с цел насърчаване на равенство на възможностите или еднакво третиране е разрешено съгласно точка 8 от приложение 1. Това условие за обработване на лични данни може да се използва само ако данните разкриват расов или етнически произход, религиозни или философски убеждения, сексуална ориентация, или ако става дума за данни за здравословното състояние.

(35) В някои случаи ЗЗД от 2018 г. ограничава вида администратор на лични данни, който може да използва дадено условие за обработване. Например обработването на чувствителни данни във връзка с отговорите на лица на изборни длъжности пред обществеността е уредено в точка 23 от приложение 1. Това условие за обработване може да се използва само ако администраторът е лицето на изборна длъжност или действа под негово ръководство.

(36) В някои други случаи в ЗЗД от 2018 г. са въведени ограничения относно категориите субекти на данни, за които може да се използва дадено условие за обработване. Например обработването на чувствителни данни, свързани с професионални пенсионни схеми, е уредено в точка 21 от приложение 1. Това условие може да се използва само ако въпросният субект на данни е брат или сестра, родител, баба или дядо на член на пенсионната схема.

(37) Освен това при прилагането на изключения съгласно член 9, параграф 2 от ОРЗД на Обединеното кралство, които са допълнително уточнени в член 10 от ЗЗД от 2018 г. и в приложение 1 към него, в повечето случаи се изисква администраторът на данните да изготви „подходящ документ за политиката“. В него трябва да бъдат описани процедурите на администратора за осигуряване на спазването на принципите, предвидени в член 5 от ОРЗД на Обединеното кралство. В него трябва също така да бъдат определени политиките относно съхраняването и заличаването на данни и да бъде указан вероятният период на съхранение. Администраторите трябва да преразглеждат и актуализират този документ, когато е необходимо. Администраторът трябва да съхранява документа за политиката за срок от шест месеца след приключване на обработването и да го предоставя на комисаря по информацията при поискване (41).

(38) Съгласно точка 41 от приложение 1 към ЗЗД от 2018 г. документът за политиката трябва винаги да се придружава от разширен регистър на дейностите по обработване. Този регистър трябва да позволява да се проследят ангажиментите, включени в документа за политиката, т.е. дали данните се заличават или съхраняват в съответствие с политиките. Ако политиките не са били спазени, в регистъра трябва да бъдат вписани причините за това. В него трябва също така да бъдат описани основанията, поради които обработването отговаря на член 6 от ОРЗД на Обединеното кралство (законосъобразност на обработването), и конкретното условие съгласно приложение 1 към ЗЗД от 2018 г., което е било приложено.

(39) И накрая, както в Регламент (ЕС) 2016/679, така и в ОРЗД на Обединеното кралство са предвидени общи гаранции за определени операции по обработването на специални категории данни. Съгласно член 35 от ОРЗД на Обединеното кралство се изисква оценка на въздействието върху защитата на данните, ако специални категории данни се обработват в голям мащаб. В съответствие с член 37 от ОРЗД на Обединеното кралство администраторът или обработващият лични данни трябва да определи длъжностно лице по защита на данните, когато основните му дейности се състоят в обработване на специални категории данни в голям мащаб.

(40) По отношение на личните данни, свързани с присъди и нарушения, член 10 от ОРЗД на Обединеното кралство е идентичен с член 10 от Регламент (ЕС) 2016/679. Обработване на лични данни, свързани с присъди и нарушения, се допуска само под контрола на официален орган или когато обработването е разрешено от националното право, в което са предвидени подходящи гаранции за правата и свободите на субектите на данни.

(41) Когато обработването на лични данни, свързани с присъди и нарушения, не се извършва под контрола на официален орган, в член 10, параграф 5 от ЗЗД от 2018 г. е предвидено, че то може да се осъществява само за специфичните цели и в конкретните случаи, определени в части 1, 2 и 3 от приложение 1 към ЗЗД от 2018 г., и при спазване на конкретните изисквания, определени за всяка от тези цели и за всеки от тези случаи. Например данни за присъди може да бъдат обработвани от структури с нестопанска цел, ако обработването се извършва а) при подходящи гаранции в хода на законните дейности на фондация, сдружение или друга структура с нестопанска цел, с политическа, философска, религиозна или синдикална цел, и б) при условие че i) обработването е свързано единствено с членовете или бившите членове на тази структура или с лица, които поддържат редовни контакти с нея във връзка с нейните цели, и че ii) личните данни не се разкриват без съгласието на субектите на данни.

(42) Освен това в част 3 от приложение 1 към ЗЗД от 2018 г. са определени допълнителни обстоятелства, при които може да се използват данни за присъди, съответстващи на правното основание за обработване на чувствителни данни, предвидено в член 9, параграф 2 от Регламент (ЕС) 2016/679 и в ОРЗД на Обединеното кралство (напр. съгласие на субекта на данни, жизненоважни интереси на физическо лице, ако субектът на данни е юридически или физически неспособен да даде съгласие, ако данните вече явно са направени обществено достояние от субекта на данни, ако обработването е необходимо с цел установяване, упражняване или защита на правни претенции и др.).

2.5.3. Ограничение на целите, точност, свеждане на данните до минимум, ограничение на съхранението и сигурност на данните

(43) Личните данни следва да се обработват с конкретна цел и впоследствие да се използват само дотолкова, доколкото употребата им не е несъвместима с целта на обработването.

(44) Този принцип е предвиден в член 5, параграф 1, буква б) от Регламент (ЕС) 2016/679 и е запазен без промени в член 5, параграф 1, буква б) от ОРЗД на Обединеното кралство. Условията за по-нататъшно съвместимо обработване съгласно член 6, параграф 4 от Регламент (ЕС) 2016/679 също са запазени без съществени изменения в член 6, параграф 4, букви а)—д) от ОРЗД на Обединеното кралство.

(45) Освен това данните следва да бъдат точни и при необходимост да се актуализират. Те следва също така да са подходящи, свързани със и ограничени до необходимото във връзка с целите, за които се обработват, и по принцип да се съхраняват не по-дълго от необходимото за целите, за които се обработват.

(46) Тези принципи на свеждане на данните до минимум, точност и ограничение на съхранението са постановени в член 5, параграф 1, букви в)—д) от Регламент (ЕС) 2016/679 и са запазени без промени в член 5, параграф 1, букви в)—д) от ОРЗД на Обединеното кралство.

(47) Личните данни също трябва да се обработват по начин, който гарантира тяхната сигурност, включително защита срещу неразрешено или незаконосъобразно обработване и срещу случайна загуба, унищожаване или повреждане. За тази цел бизнес операторите трябва да предприемат подходящи технически или организационни мерки за защита на личните данни от възможни заплахи. Тези мерки трябва да се оценяват, като се вземат предвид достиженията на техническия прогрес и съответните разходи.

(48) Сигурността на данните е залегнала в правото на Обединеното кралство чрез принципа на цялостност и поверителност, предвиден в член 5, параграф 1, буква е) от ОРЗД на Обединеното кралство, и в член 32 от ОРЗД на Обединеното кралство относно сигурността на обработването на данни. Тези разпоредби са идентични със съответните разпоредби от Регламент (ЕС) 2016/679. Освен това съгласно ОРЗД на Обединеното кралство се изисква надзорният орган да бъде уведомяван за нарушения на сигурността на личните данни (член 33 от ОРЗД на Обединеното кралство) и нарушението да бъде съобщено на субекта на данни (член 34 от ОРЗД на Обединеното кралство) при същите условия като тези, посочени в членове 33 и 34 от Регламент (ЕС) 2016/679.

2.5.4. Прозрачност

(49) Субектите на данни трябва да бъдат информирани за основните характеристики на обработването на техните лични данни.

(50) Това се гарантира от членове 13 и 14 от ОРЗД на Обединеното кралство, в които, освен общият принцип на прозрачност, са залегнали правила относно информацията, която трябва да се предоставя на субекта на данни (42). В ОРЗД на Обединеното кралство не се въведени съществени изменения на тези правила в сравнение със съответните разпоредби на Регламент (ЕС) 2016/679. Както в Регламент (ЕС) 2016/679 обаче, изискванията за прозрачност, предвидени в тези членове, са предмет на няколко изключения, посочени в ЗЗД от 2018 г. (вж. съображения 55—72).

2.5.5. Индивидуални права

(51) Субектите на данни следва да имат конкретни права, които може да бъде противопоставени на обработващия лични данни или на администратора, по-специално правото на достъп до данните, правото на възражение срещу тяхното обработване, правото на коригиране или изтриване на данните. В същото време тези права могат да бъдат обект на ограничения, доколкото тези ограничения са необходими и пропорционални с цел да се гарантира обществената сигурност или за други важни цели от широк обществен интерес.

