Návrh NAŘÍZENÍ EVROPSKÉHO PARLAMENTU A RADY o ochraně fyzických osob v souvislosti se zpracováváním osobních údajů a o volném pohybu těchto údajů (obecné nařízení o ochraně údajů) /* COM/2012/011 final - 2012/0011 (COD) */





DŮVODOVÁ ZPRÁVA 1. SOUVISLOSTI NÁVRHU Tato důvodová zpráva blíže představuje navrhovaný nový právní rámec pro ochranu osobních údajů v EU, jak stanoví sdělení KOM(2012) 9 v konečném znění[1]. Navrhovaný nový právní rámec sestává ze dvou legislativních návrhů: – návrhu nařízení Evropského parlamentu a Rady o ochraně fyzických osob v souvislosti se zpracováváním osobních údajů a o volném pohybu těchto údajů (obecného nařízení o ochraně údajů) a – návrhu směrnice Evropského parlamentu a Rady o ochraně fyzických osob v souvislosti se zpracováváním osobních údajů příslušnými orgány za účelem prevence, vyšetřování, odhalování či stíhání trestných činů nebo výkonu trestů a o volném pohybu těchto údajů[2]. Tato důvodová zpráva se týká legislativního návrhu obecného nařízení o ochraně údajů. Základem stávajících právních předpisů EU o ochraně osobních údajů je směrnice 95/46/ES[3], která byla přijata v roce 1995 a zaměřovala se na dva cíle: chránit základní právo na ochranu údajů a zaručit volný pohyb osobních údajů mezi členskými státy. Směrnice byla doplněna rámcovým rozhodnutím Rady 2008/977/SVV, které jako obecný nástroj na úrovni Unie upravuje ochranu osobních údajů v oblasti policejní a justiční spolupráce v trestních věcech[4]. Rychlý technologický rozvoj staví ochranu osobních údajů před nové výzvy. Objem sdílených a shromažďovaných údajů dramaticky roste. Technologie umožňují jak soukromým společnostem, tak orgánům veřejné moci využívat při provádění jejich činností osobní údaje v nebývalém rozsahu. Jednotlivé osoby stále častěji zveřejňují své osobní údaje i v globálním měřítku. Technologie změnily ekonomiku i společenský život. Budování důvěryhodnosti internetového prostředí má pro hospodářský rozvoj klíčový význam. Nedostatek důvěry vede k tomu, že se spotřebitelé zdráhají nakupovat on-line a využívat nové služby. Mohlo by tedy dojít ke zpomalení rozvoje inovativního využívání nových technologií. Ochrana osobních údajů proto hraje ústřední roli v Digitální agendě pro Evropu[5] a ještě obecněji ve strategii Evropa 2020[6]. V čl. 16 odst. 1 Smlouvy o fungování Evropské unie (SFEU), který byl zaveden Lisabonskou smlouvou, je zakotvena zásada, že každý má právo na ochranu osobních údajů, které se jej týkají. Kromě toho Lisabonská smlouva zavedla s čl. 16 odst. 2 SFEU zvláštní právní základ pro přijetí pravidel ochrany osobních údajů. V článku 8 Listiny základních práv EU je ochrana osobních údajů zakotvena jako základní právo. Evropská rada vyzvala Komisi, aby zhodnotila fungování nástrojů EU pro ochranu údajů a v případě potřeby předložila další legislativní a nelegislativní iniciativy[7]. Evropský parlament ve svém usnesení o Stockholmském programu[8] uvítal návrh komplexního režimu ochrany údajů v EU a mimo jiné vyzval k revizi rámcového rozhodnutí. Komise ve svém Akčním plánu provádění Stockholmského programu[9] zdůraznila potřebu soustavného uplatňování základního práva na ochranu osobních údajů ve všech politikách EU. Ve svém sdělení „Komplexní přístup k ochraně osobních údajů v Evropské unii“[10] Komise dospěla k závěru, že pokud jde o základní právo na ochranu osobních údajů, potřebuje EU komplexnější a jednotnější politiku. Cíle a zásady stávajícího rámce zůstávají v platnosti, rámec však nebrání nejednotnému uplatňování ochrany osobních údajů v rámci celé Unie, právní nejistotě a rozšířenému pocitu veřejnosti, že zejména s internetovými činnostmi jsou spojena značná rizika[11]. Proto nadešel čas vytvořit pevnější a jednotnější rámec pro ochranu údajů v EU, jenž se bude opírat o důrazné vymáhání práva a jenž umožní rozvoj digitální ekonomiky na celém vnitřním trhu, občanům dá možnost kontrolovat své vlastní údaje a zvýší právní a praktickou jistotu pro hospodářské subjekty a orgány veřejné moci. 2. VÝSLEDKY KONZULTACÍ SE ZÚČASTNĚNÝMI STRANAMI A POSOUZENÍ DOPADŮ Tato iniciativa je výsledkem rozsáhlých konzultací se všemi hlavními zúčastněnými stranami o přezkumu stávajícího právního rámce pro ochranu osobních údajů, které trvaly více než dva roky a v jejichž rámci se uskutečnila konference na vysoké úrovni v květnu 2009[12]. Veřejná konzultace proběhla ve dvou fázích: – konzultace o právním rámci pro základní právo na ochranu osobních údajů probíhala od 9. července do 31. prosince 2009. Komise obdržela 168 odpovědí, z toho 127 od jednotlivých osob, obchodních organizací a sdružení a 12 od orgánů veřejné moci[13], – konzultace o komplexním přístupu Komise k ochraně osobních údajů v Evropské unii probíhala od 4. listopadu 2010 do 15. ledna 2011. Komise obdržela 305 odpovědí, z toho 54 odpovědí od občanů, 31 od orgánů veřejné moci a 220 od soukromých organizací, zejména obchodních sdružení a nevládních organizací[14]. Kromě toho probíhaly cílené konzultace s hlavními zúčastněnými stranami; v červnu a červenci 2010 byly zorganizovány konkrétní akce s orgány členských států a účastníky ze soukromého sektoru, jakož i organizacemi na ochranu soukromí, ochranu údajů a ochranu spotřebitelů[15]. V listopadu 2010 zorganizovala místopředsedkyně Evropské komise Viviane Redingová jednání u kulatého stolu o reformě ochrany údajů. Dne 28. ledna 2011 (den ochrany údajů) Evropská komise a Rada společně uspořádaly konferenci na vysoké úrovni, aby se projednaly otázky související s reformou právního rámce EU a potřebou společných norem pro ochranu údajů v celosvětovém měřítku[16]. Dvě konference o ochraně údajů uspořádalo maďarské a polské předsednictví Rady ve dnech 16.–17. června 2011 a dne 21. září 2011. Během roku 2011 probíhaly tematické workshopy a semináře o konkrétních otázkách. Evropská agentura pro bezpečnost sítí a informací (ENISA)[17] zorganizovala v lednu seminář o oznamování porušení ochrany údajů v Evropě[18]. V únoru Komise svolala seminář, na němž s orgány členských států projednala otázky ochrany údajů v oblasti policejní a justiční spolupráce v trestních věcech, včetně provádění rámcového rozhodnutí, a Agentura pro základní práva uspořádala konzultační schůzku se zúčastněnými stranami o ochraně údajů a soukromí. Diskuse s vnitrostátními orgány pro ochranu údajů o klíčových otázkách reformy proběhla dne 13. července 2011. Konzultace s občany EU proběhla prostřednictvím průzkumu Eurobarometr v listopadu a prosinci 2010[19]. Byla také provedena řada studií[20]. „Pracovní skupina zřízená podle článku 29“[21] poskytla Komisi několik stanovisek a užitečné vstupy[22]. Evropský inspektor ochrany údajů rovněž vydal obsáhlé stanovisko k otázkám, které vyplynuly ze sdělení Komise z listopadu 2010[23]. Evropský parlament schválil svým usnesením ze dne 6. července 2011 zprávu, která podpořila přístup Komise k reformě rámce pro ochranu údajů.[24] Rada Evropské unie přijala dne 24. února 2011 závěry, v nichž v široké míře podporuje úmysl Komise reformovat rámec pro ochranu údajů a souhlasí s mnoha prvky jejího přístupu. Evropský hospodářský a sociální výbor obdobně podpořil cíl Komise zajistit jednotnější uplatňování pravidel EU pro ochranu údajů[25] ve všech členských státech a odpovídající přezkum směrnice 95/46/ES[26]. Během konzultací o komplexním přístupu velká většina zúčastněných stran souhlasila s tím, aby obecné zásady platily i nadále, avšak zároveň uvedla, že stávající rámec je třeba upravit, aby lépe reagoval na výzvy, které s sebou rychlý vývoj nových technologií (především on-line) a rostoucí globalizace přinášejí. Technologická neutralita právního rámce by však měla zůstat zachována. Velké kritice byla podrobena stávající nejednotnost ochrany osobních údajů v Unii, zejména ze strany hospodářských subjektů, které požadovaly větší právní jistotu a harmonizaci pravidel ochrany osobních údajů. Složitá pravidla týkající se mezinárodního předávání osobních údajů považují zúčastněné strany za významnou překážku při provádění svých činností, neboť pravidelně potřebují předávat osobní údaje z EU do jiných částí světa. V souladu se svou politikou zlepšování právní úpravy provedla Komise posouzení dopadů jednotlivých alternativ politiky. Posouzení dopadů vycházelo ze tří politických cílů – posílení dimenze vnitřního trhu při ochraně údajů, zvýšení účinnosti výkonu práv na ochranu údajů ze strany jednotlivců a vytvoření komplexního a jednotného rámce, který by se vztahoval na všechny oblasti pravomocí Unie, včetně policejní a justiční spolupráce v trestních věcech. Hodnoceny byly tři možnosti politiky s různým stupněm intervence: první možnost spočívala v minimálních legislativních změnách, využití výkladových sdělení a podpůrných politických opatření, jako jsou programy financování a technické nástroje, druhou možnost tvořil soubor právních předpisů, které řeší všechny problémy zjištěné v analýze, a třetí možností byla centralizace ochrany údajů na úrovni EU prostřednictvím přesných a podrobných pravidel pro všechny sektory a zřízení agentury EU pro sledování a prosazování právních předpisů. Podle metodologie zavedené Komisí byla každá politická možnost posouzena, mj. za pomoci meziútvarové řídící skupiny, z hlediska své účinnosti při dosahování politických cílů, svého hospodářského dopadu na zúčastněné strany (také na rozpočet orgánů EU), svého sociálního dopadu a účinku na základní práva. Dopady na životní prostředí se neposuzovaly. Z analýzy celkového dopadu vyplynula preferovaná politická možnost, která vychází z druhé možnosti a obsahuje určité prvky z ostatních dvou možností a která je začleněna do tohoto návrhu.Podle hodnocení dopadů povede její provedení mimo jiné ke značnému zlepšení právní jistoty pro správce údajů a občany, ke snížení administrativní zátěže, k jednotnému prosazování ochrany údajů v Unii, účinnému výkonu práv na ochranu údajů pro jednotlivce při ochraně osobních údajů v rámci EU a účinné kontrole a prosazování ochrany údajů. Očekává se, že provádění preferovaných politických možností rovněž přispěje ke splnění cíle Komise zjednodušit a omezit administrativní zátěž a ke splnění cílů Digitální agendy pro Evropu, Stockholmského akčního plánu a strategie Evropa 2020. Výbor pro posouzení dopadů vydal stanovisko k této předloze posouzení dopadů dne 9. září 2011. V návaznosti na stanovisko výboru byly do posouzení dopadů zapracovány tyto změny: – byly upřesněny cíle stávajícího právního rámce (v jakém rozsahu byly či nebyly splněny), jakož i cíle plánované reformy, – do oddílu definice problémů bylo přidáno více důkazů a dodatečná vysvětlení/objasnění, – byl doplněn oddíl o proporcionalitě, – všechny výpočty a odhady související s administrativní zátěží v základním scénáři a v preferované možnosti byly celkově přezkoumány a revidovány a byl vyjasněn vztah mezi náklady na oznamování a celkovými náklady způsobenými nejednotností (včetně přílohy 10), – byly podrobněji vymezeny dopady na mikropodniky, malé a střední podniky, zejména na inspektory ochrany údajů a posouzení dopadů na ochranu údajů. Zpráva o posouzení dopadů a její shrnutí se zveřejní spolu s návrhy. 3. PRÁVNÍ STRÁNKA NÁVRHU 3.1. Právní základ Tento návrh je založen na článku 16 SFEU, který je novým právním základem pro přijetí pravidel pro ochranu údajů zavedeným Lisabonskou smlouvou. Toto ustanovení umožňuje přijmout pravidla týkající se ochrany fyzických osob při zpracování osobních údajů členskými státy při výkonu činností, jež spadají do působnosti práva Unie. Rovněž umožňuje přijmout pravidla týkající se volného pohybu osobních údajů, včetně osobních údajů zpracovávaných členskými státy nebo soukromými subjekty. Za nejvhodnější právní nástroj pro definování rámce pro ochranu osobních údajů v Unii se považuje nařízení. Na základě přímé použitelnosti nařízení podle článku 288 SFEU se omezí právní nejednotnost a zvýší právní jistota tím, že se zavede harmonizovaný soubor základních pravidel, zlepší ochrana základních práv jednotlivců a přispěje k fungování vnitřního trhu. Odkaz na čl. 114 odst. 1 SFEU je nutný pro změnu směrnice 2002/58/ES pouze do té míry, že směrnice rovněž poskytuje ochranu oprávněných zájmů účastníků, kteří jsou právnickými osobami. 