Πρόταση ΚΑΝΟΝΙΣΜΟΣ ΤΟΥ ΕΥΡΩΠΑΪΚΟΥ ΚΟΙΝΟΒΟΥΛΙΟΥ ΚΑΙ ΤΟΥ ΣΥΜΒΟΥΛΙΟΥ για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών (γενικός κανονισμός για την προστασία δεδομένων) /* COM/2012/011 final - 2012/0011 (COD) */





ΑΙΤΙΟΛΟΓΙΚΗ ΕΚΘΕΣΗ 1. ΠΛΑΙΣΙΟ ΤΗΣ ΠΡΟΤΑΣΗΣ Η παρούσα αιτιολογική έκθεση παρουσιάζει αναλυτικότερα το προτεινόμενο νέο νομικό πλαίσιο περί της προστασίας των δεδομένων προσωπικού χαρακτήρα στην ΕΕ, το οποίο περιγράφεται στην ανακοίνωση COM (2012) 9 τελικό[1]. Το προτεινόμενο νέο νομικό πλαίσιο αποτελείται από δύο νομοθετικές προτάσεις: – μια πρόταση κανονισμού του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών (γενικός κανονισμός για την προστασία δεδομένων), και – μια πρόταση οδηγίας του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα από αρμόδιες αρχές για τον σκοπό της πρόληψης, της διερεύνησης, της ανίχνευσης ή της δίωξης ποινικών αδικημάτων ή της εκτέλεσης ποινικών κυρώσεων, και για την ελεύθερη κυκλοφορία των δεδομένων αυτών[2]. Η παρούσα αιτιολογική έκθεση αφορά τη νομοθετική πρόταση για έναν γενικό κανονισμό για την προστασία δεδομένων. Η βασική πράξη της ισχύουσας νομοθεσίας της ΕΕ για την προστασία των δεδομένων προσωπικού χαρακτήρα, η οδηγία 95/46/ΕΚ[3], εκδόθηκε το 1995 με γνώμονα δύο στόχους: την προστασία του θεμελιώδους δικαιώματος στην προστασία των δεδομένων και τη διασφάλιση της ελεύθερης ροής δεδομένων προσωπικού χαρακτήρα μεταξύ κρατών μελών. Συμπληρώθηκε από την απόφαση-πλαίσιο 2008/977/ΔΕΥ ως γενική πράξη σε επίπεδο Ένωσης για την προστασία των δεδομένων προσωπικού χαρακτήρα στους τομείς της αστυνομικής και της δικαστικής συνεργασίας σε ποινικές υποθέσεις[4]. Οι ραγδαίες τεχνολογικές εξελίξεις δημιουργούν νέες προκλήσεις για την προστασία των δεδομένων προσωπικού χαρακτήρα. Η κλίμακα της ανταλλαγής και της συλλογής δεδομένων έχει αυξηθεί σε μεγάλο βαθμό. Η τεχνολογία επιτρέπει τόσο σε ιδιωτικές επιχειρήσεις όσο και σε δημόσιες αρχές να κάνουν χρήση δεδομένων προσωπικού χαρακτήρα σε πρωτόγνωρο βαθμό για την επιδίωξη των δραστηριοτήτων τους. Τα φυσικά πρόσωπα καθιστούν ολοένα και περισσότερο δημόσια διαθέσιμες προσωπικές πληροφορίες σε παγκόσμιο επίπεδο. Η τεχνολογία έχει αλλάξει τόσο την οικονομία όσο και την κοινωνική ζωή. Η οικοδόμηση εμπιστοσύνης στο επιγραμμικό περιβάλλον είναι καθοριστικής σημασίας για την οικονομική ανάπτυξη. Η έλλειψη εμπιστοσύνης κάνει τους καταναλωτές να διστάζουν να αγοράσουν επιγραμμικά και να υιοθετήσουν νέες υπηρεσίες. Αυτό απειλεί να επιβραδύνει την ανάπτυξη καινοτόμων χρήσεων των νέων τεχνολογιών. Επομένως, η προστασία των δεδομένων προσωπικού χαρακτήρα κατέχει κεντρική θέση στο ψηφιακό θεματολόγιο για την Ευρώπη[5], και γενικότερα στη στρατηγική «Ευρώπη 2020»[6]. Το άρθρο 16 παράγραφος 1 της συνθήκης για τη λειτουργία της Ευρωπαϊκής Ένωσης (ΣΛΕΕ), όπως θεσπίσθηκε από τη συνθήκη της Λισαβόνας, καθιερώνει την αρχή ότι κάθε πρόσωπο έχει δικαίωμα προστασίας των δεδομένων προσωπικού χαρακτήρα που το αφορούν. Επιπλέον, με το άρθρο 16 παράγραφος 2 ΣΛΕΕ, η συνθήκη της Λισαβόνας καθορίζει ειδική νομική βάση για τη θέσπιση κανόνων για την προστασία των δεδομένων προσωπικού χαρακτήρα. Το άρθρο 8 του Χάρτη Θεμελιωδών Δικαιωμάτων της ΕΕ κατοχυρώνει την προστασία των δεδομένων προσωπικού χαρακτήρα ως θεμελιώδες δικαίωμα. Το Ευρωπαϊκό Συμβούλιο κάλεσε την Επιτροπή να αξιολογήσει τη λειτουργία των πράξεων της ΕΕ για την προστασία των δεδομένων και να παρουσιάσει, εφόσον απαιτείται, περαιτέρω νομοθετικές και μη νομοθετικές πρωτοβουλίες[7]. Στο ψήφισμά του σχετικά με το Πρόγραμμα της Στοκχόλμης, το Ευρωπαϊκό Κοινοβούλιο[8] εξέφρασε την ικανοποίησή του για τη δημιουργία ολοκληρωμένου