Предложение за РЕГЛАМЕНТ НА ЕВРОПЕЙСКИЯ ПАРЛАМЕНТ И НА СЪВЕТА относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни (общ регламент относно защитата на данните) /* COM/2012/011 final - 2012/0011 (COD) */





ОБЯСНИТЕЛЕН МЕМОРАНДУМ 1. КОНТЕКСТ НА ПРЕДЛОЖЕНИЕТО В настоящия обяснителен меморандум се представя подробно предложената нова правна рамка за защита на личните данни в ЕС, както е изложена в Съобщение COM (2012) 9 final[1]. Предложената нова правна рамка се състои от две законодателни предложения: – предложение за регламент на Европейския парламент и на Съвета относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни (общ регламент относно защитата на данните) и – предложение за директива на Европейския парламент и на Съвета относно защитата на физическите лица във връзка с обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказателни санкции и относно свободното движение на такива данни[2]. Настоящият обяснителен меморандум се отнася за законодателното предложение за общ регламент относно защитата на данните. Основополагащият документ на съществуващото законодателство на ЕС относно защитата на личните данни, Директива 95/46/ЕО[3], беше приета през 1995 г. с две предвидени цели: да бъде защитено основното право на защита на данните и да се гарантира свободното движение на лични данни между държавите-членки. Тя бе допълнена с Рамково решение 2008/977/ПВР като общ инструмент на равнището на Съюза за защитата на личните данни в областта на полицейското сътрудничество и съдебното сътрудничество по наказателноправни въпроси[4]. Бързото технологично развитие създаде нови предизвикателства пред защитата на личните данни. Мащабите на обмена и събирането на данни се увеличиха драстично. Технологиите позволяват на частните дружества и публичните органи да използват лични данни в безпрецедентни мащаби, за да упражняват дейността си. Хората все по-често предоставят лична информация в публичното и световното пространство. Технологиите преобразиха както икономическия, така и социалния живот. Изграждането на доверие в онлайн средата е ключов фактор за икономическото развитие. Липсата на доверие кара потребителите да се колебаят дали да пазаруват онлайн и да ползват нови услуги. Това създава риск от забавяне на развитието на иновативните приложения на новите технологии. Ето защо на защитата на личните данни е отредена централна роля в Програмата в областта на цифровите технологии за Европа[5] и като цяло в стратегията „Европа 2020“[6]. В член 16, параграф 1 от Договора за функционирането на Европейския съюз, въведен с Договора от Лисабон, се постановява принципът, че всеки има право на защита на личните данни, свързани с него. Освен това с член 16, параграф 2 от ДФЕС Договорът от Лисабон въвежда специално правно основание за приемането на разпоредби относно защитата на личните данни. В член 8 от Хартата на основните права на ЕС защитата на личните данни е залегнала като основно право. Европейският съвет прикани Комисията да извърши оценка на функционирането на инструментите на ЕС за защита на данните и да представи, където е необходимо, допълнителни законодателни или незаконодателни инициативи[7]. В резолюцията си относно Стокхолмската програма Европейският парламент[8] приветства създаването на цялостен режим за защита на данните в ЕС и призова, между другото, за преразглеждане на рамковото решение. В своя План за действие за изпълнение на Стокхолмската програма[9] Комисията подчерта необходимостта да се гарантира, че основното право на защита на личните данни се прилага по съгласуван начин в контекста на всички политики на ЕС. В своето съобщение „Всеобхватен подход за защита на личните данни в Европейския съюз“[10], Комисията достигна до заключението, че ЕС се нуждае от по-цялостна и съгласувана политика относно основното право на защита на личните данни. Настоящата рамка остава стабилна, що се отнася до нейните цели и принципи, но тя не предотврати фрагментарния начин, по който се осъществява защитата на личните данни в Съюза, нито правната несигурност и широко разпространеното обществено схващане, че съществуват значителни рискове, свързани именно с дейностите онлайн[11]. Ето защо е време да бъде създадена по-солидна и по-съгласувана рамка за защита на данните в ЕС, подкрепена от стабилни мерки за правоприлагане, които ще позволят на цифровата икономика да се развива на вътрешния пазар, на лицата да контролират своите собствени данни и ще дадат възможност да бъде подсилена правната и практическата сигурност на икономическите оператори и публичните органи. 2. РЕЗУЛТАТИ ОТ КОНСУЛТАЦИИТЕ СЪС ЗАИНТЕРЕСОВАНИТЕ СТРАНИ И ОЦЕНКА НА ВЪЗДЕЙСТВИЕТО Настоящата инициатива е резултат от обширни консултации с всички основни заинтересовани страни относно прегледа на настоящата правна рамка за защита на личните данни, които продължиха повече от две години и включваха конференция на високо равнище, проведена през май 2009 г.[12], и обществени консултации в две фази: – от 9 юли до 31 декември 2009 г. — Консултация относно правната рамка за основното право на защита на личните данни. Комисията получи 168 отговора — 127 от физически лица, стопански организации и сдружения и 12 от публични органи[13]. – от 4 ноември 2010 г. до 15 януари 2011 г. — Консултация относно всеобхватния подход на Комисията за защита на личните данни в Европейския съюз. Комисията получи 305 отговора, от които 54 от граждани, 31 — от публични органи и 220 — от частни организации, по-специално стопански сдружения и неправителствени организации[14]. Целенасочени консултации бяха проведени също с основни заинтересовани страни. През юни и юли 2010 г. бяха организирани специални мероприятия с органите на държавите-членки и със заинтересовани страни от частния сектор, както и с организации за защита на неприкосновеността на личния живот и за защита на данните и организации на потребителите[15]. През ноември 2010 г. заместник-председателят на Европейската комисия Рединг организира кръгла маса относно реформата в областта на защитата на данните. На 28 януари 2011 г. (Деня за защита на данните) Европейската комисия и Съветът на Европа организираха съвместно конференция на високо равнище, за да обсъдят въпроси, свързани с реформата на правната рамка на ЕС, както и необходимостта от общи стандарти за защита на данните в световен мащаб[16]. Две конференции, посветени на защитата на данните, бяха проведени от унгарското и полското председателство на Съвета съответно на 16—17 юни 2011 г. и на 21 септември 2011 г. През 2011 г. бяха проведени и допълнителни специализирани работни срещи и семинари по конкретни въпроси. През януари Европейската агенция за мрежова и информационна сигурност (ENISA)[17] организира работен семинар относно уведомленията при нарушения на сигурността на данните в Европа[18]. През февруари Комисията проведе работен семинар с органите на държавите-членки, за да обсъди въпросите, свързани със защитата на данните в областта на полицейското сътрудничество и съдебното сътрудничество по наказателноправни въпроси, включително изпълнението на рамковото решение, а Агенцията за основните права проведе среща за консултация със заинтересовани страни на тема „Защитата на данните и неприкосновеността на личния живот“. Обсъждане на ключови въпроси, свързани с реформата, беше проведено на 13 юли 2011 г. с националните органи по защита на данните. Допитване до гражданите на ЕС беше направено чрез проучване на Евробарометър, проведено в периода ноември—декември 2010 г[19]. Бяха започнати също и редица проучвания[20]. Работната група по член 29[21] представи няколко становища и полезна информация на Комисията[22]. Европейският надзорен орган по защита на данните издаде също всеобхватно становище по въпросите, повдигнати в съобщението на Комисията от ноември 2010 г[23]. Европейският парламент одобри със своята резолюция от 6 юли 2011 г. доклад, в който се подкрепя подходът на Комисията към реформирането на рамката за защита на данните[24]. На 24 февруари 2011 г. Съветът на Европейския съюз прие заключения, в които широко подкрепя намерението на Комисията да реформира рамката за защита на данните и дава съгласието си с много елементи от подхода на Комисията. По същия начин Европейският икономически и социален комитет подкрепи стремежа на Комисията да гарантира по-съгласувано прилагане на разпоредбите на ЕС за защита на данните[25] във всички държави-членки и подходящо преразглеждане на Директива 95/46/ЕО[26]. По време на консултациите относно всеобхватния подход голяма част от заинтересованите страни се съгласиха, че общите принципи остават валидни, но е необходимо да се адаптира настоящата рамка, за да отговоря по-добре на предизвикателствата, породени от бързото развитие на нови технологии (особено на онлайн технологиите) и нарастващата глобализация, като същевременно се запази технологичната неутралност на правната рамка. Сериозни критики бяха отправени по отношение на настоящата фрагментарност на защитата на личните данни в Съюза, по-специално от стопанските заинтересовани страни, които поискаха повишаване на правната сигурност и хармонизиране на правилата за защита на личните данни. Сложността на разпоредбите за международно предаване на лични данни се счита за съществена пречка за техните операции, тъй като те редовно трябва да предават лични данни от ЕС до други части на света. В съответствие със своята политика за „по-добро регулиране“ Комисията извърши оценка на въздействието на вариантите за политика. Оценката на въздействието беше основана на трите цели на политиката: подобряване на свързаното с вътрешния пазар измерение на защитата на данните, повишаване на ефективността на упражняването на правата на защита на данните от физическите лица и създаване на цялостна и съгласувана рамка, която обхваща всички области на компетентност на Съюза, включително полицейското сътрудничество и съдебното сътрудничество по наказателноправни въпроси. Оценени бяха три варианта за политика с различна степен на намеса: първият вариант се състои от минимални законодателни изменения и използване на тълкувателни съобщения и мерки за подкрепа на политиката като програми за финансиране и технически инструменти; вторият обхваща набор от законодателни разпоредби, насочени към всеки от установените в анализа проблеми, а третият представлява централизация на защитата на данните на равнище ЕС чрез прецизни и подробни правила за всички сектори и създаване на агенция на ЕС за наблюдение и прилагане на разпоредбите. В съответствие с установената методология на Комисията всеки от вариантите за политика беше оценен с участието на Междуведомствена ръководна група по отношение на неговата ефективност за постигането на целите на политиката, неговото икономическо въздействие върху заинтересованите страни (включително върху бюджета на институциите на ЕС), неговото социално въздействие и неговия ефект върху основните права. Не беше установено въздействие върху околната среда. Анализът на цялостното въздействие доведе до разработване на предпочетения вариант за политика, включен в настоящото предложение, който се основава на втория вариант с няколко елемента от другите два варианта. Според оценката на въздействието неговото изпълнение ще доведе, inter alia, до значителни подобрения по отношение на правната сигурност за администраторите на лични данни и за гражданите, до намаляване на административната тежест, съгласуваност на правоприлагането в областта на защитата на данните в Съюза, ефективна възможност за физическите лица да упражняват своите права на защита на личните им данни в рамките на ЕС и ефективност на надзора и правоприлагането на защитата на данни. Изпълнението на предпочетените варианти на политика се очаква също така да допринесе за постигането на целта на Комисията за опростяване и намаляване на административната тежест и към целите на Програмата в областта на цифровите технологии за Европа, Стокхолмския план за действие и стратегията „Европа 2020“. На 9 септември 2011 г. Комитетът за оценка на въздействието (КОВ) изрази становище относно проекта на оценката на въздействието. След излизането на становището на КОВ бяха направени следните промени в оценката на въздействието: – бяха пояснени целите на съществуващата правна рамка (степента, до която те са постигнати и до която не са), както и целите на предвидената реформа; – бяха добавени повече данни и допълнителни обяснения/пояснения към раздела за определяне на проблемите; – беше добавен раздел относно пропорционалността; – всички изчисления и оценки, свързани с административната тежест в базовия сценарий и в предпочетения вариант бяха изцяло преразгледани и ревизирани и беше изяснена връзката между разходите за уведомленията и общите разходи, свързани с фрагментарността (включително приложение 10); – въздействието върху микропредприятията и малките и средните предприятия, по-специално по отношение на длъжностните лица по защита на данните и оценките на въздействието върху защитата на данните бяха по-добре определени. Докладът за оценката на въздействието и обобщението са публикувани с предложенията. 