3.2. Subsidiarita a proporcionalita V souladu se zásadou subsidiarity (čl. 5 odst. 3 Smlouvy o EU) by měla být opatření na úrovni Unie přijata pouze v případě, že plánovaných cílů nelze uspokojivě dosáhnout na úrovni samotných členských států, a proto jich lze z důvodu rozsahu či účinků navrhovaného opatření lépe dosáhnout na úrovni Unie. Vzhledem k problémům uvedeným výše je v analýze subsidiarity uvedena potřeba činnosti na úrovni EU z těchto důvodů: – Právo na ochranu osobních údajů, zakotvené v článku 8 Listiny základních práv, vyžaduje stejnou úroveň ochrany údajů v celé Unii. Absence společných pravidel v EU by znamenala riziko různé úrovně ochrany v členských státech a omezení přeshraničního pohybu osobních údajů mezi členskými státy, které používají odlišné normy. – Osobní údaje jsou předávány přes hranice jednotlivých států – jak přes vnitřní, tak přes vnější hranice – ve stále větším objemu. Kromě toho existují praktické obtíže při prosazování právních předpisů o ochraně údajů, proto musí být potřebná spolupráce mezi členskými státy a jejich orgány organizována na úrovni EU, aby se zajistilo jednotné uplatňování práva Unie. EU má také nejlepší předpoklady pro to, aby jednotlivým osobám účinně a jednotně zajistila stejnou úroveň ochrany, pokud jsou jejich osobní údaje předávány do třetích zemí. – Členské státy nemohou ve stávající situaci samy omezit problémy, zejména problémy způsobené nejednotností vnitrostátních právních předpisů. Proto je zvláště třeba zavést harmonizovaný a jednotný rámec, který by umožňoval plynulé předávání osobních údajů přes hranice v rámci EU a zároveň zajišťoval účinnou ochranu všem fyzickým osobám v celé EU. – Navrhovaná opatření právních předpisů EU budou účinnější než podobná opatření na úrovni členských států, neboť problémy mají takovou povahu a rozsah, že nejsou jen vnitrostátní záležitostí jednoho nebo několika členských států. Zásada proporcionality vyžaduje, aby byl každý zásah cílený a nepřekračoval rámec toho, co je nezbytné pro dosažení cílů. Tento princip je vodicím prvkem přípravy tohoto návrhu od identifikace a hodnocení alternativních možností politiky až po vypracování legislativního návrhu. 3.3. Shrnutí otázek základních práv Právo na ochranu osobních údajů je zakotveno v článku 8 Listiny, článku 16 SFEU a v článku 8 Úmluvy o ochraně lidských práv a základních svobod. Jak zdůraznil Soudní dvůr EU[27], právo na ochranu osobních údajů není právem absolutním, avšak musí být posuzováno v souvislosti se svou funkcí ve společnosti[28]. Ochrana údajů je úzce spjata s respektováním soukromého a rodinného života, které je zakotveno v článku 7 Listiny. Tato skutečnost se odráží v čl. 1 odst. 1 směrnice 95/46/ES, který stanoví, že členské státy zajišťují ochranu základních práv a svobod fyzických osob, zejména jejich soukromí, v souvislosti se zpracováním osobních údajů. Dotčena by mohla být také další základní práva zakotvená v Listině, např. svoboda projevu (článek 11 Listiny); svoboda podnikání (článek 16); právo na vlastnictví a zejména ochrana duševního vlastnictví (čl. 17 odst. 2); zákaz diskriminace mimo jiné založené na rase, etnickém původu, genetických rysech, náboženském vyznání nebo přesvědčení, politických názorech či jakýchkoli jiných názorech, zdravotním postižení nebo sexuální orientaci (článek 21); práva dítěte (článek 24); právo na vysoký stupeň péče o lidského zdraví (článek 35); právo na přístup k dokumentům (článek 42); právo na účinnou právní ochranu a spravedlivý proces (článek 47). 3.4. Podrobné vysvětlení návrhu 3.4.1. KAPITOLA I – OBECNÁ USTANOVENÍ Článek 1 definuje předmět nařízení a stejně jako článek 1 směrnice 95/46/ES stanoví dva cíle nařízení. Článek 2 vymezuje věcnou působnost nařízení. Článek 3 vymezuje územní působnost nařízení. Článek 4 obsahuje definice pojmů, které nařízení používá. Některé definice se přebírají ze směrnice 95/46/ES, jiné se pozměňují, doplňují o nové prvky, nebo se zavádějí nové definice (definice „narušení bezpečnosti osobních údajů“ vychází z čl. 2 písm. h) směrnice o soukromí a elektronických komunikacích 2002/58/ES[29] ve znění směrnice 2009/136/ES[30], definice „genetických údajů“, „biometrických údajů“, „údajů o zdravotním stavu“, „hlavní provozovny“, „zástupce“, „podniku“, „skupiny podniků“, „závazných podnikových pravidel“ a definice „dítěte“, jež vychází z Úmluvy OSN o právech dítěte[31], a „orgánu dozoru“). V definici souhlasu je doplněno kritérium „výslovný“ s cílem předejít matoucí podobnosti s pojmem „jednoznačný“ souhlas, aby existovala jediná a jednotná definice souhlasu zajišťující, že subjekt údajů si je vědom, že dává souhlas a k čemu dává souhlas. 3.4.2. KAPITOLA II – ZÁSADY V článku 5 jsou stanoveny zásady související se zpracováním osobních údajů, jež odpovídají zásadám uvedeným v článku 6 směrnice 95/46/ES. Dodatečným novým prvkem je zejména zásada transparentnosti, vyjasnění zásady minimalizace údajů a zavedení komplexní odpovědnosti správce. Článek 6 vychází z článku 7 směrnice 95/46/ES a stanoví kritéria zákonného zpracování údajů, která jsou dále specifikována, pokud jde o vyváženost kritéria zájmu, splnění právních povinností a veřejný zájem. Článek 7 vymezuje podmínky, za jakých je souhlas platný jako právní důvod pro zákonné zpracování údajů. Článek 8 stanoví další podmínky zákonného zpracování osobních údajů dětí v souvislosti se službami informační společnosti, které jsou přímo nabízeny dětem. Článek 9 stanoví obecný zákaz zpracování zvláštních kategorií osobních údajů a výjimky z tohoto obecného pravidla na základě článku 8 směrnice 95/46/ES. Článek 10 objasňuje, že správce není povinen získávat dodatečné informace k identifikaci subjektu údajů výlučně za účelem zajištění souladu s ustanoveními tohoto nařízení. 3.4.3. KAPITOLA III – PRÁVA SUBJEKTU ÚDAJŮ 3.4.3.1. Oddíl 1 – Transparentnost a metody Článkem 11 se zavádí pro správce povinnost poskytovat transparentní, snadno dostupné a srozumitelné informace. Vychází zejména z Madridského usnesení o mezinárodních normách o ochraně osobních údajů a soukromí[32]. Článek 12 ukládá správci povinnost zajistit postupy a mechanismy pro výkon práv subjektu údajů, včetně prostředků pro podávání elektronických žádostí, vyžádání odpovědi na žádost subjektu údajů ve stanovené lhůtě a důvody zamítnutí. Článek 13 rozšiřuje práva příjemců na základě čl. 12 odst. c) směrnice 95/46/ES na všechny příjemce, včetně společných správců a zpracovatelů. 3.4.3.2. Oddíl 2 – Informace a přístup k údajům Článek 14 dále upřesňuje povinnosti správce informovat subjekt údajů, a to na základě článků 10 a 11 směrnice 95/46/ES, tedy poskytovat subjektu údajů dodatečné informace, například o době uchovávání údajů, právu podat stížnost, o mezinárodním předávání údajů a zdroji, ze kterého údaje pocházejí. Zachovává rovněž ustanovení o případných výjimkách uvedených ve směrnici 95/46/ES, tzn. tato povinnost není stanovena, pokud je zaznamenávání nebo sdělování údajů výslovně stanoveno zákonem. To se týká například zpracování údajů ze strany orgánů pro hospodářskou soutěž, daňové či celní správy nebo útvarů příslušných v oblasti sociálního zabezpečení. Článek 15, který se opírá o čl. 12 písm. a) směrnice 95/46/ES, stanoví právo subjektu údajů na přístup ke svým osobním údajům a přidává nové prvky, jako je právo subjektu údajů na informace o době uchovávání, právo na opravu a výmaz a právo podat stížnost. 3.4.3.3. Oddíl 3 – Oprava a výmaz Článek 16 stanoví právo subjektu údajů na opravu údajů a vychází z čl. 12 odst. b) směrnice 95/46/ES. Článek 17 stanoví právo subjektu údajů být zapomenut a právo na výmaz. Dále rozpracovává a upřesňuje právo na výmaz uvedené v čl. 12 odst. b) směrnice 95/46/ES a stanoví podmínky pro uplatňování práva být zapomenut, včetně povinnosti správce, jenž osobní údaje zveřejnil, informovat třetí strany o žádosti subjektu údajů o výmaz všech odkazů na tyto osobní údaje nebo kopií či replikací těchto osobních údajů. Zavádí rovněž právo na omezení zpracování údajů v určitých případech, čímž se vyhýbá nejednoznačnému pojmu „blokování“. Článkem 18 se zavádí právo subjektu údajů na přenositelnost údajů, tzn. na předávání údajů z jednoho automatizovaného systému zpracování do jiného, aniž by tomu správce bránil. Jako předpoklad a s cílem dále zlepšovat přístup fyzických osob k jejich osobním údajům poskytuje právo obdržet od správce tyto údaje ve strukturovaném a běžně používaném elektronickém formátu. 3.4.3.4. Oddíl 4 – Právo vznést námitku a profilování Článek 19 zaručuje subjektu údajů právo vznést námitku. Je založen na článku 14 směrnice 95/46/ES s určitými úpravami, mimo jiné ohledně důkazního břemene a jeho uplatňování v přímém marketingu. Článek 20 se týká práva subjektu údajů nebýt předmětem opatření založeného na profilování. Základem je čl. 15 odst. 1 směrnice 95/46 o automatizovaných individuálních rozhodnutích s určitými úpravami a dodatečnými zárukami a s ohledem na doporučení Rady Evropy o profilování[33]. 3.4.3.5. Oddíl 5 – Omezení Článek 21 vysvětluje pravomoc Unie nebo členských států zachovat či zavést omezení zásad ve smyslu článku 5 a práv subjektu údajů ve smyslu článků 11 až 20 a článku 32. Toto ustanovení vychází z článku 13 směrnice 95/46/ES a z požadavků vyplývajících z Listiny základních práv a Úmluvy o ochraně lidských práv a základních svobod ve smyslu výkladu Soudního dvora EU a Evropského soudu pro lidská práva. 3.4.4. KAPITOLA IV – SPRÁVCE A ZPRACOVATEL 3.4.4.1. Oddíl 1 – Obecné povinnosti Článek 22 zohledňuje diskusi o „zásadě odpovědnosti“ a podrobně popisuje povinnost správce nést odpovědnost za dodržování souladu s tímto nařízením a tento soulad prokázat, mimo jiné přijetím vnitřních politik a mechanismů pro zajištění tohoto souladu. Článek 23 stanoví povinnosti správce vyplývající ze zásady ochrany údajů již od návrhu a ze zásady standardního nastavení ochrany údajů. Článek 24 o společných správcích upřesňuje odpovědnosti společných správců, pokud jde o jejich vzájemný vztah a vztah vůči subjektu údajů. Článek 25 předepisuje za určitých podmínek správcům, kteří nejsou usazeni v Unii a na jejichž činnosti spojené se zpracováváním údajů se nařízení vztahuje, aby za určitých podmínek určili v Unii svého zástupce. Článek 26, který částečně vychází z čl. 17 odst. 2 směrnice 95/46/ES, upřesňuje postavení a povinnosti zpracovatele a obsahuje nové prvky, například že by zpracovatel, který zpracovává údaje nad rámec pokynů správce, měl být považován za společného správce. Článek 27 o zpracování z pověření správce a zpracovatele vychází z článku 16 směrnice 95/46/ES. Článek 28 zavádí namísto obecné oznamovací povinnosti vůči orgánu dozoru podle čl. 18 odst. 1 a článku 19 směrnice 95/46/ES povinnost správce a zpracovatele vést dokumentaci o všech zpracováních, za která nesou odpovědnost. Článek 29 vymezuje povinnosti správce a zpracovatele spolupracovat s orgánem dozoru. 3.4.4.2. Oddíl 2 – Bezpečnost údajů Článek 30 ukládá správci a zpracovateli povinnost přijmout vhodná opatření pro zajištění bezpečnosti zpracování. Vychází z čl. 17 odst. 1 směrnice 95/46/ES a rozšiřuje tuto povinnost na zpracovatele bez ohledu na smluvní vztah se správcem. Články 31 a 32 zavádějí povinnost oznamovat případy narušení bezpečnosti osobních údajů a vycházejí z čl. 4 odst. 3 směrnice o soukromí a elektronických komunikacích 2002/58/ES. 3.4.4.3. Oddíl 3 – Posuzování dopadu na ochranu údajů a předchozí povolení Článek 33 zavádí pro správce a zpracovatele povinnost vypracovat posouzení dopadu na ochranu údajů před zpracováním údajů spojeným s riziky. Článek 34 se týká případů, v nichž se musí před zpracováním údajů získat povolení orgánu dozoru nebo se musí tento orgán konzultovat, a vychází z koncepce předběžné kontroly podle článku 20 směrnice 95/46/ES. 3.4.4.4. Oddíl 4 – Inspektor ochrany údajů Článek 35 předepisuje povinné jmenování inspektora ochrany údajů pro veřejný sektor a v soukromém sektoru v případě velkých podniků nebo pokud hlavní činnost správce nebo zpracovatele spočívá ve zpracovávání údajů, které vyžaduje pravidelné a systematické sledování. Vychází z čl. 18 odst. 2 směrnice 95/46/ES, který členským státům umožňuje zavést tuto povinnost jako náhradu za obecnou oznamovací povinnost. Článek 36 upravuje postavení inspektora ochrany údajů. Článek 37 vymezuje hlavní úkoly inspektora ochrany údajů. 3.4.4.5. Oddíl 5 – Kodexy chování a osvědčování Článek 38 vychází z čl. 27 odst. 1 směrnice 95/46/ES a týká se kodexů chování. Upřesňuje obsah kodexů a postupů a pověřuje Komisi přijímáním rozhodnutí o obecné platnosti kodexů chování. Článek 39 předpokládá možnost zavést mechanismy pro vydávání osvědčení o ochraně údajů a zavedení pečetí a známek dokládajících ochranu údajů. 