σχεδίου προστασίας των δεδομένων στην ΕΕ και ζήτησε, μεταξύ άλλων, την αναθεώρηση της απόφασης-πλαισίου. Η Επιτροπή τόνισε στο σχέδιο δράσης της για την εφαρμογή του Προγράμματος της Στοκχόλμης[9] την αναγκαιότητα να διασφαλίζεται ότι το θεμελιώδες δικαίωμα στην προστασία των δεδομένων προσωπικού χαρακτήρα εφαρμόζεται με συνεκτικότητα στο πλαίσιο όλων των πολιτικών της ΕΕ. Στην ανακοίνωσή της με τίτλο «Συνολική προσέγγιση όσον αφορά την προστασία των δεδομένων προσωπικού χαρακτήρα στην Ευρωπαϊκή Ένωση»[10], η Επιτροπή κατέληξε στο συμπέρασμα ότι η ΕΕ χρειάζεται μια συνολικότερη και συνεκτικότερη πολιτική σχετικά με το θεμελιώδες δικαίωμα στην προστασία των δεδομένων προσωπικού χαρακτήρα. Το ισχύον πλαίσιο παραμένει προσφυές όσον αφορά τους στόχους και τις αρχές του, αλλά δεν κατάφερε να αποτρέψει τον κατακερματισμό του τρόπου εφαρμογής της προστασίας των δεδομένων προσωπικού χαρακτήρα στην Ένωση, την ανασφάλεια δικαίου και μια διαδεδομένη αντίληψη του κοινού ότι υπάρχουν σημαντικοί κίνδυνοι, οι οποίοι σχετίζονται ειδικότερα με την επιγραμμική δραστηριότητα[11]. Για τον λόγο αυτό, πρέπει να οικοδομηθεί ένα ισχυρότερο και πιο συνεκτικό πλαίσιο προστασίας των δεδομένων στην ΕΕ, υποστηριζόμενο από ισχυρή επιβολή του νόμου, η οποία θα επιτρέψει στην ψηφιακή οικονομία να αναπτυχθεί σε ολόκληρη την εσωτερική αγορά, θα επιτρέψει στα φυσικά πρόσωπα να ασκούν έλεγχο επί των δεδομένων που τους αφορούν και θα ενισχύσει τη νομική και την πρακτική ασφάλεια για τους οικονομικούς παράγοντες και τις δημόσιες αρχές. 2. ΑΠΟΤΕΛΕΣΜΑΤΑ ΤΩΝ ΔΙΑΒΟΥΛΕΥΣΕΩΝ ΜΕ ΤΑ ΕΝΔΙΑΦΕΡΟΜΕΝΑ ΜΕΡΗ ΚΑΙ ΕΚΤΙΜΗΣΗ ΕΠΙΠΤΩΣΕΩΝ Η παρούσα πρωτοβουλία είναι αποτέλεσμα εκτενών διαβουλεύσεων με όλους τους σημαντικούς ενδιαφερόμενους φορείς σχετικά με την αναθεώρηση του ισχύοντος νομικού πλαισίου για την προστασία των δεδομένων προσωπικού χαρακτήρα, οι οποίες διήρκησαν περισσότερο από δύο έτη και περιελάμβαναν μία διάσκεψη υψηλού επιπέδου τον Μάιο του 2009[12] και δύο φάσεις δημόσιας διαβούλευσης: – Από τις 9 Ιουλίου έως την 31η Δεκεμβρίου 2009, διαβούλευση σχετικά με το νομικό πλαίσιο για το θεμελιώδες δικαίωμα στην προστασία των δικαιωμάτων προσωπικού χαρακτήρα. Η Επιτροπή έλαβε 168 απαντήσεις, 127 από φυσικά πρόσωπα, επιχειρηματικές οργανώσεις και ενώσεις και 12 από δημόσιες αρχές[13]. – Από τις 4 Νοεμβρίου 2010 έως τις 15 Ιανουαρίου 2011, διαβούλευση για τη συνολική προσέγγιση της Επιτροπής όσον αφορά την προστασία των δεδομένων προσωπικού χαρακτήρα στην Ευρωπαϊκή Ένωση. Η Επιτροπή έλαβε 305 απαντήσεις, εκ των οποίων 54 από πολίτες, 31 από δημόσιες αρχές και 220 από ιδιωτικές οργανώσεις, και ειδικότερα επιχειρηματικές ενώσεις και μη κυβερνητικές οργανώσεις[14]. Πραγματοποιήθηκαν επίσης στοχευμένες διαβουλεύσεις με βασικά ενδιαφερόμενα μέρη· ειδικές εκδηλώσεις διοργανώθηκαν τον Ιούνιο και τον Ιούλιο του 2010 με αρχές των κρατών μελών και ενδιαφερόμενα μέρη από τον ιδιωτικό τομέα, καθώς και οργανώσεις για την προστασία της ιδιωτικής ζωής και την προστασία των δεδομένων και οργανώσεις καταναλωτών[15]. Τον Νοέμβριο του 2010, η αντιπρόεδρος της Ευρωπαϊκής Επιτροπής Viviane Reding οργάνωσε στρογγυλή τράπεζα σχετικά με τη μεταρρύθμιση της προστασίας των δεδομένων. Στις 28 Ιανουαρίου 2011 (Ημέρα προστασίας των δεδομένων), η Ευρωπαϊκή Επιτροπή και το Συμβούλιο της Ευρώπης οργάνωσαν από κοινού διάσκεψη υψηλού επιπέδου για να συζητήσουν ζητήματα σχετικά με τη μεταρρύθμιση του νομικού πλαισίου της ΕΕ, καθώς και την αναγκαιότητα κοινών προτύπων προστασίας των δεδομένων παγκοσμίως[16]. Δύο διασκέψεις για την προστασία των δεδομένων διοργανώθηκαν από την ουγγρική και την πολωνική προεδρία του