3. ПРАВНИ ЕЛЕМЕНТИ НА ПРЕДЛОЖЕНИЕТО 3.1. Правно основание Настоящото предложение се основава на член 16 от ДФЕС, който е новото правно основание за приемане на разпоредби в областта на защитата на данните, въведено с Договора от Лисабон. В посочения член се предвижда приемането на разпоредби за защита на физическите лица във връзка с обработването на лични данни от държавите-членки при изпълнение на техните дейности, които попадат в приложното поле на правото на Съюза. Той предвижда също така приемането на разпоредби, свързани със свободното движение на лични данни, включително лични данни, обработвани от държавите-членки или от частни страни. Регламентът се счита за най-подходящия правен инструмент, който да определи рамката за защитата на личните данни в Съюза. Пряката приложимост на регламента в съответствие с член 288 от ДФЕС ще намали правната фрагментарност и ще осигури по-голяма правна сигурност чрез въвеждането на хармонизиран набор от основни правила, с които ще се подобрят защитата на основните права на физическите лица и функционирането на вътрешния пазар. Позоваването на член 114, параграф 1 от ДФЕС е необходимо само за изменянето на Директива 2002/58/ЕО в такава степен, че директивата да защитата легитимните интереси на абонатите, които са юридически лица. 3.2. Субсидиарност и пропорционалност Съгласно принципа на субсидиарност (член 5, параграф 3 от ДЕС) действия на равнището на Съюза се предприемат само в случай и доколкото предвидените цели не могат да бъдат постигнати в достатъчна степен от държавите-членки, но могат поради обхвата или последиците от предвиденото действие да бъдат по-добре постигнати от Съюза. Предвид очертаните по-горе проблеми, анализът на субсидиарността показва необходимостта от действие на равнище ЕС въз основа на следното: – правото на защита на личните данни, залегнало в член 8 от Хартата на основните права, изисква еднакво ниво на защита на данните в целия Съюз. Липсата на общи правила на ЕС би създала риск от наличието на различни нива на защита в държавите-членки и би създала ограничения на трансграничните потоци от лични данни между държавите-членки с различни стандарти. – Личните данни се предават през националните граници, както вътрешните, така и външните граници, с увеличаващи се темпове. Освен това съществуват практически предизвикателства пред прилагането на законодателството за защита на данните и необходимост от сътрудничество между държавите-членки и техните органи, които трябва да бъдат организирани на равнище ЕС, за да се гарантира единство на прилагането на правото на Съюза. ЕС е също така в най-добра позиция да гарантира ефективно и съгласувано еднакво ниво на защита за физическите лица, когато техните лични данни се предават на трети държави. – Държавите-членки не могат сами да ограничат проблемите в сегашната ситуация, особено онези, които се дължат на фрагментарността в националните законодателства. Ето защо има особена нужда да се установи хармонизирана и съгласувана рамка, която позволява безпрепятственото предаване на лични данни през границите в рамките на ЕС, като същевременно се гарантира ефективна защита за всички физически лица на територията на ЕС. – Предложените законодателни действия на равнище ЕС ще бъдат по-ефективни от подобни действия на равнище държави-членки поради естеството и мащаба на проблемите, които не са ограничени до равнището на една или няколко държави-членки. Принципът на пропорционалност изисква всяка намеса да бъде целенасочена и да не надхвърля необходимото за постигане на целите. Процесът на изготвяне на настоящото предложение бе ръководен от този принцип от идентифицирането и оценката на алтернативните варианти за политика до изготвянето на законодателното предложение. 3.3. Обобщение на въпросите, свързани с основните права Правото на защита на личните данни е установено в член 8 от Хартата и член 16 от ДФЕС, както и в член 8 от Европейската конвенция за защита на правата на човека и основните свободи (ЕКПЧ). Както е подчертано от Съда на Европейския съюз[27], правото на защита на личните данни не е абсолютно право, а трябва да се разглежда във връзка с неговата функция в обществото[28]. Защитата на данните е тясно свързана със зачитането на личния и семейния живот, защитен с член 7 на Хартата. Това е отразено в член 1, параграф 1 от Директива 95/46/ЕО, където се предвижда държавите-членки да защитават основните права и свободи на физическите лица, и в частност правото им на личен живот при обработването на лични данни. Други потенциално засегнати основни права, залегнали в Хартата, са следните: свободата на изразяване (член 11 от Хартата); свободата на стопанска инициатива (член 16); правото на собственост и по-специално защитата на интелектуалната собственост (член 17, параграф 2); забраната на всякаква форма на дискриминация въз основа, между другото, на раса, етнически произход, генетични характеристики, религия или убеждения, политически или други мнения, увреждане или сексуална ориентация (член 21); правата на детето (член 24); правото на висока степен на закрила на здравето (член 35); правото на достъп до документи (член 42); и правото на ефективни правни средства за защита и на справедлив съдебен процес (член 47). 3.4. Подробно обяснение на предложението 3.4.1. ГЛАВА I — ОБЩИ РАЗПОРЕДБИ В член 1 се определя предметът на регламента и, както в член 1 от Директива 95/46/ЕО, двете цели на регламента. В член 2 се определя материалното приложно поле на регламента. В член 3 се определя териториалното приложно поле на регламента. Член 4 съдържа определенията на термините, използвани в регламента. Докато някои определения са заети от Директива 95/46/ЕО, други са изменени, допълнени с добавени елементи или нововъведени („нарушение на сигурността на личните данни“ въз основа на член 2, буква и) от Директива 2002/58/EО[29] за защитата на неприкосновеността на личния живот в сектора на електронните комуникации, изменена с Директива 2009/136/ЕО[30], „генетични данни“, „биометрични данни“, „данни за здравословното състояние“, „основно място на установяване“, „представител“ „предприятие“, „група предприятия“, „задължителни фирмени правила“, определението за „дете“, което се основава на Конвенцията на Организацията на обединените нации за правата на детето[31], и определението за „надзорен орган“). В определението за „съгласие“ е добавен критерият „изрично“, за да се избегне объркващият паралелизъм с „недвусмислено“ съгласие и за да има едно-единствено и съгласувано определение за „съгласие“, като се гарантира информираността на субекта на данни за това, че дава съгласието си и за какво го дава. 3.4.2. ГЛАВА II — ПРИНЦИПИ В член 5 се определят принципите, отнасящи се за обработването на лични данни, които съответстват на принципите, посочени в член 6 от Директива 95/46/ЕО. Допълнителните нови елементи са по-специално принципът на прозрачност, разясняването на принципа на свеждане на данните до минимум и определянето на цялостната отговорност и задълженията на администратора. В член 6, основан на член 7 от Директива 95/46/ЕО, се определят критериите за законосъобразно обработване, които са допълнително определени по отношение на постигането на равновесие между критерия за интерес и спазването на законовите задължения и обществения интерес. В член 7 се разясняват условията, за да бъде съгласието валидно като правно основание за законосъобразно обработване. В член 8 се посочват допълнителни условия за законосъобразността на обработването на лични данни на деца във връзка с услуги на информационното общество, които им се предлагат пряко. В член 9 се определя общата забрана за обработване на специални категории лични данни и изключенията от това общо правило, с което се доразвива член 8 от Директива 95/46/ЕО. В член 10 се пояснява, че администраторът не е задължен да придобива допълнителна информация, за да идентифицира субекта на данните единствено с цел спазване на някоя от разпоредбите на настоящия регламент. 3.4.3. ГЛАВА III — ПРАВА НА СУБЕКТА НА ДАННИ 3.4.3.1. Раздел 1 — Прозрачност и условия В член 11 се въвежда задължението администраторите да осигуряват прозрачна, лесно достъпна и разбираема информация, обусловена по-специално от резолюцията от Мадрид относно международните стандарти за защита на личните данни и неприкосновеността на личния живот[32]. С член 12 администраторът се задължава да осигурява процедури и механизми за упражняването на правата на субектите на данни, включително средства за електронни искания, които изискват да се отговаря на искане на субект на данни в рамките на определен срок, както и да се посочват причините за отказите. В член 13 се предвиждат права, свързани с получателите на данни, въз основа на член 12, буква в) от Директива 95/46/ЕО, като се разширяват тези права към всички получатели, включително съвместните администратори и обработващите лични данни. 3.4.3.2. Раздел 2 — Информация и достъп до данни В член 14 се определят допълнително задълженията на администратора да предоставя информация на субекта на данни, като се доразвиват членове 10 и 11 от Директива 95/46/ЕО, включително да предоставя допълнителна информация на субекта на данни относно срока на съхранение и правото да подава жалба, както и относно международното предаване на данни и източника на данните. Запазват се също възможните дерогации от Директива 95/46/ЕО, например липсата на подобно задължение, ако записването или разкриването са изрично предвидени със закон. Това може да се прилага при производства на компетентните органи, данъчните или митническите власти или службите за социална сигурност. В член 15 се урежда правото на достъп на субекта на данни до неговите лични данни, като се доразвива член 12, буква а) от Директива 95/46/ЕО и се добавят нови елементи като например предоставянето на информация на субектите на данни относно срока на съхранение, правото им на коригиране, заличаване и подаване на жалба. 3.4.3.3. Раздел 3 — Коригиране и заличаване В член 16 се определя правото на субекта на данни на коригиране на данните въз основа на член 12, буква б) от Директива 95/46/ЕО. В член 17 се предвижда правото на субекта на данни „да бъде забравен“ и правото му на заличаване на данните. В този член допълнително се развива и определя правото на заличаване, предвидено в член 12, буква б) от Директива 95/46/ЕО, и се предвиждат условията за упражняване на правото „да бъдеш забравен“, включително задължението на администратора, който публично е обявил данните, да уведоми третите страни за искането на субекта на данните да се заличат всякакви връзки или копия или реплики на тези лични данни. Той включва също правото на ограничаване на обработването в определени случаи, като се избягва двусмисленият термин „блокиране“. В член 18 се въвежда правото на субекта на данни на преносимост на данните, т.е. да предава данните си от една електронна система за обработване на данни в друга, без да бъде възпрепятстван от администратора. Като предварително условие и с цел да се подобри допълнително достъпът на физическите лица до техните лични данни, в посочения член се предвижда правото на субекта на данни да получава тези данни от администратора в структуриран и широко използван електронен формат. 3.4.3.4. Раздел 4 — Право на възражение и профилиране В член 19 се предвижда правото на субекта на данни на възражение. Той се основава на член 14 от Директива 95/46/ЕО с някои изменения, включително по отношение на тежестта на доказване и нейното прилагане за директния маркетинг. Член 20 се отнася до правото на субекта на данни да не подлежи на мярка, основана на профилиране. Той доразвива с някои изменения и допълнителни гаранции член 15, параграф 1 от Директива 95/46 относно автоматизираните индивидуални решения и се взема предвид препоръката на Съвета на Европа относно профилирането[33]. 