3.4.5. KAPITOLA V – PŘEDÁVÁNÍ OSOBNÍCH ÚDAJŮ DO TŘETÍCH ZEMÍ NEBO MEZINÁRODNÍM ORGANIZACÍM Článek 40 uvádí jako obecnou zásadu, že splnění povinností stanovených v této kapitole je povinné pro veškerá předávání osobních údajů do třetích zemí nebo mezinárodním organizacím, včetně dalšího předávání. Článek 41, který vychází z článku 25 směrnice 95/46/ES, stanoví kritéria, podmínky a postupy přijímání rozhodnutí Komise o přiměřenosti. Kritéria, která se mají zohlednit při posuzování toho, zda je úroveň ochrany přiměřená či nikoli, zahrnují výslovně právní stát, soudní nápravu a nezávislý dozor. Článek nyní výslovně potvrzuje možnost, aby Komise posoudila úroveň ochrany poskytované na určitém území či v odvětví zpracovávání v dané třetí zemi. Článek 42 vyžaduje, aby byly při předávání údajů do třetích zemí, u kterého Komise nepřijala rozhodnutí o přiměřenosti, uvedeny vhodné záruky, zejména standardní doložky o ochraně údajů, závazná podniková pravidla a smluvní doložky. Možnost využít standardní doložky Komise o ochraně osobních údajů vychází z čl. 26 odst. 4 směrnice 95/46/ES. Novým prvkem je, že tyto standardní doložky o ochraně údajů může nyní přijímat také orgán dozoru a Komise je může prohlásit za obecně platné. Závazná podniková pravidla jsou nyní výslovně zmíněna v textu nařízení. Možnost využít smluvní doložky ponechává správci a zpracovateli určitou flexibilitu, musí však být předem schválena orgánem dozoru. Článek 43 podrobněji popisuje podmínky předávání údajů založeného na závazných podnikových pravidlech. Vychází z běžné praxe a požadavků orgánu dozoru. Článek 44 uvádí a upřesňuje výjimky pro předávání údajů a vychází ze stávajících ustanovení článku 26 směrnice 95/46/ES. Uplatní se zejména v případech, kdy je předávání údajů požadované a nutné k ochraně důležitého veřejného zájmu, například v případech mezinárodního předávání údajů mezi příslušnými orgány pro hospodářskou soutěž, daňovými či celními správami nebo útvary příslušnými v oblasti sociálního zabezpečení nebo řízení rybolovu. Kromě toho může být předávání údajů za stanovených podmínek odůvodněno oprávněným zájmem správce nebo zpracovatele, avšak pouze poté, co byly posouzeny a zdokumentovány okolnosti předání. Článek 45 v zájmu ochrany osobních údajů výslovně předpokládá vypracování mechanismů pro mezinárodní spolupráci mezi Komisí a orgány dozoru třetích zemí, zejména těmi, jejichž úroveň ochrany osobních údajů je považována za přiměřenou, a to s ohledem na doporučení Organizace pro hospodářskou spolupráci a rozvoj (OECD) o přeshraniční spolupráci při prosazování zákonů na ochranu soukromí ze dne 12. června 2007. 3.4.6. KAPITOLA VI – NEZÁVISLÉ ORGÁNY DOZORU 3.4.6.1. Oddíl 1 – Nezávislost postavení Článek 46 ukládá na základě čl. 28 odst. 1 směrnice 95/46/ES členským státům povinnost zřídit orgány dozoru a přidává k jejich úkolům také vzájemnou spolupráci a spolupráci s Komisí. Článek 47 objasňuje podmínky nezávislosti orgánů dozoru, které vycházejí z judikatury Soudního dvora Evropské unie[34] a z článku 44 nařízení (ES) č. 45/2001[35]. Článek 48 upravuje obecné podmínky pro členy orgánu dozoru, které vycházejí z příslušné ustálené judikatury[36] a z čl. 42 odst. 2 až 6 nařízení (ES) 45/2001. Článek 49 stanoví, která pravidla pro zřízení orgánu dozoru mají členské státy upravit právním předpisem. Článek 50 vychází z čl. 28 odst. 7 směrnice 95/46/ES a upravuje profesní tajemství členů orgánu dozoru a jeho pracovníků. 3.4.6.2. Oddíl 2 – Povinnosti a pravomoci Článek 51 stanoví příslušnost orgánů dozoru. Obecné pravidlo, které vychází z čl. 28 odst. 6 směrnice 95/46/ES (pravomoci na území vlastního členského státu), je doplněno novou pravomocí jako vedoucího orgánu v případě, že správce nebo zpracovatel sídlí ve více členských státech, aby bylo zajištěno jednotné uplatňování (jediné kontaktní místo). Soudy jednající v rámci svých soudních pravomocí jsou osvobozeny od dohledu vykonávaného orgánem dozoru, podléhají však hmotněprávním pravidlům ochrany údajů. V článku 52 jsou uvedeny povinnosti orgánu dozoru, například projednávání a prošetřování stížností a zvyšování povědomí veřejnosti o rizicích, pravidlech, zárukách a právech. Článek 53 upravuje pravomoci orgánu dozoru, přičemž částečně vychází z čl. 28 odst. 3 směrnice 95/46/ES a článku 47 nařízení (ES) č. 45/2001, a doplňuje některé nové prvky, například pravomoc postihovat správní přestupky. Článek 54 vychází z čl. 28 odst. 5 směrnice 95/46/ES a ukládá orgánům dozoru povinnost každý rok vypracovat zprávu o činnosti. 3.4.7. KAPITOLA VII – SPOLUPRÁCE A JEDNOTNOST 3.4.7.1. Oddíl 1 – Spolupráce Článek 55 určuje výslovně povinnost vzájemné pomoci, včetně důsledků v případě nevyhovění žádosti jiného orgánu dozoru, a vychází z druhého pododstavce čl. 28 odst. 6 směrnice 95/46/ES. Článek 56 zavádí pravidla pro společné operace, vychází z článku 17 rozhodnutí Rady 2008/615/SVV[37] a obsahuje mimo jiné právo orgánu dozoru účastnit se těchto operací. 3.4.7.2. Oddíl 2 – Jednotnost Článek 57 zavádí mechanismus jednotnosti pro zajištění jednotného uplatňování práva, pokud jde o zpracovávání údajů, které se může týkat subjektů údajů v několika členských státech. Článek 58 stanoví postupy a podmínky pro vydání stanoviska Evropské rady pro ochranu údajů. Článek 59 se týká stanovisek Komise k záležitostem řešeným v rámci mechanismu jednotnosti, která mohou buď potvrdit stanovisko Evropské rady pro ochranu údajů nebo se od něj mohou odchylovat, a návrhu opatření orgánu dozoru. Pokud Evropská rada pro ochranu údajů požádá o řešení záležitosti podle čl. 58 odst. 3, lze očekávat, že Komise využije svého volného uvážení a v případě potřeby vydá stanovisko. Článek 60 se týká rozhodnutí Komise, kterými se po příslušném orgánu vyžaduje, aby návrh opatření odložil, pokud je to nezbytné pro správné uplatňování tohoto nařízení. Článek 61 počítá s možností přijmout postupem pro naléhavé případy dočasná opatření. Článek 62 stanoví požadavky na prováděcí akty Komise v rámci mechanismu jednotnosti. Článek 63 předepisuje, že opatření orgánu dozoru se vykonává ve všech příslušných členských státech, a stanoví, že příslušné opatření je právoplatné a vykonatelné pouze při použití mechanismu jednotnosti. 3.4.7.3. Oddíl 3 – Evropská rada pro ochranu údajů Článkem 64 se zřizuje Evropská rada pro ochranu údajů, kterou tvoří vedoucí orgánu dozoru z každého členského státu a evropský inspektor ochrany údajů. Evropská rada pro ochranu údajů nahrazuje pracovní skupinu pro ochranu osob v souvislosti se zpracováním osobních údajů zřízenou podle článku 29 směrnice č. 95/46/ES. Je stanoveno, že Komise není členem Evropské rady pro ochranu údajů, avšak má právo účastnit se jejích činností a být v ní zastoupena. Článek 65 zdůrazňuje a stanovuje nezávislost Evropské rady pro ochranu údajů. Článek 66 na základě čl. 30 odst. 1 směrnice 95/46/ES vymezuje úkoly Evropské rady pro ochranu údajů a doplňuje nové prvky, které odrážejí širší oblast jejích činností v rámci Unie a mimo ni. Aby byla schopna reagovat v naléhavých situacích, má Komise možnost požádat Radu o stanovisko a stanovit lhůtu pro jeho poskytnutí. Článek 67 požaduje, aby Evropská rada pro ochranu údajů předkládala každý rok zprávu o své činnosti. Vychází z čl. 30 odst. 6 směrnice 95/46/ES. Článek 68 upravuje postupy rozhodování Evropské rady pro ochranu údajů, včetně povinnosti přijmout jednací řád, který by měl obsahovat rovněž provozní opatření. Článek 69 obsahuje ustanovení týkající se předsedy a místopředsedů Evropské rady pro ochranu údajů. Článek 70 stanoví úkoly předsedy. Článek 71 stanoví, že služby sekretariátu Evropské rady pro ochranu údajů poskytuje evropský inspektor ochrany údajů, a vymezuje úkoly sekretariátu. Článek 72 stanoví pravidla týkající se důvěrnosti. 3.4.8. KAPITOLA VIII – OPRAVNÉ PROSTŘEDKY, ODPOVĚDNOST A SANKCE Článek 73 vychází z čl. 28 odst. 4 směrnice 95/46/ES a stanoví, že každý subjekt údajů má právo vznést stížnost k orgánu dozoru. Stanoví také subjekty, organizace nebo sdružení, které mohou vznést stížnost jménem subjektu údajů nebo – v případě narušení bezpečnosti osobních údajů – nezávisle na stížnosti subjektu údajů. Článek 74 se týká práva na soudní opravné prostředky vůči orgánu dozoru. Vychází z obecných ustanovení čl. 28 odst. 3 směrnice 95/46/ES. Předpokládá výslovně soudní opravný prostředek, který orgán dozoru přiměje jednat ve věci stížnosti, a stanoví příslušnost soudů členského státu, v němž je orgán dozoru usazen. Umožňuje rovněž, aby orgán dozoru členského státu, v němž má subjekt údajů bydliště, zahájil jménem subjektu údajů řízení u soudů jiného členského státu, v němž je příslušný orgán dozoru usazen. Článek 75 vychází z článku 22 směrnice 95/46/ES, týká se práva na soudní opravné prostředky vůči správci nebo zpracovateli a poskytuje možnost výběru zahájit řízení před soudem v členském státě, v němž je žalovaný usazen nebo v němž má subjekt údajů bydliště. Jestliže řízení, která se týkají téhož opatření, probíhají v rámci mechanismu jednotnosti, může soud s výjimkou naléhavých případů svá řízení odročit. Článek 76 stanoví společná pravidla pro soudní řízení, včetně práva subjektů, organizací nebo sdružení zastupovat subjekt údajů před soudy, práva orgánu dozoru zapojit se do soudního řízení, informování soudů o paralelních řízeních v jiném členském státě a možnosti soudů v takovém případě řízení odročit[38]. Členské státy mají povinnost zajistit, aby soudní řízení probíhala rychle[39]. Článek 77 vymezuje právo na odškodnění a odpovědnost. Vychází z článku 23 směrnice 95/46/ES, rozšiřuje toto právo na škody způsobené zpracovateli a vymezuje odpovědnost společných správců a společných zpracovatelů. Článek 78 ukládá členským státům povinnost stanovit pravidla pro sankce ukládané za porušení tohoto nařízení a zajistit jejich provádění. Článek 79 ukládá každému orgánu dozoru povinnost postihovat správní přestupky uvedené ve výčtech v tomto ustanovení pokutami do maximální výše částek, a to při řádném zohlednění okolností každého jednotlivého případu. 3.4.9. KAPITOLA IX – USTANOVENÍ TÝKAJÍCÍ SE ZVLÁŠTNÍCH SITUACÍ, PŘI NICHŽ DOCHÁZÍ KE ZPRACOVÁVÁNÍ ÚDAJŮ Článek 80 ukládá členským státům povinnost stanovit odchylky a výjimky z určitých ustanovení nařízení, je-li to nezbytné pro uvedení práva na ochranu osobních údajů do souladu s právem na svobodu projevu. Vychází z článku 9 směrnice 95/46/ES ve smyslu výkladu Soudního dvora EU[40]. Článek 81 ukládá členským státům povinnost zajistit kromě podmínek pro zpracování zvláštních kategorií údajů také zvláštní záruky pro zpracování údajů pro zdravotní účely. Článek 82 dává členským státům pravomoc přijímat zvláštní právní předpisy pro zpracovávání osobních údajů v souvislosti se zaměstnáním. Článek 83 vymezuje zvláštní podmínky pro zpracování osobních údajů pro účely historiografického, statistického a vědeckého výzkumu. Článek 84 zmocňuje členské státy v případech, kdy správci podléhají povinnosti mlčenlivosti, k přijetí zvláštních pravidel pro přístup orgánů dozoru k osobním údajům nebo prostorám. Článek 85 umožňuje církvím s ohledem na článek 17 Smlouvy o fungování Evropské unie nadále uplatňovat existující komplexní pravidla pro ochranu osobních údajů, pokud je uvedou v soulad s tímto nařízením. 3.4.10. KAPITOLA X – AKTY V PŘENESENÉ PRAVOMOCI A PROVÁDĚCÍ AKTY Článek 86 obsahuje standardní ustanovení pro výkon přenesených pravomocí v souladu s článkem 290 SFEU. Tento článek umožňuje zákonodárci přenést na Komisi pravomoc přijímat nelegislativní akty s obecnou působností, kterými se doplňují nebo mění některé prvky legislativního aktu, které nejsou podstatné (kvazilegislativní akty). Článek 87 obsahuje ustanovení týkající se postupu projednávání ve výborech potřebného pro svěření prováděcích pravomocí Komisi v případech, kdy jsou podle článku 291 SFEU pro provedení právně závazných aktů Unie nezbytné jednotné podmínky. Použije se přezkumný postup. 3.4.11. KAPITOLA XI – ZÁVĚREČNÁ USTANOVENÍ Článkem 88 se zrušuje směrnice 95/46/ES. Článek 89 vymezuje vztah k směrnici 2002/58/ES a obsahuje její změny. Článek 90 ukládá Komisi povinnost provádět hodnocení nařízení a předkládat související zprávy. Článek 91 stanoví datum vstupu nařízení v platnost a přechodné období, pokud jde o datum jeho použití. 4. ROZPOČTOVÉ DŮSLEDKY Konkrétní rozpočtové důsledky návrhu vyplývají z úkolů přenesených na orgán evropského inspektora ochrany údajů, jak je uvedeno v legislativním finančním výkazu připojeném k tomuto návrhu. Tyto důsledky vyžadují změnu okruhu 5 finančního výhledu. Tento návrh nemá dopad na provozní výdaje. Legislativní finanční výkaz k tomuto návrhu nařízení obsahuje rozpočtové důsledky pro samotné nařízení a pro směrnici o ochraně údajů v oblasti policie a trestního soudnictví. 