Συμβουλίου, στις 16-17 Ιουνίου 2011 και στις 21 Σεπτεμβρίου 2011, αντίστοιχα. Ειδικές σύνοδοι εργασίας και σεμινάρια σχετικά με συγκεκριμένα ζητήματα πραγματοποιήθηκαν καθ’ όλη τη διάρκεια του 2011. Τον Ιανουάριο, ο ENISA[17] διοργάνωσε σύνοδο εργασίας σχετικά με τις κοινοποιήσεις που αφορούν την παραβίαση των δεδομένων στην Ευρώπη[18]. Τον Φεβρουάριο, η Επιτροπή συγκάλεσε σύνοδο εργασίας με αρχές των κρατών μελών για να συζητήσουν θέματα προστασίας των δεδομένων στον τομέα της αστυνομικής και της δικαστικής συνεργασίας σε ποινικές υποθέσεις, συμπεριλαμβανομένης της εφαρμογής της απόφασης-πλαισίου, ο δε Οργανισμός Θεμελιωδών Δικαιωμάτων πραγματοποίησε σύσκεψη διαβούλευσης με τα ενδιαφερόμενα μέρη με θέμα «προστασία των δεδομένων και ιδιωτική ζωή». Συζήτηση σχετικά με βασικά ζητήματα της μεταρρύθμισης πραγματοποιήθηκε στις 13 Ιουλίου 2011 με τις εθνικές αρχές προστασίας των δεδομένων. Ζητήθηκε η γνώμη των πολιτών της ΕΕ μέσω έρευνας του Ευρωβαρομέτρου, η οποία πραγματοποιήθηκε τον Νοέμβριο-Δεκέμβριο του 2010[19]. Δρομολογήθηκαν επίσης ορισμένες μελέτες[20]. Η ομάδα εργασίας του άρθρου 29[21] εξέδωσε αρκετές γνώμες και παρέσχε χρήσιμες πληροφορίες στην Επιτροπή[22]. Ο Ευρωπαίος Επόπτης Προστασίας Δεδομένων εξέδωσε επίσης συνολική γνωμοδότηση για τα ζητήματα που εγείρονται στην ανακοίνωση της Επιτροπής του Νοεμβρίου του 2010[23]. Το Ευρωπαϊκό Κοινοβούλιο ενέκρινε με το ψήφισμά του της 6ης Ιουλίου 2011 έκθεση με την οποία στήριξε την προσέγγιση της Επιτροπής για τη μεταρρύθμιση του πλαισίου της προστασίας των δεδομένων[24]. Το Συμβούλιο της Ευρωπαϊκής Ένωσης εξέδωσε συμπεράσματα στις 24 Φεβρουαρίου 2011 στα οποία υποστηρίζει ευρέως την πρόθεση της Επιτροπής να μεταρρυθμίσει το πλαίσιο για την προστασία των δεδομένων και συμφωνεί με πολλά στοιχεία της προσέγγισης της Επιτροπής. Ομοίως, η Ευρωπαϊκή Οικονομική και Κοινωνική Επιτροπή στήριξε τον στόχο της Επιτροπής να διασφαλίσει τη συνεκτικότερη εφαρμογή των κανόνων της ΕΕ[25] για την προστασία των δεδομένων σε όλα τα κράτη μέλη και την προσφυή αναθεώρηση της οδηγίας 95/46/ΕΚ[26]. Κατά τις διαβουλεύσεις για τη συνολική προσέγγιση, η μεγάλη πλειονότητα των ενδιαφερόμενων μερών συμφώνησε ότι οι γενικές αρχές παραμένουν έγκυρες, αλλά το ισχύον πλαίσιο πρέπει να προσαρμοσθεί ώστε να ανταποκρίνεται καλύτερα στις προκλήσεις που θέτουν η ραγδαία ανάπτυξη νέων τεχνολογιών (ιδίως επιγραμμικών) και η αυξανόμενη παγκοσμιοποίηση, διατηρώντας παράλληλα την τεχνολογική ουδετερότητα του νομικού πλαισίου. Διατυπώθηκαν έντονες επικρίσεις για τον παρόντα κατακερματισμό της προστασίας των δεδομένων προσωπικού χαρακτήρα στην Ένωση, ιδίως από οικονομικούς παράγοντες οι οποίοι ζήτησαν αύξηση της ασφάλειας δικαίου και εναρμόνιση των κανόνων για την προστασία των δεδομένων προσωπικού χαρακτήρα. Η πολυπλοκότητα των κανόνων για τις διεθνείς διαβιβάσεις δεδομένων προσωπικού χαρακτήρα θεωρείται ότι συνιστά σημαντικό εμπόδιο στις εργασίες τους, καθώς χρειάζονται να διαβιβάζουν τακτικά δεδομένα προσωπικού χαρακτήρα από την ΕΕ σε άλλες περιοχές του κόσμου. Σύμφωνα με την πολιτική για τη «βελτίωση της νομοθεσίας», η Επιτροπή διενήργησε εκτίμηση των επιπτώσεων των εναλλακτικών επιλογών πολιτικής. Η εκτίμηση επιπτώσεων βασίσθηκε στους τρεις στόχους πολιτικής, δηλαδή βελτίωση της διάστασης της εσωτερικής αγοράς στο θέμα της προστασίας των δεδομένων, βελτίωση της αποτελεσματικότητας της άσκησης των δικαιωμάτων προστασίας των δεδομένων από τα φυσικά πρόσωπα, και δημιουργία ενός συνολικού και συνεκτικού πλαισίου το οποίο θα καλύπτει όλους τους τομείς αρμοδιότητας της Ένωσης, συμπεριλαμβανομένης της αστυνομικής και δικαστικής συνεργασίας σε