3.4.3.5. Раздел 5 — Ограничения В член 21 се разяснява правомощието на Съюза или на държавите-членки да запазват или въвеждат ограничения на принципите, установени в член 5, и на правата на субекта на данни, установени в членове 11—20 и в член 32. Тази разпоредба се основава на член 13 от Директива 95/46/ЕО и на изискванията, произтичащи от Хартата на основните права и Европейската конвенция за защита на правата на човека и основните свободи, съгласно тълкуванието на Съда на ЕС и на Европейския съд по правата на човека. 3.4.4. ГЛАВА IV — АДМИНИСТРАТОР И ОБРАБОТВАЩ ЛИЧНИ ДАННИ 3.4.4.1. Раздел 1 — Общи задължения В член 22 се взема предвид дискусията относно „принципа на отчетност“ и се описва подробно задължението за отговорност на администратора да спазва разпоредбите на настоящия регламент и да доказва тяхното спазване, включително като приема вътрешни политики и механизми, за да гарантира спазването им. В член 23 се определят задълженията на администратора, произтичащи от принципите на защита на данните още при проектирането и по подразбиране. В член 24 относно съвместните администратори се разясняват отговорностите на съвместните администратори предвид на техните вътрешни отношения и спрямо субекта на данни. С член 25 администраторите, които не са установени в Съюза, се задължават да определят свой представител в Съюза, когато настоящият регламент се прилага за дейностите им по обработване на данни. В член 26 се разясняват позицията и задълженията на обработващите лични данни, отчасти въз основа на член 17, параграф 2 от Директива 95/46/ЕО, като се добавят нови елементи, включително това, че обработващият лични данни, който обработва данни извън указанията на администратора, следва да се счита за съвместен администратор. Член 27 относно обработването под ръководството на администратора и обработващия лични данни се основава на член 16 от Директива 95/46/ЕО. С член 28 се въвежда задължение за администраторите на данни и обработващите лични данни да поддържат документация за операциите по обработване, за които носят отговорност, вместо да подават общо уведомление до надзорния орган, изисквано по член 18, параграф 1 и член 19 от Директива 95/46/ЕО. В член 29 се разясняват задълженията на администратора и на обработващия лични данни за сътрудничество с надзорния орган. 3.4.4.2. Раздел 2 — Сигурност на данните С член 30 администраторът и обработващият лични данни се задължават да предприемат подходящи мерки за сигурността на обработването въз основа на член 17, параграф 1 от Директива 95/46/ЕО, като това задължение се разширява към обработващите лични данни, независимо от договора с администратора. С членове 31 и 32 се въвежда задължение за уведомяване при нарушение на сигурността на личните данни, като се доразвиват разпоредбите за уведомяване при нарушение на сигурността на личните данни на член 4, параграф 3 от Директива 2002/58/EО за защитата на неприкосновеността на личния живот в сектора на електронните комуникации. 3.4.4.3. Раздел 3 — Оценка на въздействието върху защитата на данните и предварително разрешение В член 33 се въвежда задължението администраторите и обработващите лични данни да извършват оценка на въздействието върху защитата на данните преди предприемането на рискови операции по обработване. Член 34 се отнася за случаите, при които разрешението от надзорния орган и консултацията с него са задължителни преди обработването, като се доразвива понятието „предварителна проверка“ в член 20 от Директива 95/46/ЕО. 3.4.4.4. Раздел 4 — Длъжностно лице по защита на данните С член 35 се въвежда задължението да се назначава длъжностно лице по защита на данните за публичния сектор и за големите предприятия в частния сектор или в случаите, когато основните дейности на администратора или обработващия лични данни се състоят от операции по обработване, които изискват редовно и систематично наблюдение. Това доразвива разпоредбите на член 18, параграф 2 от Директива 95/46/ЕО, в който е предвидена възможността държавите-членки да въведат такова изискване като заместител на изискването за общо уведомление. В член 36 се определя длъжността на длъжностното лице по защита на данните. В член 37 се посочват основните задачи на длъжностното лице по защита на данните. 3.4.4.5. Раздел 5 — Кодекси за поведение и сертифициране Член 38 се отнася до кодексите за поведение, като се доразвива концепцията в член 27, параграф 1 от Директива 95/46/ЕО, разяснява се съдържанието на кодексите и процедурите и се дават правомощия на Комисията да решава относно общата валидност на кодексите за поведение. С член 39 се въвежда възможността за създаване на механизми за сертифициране и на печати и маркировки за защита на данните. 3.4.5. ГЛАВА V — ПРЕДАВАНЕ НА ЛИЧНИ ДАННИ НА ТРЕТИ ДЪРЖАВИ ИЛИ МЕЖДУНАРОДНИ ОРГАНИЗАЦИИ Член 40 постановява като общо принцип, че спазването на задълженията по посочената глава е задължително за всяко предаване на лични данни на трети държави или международни организации, включително последващо предаване. В член 41 се определят критериите, условията и процедурите за приемане от страна на Комисията на решение относно адекватността въз основа на член 25 от Директива 95/46/ЕО. Критериите, които Комисията взема предвид при оценяването на адекватността или неадекватността на нивото за защита, изрично включват принципите на правовата държава, съдебната защита и независимия надзор. Този член сега изрично потвърждава възможността Комисията да оценява нивото на защита, осигурено от дадена територия или обработващ сектор в дадена трета държава. В член 42 се изисква при предаването на данни на трети държави, когато не е прието решение относно адекватността от страна на Комисията, да се предоставят подходящи гаранции, по-специално стандартни клаузи за защита на данните, задължителни фирмени правила и договорни клаузи. Възможността да се използват стандартните клаузи за защита на данните на Комисията се основава на член 26, параграф 4 от Директива 95/46/ЕО. Като нов компонент тези стандартни клаузи за защита на данните сега също могат да се приемат от надзорния орган и да се обявяват за общовалидни от Комисията. Задължителните фирмени правила сега се упоменават конкретно в правния текст. Вариантът с договорните клаузи дава известна гъвкавост на администратора или обработващия лични данни, но подлежи на предварително разрешение от надзорните органи. В член 43 се описват по-подробно условията за предаване на данни съгласно задължителни фирмени правила, основани на настоящите практики и изисквания на надзорните органи. В член 44 се определят и разясняват дерогациите за предаването на данни въз основа на съществуващите разпоредби на член 26 от Директива 95/46/ЕО. Те се прилагат по-специално за предаването на данни, което се изисква и е необходимо за защитата на важно основание от обществен интерес, например при международно предаване на данни между органи по защита на конкуренцията, данъчни или митнически власти или между служби по социална сигурност или служби по управление на рибарството. Освен това, предаването на данни при ограничени обстоятелства може да бъде обосновано от законен интерес на администратора или на обработващия лични данни, но само след като той е оценил и документирал обстоятелствата на съответната операция по предаване. В член 45 изрично се предвиждат механизми за международно сътрудничество за защитата на личните данни между Комисията и надзорните органи на трети държави, по-специално онези, за които се счита, че предлагат адекватно ниво на защита, като се взема предвид препоръката на Организацията за икономическо сътрудничество и развитие (ОИСР) относно трансграничното сътрудничество при прилагането на законите за защита на неприкосновеността на личния живот от 12 юни 2007 г. 3.4.6. ГЛАВА VI — НЕЗАВИСИМИ НАДЗОРНИ ОРГАНИ 3.4.6.1. Раздел 1 — Независим статут С член 46 държавите-членки се задължават да създадат надзорни органи на основание член 28, параграф 1 от Директива 95/46/ЕО и да разширят техните правомощия за сътрудничество помежду им и с Комисията. В член 47 се разясняват условията за независимостта на надзорните органи, като се прилага съдебната практика на Съда на Европейския съюз[34], обусловени също от член 44 от Регламент (ЕО) № 45/2001[35]. В член 48 са посочени общите условия за членовете на надзорния орган, като се прилага съответната съдебна практика[36], обусловени също от член 42, параграфи 2—6 от Регламент (ЕО) № 45/2001. В член 49 се определят правилата за създаване на надзорния орган, които трябва да се предвидят със закон от държавите-членки. Член 50, в който се постановява професионалната тайна на членовете и персонала на надзорния орган, се основава на член 28, параграф 7 от Директива 95/46/ЕО. 3.4.6.2. Раздел 2 — Задължения и правомощия В член 51 се определя компетентността на надзорните органи. Общото правило, въз основа на член 28, параграф 6 от Директива 95/46/ЕО (компетентност на територията на собствената държава-членка), се допълва с новата компетентност като водещ орган, в случай че администраторът или обработващият лични данни е установен в няколко държави-членки, за да се гарантира единство на прилагането (,,обслужване на едно гише“). Съдилищата, когато действат в качеството си на правораздавателни органи, са освободени от наблюдението на надзорния орган, но не и от прилагането на материалните разпоредби относно защитата на данните. В член 52 се посочват задълженията на надзорния орган, които включват изслушване и разследване на жалби и насърчаване на обществената информираност относно рисковете, правилата, гаранциите и правата. В член 53 са посочени правомощията на надзорния орган, като отчасти се доразвиват разпоредбите на член 28, параграф 3 от Директива 95/46/ЕО и член 47 от Регламент (ЕО) № 45/2001, и се добавят някои нови елементи, включително правомощието за санкциониране на административни нарушения. С член 54 надзорните органи се задължават да изготвят годишни доклади за дейността въз основа на член 28, параграф 5 от Директива 95/46/ЕО. 3.4.7. ГЛАВА VII — СЪТРУДНИЧЕСТВО И СЪГЛАСУВАНОСТ 3.4.7.1. Раздел 1 — Сътрудничество С член 55 се въвеждат изрични правила относно задължителната взаимопомощ, включително последствията при несъобразяване с исканията на друг надзорен орган, като се доразвиват разпоредбите на член 28, параграф 6, втора алинея от Директива 95/46/ЕО. С член 56 се въвеждат разпоредби относно съвместните операции, основани на член 17 от Решение 2008/615/ПВР[37] на Съвета, включително правото на надзорните органи да участват в такива операции. 3.4.7.2. Раздел 2 — Съгласуваност С член 57 се въвежда механизъм за съгласуваност, който да гарантира единството на прилагането по отношение на операциите по обработване, които могат да засегнат субекти на данни в няколко държави-членки. В член 58 се установяват процедурите и условията за изготвяне на становище на Европейския комитет по защита на данните. Член 59 се отнася за становищата на Комисията по въпроси, решавани в рамките на механизма за съгласуваност, чрез които може да бъде утвърдено становището на Европейския комитет по защита на данните или да бъде изразена друга гледна точка по отношение на неговото становище и проектомярката на надзорния орган. Когато въпросът се повдига от Европейския комитет по защита на данните съгласно член 58, параграф 3, може да се очаква Комисията да упражни правото си на преценка и да излезе със становище, когато е необходимо. Член 60 се отнася до решенията на Комисията, които изискват от компетентния орган временно да преустанови проектомярката си, когато това е необходимо, за да се гарантира правилното прилагане на настоящия регламент. В член 61 се предвижда възможност за приемане на временни мерки чрез процедура по спешност. В член 62 се определят изискванията за актовете за изпълнение на Комисията в рамките на механизма за съгласуваност. В член 63 се предвижда задължението за прилагане на мерките на даден надзорен орган във всички засегнати държави-членки и се посочва, че прилагането на механизма за съгласуваност е предварително условие за юридическата сила и прилагането на съответната мярка. 