EVROPSKÁ KOMISE V Bruselu dne 14.10.2022 COM(2022) 530 final SDĚLENÍ KOMISE EVROPSKÉMU PARLAMENTU A RADĚ První zpráva o uplatňování nařízení o ochraně údajů pro orgány, instituce a jiné subjekty Evropské unie (nařízení (EU) 2018/1725)



Obsah 1 Úvod 2 Samostatná pravidla ochrany osobních údajů pro orgány, instituce a jiné subjekty Unie, která jsou v souladu s právními předpisy Unie o ochraně osobních údajů 3 Provádění nařízení o zpracování osobních údajů orgány, institucemi a jinými subjekty Unie v orgánech, institucích a jiných subjektech Unie 3.1 Orgány, instituce a jiné subjekty Unie v úloze správců 3.2 Výkon práv subjektů údajů 3.3 Omezení práv subjektů údajů prostřednictvím vnitřních pravidel 3.4 Pověřenci pro ochranu osobních údajů 3.5 Posouzení vlivu na ochranu osobních údajů 3.6 Mezinárodní předávání údajů 4 Činnosti evropského inspektora ochrany údajů 4.1 Evropský inspektor ochrany údajů jako dozorový úřad pro ochranu osobních údajů pro orgány, instituce a jiné subjekty Unie 4.2 Evropský inspektor ochrany údajů jako poradce unijního normotvůrce 4.3 Spolupráce mezi evropským inspektorem ochrany údajů a vnitrostátními úřady pro ochranu osobních údajů 4.4 Zdroje evropského inspektora ochrany údajů 5 Využití zmocnění Komise k přijímání aktů v přenesené pravomoci a prováděcích aktů 6 Pravidla ochrany údajů pro instituce a jiné subjekty, které se zabývají policejní spoluprací a justiční spoluprací v trestních věcech 6.1 Rozšíření působnosti kapitoly o prosazování práva nařízení o zpracování osobních údajů orgány, institucemi a jinými subjekty Unie

6.2 Objasnění použitelnosti některých ustanovení nařízení o zpracování osobních údajů orgány, institucemi a jinými subjekty Unie na zpracování operativních údajů 6.3 Pravomoci evropského inspektora ochrany údajů při dozoru nad institucemi a jinými subjekty Unie 7 Další postup PŘÍLOHA

1Úvod Nařízení o ochraně údajů pro orgány, instituce a jiné subjekty Evropské unie (dále jen „nařízení o zpracování osobních údajů orgány, institucemi a jinými subjekty Unie“) představuje hlavní rámec ochrany osobních údajů pro orgány, instituce a jiné subjekty Unie (dále jen „orgány, instituce a jiné subjekty“), které zpracovávají osobní údaje jako správci nebo zpracovatelé. Nařízení tvoří pilíř řádné správy věcí veřejných a řádného úředního postupu na úrovni Unie. Platí od 11. prosince 2018, kdy zrušilo a nahradilo svého předchůdce, nařízení (ES) č. 45/2001. Toto sdělení představuje první zprávu o uplatňování nařízení o zpracování osobních údajů orgány, institucemi a jinými subjekty Unie v souladu s článkem 97 tohoto nařízení. Přezkoumává rovněž právní akty přijaté na základě Smluv a upravující zpracování operativních osobních údajů orgány, institucemi a jinými subjekty Unie při výkonu činností, které v souladu s článkem 98 nařízení o zpracování osobních údajů orgány, institucemi a jinými subjekty Unie spadají do oblasti působnosti policejní spolupráce a justiční spolupráce v trestních věcech. Komise shromáždila informace o uplatňování nařízení o zpracování osobních údajů orgány, institucemi a jinými subjekty Unie prostřednictvím průzkumu zahájeného v říjnu 2021, v němž byly orgány, instituce a jiné subjekty vyzvány, aby se podělily o své zkušenosti s uplatňováním nařízení o zpracování osobních údajů orgány, institucemi a jinými subjekty Unie. Celkem odpovědělo 56 orgánů, institucí a jiných subjektů Unie a statistické údaje o orgánech, institucích a jiných subjektech Unie uvedené ve zprávě vycházejí z těchto odpovědí. Samostatná žádost o příspěvek byla v rámci úlohy dozorového úřadu zaslána evropskému inspektorovi ochrany údajů. Nakonec Komise zveřejnila také výzvu ke sdělení skutečností, v níž se mohla vyjádřit i veřejnost. Otázkám, které byly v několika málo podáních obdržených v reakci na výzvu ke sdělení skutečností vzneseny, se tato zpráva rovněž věnuje. Tato zpráva zasazuje nařízení o zpracování osobních údajů orgány, institucemi a jinými subjekty Unie do rámce unijního práva v oblasti ochrany osobních údajů, představuje jeho uplatňování ze strany orgánů, institucí a jiných subjektů Unie a činnosti evropského inspektora ochrany údajů a analyzuje uplatňování kapitoly vztahující se na instituce a jiné subjekty Unie při výkonu činností v oblasti policejní spolupráce a justiční spolupráce v trestních věcech. V závěru zprávy je nastíněn další postup. 2Samostatná pravidla ochrany osobních údajů pro orgány, instituce a jiné subjekty Unie, která jsou v souladu s právními předpisy Unie o ochraně osobních údajů Hlavními nástroji ochrany osobních údajů v Unii jsou obecné nařízení o ochraně osobních údajů, směrnice o prosazování práva a směrnice o soukromí a elektronických komunikacích. Nevztahují se však na zpracování osobních údajů ze strany orgánů, institucí a jiných subjektů Unie. Proto je nutné zavést samostatná pravidla ochrany údajů pro orgány, instituce a jiné subjekty Unie, která však budou s uvedenými předpisy v souladu. Tato pravidla jsou zavedena v nařízení o zpracování osobních údajů orgány, institucemi a jinými subjekty Unie. Aby byl zajištěn jednotný přístup k ochraně osobních údajů a jejich volnému pohybu v Unii, je nařízení o zpracování osobních údajů orgány, institucemi a jinými subjekty Unie v co nejvyšší míře uvedeno do souladu s pravidly ochrany osobních údajů přijatými pro veřejný sektor, která jsou stanovena v obecném nařízení o ochraně osobních údajů a ve směrnici o prosazování práva. Kdykoli se nařízení o zpracování osobních údajů orgány, institucemi a jinými subjekty Unie řídí stejnými zásadami jako obecné nařízení o ochraně osobních údajů, mělo by být vykládáno stejným způsobem, neboť by mělo být chápáno jako rovnocenné s obecným nařízením o ochraně osobních údajů. Totéž lze předpokládat u pravidel, která jsou uvedena do souladu se směrnicí o prosazování práva. Nařízení o zpracování osobních údajů orgány, institucemi a jinými subjekty Unie