2.5.5.1. Материални права

(52) ОРЗД на Обединеното кралство предоставя на физическите лица същите приложими права като Регламент (ЕС) 2016/679. Разпоредбите, в които са определени правата на физическите лица, са запазени в ОРЗД на Обединеното кралство без съществени промени.

(53) Правата включват правото на достъп на субекта на данни (член 15 от ОРЗД на Обединеното кралство), правото на коригиране (член 16 от ОРЗД на Обединеното кралство), правото на изтриване (член 17 от ОРЗД на Обединеното кралство), правото на ограничаване на обработването (член 18 от ОРЗД на Обединеното кралство), задължение за уведомяване при коригиране или изтриване на лични данни или ограничаване на обработването (член 19 от ОРЗД на Обединеното кралство), правото на преносимост на данните (член 20 от ОРЗД на Обединеното кралство) и правото на възражение (член 21 от ОРЗД на Обединеното кралство) (43). Последното включва също правото на субекта на данни да възрази срещу обработването на лични данни за целите на директния маркетинг, предвидено в член 21, параграфи 2 и 3 от Регламент (ЕС) 2016/679. Освен това, съгласно член 122 от ЗЗД от 2018 г., комисарят по информацията трябва да изготви кодекс за поведение във връзка с осъществяването на директен маркетинг в съответствие с изискванията на законодателството за защита на данните (и на Наредбите от 2003 г. за защита на данните, неприкосновеността на личния живот и електронните съобщения (Директива на ЕС)), както и всякакви други насоки за насърчаване на добри практики в директния маркетинг, които комисарят счита за подходящи. Понастоящем Службата на комисаря по информацията разработва кодекса относно директния маркетинг (44).

(54) Правото на субекта на данни да не бъде обект на решение, основаващо се единствено на автоматизирано обработване, което поражда правни последствия за субекта на данни или по подобен начин го засяга в значителна степен, както е предвидено в член 22 от ОРЗД, също е запазено в ОРЗД на Обединеното кралство без съществени промени. Добавен е обаче нов параграф 3А, в който е направено позоваване на член 14 от ЗЗД от 2018 г., съдържащ гаранции за правата, свободите и легитимните интереси на субектите на данни, когато обработването се извършва съгласно член 22, параграф 2, буква б) от ОРЗД на Обединеното кралство. Тази нова разпоредба се прилага само когато основанието за такова решение е разрешение или изискване съгласно правото на Обединеното кралство и не се прилага, когато решението е необходимо съгласно договор или е взето с изричното съгласие на субекта на данни. Когато се прилага член 14 от ЗЗД от 2018 г., администраторът трябва, веднага щом това е практически осъществимо, да уведоми субекта на данни, че е взето решение, основаващо се единствено на автоматизирано обработване. В рамките на един месец от получаване на уведомлението субектът на данни има право да поиска от администратора да преразгледа решението или да вземе ново решение, което не се основава единствено на автоматизирано обработване. Министърът има правомощието да въвежда допълнителни гаранции по отношение на автоматизираното вземане на решения. Това правомощие все още не е упражнявано.

2.5.5.2. Ограничения на индивидуалните права и други разпоредби

(55) В ЗЗД от 2018 г. са предвидени няколко ограничения на индивидуалните права, които се вписват в разпоредбите на член 23 от ОРЗД на Обединеното кралство. В този нормативен акт не са въведени ограничения по отношение на правото на възражение срещу директен маркетинг, както е предвидено в член 21, параграфи 2 и 3 от ОРЗД на Обединеното кралство, нито на правото субектът на данни да не бъде обект на автоматизирано вземане на решения, както е предвидено в член 22 от ОРЗД за Обединеното кралство.

(56) Ограниченията са описани подробно в приложения 2—4 към ЗЗД от 2018 г. Органите на Обединеното кралство поясниха, че са се ръководили от два принципа: принципа на специфичност (възприемане на подробен подход, разделяне на по-общи ограничения на множество, по-конкретни разпоредби) и принципа на обвързаност с условия (всяка разпоредба е съчетана с гаранции под формата на ограничения или условия с цел предотвратяване на злоупотреби) (45).

(57) Ограниченията, описани в член 23, параграф 1 от ОРЗД на Обединеното кралство, имат за цел да се гарантира, че те ще се прилагат само при определени обстоятелства, когато това е необходимо в едно демократично общество и пропорционално на легитимната цел, която се преследва с тях. Освен това, в съответствие с установената съдебна практика относно тълкуването на ограниченията, изключения от режима на защита на данните във всеки конкретен случай се допускат само ако това е необходимо и пропорционално (46). Изисква се проверката за необходимост да бъде „строга, а всякаква намеса в правата на субекта да бъде пропорционална на сериозността на заплахата за обществения интерес. Следователно при извършването ѝ е необходим класически анализ на пропорционалността (47).“

(58) Целта, която се преследва с тези ограничения, съответства на изброените в член 23 от Регламент (ЕС) 2016/679, с изключение на ограниченията, свързани с националната сигурност и отбрана, които са регламентирани в член 26 от ЗЗД от 2018 г., но подлежат на същите изисквания за необходимост и пропорционалност (вж. съображения 63—66).

(59) При някои ограничения, например тези, свързани с предотвратяване или разкриване на престъпления, задържане или наказателно преследване на нарушители, както и с определяне или събиране на данъци или мита (48), се допуска ограничаване на всички индивидуални права и задължения за прозрачност (с изключение на правата по член 21, параграф 2 и член 22). Обхватът на други ограничения се простира единствено до задълженията за прозрачност и правата на достъп, например ограниченията, свързани с адвокатската тайна (49), с правото на освобождаване от изискване за предоставяне на информация, която би довела до самоуличаване (50), и с корпоративните финанси, особено за предотвратяване на злоупотреба с вътрешна информация (51). При малък брой ограничения се допуска да бъдат ограничени задължението на администратора да съобщава на субекта на данни за нарушение на сигурността на неговите данни и принципите на ограничение на целите, както и на законосъобразност, добросъвестност и прозрачност на обработването (52).

(60) Някои ограничения се прилагат автоматично „в своята цялост“ по отношение на определен вид обработване на лични данни (например задълженията за прозрачност и индивидуалните права не важат, когато личните данни се обработват с цел оценка на годността на дадено лице за съдебна длъжност или личните данни се обработват от съд, правораздавателен орган или физическо лице, действащо в изпълнение на съдебните си функции).

(61) В повечето случаи обаче в съответната точка от приложение 2 към ЗЗД от 2018 г. се уточнява, че ограничението се прилага само когато (и доколкото) прилагането на разпоредбите „има вероятност да накърни“ легитимната цел, която се преследва с това ограничение: например изброените разпоредби на ОРЗД на Обединеното кралство не се прилагат по отношение на лични данни, обработвани за предотвратяване или разкриване на престъпления, задържане или наказателно преследване на нарушители, или за определяне или събиране на данък или мито, „ доколкото прилагането на тези разпоредби има вероятност да накърни“ някоя от посочените дейности (53).

(62) „Вероятността да накърни“ се тълкува последователно от съдилищата на Обединеното кралство като „много значима и сериозна възможност да бъдат накърнени определените обществени интереси“ (54). Следователно ограничение, което подлежи на оценка на вероятността да бъдат накърнени целите, може да се използва само ако и доколкото е налице много значима и сериозна възможност предоставянето на определено право да накърни въпросния обществен интерес. Администраторът носи отговорност да прецени във всеки отделен случай дали тези условия са изпълнени (55).

(63) В допълнение към ограниченията, съдържащи се в приложение 2 към ЗЗД от 2018 г., в член 26 от ЗЗД от 2018 г. е предвидено изключение, което може да бъде приложено по отношение на някои разпоредби на ОРЗД на Обединеното кралство и на ЗЗД от 2018 г., ако това е необходимо с цел да се гарантира националната сигурност или за целите на отбраната. Това изключение се прилага по отношение на принципите за защита на данните (с изключение на принципа на законосъобразност), на задълженията за прозрачност, на правата на субекта на данни, на задължението за уведомяване в случай на нарушение на сигурността на данните, на правилата за международно предаване на данни, на някои задължения и правомощия на комисаря по информацията, както и на правилата относно правните средства за защита, отговорностите и санкциите, с изключение на разпоредбата относно общите условия за налагане на административни наказания „глоба“ или „имуществена санкция“, посочени в член 83 от ОРЗД на Обединеното кралство, и разпоредбата относно санкциите в член 84 от ОРЗД на Обединеното кралство. Освен това с член 28 от ЗЗД от 2018 г. се въвеждат изменения в прилагането на член 9, параграф 1, за да се даде възможност за обработването на специални категории данни, предвидено в член 9, параграф 1 от ОРЗД на Обединеното кралство, доколкото това обработване се извършва с цел защита на националната сигурност или за целите на отбраната и с подходящи гаранции за правата и свободите на субектите на данни (56).