2012/0011 (COD) Návrh NAŘÍZENÍ EVROPSKÉHO PARLAMENTU A RADY o ochraně fyzických osob v souvislosti se zpracováváním osobních údajů a o volném pohybu těchto údajů (obecné nařízení o ochraně údajů) (Text s významem pro EHP) EVROPSKÝ PARLAMENT A RADA EVROPSKÉ UNIE, s ohledem na Smlouvu o fungování Evropské unie, a zejména na čl. 16 odst. 2 a čl. 114 odst. 1 této smlouvy, s ohledem na návrh Evropské komise, po postoupení návrhu legislativního aktu vnitrostátním parlamentům, s ohledem na stanovisko Evropského hospodářského a sociálního výboru[41], po konzultaci s evropským inspektorem ochrany údajů[42], v souladu s řádným legislativním postupem, vzhledem k těmto důvodům: (1) Ochrana fyzických osob v souvislosti se zpracováváním osobních údajů je základním právem. Ustanovení čl. 8 odst. 1 Listiny základních práv Evropské unie a čl. 16 odst. 1 Smlouvy stanoví, že každý má právo na ochranu osobních údajů, které se jej týkají. (2) Zpracování osobních údajů má sloužit lidem; zásady a pravidla ochrany fyzických osob v souvislosti se zpracováváním jejich osobních údajů by proto měly bez ohledu na státní příslušnost nebo bydliště těchto osob dodržovat jejich základní práva a svobody, zejména právo na ochranu osobních údajů. Zpracování osobních údajů by mělo přispět k dotvoření prostoru svobody, bezpečnosti a práva a hospodářské unie, k hospodářskému a sociálnímu pokroku, posilování a sbližování ekonomik v rámci vnitřního trhu a k dobrým životním podmínkám jednotlivců. (3) Účelem směrnice Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů[43] je harmonizovat právní předpisy o ochraně základních práv a svobod fyzických osob v souvislosti se zpracováním údajů a zaručit volný pohyb osobních údajů mezi členskými státy. (4) Hospodářská a sociální integrace vyplývající z fungování vnitřního trhu vedla ke značnému nárůstu přeshraničního pohybu údajů. Výměna údajů mezi hospodářskými a sociálními, veřejnými a soukromými subjekty se v celé Unii zvýšila. Právo Unie zavazuje vnitrostátní orgány členských států ke spolupráci a výměně osobních údajů, aby mohly plnit své povinnosti nebo provádět úkoly jménem orgánu jiného členského státu. (5) Rychlý technologický rozvoj a globalizace s sebou přinesly nové výzvy pro oblast ochrany osobních údajů. Objem sdílených a sbíraných údajů dramaticky vzrostl. Technologie umožňují jak soukromým společnostem, tak orgánům veřejné moci využívat při provádění jejich činností osobní údaje v nebývalém rozsahu. Jednotlivé osoby stále častěji zveřejňují své osobní údaje i v globálním měřítku. Technologie změnily ekonomiku i společenský život a vyžadují další zjednodušení volného pohybu údajů v rámci Unie a předávání do třetích zemí a mezinárodním organizacím a zároveň zajištění vysoké úrovně ochrany osobních údajů. (6) V souvislosti s tímto vývojem je třeba vytvořit pevný a jednotnější rámec pro ochranu údajů na úrovni Unie, jenž by se opíral o důrazné vymáhání práva, aby byla nastolena důvěra, která by umožnila rozvoj digitální ekonomiky na celém vnitřním trhu. Jednotlivé osoby by měly mít možnost kontrolovat své vlastní osobní údaje a měla by být posílena právní a praktická jistota pro jednotlivce, hospodářské subjekty a orgány veřejné moci. (7) Pokud jde o cíle a zásady, směrnice 95/46/EC zůstává v platnosti, avšak nezabránila roztříštěnosti, pokud jde o způsob uplatňování ochrany osobních údajů v rámci celé Unie, právní nejistotě a rozšířenému pocitu veřejnosti, že zejména s internetovými činnostmi jsou spojena značná rizika ohledně ochrany jednotlivých osob. Rozdíly v úrovni ochrany práv a svobod jednotlivých osob, zejména práva na ochranu osobních údajů, v souvislosti se zpracováním osobních údajů poskytované v členských státech mohou bránit volnému pohybu osobních údajů v rámci Unie. Tyto rozdíly mohou být překážkou pro výkon hospodářských činností na úrovni Unie, narušovat hospodářskou soutěž a bránit správním orgánům ve výkonu povinností, které mají na základě práva Unie. Tento rozdíl v úrovni ochrany vyplývá z rozdílů, které existují v provádění a uplatňování směrnice 95/46/ES. (8) S cílem zajistit jednotnou a vysokou úroveň ochrany fyzických osob a odstranit překážky pohybu osobních údajů by měla být úroveň ochrany práv a svobod osob v souvislosti se zpracováním těchto údajů rovnocenná ve všech členských státech. V celé Unii je třeba zajistit jednotné uplatňování pravidel ochrany základních práv a svobod fyzických osob v souvislosti se zpracováváním osobních údajů. (9) Účinná ochrana osobních údajů v celé Unii vyžaduje posílení a upřesnění práv subjektů údajů a povinností těch, kteří zpracovávají osobní údaje a určují způsob jejich zpracování, ale také stejné pravomoci členských států při sledování a zajišťování souladu s pravidly ochrany osobních údajů a stejné sankce za jejich porušování. (10) Ustanovení čl. 16 odst. 2 Smlouvy zmocňuje Evropský parlament a Radu ke stanovení pravidel týkajících se ochrany jednotlivců v souvislosti se zpracováváním osobních údajů a pravidel souvisejících s volným pohybem osobních údajů. (11) Aby byla zajištěna jednotná úroveň ochrany jednotlivců v celé Unii a odstraněny rozdíly bránící volnému pohybu údajů v rámci vnitřního trhu, je nezbytné přijmout nařízení, které poskytne hospodářským subjektům, včetně mikropodniků, malých a středních podniků, právní jistotu a transparentnost, jednotlivcům zaručí ve všech členských státech stejná právně vymahatelná práva a správcům a zpracovatelům uloží stejné povinnosti a odpovědnosti s cílem zajistit účinné sledování zpracovávání osobních údajů a stejné sankce ve všech členských státech, jakož i účinnou spolupráci mezi orgány dozoru různých členských států. Aby byla zohledněna specifická situace mikropodniků, malých a středních podniků, obsahuje toto nařízení řadu výjimek. Kromě toho jsou orgány a subjekty Unie, členské státy a jejich orgány dozoru podporovány v tom, aby při uplatňování tohoto nařízení zohledňovaly specifické potřeby mikropodniků, malých a středních podniků. Pojem mikropodniky, malé a střední podniky by měl vycházet z doporučení Komise 2003/361/ES ze dne 6. května 2003 o definici mikropodniků, malých a středních podniků. (12) Ochrana poskytovaná tímto nařízením se týká zpracovávání osobních údajů fyzických osob bez ohledu na jejich státní příslušnost nebo bydliště. Pokud jsou zpracovávány údaje právnických osob a zejména podniků vytvořených jako právnické osoby, např. název, právní forma a kontaktní údaje, neměly by se tyto právnické osoby domáhat ochrany na základě tohoto nařízení. To by mělo platit rovněž v případě, kdy jméno právnické osoby obsahuje jména jedné nebo více fyzických osob. (13) Ochrana jednotlivců by měla být technologicky neutrální a nezávislá na používaných postupech, jinak by bylo riziko obcházení předpisů příliš velké. Měla by platit jak pro automatizované zpracování osobních údajů, tak pro manuální zpracování, pokud jsou nebo mají být uloženy v evidenci. Záznamy nebo soubory záznamů, stejně jako jejich titulní strany, které nejsou uspořádány podle určených hledisek, by neměly spadat do oblasti působnosti tohoto nařízení. (14) Toto nařízení se nezabývá otázkami ochrany základních práv a svobod nebo volného pohybu údajů v souvislosti s činnostmi, které nespadají do působnosti práva Unie, ani zpracováním osobních údajů orgány, institucemi a jinými subjekty Unie, na které se vztahuje nařízení (ES) č. 45/2001[44], nebo zpracováním osobních údajů členskými státy při výkonu jejich činností v rámci společné zahraniční a bezpečnostní politiky Unie. (15) Toto nařízení by se nemělo uplatňovat na zpracování osobních údajů fyzickou osobou, které má výlučně osobní či domácí povahu, jako je korespondence a vedení adresářů, které se neprovádí za účelem zisku, a tedy bez jakékoli souvislosti s profesní nebo obchodní činností. Obdobně by se výjimka neměla vztahovat na správce nebo zpracovatele, kteří pro tyto osobní či domácí činnosti poskytují prostředky pro zpracování osobních údajů. (16) Ochrana fyzických osob v souvislosti se zpracováváním osobních údajů příslušnými orgány za účelem prevence, vyšetřování, odhalování či stíhání trestných činů nebo výkonu trestů a o volném pohybu těchto údajů je upravena vlastním právním nástrojem na úrovni Unie. Proto by se toto nařízení nemělo uplatňovat při zpracovávání údajů za těmito účely. Na údaje zpracovávané orgány veřejné moci podle tohoto nařízení, pokud jsou používány za účelem prevence, vyšetřování, odhalování či stíhání trestných činů nebo výkonu trestů, by se však měl vztahovat konkrétnější právní nástroj na úrovni Unie (směrnice XX/YYY). (17) Tímto nařízením by nemělo být dotčeno uplatňování směrnice 2000/31/ES, zejména pokud jde o pravidla týkající se odpovědnosti poskytovatelů zprostředkovatelských služeb uvedená v článcích 12 až 15 uvedené směrnice. (18) Toto nařízení umožňuje při provádění ustanovení v něm uvedených vzít v úvahu zásadu práva na přístup veřejnosti k úředním dokumentům. (19) Jakékoli zpracování osobních údajů v rámci činností provozovny správce nebo zpracovatele v Unii by mělo být prováděno v souladu s tímto nařízením bez ohledu na to, zda samotné zpracování probíhá v Unii nebo mimo ni. Provozovna předpokládá účinný a skutečný výkon činnosti prostřednictvím stálého zařízení. Právní forma této provozovny, ať již jde o pobočku nebo dceřinou společnost s právní subjektivitou, není v tomto ohledu rozhodujícím faktorem. (20) Aby se zamezilo případům, kdy jednotlivcům nebude poskytnuta ochrana, která jim je zaručena na základě tohoto nařízení, mělo by zpracování osobních údajů subjektů údajů usazených v Unii uskutečněné správcem, jenž není usazen v Unii, podléhat tomuto nařízení, pokud zpracovávání souvisí s nabídkou zboží nebo služeb těmto subjektům údajů nebo se sledováním chování těchto subjektů údajů. (21) Aby se určilo, zda může být zpracovávání považováno za „sledování chování“ subjektu údajů, mělo by být zjištěno, zda jsou sledovány při své činnosti na internetu za pomoci technik zpracovávání údajů, které spočívají ve vytvoření „profilu“ osoby, zejména pro přijímání rozhodnutí, která se jí týkají, nebo pro rozbor nebo předpovídání jejích osobních preferencí, postojů a jejího chování. (22) Pokud se vnitrostátní právo členského státu uplatňuje na základě mezinárodního práva veřejného, například u diplomatické mise členského státu nebo na konzulárním zastoupení, mělo by se toto nařízení vztahovat také na správce, který není usazen v Unii. (23) Zásady ochrany údajů by se měly uplatňovat na všechny informace týkající se identifikovaných nebo identifikovatelných osob. Při určování, zda je osoba identifikovatelná, by se mělo přihlédnout ke všem prostředkům, o nichž lze důvodně předpokládat, že je správce nebo jakákoli jiná osoba použijí pro identifikaci dané osoby. Zásady ochrany údajů by se neměly uplatňovat na údaje, které byly dostatečně anonymizovány tak, aby subjekt údajů již nebyl identifikovatelný. (24) Při využívání on-line služeb mohou být uživateli přiřazeny elektronické identifikátory, jako jsou adresy internetového protokolu nebo identifikátory cookies, které používají jeho zařízení, aplikace, nástroje a protokoly. To může zanechávat stopy, které mohou být spolu s jedinečnými identifikátory a dalšími informacemi, které servery získávají, použity k vytvoření profilů jednotlivých osob a k jejich identifikaci. Z toho vyplývá, že identifikační čísla, lokalizační údaje, elektronické identifikátory nebo jiné specifické prvky jako takové nemusejí být nezbytně za všech okolností považovány za osobní údaje. (25) Souhlas by měl být dán výslovně prostřednictvím vhodné metody, jež umožňuje svobodný, konkrétní a vědomý projev vůle subjektu údajů formou prohlášení nebo jednoznačného potvrzení, že jednotlivci jsou si vědomi, že dávají souhlas se zpracováním osobních údajů, například zaškrtnutím políčka při návštěvě webové stránky nebo jiným prohlášením nebo jednáním, které v tomto kontextu jasně signalizuje souhlas subjektu údajů s navrhovaným zpracováním jeho osobních údajů. Mlčení nebo nečinnost tudíž neznamenají souhlas. Souhlas by se měl vztahovat na veškeré činnosti zpracovávání prováděné pro stejný účel nebo stejné účely. Je-li subjekt údajů vyzván k vyjádření souhlasu elektronickou cestou, musí být žádost jasná, stručná a nesmí zbytečně přerušovat využívání služby, pro kterou je souhlas dáván. (26) Mezi osobní údaje o