je přizpůsobeno specifickým souvislostem orgánů, institucí a jiných subjektů Unie, jak je popsáno v níže uvedených bodech. ·Vzhledem k tomu, že oblast působnosti tohoto nařízení se vztahuje výhradně na orgány, instituce a jiné subjekty Unie jakožto veřejné subjekty, bylo z něj vypuštěno několik ustanovení obecného nařízení o ochraně osobních údajů, která se týkají pouze soukromého sektoru. V nařízení o zpracování osobních údajů orgány, institucemi a jinými subjekty Unie například neexistuje možnost zpracovávat na základě právního základu „oprávněných zájmů“ správce. ·Některá zmocnění pro Komisi k přijímání prováděcích aktů nebo aktů v přenesené pravomoci nejsou jako taková opětovně uvedena, ale místo toho nařízení o zpracování osobních údajů orgány, institucemi a jinými subjekty Unie odkazuje na obecné nařízení o ochraně osobních údajů nebo směrnici o prosazování práva. Nařízení o zpracování osobních údajů orgány, institucemi a jinými subjekty Unie například neobsahuje mechanismus pro přijímání rozhodnutí o odpovídající ochraně pro mezinárodní předávání, ale rozhodnutí o odpovídající ochraně přijatá podle obecného nařízení o ochraně osobních údajů nebo směrnice o prosazování práva mohou využívat i orgány, instituce a jiné subjekty Unie. ·Nařízení o zpracování osobních údajů orgány, institucemi a jinými subjekty Unie rovněž přímo zřizuje institut evropského inspektora ochrany údajů a stanoví jeho úkoly, pravomoci a postupy jmenování. Podle obecného nařízení o ochraně osobních údajů a směrnice o prosazování práva jsou příslušné dozorové úřady zřízeny podle vnitrostátního práva v souladu s požadavky těchto dvou aktů. ·Kapitola nařízení o zpracování osobních údajů orgány, institucemi a jinými subjekty Unie vztahující se na instituce a jiné subjekty Unie v oblasti prosazování trestního práva je funkčně rovnocenná se směrnicí o prosazování práva, pokud jde o tyto instituce a jiné subjekty Unie. Avšak vzhledem k tomu, že je toto nařízení přímo použitelné, je zmíněná kapitola formulována jinak. Stanoví obecná pravidla, která budou v případě potřeby doplněna zvláštními ustanoveními ve zřizovacích aktech institucí a jiných subjektů působících v této oblasti. Stanoví přizpůsobený režim pro zpracování operativních osobních údajů s ohledem na specifickou povahu tohoto odvětví, například pravidla pro informování subjektů údajů, která zajišťují ochranu vyšetřování. 3Provádění nařízení o zpracování osobních údajů orgány, institucemi a jinými subjekty Unie v orgánech, institucích a jiných subjektech Unie 3.1Orgány, instituce a jiné subjekty Unie v úloze správců

Obecná zpětná vazba ze strany orgánů, institucí a jiných subjektů Unie ukazuje, že první roky uplatňování nařízení o zpracování osobních údajů orgány, institucemi a jinými subjekty Unie úspěšně přispěly k posílení jejich obecné kultury ochrany osobních údajů. V tomto ohledu 94 % orgánů, institucí a jiných subjektů Unie uvedlo, že vstup nařízení o zpracování osobních údajů orgány, institucemi a jinými subjekty Unie v platnost zvýšil povědomí jejich organizace o pravidlech ochrany osobních údajů do určité míry nebo do značné míry. Orgány, instituce a jiné subjekty Unie obecně uvedly, že nařízení o zpracování osobních údajů orgány, institucemi a jinými subjekty Unie mělo pozitivní dopad na jejich politiky ochrany osobních údajů a že zaměstnanci těchto orgánů, institucí a jiných subjektů Unie si lépe uvědomují odpovědnost své organizace jako správce údajů a požadavky na zpracování osobních údajů. Jako hlavní dopady nařízení o zpracování osobních údajů orgány, institucemi a jinými subjekty Unie ve srovnání se zrušeným nařízením 45/2001 uvedly orgány, instituce a jiné subjekty Unie provádění posouzení vlivu na ochranu údajů, identifikaci a řešení případů porušení zabezpečení osobních údajů a zohlednění záměrné i standardní ochrany osobních údajů. Nařízení o zpracování osobních údajů orgány, institucemi a jinými subjekty Unie zviditelňuje možnost společné správy – více organizací společně určuje účely a prostředky zpracování osobních údajů – stejně jako obecné nařízení o ochraně osobních údajů. Evropský inspektor ochrany údajů poskytl k tomuto tématu pokyny a Komise vypracovala interní vzory pro ujednání o společné správě. Přestože dodatečné požadavky na orgány, instituce a jiné subjekty Unie týkající se odpovědnosti, které jsou nezbytné pro prokázání souladu s nařízením o zpracování osobních údajů orgány, institucemi a jinými subjekty Unie, byly obecně vítány, některé orgány, instituce a jiné subjekty Unie uvedly, že pravidla nařízení o zpracování osobních údajů orgány, institucemi a jinými subjekty Unie vedla ke zvýšení pracovní zátěže. Poukázaly také na to, že nařízení o zpracování osobních údajů orgány, institucemi a jinými subjekty Unie stanoví poměrně složitá pravidla, což znamená, že je v orgánech, institucích a jiných subjektech Unie zapotřebí více odborných znalostí, včetně odborných znalostí pověřenců pro ochranu osobních údajů, jakož i v sítích koordinátorů ochrany údajů v těch orgánech, institucích a jiných subjektech Unie, které takové sítě mají. Všechny orgány, instituce a jiné subjekty Unie, s výjimkou dvou, vedou záznamy o operacích zpracování v centrálním rejstříku. Ačkoli se nejedná o konkrétní požadavek podle nařízení o zpracování osobních údajů orgány, institucemi a jinými subjekty Unie, jedná se o osvědčený postup, který doporučuje i evropský inspektor ochrany údajů. Kromě toho 72 % orgánů, institucí a jiných subjektů Unie převedlo do záznamů všechna svá oznámení pověřenci pro ochranu osobních údajů podle předchozího nařízení. Ty orgány, instituce a jiné subjekty, které tento úkol ještě nesplnily, by měly zkontrolovat a aktualizovat svou dokumentaci operací zpracování, aby zajistily její úplnost a aktuálnost. 