(64) Изключението може да се прилага само дотолкова, доколкото е необходимо, за да се гарантира националната сигурност или отбрана. Както и при другите изключения, предвидени в ЗЗД от 2018 г., това изключение трябва да се преценява и прилага от администратора за всеки отделен случай. Освен това всяко негово прилагане трябва да е в съответствие със стандартите за правата на човека (залегнали в Закона за правата на човека от 1998 г.), според които всяка намеса в правата на неприкосновеност на личния живот следва да бъде необходима и пропорционална в едно демократично общество (57).

(65) Това тълкуване на изключението се потвърждава от комисаря по информацията, който е издал подробни насоки относно прилагането на изключението, свързано с националната сигурност и отбрана, като ясно посочва, че то трябва да бъде разглеждано и прилагано от администратора за всеки отделен случай (58). В насоките по-специално се подчертава, че „[т]ова не е общо изключение“ и че за да бъде използвано, „не е достатъчно данните да се обработват за целите на националната сигурност“. Напротив, за да се позове на него, администраторът трябва да „докаже, че е налице реална възможност за неблагоприятни последици за националната сигурност“, а при необходимост от него се очаква „да предостави [на комисаря по информацията] доказателства за причините, поради които [той] е използвал това изключение“. Насоките съдържат контролен списък и редица примери за допълнително изясняване на условията, при които може да се направи позоваване на това изключение.

(66) Следователно фактът, че данните се обработват за целите на националната сигурност или отбрана, сам по себе си не е достатъчен, за да бъде приложено изключението. Администраторът трябва да вземе предвид действителните последици за националната сигурност, ако трябва да спази конкретната разпоредба за защита на данните. Изключението може да се прилага само по отношение на конкретни разпоредби, за които е установено, че представляват риск, и трябва да се прилага възможно най-ограничително (59).

(67) Този подход е потвърден от Съда по въпросите на информацията (Information Tribunal) (60). В решението си по делото Baker/Secretary of State for the Home Department (Baker/Secretary of State) Съдът е определил, че е незаконно изключението във връзка с националната сигурност да се прилага като общо изключение по отношение на исканията за достъп, получени от разузнавателните служби. Вместо това изключението трябва да се прилага за всеки отделен случай, като всяко искане се разглежда по същество и с оглед на правото на лицата да бъде зачитана неприкосновеността на личния им живот (61).

2.5.6. Ограничения по отношение на личните данни, обработвани за журналистически, академични, художествени и литературни цели, както и с цел архивиране и научни изследвания

(68) Съгласно член 85, параграф 2 от ОРЗД на Обединеното кралство се допуска приемането на разпоредби, въз основа на които личните данни, обработвани за журналистически, художествени, академични и литературни цели, да бъдат изключени от няколко разпоредби на ОРЗД на Обединеното кралство. Изключенията по отношение на обработването на лични данни за тези цели са посочени в част 5 от приложение 2 към ЗЗД от 2018 г. В нея са предвидени изключения по отношение на принципите за защита на данните (с изключение на принципа на цялостност и поверителност), правните основания за обработване (вкл. на специални категории данни, данни за присъди и др.), условията за съгласие, задълженията за прозрачност, правата на субекта на данни, задължението за уведомяване в случай на нарушение на сигурността на данните, и изискването за допитване до комисаря по информацията преди обработването на данни с висок риск и правилата за международно предаване на данни (62). В това отношение ОРЗД на Обединеното кралство не се отклонява по същество от Регламент (ЕС) 2016/679, в член 85 от който също е предвидена възможността обработването, извършвано за журналистически цели и за целите на академичното, художественото или литературното изразяване, да бъде изключено от редица изисквания на Регламент (ЕС) 2016/679. Разпоредбите на ЗЗД от 2018 г., по-специално на приложение 2, част 5 към него, са съвместими с ОРЗД на Обединеното кралство.

(69) Основната преценка, която трябва да бъде направена съгласно член 85 от ОРЗД на Обединеното кралство, се отнася до това дали изключението от правилата за защита на данните, споменато в съображение 68, е „необходимо, за да се постигне баланс между правото на защита на личните данни и свободата на изразяване и на информация“ (63). Съгласно точка 26, подточки 2 и 3 от приложение 2 към ЗЗД от 2018 г. Обединеното кралство разчита на преценка на „основателното убеждение“, за да бъде постигнат този баланс. За да бъде оправдано изключението, администраторът трябва с основание да е убеден, че i) публикуването е в обществен интерес; и че ii) прилагането на съответната разпоредба от ОРЗД би било несъвместимо с журналистически, академични, художествени или литературни цели. Както се потвърждава от съдебната практика (64), преценката на „основателното убеждение“ има както субективен, така и обективен компонент: не е достатъчно администраторът да докаже, че самият той е убеден, че спазването на разпоредбите е несъвместимо с целите. Неговото убеждение трябва да бъде основателно, т.е. да може да бъде споделено от разумен човек, запознат със съответните факти. Следователно администраторът трябва да положи дължимата грижа, когато изгражда убеждението си, за да може да докаже неговата основателност. Според обясненията, предоставени от органите на Обединеното кралство, преценката на „основателното убеждение“ трябва да се извършва за всяко изключение поотделно (65). Ако условията са изпълнени, изключението се счита за необходимо и пропорционално съгласно правото на Обединеното кралство.

(70) Съгласно член 124 от ЗЗД от 2018 г. комисарят по информацията трябва да изготви Кодекс за поведение относно защитата на данни и журналистиката. Работата по този кодекс е в ход. Издадени са насоки по въпроса съгласно Закона за защита на данните от 1998 г., в които се подчертава по-специално, че за да бъде приложено това изключение, не е достатъчно само да се заяви, че спазването на разпоредбата би затруднило работата на журналистите, а трябва да е налице ясен аргумент, че въпросната разпоредба възпрепятства отговорната журналистика (66). Насоки за прилагането на изискването за обществен интерес и за постигането на баланс между обществения интерес и интереса на лицата от неприкосновеност на личния живот също са публикувани от регулатора на Обединеното кралство в областта на далекосъобщенията — Службата по съобщенията, и от Би Би Си в техните редакционни насоки (67). В насоките по-специално са дадени примери за информация, за която може да се смята, че е в обществен интерес, и е разяснена необходимостта да се докаже, че общественият интерес има превес над правата на неприкосновеност на личния живот при конкретните обстоятелства по случая.

(71) Подобно на предвиденото в член 89 от ОРЗД, личните данни, обработвани за целите на архивирането в обществен интерес, за научни или исторически изследвания, или за статистически цели, също може да бъдат освободени от редица изброени разпоредби на ОРЗД на Обединеното кралство (68). По отношение на научните изследвания и статистиката са възможни изключения от разпоредбите на ОРЗД на Обединеното кралство, свързани с потвърждаване на обработването и достъпа до данни и гаранциите за предаване към трети държави; правото на коригиране; ограничаване на обработването и възражение срещу обработването. Що се отнася до архивирането в обществен интерес, са възможни изключения и от задължението за уведомяване относно коригирането или заличаването на лични данни или ограничаването на обработването, както и от правото на преносимост на данните.

(72) Съгласно точка 27, подточка 1 и точка 28, подточка 1 от приложение 2 към ЗЗД от 2018 г. изключения от изброените разпоредби на ОРЗД на Обединеното кралство са възможни, когато прилагането на разпоредбите би „направило невъзможно или сериозно би затруднило постигането“ на въпросните цели (69).

(73) Като се има предвид тяхното значение за ефективното упражняване на индивидуалните права, всяка относима промяна по отношение на тълкуването и прилагането на практика на горепосочените изключения (в допълнение към това, свързано с поддържането на ефективен имиграционен контрол, както е обяснено в съображение 6), включително всяко по-нататъшно развитие на съдебната практика и на насоките на комисаря по информацията и изпълнителните действия, ще бъде надлежно взето предвид в контекста на непрекъснатото наблюдение на настоящото решение (70).