ποινικές υποθέσεις. Αξιολογήθηκαν τρεις επιλογές πολιτικής με διαφορετικούς βαθμούς παρέμβασης: η πρώτη επιλογή αφορούσε ελάχιστες νομοθετικές τροποποιήσεις και τη χρήση ερμηνευτικών ανακοινώσεων και μέτρων στήριξης της πολιτικής, όπως προγράμματα χρηματοδότησης και τεχνικά εργαλεία· η δεύτερη επιλογή περιελάμβανε ένα σύνολο νομοθετικών διατάξεων οι οποίες εξετάζουν καθένα από τα ζητήματα που προσδιορίσθηκαν στην ανάλυση, και η τρίτη επιλογή αφορούσε τη συγκέντρωση της προστασίας των δεδομένων σε κεντρικό επίπεδο στην ΕΕ μέσω συγκεκριμένων και λεπτομερών κανόνων για όλους τους τομείς, καθώς και την ίδρυση ενός οργανισμού της ΕΕ για την παρακολούθηση και την επιβολή των διατάξεων. Σύμφωνα με την πάγια μέθοδο της Επιτροπής, κάθε επιλογή πολιτικής αξιολογήθηκε, με τη βοήθεια διυπηρεσιακής συντονιστικής ομάδας, ως προς την αποτελεσματικότητά της για την επίτευξη των στόχων πολιτικής, τον οικονομικό της αντίκτυπο για τα ενδιαφερόμενα μέρη (συμπεριλαμβανομένου του προϋπολογισμού των θεσμικών οργάνων της ΕΕ), τον κοινωνικό της αντίκτυπο και τις συνέπειές της στα θεμελιώδη δικαιώματα. Δεν παρατηρήθηκαν περιβαλλοντικές επιπτώσεις. Αποτέλεσμα της ανάλυσης του συνολικού αντικτύπου ήταν η ανάπτυξη της προτιμώμενης επιλογής πολιτικής, η οποία βασίζεται στη δεύτερη επιλογή με μερικά στοιχεία από τις δύο άλλες επιλογές και ενσωματώνεται στην παρούσα πρόταση. Σύμφωνα με την εκτίμηση επιπτώσεων, η εφαρμογή της θα έχει, μεταξύ άλλων, ως αποτέλεσμα σημαντικές βελτιώσεις όσον αφορά την ασφάλεια δικαίου για τους υπευθύνους επεξεργασίας δεδομένων και τους πολίτες, μείωση του διοικητικού φόρτου, συνεκτικότητα στην επιβολή της προστασίας των δεδομένων στην Ένωση, την ουσιαστική δυνατότητα των φυσικών προσώπων να ασκούν τα δικαιώματά τους για την προστασία των δεδομένων όσον αφορά την προστασία των δεδομένων προσωπικού χαρακτήρα στην ΕΕ, και την αποτελεσματική εποπτεία και επιβολή της προστασίας των δεδομένων. Η εφαρμογή της προτιμώμενης επιλογής πολιτικής αναμένεται επίσης να συμβάλει στον στόχο της Επιτροπής περί απλούστευσης και μείωσης του διοικητικού φόρτου, καθώς και στους στόχους του ψηφιακού θεματολογίου για την Ευρώπη, του σχεδίου δράσης του Προγράμματος της Στοκχόλμης και της στρατηγικής «Ευρώπη 2020». Η επιτροπή εκτίμησης των επιπτώσεων (IAB) εξέδωσε γνώμη σχετικά με το σχέδιο εκτίμησης των επιπτώσεων στις 9 Σεπτεμβρίου 2011. Σε συνέχεια της γνώμης της IAB, έγιναν οι ακόλουθες αλλαγές στην εκτίμηση των επιπτώσεων: – αποσαφηνίσθηκαν οι στόχοι του ισχύοντος νομικού πλαισίου (σε ποιον βαθμό επιτεύχθηκαν και σε ποιον βαθμό δεν επιτεύχθηκαν), καθώς και οι στόχοι της προβλεπόμενης μεταρρύθμισης· – προστέθηκαν περισσότερα στοιχεία καθώς και πρόσθετες εξηγήσεις/διευκρινίσεις στην ενότητα του ορισμού του προβλήματος· – προστέθηκε μια ενότητα για την αναλογικότητα· – επανεξετάσθηκαν και αναθεωρήθηκαν όλοι οι υπολογισμοί και οι εκτιμήσεις για τον διοικητικό φόρτο στο βασικό σενάριο και στην προτιμώμενη επιλογή, και αποσαφηνίσθηκε η σχέση μεταξύ του κόστους των κοινοποιήσεων και του συνολικού κόστους του κατακερματισμού (συμπεριλαμβανομένου του παραρτήματος 10)· – προσδιορίσθηκαν καλύτερα οι επιπτώσεις στις πολύ μικρές, στις μικρές και στις μεσαίες επιχειρήσεις, ιδίως των υπευθύνων προστασίας δεδομένων και των εκτιμήσεων των επιπτώσεων σχετικά με την προστασία των δεδομένων. Η έκθεση εκτίμησης των επιπτώσεων και μια σύνοψη δημοσιεύονται μαζί με τις προτάσεις. 