3.2Výkon práv subjektů údajů Nařízení o zpracování osobních údajů orgány, institucemi a jinými subjekty Unie poskytuje subjektům údajů široký soubor práv týkajících se zpracování jejich osobních údajů, který je v souladu s obecným nařízením o ochraně osobních údajů. Orgány, instituce a jiné subjekty Unie mají jako správci zvláštní povinnost usnadnit výkon těchto práv. V důsledku toho 96 % orgánů, institucí a jiných subjektů Unie uvedlo, že provádějí činnosti zaměřené na zvyšování povědomí, jako jsou aktualizace veřejně dostupných informací o operacích zpracování, informační sdělení nebo příručky pro subjekty údajů. Řada orgánů, institucí a jiných subjektů Unie, jako je Komise, Evropská centrální banka a Evropská služba pro vnější činnost, oznámila, že v letech 2018 až 2021 došlo ke zjevnému nárůstu žádostí obdržených od fyzických osob. U ostatních, jako je Soudní dvůr Evropské unie, Evropský hospodářský a sociální výbor a Agentura Evropské unie pro azyl, však byly počty stabilní nebo kolísaly bez zjevného trendu. Zatím nelze vysledovat zjevný trend v počtu žádostí ze strany subjektů údajů po vstupu nařízení o zpracování osobních údajů orgány, institucemi a jinými subjekty Unie v platnost vzhledem k tomu, že způsob evidence různých druhů žádostí se v jednotlivých orgánech, institucích a jiných subjektech liší. 3.3Omezení práv subjektů údajů prostřednictvím vnitřních pravidel Podobně jako obecné nařízení o ochraně osobních údajů i nařízení o zpracování osobních údajů orgány, institucemi a jinými subjekty Unie stanoví možnost omezit některá práva subjektů údajů. Toho lze dosáhnout prostřednictvím legislativních aktů a vnitřních předpisů. Na tyto vnitřní předpisy se vztahují přísná kritéria. Musí být jasné a přesné a jejich použití musí být pro osoby, na které se vztahují, předvídatelné. Tyto předpisy musí být zveřejněny v Úředním věstníku a musí splňovat požadavky stanovené v Listině základních práv a svobod a v Evropské úmluvě o ochraně lidských práv a základních svobod. Omezení založená na vnitřních předpisech se mohou týkat pouze činnosti orgánů, institucí a jiných subjektů Unie. Musí dodržovat základní práva, představovat nezbytná a přiměřená opatření v demokratické společnosti a směřovat k zajištění jednoho z cílů konkrétně uvedených v nařízení o zpracování osobních údajů orgány, institucemi a jinými subjekty Unie. Každý subjekt údajů, jehož práva byla omezena, má právo podat stížnost u evropského inspektora ochrany údajů. Velká většina (84 %) orgánů, institucí a jiných subjektů Unie přijala vnitřní předpisy. Takové předpisy byly například zavedeny, aby bylo možné odložit poskytnutí informací dotčené osobě v rámci vnitřního správního šetření. V ostatních případech bylo cílem těchto předpisů zajistit pokračující účinnou spolupráci s členskými státy v těch oblastech, kde se činnost orgánů, institucí a jiných subjektů opírá o informace získané ze strany příslušných orgánů členských států. Například vnitřní předpisy přijaté Komisí pro zpracování osobních údajů v rámci její činnosti v oblasti hospodářské soutěže, boje proti podvodům a interního auditu zahrnují možnost zavedení omezení práv subjektů údajů, pokud jsou osobní údaje získávány ze strany příslušných orgánů členských států. Tyto předpisy stanoví možnost uložení podobných omezení, pokud vnitrostátní orgány uložily omezení na základě legislativního opatření umožněného na základě obecného nařízení o ochraně osobních údajů nebo směrnice o prosazování práva. Pokud orgány, instituce a jiné subjekty Unie přijaly vnitřní předpisy umožňující omezit práva subjektů údajů, jsou obvykle uplatňována v jednotlivých případech v souladu se svými příslušnými vnitřními předpisy. Celkem 69 % orgánů, institucí a jiných subjektů Unie, které mají předpisy podle článku 25 zavedeny, však uvádí, že je dosud nepoužily. Tyto orgány, instituce nebo jiné subjekty Unie, které je využily, zaznamenaly méně než deset případů omezení, s výjimkou Evropského parlamentu a Komise. Potřeba omezení se stále častěji objevuje v rámci činnosti úřadu OLAF, zejména pokud jde o odklad informování subjektů údajů o zpracování jejich osobních údajů v počáteční fázi vyšetřování, aby nebylo narušeno shromažďování důkazů. Úřad OLAF rovněž uplatnil několik omezení týkajících se žádostí subjektů údajů o přístup ke svým vlastním osobním údajům, které byly zamítnuty pouze za účelem ochrany práv a svobod jiných osob, např. pokud by zveřejnění údajů vystavilo informátora riziku odplaty. Vnitřní předpisy orgánů, institucí a jiných subjektů Unie obvykle vyžadují, aby informovaly své pověřence pro ochranu osobních údajů o všech uplatněných omezeních a aby pověřenci pro ochranu osobních údajů poskytli přístup k záznamům a veškerým dokumentům o těchto omezeních. 3.4Pověřenci pro ochranu osobních údajů Povinnost mít pověřence pro ochranu osobních údajů v každém orgánu, instituci a jiném subjektu Unie byla stanovena již v předchozím nařízení 45/2001. Nařízení o zpracování osobních údajů orgány, institucemi a jinými subjekty Unie tuto úlohu zviditelnil zavedením zásady odpovědnosti. To znamená, že správce je odpovědný za dodržování pravidel ochrany osobních údajů a musí být schopen takové dodržování prokázat. Ve 46 % orgánů, institucí a jiných subjektů Unie jsou tito pověřenci pro ochranu osobních údajů podporováni sítěmi koordinátorů ochrany údajů nebo podobnými strukturami. Je pravděpodobnější, že takové sítě mají větší orgány, instituce a jiné subjekty Unie (např. Evropský parlament, generální sekretariát Rady, Komise a Evropská služba pro vnější činnost [dále jen „ESVČ“]). ESVČ rovněž organizuje a udržuje síť korespondentů pro ochranu údajů v delegacích Unie. Řada orgánů, institucí a jiných subjektů Unie zaznamenala nárůst odpovědnosti a pracovní zátěže svých pověřenců pro ochranu osobních údajů (a tím i koordinátorů ochrany údajů). Uznaly, že je třeba pověřencům pro ochranu osobních údajů (a koordinátorům ochrany údajů) poskytnout více zdrojů, aby mohli účinně provádět politiky orgánů, institucí a jiných subjektů Unie v