zdravotním stavu by měly být zahrnuty zejména všechny údaje související se zdravotním stavem subjektu údajů; informace o evidenci osoby pro poskytování zdravotní péče; informace o platbách nebo způsobilosti ke zdravotní péči dané osoby; číslo, symbol nebo specifický údaj přiřazený osobě za účelem její jednoznačné identifikace pro zdravotnické účely; jakékoliv informace o osobě shromážděné během poskytování zdravotních služeb této osobě; informace získané během provádění testů nebo vyšetřování části těla nebo tělesných látek, včetně biologických vzorků; identifikace osoby, poskytující dané osobě zdravotní péči nebo jakékoli informace například o nemoci, postižení, riziku onemocnění, anamnéze, klinické léčbě nebo fyziologickém či biomedicínském stavu subjektu údajů nezávisle na jejich původu, tedy bez ohledu na to, zda pocházejí od lékaře nebo jiného zdravotníka, ze zdravotnického zařízení, ze zdravotnického prostředku či diagnostických testů in vitro. (27) Hlavní provozovna správce v Unii by měla být určena na základě objektivních kritérií. Jedním z nich by měl být účinný a skutečný výkon řídících činností prostřednictvím stálého zařízení, v němž jsou přijímána hlavní rozhodnutí ohledně účelů, podmínek a prostředků zpracování. Přitom by nemělo být rozhodující, zda je zpracování osobních údajů skutečně prováděno na tomto místě; existence a používání technických prostředků a technologií pro zpracovávání osobních údajů nevytváří samy o sobě hlavní provozovnu, a proto nejsou rozhodujícím kritériem pro její určení. Hlavní provozovna správce by měla být místem, kde se nachází jeho ústřední správa v Unii. (28) Skupina podniků by měla zahrnovat řídící podnik a jím řízené podniky, přičemž řídícím podnikem by měl být podnik, jenž může uplatňovat dominantní vliv na jiné podniky například na základě vlastnictví, finanční účasti nebo pravidel, kterými se podnik řídí, či pravomoci zavádět předpisy týkající se ochrany osobních údajů. (29) Zvláštní ochranu osobních údajů si zaslouží děti, protože si mohou být méně vědomy rizik, důsledků, záruk a svých práv v souvislosti se zpracováním osobních údajů. Pro určení, kdy je osoba dítětem, by toto nařízení mělo převzít definici uvedenou v Úmluvě OSN o právech dítěte. (30) Jakékoli zpracování osobních údajů by mělo být vůči dotčeným jednotlivcům prováděno zákonným, korektním a transparentním způsobem. Obzvláště specifické účely, pro které jsou údaje zpracovávány, by měly být jednoznačné a legitimní a stanovené v době sběru údajů. Údaje by měly být z hlediska účelů, pro které jsou zpracovávány, přiměřené, podstatné a omezené na nezbytné minimum. Proto je třeba zejména zajistit, aby se nesbíralo neúměrné množství údajů a aby doba, po kterou jsou údaje uchovávány, byla omezena na nutné minimum. Osobní údaje by měly být zpracovávány pouze za účelem zpracování, kterého nemůže být dosaženo jinými prostředky. Měla by být přijata veškerá rozumná opatření, aby nepřesné osobní údaje byly opraveny nebo vymazány. Aby se zajistilo, že údaje nebudou uchovávány déle, než je to nezbytné, měl by správce stanovit lhůty pro výmaz nebo pravidelný přezkum. (31) Aby bylo zpracování zákonné, měly by být osobní údaje zpracovávány na základě souhlasu příslušné osoby nebo jiného oprávněného důvodu stanoveného zákonem, který vyplývá buď z tohoto nařízení nebo z jiného práva Unie nebo členského státu odkazujícího na toto nařízení. (32) Pokud je zpracování založeno na souhlasu subjektu údajů, měl by důkazní břemeno, že subjekt údajů vyjádřil souhlas se zpracováváním, nést správce. Zejména v případě písemného prohlášení souvisejícího s jinou skutečností by mělo být pomocí záruk zajištěno, že subjekt údajů si je vědom, že dává souhlas a v jakém rozsahu. (33) Aby se zajistilo, že souhlas je svobodný, mělo by být upřesněno, že souhlas není platným právním důvodem zpracování, pokud osoba nemá skutečnou a svobodnou volbu, a tudíž není schopna souhlas odmítnout nebo odvolat, aniž by tím byla poškozena. (34) Vyjádření souhlasu nepředstavuje platný právní důvod zpracování osobních údajů, pokud mezi postavením subjektu údajů a správce existuje značná nerovnováha. Jedná se zejména o případ, kdy je subjekt údajů závislý na správci, například pokud osobní údaje zaměstnanců v souvislosti se zaměstnáním zpracovává zaměstnavatel. Pokud je správce orgánem veřejné moci, došlo by k nerovnováze pouze při zpracovávání specifických údajů, při němž orgán veřejné moci může na základě svých příslušných veřejných pravomocí uložit povinnost a souhlas nemůže být považován za svobodně vyjádřený souhlas, přičemž je třeba vzít v úvahu zájmy subjektu údajů. (35) Zpracování údajů by mělo být zákonné, pokud je nezbytné v souvislosti s plněním smlouvy nebo úmyslem smlouvu uzavřít. (36) Pokud je zpracování prováděno pro splnění právní povinnosti, které podléhá správce, nebo je nezbytné pro vykonání úkolu ve veřejném zájmu nebo při výkonu veřejné moci, mělo by mít právní základ v právu Unie nebo v právu členského státu, které v případě jakéhokoli omezení práv a svobod splňuje požadavky Listiny základních práv Evropské unie. Obdobně by mělo být v právu Unie nebo vnitrostátním právu určeno, zda by správce vykonávající úkol ve veřejném zájmu nebo při výkonu veřejné moci měl být správním úřadem nebo jinou fyzickou nebo právnickou osobou podléhající veřejnému nebo soukromému právu, například profesním sdružením. (37) Zpracování osobních údajů by mělo být rovněž považováno za zákonné, pokud je nezbytné pro ochranu životně důležitého zájmu subjektu údajů. (38) Oprávněné zájmy správce mohou být právním základem zpracování za předpokladu, že nepřevažují nad zájmy a základními právy a svobodami subjektu údajů. Tyto zájmy je třeba pečlivě posoudit, zejména pokud je subjektem údajů dítě, neboť děti si zaslouží zvláštní ochranu. Subjekt údajů by měl mít právo bezplatně vznést proti zpracování námitku z důvodů týkajících se jeho konkrétní situace. Pro zajištění transparentnosti by správce měl mít povinnost výslovně informovat subjekt údajů o svých oprávněných zájmech a o jeho právu vznést námitku, jakož i povinnost tyto oprávněné zájmy dokumentovat. Jelikož právní základ pro zpracování údajů orgány veřejné moci upravuje zákonodárce právním předpisem, tento právní důvod se nepoužije pro zpracovávání prováděné orgány veřejné moci při plnění jejich úkolů. (39) Zpracování údajů orgány veřejné moci, skupinami pro reakci na počítačové hrozby, skupinami pro reakci na incidenty v oblasti počítačové bezpečnosti, poskytovateli elektronických komunikačních sítí a služeb a poskytovateli bezpečnostních technologií a služeb představuje oprávněný zájem příslušného správce údajů v rozsahu nezbytně nutném pro zajištění bezpečnosti sítě a informací, tj. schopnosti sítě nebo informačního systému odolávat, na dané úrovni spolehlivosti, náhodným událostem nebo nezákonnému či zlovolnému jednání s cílem ohrozit dostupnost, pravost, správnost a důvěrnost uchovávaných či předávaných údajů a bezpečnost souvisejících služeb poskytovaných či přístupných prostřednictvím těchto sítí a systémů. Oprávněný zájem by například mohl spočívat v zabránění neoprávněnému přístupu k sítím elektronických komunikací a šíření škodlivých kódů a zamezení útokům, jejichž důsledkem je odepření služby, a škodám na počítačových systémech a systémech elektronických komunikací. (40) Zpracování osobních údajů pro jiné účely by mělo být přípustné pouze v případech, pokud je slučitelné s účely, pro které byly údaje původně sbírány, zejména pokud je zpracování nezbytné pro účely historiografického, statistického a vědeckého výzkumu. Pokud jiný účel není slučitelný s původním účelem, pro který byly údaje sbírány, měl by správce pro tento účel zpracování získat souhlas subjektu údajů nebo by měl při zpracování vycházet z jiného oprávněného důvodu pro zákonné zpracování, který například vyplývá z práva Unie nebo práva členského státu, kterému správce podléhá. V každém případě by mělo být zajištěno, že budou zásady stanovené tímto nařízením uplatňovány a subjekt údajů bude informován o těchto jiných účelech. (41) Osobní údaje, které jsou ve své podstatě obzvláště citlivé a ohrožené z hlediska základních práv nebo soukromí, si zaslouží zvláštní ochranu. Tyto údaje by neměly být zpracovávány bez výslovného souhlasu subjektu údajů. Avšak měly by být jednoznačně stanoveny odchylky od tohoto zákazu, aby se vyhovělo zvláštním potřebám, zejména pokud je zpracování těchto údajů prováděno v průběhu legitimních činností některých sdružení či nadací, jejichž cílem je umožnit výkon základních svobod. (42) Odchylky od zákazu zpracování kategorií citlivých údajů by měly být rovněž povoleny, pokud byly učiněny na základě zákona a chráněny vhodnými zárukami na ochranu osobních údajů a jiných základních práv, je-li to opodstatněno z důvodů veřejného zájmu, zejména pokud jde o zdraví, včetně veřejného zdraví, sociální ochrany a řízení zdravotnických služeb, zejména pro zajištění kvality a hospodárnosti v postupech používaných pro vyřizování nároků na plnění a služby v rámci zdravotního pojištění nebo pro účely historiografického, statistického a vědeckého výzkumu. (43) Zpracovávání osobních údajů orgány veřejné moci za účelem dosahování cílů státem uznaných sdružení náboženské povahy, které jsou stanoveny ústavním právem nebo mezinárodním právem veřejným, se uskutečňuje z důvodů veřejného zájmu. (44) Pokud je v rámci činností spojených s volbami pro fungování demokratického systému v členském státě třeba, aby politické strany shromažďovaly údaje týkající se politických názorů jednotlivců, může být zpracování těchto údajů povoleno z důvodu veřejného zájmu za předpokladu, že jsou stanoveny vhodné záruky. (45) Pokud údaje zpracovávané správcem nedovolují správci identifikovat fyzickou osobu, není správce povinen získat dodatečné informace pro zjištění totožnosti subjektu údajů výlučně za účelem dosažení souladu s některým ustanovením tohoto nařízení. V případě žádosti o přístup by správce měl být oprávněn požádat subjekt údajů o další informace, jež by správci údajů umožnily lokalizovat osobní údaje, které daná osoba hledá. (46) Zásada transparentnosti vyžaduje, aby všechny informace určené veřejnosti nebo subjektu údajů byly snadno přístupné a srozumitelné a podávané v jasném a běžně užívaném jazyce. To platí obzvláště v situacích, jako je reklama on-line, do níž je zapojeno mnoho aktérů a jejíž technologická složitost znesnadňuje subjektu údajů, aby byl informován o tom, zda jsou jeho osobní údaje shromažďovány a kdo a za jakým účelem je shromažďuje, a aby těmto informacím rozuměl. Jelikož zvláštní ochranu zasluhují děti, měly by být všechny informace a oznámení, které jsou při zpracovávání určeny především dětem, podávány v tak jasném a běžně užívaném jazyce, aby mu dítě snadno porozumělo. (47) Měly by být stanoveny postupy, které by subjektům údajů usnadnily výkon jejich práv, jež jim podle tohoto nařízení náležejí, včetně bezplatného používání mechanismů pro podávání žádostí zejména o přístup k údajům, o opravu, výmaz, nebo práva vznést námitku. Správci by měla být uložena povinnost odpovědět na žádost subjektu údajů ve stanovené lhůtě s uvedením důvodů v případě, že žádosti subjektu údajů nevyhoví. (48) Podle zásad korektního a transparentního zpracování by subjekt údajů měl být informován především o probíhajícím zpracování údajů a jeho účelech, o tom, jak dlouho budou údaje uchovávány, o svém právu na přístup, opravu nebo výmaz a právu podat stížnost. Pokud jsou údaje získávány od subjektu údajů, měl by subjekt údajů být rovněž informován, zda je povinen údaje poskytnout, a o důsledcích v případě, že tyto údaje neposkytne. (49) Informování subjektu údajů o tom, že jsou zpracovávány jeho osobní údaje, by mělo proběhnout v okamžiku jejich shromažďování nebo, pokud údaje nejsou získávány od subjektu údajů, v přiměřené lhůtě v závislosti na okolnostech případu. Jestliže mohou být údaje legitimně sděleny jinému příjemci, měl by být subjekt údajů informován o prvním sdělení údajů tomuto příjemci. (50) Tuto povinnost však není třeba ukládat, pokud je subjekt údajů již informován nebo pokud zaznamenání nebo sdělování údajů je výslovně stanoveno zákonem nebo pokud poskytnutí těchto informací subjektu údajů není možné nebo by vyžadovalo neúměrné úsilí. Druhá možnost by mohla platit zejména v případě zpracování pro účely historiografického, statistického a vědeckého výzkumu; z tohoto hlediska lze přihlédnout k počtu subjektů údajů, ke stáří údajů, jakož i k přijatým vyrovnávacím