2.5.7. Ограничения на последващото предаване на данни

(74) Нивото на защита на личните данни, което се осигурява за данните, предавани от Европейския съюз към администратори или обработващи лични данни в Обединеното кралство, не трябва да бъде подкопавано от по-нататъшното предаване на тези данни към получатели в трета държава. Подобно „последващо предаване“, което от гледна точка на администратора или на обработващия лични данни в Обединеното кралство представлява международно предаване на данни от Обединеното кралство, следва да бъде разрешено само когато новият получател извън Обединеното кралство също е обвързан от правила, гарантиращи ниво на защита, сходно с това в правния ред на Обединеното кралство. Поради тази причина прилагането на правилата на ОРЗД на Обединеното кралство и на ЗЗД от 2018 г. относно международното предаване на лични данни е важен фактор за гарантиране на непрекъснатостта на защитата в случай на лични данни, предадени от Европейския съюз към Обединеното кралство съгласно настоящото решение.

(75) Режимът относно международното предаване на лични данни от Обединеното кралство е установен в членове 44—49 от ОРЗД на Обединеното кралство, допълнен от ЗЗД от 2018 г., и по същество е идентичен с правилата, предвидени в глава V от Регламент (ЕС) 2016/679 (71). Предаването на лични данни на трета държава или на международна организация може да се извършва само въз основа на наредби относно адекватното ниво на защита (еквивалента в Обединеното кралство на решението относно адекватното ниво на защита съгласно Регламент (ЕС) 2016/679) или при липса на наредби относно адекватното ниво на защита — при условие че администраторът или обработващият лични данни е предоставил подходящи гаранции в съответствие с член 46 от ОРЗД на Обединеното кралство. При липсата на наредби относно адекватното ниво на защита или на подходящи гаранции предаването може да се извърши само въз основа на дерогации, посочени в член 49 от ОРЗД на Обединеното кралство.

(76) В наредбите относно адекватното ниво на защита, издадени от министъра, може да се предвижда, че трета държава (или територия или сектор в рамките на трета държава) или международна организация, или описание (72) на такава държава, територия, сектор или организация, трябва да гарантира адекватно ниво на защита на личните данни. Когато оценява адекватността на нивото на защита, министърът трябва да вземе предвид съвсем същите елементи, които Комисията е длъжна да оцени съгласно член 45, параграф 2, букви а)—в) от Регламент (ЕС) 2016/679, тълкувани във връзка със съображение 104 от Регламент (ЕС) 2016/679, и запазената съдебна практика на ЕС. Това означава, че когато се оценява адекватното ниво на защита на трета държава, съответният стандарт трябва да бъде дали въпросната трета държава осигурява ниво на защита, „по същество равностойно“ на това, гарантирано в рамките на Обединеното кралство.

(77) Що се отнася до процедурата, спрямо наредбите тносно адекватното ниво на защита се прилагат „общите“ процесуални изисквания, предвидени в член 182 от ЗЗД от 2018 г. В рамките на тази процедура, когато предлага да се приемат наредби на Обединеното кралство относно адекватното ниво на защита (73), министърът трябва да се консултира с комисаря по информацията. След като бъдат приети от министъра, тези наредби се представят пред Парламента и спрямо тях се прилага процедурата за „отрицателна резолюция“, съгласно която и двете камари на Парламента могат да осъществят контрол на наредбите и имат правомощието да приемат предложение за отмяна на наредбите в срок от 40 дни (74).

(78) Съгласно член 17 B, параграф 1 от ЗЗД от 2018 г. наредбите относно адекватното ниво на защита трябва да бъдат преразглеждани на интервали, не по-дълги от четири години, а министърът трябва постоянно да следи за събития в трети държави и международни организации, които биха могли да засегнат решенията за приемане на наредби относно адекватното ниво на защита или за изменение или отмяна на такива наредби. Когато министърът узнае, че дадена държава или организация вече не осигурява адекватно ниво на защита на личните данни, той трябва, доколкото е необходимо, да измени или отмени наредбите и да започне консултации със съответната трета държава или международна организация с цел да се отстрани липсата на адекватно ниво на защита. Тези процедурни аспекти също отразяват съответните изисквания на Регламент (ЕС) 2016/679.

(79) При липса на наредби относно адекватното ниво на защита международно предаване може да се извършва само когато администраторът или обработващият лични данни е предвидил подходящи гаранции в съответствие с член 46 от ОРЗД на Обединеното кралство. Тези гаранции са подобни на предвидените съгласно член 46 от Регламент (ЕС) 2016/679. Те включват инструменти със задължителен характер и с изпълнителна сила между публичните органи или структури, задължителни фирмени правила (75), стандартни клаузи за защита на данните, одобрени кодекси за поведение, одобрени механизми за сертифициране и — с разрешението на комисаря по информацията — договорни клаузи между администраторите (или обработващите лични данни) или административни договорености между публичните органи. Правилата обаче са променени от процедурна гледна точка, така че да съответстват на уредбата на Обединеното кралство, по-специално по отношение на стандартните клаузи за защита на данните, които съгласно ЗЗД от 2018 г. могат да се приемат от министъра (член 17Б) или от комисаря по информацията (член 119А).

(80) При липса на решение относно адекватното ниво на защита или на подходящи гаранции предаване може да се извършва само въз основа на дерогациите, предвидени в член 49 от ОРЗД на Обединеното кралство (76). С ОРЗД на Обединеното кралство не се въвеждат съществени промени в дерогациите в сравнение със съответните правила, залегнали в Регламент (ЕС) 2016/679. Съгласно ОРЗД на Обединеното кралство, както и съгласно Регламент (ЕС) 2016/679, на някои дерогации може да се разчита само ако предаването на данни е спорадично (77). Освен това в своите насоки относно международното предаване на данни комисарят по информацията пояснява: „Следва да използвате [дерогациите] само като действителни „изключения“ от общото правило, че не следва да извършвате ограничено предаване на данни, освен ако то не е обхванато от решение относно адекватното ниво на защита или не са налице подходящи гаранции“ (78). По отношение на предаването на данни, които са необходими по важни причини от обществен интерес (член 49, параграф 1, буква г), министърът може да въведе разпоредби, за да уточни обстоятелствата, при които предаването на лични данни към трета държава или към международна организация не е необходимо поради важни причини от обществен интерес. Освен това министърът може да ограничи с наредби предаването на категория лични данни на трета държава или на международна организация, когато то не може да се извърши въз основа на наредби относно адекватното ниво на защита, а министърът смята, че ограничението е необходимо поради важни причини от обществен интерес. Такива наредби все още не са приети.

(81) Тази рамка за международно предаване на данни започна да се прилага в края на преходния период (79). В точка 4 от приложение 21 към ЗЗД от 2018 г. (въведено с Наредбите за защита на данните, неприкосновеността на личния живот и електронните съобщения (изменения и т.н.) (Напускане на ЕС) обаче се предвижда, че след края на преходния период определени предавания на лични данни се третират така, все едно се основават на наредби относно адекватното ниво на защита. Тези предавания включват предавания към държава от ЕИП, към територията на Гибралтар, към институция, орган, служба или агенция на Съюза, създадени по силата или въз основа на Договора за ЕС, и към трети държави, спрямо които в края на преходния период се е прилагало решение на ЕС относно адекватното ниво на защита. Следователно предаването към тези държави може да продължи както преди оттеглянето на Обединеното кралство от Съюза. След края на преходния период министърът трябва да извърши преглед на тези констатации за адекватно ниво на защита в срок от четири години, т.е. до края на декември 2024 г. Според обяснението, предоставено от органите на Обединеното кралство, въпреки че министърът трябва да предприеме такъв преглед до края на декември 2024 г., сред преходните разпоредби няма разпоредба за изтичане на срока на действие и съответните преходни разпоредби няма автоматично да престанат да пораждат правно действие, ако прегледът не приключи до края на декември 2024 г.

(82) И накрая, що се отнася до бъдещото развитие на режима на Обединеното кралство за международно предаване на данни — чрез приемането на нови наредби относно адекватното ниво на защита, сключването на международни споразумения или разработването на други механизми за предаване — Комисията ще наблюдава отблизо ситуацията, ще преценява дали различните механизми за предаване се използват по начин, който гарантира непрекъснатост на защитата, и ако е необходимо, ще предприеме подходящи мерки за справяне с възможните неблагоприятни последици за тази непрекъснатост (вж. съображения 278—287). Тъй като ЕС и Обединеното кралство имат сходни правила относно международното предаване на данни, очаква се проблематичните различия да могат да бъдат избегнати и чрез сътрудничество, обмен на информация и споделяне на опит, включително между комисаря по информацията и ЕКЗД.

2.5.8. Отчетност

(83) Съгласно принципа на отчетност органи, които обработват данни, са длъжни да въведат подходящи технически и организационни мерки за ефективно спазване на своите задължения за защита на данните и да могат да докажат това спазване, по-специално пред компетентния надзорен орган.