3.4.7.3. Раздел 3 — Европейски комитет по защита на данните С член 64 се създава Европейският комитет по защита на данните, който е съставен от ръководителите на надзорния орган на всяка държава-членка и на Европейския надзорен орган по защита на данните. Европейският комитет по защита на данните заменя Работната група за защита на лицата при обработването на лични данни, създадена по силата на член 29 от Директива 95/46/ЕО. Разяснява се, че Комисията не е член на Европейския комитет по защита на данните, но има право да участва в дейностите и да бъде представлявана. В член 65 се подчертава и разяснява независимостта на Европейския комитет по защита на данните. В член 66 се описват задачите на Европейския комитет по защита на данните въз основа на член 30, параграф 1 от Директива 95/46/ЕО и се предвиждат допълнителни елементи, които отразяват нарасналия обхват на дейностите на Европейския комитет по защита на данните в рамките на Съюза и извън него. В този член на Комисията се дава възможност да потърси становище в рамките на определен срок, за да бъде тя в състояние да реагира при спешни ситуации. В член 67 Европейският комитет по защита на данните се задължава да изготвя годишни доклади за дейността си въз основа на член 30, параграф 6 от Директива 95/46/ЕО. В член 68 се определят процедурите на Европейския комитет по защита на данните за вземане на решения, както и задължението да приеме процедурен правилник, в който следва да бъдат уредени и оперативните разпоредби. В член 69 се съдържат разпоредбите относно председателя и заместник-председателите Европейския комитет по защита на данните. В член 70 се определят задачите на председателя. В член 71 се постановява, че секретариатът на Европейския комитет по защита на данните се осигурява от Европейския надзорен орган по защита на данните и се определят задачите на този секретариат. В член 72 се установяват разпоредбите относно поверителността. 3.4.8. ГЛАВА VIII — СРЕДСТВА ЗА СЪДЕБНА ЗАЩИТА, ОТГОВОРНОСТ И САНКЦИИ В член 73 се урежда правото на всеки субект на данни да подава жалба до надзорния орган въз основа на член 28, параграф 4 от Директива 95/46/ЕО. В него се посочват също структурите, организациите или сдруженията, които имат право да подават жалби от името на субекта на данни или, в случай на нарушение на сигурността на личните данни, независимо от жалба на субект на данни. Член 74 се отнася до правото на средства за съдебна защита срещу надзорен орган. Този член доразвива общите разпоредби на член 28, параграф 3 от Директива 95/46/ЕО. В него се уреждат конкретно средствата за съдебна защита, като се задължава надзорният орган да предприеме действия по дадена жалба и се пояснява компетентността на съдилищата на държавата-членка, в която е установен надзорният орган. В члена се предвижда също възможността надзорният орган на държавата-членка по местоживеене на субекта на данни да може да завежда от негово име дело пред съда в друга държава-членка, в която е установен надзорният орган. Член 75 се отнася до правото на средства за съдебна защита срещу администратор или обработващ лични данни, като се доразвиват разпоредбите на член 22 от Директива 95/46/ЕО и се дава възможност за избор на ищеца да предяви съдебен иск в държавата-членка, където е установен ответникът или където живее субектът на данни. Когато производства относно един и същи въпрос се разглеждат в рамките на механизма за съгласуваност, съдът може временно да преустанови заведените пред него производства, освен в случаите на спешност. В член 76 се определят общите правила за съдебните производства, включително правата на органите, организациите или сдруженията да представляват субектите на данни пред съдилищата, правото на надзорните органи да участват в съдебни производства, информирането на съдилищата относно паралелни производства в друга държава-членка, както и възможността за съдилищата в такъв случай временно да преустановяват производствата[38]. Държавите-членки имат задължението да осигурят бързи съдебни производства[39]. В член 77 се установяват правото на обезщетение и отговорността за причинени вреди. Той доразвива разпоредбите на член 23 от Директива 95/46/ЕО, разширява правото на обезщетение при щети, нанесени от обработващи лични данни и разяснява отговорността на съвместните администратори и съвместните обработващи лични данни. С член 78 държавите-членки се задължават да определят правила за санкциите, да санкционират нарушенията на регламента и да гарантират тяхното изпълнение. С член 79 всеки надзорен орган се задължава да санкционира административните нарушения, посочени в списъците в настоящата разпоредба, като налага глоби в рамките на определен максимален размер в зависимост от обстоятелствата на всеки отделен случай. 3.4.9. ГЛАВА IX ― РАЗПОРЕДБИ, СВЪРЗАНИ С ОСОБЕНИ СИТУАЦИИ НА ОБРАБОТВАНЕ НА ДАННИ С член 80 държавите-членки се задължават да приемат изключения и дерогации от специалните разпоредби на регламента, когато това е необходимо, за да се съгласува правото на защита на личните данни с правото на свобода на изразяване. Той се основава на член 9 от Директива 95/46/ЕО съгласно тълкуването на Съда на ЕС[40]. С член 81 държавите-членки се задължават, в допълнение към условията за специалните категории данни, да осигурят специални гаранции по отношение на обработването на данни за целите на здравеопазването. В член 82 на държавите-членки се предоставя правомощието да приемат специални закони за обработването на лични данни в контекста на трудовите правоотношения. В член 83 се определят специални условия за обработването на лични данни за исторически, статистически и научноизследователски цели. В член 84 на държавите-членки се предоставя правомощието да приемат специални разпоредби относно достъпа на надзорните органи до лични данни и до помещения в случаите, когато администраторите са обвързани със задължения за опазване на тайна. Член 85 дава възможност с оглед на член 17 от Договора за функционирането на Европейския съюз да продължи прилагането на съществуващите обстойни правила за защита на данните на църквите, ако те бъдат приведени в съответствие с настоящия регламент. 3.4.10. ГЛАВА X — ДЕЛЕГИРАНИ АКТОВЕ И АКТОВЕ ЗА ИЗПЪЛНЕНИЕ Член 86 съдържа стандартните разпоредби за упражняване на делегирането съгласно член 290 от ДФЕС. Това позволява на законодателя да делегира на Комисията правомощието да приема незаконодателни актове от общ характер, които допълват или изменят определени несъществени елементи на законодателния акт (квазизаконодателни актове). Член 87 съдържа разпоредба за процедурата на комитет, необходима за предоставяне на изпълнителни правомощия на Комисията в случаите, при които в съответствие с член 291 от ДФЕС са необходими еднакви условия за изпълнение на правно обвързващи актове на Съюза. Прилага се процедурата по разглеждане. 3.4.11. ГЛАВА XI — ЗАКЛЮЧИТЕЛНИ РАЗПОРЕДБИ С член 88 се отменя Директива 95/46/ЕО. В член 89 се изяснява връзката със и се изменя Директива 2002/58/EО за защитата на неприкосновеността на личния живот в сектора на електронните комуникации. С член 90 Комисията се задължава да прави оценка на регламента и да представя доклади от нея. В член 91 се определя датата на влизане в сила на регламента и преходния период по отношение на датата на неговото прилагане. 4. ОТРАЖЕНИЕ ВЪРХУ БЮДЖЕТА Конкретното отражение на предложението върху бюджета е свързано със задачите, възложени на Европейския надзорен орган по защита на данните, както е посочено в законодателните финансови обосновки, придружаващи настоящото предложение. Това отражение налага препрограмирането на функция 5 от финансовата перспектива. Предложението няма финансово отражение върху оперативните разходи. Законодателната финансова обосновка, придружаваща настоящото предложение за регламент, обхваща отражението върху бюджета както на самия регламент, така и на директивата относно защитата на данните в сферата на полицейските и съдебните дейности. 2012/0011 (COD) Предложение за РЕГЛАМЕНТ НА ЕВРОПЕЙСКИЯ ПАРЛАМЕНТ И НА СЪВЕТА относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни (общ регламент относно защитата на данните) (текст от значение за ЕИП) ЕВРОПЕЙСКИЯТ ПАРЛАМЕНТ И СЪВЕТЪТ НА ЕВРОПЕЙСКИЯ СЪЮЗ, като взеха предвид Договора за функционирането на Европейския съюз, и по-специално член 16, параграф 2 и член 114, параграф 1 от него, като взеха предвид предложението на Европейската комисия, след предаване на проекта на законодателния акт на националните парламенти, като взеха предвид становището на Европейския икономически и социален комитет[41], след консултация с Европейския надзорен орган по защита на данните[42], в съответствие с обикновената законодателна процедура, като имат предвид, че: (1) Защитата на физическите лица във връзка с обработването на лични данни е основно право. Член 8, параграф 1 от Хартата на основните права на Европейския съюз и член 16, параграф 1 от Договора постановяват, че всеки има право на защита на личните данни, отнасящи се до него. (2) Обработването на лични данни е предназначено да служи на хората; принципите и правилата относно защитата на физическите лица във връзка с обработването на личните им данни следва, независимо от гражданството или местопребиваването на физическите лица, да съблюдават техните основни права и свободи и по-конкретно правото на защита на личните им данни. Това следва да допринася за създаването на пространство на свобода, сигурност и правосъдие и на икономически съюз, за постигането на икономически и социален прогрес, за укрепването и сближаването на икономиките в рамките на вътрешния пазар, както и за благосъстоянието на хората. (3) Целта на Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 г. за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни[43] е да се хармонизира защитата на основните права и свободи на физическите лица по отношение на дейностите по обработване на данни и да се гарантира свободното движение на лични данни между държавите-членки. (4) Икономическата и социалната интеграция, произтичаща от функционирането на вътрешния пазар, доведе до съществено увеличение на трансграничните потоци от данни. Обменът на данни между икономическите и социалните, публичните и частните субекти в Съюза нарасна. Националните органи в държавите-членки са задължени от правото на Съюза да си сътрудничат и обменят лични данни, така че да са в състояние да изпълняват своите задължения или да изпълняват задачи от името на орган на друга държава-членка. (5) Бързото технологично развитие и глобализацията изправиха защитата на личните данни пред нови предизвикателства. Забележително нарасна мащабът на обмена и събирането на данни. Технологиите позволяват на частните дружества и публичните органи да използват лични данни в безпрецедентни мащаби, за да упражняват дейността си. Хората все по-често предоставят лична информация в публичното и световното пространство. Технологиите преобразиха както икономическия, така и социалния живот, като това налага да бъде улеснено още повече свободното движение на данни в Съюза и предаването на данни до трети държави и международни организации, като същевременно се гарантира високо ниво на защита на личните данни. (6) Тези промени изискват изграждането на стабилна и по-съгласувана рамка за защита на данните в Съюза, подкрепена от силно правоприлагане, като се има предвид значението на създаването на доверие, което ще позволи на цифровата икономика да се развива на вътрешния пазар. Физическите лица следва да имат контрол върху собствените си лични данни, а правната и практическата сигурност за физическите лица, икономическите оператори и публичните органи следва да бъдат засилени. (7) Целите и принципите на Директива 95/46/ЕО остават стабилни, но това не предотврати фрагментарния начин, по който се осъществява защитата на данни в Съюза, нито правната несигурност и широко разпространеното обществено схващане, че съществуват значителни рискове за защитата на физическите лица, свързани именно с дейностите онлайн. Разликите в осигуреното в държавите-членки ниво на защита на правата и свободите на физическите лица, особено на правото на защита на личните данни, във връзка с обработването на лични данни, могат да възпрепятстват свободното движение на лични данни в рамките на Съюза. Поради това тези разлики може да се превърнат в препятствие за осъществяването на икономически дейности на равнището на Съюза, да наруши конкуренцията и да възпрепятства органите при изпълнението на техните отговорности съгласно правото на Съюза. Тази разлика в нивата на защита се дължи на съществуването на разлики в изпълнението и прилагането на Директива 95/46/ЕО. (8) За да се гарантира съгласувано и високо ниво на защита на физическите лица, както и за да се премахнат препятствията пред потоците от лични данни, нивото на защита на правата и свободите на физическите лица във връзка с обработването на такива