3. ΝΟΜΙΚΑ ΣΤΟΙΧΕΙΑ ΤΗΣ ΠΡΟΤΑΣΗΣ 3.1. Νομική βάση Η παρούσα πρόταση βασίζεται στο άρθρο 16 ΣΛΕΕ, το οποίο είναι η νέα νομική βάση για τη θέσπιση κανόνων περί προστασίας των δεδομένων δυνάμει της συνθήκης της Λισαβόνας. Η διάταξη αυτή επιτρέπει τη θέσπιση κανόνων σχετικά με την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα από τα κράτη μέλη κατά την άσκηση δραστηριοτήτων που εμπίπτουν στο πεδίο εφαρμογής του δικαίου της Ένωσης. Επιτρέπει επίσης τη θέσπιση κανόνων σχετικά με την ελεύθερη κυκλοφορία των δεδομένων προσωπικού χαρακτήρα, συμπεριλαμβανομένων των δεδομένων προσωπικού χαρακτήρα που υποβάλλονται σε επεξεργασία από τα κράτη μέλη ή ιδιώτες. Ο κανονισμός θεωρείται η πλέον κατάλληλη νομική πράξη για τον καθορισμό του πλαισίου για την προστασία των δεδομένων προσωπικού χαρακτήρα στην Ένωση. Η άμεση εφαρμογή του κανονισμού σύμφωνα με το άρθρο 288 ΣΛΕΕ θα μειώσει τον νομικό κατακερματισμό και θα παράσχει μεγαλύτερη ασφάλεια δικαίου θεσπίζοντας ένα εναρμονισμένο σύνολο βασικών κανόνων, βελτιώνοντας την προστασία των θεμελιωδών δικαιωμάτων των φυσικών προσώπων και συμβάλλοντας στη λειτουργία της εσωτερικής αγοράς. Η παραπομπή στο άρθρο 114 παράγραφος 1 ΣΛΕΕ είναι απαραίτητη μόνον για την τροποποίηση της οδηγίας 2002/58/ΕΚ στον βαθμό που η εν λόγω οδηγία προβλέπει επίσης την προστασία των έννομων συμφερόντων συνδρομητών που είναι νομικά πρόσωπα. 3.2. Επικουρικότητα και αναλογικότητα Σύμφωνα με την αρχή της επικουρικότητας (άρθρο 5 παράγραφος 3 ΣΕΕ), μέτρα στο επίπεδο της Ένωσης λαμβάνονται μόνον εφόσον και κατά τον βαθμό που οι προβλεπόμενοι στόχοι δεν μπορούν να επιτευχθούν επαρκώς από τα κράτη μέλη, μπορούν όμως, λόγω της κλίμακας ή των αποτελεσμάτων της προβλεπόμενης δράσης, να επιτευχθούν καλύτερα από την Ένωση. Εν όψει των προβλημάτων που περιγράφονται ανωτέρω, η ανάλυση της επικουρικότητας υποδεικνύει την αναγκαιότητα λήψης μέτρων σε επίπεδο ΕΕ για τους ακόλουθους λόγους: – Το δικαίωμα στην προστασία των δεδομένων προσωπικού χαρακτήρα, το οποίο κατοχυρώνεται στο άρθρο 8 του Χάρτη Θεμελιωδών Δικαιωμάτων, απαιτεί το ίδιο επίπεδο προστασίας των δεδομένων σε ολόκληρη την Ένωση. Η απουσία κοινών κανόνων της ΕΕ ενέχει τον κίνδυνο διαφορετικών επιπέδων προστασίας στα κράτη μέλη και δημιουργεί περιορισμούς στις διασυνοριακές ροές δεδομένων προσωπικού χαρακτήρα μεταξύ κρατών μελών με διαφορετικά πρότυπα. – Δεδομένα προσωπικού χαρακτήρα διαβιβάζονται εκτός των εθνικών συνόρων, τόσο εσωτερικών όσο και εξωτερικών, με ταχέως αυξανόμενους ρυθμούς. Επιπλέον, η επιβολή της νομοθεσίας για την προστασία των δεδομένων συνεπάγεται πρακτικές δυσκολίες και απαιτείται συνεργασία μεταξύ των κρατών μελών και των αρχών τους, η οποία πρέπει να οργανωθεί σε επίπεδο ΕΕ προκειμένου να διασφαλίζεται ενιαία εφαρμογή του δικαίου της Ένωσης. Η ΕΕ είναι επίσης σε καλύτερη θέση ώστε να διασφαλίζει με αποτελεσματικό και συνεκτικό τρόπο το ίδιο επίπεδο προστασίας των φυσικών προσώπων όταν τα δεδομένα προσωπικού χαρακτήρα που τους αφορούν διαβιβάζονται σε τρίτες χώρες. – Τα κράτη μέλη δεν μπορούν να μειώσουν από μόνα τους τα προβλήματα της παρούσας κατάστασης, και ιδίως εκείνα που οφείλονται στον κατακερματισμό των εθνικών νομοθεσιών. Επομένως, υπάρχει συγκεκριμένη αναγκαιότητα θέσπισης ενός εναρμονισμένου και συνεκτικού πλαισίου, το οποίο θα επιτρέπει την ομαλή διασυνοριακή διαβίβαση των δεδομένων προσωπικού χαρακτήρα εντός της ΕΕ, διασφαλίζοντας παράλληλα αποτελεσματική προστασία για όλα τα φυσικά πρόσωπα σε ολόκληρη την ΕΕ. – Οι προτεινόμενες νομοθετικές δράσεις της ΕΕ θα είναι πιο αποτελεσματικές από παρόμοιες δράσεις σε επίπεδο κρατών μελών, λόγω της φύσης και της κλίμακας των προβλημάτων, τα οποία δεν περιορίζονται στο επίπεδο ενός ή μερικών κρατών μελών. Η αρχή της αναλογικότητας απαιτεί κάθε παρέμβαση να είναι στοχοθετημένη και να μην υπερβαίνει τα απαιτούμενα για την επίτευξη των στόχων. Η αρχή αυτή εφαρμόσθηκε κατά την εκπόνηση της παρούσας πρότασης, από τον προσδιορισμό και την αξιολόγηση των εναλλακτικών επιλογών πολιτικής έως την κατάρτιση της νομοθετικής πρότασης. 