oblasti ochrany osobních údajů. Zmíněna byla také potřeba zajistit nezávislost pověřenců pro ochranu osobních údajů. V této souvislosti se projevují dva trendy: Na jedné straně klade nařízení o zpracování osobních údajů orgány, institucemi a jinými subjekty Unie větší důraz na odpovědnost správce, např. tím, že odstraňuje postup předběžné kontroly, který existoval podle předchozího nařízení 45/2001, čímž snižuje administrativní zátěž. Na druhou stranu správci požadují od pověřenců pro ochranu osobních údajů/koordinátorů ochrany údajů více pokynů, jak nejlépe dodržovat nařízení o zpracování osobních údajů orgány, institucemi a jinými subjekty Unie. V tomto ohledu bylo zjištěno, že síť pověřenců pro ochranu osobních údajů orgánů, institucí a jiných subjektů Unie poskytla důležité fórum pro diskusi a vyjasnění některých právních a technických prvků specifických pro zpracování údajů ze strany orgánů, institucí a jiných subjektů Unie. Tato síť poskytuje platformu pro výměnu informací mezi pověřenci pro ochranu osobních údajů a evropským inspektorem ochrany údajů a mezi samotnými pověřenci pro ochranu osobních údajů navzájem. Spolupracuje průběžně a obvykle se schází dvakrát ročně. Více než polovina (54 %) orgánů, institucí a jiných subjektů Unie vyčlenila více zdrojů na své pověřence pro ochranu osobních údajů a obecněji na funkce týkající se ochrany osobních údajů. Většina (84 %) orgánů, institucí a jiných subjektů Unie upravila své vnitřní postupy tak, aby zajistila, že jejich zaměstnanci informují o nových operacích zpracování osobních údajů pověřence pro ochranu osobních údajů a konzultují je s nimi. Obvykle se to děje tak, že se pověřenci pro ochranu osobních údajů zapojí například do procesů řízení změn nebo do řídicích výborů projektů. 3.5Posouzení vlivu na ochranu osobních údajů

Největší počet posouzení vlivu na ochranu osobních údajů provedly Evropská centrální banka, Evropská investiční banka a Komise. V porovnání s předchozím systémem „předběžné kontroly“ podle nařízení 45/2001 se počet případů zaslaných evropskému inspektorovi ochrany údajů výrazně snížil. To byl očekávaný důsledek této změny a omezení konzultací evropského inspektora ochrany údajů týkajících se administrativních procesů, jako je hodnocení zaměstnanců. V tabulce 1 v příloze je uveden přehled posouzení vlivu na ochranu osobních údajů provedených orgány, institucemi a jinými subjekty Unie v letech 2019 až 2021. Téměř všechny orgány, instituce a jiné subjekty Unie (94 %) souhlasily s tím, že kritéria pro případy, kdy musí provádět posouzení vlivu na ochranu osobních údajů, dostatečně pokrývají vysoce rizikové operace zpracování. Ty orgány nebo subjekty, které nesouhlasily, zdůraznily, že je třeba, aby evropský inspektor ochrany údajů při výkladu těchto kritérií zohlednil technologický vývoj. Cloud computing například již není „novou“ technologií, což by se mělo zohlednit při posuzování, zda je nutné provést posouzení vlivu na ochranu osobních údajů. Orgány, instituce a jiné subjekty Unie, které tento bod vznesly, se obvykle domnívají, že samotný právní text je dostatečně jasný a že se jedná o záležitost výkladu ze strany evropského inspektora ochrany údajů. Nařízení o zpracování osobních údajů orgány, institucemi a jinými subjekty Unie neobsahuje žádnou konkrétní povinnost zveřejňovat výsledky posouzení vlivu na ochranu osobních údajů. Velká většina orgánů, institucí a jiných subjektů Unie (84 %) nezveřejňuje provedená posouzení vlivu na ochranu osobních údajů, zatímco 14 % je zveřejňuje částečně nebo ve formě shrnutí, přičemž z nich odstraňují informace, které by mohly ohrozit přijatá bezpečnostní opatření. Pouze jeden orgán, instituce nebo jiný subjekt Unie uvedl, že zveřejňuje své posouzení vlivu na ochranu osobních údajů v plném rozsahu. Zveřejnění posouzení vlivu na ochranu osobních údajů, případně odstranění informací, které by ohrozily bezpečnost operací zpracování, zvyšuje transparentnost, pokud jde o dodržování pravidel nařízení o zpracování osobních údajů orgány, institucemi a jinými subjekty Unie ze strany orgánů, institucí a jiných subjektů Unie, a je osvědčeným postupem doporučeným evropským inspektorem ochrany údajů. 3.6Mezinárodní předávání údajů Téměř všechny orgány, instituce a jiné subjekty Unie (91 %) uvedly, že jejich činnost zahrnuje mezinárodní předávání osobních údajů. Mezi to patří předávání údajů do zemí mimo EU/EHP i mezinárodním organizacím. Několik orgánů, institucí a jiných subjektů Unie však uvedlo, že tato předávání jsou vzácná nebo se týkají pouze omezeného množství osobních údajů. Pokud jde o používané nástroje pro předávání údajů, orgány, instituce a jiné subjekty Unie většinou odkazovaly na rozhodnutí o odpovídající ochraně (přijatá podle obecného nařízení o ochraně osobních údajů nebo směrnice o prosazování práva) a smluvní nástroje, například pro předávání údajů soukromým společnostem. Pro předávání údajů veřejným orgánům se používají i další nástroje, jako jsou právně závazné dohody a správní ujednání. Kromě toho 51 % orgánů, institucí a jiných subjektů Unie uvedlo, že provádí omezené, příležitostné předávání údajů, například za účelem organizace odborné přípravy, na základě zákonných důvodů pro předávání údajů (dále jen „výjimky“). Předávání údajů v praxi obvykle neprovádějí přímo orgány, instituce a jiné subjekty Unie, ale jejich zpracovatelé (kteří nejsou orgány, institucemi ani jinými subjekty Unie) jednající jejich jménem. Komise se proto tímto scénářem výslovně zabývala ve standardních smluvních doložkách přijatých v rámci obecného nařízení o ochraně osobních údajů v červnu 2021, aby správcům a zpracovatelům pomohla splnit požadavky obecného nařízení o ochraně osobních údajů i nařízení o zpracování osobních údajů orgány, institucemi a jinými subjekty Unie. Zejména zpracovatelé v Evropském hospodářském prostoru (dále jen „EHP“) mají možnost zahrnout tyto standardní smluvní