данни следва да бъде еквивалентно във всички държави-членки. Необходимо е да се гарантира съгласувано и еднакво прилагане в рамките на Съюза на правилата за защита на основните права и свободи на физическите лица във връзка с обработването на лични данни. (9) Ефективната защита на личните данни в рамките на Съюза изисква укрепване и подробно описание на правата на субектите на данните и задълженията на онези, които обработват и определят обработването на личните данни, но също и еквивалентни правомощия за наблюдение и гарантиране на спазването на правилата за защита на личните данни, както и еквивалентни санкции за нарушителите в държавите-членки. (10) В член 16, параграф 2 от Договора се възлага мандат на Европейския парламент и Съвета да установят правилата относно защитата на физическите лица във връзка с обработването на лични данни, както и правилата, засягащи свободното движение на лични данни. (11) За да се гарантира съгласувано ниво на защита на физическите лица в целия Съюз и да се попречи на различията да възпрепятстват свободното движение на данни в рамките на вътрешния пазар, е необходим регламент, който да осигурява правна сигурност и прозрачност на икономическите оператори, включително на микропредприятията, малките и средните предприятия, и да предостави на физическите лица във всички държави-членки еднакви по степен законово противопоставими права за субектите на данни и задължения и отговорности за администраторите и обработващите лични данни, както и да гарантира съгласувано наблюдение на обработването на лични данни, еквивалентни санкции във всички държави-членки и ефективно сътрудничество от страна на надзорните органи на различните държави-членки. С цел да се отчете особеното положение на микропредприятията, малките и средните предприятия в регламента са включени редица дерогации. Освен това институциите и органите на Съюза, държавите-членки и техните надзорни органи се приканват да вземат предвид специфичните нужди на микропредприятията, малките и средните предприятия при прилагането на настоящия регламент. Разбирането на понятието за микропредприятия, малки и средни предприятия следва да се основава на Препоръка 2003/361/ЕО на Комисията от 6 май 2003 г. относно определението за микропредприятията, малките и средните предприятия. (12) Защитата, осигурена с настоящия регламент, засяга физическите лица, независимо от тяхната националност или местоживеене, във връзка с обработването на лични данни. Що се отнася до обработването на данни, които засягат юридически лица, и по-специално предприятия, установени като юридически лица, включително наименованието и правната форма на юридическото лице и координатите за връзка на юридическото лице, никое лице не следва да търси защита по силата на настоящия регламент. Това следва да се прилага и когато наименованието на юридическото лице съдържа имената на едно или повече физически лица. (13) Защитата на физическите лица следва да бъде технологично неутрална и да не зависи от използваната техника, тъй като в противен случай това би създало сериозен риск от заобикаляне на закона. Защитата на физическите лица следва да се прилага за обработването на лични данни с автоматични средства, както и за ръчното им обработване, ако данните се съхраняват или са предназначени да се съхраняват в регистър на лични данни. Досиетата или групите от досиета, както и заглавните им страници, които не са структурирани съгласно специфични критерии, не следва да попадат в приложното поле на настоящия регламент. (14) Настоящият регламент не урежда въпроси по отношение на защитата на основните права и свободи или свободното движение на данни, свързани с дейности, които са извън приложното поле на правото на Съюза, нито урежда обработването на лични данни от институциите, органите, службите и агенциите на Съюза, уредено с Регламент (ЕО) № 45/2001[44], нито обработването на лични данни от държавите-членки, когато извършват дейности във връзка с общата външна политика и политиката на сигурност на Съюза. (15) Регламентът следва да не се прилага също така спрямо обработването на лични данни от физическо лице, когато тези данни са с изцяло личен или домашен характер, като например воденето на кореспонденция и поддържането на адресни указатели, и когато това обработване се извършва без никакви възмездни цели и следователно без никаква връзка с професионална или търговска дейност. Изключението не следва да се прилага също така за администратори или обработващи лични данни, които осигуряват средствата за обработване на лични данни за такива лични или домашни дейности. (16) Защитата на физическите лица във връзка с обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказателни санкции и свободното движение на такива данни са предмет на специален правен инструмент на равнището на Съюза. Следователно настоящият регламент не следва да се прилага спрямо дейностите по обработване на лични данни за такива цели. Обработването на данни от стана на публичните органи по силата на настоящия регламент обаче следва да бъде уредено с по-специфичен правен инструмент на равнището на Съюза (Директива ХХ/YYYY), когато данните се използват за предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказателни санкции. (17) Настоящият регламент следва да се прилага, без да се засяга прилагането на Директива 2000/31/ЕО, и по-специално разпоредбите относно междинните доставчици на услуги в членове 12—15 от посочената директива. (18) Настоящият регламент дава възможност при прилагане на неговите разпоредби да се взема предвид принципът на публичен достъп до официални документи. (19) Всякакъв вид обработване на лични данни в контекста на дейностите на място на установяване на администратор или на обработващ лични данни в Съюза следва да се извършва в съответствие с настоящия регламент, независимо от това дали самото обработване се извършва в рамките на Съюза или не. Установяването предполага ефективното и действителното упражняване на дейност по силата на стабилни договорености. Правната форма на тези договорености, независимо дали става въпрос за клон или дъщерно дружество с правосубектност, не е определящ фактор в това отношение. (20) За да се гарантира, че физическите лица не са лишени от защитата, на която те имат право по силата на настоящия регламент, обработването на лични данни на субекти на данни с местоживеене в Съюза от администратор, който не е установен в Съюза, следва да подлежи на разпоредбите на настоящия регламент в случаите, когато дейностите по обработване на данни са свързани с предлагането на стоки или услуги на такива субекти на данни или с наблюдение на поведението на такива субекти на данни. (21) С цел да се определи дали дадена дейност по обработване може да се смята за „наблюдение на поведението“ на субектите на данни следва да се установи дали физическите лица са следени в интернет посредством техники за обработване на данни, които се състоят в създаването на „профил“ на дадено физическо лице, по-специално с цел да се вземат решения относно него или да се анализират или предугаждат неговите лични предпочитания, поведение и начин на мислене. (22) Когато националното право на дадена държава-членка се прилага по силата на международното публично право, настоящият регламент се прилага също спрямо администратор, който не е установен в Съюза, като например дипломатическа мисия на държава-членка или консулска служба. (23) Принципите на защита на данните следва да се прилагат по отношение на всяка информация, която се отнася до идентифицирано лице или лице, което може да бъде идентифицирано. За да се определи дали може дадено лице може да бъде идентифицирано, следва да се вземат предвид всички средства, с които е вероятно да си послужи администраторът или което и да е друго лице за идентифицирането на даденото физическо лице. Принципите на защита на данните не следва да се прилагат по отношение на данни, които са анонимизирани по такъв начин, че субектът на данните да не може повече да бъде идентифициран. (24) При използването на онлайн услуги физическите лица могат да са свързани с онлайн идентификатори, предоставени от техните устройства, приложения, инструменти и протоколи, като адресите по интернет протокол (IP адреси) или идентификаторите, наричани „бисквитки“. По този начин могат да бъдат оставени следи, които, съчетани с уникалните идентификатори и с друга информация, получена от сървърите, могат да се използват за създаването на профили на физическите лица и за тяхното идентифициране. От това следва, че идентификационните номера, данните за местоположението, онлайн идентификаторите или други специфични фактори като такива не е трябва непременно да се считат за лични данни при всички обстоятелства. (25) Съгласие следва да се дава изрично по всеки подходящ начин, позволяващ даването на свободно изразено, конкретно и информирано указание за волята на субекта на данни въз основа на потвърждаващо действие от страна на субекта на данни, което да гарантира, че физическите лица съзнават, че дават съгласието си за обработването на личните им данни, включително чрез отбелязването с отметка в поле при посещението на уебсайт в интернет или всякакво друго указание или поведение, което ясно показва, че субектът на данни е съгласен с предложеното обработване на неговите лични данни. Мълчанието или липсата на действие следователно не следва да представлява съгласие. Съгласието следва да обхваща всички дейности по обработване, извършени за една и съща цел или цели. Ако съгласието на субекта на данни трябва да се даде след искане по електронен път, искането трябва да е ясно, сбито и да не нарушава излишно използването на услугата, за която се предвижда. (26) Личните данни, отнасящи се до здравето, следва да обхващат по-специално всички данни, свързани със здравословното състояние на субекта на данните, информацията относно регистрацията на физическото лице за целите на предоставянето на здравно обслужване, информация за плащанията или за правото на ползване на здравно обслужване от лицето, номер, символ или характеристика, присвоени на дадено физическо лице с цел уникалното му идентифициране за здравни цели; всякаква информация за лицето, събрана в хода на предоставянето на здравно обслужване на това лице; информация, получена в резултат от изследването или прегледа на част от тялото или на телесно вещество, включително биологични проби; идентифициране на дадено лице като доставчик на здравно обслужване на физическото лице; или всякаква информация относно например заболяване, увреждане, риск от заболяване, медицинска история, клинично лечение или текущото физиологично или биомедицинско състояние на субекта на данните, независимо от източника на информация, напр. лекар или друг медицински специалист, болница, медицинско изделие или ин витро диагностично изследване. (27) Основното място на установяване на администратор в Съюза следва да се определя съгласно обективни критерии и следва да означава ефективното и действително упражняване на управленски дейности, определящи основните решения по отношение на целите, условията и средствата за обработване на данни по силата на стабилни договорености. Този критерий не следва да зависи от това дали обработването на лични данни се извършва в действителност на това място; наличието и употребата на технически средства и технологии за обработване на лични данни или дейностите по обработване не представляват сами по себе си такова основно място на установяване и следователно не са определящи критерии за понятието „основно място на установяване“. Основното място на установяване на обработващия лични данни следва да бъде мястото, където се намира главното му управление в Съюза. (28) Дадена група предприятия следва да обхваща контролиращо предприятие и контролираните от него предприятия, като контролиращото предприятие следва да бъде предприятие, което може да упражнява доминиращо влияние върху другите предприятия въз основа на това, че има например право на собственост или финансово участие, или въз основа на правилата за неговото управление или правомощието да прилага правила за защита на личните данни. (29) На децата се полага специална защита на техните лични данни, тъй като те не съзнават така добре рисковете, последиците, гаранциите и своите права, свързани с обработването на лични данни. За да се определи кога едно физическо лице е дете, регламентът следва да използва определението, дадено в Конвенцията на Обединените нации за правата на