opatřením. (51) Každá osoba by měla mít právo na přístup k údajům, které se jí týkají, a toto právo snadno uplatňovat, aby se mohla přesvědčit o zákonnosti jejich zpracování. Každý subjekt údajů by proto měl mít právo vědět a dozvědět se zejména, za jakým účelem se údaje zpracovávají, jak dlouho budou uchovávány, kdo jsou příjemci údajů, podle jakého postupu jsou údaje zpracovávány a jaké mohou být důsledky takového zpracování přinejmenším v případech, kdy je zpracování založeno na profilování. Tímto právem by neměla být dotčena práva a svobody ostatních, například obchodní tajemství nebo duševní vlastnictví a zejména autorské právo chránící programové vybavení. Tyto úvahy by ovšem neměly vést k tomu, že by subjektu údajů byly odepřeny všechny informace. (52) Správce by měl využít všech rozumných opatření k ověření totožnosti subjektu údajů, který žádá o přístup, zejména v souvislosti s on-line službami a elektronickými identifikátory. Správce by neměl uchovávat osobní údaje pouze za tím účelem, aby mohl reagovat na případné žádosti. (53) Každý subjekt údajů by měl mít právo na opravu osobních údajů, které se ho týkají, a „právo být zapomenut“, pokud uchovávání těchto údajů není v souladu s tímto nařízením. Subjekty údajů by především měly mít právo na to, aby jejich osobní údaje byly vymazány a nebyly dále zpracovávány, pokud tyto údaje již nejsou potřebné pro účely, pro které byly shromážděny nebo jinak zpracovány, pokud subjekty údajů odvolaly svůj souhlas se zpracováním nebo pokud vznesly námitku proti zpracování osobních údajů, které se jich týkají, nebo pokud zpracování jejich osobních údajů není slučitelné s tímto nařízením z jiných důvodů. Toto právo je obzvláště důležité v případech, kdy subjekt údajů dal svůj souhlas v dětském věku, aniž by si byl v plném rozsahu vědom rizik spojených se zpracováním údajů, a později chce tyto osobní údaje zejména na internetu odstranit. Další uchovávání údajů by však mělo být přípustné, pokud je to nezbytné pro účely historiografického, statistického a vědeckého výzkumu, z důvodů veřejného zájmu v oblasti veřejného zdraví, pro výkon práva na svobodu projevu, pokud to vyžaduje zákon nebo pokud existuje důvod pro omezení zpracování údajů namísto jejich výmazu. (54) Aby bylo v on-line prostředí posíleno „právo být zapomenut“, mělo by být rovněž rozšířeno právo na výmaz takovým způsobem, aby správce, který zveřejnil osobní údaje, měl povinnost informovat třetí strany, které tyto údaje zpracovávají, že subjekt údajů požaduje vymazání veškerých odkazů na své osobní údaje či veškerých kopií nebo replikací těchto osobních údajů. Správce by měl vzhledem k údajům, za jejichž zveřejnění je zodpovědný, přijmout veškerá rozumná opatření, včetně technických, aby toto informování třetích stran zajistil. V souvislosti se zveřejněním osobních údajů třetí stranou by měl odpovědnost nést správce, pokud třetí straně zveřejnění povolil. (55) Aby měly subjekty údajů větší kontrolu nad svými vlastními údaji a lépe uplatňovaly své právo na přístup, měly by v případě, kdy se osobní údaje zpracovávají elektronicky a ve strukturovaném a běžně používaném formátu, mít právo získat kopii údajů, které se jich týkají, rovněž v běžně používaném elektronickém formátu. Subjekt údajů by měl být rovněž oprávněn přenést údaje, které poskytl, z jedné automatizované aplikace, například ze sociální sítě, do jiné aplikace. To by mělo být možné v případě, kdy subjekt údajů poskytl údaje do automatizovaného systému zpracování na základě svého souhlasu nebo při plnění smlouvy. (56) V případech, kdy by osobní údaje mohly být oprávněně zpracovávány z důvodu ochrany životně důležitých zájmů subjektu údajů, z důvodů veřejného zájmu, výkonu veřejné správy nebo oprávněných zájmů správce, měl by každý dotčený subjekt údajů přesto mít právo vznést námitku proti zpracování údajů, které se jej týkají. Důkazní břemeno, že jeho oprávněné zájmy mohou převažovat nad zájmy nebo základními právy a svobodami subjektu údajů, by měl nést správce. (57) Pokud jsou údaje zpracovávány pro účely přímého marketingu, měl by mít subjekt údajů právo zdarma, jednoduše a účinně vznést proti tomuto zpracování námitku. (58) Každá fyzická osoba by měla mít právo, aby se na ni nevztahovalo žádné opatření založené na profilování prostřednictvím automatizovaného zpracování. Takové opatření by ovšem mělo být přípustné, pokud je výslovně povoleno zákonem, provedeno při uzavírání nebo plnění smlouvy, nebo pokud k tomu subjekt údajů dal svůj souhlas. V každém případě by takové zpracování mělo být spojeno s vhodnými zárukami, jako je informování subjektu údajů a právo na přímý osobní kontakt, jakož i vyloučení dětí z takového opatření. (59) Právo Unie nebo právo členského státu může zavést omezení určitých zásad a práva na informace, přístup, opravu a výmaz nebo práva na přenositelnost údajů, práva vznést námitku, opatření založených na profilování, jakož i omezení týkající se oznamování případů narušení bezpečnosti osobních údajů subjektu údajů nebo určitých souvisejících povinností správců, pokud je to v demokratické společnosti nutné a přiměřené pro zachování veřejné bezpečnosti, mimo jiné pro ochranu lidských životů zejména v reakci na přírodní nebo člověkem způsobené katastrofy, pro prevenci, vyšetřování, odhalování či stíhání trestných činů nebo pro porušování deontologických pravidel regulovaných povolání, ochranu jiných veřejných zájmů Unie nebo členského státu, zejména důležitého hospodářského nebo finančního zájmu Unie nebo členského státu, nebo ochranu subjektu údajů či práv a svobod ostatních. Tato omezení by měla být v souladu s požadavky stanovenými v Listině základních práv Evropské unie a Úmluvě o ochraně lidských práv a základních svobod. (60) Měla by být zavedena komplexní odpovědnost správce za jakékoli zpracování osobních údajů prováděné správcem nebo jeho jménem. Správce by měl zejména zajistit, aby každé zpracování bylo v souladu s tímto nařízením, a měl by být povinen tuto skutečnost doložit. (61) Ochrana práv a svobod subjektů údajů v souvislosti se zpracováním osobních údajů vyžaduje, aby byla přijata příslušná technická a organizační opatření jak při přípravě zpracování, tak v průběhu vlastního zpracování, s cílem zajistit splnění požadavků tohoto nařízení. Aby správce zajistil a prokázal soulad s tímto nařízením, měl by stanovit interní politiky a přijmout vhodná opatření, která splňují zejména zásady ochrany údajů již od návrhu a standardního nastavení ochrany údajů. (62) Pro ochranu práv a svobod subjektů údajů, jakož i z hlediska odpovědnosti správců a zpracovatele je třeba také s ohledem na sledování ze strany orgánů dozoru a jejich opatření jasně vymezit odpovědnosti podle tohoto nařízení, včetně případů, kdy správce určuje účely, podmínky a prostředky zpracování společně s jinými správci nebo kdy je zpracovávání prováděno jménem správce. (63) Pokud správce, který není usazen v Unii, zpracovává osobní údaje subjektů údajů, které mají bydliště v Unii, a toto zpracování souvisí s nabídkou zboží nebo služeb těmto subjektům údajů nebo se sledováním jejich chování, měl by jmenovat svého zástupce; výjimkou jsou případy, kdy je správce usazen ve třetí zemi, která zajišťuje odpovídající úroveň ochrany, nebo kdy je správce malým nebo středním podnikem či orgánem veřejné moci, nebo kdy správce těmto subjektům údajů nabízí zboží nebo služby jen příležitostně. Zástupce by měl jednat jménem správce a orgány dozoru se na něj mohou obracet. (64) Aby bylo stanoveno, zda správce nabízí zboží a služby subjektu údajů, který má bydliště v Unii, jen příležitostně, mělo by být zjištěno, zda je z celkových činností správce patrné, že nabízení zboží a služeb těmto subjektům údajů představuje pouze doplňující činnost k jeho hlavním činnostem. (65) Aby bylo prokázáno dodržování tohoto nařízení, měl by správce nebo zpracovatel vést záznamy o všech činnostech zpracování. Každý správce a zpracovatel by měl být povinen spolupracovat s orgánem dozoru a na jeho žádost mu zpřístupnit tyto záznamy, aby na jejich základě mohla být provedena kontrola zpracování. (66) Aby byla zachována bezpečnost a zabránilo se zpracování údajů, které by bylo v rozporu s tímto nařízením, měl by správce nebo zpracovatel posoudit riziko spojené se zpracováním a přijmout opatření ke zmírnění těchto rizik. Tato opatření by měla zajistit odpovídající úroveň bezpečnosti s ohledem na stav techniky a náklady na jejich provedení v souvislosti s riziky a povahou osobních údajů, které mají být chráněny. Komise by měla při stanovování technických norem a organizačních opatření k zajištění bezpečnosti zpracování podporovat technologickou neutralitu, interoperabilitu a inovace a případně spolupracovat se třetími zeměmi. (67) Není-li odpovídajícím způsobem a včas řešeno narušení bezpečnosti osobních údajů, může to příslušnému jednotlivci způsobit značnou hospodářskou ztrátu a společenskou škodu, včetně zneužití jeho identity. Proto by měl správce, jakmile se dozví, že došlo k takovému narušení bezpečnosti, toto narušení oznámit orgánu dozoru bez zbytečného odkladu a, je-li to možné, do 24 hodin. Pokud není možné tak učinit během 24 hodin, měly by být v oznámení vysvětleny důvody této prodlevy. Jednotlivci, jejichž osobní údaje by mohly být narušením bezpečnosti nepříznivě ovlivněny, by měli být bez prodlení vyrozuměni, aby mohli učinit nezbytná opatření. Narušení bezpečnosti by mělo být považováno za škodlivé pro ochranu údajů nebo soukromí subjektu údajů, pokud by mohlo vést například ke krádeži nebo zneužití identity, fyzické újmě, významnému ponížení nebo poškození pověsti. Oznámení by mělo popisovat povahu daného případu narušení bezpečnosti osobních údajů a obsahovat doporučení pro příslušnou osobu, jak případné nežádoucí účinky zmírnit. Oznámení by mělo být subjektu údajů učiněno co nejdříve, jak jen to je možné, a v těsné spolupráci s orgánem dozoru a podle pokynů tohoto orgánu nebo jiného příslušného orgánu (např. donucovacích orgánů). Aby mohl subjekt údajů zmírnit riziko bezprostřední škody, je například nutné subjekt údajů ihned informovat, přičemž delší lhůta může být opodstatněna, je-li potřebné přijmout vhodná opatření, která by zabránila pokračujícímu nebo obdobnému narušení bezpečnosti. (68) Aby se určilo, zda bylo narušení bezpečnosti osobních údajů ohlášeno orgánu dozoru a subjektu údajů bez zbytečného odkladu, mělo by být prověřeno, zda správce provedl a uplatnil dostatečná technická ochranná a organizační opatření, aby se ihned zjistilo, zda došlo k narušení bezpečnosti údajů, a aby byl orgán dozoru a subjekt údajů ihned informován, a to dříve než dojde k poškození osobních a hospodářských zájmů, přičemž je třeba vzít v úvahu zejména povahu a závažnost daného narušení a jeho důsledky a nežádoucí účinky pro subjekt údajů. (69) Při vytváření podrobných pravidel týkajících se formy a postupů oznamování případů narušení bezpečnosti osobních údajů by měly být náležitě zohledněny okolnosti případu, včetně otázky, zda byly osobní údaje chráněny vhodnými technickými ochrannými opatřeními, jež pravděpodobnost zneužití totožnosti a jiných forem zneužívání účinně omezují. Tato pravidla a postupy by navíc měly vzít v úvahu oprávněné zájmy donucovacích orgánů v případech, kdy by předčasné zveřejnění mohlo zbytečně ztížit vyšetřování okolností narušení. (70) Směrnice 95/46/ES stanovovala obecnou povinnost oznamovat zpracování osobních údajů orgánům dozoru. Jelikož tato povinnost s sebou nesla administrativní a finanční zátěž, nepřispívala ve všech případech ke zlepšení ochrany osobních údajů. Proto by měla být tato nerozlišující obecná oznamovací povinnost zrušena a nahrazena účinnými postupy a mechanismy, které by se místo toho zaměřovaly na ty činnosti zpracování, jež mohou na základě své povahy, svého rozsahu a svých účelů představovat specifická rizika z hlediska práv a svobod subjektů údajů. V těchto případech by měl správce nebo zpracovatel před zpracováním provést posouzení dopadu na ochranu údajů, jež by mělo zejména obsahovat plánovaná opatření, záruky a mechanismy pro zajištění ochrany osobních údajů a prokázání souladu s tímto nařízením. (71) To by mělo platit zejména pro nově vytvořené rozsáhlé evidence, jež mají sloužit ke zpracovávání značného množství osobních údajů na regionální, národní nebo nadnárodní úrovni a jež by se mohly týkat velkého počtu subjektů údajů. (72) Za určitých okolností může být rozumné a z hospodářského hlediska smysluplné, aby posouzení dopadu na ochranu údajů bylo pojato šířeji než pro