(84) Принципът на отчетност, предвиден в Регламент (ЕС) 2016/679, е запазен в член 5, параграф 2 от ОРЗД на Обединеното кралство без съществени промени, като същото важи за член 24 относно отговорността на администратора, член 25 относно защитата на данните на етапа на проектирането и по подразбиране и член 30 относно регистрите на дейностите по обработване. Запазени са също членове 35 и 36 относно оценката на въздействието върху защитата на данните и относно предварителната консултация с надзорния орган. Членове 37—39 от Регламент (ЕС) 2016/679 относно определянето и задачите на длъжностните лица по защита на данните са запазени в ОРЗД на Обединеното кралство без съществени промени. Освен това разпоредбите на членове 40 и 42 от Регламент (ЕС) 2016/679 относно кодексите за поведение и сертифицирането са запазени в ОРЗД на Обединеното кралство (80).

2.6. Надзор и привеждане в изпълнение

2.6.1. Независим надзор

(85) С цел да се гарантира, че адекватното ниво на защита на данните се осигурява на практика, трябва да съществува независим надзорен орган с правомощия за наблюдение и привеждане в изпълнение на правилата за защита на данните. Този орган трябва да действа с пълна независимост и безпристрастност при изпълнението на своите задължения и при упражняването на правомощията си.

(86) В Обединеното кралство надзорът и привеждането в изпълнение на ОРЗД на Обединеното кралство и на ЗЗД от 2018 г. се осъществяват от комисаря по информацията. Комисарят по информацията е еднолична корпоративна структура (corporation sole): отделен правен субект, учреден като едноличен орган. Комисарят по информацията се подпомага в работата си от служба. Към 31 март 2020 г. Службата на комисаря по информацията разполагаше със 768 постоянни служители (81). Комисарят по информацията е на бюджетна издръжка на Министерството на цифровите технологии, културата, медиите и спорта (DCMS) (82).

(87) Независимостта на комисаря е изрично уредена в член 52 от ОРЗД на Обединеното кралство, с който не се правят съществени промени спрямо член 52, параграфи 1—3 от ОРЗД. Комисарят трябва да действа напълно независимо при изпълнението на своите задачи и упражняването на своите правомощия в съответствие с ОРЗД на Обединеното кралство, да остане независим от външно влияние, било то пряко, или непряко, във връзка с тези задачи и правомощия, и нито да търси, нито да приема инструкции от когото и да било. Комисарят трябва също така да се въздържа от всякакви несъвместими със служебните му задължения действия и по време на своя мандат не трябва да се ангажира с никакви несъвместими функции, независимо дали срещу възнаграждение, или безвъзмездно.

(88) Условията за назначаване и отстраняване на комисаря по информацията са посочени в приложение 12 към ЗЗД от 2018 г. Комисарят по информацията се назначава от Нейно Величество по препоръка на правителството след провеждане на безпристрастен конкурс на общо основание. Кандидатът трябва да притежава подходящите квалификации, умения и компетентност. В съответствие с Кодекса за управление на публичните назначения (83) консултативна комисия за оценка изготвя списък на кандидатите, които могат да бъдат назначени. Преди министърът на цифровите технологии, културата, медиите и спорта да финализира решението си, съответната специална комисия на Парламента трябва да осъществи контрол преди назначаването. Становището на комисията се оповестява публично (84).

(89) Комисарят по информацията има мандат до седем години. Едно и също лице не може да бъде назначено като комисар по информацията повече от веднъж. Комисарят по информацията може да бъде отстранен от длъжност от Нейно величество след обръщение от страна на двете камари на Парламента (85). Искане за освобождаване от длъжност на комисаря по информацията не може да бъде представено пред никоя камара на Парламента, освен ако министър не е подал доклад, в който посочва, че е убеден, че комисарят по информацията е извършил тежко нарушение и/или че комисарят вече не отговаря на условията, необходими за изпълнението на функциите на комисар (86).

(90) Източниците на финансиране на комисаря по информацията са три: i) таксите за защита на данните, плащани от администраторите, които се определят с наредба на министъра (87) (Наредба за защита на данните (такси и информация) от 2018 г.), и възлизат на 85—90 % от годишния бюджет на Службата (88); ii) безвъзмездна помощ, изплатена от правителството на комисаря по информацията. Безвъзмездната помощ се използва главно за финансиране на неговите оперативни разходи във връзка със задачи, които не са свързани със защитата на данните (89); и iii) таксите, събирани за услуги (90). Понастоящем не се събират такива такси.

(91) Общите функции на комисаря по информацията във връзка с обработването на лични данни, които попадат в приложното поле на ОРЗД на Обединеното кралство, са определени в член 57 от него и отразяват в голяма степен съответните правила, предвидени в Регламент (ЕС) 2016/679. Неговите функции включват наблюдение и прилагане на ОРЗД на Обединеното кралство, насърчаване на обществената осведоменост, разглеждане на жалби, подадени от субектите на данни, провеждане на разследвания и др. Освен това в член 115 от ЗЗД от 2018 г. са определени други общи функции на комисаря, които включват задължение да съветва Парламента, правителството и други институции и органи относно законодателни и административни мерки, свързани със защитата на правата и свободите на лицата по отношение на обработването на лични данни, както и правомощия да дава становища, по собствена инициатива или при поискване, на Парламента, на правителството или на други институции и органи, и на обществеността по всички въпроси, свързани със защитата на личните данни. С цел запазване на независимостта на съдебната власт комисарят по информацията няма право да изпълнява функциите си във връзка с обработването на лични данни чрез лице, действащо в изпълнение на съдебните си функции, или от съд или правораздавателен орган, действащ в изпълнение на съдебните си функции. Надзорът на съдебната власт обаче се осигурява от специализираните органи (вж. съображения 99—103).

2.6.2. Привеждане в изпълнение, включително санкции

(92) Правомощията на комисаря по информацията са изброени в член 58 от ОРЗД на Обединеното кралство, с който не се въвеждат съществени промени в съответния член на Регламент (ЕС) 2016/679. В ЗЗД от 2018 г. са определени допълнителни правила за това как тези правомощия могат да бъдат упражнявани. По-специално комисарят има правомощия: а) да разпорежда на администратора и на обработващия лични данни (и при определени обстоятелства на всяко друго лице) да предоставят необходимата информация, като издава информационно постановление („информационно постановление“) (91); б) да провежда разследвания и одити, като издава ревизионно постановление, чрез което администраторът или обработващият лични данни бива задължен да допусне комисаря да влезе в определени помещения, да проверява или преглежда документи или оборудване, да изслушва лица, обработващи лични данни от името на администратора и т.н. („ревизионно постановление“) (92); в) да получава по друг начин достъп до документите и др. на администраторите и обработващите лични данни и достъп до техните помещения в съответствие с член 154 от ЗЗД от 2018 г. („правомощия за влизане и проверка“); г) да упражнява корективни правомощия, включително чрез предупреждения и официални предупреждения, или да дава разпореждания чрез изпълнително постановление, чрез което администраторите/обработващите лични данни биват задължени да предприемат или да се въздържат от предприемането на конкретни действия, включително да разпореди на администратора или обработващия лични данни да извърши някое от действията по член 58, параграф 2, букви c)—g) и j) от ОРЗД на Обединеното кралство („изпълнително постановление“) (93); и д) да налага административни наказания „глоба“ или „имуществена санкция“ под формата на наказателно постановление („наказателно постановление“) (94). Последното може да бъде издадено и в случай че публичен орган не е спазил разпоредбите на ОРЗД на Обединеното кралство (95).

(93) В Политиката на ICO за регулаторните действия се определят обстоятелствата, при които тя издава информационно, ревизионно, изпълнително или наказателно постановление (96). С изпълнително постановление, издадено в отговор на неизпълнение от страна на администратора или обработващия лични данни, може да бъдат наложени само изисквания, които комисарят смята за подходящи с цел отстраняване на неизпълнението. Изпълнителни и наказателни постановления могат да бъдат издавани на администратор или обработващ лични данни във връзка с нарушения на глава II от ОРЗД на Обединеното кралство (принципи на обработване), членове 12—22 (права на субекта на данни), членове 25—39 (задължения на администраторите и на обработващите лични данни) и членове 44—49 (международно предаване на данни) от ОРЗД на Обединеното кралство. Изпълнително постановление може да бъде издадено също, когато администраторът не е спазил изискването за плащане на такса, предвидена в наредбите, изготвени съгласно член 137 от ЗЗД от 2018 г. Освен това изпълнително постановление може да бъде издадено на надзорен орган по член 41 или на доставчик на сертифициране, ако не са изпълнили задълженията си съгласно ОРЗД на Обединеното кралство. Наказателно постановление може да бъде връчено и на лице, което не е изпълнило информационно постановление, ревизионно постановление или изпълнително постановление.