doložky pro mezinárodní předávání údajů do smluv se svými dílčími zpracovateli ve třetích zemích. Tím je zajištěno dodržování pravidel nařízení o zpracování osobních údajů orgány, institucemi a jinými subjekty Unie týkajících se zapojení dílčích zpracovatelů jménem orgánů, institucí a jiných subjektů Unie, pokud jsou ve smlouvách uvedeny do souladu povinnosti v oblasti ochrany údajů mezi: i) orgánem, institucí či jiným subjektem Unie a zpracovatelem a ii) zpracovatelem a jeho dílčím zpracovatelem. Orgány, instituce a jiné subjekty Unie mohou tento soulad zajistit zejména použitím standardních smluvních doložek, které Komise přijala pro vztahy mezi správci a zpracovateli. S cílem poskytnout další nástroje zajišťující vhodné záruky pro přímé předávání údajů z orgánů, institucí a jiných subjektů Unie do třetích zemí (tj. bez účasti zpracovatele z EU/EHP) Komise v současné době vypracovává standardní smluvní doložky podle čl. 48 odst. 2 písm. b) nařízení o zpracování osobních údajů orgány, institucemi a jinými subjekty Unie. Tyto doložky budou v co nejvyšší míře uvedeny do souladu se stávajícími doložkami přijatými podle obecného nařízení o ochraně osobních údajů. Vzhledem ke specifickým otázkám, které vznikají při předávání osobních údajů mezinárodním organizacím (například kvůli statusu mezinárodních organizací a platným výsadám a imunitám), pracuje Komise společně s pověřenci pro ochranu osobních údajů orgánů, institucí a jiných subjektů Unie na vývoji zvláštních nástrojů (např. administrativních ujednání), které jsou takovému předávání přizpůsobeny. 4Činnosti evropského inspektora ochrany údajů 4.1Evropský inspektor ochrany údajů jako dozorový úřad pro ochranu osobních údajů pro orgány, instituce a jiné subjekty Unie Evropský inspektor ochrany údajů je nezávislým dozorovým úřadem pro ochranu osobních údajů pro orgány, instituce a jiné subjekty Unie, který má stejnou úlohu jako vnitrostátní dozorové úřady pro ochranu osobních údajů zřízené v členských státech podle obecného nařízení o ochraně osobních údajů a směrnice o prosazování práva. V tabulce 2 v příloze je uveden přehled dozorových činností evropského inspektora ochrany údajů v letech 2018 až 2021. Vzhledem k tomu, že nařízení o zpracování osobních údajů orgány, institucemi a jinými subjekty Unie vstoupilo v platnost dne 11. prosince 2018, poskytují údaje za rok 2018 výchozí hodnotu pro srovnání se situací podle předchozího nařízení 45/2001. Evropský inspektor ochrany údajů zaznamenal posun směrem k hlavní činnosti orgánů, institucí a jiných subjektů Unie v předmětech konzultací, které od nich získal od doby, kdy začalo platit nařízení o zpracování osobních údajů orgány, institucemi a jinými subjekty Unie. To znamená posun k otázkám týkajícím se zpracování osobních údajů za účelem plnění úkolů svěřených orgánům, institucím a jiným subjektům Unie ve veřejném zájmu a odklon od „administrativních“ témat, jako je řízení zaměstnanců. Počet nepřípustných stížností, které obdržel evropský inspektor ochrany údajů, se v letech 2019 až 2021 zvýšil. Většina stížností, které byly prohlášeny za nepřípustné, směřovala proti správcům v členských státech, nad kterými nevykonává dozor evropský inspektor ochrany údajů, ale jejich vnitrostátní orgány pro ochranu údajů. Čísla za rok 2018 byla vyšší pravděpodobně z toho důvodu, že začalo platit obecné nařízení o ochraně osobních údajů. To vedlo ke zvýšení povědomí obyvatelstva o pravidlech ochrany údajů, ale také k nárůstu počtu nepřípustných stížností. Evropský inspektor ochrany údajů může rovněž uzavřít řízení o stížnosti, která byla přípustná, pokud bylo nalezeno smírné řešení. V oblasti inspekcí a auditů došlo v roce 2019 k nárůstu ve srovnání s výchozím rokem 2018 a následně k poklesu v letech 2020 a 2021. To lze vysvětlit pandemií způsobenou onemocněním COVID-19, která ztížila kontroly na místě a nahradila je audity prováděnými na dálku. Evropský inspektor ochrany údajů posuzuje rizika a rozhoduje o tom, které orgány, instituce a jiné subjekty Unie bude kontrolovat. Zohledňuje například počet předložených konzultací, zejména pokud jsou zvláštní kategorie údajů zpracovávány v rámci hlavní činnosti některého orgánu, instituce nebo jiného subjektu Unie. Evropský inspektor ochrany údajů může rovněž rozhodnout o provedení šetření z vlastního podnětu, např. ohledně využívání poskytovatelů cloudových služeb ze strany orgánů, institucí a jiných subjektů Unie. V případě porušení zabezpečení osobních údajů evropský inspektor ochrany údajů uvedl, že ve většině případů byla příčinou lidská chyba, následovaná technickými chybami a vnějšími útoky. Evropský inspektor ochrany údajů využil většinu svých pravomocí podle nařízení o zpracování osobních údajů orgány, institucemi a jinými subjekty Unie, včetně například uložení dočasného zákazu operací zpracování. Dosud nevyužil své nové pravomoci ukládat správní pokuty, což je podle nařízení o zpracování osobních údajů orgány, institucemi a jinými subjekty Unie krajní opatření. Evropský inspektor ochrany údajů ve svém příspěvku k této zprávě rovněž uvedl, že investoval do činností zaměřených na zvyšování povědomí, například do školení, přičemž nejvyšší počet jejich účastníků se v roce 2019, po vstupu nařízení o zpracování osobních údajů orgány, institucemi a jinými subjekty Unie v platnost, odhaduje na více než 4 600. Ačkoli se počet účastníků v letech 2020 a 2021 oproti tomuto vrcholu snížil, stále je výrazně vyšší než výchozí odhadovaný počet 1 000 účastníků v roce 2018. Orgány, instituce a jiné subjekty Unie poskytly převážně pozitivní zpětnou vazbu ohledně interakce s evropským inspektorem ochrany údajů a pokynů, které od něj obdržely, přičemž 86 % z nich uvedlo, že odpovědi byly vždy nebo většinou srozumitelné. Orgány, instituce a jiné subjekty Unie rovněž ocenily, že evropský inspektor ochrany údajů navázal více kontaktů se sítí pověřenců pro ochranu osobních údajů.