3.3. Σύνοψη ζητημάτων θεμελιωδών δικαιωμάτων Το δικαίωμα στην προστασία των δεδομένων προσωπικού χαρακτήρα κατοχυρώνεται στο άρθρο 8 του Χάρτη και στο άρθρο 16 ΣΛΕΕ, καθώς και στο άρθρο 8 της Ευρωπαϊκής Σύμβασης Ανθρωπίνων Δικαιωμάτων. Όπως υπογράμμισε το Δικαστήριο της ΕΕ[27], το δικαίωμα στην προστασία των δεδομένων προσωπικού χαρακτήρα δεν είναι απόλυτο, αλλά πρέπει να λαμβάνεται υπόψη σε σχέση με τον ρόλο που επιτελεί στην κοινωνία[28]. Η προστασία των δεδομένων συνδέεται στενά με τον σεβασμό της ιδιωτικής και της οικογενειακής ζωής που προστατεύεται από το άρθρο 7 του Χάρτη. Αυτό αντικατοπτρίζεται στο άρθρο 1 παράγραφος 1 της οδηγίας 95/46/ΕΚ, το οποίο ορίζει ότι τα κράτη μέλη εξασφαλίζουν την προστασία των θεμελιωδών ελευθεριών και δικαιωμάτων των φυσικών προσώπων, και ιδίως της ιδιωτικής ζωής, έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα. Άλλα δυνητικά επηρεαζόμενα θεμελιώδη δικαιώματα τα οποία κατοχυρώνονται στον Χάρτη είναι τα ακόλουθα: η ελευθερία έκφρασης (άρθρο 11 του Χάρτη)· η επιχειρηματική ελευθερία (άρθρο 16)· το δικαίωμα ιδιοκτησίας και ειδικότερα η προστασία της πνευματικής ιδιοκτησίας (άρθρο 17 παράγραφος 2)· η απαγόρευση κάθε διάκρισης, μεταξύ άλλων λόγω φυλής, εθνοτικής καταγωγής, γενετικών χαρακτηριστικών, θρησκείας ή πεποιθήσεων, πολιτικών φρονημάτων ή κάθε άλλης γνώμης, αναπηρίας ή γενετήσιου προσανατολισμού (άρθρο 21)· τα δικαιώματα του παιδιού (άρθρο 24)· το δικαίωμα υψηλού επιπέδου προστασίας της υγείας του ανθρώπου (άρθρο 35)· το δικαίωμα πρόσβασης στα έγγραφα (άρθρο 42)· το δικαίωμα πραγματικής προσφυγής και αμερόληπτου δικαστηρίου (άρθρο 47). 3.4. Λεπτομερής επεξήγηση της πρότασης 3.4.1. ΚΕΦΑΛΑΙΟ I – ΓΕΝΙΚΕΣ ΔΙΑΤΑΞΕΙΣ Το άρθρο 1 ορίζει το αντικείμενο του κανονισμού και, όπως στο άρθρο 1 της οδηγίας 95/46/ΕΚ, καθορίζει τους δύο στόχους του κανονισμού. Το άρθρο 2 καθορίζει το καθ’ ύλην πεδίο εφαρμογής του κανονισμού. Το άρθρο 3 καθορίζει το γεωγραφικό πεδίο εφαρμογής του κανονισμού. Το άρθρο 4 περιέχει ορισμούς των όρων που χρησιμοποιούνται στον κανονισμό. Ενώ μερικοί ορισμοί λαμβάνονται από την οδηγία 95/46/ΕΚ άλλοι τροποποιούνται, συμπληρώνονται με πρόσθετα στοιχεία ή θεσπίζονται για πρώτη φορά («παραβίαση δεδομένων προσωπικού χαρακτήρα» βάσει του άρθρου 2 στοιχείο η) της οδηγίας για την προστασία της ιδιωτικής ζωής στις ηλεκτρονικές επικοινωνίες 2002/58/ΕΚ[29], όπως τροποποιήθηκε με την οδηγία 2009/136/ΕΚ[30], «γενετικά δεδομένα», «βιομετρικά δεδομένα», «δεδομένα που αφορούν την υγεία», «κύρια εγκατάσταση», «εκπρόσωπος», «επιχείρηση», «όμιλος επιχειρήσεων», «δεσμευτικοί εταιρικοί κανόνες», και «παιδί» βάσει της σύμβασης των Ηνωμένων Εθνών για τα δικαιώματα του παιδιού[31] και «αρχή ελέγχου»). Στον ορισμό της συγκατάθεσης, προστίθεται το κριτήριο «ρητή» (explicit) για την αποφυγή των παραλληλισμών και της σύγχυσης με τη «ρητή» (unambiguous) συγκατάθεση και προκειμένου να υπάρχει ενιαίος και συνεκτικός ορισμός της συγκατάθεσης, ο οποίος διασφαλίζει ότι το πρόσωπο στο οποίο αναφέρονται τα δεδομένα έχει επίγνωση ότι συγκατατίθεται και σε τι συγκατατίθεται. 