(94) С наказателното постановление лицето се задължава да плати на комисаря по информацията посочена в постановлението сума. Когато преценява дали да издаде наказателно постановление на лице и когато определя размера на санкцията, комисарят по информацията трябва да вземе предвид обстоятелствата, изброени в член 83, параграфи 1 и 2 от ОРЗД на Обединеното кралство, които са идентични със съответните правила, предвидени в Регламент (ЕС) 2016/679 (97). Съгласно член 83, параграфи 4 и 5 максималният размер на административните наказания „глоба“ или „имуществена санкция“ за неизпълнение на задълженията, упоменати в тези разпоредби, е съответно 8 700 000 или 17 500 000 британски лири. В случай на предприятие комисарят по информацията може също така да налага санкции, изразяващи се в процент от годишния световен оборот, ако сумата е по-голяма. Както в равностойните разпоредби на Регламент (ЕС) 2016/679, размерът е определен на 2 % и на 4 % съответно в член 83, параграф 4 и параграф 5. При неизпълнение на информационно постановление, ревизионно постановление или изпълнително постановление максималният размер на санкцията, която може да бъде наложена с наказателно постановление, е по-голямата сума измежду 17 500 000 британски лири или в случай на предприятие — 4 % от годишния световен оборот.

(95) С ОРЗД на Обединеното кралство и със ЗЗД от 2018 г. са укрепени и други правомощия на комисаря по информацията. Например комисарят вече може да извършва задължителни одити по отношение на всички администратори и обработващи лични данни посредством ревизионни постановления, докато съгласно предишното законодателство — Закона за защита на данните от 1998 г. — той е имал това правомощие само по отношение на централни държавни органи и здравни институции, докато всички останали е трябвало да дадат съгласие, за да им бъде извършен одит.

(96) От въвеждането на Регламент (ЕС) 2016/679 насам комисарят по информацията годишно (98) разглежда около 40 000 жалби от субекти на данни и освен това извършва около 2 000 служебни разследвания (99). Повечето жалби са свързани с правото на достъп до данни и разкриване на данни. След разследванията си комисарят предприема мерки за изпълнение в широк кръг от сектори. По-конкретно, според последния годишен доклад на комисаря по информацията (2019—2020 г.) (100), комисарят е издал 54 информационни постановления, 8 ревизионни постановления, 7 изпълнителни постановления и 4 предупреждения, завел е 8 наказателни дела и е наложил 15 глоби или имуществени санкции през отчетния период (101).

(97) Това включва няколко значителни парични санкции, наложени съгласно Регламент (ЕС) 2016/679 и ЗЗД от 2018 г. По-специално през октомври 2020 г. комисарят по информацията глоби британска авиокомпания с 20 милиона британски лири за нарушение на сигурността на личните данни, засягащо над 400 000 клиенти. В края на октомври 2020 г. международна хотелска верига беше глобена с 18,4 милиона британски лири за това, че не е запазила сигурността на личните данни на милиони клиенти, а през ноември 2020 г. британски доставчик на услуги, продаващ билети за събития онлайн, беше глобен с 1,25 милиона британски лири за неспособността му да защити данните на клиентите, свързани с плащания (102).

(98) В допълнение към правомощията за привеждане в изпълнение на комисаря по информацията, описани в съображение 92, някои нарушения на законодателството за защита на данните представляват престъпления и поради това за тях може да се налагат наказания (член 196 от ЗЗД от 2018 г.). Това се отнася например за получаването или разкриването на лични данни, съзнателно или поради небрежност, без съгласието на администратора, за предоставянето на друго лице на разкритите лични данни без съгласието на администратора (103), реидентифицирането на информация, която представлява деидентифицирани лични данни, без съгласието на администратора, отговарящ за деидентифицирането на личните данни (104), умишленото възпрепятстване на комисаря да упражнява правомощията си за проверката на лични данни в съответствие с международни задължения (105), представянето на неверни данни в отговор на информационно постановление или унищожаването на информация във връзка с информационни и ревизионни постановления (106).

2.6.3. Надзор на съдебната власт

(99) Надзорът на обработването на лични данни от съдилищата и съдебната власт е двояк. Когато лице, заемащо съдебна длъжност, или съд не действа в изпълнение на съдебните си функции, надзорът се осъществява от ICO. Когато администраторът действа в изпълнение на съдебните си функции, ICO не може да упражнява надзорните си функции (107) и надзорът се осъществява от специални органи. Това отразява подхода, възприет в Регламент (ЕС) 2016/679 (член 55, параграф 3).

(100) По-специално във втория случай, за съдилищата в Англия и Уелс и трибунала от първа инстанция (First-tier Tribunal) и трибунала от по-горна инстанция (Upper Tribunal) на Англия и Уелс, такъв надзор се осъществява от Съдебния състав за защита на данните (108). Освен това главният съдия (Lord Chief Justice) и първият председател (Senior President) на трибуналите са издали декларация за поверителност (109), в която се посочва как съдилищата в Англия и Уелс обработват лични данни при изпълнение на съдебни функции. Подобна декларация е издадена от северноирландската (110) и шотландската (111) съдебни власти.

(101) Освен това в Северна Ирландия главният съдия на Северна Ирландия назначи съдия от Висшия съд като съдия по надзора на данните (DSJ) (112). Те също са издали насоки за съдебната власт на Северна Ирландия относно действията, които трябва да се предприемат в случай на загуба или възможна загуба на данни, и относно процедурата за решаване на всички въпроси, свързани с това (113).

(102) В Шотландия председателят на Върховния съд (Lord President) е назначил съдия по надзора на данните, който да разглежда всички жалби на основание защита на данните. Това е уредено в правилата за жалбите във връзка със съдебната система, които съответстват на правилата, установени за Англия и Уелс (114).

(103) Накрая, един от върховните съдии във Върховния съд се определя да упражнява надзор на защитата на данните.

2.6.4. Средства за правна защита

(104) С цел да се осигури адекватна защита, и по-специално упражняване на индивидуалните права, на субекта на данни следва да се предоставят ефективни административни и съдебни средства за правна защита, включително и обезщетение за вреди.

(105) Първо, субектът на данни има право да подаде жалба до комисаря по информацията, ако смята, че във връзка с личните му данни е извършено нарушение на ОРЗД на Обединеното кралство (115). В ОРЗД на Обединеното кралство правилата, предвидени в член 77 от Регламент (ЕС) 2016/679 относно това право, са запазени без съществени изменения. Същото се отнася и за член 57, параграф 1, буква f) и член 57, параграф 2, в който са определени задачите на комисаря във връзка с разглеждането на жалби. Както е описано в съображения 92 и 98 по-горе, комисарят по информацията има правомощието да преценява спазването от администратора и обработващия лични данни на ОРЗД на Обединеното кралство и ЗЗД от 2018 г., да ги задължава да предприемат или да се въздържат от предприемането на необходимите действия в случай на неспазване и да налага глоби.

(106) Второ, в ОРЗД на Обединеното кралство и ЗЗД от 2018 г. се предвижда право на средства за правна защита срещу комисаря по информацията. Съгласно член 78, параграф 1 от ОРЗД на Обединеното кралство всяко лице има право на ефективно средство за правна защита срещу правнообвързващо решение на комисаря, което го засяга. В контекста на съдебния контрол съдията разглежда решението, което се оспорва в исковата молба, и преценява дали комисарят по информацията е действал законосъобразно. Освен това, съгласно член 78, параграф 2 от ОРЗД на Обединеното кралство, ако комисарят не разгледа по подходящ начин жалба, внесена от субекта на данни (116), жалбоподателят има достъп до средства за правна защита. Той може да поиска от трибунала от първа инстанция да разпореди на комисаря да предприеме подходящи действия, за да отговори на жалбата, или да информира жалбоподателя за напредъка по жалбата (117). Освен това всяко лице, на което комисарят е връчил някое от посочените по-горе постановления (информационно, ревизионно, изпълнително или наказателно постановление), може да го обжалва пред трибунала от първа инстанция (118). Ако трибуналът сметне, че решението на комисаря е незаконосъобразно или че комисарят по информацията е трябвало да упражни правото си на преценка по различен начин, трибуналът трябва да уважи жалбата или да замени постановлението с друго такова или с решение, което комисарят по информацията е можел да издаде или да постанови.

(107) Трето, физическите лица могат да получат съдебна защита срещу администраторите и обработващите лични данни пряко пред съдилищата съгласно член 79 от ОРЗД на Обединеното кралство и член 167 от ЗЗД от 2018 г. Ако по искане на субект на данни съдът е убеден, че е налице нарушение на правата на субекта на данни съгласно законодателството за защита на данните, съдът може да разпореди на администратора по отношение на обработването или на обработващ лични данни, действащ от името на този администратор, да предприеме посочените в заповедта действия или да се въздържи от предприемането на посочените в заповедта действия.