Některé orgány, instituce a jiné subjekty Unie však uvedly, že poradenství ze strany evropského inspektora ochrany údajů někdy přichází příliš pozdě. Zdůraznily význam trvalé podpory a poradenství ze strany evropského inspektora ochrany údajů a vyzvaly k poskytování včasných a praktických pokynů v některých otázkách ochrany osobních údajů. Mezi tyto otázky patří zavedení přístupu založeného na riziku pro správce, mezinárodní předávání a vztahy mezi správci (včetně společných správců) a jejich zpracovateli. 4.2Evropský inspektor ochrany údajů jako poradce unijního normotvůrce Komise evropského inspektora ochrany údajů formálně konzultuje, zejména pokud jde o legislativní návrhy s dopadem na zpracování osobních údajů, poté, co je sbor komisařů přijme. Evropský inspektor ochrany údajů na tyto konzultace odpovídá svými stanovisky nebo připomínkami. Evropský inspektor ochrany údajů rovněž vydává stanoviska z vlastního podnětu, například předběžné stanovisko k evropskému prostoru pro zdravotní data. Pokud má návrh zvláštní význam týkající se ochrany údajů, může Komise konzultovat také Evropský sbor pro ochranu osobních údajů. V takovém případě by evropský inspektor ochrany údajů a Evropský sbor pro ochranu osobních údajů měly vydat společné stanovisko, aby unijní normotvůrce měl zajištěno jednotné poradenství. Komise rovněž neformálně s evropským inspektorem ochrany údajů konzultuje předtím, než sbor komisařů přijme akty, u kterých je konzultace nezbytná. V reakci na tyto konzultace předkládá evropský inspektor ochrany údajů Komisi neformální připomínky. Tato možnost pomáhá zajistit, aby byly akty Komise před jejich přijetím plně v souladu s pravidly pro ochranu osobních údajů. Neformální konzultace se používají zejména u citlivých úkonů nebo úkonů, které mají významnější dopad na ochranu osobních údajů. Činnost evropského inspektora ochrany údajů jako poradce unijního normotvůrce závisí na počtu nových návrhů vypracovaných Komisí. Po nižším počtu formálních připomínek v posledním roce končící Komise byl jejich výrazný nárůst v roce 2021 způsoben zvýšeným počtem legislativních návrhů a snahou Komise zajistit důsledné provádění povinnosti konzultovat evropského inspektora ochrany údajů. To zahrnuje prováděcí akty a akty v přenesené pravomoci, které zahrnují zpracování osobních údajů. Po vstupu nařízení o zpracování osobních údajů orgány, institucemi a jinými subjekty Unie v platnost vypracoval generální sekretariát Komise postupy a zvýšil povědomí útvarů o požadavku konzultovat evropského inspektora ochrany údajů. To vedlo k systematičtějším konzultacím, a to i v případě prováděcích aktů a aktů v přenesené pravomoci. Pro účely plánování pořádají evropský inspektor ochrany údajů a útvary Komise každoroční schůzky o nadcházejícím pracovním programu a návrzích, které budou vyžadovat konzultaci. 4.3Spolupráce mezi evropským inspektorem ochrany údajů a vnitrostátními úřady pro ochranu osobních údajů Evropský inspektor ochrany údajů je členem Evropského sboru pro ochranu osobních údajů a zajišťuje mu sekretariát. Spolupracuje také s vnitrostátními dozorovými úřady při plnění jejich úkolů jinými způsoby. Příkladem může být postoupení stížností příslušnému dozorovému úřadu pro ochranu osobních údajů nebo případy týkající se externích poskytovatelů služeb, které využívají jak orgány, instituce a jiné subjekty Unie, tak správci, na které se vztahuje obecné nařízení o ochraně osobních údajů. Evropský inspektor ochrany údajů se rovněž aktivně podílí na práci Evropského sboru pro ochranu osobních údajů, například jako hlavní zpravodaj nebo spoluzpravodaj pro pokyny, nebo jinak přispívá k jeho práci. Několik rozsáhlých informačních systémů a agentur zřízených podle unijního práva vyžaduje, aby evropský inspektor ochrany údajů a vnitrostátní dozorové úřady, které jednají v rámci svých příslušných úkolů, aktivně spolupracovaly s cílem zajistit koordinovaný dozor. Za tímto účelem obsahovaly v minulosti zřizovací akty každého systému nebo agentury zvláštní ustanovení. Nařízení o zpracování osobních údajů orgány, institucemi a jinými subjekty Unie vytváří pro tento koordinovaný dozor harmonizovaný systém, na který lze odkazovat v dalších aktech. Je tomu tak v případě systému pro výměnu informací o vnitřním trhu, ECRIS-TCN, Eurojustu a nejnověji i v případě Europolu. Jiné systémy mají dosud skupiny pro koordinovaný dozor s podrobnými pravidly ve svých zřizovacích aktech nebo podrobné odkazy na schůzky jako součást Evropského sboru pro ochranu osobních údajů. Evropský inspektor ochrany údajů rovněž přispívá k schengenskému hodnotícímu mechanismu zřízenému podle nařízení Rady 1053/2013. Podle uvedeného nařízení může Komise vyzvat evropského inspektora ochrany údajů, aby ustanovil pozorovatele, který se bude účastnit návštěvy na místě týkající se oblasti spadající do jeho oblasti působnosti, tj. hodnocení ochrany údajů. To odpovídá možnosti agentury Frontex a Europolu ustanovit pozorovatele pro hodnocení správy hranic, resp. policejní spolupráce. Podle názoru Komise jsou odborné znalosti pozorovatelů evropského inspektora ochrany údajů cenným přínosem pro hodnocení ochrany údajů. 4.4Zdroje evropského inspektora ochrany údajů Počet zaměstnanců evropského inspektora ochrany údajů (včetně sekretariátu Evropského sboru pro ochranu osobních údajů) se ve sledovaném období konstantně zvyšoval, což odráží celkový trend v oblasti vnitrostátních dozorových úřadů pro ochranu osobních údajů. Činnost sekretariátu Evropského sboru pro ochranu osobních údajů se v průběhu času rozrostla o stále více pokynů, doporučení, stanovisek a dalších dokumentů, na nichž se sekretariát podílí. Vzhledem k tomu, že se očekává, že sekretariát Evropského sboru pro ochranu osobních údajů bude hrát významnější roli při účinném prosazování obecného nařízení o ochraně osobních údajů, je nezbytné zajistit pro něj dostatečné zdroje. To se týká zejména cíle Evropského sboru pro ochranu osobních údajů rozvíjet užší spolupráci v oblasti strategické práce a využívat nové nástroje podporující spolupráci mezi úřady pro ochranu osobních údajů. Pro zajištění toho, aby Evropský sbor pro ochranu osobních údajů mohl vykonávat svou práci podle potřeby, je zejména důležité mít silný a dobře vybavený sekretariát na podporu práce Evropského sboru pro ochranu osobních údajů, zejména v souvislosti s mechanismem jednotnosti, jehož využívání se očekává i nadále v rostoucí míře. Ve svém příspěvku k této zprávě se evropský inspektor ochrany údajů zejména domníval, že pokud mu budou svěřeny další úkoly, např. jako orgánu dozoru nad trhem podle legislativního návrhu o umělé inteligenci, měly by mu být poskytnuty odpovídající dodatečné zdroje. 5Využití zmocnění Komise k přijímání aktů v přenesené pravomoci a prováděcích aktů Nařízení o zpracování osobních údajů orgány, institucemi a jinými subjekty Unie obsahuje několik zmocnění pro Komisi k přijímání prováděcích aktů a stanovení standardních doložek, jakož i křížové odkazy na zmocnění podle obecného nařízení o ochraně osobních údajů. Nařízení o zpracování osobních údajů orgány, institucemi a jinými subjekty Unie obsahuje ustanovení, která ji zmocňují ke stanovení standardních smluvních doložek o ochraně údajů pro smlouvy mezi správcem a zpracovatelem, což odpovídá zmocnění v obecném nařízení o ochraně osobních údajů. Komise této pravomoci využila a v červnu 2021 přijala standardní smluvní doložky týkající se vztahů mezi správcem a zpracovatelem zahrnující jak obecné nařízení o ochraně osobních údajů, tak nařízení o zpracování osobních údajů orgány, institucemi a jinými subjekty Unie. Tyto doložky poskytují správcům snadno použitelné nástroje pro efektivní řízení vztahů se zpracovateli. Nařízení o zpracování osobních údajů orgány, institucemi a jinými subjekty Unie rovněž zmocňuje Komisi k přijetí standardních smluvních doložek o ochraně údajů pro zajištění vhodných záruk pro předávání osobních údajů mimo EU/EHP. Komise v současné době takové doložky vypracovává. 6Pravidla ochrany údajů pro instituce a jiné subjekty, které se zabývají policejní spoluprací a justiční spoluprací v trestních věcech Kapitola IX nařízení o zpracování osobních údajů orgány, institucemi a jinými subjekty Unie obsahuje pravidla pro orgány, instituce a jiné subjekty Unie, které zpracovávají operativní osobní údaje při výkonu činností v oblasti policejní spolupráce a justiční spolupráce v trestních věcech (dále jen „kapitola o prosazování práva“). Jejím cílem je snížit roztříštěnost: ·mezi režimy ochrany údajů, které se vztahují na zpracování operativních údajů agenturami EU v této oblasti, ·ve vztahu k režimu ochrany údajů, který se vztahuje na vnitrostátní činnosti v oblasti prosazování trestního práva podle směrnice o prosazování práva.