детето. (30) Всяко обработване на лични данни следва да бъде законосъобразно, добросъвестно и прозрачно по отношение на засегнатите физически лица. По-специално конкретните цели, за които се обработват данните, следва да бъдат ясни и законни и определени към момента на събирането на данните. Данните следва да бъдат подходящи, релевантни и ограничени до минимума, необходим за целите, за които данните се обработват; това налага, по-специално, да се гарантира, че събраните данни не надхвърлят необходимото и че срокът, за който данните се съхраняват, е ограничен до строг минимум. Личните данни следва да се обработват единствено ако целта на обработването не може да бъде постигната чрез други средства. Следва да бъдат предприети всички разумни мерки, за да се гарантира, че неточните лични данни се коригират или заличават. С цел да се гарантира, че срокът на съхранение на данните не е по-дълъг от необходимия, администраторът следва да установи срокове за тяхното заличаване или периодичен преглед. (31) За да бъде обработването законосъобразно, личните данни следва да бъдат обработвани въз основа на съгласието на съответното лице или на друго законно основание, установено със закон или в настоящия регламент, или в друг закон на Съюза или на държава-членка, посочен в настоящия регламент. (32) Когато обработването се извършва въз основа на съгласието на субекта на данни, администраторът следва да носи тежестта на доказване, че субектът на данни е дал съгласието си за операцията по обработване. По-специално в случай на писмена декларация по друг въпрос с гаранциите следва да се гарантира, че субектът на данни е информиран за това, че дава съгласието си и в каква степен го дава. (33) За да се гарантира свободното съгласие, следва да бъде разяснено, че съгласието не дава валидно правно основание, когато лицето няма истински и свободен избор и впоследствие не е в състояние да откаже или да оттегли съгласието си, без това да доведе до вредни последици за него. (34) Съгласието не следва да представлява валидно правно основание за обработването на лични данни, когато е налице очевидна неравнопоставеност между субекта на данни и администратора. Такъв по-специално е случаят, когато субектът на данните е в положение на зависимост от администратора, например когато работодателят обработва личните данни на свой служител в контекста на трудово правоотношение. Когато администраторът е публичен орган, може да има неравнопоставеност само при особени операции по обработване на данни, в които публичният орган може да наложи задължение по силата на своите публични правомощия и съгласието не може да се счита за свободно изразено, като се има предвид интересът на субекта на данните. (35) Обработването на данни следва да е законосъобразно, когато то е необходимо в контекста на договор или при намерение за сключване на договор. (36) Когато обработването се извършва в съответствие със законово задължение, наложено на администратора, или когато обработването е необходимо за изпълнението на задача от обществен интерес или при упражняване на официални правомощия, за обработването следва да има правно основание в правото на Съюза или в правото на държава-членки, което отговаря на изискванията на Хартата на основните права на Европейския съюз по отношение на ограниченията на правата и свободите. Също така законодателството на Съюза или националното законодателство следва да определи дали администраторът, изпълняващ задача от обществен интерес или упражняващ официални правомощия, следва да бъде публична администрация или друго физическо лице или юридическо лице, субект на публичното или частното право, като например професионално сдружение. (37) Обработването на лични данни следва също да се счита за законосъобразно, когато е необходимо, за да се защити интерес от основно значение за живота на субекта на данните. (38) Законните интереси на даден администратор могат да предоставят правно основание за обработването, при условие че интересите или основните права и свободи на съответния субект на данни нямат преимущество. За това е необходима внимателна оценка, особено когато субектът на данните е дете, като се има предвид, че на децата се полага специална защита. Субектът на данни следва да има право на възражение срещу обработването на основание своето конкретно положение и безплатно. За да се гарантира прозрачността, администраторът следва да бъде задължен изрично да информира субекта на данни относно преследваните законни интереси и относно правото на възражение, и също така да бъде задължен да документира тези законни интереси. Като се има предвид, че е задължение на законодателя да уреди със закон правното основание за обработването на данни от публичните органи, това правно основание не следва да се прилага спрямо обработването на данни от публичните органи при изпълнението на техните задачи. (39) Обработването на данни в степен, която е строго необходима за целите на гарантирането на мрежовата и информационната сигурност, т.е. способността на дадена мрежа или информационна система да издържа, на дадено равнище на доверие, на случайни събития или неправомерни или злонамерени действия, които повлияват на наличността, автентичността, целостта и поверителността на съхраняваните или предаваните данни, както и на сигурността на свързаните услуги, предлагани или достъпни посредством тези мрежи и системи, от страна на публични органи, екипи за незабавно реагиране при компютърни инциденти, екипи за реагиране при инциденти с компютърната сигурност, доставчици на мрежи и услуги за електронни съобщения и доставчици на технологии и услуги за сигурност, представлява законен интерес на съответния администратор на данни. Това може да включва например предотвратяването на непозволен достъп до електронни съобщителни мрежи, разпространение на зловреден софтуер, спиране на атаки с цел отказване на услугите и вреди за компютрите и електронните съобщителни системи. (40) Обработването на лични данни за други цели следва да бъде разрешено единствено когато е съвместимо с целите, за които първоначално са събрани данните, по специално когато обработването е необходимо за исторически, статистически или научноизследователски цели. Ако другата цел не е съвместима с първоначалната, за която са събрани данните, администраторът следва да получи съгласието на субекта на данните за тази допълнителна цел или следва да основе обработването на друго законно основание за законосъобразно обработване, особено когато това е предвидено в правото на Съюза или в правото на държавата-членка, което се прилага спрямо администратора. Във всеки случай, прилагането на принципите, установени с настоящия регламент, и по-специално информирането на субекта на данните относно тези други цели, следва да бъдат гарантирани. (41) На личните данни, които по своето естество са чувствителни и уязвими по отношение на основните права или правото на неприкосновеност на личния живот, се полага специална защита. Такива данни не трябва да се обработват, освен ако субектът на данните не даде изричното си съгласие за това. Дерогации от тази забрана следва обаче да бъдат изрично предвидени по отношение на специфични нужди, по-специално когато обработването се извършва в хода на законните дейности на някои сдружения или фондации, чиято цел е да се позволи упражняването на основните свободи. (42) Дерогации от забраната за обработване на чувствителни категории данни следва също да бъдат разрешени, ако са предвидени със закон и при спазването на подходящи гаранции за защита на личните данни и на други основни права, когато това е оправдано поради съображения от обществен интерес, и по-специално за здравни цели, включително за целите на общественото здраве, социалната закрила и управлението на здравни служби, особено с цел да се гарантира качеството и рентабилността на използваните процедури за уреждане на искове за обезщетения и услуги в системата на здравното осигуряване или за исторически, статистически и научноизследователски цели. (43) Освен това обработването на лични данни от официални органи за постигането на цели, определени в конституционното право или в международното публично право, на официално признати религиозни сдружения се извършва по съображения от обществен интерес. (44) Когато демократичната система в дадена държава-членка предполага по време на предизборна дейност политическите партии да събират данни за политическите възгледи на гражданите, обработването на тези данни може да бъде разрешено по съображения от обществен интерес, при условие че са предвидени подходящи гаранции. (45) Ако обработваните от администратора данни не му позволяват да идентифицира дадено физическо лице, администраторът на данни не следва да е задължен да придобива допълнителна информация, за да идентифицира субекта на данните единствено с цел спазване на някоя от разпоредбите на настоящия регламент. В случай на искане за достъп администраторът следва да има право да поиска от субекта на данни повече информация, която да му позволи да намери личните данни, които лицето търси. (46) Принципът на прозрачност изисква всяка информация както за обществеността, така и за субекта на данни, да бъде лесно достъпна и разбираема и да се използват ясни и недвусмислени формулировки. Това важи в особена степен за ситуации, като например онлайн рекламите, където увеличеният брой участници и технологичната сложност на тази практика трудно позволяват на субекта на данни да знае и да разбира дали се събират свързани с него лични данни, от кого и с каква цел. Като се има предвид, че на децата се полага специална защита, когато обработването е насочено специално към дете, всяка информация и комуникация следва да се предоставя с такива ясни и недвусмислени формулировки, които да бъдат лесноразбираеми за детето. (47) Следва да бъдат осигурени условия за улесняване на упражняването на правата на субектите на данни, предоставени с настоящия регламент, включително механизми за безплатно искане на достъп до данни, коригиране, заличаване и упражняване на правото на възражение. Администраторът следва да бъде задължен да отговори на исканията на субекта на данни в рамките на фиксиран срок и да посочи причините, в случай че не изпълни искането на субекта на данни. (48) Принципите на добросъвестно и прозрачно обработване изискват субектът на данни да бъде информиран, по-специално за наличието на операция по обработване и нейната цел, продължителността на съхранение на данните, наличието на право на достъп, коригиране или заличаване и на правото да се подават жалби. Когато от субекта на данни се събират данни, той следва да бъде информиран и относно това дали е задължен да предостави данните и относно последствията, ако не предостави тези данни. (49) Информацията за обработването на лични данни, свързани със субекта на данните, следва да му се предоставя в момента на събирането или, когато данните не са събрани от субекта на данните, в рамките на разумен срок, в зависимост от обстоятелствата в конкретния случай. В случаите, когато данните могат да бъдат законно разкрити на друг получател, субектът на данните следва да бъде информиран, когато данните се разкриват за първи път на получателя. (50) Не е необходимо обаче да се налага такова задължение, когато субектът на данни вече разполага с тази информация, когато записването или разкриването на данните е изрично предвидено със закон или когато предоставянето на информация на субекта на данни се окаже невъзможно или изисква непропорционално големи усилия. Такъв би бил случаят, по-специално когато обработването на данни се извършва за исторически, статистически или научноизследователски цели; в този контекст може да бъде взет предвид броят на субектите на данните, актуалността на данните и всички приети компенсаторни мерки. (51) Всяко лице следва да има право на достъп до събраните данни, които го засягат, и да упражнява това право лесно, за да бъде осведомено и да провери законосъобразността на обработването. Поради това всеки субект на данни следва да има правото да е запознат и да получава информация, по-специално относно това за какви цели се обработват данните, за какъв срок, кои са получателите на данните, каква е логиката на данните, които се обработват, и какви биха могли да бъдат последствията от такова обработване, най-малкото когато става дума за създаване на профили. Това право не следва да влияе неблагоприятно върху правата и свободите на други лица, включително върху търговската