(108) Освен това, съгласно член 82 от ОРЗД на Обединеното кралство и член 168 от ЗЗД от 2018 г., всяко лице, което е претърпяло имуществени или неимуществени вреди в резултат на нарушение на ОРЗД на Обединеното кралство, има право да получи обезщетение от администратора или от обработващия лични данни за претърпените вреди. Правилата относно обезщетението и отговорността, предвидени в член 82, параграфи 1—5 от ОРЗД на Обединеното кралство, са идентични със съответните правила в Регламент (ЕС) 2016/679. Съгласно член 168 от ЗЗД от 2018 г. неимуществените вреди включват и емоционално страдание. Съгласно член 80 от ОРЗД на Обединеното кралство субектът на данни има също така право да упълномощи представителен орган или организация да подаде жалбата до комисаря от негово име (съгласно член 77 от ОРЗД на Обединеното кралство) и да упражнява от негово име правата, посочени в член 78 (право на ефективно средство за правна защита срещу комисаря), член 79 (право на ефективно средство за правна защита срещу администратор или обработващ лични данни) и член 82 (право на обезщетение и отговорност) от ОРЗД на Обединеното кралство.

(109) Четвърто, и в допълнение към описаните по-горе възможности за правна защита, всяко лице, което смята, че неговите права, включително правото на неприкосновеност на личния живот и на защита на данните, са били нарушени от публичните органи, може да получи правна защита пред съдилищата на Обединеното кралство съгласно Закона за правата на човека от 1998 г. (119) Физическо лице, което твърди, че публичен орган е действал (или възнамерява да действа) по начин, който е несъвместим с право, прогласено по Конвенцията, и следователно е незаконосъобразен съгласно член 6, параграф 1 от Закона за правата на човека от 1998 г., може да заведе дело срещу органа в съответния съд или трибунал или да се позове на съответните права във всяко съдебно производство, когато лицето е (или би било) жертва на незаконосъобразното действие.

(110) Ако съдът установи, че акт на публичен орган е незаконосъобразен, в рамките на своите правомощия той може да предостави такова поправяне на вредите или обезщетение или да постанови такова разпореждане, каквото счита за справедливо и подходящо (120). Съдът може също така да обяви разпоредба от първичното право за несъвместима с право по Конвенцията.

(111) Накрая, след изчерпване на националните средства за правна защита дадено лице може да получи правна защита от Европейския съд по правата на човека за нарушения на правата, гарантирани от Европейската конвенция за правата на човека.

3. ДОСТЪП И ИЗПОЛЗВАНЕ ОТ ПУБЛИЧНИ ОРГАНИ В ОБЕДИНЕНОТО КРАЛСТВО НА ЛИЧНИ ДАННИ, ПРЕДАДЕНИ ОТ ЕВРОПЕЙСКИЯ СЪЮЗ

(112) Комисията също така направи оценка на правната уредба на Обединеното кралство за събиране и последващо използване на лични данни, предавани на стопански оператори в Обединеното кралство от публичните органи на Обединеното кралство в обществен интерес, по-специално за целите на наказателното правоприлагане и на националната сигурност (наричано по-долу „държавен достъп“). При оценката дали условията, при които държавният достъп до данни, предавани на Обединеното кралство съгласно настоящото решение, биха отговаряли на критерия за „равностойност по същество“ съгласно член 45, параграф 1 от Регламент (ЕС) 2016/679, както се тълкува от Съда на Европейския съюз в светлината на Хартата на основните права, Комисията взе предвид по-специално следните критерии.

(113) Първо, всяко ограничаване на упражняването на правото на защита на личните данни трябва да бъде предвидено в закон, а самото правно основание, позволяващо намеса в това право, трябва да определя обхвата на ограничението при упражняване на съответното право (121).

(114) Второ, за да удовлетвори изискването за пропорционалност, съгласно което дерогациите и ограниченията на защитата на личните данни трябва да се въвеждат само доколкото са строго необходими в едно демократично общество, за да се постигнат конкретни цели от общ интерес, равностойни на тези, признати от Съюза, законодателството на въпросната трета държава, позволяващо намесата, трябва да предвижда ясни и точни правила, които да уреждат обхвата и прилагането на разглежданите мерки и да налагат минимални изисквания, така че лицата, чиито данни са били предадени, да разполагат с достатъчно гаранции, позволяващи ефективна защита на техните лични данни срещу рискове от злоупотреби (122). Законодателството трябва в частност да посочва обстоятелствата и условията, при които може да се приложи мярка за обработване на такива данни (123), както и да предвиди над изпълнението на такива изисквания да се упражнява независим надзор (124).

(115) Трето, това законодателство трябва да бъде правнообвързващо съгласно националното право и тези правни изисквания трябва да бъдат не само задължителни за органите, но и противопоставими пред съдилищата на органите на въпросната трета държава (125). По-специално субектите на данни трябва да имат възможността да заведат дело пред независим и безпристрастен съд, за да получат достъп до отнасящи се до тях лични данни или да коригират или изтриват такива данни (126).

3.1. Обща правна уредба

(116) Тъй като представлява упражняване на власт от страна на публичен орган, държавният достъп в Обединеното кралство трябва да се осъществява при пълно спазване на закона. Обединеното кралство е ратифицирало Европейската конвенция за правата на човека (вж. съображение 9) и всички публични органи в Обединеното кралство са длъжни да действат в съответствие с нея (127). Член 8 от Конвенцията предвижда, че всяка намеса в неприкосновеността на личния живот трябва да бъде в съответствие със закона, в интерес на една от целите, посочени в член 8, параграф 2, и да е пропорционална с оглед на тази цел. Съгласно член 8 също така се изисква намесата да е „предвидима“, т.е. да има ясно и достъпно основание в закона и в него да се съдържат подходящи гаранции за предотвратяване на злоупотреби.

(117) Освен това в своята съдебна практика Европейският съд по правата на човека е уточнил, че всяка намеса в правото на неприкосновеност на личния живот и в правото на защита на личните данни следва да бъде обект на ефективна, независима и безпристрастна система за надзор, който трябва да бъде осигурен или от съдия, или от друг независим орган (128) (напр. административен орган или парламентарен орган).

(118) Освен това на лицата трябва да се осигури ефективна защита, а Европейският съд по правата на човека е пояснил, че тази защита трябва да се предлага от независим и безпристрастен орган, който е приел свой процедурен правилник и се състои от членове, които трябва да заемат или да са заемали висша съдебна длъжност, или да са опитни адвокати, както и че за подаването на жалба до този орган не трябва да се изисква представянето на доказателства. При разглеждането на жалби на лица независимият и безпристрастен орган следва да има достъп до цялата съответна информация, включително до поверителни материали. Накрая, той следва да има правомощията да отстрани несъответствието (129).

(119) Обединеното кралство също така ратифицира Конвенцията на Съвета на Европа за защита на лицата при автоматизираната обработка на лични данни (Конвенция № 108) и през 2018 г. подписа Протокола за изменение на Конвенцията за защита на лицата при автоматизираната обработка на лични данни (известна като „Конвенция 108+“) (130). В член 9 от Конвенция № 108 е предвидено, че дерогации от общите принципи за защита на данните (член 5 „Качество на данните“) и от правилата, уреждащи специалните категории данни (член 6 „Специални категории данни“) и правата на субекта на данни (член 8 „Допълнителни гаранции за субекта на данни“), са допустими само когато такава дерогация е предвидена в законодателството на страната по Конвенцията и представлява необходима мярка в едно демократично общество в интерес на защитата на държавната сигурност, обществената безопасност, паричните интереси на държавата или борбата с престъпленията, или за защита на субекта на данни или на правата и свободите на другите (131).

(120) Следователно чрез членството на Обединеното кралство в Съвета на Европа, спазването от него на Европейската конвенция за правата на човека и признаването на юрисдикцията на Европейския съд по правата на човека спрямо него се прилагат редица задължения, залегнали в международното право, които оформят неговата система за държавен достъп въз основа на принципи, гаранции и индивидуални права, подобни на тези, гарантирани от законодателството на ЕС и приложими за държавите членки. Следователно, както се подчертава в съображение 19, спазването на такива инструменти е особено важен елемент от оценката, на която се основава настоящото решение.

(121) Освен това специфичните гаранции и права за защита на личните данни са гарантирани от ЗЗД от 2018 г., когато данните се обработват от публични органи, включително от правоприлагащи органи и органи за национална сигурност.