Za tímto účelem obsahuje kapitola o prosazování práva nařízení o zpracování osobních údajů orgány, institucemi a jinými subjekty Unie soubor horizontálních pravidel, které vycházejí ze směrnice o prosazování práva. Tato pravidla mohou být v případě potřeby doplněna zvláštními pravidly v zakládacích aktech těchto agentur v závislosti na jejich příslušných mandátech a na zvláštní povaze jejich úkolů a operací zpracování údajů. Nařízení o zpracování osobních údajů orgány, institucemi a jinými subjekty Unie uvádí, že je třeba zajistit jednotnou a důslednou ochranu fyzických osob při zpracování jejich osobních údajů. Za tímto účelem výslovně poukazuje na cíl rozšířit uplatňování kapitoly o prosazování práva nařízení o zpracování osobních údajů orgány, institucemi a jinými subjekty Unie na agentury, které měly v době přijetí tohoto nařízení ve svých zřizovacích aktech samostatné rámce ochrany údajů, konkrétně na Europol a Úřad evropského veřejného žalobce. Odkazuje také na případnou změnu kapitoly o prosazování práva, bude-li to nutné. 6.1Rozšíření působnosti kapitoly o prosazování práva nařízení o zpracování osobních údajů orgány, institucemi a jinými subjekty Unie V době vzniku tohoto dokumentu se kapitola o prosazování práva nařízení o zpracování osobních údajů orgány, institucemi a jinými subjekty Unie vztahuje na zpracování operativních osobních údajů: ·Eurojustem, přičemž je doplněna o zvláštní pravidla obsažená v nařízení o Eurojustu, ·Europolem, přičemž je doplněna o zvláštní pravidla obsažená v nařízení o Europolu, které bylo od vstupu nařízení o zpracování osobních údajů orgány, institucemi a jinými subjekty Unie v platnost změněno, ·agenturou Frontex pro malou část svých činností, které jsou součástí prosazování trestního práva. Kapitola o prosazování práva nařízení o zpracování osobních údajů orgány, institucemi a jinými subjekty Unie se však zatím nevztahuje na Úřad evropského veřejného žalobce, jehož zřizovací nařízení bylo přijato před nařízením o zpracování osobních údajů orgány, institucemi a jinými subjekty Unie. Nařízení o Úřadu evropského veřejného žalobce stanoví samostatný režim pro zpracování operativních údajů. To má dva důsledky: za prvé, některá ustanovení nařízení o Úřadu evropského veřejného žalobce se od kapitoly o prosazování práva v nařízení o zpracování osobních údajů orgány, institucemi a jinými subjekty Unie věcně liší, například zpracování osobních údajů podléhajících omezení. Za druhé, některá ustanovení nařízení o Úřadu evropského veřejného žalobce, ačkoli jsou obsahově podobná, jsou formulována jinak než kapitola o prosazování práva nařízení o zpracování osobních údajů orgány, institucemi a jinými subjekty Unie, což by mohlo vést k rozdílným výkladům. V zájmu jednotnosti a v souladu s obecným cílem minimalizovat roztříštěnost pravidel ochrany údajů by se měl u Úřadu evropského veřejného žalobce uplatňovat podobný přístup jako u Eurojustu a Europolu. Cílem je zajistit přímou použitelnost kapitoly o prosazování práva nařízení o zpracování osobních údajů orgány, institucemi a jinými subjekty Unie na Úřad evropského veřejného žalobce a v nařízení o Úřadu evropského veřejného žalobce zachovat pouze nezbytná specifika. Vzhledem k tomu, že Úřad evropského veřejného žalobce funguje teprve jeden rok, je zároveň v krátkodobém horizontu dosud nutné získat více poznatků o praktickém uplatňování režimu ochrany údajů Úřadem evropského veřejného žalobce. To umožní přesně určit tyto zvláštnosti s přihlédnutím k povaze Úřadu evropského veřejného žalobce jako nezávislého unijního úřadu veřejného žalobce. 6.2Objasnění použitelnosti některých ustanovení nařízení o zpracování osobních údajů orgány, institucemi a jinými subjekty Unie na zpracování operativních údajů Nařízení o zpracování osobních údajů orgány, institucemi a jinými subjekty Unie uvádí, že „na zpracovávání operativních osobních údajů se vztahují pouze článek 3 [definice] a kapitola IX [kapitola o prosazování práva] tohoto nařízení“. Kapitola o prosazování práva obsahuje hmotněprávní ustanovení odpovídající většině ustanovení kapitol II až V nařízení o zpracování osobních údajů orgány, institucemi a jinými subjekty Unie (obecné zásady, práva subjektů údajů, některé povinnosti správců a zpracovatelů, mezinárodní předávání údajů) s některými odlišnostmi, které zohledňují zvláštní povahu oblasti prosazování práva (např. pravidla pro informování subjektů údajů a jejich právo na přístup ke svým údajům). Je důležité změnou nařízení o zpracování osobních údajů orgány, institucemi a jinými subjekty Unie vyjasnit, že kapitola o prosazování práva stanoví zvláštní pravidla pouze pro odpovídající ustanovení jiných kapitol nařízení o zpracování osobních údajů orgány, institucemi a jinými subjekty Unie, která mají přímý ekvivalent v kapitole o prosazování práva. Pokud tedy normotvůrce nezařadí do zřizovacího aktu agentury zvláštní pravidla, použijí se na zpracování operativních údajů ustanovení jiných kapitol než kapitoly o prosazování práva, která nemají přímý ekvivalent v této kapitole. Tato změna by zlepšila právní jistotu a poskytla by úplný rámec (např. pokud jde o postavení pověřenců pro ochranu údajů, spolupráci s vnitrostátními dozorovými úřady pro ochranu osobních údajů), a to i pro případné budoucí agentury v této oblasti. Existence takového úplného rámce by rovněž snížila riziko roztříštěnosti. 6.3Pravomoci evropského inspektora ochrany údajů při dozoru nad institucemi a jinými subjekty Unie V současné době obsahují nařízení, kterými se zřizuje Úřad evropského veřejného žalobce, Eurojust a Europol, zvláštní ustanovení o pravomocích evropského inspektora ochrany údajů. Aktualizované nařízení o Europolu uděluje evropskému inspektorovi ochrany údajů pravomoci, které jsou v souladu s pravomocemi podle článku 58 nařízení o zpracování osobních údajů orgány, institucemi a jinými subjekty Unie. To platí zejména pro pravomoc ukládat správní pokuty a pravomoc nařídit správci nebo zpracovateli, aby uvedl operace zpracování do souladu s tímto nařízením, a to případně předepsaným způsobem a ve stanovené lhůtě. V případě Úřadu evropského veřejného žalobce jsou však pravomoci evropského inspektora ochrany údajů formulovány jinak než v nařízení o zpracování osobních údajů orgány, institucemi a jinými subjekty Unie. Evropský inspektor ochrany údajů nemá obě výše uvedené pravomoci. Nařízení o agentuře Frontex, pokud jde o malou část činností agentury Frontex, na které se vztahuje kapitola o prosazování práva, neobsahuje žádná konkrétní ustanovení o pravomocích evropského inspektora ochrany údajů, což vede k nejasnostem ohledně těchto pravomocí. Poskytnutí plného rozsahu pravomocí stanovených v článku 58 nařízení o zpracování osobních údajů orgány, institucemi a jinými subjekty Unie evropskému inspektorovi ochrany údajů by mohlo být dosaženo následujícími dvěma kroky.