тайна или интелектуалната собственост, и по-специално върху авторското право, закрилящо софтуера. Тези съображения обаче не следва да водят до отказ на всякаква информация на съответния субект на данни. (52) Администраторът следва да използва всички разумни мерки за проверка на самоличността на субекта на данни, който иска достъп, по-специално по отношение на онлайн услугите и онлайн идентификаторите. Администраторът не следва да запазва лични данни с единствената цел да може да отговори на потенциални искания. (53) Всяко лице следва да има право на коригиране на личните данни, свързани с него, както и правото „да бъде забравен“, когато обработването на тези данни не е в съответствие с настоящия регламент. По-специално, субектите на данни следва да имат право личните им данни да се заличават и да не бъдат обработвани повече, когато данните престанат да бъдат необходими с оглед на целите, за които са били събрани или обработвани по-друг начин, когато субектите на данните са оттеглили своето съгласие за обработването им, когато възразяват срещу обработването на лични данни, свързани с тях, или когато обработването на личните им данни по друг начин не е в съответствие с настоящия регламент. Това право е особено важно, когато субектът на данни е дал съгласието си като дете, когато не е осъзнавал напълно рисковете, свързани с обработването, и впоследствие желае да премахне такива лични данни, особено когато са в Интернет. По-нататъшното запазване на данните обаче следва да бъде позволено, когато е необходимо за исторически, статистически и научноизследователски цели, по съображения от обществен интерес в областта на общественото здраве, за упражняване на правото на свобода на изразяване, когато се изисква по закон или когато съществува причина да бъде ограничено обработването на данните вместо данните да бъдат заличени. (54) С цел утвърждаване на „правото да бъдеш забравен“ в онлайн средата, правото на заличаване следва също да бъде разширено, така че администраторът, който е направил личните данни обществено достъпни, следва да бъде задължен да уведоми третите страни, които обработват такива данни, че субектът на данните е поискал от него заличаването на всякакви връзки към тези лични данни или на техните копия или реплики. С цел да осигури тази информация администраторът следва да предприеме всички разумни мерки, в това число технически мерки, по отношение на данните, за чието публикуване носи отговорност. Що се отнася до публикуването на лични данни от трети страни, администраторът следва да се счита за отговорен за публикуването им, когато е разрешил на третата страна това публикуване. (55) С цел допълнително да се засилят контролът върху данните и правото на достъп, субектите на данни следва да имат право, когато личните данните се обработват с електронни средства и в структуриран и широко използван формат, да получат копие от свързаните с тях данни също в широко използван електронен формат. На субекта на данни следва също така да бъде позволено да предава данните, които е предоставил, от едно автоматизирано приложение, като например социална мрежа, на друго. Това следва да се прилага, когато субектът на данни е предоставил данните на система за автоматизирано обработване въз основа на съгласието си или при изпълнението на договор. (56) В случаите, когато личните данни биха могли да бъдат законно обработвани за защита на жизненоважните интереси на субекта на данните или по съображения, свързани с обществен интерес, с упражняването на официални правомощия или със законните интереси на администратора, всеки субект на данни следва, при все това, да има право на възражение срещу обработването на данни, свързани с него. Администраторът носи тежестта на доказване, че неговите законни интереси имат преимущество пред интересите или основните права и свободи на субекта на данни. (57) Когато се обработват лични данни за целите на директния маркетинг, субектът на данните следва да има право на възражение срещу такова обработване безплатно и по начин, който може лесно и ефективно да се използва. (58) Всяко физическо лице следва да има право да не подлежи на мярка, която се основава на създаването на профил чрез автоматизирано обработване. Въпреки това такава мярка следва да бъде позволена, когато е изрично разрешена от закона, когато се извършва се в хода на сключването или изпълнението на договор или когато субектът на данни е дал съгласието си. Във всеки случай такова обработване следва да подлежи на подходящи гаранции, включително конкретното информиране на субекта на данните и правото на получаване на човешка намеса, като такава мярка не следва да се отнася за дете. (59) Ограничения на специалните принципи и на правото на информация, достъп, коригиране и заличаване или на правото на преносимост на данните, на възражение, на мерки, основани на създаване на профили, както и уведомяването на субект на данни за нарушение на защитата на данни и на определени, свързани с това, задължения на администраторите, могат да бъдат налагани от правото на Съюза или на държава-членка, доколкото това е необходимо и пропорционално в едно демократично общество с оглед на защитата на обществената сигурност, включително защитата на живота на хората, по-специално при природни или предизвикани от човека бедствия, предотвратяването, разследването и наказателното преследване на престъпления или нарушения на етичните кодекси при регламентираните професии, други обществени интереси на Съюза или на държава-членка, и по-специално на важен икономически или финансов интерес на Съюза или на държава-членка, или за защитата на субекта на данни или на правата и свободите на други лица. Тези ограничения следва да бъдат в съответствие с изискванията, определени в Хартата за основните права на Европейския съюз и в Европейската конвенция за защита на правата на човека и основните свободи. (60) Следва да бъдат установени цялостната отговорност и задължения на администратора за всяко обработване на лични данни, извършено от администратора или от негово име. По-специално, администраторът следва да гарантира и да бъде длъжен да докаже съответствието на всяка операция по обработване с настоящия регламент. (61) Защитата на правата и свободите на субектите на данни във връзка с обработването на лични данни изисква предприемането на подходящи технически и организационни мерки както в момента на разработване на обработването, така и в момента на самото обработване, за да се гарантира, че са изпълнени изискванията на настоящи регламент. С цел да се гарантира и докаже съответствие с настоящия регламент администраторът следва да приеме вътрешни политики и да предприеме подходящи мерки, които отговарят по-специално на принципите за защита на данните още при проектирането и по подразбиране. (62) Защитата на правата и свободите на субектите на данни, както и отговорността и задълженията на администраторите и обработващите лични данни, а също и по отношение на наблюдението и мерките от страна на надзорните органи, изискват ясно определяне на отговорностите съгласно настоящия регламент, включително когато администраторът определя целите, условията и средствата на обработването съвместно с други администратори или когато дадена операция по обработване се извършва от името на даден администратор. (63) Когато даден администратор, който не е установен в Съюза, обработва лични данни на субекти на данни с местоживеене в Съюза и дейностите му по обработването са свързани с предлагането на стоки или услуги на такива субекти на данни или с наблюдението на тяхното поведение, администраторът следва да определи представител, освен ако не е установен в трета държава, която гарантира адекватно ниво на защита или е малко или средно предприятие или обществен орган или структура, или когато администраторът предлага само понякога стоки и услуги на такива субекти на данни. Представителят следва да действа от името на администратора, а надзорният орган може да се обръща към него. (64) С цел да се определи дали даден администратор предоставя само понякога стоки и услуги на субекти на данни с местоживеене в Съюза следва да се установи дали от цялостната дейност на администратора личи, че предлагането на стоки и услуги на такива субекти на данни е вторична дейност спрямо основните му дейности. (65) За да докаже съответствие с настоящия регламент, администраторът или обработващият лични данни следва да документира всяка операция по обработване. Всеки администратор и обработващ лични данни следва да бъде длъжен да си сътрудничи с надзорния орган и да му предоставя тази документация при поискване, за да може да бъде използвана за наблюдение на тези операции по обработване. (66) С цел да се поддържа сигурността и да се предотврати обработване, което е в нарушение на настоящия регламент, администраторът или обработващият лични данни следва да извърши оценка на рисковете, свързани с обработването, и да предприеме мерки за намаляване на тези рискове. Тези мерки следва да гарантират подходящо ниво на сигурност, като се вземат предвид достиженията на техническия прогрес и разходите за тяхното внедряване, по отношение на рисковете и естеството на личните данни, които следва да бъдат защитени. При установяването на технически стандарти и организационни мерки с оглед гарантиране на сигурността на обработването Комисията следва да насърчава техническата неутралност, оперативната съвместимост и иновациите и, когато е целесъобразно, сътрудничеството с трети държави. (67) Нарушението на защитата на данни може, ако не бъде овладяно по подходящ и навременен начин, да причини на засегнатото физическо лице значителни икономически загуби или социални вреди, включително измами с фалшива самоличност. Поради това, веднага след като администраторът установи наличието на такова нарушение на сигурността, той следва да уведоми за него надзорния орган без излишно забавяне и, когато това е осъществимо, в срок от 24 часа. Когато уведомлението не е подадено в срок от 24 часа, то следва да бъде придружено от обяснение относно причините за забавянето. Физическите лица, за чиито лични данни подобни нарушения на сигурността могат да имат неблагоприятни последици, следва да бъдат уведомени без излишно забавяне с цел предприемане на необходимите предпазни мерки. Следва да се счита, че дадено нарушение на сигурността има неблагоприятни последици за личните данни или неприкосновеността на личния живот на субекта на данните, ако то може да доведе например до кражба на самоличност или измама с фалшива самоличност, телесна повреда, значително накърняване на достойнството или на репутацията. В уведомлението следва да се посочва естеството на нарушението на сигурността на личните данни, както и да се дават препоръки на засегнатото физическо лице за това как да ограничи потенциалните неблагоприятни последици. Субектите на данни следва да бъдат уведомявани веднага щом това е разумно осъществимо и в тясно сътрудничество с надзорния орган, като се спазват насоките, предоставени от него или от други релевантни органи (напр. правоприлагащи органи). Така например, възможността субектите на данните да ограничат непосредствения риск от вреди би наложила незабавното уведомяване на субектите на данните, докато необходимостта от предприемането на целесъобразни мерки срещу продължаването на нарушението на сигурността или срещу подобни нарушения на сигурността на лични данни би оправдало по-дълги срокове. (68) С цел да се определи дали надзорният орган и субектът на данните са били уведомени без излишно забавяне за нарушение на сигурността на лични данни, следва да се установи дали администраторът е изготвил и предприел необходимите технически и организационни мерки за защита, за да установи веднага дали е налице нарушение на сигурността на лични данни и да информира незабавно за това надзорния орган и субекта на данните, преди да са нанесени вреди на личните и икономическите интереси, като се отчита по-специално естеството и тежестта на нарушението на сигурността на личните данни и резултатите и неблагоприятните последици от него за субекта на данните. (69) При установяване на подробни правила за формàта и процедурите, приложими за уведомяването за нарушения на сигурността на личните данни, следва да се отдаде необходимото внимание на обстоятелствата, свързани с нарушението на сигурността, включително дали личните данни са били защитени чрез подходящи технически мерки за защита, ефективно ограничаващи вероятността за измама с фалшива