(122) По-специално режимът за обработване на лични данни в контекста на наказателното правоприлагане е уреден в част 3 от ЗЗД от 2018 г., която е приета с цел транспониране на Директива (ЕС) 2016/680. Част 3 от ЗЗД от 2018 г. се прилага спрямо обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания, включително предпазването от заплахи за обществената сигурност и тяхното предотвратяване (132).

(123) Понятието „компетентен орган“ е определено в член 30 от ЗЗД като лице, включено в приложение 7 към ЗЗД от 2018 г., както и всяко друго лице, доколкото лицето изпълнява законоустановени функции за целите на правоприлагането (133). Както е обяснено по-долу ( вж. съображение 139), някои компетентни органи (например Националната агенция по престъпността) могат при определени условия да използват правомощията, предвидени в Закона за правомощията за разследване от 2016 г. (ЗПР от 2016 г.). В този случай гаранциите, предвидени в ЗПР от 2016 г., ще се прилагат в допълнение към предвидените в част 3 от ЗЗД от 2018 г. Разузнавателните служби (Службата за тайно разузнаване, Службата за сигурност и Правителствената централа за комуникации) не са „компетентни органи“ (134), попадащи в обхвата на част 3 от ЗЗД за 2018 г., и следователно предвидените там правила не се прилагат за никоя от техните дейности. Специална част от ЗЗД от 2018 г. (част 4) е посветена на обработването на лични данни от разузнавателните служби (за повече подробности вж. съображение 125).

(124) Както в Директива (ЕС) 2016/680, така и в част 3 от ЗЗД от 2018 г. са определени принципите на законосъобразност и добросъвестност (135), ограничение на целите (136), свеждане на данните до минимум (137), точност (138), ограничение на съхранението (139) и сигурност (140). Законодателството налага специфични задължения за прозрачност (141) и предоставя на лицата право на достъп (142), коригиране и заличаване (143) и правото спрямо тях да не се прилага автоматизирано вземане на решения (144). От компетентните органи се изисква също така да създават предпоставки за защита на данните на етапа на проектирането и по подразбиране, да водят регистри на дейностите по обработване и на някои операции по обработване, да извършват оценки на въздействието върху защитата на данните и да се консултират предварително с комисаря по информацията (145). Съгласно член 56 от ЗЗД от 2018 г. от тях се изисква да докажат съответствие. Освен това от тях се изисква да въведат подходящи мерки за гарантиране на сигурността на обработването (146) и да изпълняват специфични задължения в случай на нарушение на сигурността на личните данни, включително да уведомяват комисаря по информацията и субектите на данни за такива нарушения (147). Както в Директива (ЕС) 2016/680, предвидено е и изискване администраторът (освен ако не е съд или друг съдебен орган, който действа в изпълнение на съдебните си функции) да определи длъжностно лице по защита на данните (148), което да подпомага администратора при спазването на неговите задължения, както и да наблюдава изпълнението им (149). Освен това законодателството налага конкретни изисквания относно международното предаване на лични данни за целите на правоприлагането към трети държави или към международни организации, за да се осигури непрекъснатост на защитата (150). На датата на настоящото решение Комисията прие решение относно адекватното ниво на защита въз основа на член 36, параграф 3 от Директива (ЕС) 2016/680, в което заключава, че режимът за защита на данните, приложим по отношение на обработването на лични данни от органите за наказателно правоприлагане в Обединеното кралство, осигурява ниво на защита, което по същество е равностойно на гарантираното от Директива (ЕС) 2016/680.

(125) Част 4 от ЗЗД от 2018 г. се прилага за всяко обработване от разузнавателните служби или от тяхно име. По-специално в нея се определят основните принципи за защита на данните (законосъобразност, добросъвестност и прозрачност (151); ограничение на целите (152); свеждане на данните до минимум (153); точност (154); ограничение на съхранението (155) и сигурност (156)), поставят се условия за обработването на специални категории данни (157), предоставят се права на субектите на данни (158), изисква се защита на данните на етапа на проектирането (159) и се урежда международното предаване на лични данни (160). Неотдавна комисарят по информацията издаде подробни насоки относно обработването от разузнавателните служби съгласно част 4 от ЗЗД от 2018 г. (161).

(126) В същото време член 110 от ЗЗД от 2018 г. предвижда освобождаване от действието на определени разпоредби от част 4 на ЗЗД от 2018 г. (162), когато такова освобождаване е необходимо за гарантиране на националната сигурност. Това освобождаване може да се използва въз основа на анализа на всеки отделен случай (163). Както е обяснено от органите на Обединеното кралство и потвърдено от съдебната практика, „администраторът трябва да вземе предвид действителните последици за националната сигурност или отбрана, ако трябва да спазва конкретната разпоредба за защита на данните и ако би могъл разумно да спази обичайното правило, без да се засяга националната сигурност или отбрана“ (164). Дали освобождаването е било използвано по подходящ начин, подлежи на надзор от страна на ICO (165).

(127) Освен това, във връзка с възможността за ограничаване на прилагането на горепосочените определени разпоредби с цел защита на „националната сигурност“, съгласно член 111 от ЗЗД от 2018 г. администраторът може да подаде заявление за удостоверение, подписано от министър или от главния прокурор, удостоверяващо, че ограничаването на тези права представлява необходима и пропорционална мярка за защита на националната сигурност (166).

(128) Правителството на Обединеното кралство издаде насоки с цел подпомагане на администраторите при вземането на решение дали да подадат заявление за удостоверение за национална сигурност съгласно ЗЗД от 2018 г., в които по-специално се подчертава, че всяко ограничаване на правата на субектите на данни с цел опазване на националната сигурност трябва да бъде пропорционално и необходимо (167). Всички удостоверения за национална сигурност трябва да бъдат публикувани на уебсайта на комисаря по информацията (168).

(129) Удостоверението следва да бъде за определен срок, не по-дълъг от пет години, така че да бъде редовно преразглеждано от орган на изпълнителната власт (169). В удостоверението се посочват личните данни или категориите лични данни, предмет на освобождаването, както и разпоредбите на ЗЗД от 2018 г., за които се прилага освобождаването (170).

(130) Важно е да се отбележи, че с удостоверенията за национална сигурност не се предвижда допълнително основание за ограничаване на правата на защита на данните поради съображения, свързани с националната сигурност. С други думи, администраторът или обработващият лични данни може да използва удостоверение само когато е стигнал до заключението, че е необходимо да се използва изключението във връзка с националната сигурност, като то трябва да се прилага, како беше обяснено по-горе, въз основа на анализа на всеки отделен случай (171). Дори ако по отношение на въпросния случай се прилага удостоверение за национална сигурност, ICO може да проучи дали в конкретен случай е оправдано да се използва изключението във връзка с националната сигурност (172).

(131) Всяко лице, пряко засегнато от издаването на удостоверението, може да обжалва решението за издаване на удостоверението (173) пред трибунала от по-горна инстанция (174) или, когато удостоверението идентифицира данни чрез общо описание, да оспори прилагането на удостоверението по отношение на конкретни данни (175). Трибуналът ще преразгледа решението за издаване на удостоверение и ще реши дали са били налице основателни причини за издаването му (176). Той може да разгледа широк кръг от въпроси, включително да прецени необходимостта, пропорционалността и законосъобразността, като отчита въздействието върху правата на субектите на данни и претегли необходимостта от опазване на националната сигурност. В резултат на това трибуналът може да реши, че удостоверението не се прилага за конкретни лични данни, които са предмет на обжалването (177).

(132) Различен набор от възможни ограничения се отнася до тези, които се прилагат съгласно приложение 11 към ЗЗД от 2018 г. за някои разпоредби на част 4 от ЗЗД от 2018 г. (178) с цел защита на други важни цели от обществен интерес или защитени интереси, като например парламентарния имунитет, адвокатската тайна, провеждането на съдебни производства или бойната готовност на въоръжените сили (179). Тези разпоредби не се прилагат (освобождаване) за определени категории информация („на база категории“) или доколкото прилагането им би могло да накърни защитения интерес („на база накърняване“) (180). Позоваване на освобождаването на база накърняване може да се прави само дотолкова, доколкото прилагането на въпросната разпоредба за защита на данните би могло да накърни конкретния интерес. Следователно използването на освобождаване трябва винаги да бъде обосновано с позоваване на съответното накърняване на интерес, което би могло да настъпи в конкретния случай. Освобождаването на база категории може да се използва само по отношение на конкретната, тясно определена категория информация, за която е предоставено освобождаване. Този тип освобождаване е сходно по цел и последици с няколко от освобождаванията от действието на ОРЗД на Обединеното кралство (съгласно приложение 2 към ЗЗД от 2018 г.), които на свой ред отразяват тези, предвидени в член 23 от ОРЗД.

(133) От горе