1.Objasnění, že nařízení o zpracování osobních údajů orgány, institucemi a jinými subjekty Unie jako výchozí možnost svěřuje evropskému inspektorovi ochrany údajů dozor nad kapitolou o prosazování práva a pravomoci, které jsou mu svěřeny podle článku 58 nařízení o zpracování osobních údajů orgány, institucemi a jinými subjekty Unie. To vyžaduje změnu nařízení o zpracování osobních údajů orgány, institucemi a jinými subjekty Unie, jak je navrženo v předchozím oddíle. Tím by se také vyřešila mezera v nařízení o agentuře Frontex. 2.Vypuštěním ustanovení o pravomocích evropského inspektora ochrany údajů ze zřizovacích aktů institucí a jiných subjektů by se celý rozsah pravomocí evropského inspektora ochrany údajů podle pozměněného nařízení o zpracování osobních údajů orgány, institucemi a jinými subjekty Unie vztahoval přímo na Eurojust a Úřad evropského veřejného žalobce. Cílem je co nejvíce je uvést do souladu, aby se snížila roztříštěnost pravidel ochrany údajů. 7Další postup Celkově nařízení o zpracování osobních údajů orgány, institucemi a jinými subjekty Unie funguje dobře a je k danému účelu vhodné. V této fázi Komise nenavrhne změny těch částí, které odpovídají příslušným pravidlům v obecném nařízení o ochraně osobních údajů, čímž zachová co nejužší soulad mezi nařízením o zpracování osobních údajů orgány, institucemi a jinými subjekty Unie a obecným nařízením o ochraně osobních údajů. Možné změny zvažované v této zprávě se týkají jiných částí, zejména vztahu kapitoly o prosazování práva nařízení o zpracování osobních údajů orgány, institucemi a jinými subjekty Unie k ostatním ustanovením tohoto nařízení. Komise na jaře 2022 navrhla pravidla pro posílení bezpečnosti informací v orgánech, institucích a jiných subjektech Unie, což bude mít pozitivní dopad na bezpečnost informací, včetně ochrany osobních údajů. Cílem tohoto návrhu je dále zlepšit odolnost a schopnost orgánů, institucí a jiných subjektů Unie reagovat na incidenty, pokud čelí hrozbám v oblasti kybernetické bezpečnosti. Komise rovněž podnikne kroky uvedené v níže uvedených bodech: -při aktualizaci zřizovacích aktů pro rozsáhlé informační systémy, které stále obsahují podrobná pravidla o modelu koordinovaného dozoru, zajistit, aby se v zájmu zefektivnění postupů použil model koordinovaného dozoru nařízení o zpracování osobních údajů orgány, institucemi a jinými subjekty Unie, -zvážit změny nařízení o zpracování osobních údajů orgány, institucemi a jinými subjekty Unie s cílem: ozlepšit právní jistotu a doplnit rámec pro zpracování operativních údajů tím, že se v čl. 2 odst. 2 vyjasní, že obecná ustanovení nařízení o zpracování osobních údajů orgány, institucemi a jinými subjekty Unie se vztahují i na zpracování operativních osobních údajů, pokud kapitola o prosazování práva neobsahuje zvláštní ustanovení (například o právu na přístup). To by rovněž poskytlo připravený rámec pro případné budoucí agentury v oblasti justiční spolupráce v trestních věcech a policejní spolupráce, ozajistit účast evropského inspektora ochrany údajů jako pozorovatele na všech hodnoceních ochrany údajů v rámci schengenského hodnotícího mechanismu, -následně zvážit změnu nařízení o Úřadu evropského veřejného žalobce a Eurojustu v rámci budoucí revize, aby se zajistilo plné uplatňování pravidel pro zpracování operativních osobních údajů v pozměněném nařízení o zpracování osobních údajů orgány, institucemi a jinými subjekty Unie, a to s ohledem na zvláštní povahu těchto subjektů. To rovněž povede k harmonizaci pravomocí evropského inspektora ochrany údajů vůči těmto institucím a jiným subjektům s pravomocemi, které má vůči ostatním orgánům, institucím a jiným subjektům Unie, -navrhnout standardní smluvní doložky pro mezinárodní předávání osobních údajů pro orgány, instituce a jiné subjekty Unie, -pokračovat v úzké spolupráci s evropským inspektorem ochrany údajů (a případně s Evropským sborem pro ochranu osobních údajů), aby se zajistila včasná a cílená konzultace nových návrhů, a rovněž pokračovat v neformálních konzultacích s evropským inspektorem ochrany údajů o důležitých textech před jejich přijetím.



Evropský inspektor ochrany údajů se vyzývá, aby: -poskytl orgánům, institucím a jiným subjektům Unie další a včasné praktické pokyny, včetně pokynů k mezinárodnímu předávání údajů, -pokračoval ve zvyšování povědomí správců a zpracovatelů o jejich povinnostech podle nařízení o zpracování osobních údajů orgány, institucemi a jinými subjekty Unie a poskytoval poradenství pověřencům pro ochranu osobních údajů, -zintenzivnil úsilí o účinné prosazování nařízení o zpracování osobních údajů orgány, institucemi a jinými subjekty Unie s cílem zajistit plnou ochranu subjektů údajů.