самоличност или други форми на злоупотреба. Освен това при такива правила и процедури следва да се отчитат законните интереси на правоприлагащите органи в случаи, когато ранното разкриване може ненужно да попречи при разследването на обстоятелствата, свързани с нарушението на сигурността. (70) В Директива 95/46/ЕО се предвижда общо задължение за уведомяване на надзорните органи относно обработването на лични данни. Това задължение създава административна и финансова тежест, но невинаги допринася за подобряването на защитата на личните данни. Ето защо това общо задължение за безразборно уведомяване следва да бъде премахнато и заменено с ефективни процедури и механизми, които са съсредоточени върху тези операции по обработване, за които има вероятност да създадат конкретни рискове за правата и свободите на субектите на данни поради своето естество, обхват или цели. В такива случаи администраторът или обработващият лични данни следва да извърши оценка на въздействието върху защитата на данните, която да включва по-специално предвидените мерки, гаранциите и механизмите, с които се осигурява защитата на личните данни и се доказва съответствието с настоящия регламент. (71) Това следва да се прилага по-специално за новосъздадени широкомащабни регистри на лични данни, с които се цели обработването на значителни количества лични данни на регионално, национално или наднационално равнище и които могат да засегнат голям брой субекти на данни. (72) При определени обстоятелства може да бъде разумно и рентабилно предметът на дадена оценка на въздействието върху защитата на данните да обхваща повече от един проект, например когато обществени органи или структури възнамеряват да създадат общо приложение или платформа за обработване на данни или когато няколко администратора планират внедряването на общо приложение или среда за обработване на данните в цял промишлен сектор или сегмент или за широко използвана хоризонтална дейност. (73) Оценките за въздействието върху защитата на личните данни следва да се извършват от обществен орган или обществена структура, ако такава оценка вече не е направена в контекста на приемането на националния закон, на чието основание общественият орган или обществената структура изпълнява своите задачи и който урежда въпросната особена операция или набор от операции по обработване на данни. (74) Когато оценката на въздействието върху защитата на данните показва, че операциите по обработване имат висока степен на конкретни рискове за правата и свободите на субектите на данни, като например изключване на физически лица от ползването на тяхно право или поради използването на специално нови технологии, надзорният орган следва да бъде консултиран, преди започването на операциите, относно рисково обработване, което може да не е в съответствие с настоящия регламент, и да направи предложения за коригиране на такава ситуация.Такива консултации могат да се извършват също и в хода на изготвянето на мярка от националния парламент или на мярка, основаваща се на такава законодателна мярка, в която се определя характерът на обработването и се установяват подходящи гаранции. (75) В случаите, когато обработването на данни се извършва в публичния сектор или когато в частния сектор обработването се извършва от голямо предприятие или когато основните му дейности, независимо от размера на предприятието, включват операции по обработване, които изискват редовно и систематично наблюдение, дадено лице следва да подпомага администратора или обработващия лични данни при наблюдението на вътрешното съответствие с настоящия регламент. Тези длъжностни лица по защита на данните, независимо от това дали са наети от администратора, следва да бъдат в състояние да изпълняват своите задължения и задачи независимо. (76) Сдруженията или други структури, представляващи категории администратори, следва да се насърчават да изготвят кодекси за поведение, в рамките на настоящия регламент, за да се улесни ефективното прилагане на настоящия регламент, като се вземе предвид спецификата на обработването на данни в определени сектори. (77) За да се повишат прозрачността и съответствието с настоящия регламент, следва да се насърчава създаването на механизми за сертифициране, както и на печати и маркировки за защита на данните, които позволяват на субектите на данни бързо да оценяват нивото на защита на данните на съответните продукти и услуги. (78) Трансграничните потоци от лични данни са необходими за разширяването на международната търговия и международното сътрудничество. Нарастването на тези потоци създаде нови предизвикателства и опасения по отношение на защитата на личните данни. Когато обаче лични данни се предават от Съюза на трети държави или на международни организации, нивото на защита на физическите лица, гарантирано в Съюза с настоящия регламент, не следва да бъде излагано на риск. Във всеки случай предаването на данни на трети държави може да се извършва единствено в пълно съответствие с разпоредбите на настоящия регламент. (79) Настоящият регламент не засяга разпоредбите на международните споразумения, сключени между Съюза и трети държави, с които се урежда предаването на лични данни, включително подходящите гаранции за субектите на данни. (80) Комисията може да реши, с действие по отношение на целия Съюз, че определени трети държави или територия или обработващ данни сектор в трета държава, или международна организация предоставят адекватно ниво на защита на данните, с което се осигуряват правна сигурност и еднообразие навсякъде в Съюза по отношение на третите държави или международни организации, за които се смята, че предоставят такова ниво на защита. В тези случаи предаването на лични данни на тези държави може да се извършва, без да е необходимо допълнително разрешение. (81) В съответствие с основните ценности, въз основа на които е създаден Съюзът, по-специално защитата на правата на човека, в оценката си на третата държава Комисията следва да вземе предвид как се зачитат в дадената трета държава принципите на правовата държава, достъпът до правосъдие, както и международните норми и стандарти за правата на човека. (82) Комисията може по същия начин да приеме, че дадена трета държава или територия или обработващ данни сектор в трета държава, или дадена международна организация не предоставя адекватно ниво на защита на данните. В резултат на това предаването на лични данни на тази трета държава следва да бъде забранено. В такъв случай следва да се предвиди провеждането на консултации между Комисията и такива трети държави или международни организации. (83) При липсата на решение относно адекватността администраторът или обработващият лични данни следва да предприеме мерки, за да компенсира липсата на защита в дадена трета държава чрез подходящи гаранции за субекта на данните. Такива подходящи гаранции може да се състоят от използването на задължителни фирмени правила, стандартни клаузи за защита на данните, приети от Комисията, стандартни клаузи за защита на данните, приети от надзорния орган или договорни клаузи, разрешени от надзорния орган, или други уместни и пропорционални мерки, оправдани с оглед на всички обстоятелства около дадена операция по предаване на данни или даден набор от операции по предаване на данни и когато са разрешени от надзорен орган. (84) Възможността администраторът или обработващият лични данни да използва стандартни клаузи за защита на данните, приети от Комисията или от надзорен орган, не следва да възпрепятства администраторите или обработващите лични данни да включат стандартни клаузи за защита на данните в договор с по-голям обхват, нито да добавят други клаузи, доколкото същите не противоречат пряко или косвено на стандартните договорни клаузи, приети от Комисията или от надзорен орган, нито засягат основните права или свободи на субектите на данни. (85) Дадена корпоративна група следва да може да използва одобрени задължителни фирмени правила за своите международни предавания на данни от Съюза до организации в същата корпоративна група предприятия, доколкото такива фирмени правила включват основни принципи и противопоставими права, за да се осигурят подходящи гаранции за предаването или категориите предавания на лични данни. (86) Следва да се предвиди възможността да се предават данни при определени обстоятелства, когато субектът на данните е дал съгласието си, когато предаването е необходимо във връзка с договор или правна претенция, когато това се налага поради важно основание от обществен интерес, предвидено в правото на Съюза или на държава-членка, или когато предаването се извършва от регистрационна система, създадена със закон и предназначена за справки от обществеността или от лица, които имат законен интерес. В този случай предаването не следва да включва всички данни или всички категории от данни, съдържащи се в регистрационната система, а когато регистрационната система е предназначена за справка от лица, които имат законен интерес, предаването следва да се извършва единствено по искане на тези лица или ако те са получателите. (87) Тези дерогации следва да се прилагат по-специално за предаването на данни, което се изисква и е необходимо за защитата на важно основание от обществен интерес, например при международно предаване на данни между органи по защита на конкуренцията, данъчни или митнически власти, органи за финансов надзор, между служби по социална сигурност или на компетентни органи по предотвратяването, разследването, разкриването и наказателното преследване на престъпления. (88) Предаване на данни, което не може да се окачестви като често или масово, също може да бъде възможно за целите на законните интереси на администратора или обработващия данни, когато са оценени всички обстоятелства около предаването на данните. За целите на обработването на данни за исторически, статистически и научноизследователски цели следва да се вземат предвид основателните очаквания на обществото за повишаване на познанието. (89) Във всеки случай, когато Комисията не е взела решение относно адекватното ниво на защита в дадена трета държава, администраторът или обработващият данни следва да използва решения, които гарантират на субектите на данни, че ще продължат да се ползват от основните права и гаранциите по отношение на обработването на техните данни в Съюза след предаването на тези данни. (90) Някои трети държави прилагат закони, подзаконови актове и други законодателни инструменти, които имат за цел пряко да регулират дейностите по обработване на данни на физически и юридически лица под юрисдикцията на държавите-членки. Извънтериториалното прилагане на тези закони, подзаконови актове и други законодателни инструменти може да бъде в нарушение на международното право и да възпрепятства осигуряването на защитата на физическите лица, гарантирана в Съюза с настоящия регламент. Предаванията на данни следва да са разрешени само когато са изпълнени условията на настоящия регламент относно предаването на данни на трети държави. Това може, наред с другото, да бъде случая, когато разкриването е необходимо поради важно основание от обществен интерес, признато в правото на Съюза или на държава-членка, на което е подчинен администраторът. Условията, при които е налице важно основание от обществен интерес следва да бъдат допълнително посочени в делегиран акт на Комисията. (91) Трансграничното движение на лични данни може да увеличи риска физическите лица да не могат да упражнят правата на защита на данните, за да се защитят срещу неправомерна употреба или разкриване на тези данни. В същото време надзорните органи могат да бъдат изправени пред невъзможността да разглеждат жалби или да провеждат разследвания, свързани с дейности, извършвани извън техните граници. Техните усилия за сътрудничество в трансграничния контекст могат да бъдат възпрепятствани също от недостатъчни правомощия за предотвратяване или защита, различаващи се правни режими, както и от практически пречки като ограничения на ресурсите. Ето защо е необходимо да се насърчава по-тясното сътрудничество между надзорните органи по защита на данните, за им се помогне да обменят информация и да извършват разследвания съвместно със своите международни партньори. (92) Създаването в държавите-членки на надзорни органи, които изпълняват функциите си при пълна независимост, е съществен елемент от защитата на физическите лица във връзка с обработването на личните им данни. Държавите-членки могат да създават повече от един надзорен орган,