3.4.2. ΚΕΦΑΛΑΙΟ II - ΑΡΧΕΣ Το άρθρο 5 ορίζει τις αρχές που σχετίζονται με την επεξεργασία των δεδομένων προσωπικού χαρακτήρα, οι οποίες αντιστοιχούν σε εκείνες που απαριθμούνται στο άρθρο 6 της οδηγίας 95/46/ΕΚ. Πρόσθετα νέα στοιχεία είναι, ειδικότερα, η αρχή της διαφάνειας, η αποσαφήνιση της αρχής της ελαχιστοποίησης των δεδομένων και η θέσπιση συνολικής ευθύνης και υποχρέωσης αποζημίωσης για τον υπεύθυνο επεξεργασίας δεδομένων. Το άρθρο 6 ορίζει, βάσει του άρθρου 7 της οδηγίας 95/46/ΕΚ, τα κριτήρια της σύννομης επεξεργασίας, τα οποία προσδιορίζονται περαιτέρω όσον αφορά το κριτήριο της στάθμισης συμφερόντων και τη συμμόρφωση προς τις νομικές υποχρεώσεις και το δημόσιο συμφέρον. Το άρθρο 7 αποσαφηνίζει τις προϋποθέσεις που πρέπει να συντρέχουν ώστε η συγκατάθεση να είναι έγκυρη ως νομικός λόγος για σύννομη επεξεργασία. Το άρθρο 8 καθορίζει περαιτέρω προϋποθέσεις για τη νομιμότητα της επεξεργασίας δεδομένων προσωπικού χαρακτήρα παιδιών σε σχέση με τις υπηρεσίες της κοινωνίας της πληροφορίας που προσφέρονται άμεσα σε αυτά. Το άρθρο 9 καθορίζει τη γενική απαγόρευση της επεξεργασίας ειδικών κατηγοριών δεδομένων προσωπικού χαρακτήρα και τις εξαιρέσεις από τον γενικό αυτό κανόνα, βάσει του άρθρου 8 της οδηγίας 95/46/ΕΚ. Το άρθρο 10 αποσαφηνίζει ότι ο υπεύθυνος επεξεργασίας δεν υποχρεούται να λαμβάνει πρόσθετες πληροφορίες για την ταυτότητα του προσώπου στο οποίο αναφέρονται τα δεδομένα αποκλειστικά και μόνον για τον σκοπό της συμμόρφωσης προς οποιαδήποτε διάταξη του παρόντος κανονισμού. 3.4.3. ΚΕΦΑΛΑΙΟ III – ΔΙΚΑΙΩΜΑΤΑ ΤΟΥ ΠΡΟΣΩΠΟΥ ΣΤΟ ΟΠΟΙΟ ΑΝΑΦΕΡΟΝΤΑΙ ΤΑ ΔΕΔΟΜΕΝΑ 3.4.3.1. Τμήμα 1 – Διαφάνεια και τρόποι άσκησης των δικαιωμάτων Το άρθρο 11 θεσπίζει την υποχρέωση των υπευθύνων επεξεργασίας να παρέχουν διάφανη και εύκολα προσπελάσιμη και κατανοητή ενημέρωση, εμπνεόμενο ειδικότερα από το ψήφισμα της Μαδρίτης σχετικά με τα διεθνή πρότυπα για την προστασία των δεδομένων προσωπικού χαρακτήρα και της ιδιωτικής ζωής[32]. Το άρθρο 12 υποχρεώνει τον υπεύθυνο επεξεργασίας να προβλέπει διαδικασίες και μηχανισμούς για την άσκηση των δικαιωμάτων των προσώπων στα οποία αναφέρονται τα δεδομένα, συμπεριλαμβανομένων μέσων υποβολής ηλεκτρονικών αιτημάτων, με υποχρέωση απάντησης στο αίτημα του προσώπου στο οποίο αναφέρονται τα δεδομένα εντός καθορισμένης προθεσμίας και με αιτιολόγηση των αρνήσεων. Το άρθρο 13 προβλέπει δικαιώματα σε σχέση με τους αποδέκτες, βάσει του άρθρου 12 στοιχείο γ) της οδηγίας 95/46/ΕΚ, τα οποία επεκτείνονται σε όλους τους αποδέκτες, συμπεριλαμβανομένων από κοινού υπευθύνων επεξεργασίας και εκτελούντων την επεξεργασία. 3.4.3.2. Τμήμα 2 – Ενημέρωση και πρόσβαση στα δεδομένα Το άρθρο 14 προσδιορίζει περαιτέρω τις υποχρεώσεις ενημέρωσης του υπευθύνου επεξεργασίας έναντι του προσώπου στο οποίο αναφέρονται τα δεδομένα, βάσει των άρθρων 10 και 11 της οδηγίας 95/46/ΕΚ, παρέχοντας πρόσθετες πληροφορίες στο πρόσωπο στο οποίο αναφέρονται τα δεδομένα, μεταξύ άλλων σχετικά με την περίοδο αποθήκευσης, το δικαίωμα υποβολής καταγγελίας, τις διεθνείς διαβιβάσεις και την πηγή από την οποία προέρχονται τα δεδομένα. Διατηρεί επίσης τις δυνητικές παρεκκλίσεις της οδηγίας 95/46/ΕΚ, π.χ. δεν υπάρχει τέτοια υποχρέωση εάν η καταχώριση ή η γνωστοποίηση προβλέπονται ρητώς εκ του νόμου. Αυτό μπορεί να ισχύει για παράδειγμα στις διαδικασίες αρχών ανταγωνισμού, φορολογικών ή τελωνειακών αρχών ή υπηρεσιών αρμόδιων για θέματα κοινωνικής ασφάλισης. Το άρθρο 15 προβλέπει το δικαίωμα πρόσβασης του προσώπου στα δεδομένα προσωπικού χαρακτήρα που το αφορούν, βάσει του άρθρου 12 στοιχείο α) της οδηγίας 95/46/ΕΚ και προσθέτοντας νέα στοιχεία, όπως την ενημέρωση των προσώπων στα οποία αναφέρονται τα δεδομένα για την περίοδο αποθήκευσης και τα δικαιώματα διόρθωσης και διαγραφής καθώς και υποβολής καταγγελίας. 