jeden jediný projekt, například když orgány veřejné moci nebo veřejné subjekty mají v úmyslu vytvořit společnou aplikaci nebo platformu zpracování, nebo když několik správců chce zavést společnou aplikaci nebo zpracovatelské prostředí pro celé průmyslové odvětví nebo pro určitý segment nebo pro široce užívanou horizontální činnost. (73) Posouzení dopadu na ochranu údajů by měl vypracovat orgán veřejné moci nebo veřejný subjekt, pokud takové posouzení dopadů nebylo vypracováno již v souvislosti s přijetím vnitrostátního zákona, na jehož základě orgán veřejné moci nebo veřejný subjekt plní své úkoly a který upravuje dané specifické úkony nebo soubory úkonů spojené se zpracováním. (74) Pokud z posouzení dopadu na ochranu údajů vyplývá, že zpracovávání s sebou nese vysoké specifické riziko z hlediska práv a svobod subjektů údajů, například riziko, že dané osoby nebudou moci uplatnit své právo na ochranu údajů, nebo riziko plynoucí z využití nových specifických technologií, měl by být před zahájením činností konzultován orgán dozoru ohledně rizikového zpracování, které možná není v souladu s tímto nařízením, aby předložil návrhy na nápravu této situace. Tato konzultace může být rovněž uskutečněna během přípravy legislativního opatření vnitrostátního parlamentu nebo opatření založeného na tomto legislativním opatření, které vymezuje povahu zpracování a stanoví vhodné záruky. (75) Pokud je zpracování prováděno ve veřejném sektoru nebo velkým soukromým podnikem, nebo pokud hlavní činnosti podniku bez ohledu na jeho velikost zahrnují zpracovávání, jež vyžaduje pravidelné a systematické sledování, měla by správci nebo zpracovateli při sledování toho, zda je v rámci podniku dodržován soulad s tímto nařízením, asistovat další osoba. Tito inspektoři ochrany údajů, bez ohledu na to, zda se jedná o zaměstnance správce, či nikoli, by měli plnit své povinnosti a úkoly nezávisle. (76) Sdružení nebo jiné subjekty zastupující určité kategorie správců by měly být podněcovány k tomu, aby v souladu s tímto nařízením vypracovaly kodexy chování s cílem usnadnit účinné uplatňování tohoto nařízení, a to při zohlednění zvláštní povahy zpracování v některých oblastech. (77) Aby se zvýšila transparentnost a zlepšilo dodržování tohoto nařízení, mělo by být podpořeno zavedení mechanismů pro vydávání osvědčení, pečetí a známek dokládajících ochranu údajů, aby subjekty údajů mohly rychle zhodnotit úroveň ochrany údajů u příslušných produktů a služeb. (78) Přeshraniční pohyb osobních údajů je nezbytný pro rozvoj mezinárodního obchodu a mezinárodní spolupráce. Nárůst tohoto pohybu s sebou přinesl nové výzvy a problémy ohledně ochrany osobních údajů. Pokud jsou však osobní údaje předávány z Unie do třetích zemí nebo mezinárodním organizacím, neměla by být úroveň ochrany jednotlivců zaručovaná v Unii tímto nařízením oslabována. V každém případě by předávání do třetích zemí mělo být prováděno pouze za přísného dodržování tohoto nařízení. (79) Tímto nařízením nejsou dotčeny mezinárodní dohody uzavřené mezi Unií a třetími zeměmi o předávání osobních údajů včetně vhodných záruk pro subjekty údajů. (80) Komise může s účinkem pro celou Unii rozhodnout, že určité třetí země nebo území či odvětví zpracovávání v dané třetí zemi nebo určitá mezinárodní organizace zajišťují vhodnou úroveň ochrany údajů, a tímto způsobem ve vztahu k třetím zemím nebo mezinárodním organizacím, které jsou považovány za schopné poskytovat takovou úroveň ochrany, zajišťují právní jistotu a jednotné uplatňování práva v celé Unii. V těchto případech mohou být osobní údaje do těchto zemí předávány, aniž by bylo třeba získat další povolení. (81) V souladu se základními hodnotami, na kterých je Unie založena a mezi něž patří zejména ochrana lidských práv, by Komise měla při svém hodnocení třetí země zohlednit, jak daná třetí země respektuje právní stát, přístup k spravedlnosti a mezinárodní normy a standardy v oblasti lidských práv. (82) Komise může rovněž uznat, že třetí země nebo území či odvětví zpracovávání v dané třetí zemi nebo určitá mezinárodní organizace nezajišťuje přiměřenou úroveň ochrany údajů. Předávání osobních údajů do této třetí země by tudíž mělo být zakázáno. V tomto případě by měly být naplánovány konzultace mezi Komisí a těmito třetími zeměmi nebo mezinárodními organizacemi. (83) V případě absence rozhodnutí o přiměřenosti by správce nebo zpracovatel měl k odstranění nedostatků v oblasti ochrany údajů ve třetí zemí přijmout vhodné záruky pro ochranu subjektu údajů. Tyto vhodné záruky mohou spočívat ve využívání závazných podnikových pravidel, standardních doložek o ochraně údajů přijatých Komisí, standardních doložek o ochraně údajů přijatých orgánem dozoru nebo smluvních doložek schválených orgánem dozoru nebo jiných vhodných a přiměřených opatření opodstatněných na základě všech okolností spojených s předáváním údajů nebo řady údajů, které byly schváleny orgánem dozoru. (84) Skutečnost, že správci a zpracovatelé mohou používat standardní doložky o ochraně údajů přijaté Komisí nebo orgánem dozoru, by neměla správcům a zpracovatelům bránit v tom, aby zahrnuli standardní doložky o ochraně údajů i do rozsáhlejších smluv nebo doplnili jiné doložky, pokud tyto nejsou v přímém či nepřímém rozporu se standardními smluvními doložkami přijatými Komisí nebo orgánem dozoru nebo pokud neomezují práva a svobody subjektů údajů. (85) Skupina podniků by měla mít možnost pro své mezinárodní předávání údajů z Unie organizacím ve stejné skupině podniků využívat schválená závazná podniková pravidla, pokud tato pravidla obsahují základní zásady a vymahatelná práva pro zajištění vhodných záruk pro předávání nebo kategorie předávání osobních údajů. (86) Měla by být stanovena možnost předávat údaje za určitých okolností, pokud subjekt údajů dal svůj souhlas, pokud je předávání nezbytné v souvislosti se smlouvou anebo s uplatňováním právního nároku, pokud je to nutné z důvodů důležitého veřejného zájmu stanoveného právem Unie nebo členského státu nebo pokud je předávání prováděno z rejstříku zřízeného ze zákona, přístupného veřejnosti nebo osobám s oprávněným zájmem. V tomto případě by se takové předání nemělo týkat všech údajů ani celých kategorií údajů obsažených v tomto rejstříku, a pokud má být rejstřík přístupný osobám s oprávněným zájmem, mělo by být předání uskutečněno pouze na žádost těchto osob nebo pokud jsou tyto osoby jejich příjemci. (87) Tyto odchylky se uplatní zejména v případech, kdy jsou předání údajů požadovaná a nutná k ochraně důležitého veřejného zájmu, například v případech mezinárodního předávání údajů mezi příslušnými orgány pro hospodářskou soutěž, daňovými či celními správami, orgány finančního dohledu, útvary příslušnými v oblasti sociálního zabezpečení nebo příslušnými orgány pro prevenci, vyšetřování, odhalování či stíhání trestných činů. (88) Předání, které nelze označit za časté nebo značného rozsahu, by mohla být možná rovněž pro účely oprávněných zájmů správce nebo zpracovatele, pokud posoudil všechny okolnosti daného předání údajů. Při zpracování údajů pro účely historiografického, statistického a vědeckého výzkumu by měla být zohledněna oprávněná očekávání společnosti ohledně zvyšování znalostí. (89) V každém případě, pokud Komise nepřijala rozhodnutí o odpovídající úrovni ochrany údajů ve třetí zemi, by měl správce nebo zpracovatel využít řešení, na jejichž základě je zaručeno, že jakmile jsou údaje předány, subjekty údajů i nadále požívají základních práv a záruk platných při zpracování jejich údajů v Unii. (90) Některé třetí země přijaly zákony, nařízení a jiné právní předpisy, které mají přímo upravovat zpracovávání údajů ze strany fyzických nebo právnických osob spadajících do pravomoci členských států. Používání těchto zákonů, nařízení a jiných právních předpisů mimo území těchto třetích zemí může znamenat porušení mezinárodního práva a narušovat ochranu fyzických osob zaručenou v Unii tímto nařízením. Předávání údajů by mělo být přípustné jen tehdy, jsou-li splněny podmínky předávání údajů do třetích zemí stanovené v tomto nařízení. Tak tomu může být například v případě, kdy je sdělení údajů nezbytné z důvodu důležitého veřejného zájmu, jenž je uznán v právu Unie nebo v právu členského státu, kterému správce podléhá. Podmínky, za jakých se jedná o důvod důležitého veřejného zájmu, by měla Komise blíže vymezit v aktu v přenesené pravomoci. (91) Při předávání osobních údajů přes hranice se jednotlivci mohou vystavovat vyššímu riziku, že nebudou schopni vykonávat svá práva na ochranu údajů, zejména se chránit před nezákonným použitím nebo zveřejňováním těchto informací. Zároveň se může stát, že orgány dozoru nebudou schopny vyřizovat stížnosti nebo provádět šetření týkající se činností prováděných za hranicemi svého státu. Překážkou pro jejich úsilí o přeshraniční spolupráci mohou být také nedostatečné preventivní a nápravné pravomoci, nejednotné právní řády a praktické překážky, například omezené zdroje. Proto je třeba podporovat užší spolupráci mezi orgány dozoru pro ochranu údajů s cílem umožnit jim výměnu informací a provádění šetření ve spolupráci s orgány dozoru jiných zemí. (92) Zřízení orgánů dozoru vykonávajících zcela nezávisle své úkoly v členských státech je zásadním prvkem ochrany jednotlivců v souvislosti se zpracováním osobních údajů. Členské státy mohou zřídit více než jeden orgán dozoru, pokud to odpovídá jejich ústavní, organizační a administrativní struktuře. (93) Pokud členský stát zřídí několik orgánů dozoru, měl by zavést právní nástroje, které by zajistily účinnou účast těchto orgánů dozoru v mechanismu jednotnosti. Tento členský stát by měl zejména jmenovat orgán dozoru, jenž bude fungovat jako jediné kontaktní místo pro účinnou účast těchto orgánů v mechanismu a jenž zajistí rychlou a plynulou spolupráci s ostatními orgány dozoru, Evropskou radou pro ochranu údajů a Komisí. (94) Každému orgánu dozoru by měly být poskytnuty odpovídající finanční a lidské zdroje, prostory a infrastruktura, které bude potřebovat pro účinné vykonávání svých úkolů, včetně úkolů, jež bude plnit v rámci vzájemné pomoci a spolupráce s ostatními orgány dozoru v celé Unii. (95) Obecné podmínky pro členy orgánu dozoru by měly být v každém členském státě upraveny právním předpisem a zejména by měly stanovit, že tito členové by měli být jmenováni parlamentem nebo vládou členského státu, a dále by měly obsahovat pravidla o osobní způsobilosti členů a jejich postavení. (96) Orgány dozoru by měly sledovat uplatňování ustanovení tohoto nařízení a přispívat k jejich jednotnému uplatňování v celé Unii s cílem chránit fyzické osoby v souvislosti se zpracováváním jejich osobních údajů a usnadnit volný pohyb osobních údajů v rámci vnitřního trhu. Za tímto účelem by orgány dozoru měly spolupracovat s Komisí a mezi sebou. (97) Dochází-li ke zpracování osobních údajů v rámci činnosti některé provozovny správce nebo zpracovatele ve více členských státech Unie, měl by být k dohledu nad činnostmi prováděnými správcem či zpracovatelem v celé Unii a k přijímání souvisejících rozhodnutí příslušný jen jediný orgán dozoru, aby se zlepšilo jednotné uplatňování předpisů, poskytla právní jistota a snížila administrativní zátěž těchto správců a zpracovatelů. (98) Příslušný orgán, který převezme úkoly jediného kontaktního místa, by měl být orgán dozoru toho členského státu, v němž má správce nebo zpracovatel hlavní provozovnu. (99) Ačkoli se toto nařízení vztahuje také na činnosti vnitrostátních soudů, neměly by být orgány dozoru příslušné k dozoru nad zpracováním osobních údajů, pokud soudy jednají v rámci svých soudních pravomocí, aby byla zachována nezávislost soudců při výkonu jejich soudních úkolů. Tato výjimka by však měla být striktně omezena na čistě soudní činnosti v soudních řízeních a neměla by se vztahovat na jiné činnosti, do kterých mohou být soudci v souladu s vnitrostátním právem zapojeni. (100) Aby se zajistilo jednotné sledování a prosazování tohoto nařízení v celé Unii, měly by mít orgány dozoru v každém členském státě tytéž povinnosti a účinné pravomoci, včetně pravomocí provádět šetření, právně závazné zásahy, přijímat rozhodnutí a sankce, zejména v případech stížností jednotlivců, a pravomoci obrátit se na soud. Orgány dozoru by měly své pravomoci provádět šetření, pokud jde o zpřístupňování prostorů, vykonávat v souladu s právem Unie a právem členského státu. To se týká zejména požadavku získat předchozí soudní povolení. (101) Každý orgán dozoru by se měl zabývat stížnostmi podanými kterýmkoli subjektem údajů a záležitost prošetřit. Šetření, které následuje po podání stížnosti, by mělo být s výhradou soudního přezkumu provedeno v rozsahu, jenž je v daném případě přiměřený. Orgán dozoru by měl subjekt údajů v rozumné lhůtě informovat o vývoji a výsledku stížnosti. Subjekt údajů by měl být průběžně informován v případě, kdy je zapotřebí další šetření nebo koordinace s jiným orgánem dozoru. (102) Činnosti orgánů dozoru, jejichž cílem je zvyšování povědomí veřejnosti, by měly zahrnovat specifická opatření zaměřená na správce a zpracovatele, včetně mikropodniků, malých a středních podniků, jakož i na subjekty údajů. (103) Orgány dozoru by si měly při provádění svých úkolů vzájemně pomáhat, aby bylo zajištěno jednotné uplatňování a prosazování tohoto nařízení na vnitřním trhu. (104) Každý orgán dozoru by měl mít právo účastnit se společných operací orgánů dozoru. Dožadovaný orgán dozoru byl měl mít povinnost odpovědět na žádost ve stanovené lhůtě. (105) Aby bylo zajištěno jednotné uplatňování tohoto nařízení v celé Unii, měl by být zaveden mechanismus jednotnosti pro spolupráci mezi orgány dozoru a s Komisí. Tento mechanismus by se měl použít především tehdy, má-li orgán dozoru v úmyslu přijmout opatření ohledně jednotlivých činností zpracování, které souvisejí s nabídkou zboží nebo služeb subjektům údajů v několika členských státech, nebo se sledováním těchto subjektů údajů nebo které by mohly významně ovlivnit volný pohyb osobních údajů. Měl by se použít také v případě, kdy orgán dozoru nebo Komise žádají, aby byla záležitost projednávána v rámci mechanismu jednotnosti. Tímto mechanismem by neměla být dotčena jiná opatření, která by Komise mohla přijmout při výkonu svých pravomocí podle Smluv. (106) Při použití mechanismu jednotnosti by Evropská rada pro ochranu údajů, pokud tak rozhodne prostá většina jejích členů nebo pokud o to požádá jiný orgán dozoru či Komise, měla ve stanovené lhůtě vydat stanovisko. (107) Aby byl zajištěn soulad s tímto nařízením, může Komise v této záležitosti zaujmout stanovisko nebo přijmout rozhodnutí, kterým po orgánu dozoru bude vyžadovat, aby přijetí navrhovaného opatření odložil. (108) Může se vyskytnout naléhavá potřeba jednat, aby byly ochráněny zájmy subjektů údajů, zejména pokud hrozí, že výkon některého z práv subjektu údajů by mohl být značně ztížen. Orgán dozoru by proto měl při použití mechanismu jednotnosti mít možnost přijmout dočasná opatření se stanovenou dobou platnosti. (109) Použití tohoto mechanismu by mělo být podmínkou pro právní platnost a prosazování příslušného rozhodnutí orgánem dozoru. V ostatních případech s přeshraničním rozměrem by si mohly příslušné orgány dozoru na dvoustranné nebo mnohostranné úrovni poskytovat vzájemnou pomoc a provádět společná šetření, aniž by použily mechanismus jednotnosti. (110) Na úrovni Unie by měla být zřízena Evropská rada pro ochranu údajů. Tato Rada by měla nahradit pracovní skupinu pro ochranu fyzických osob v souvislosti se zpracováním osobních údajů zřízenou směrnicí 95/46/ES. Měla by být složena z vedoucího orgánu dozoru každého členského státu a evropského inspektora ochrany údajů. Komise by se měla jejích činností účastnit. Evropská rada pro ochranu údajů by měla přispívat k jednotnému uplatňování tohoto nařízení v celé Unii, například poskytovat Komisi poradenství a podporovat spolupráci orgánů dozoru v celé Unii. Evropská rada pro ochranu údajů by měla při plnění svých úkolů jednat nezávisle. (111) Každý subjekt údajů by měl mít právo podat stížnost orgánu dozoru v jakémkoli členském státě a mít právo na soudní opravný prostředek, jestliže se domnívá, že byla porušena jeho práva podle tohoto nařízení, nebo pokud orgán dozoru na stížnost nereaguje nebo nejedná, přestože je to nutné pro ochranu práva subjektu údajů. (112) Veškeré subjekty, organizace nebo sdružení, jejichž cílem je chránit práva a zájmy subjektů údajů v souvislosti s ochranou jejich osobních údajů a jež byly řádně zřízeny podle práva některého členského státu, by měly mít právo vznést jménem subjektů údajů stížnost k orgánu dozoru nebo uplatnit právo na soudní opravný prostředek, nebo nezávisle na stížnosti subjektu údajů podat vlastní stížnost, jestliže se domnívají, že došlo k narušení bezpečnosti osobních údajů. (113) Každá fyzická nebo právnická osoba by měla mít právo na soudní opravný prostředek proti rozhodnutím orgánu dozoru, která se jí týkají. Řízení proti orgánu dozoru by se měla zahajovat před soudy toho členského státu, v němž je daný orgán dozoru usazen. (114) Aby byla posílena soudní ochrana subjektu údajů v situacích, kdy je příslušný orgán dozoru usazen v jiném členském státě než je stát, ve kterém má subjekt údajů bydliště, může subjekt údajů požádat jakýkoli subjekt, organizaci nebo sdružení, jejichž cílem je chránit práva a zájmy subjektů údajů v souvislosti s ochranou jejich osobních údajů, aby proti tomuto orgánu dozoru v tomto jiném členském státě jeho jménem zahájil u příslušného soudu řízení. (115) V případech, kdy příslušný orgán dozoru usazený v jiném členském státě v souvislosti se stížností nejedná nebo přijal nedostatečná opatření, může subjekt údajů požádat orgán dozoru v členském státě svého obvyklého pobytu, aby proti tomuto orgánu dozoru v tomto jiném členském státě zahájil u příslušného soudu řízení. Dožadovaný orgán dozoru může s výhradou soudního přezkumu rozhodnout, zda je vhodné této žádosti vyhovět či nikoli. (116) Při řízeních proti správci nebo zpracovateli by žalobce měl mít možnost volby, zda podá žalobu u soudů členského státu, kde je správce nebo zpracovatel usazen nebo kde má subjekt údajů bydliště, s výjimkou případů, kdy je správce orgánem veřejné moci, který jedná v rámci výkonu veřejné moci. (117) Existují-li náznaky, že řízení probíhá paralelně u soudů v různých členských státech, měly by soudy mít povinnost vzájemně se kontaktovat. Soudy by měly mít možnost řízení odročit, pokud řízení probíhá paralelně v jiném členském státě. Členské státy by měly zajistit, aby existovaly účinné soudní prostředky, které by umožňovaly rychlé přijetí opatření, jež by vedla k nápravě nebo by zabránila porušování tohoto nařízení. (118) Veškeré škody, které mohou vzniknout osobám v důsledku protiprávního zpracování by měly být nahrazeny správcem nebo zpracovatelem, který může být zproštěn své odpovědnosti, pokud prokáže, že vznik škody mu nelze přičítat, zejména pokud prokáže chybu subjektu údajů nebo případ vyšší moci. (119) Každé osobě, ať již podléhá soukromému či veřejnému právu, která nebude dodržovat toto nařízení, by měly být uloženy sankce. Členské státy by měly zajistit, že sankce budou účinné, přiměřené a odrazující, a měly by přijmout veškerá opatření pro uplatnění sankcí. (120) Aby byly posíleny a harmonizovány správní sankce za porušení tohoto nařízení, měl by každý orgán dozoru mít pravomoc trestat správní přestupky. Tyto přestupky by měly být uvedeny v tomto nařízení spolu s maximální hranicí odpovídajících správních pokut, které by měly být stanoveny v každém jednotlivém případě poměrně ke konkrétní situaci a s ohledem zejména na povahu, závažnost a dobu trvání daného porušení. V rámci mechanismu jednotnosti mohou být projednávány také odchylky při používání správních sankcí. (121) Zpracování osobních údajů prováděné výlučně pro účely žurnalistiky nebo uměleckého či literárního projevu by mělo opravňovat k výjimce z některých ustanovení tohoto nařízení za účelem uvedení práva na ochranu osobních údajů do souladu s právem na svobodu projevu, a především s právem získávat nebo sdělovat informace tak, jak to zejména zaručuje článek 11 Listiny základních práv Evropské unie. To by mělo platit zejména pro zpracování osobních údajů v audiovizuální oblasti a ve zpravodajských a tiskových archivech. Členské státy by proto měly přijmout legislativní opatření pro stanovování odchylek a výjimek, které jsou nezbytné pro vyvážení těchto základních práv. Členské státy by měly tyto odchylky a výjimky přijímat s ohledem na obecné zásady, práva subjektu údajů, správce a zpracovatele, předávání údajů do třetích zemí nebo mezinárodním organizacím, nezávislé orgány dozoru a na spolupráci a jednotné použití. To by ovšem nemělo vést k tomu, aby členské státy přijímaly výjimky pro jiná ustanovení tohoto nařízení. Aby byl zohledněn význam práva na svobodu projevu v každé demokratické společnosti, je třeba vykládat pojmy související s touto svobodou, například žurnalistika, šířeji. Členské státy by proto měly za účelem stanovení výjimek a odchylek podle tohoto nařízení vymezit „žurnalistické“ činnosti jako činnosti, jejichž cílem je sdělení informací, názorů či myšlenek veřejnosti bez ohledu na to, jaký sdělovací prostředek se použije. Tyto činnosti lze provozovat za účelem zisku či k neziskovým účelům a neměly by být omezeny na mediální podniky. (122) Zpracování osobních údajů o zdravotním stavu jako zvláštní kategorie údajů, která si zasluhuje vyšší stupeň ochrany, může být často odůvodněno řadou oprávněných důvodů ve prospěch jednotlivců a společnosti jako celku, zejména pokud jde o zajištění kontinuity přeshraniční zdravotní péče. Toto nařízení by proto mělo s využitím vhodných a zvláštních záruk na ochranu základních práv a osobních údajů jednotlivců harmonizovat podmínky zpracování osobních údajů o zdravotním stavu. To zahrnuje právo jednotlivců na přístup k osobním údajům o svém zdravotním stavu, například k údajům ve své lékařské dokumentaci, která obsahuje například informace o diagnóze, výsledky vyšetření, posudky ošetřujících lékařů a údaje o léčbě a údaje o veškerých provedených ošetřeních nebo zákrocích. (123) Z důvodů veřejného zájmu v oblasti veřejného zdraví může být nezbytné zpracovávat osobní údaje o zdravotním stavu bez souhlasu subjektu údajů. V této souvislosti by mělo být „veřejné zdraví“ vykládáno ve smyslu definice v nařízení Evropského parlamentu a Rady (ES) č. 1338/2008 ze dne 16. prosince 2008 o statistice Společenství v oblasti veřejného zdraví a bezpečnosti a ochrany zdraví při práci jako veškeré prvky týkající se zdraví, zejména zdravotní stav včetně nemocnosti a zdravotního postižení, determinanty ovlivňující tento zdravotní stav, potřeby zdravotní péče, prostředky přidělené na zdravotní péči, poskytování zdravotní péče a její všeobecná dostupnost, výdaje na zdravotní péči a její financování a příčiny úmrtnosti. Takové zpracování osobních údajů o zdravotním stavu z důvodu veřejného zájmu by nemělo vést k tomu, aby třetí strany, jako jsou zaměstnavatelé, pojišťovny a finanční společnosti, zpracovávaly osobní údaje pro jiné účely. (124) Obecné zásady ochrany jednotlivců při zpracování osobních údajů by měly platit také v souvislosti se zaměstnáním. V mezích tohoto nařízení by měly členské státy mít možnost přijmout právním předpisem zvláštní pravidla, která upraví zpracovávání osobních údajů zaměstnanců v souvislosti se zaměstnáním. (125) Aby bylo zpracování osobních údajů pro účely historiografického, statistického a vědeckého výzkumu zákonné, mělo by také respektovat další příslušné právní předpisy, upravující například klinické studie. (126) Vědecký výzkum by pro účely tohoto nařízení měl zahrnovat základní výzkum, aplikovaný výzkum a výzkum financovaný ze soukromých zdrojů a kromě toho by měl zohledňovat cíl Unie podle čl. 179 odst. 1 Smlouvy o fungování Evropské unie, tj. vytvořit evropský výzkumný prostor. (127) Pokud jde o pravomoci orgánů dozoru získat od správce nebo zpracovatele přístup k osobním údajům a přístup do jejich prostorů, mohou členské státy v mezích tohoto nařízení právním předpisem přijmout zvláštní pravidla pro ochranu povinnosti zachovávat profesní tajemství nebo jiné rovnocenné povinnosti mlčenlivosti, pokud je to nezbytné pro uvedení práva na ochranu osobních údajů do souladu s povinností zachovávat profesní tajemství. (128) V souladu s článkem 17 Smlouvy o fungování Evropské unie toto nařízení respektuje a nepředjímá postavení církví a náboženských sdružení či spolků v členských státech podle vnitrostátního právního řádu. Jestliže církev v některém členském státě v době vstupu tohoto nařízení v platnost uplatňuje komplexní pravidla týkající se ochrany jednotlivců v souvislosti se zpracováváním osobních údajů, tato existující pravidla by měla nadále platit za předpokladu, že se uvedou do souladu s tímto nařízením. Tyto církve a náboženská sdružení by měly mít povinnost zajistit zřízení zcela nezávislého orgánu dozoru. (129) Aby byly splněny cíle tohoto nařízení, zejména chránit základní práva a svob