3.4.3.3. Τμήμα 3 – Διόρθωση και διαγραφή Το άρθρο 16 καθορίζει το δικαίωμα διόρθωσης του προσώπου στο οποίο αναφέρονται τα δεδομένα, βάσει του άρθρου 12 στοιχείο β) της οδηγίας 95/46/ΕΚ. Το άρθρο 17 προβλέπει το δικαίωμα του προσώπου στο οποίο αναφέρονται τα δεδομένα «να λησμονηθεί» και το δικαίωμα διαγραφής των δεδομένων του. Αναπτύσσει και προσδιορίζει περαιτέρω το δικαίωμα διαγραφής που προβλέπεται στο άρθρο 12 στοιχείο β) της οδηγίας 95/46/ΕΚ και προβλέπει τις προϋποθέσεις του δικαιώματος του προσώπου στο οποίο αναφέρονται τα δεδομένα «να λησμονηθεί», συμπεριλαμβανομένης της υποχρέωσης του υπευθύνου επεξεργασίας ο οποίος δημοσιοποίησε τα δεδομένα να ενημερώνει τους τρίτους για το αίτημα του προσώπου στο οποίο αναφέρονται τα δεδομένα για διαγραφή τυχόν συνδέσμων ή αντιγράφων ή αναπαραγωγής των εν λόγω δεδομένων προσωπικού χαρακτήρα. Ενσωματώνει επίσης το δικαίωμα περιορισμού της επεξεργασίας σε ορισμένες περιπτώσεις, αποφεύγοντας τον ασαφή όρο «κλείδωμα». Το άρθρο 18 θεσπίζει το δικαίωμα του προσώπου στο οποίο αναφέρονται τα δεδομένα στη φορητότητα των δεδομένων, δηλαδή στη μεταφορά δεδομένων από ένα ηλεκτρονικό σύστημα επεξεργασίας σε ένα άλλο, χωρίς να εμποδίζεται από τον υπεύθυνο επεξεργασίας να πράξει κάτι τέτοιο. Ως προϋπόθεση και για την περαιτέρω βελτίωση της πρόσβασης των φυσικών προσώπων στα δεδομένα προσωπικού χαρακτήρα που τα αφορούν, προβλέπει το δικαίωμα εξασφάλισης των εν λόγω δεδομένων από τον υπεύθυνο επεξεργασίας σε δομημένο και ευρέως χρησιμοποιούμενο ηλεκτρονικό μορφότυπο. 3.4.3.4. Τμήμα 4 – Δικαίωμα αντίταξης και κατάρτιση προφίλ Το άρθρο 19 προβλέπει τα δικαιώματα αντίταξης του προσώπου στο οποίο αναφέρονται τα δεδομένα. Βασίζεται στο άρθρο 14 της οδηγίας 95/46/ΕΚ, με μερικές τροποποιήσεις, μεταξύ άλλων όσον αφορά το βάρος της απόδειξης και την εφαρμογή του στην άμεση προώθηση. Το άρθρο 20 αφορά το δικαίωμα του προσώπου στο οποίο αναφέρονται τα δεδομένα να μην υπάγεται σε μέτρο βασισμένο στην κατάρτιση προφίλ. Βασίζεται, με τροποποιήσεις και πρόσθετες εγγυήσεις, στο άρθρο 15 παράγραφος 1 της οδηγίας 95/46 για τις αυτοματοποιημένες ατομικές αποφάσεις και λαμβάνει υπόψη τη σύσταση του Συμβουλίου της Ευρώπης σχετικά με την κατάρτιση προφίλ[33]. 3.4.3.5. Τμήμα 5 – Περιορισμοί Το άρθρο 21 αποσαφηνίζει την εξουσία της Ένωσης ή των κρατών μελών να διατηρούν ή να θεσπίζουν περιορισμούς στις αρχές που προβλέπονται στο άρθρο 5 και στα δικαιώματα των προσώπων στα οποία αναφέρονται τα δεδομένα τα οποία προβλέπονται στα άρθρα 11 έως 20 και στο άρθρο 32. Η διάταξη αυτή βασίζεται στο άρθρο 13 της οδηγίας 95/46/ΕΚ και στις απαιτήσεις που προκύπτουν από τον Χάρτη των Θεμελιωδών Δικαιωμάτων και την Ευρωπαϊκή Σύμβαση για την προάσπιση των δικαιωμάτων του ανθρώπου και των θεμελιωδών ελευθεριών, όπως ερμηνεύθηκαν από το Δικαστήριο της ΕΕ και από το Ευρωπαϊκό Δικαστήριο Ανθρωπίνων Δικαιωμάτων. 3.4.4. ΚΕΦΑΛΑΙΟ IV – ΥΠΕΥΘΥΝΟΣ ΕΠΕΞΕΡΓΑΣΙΑΣ ΚΑΙ ΕΚΤΕΛΩΝ ΤΗΝ ΕΠΕΞΕΡΓΑΣΙΑ 3.4.4.1. Τμήμα 1 – Γενικές υποχρεώσεις Το άρθρο 22 λαμβάνει υπόψη τη συζήτηση σχετικά με την «αρχή της λογοδοσίας» και περιγράφει λεπτομερώς την υποχρέωση ευθύνης του υπευθύνου επεξεργασίας να συμμορφώνεται προς τον παρόντα κανονισμό και να επιδεικνύει την εν λόγω συμμόρφωση, μεταξύ άλλων μέσω της θέσπισης εσωτερικών πολιτικών και μηχανισμών διασφάλισης της εν λόγω συμμόρφωσης. Το άρθρο 23 καθορίζει τις υποχρεώσεις του υπευθύνου επεξεργασίας οι οποίες απορρέουν από τις αρχές της προστασίας των δεδομένων ήδη από τον σχεδιασμό και εξ ορισμού. Το άρθρο 24 για τους από κοινού υπευθύνους επεξεργασίας αποσαφηνίζει τις ευθύνες των από κοινού υπευθύνων επεξεργασίας όσον αφορά την εσωτερική σχέση τους και έναντι του προσώπου στο οποίο αναφέρονται τα δεδομένα. Το άρθρο 25 υποχρεώνει, υπό ορισμένες προϋποθέσεις, τους υπευθύνους επεξεργασίας που δεν είναι εγκαταστημένοι στην Ένωση, εάν ο κανονισμός εφαρμόζεται στις δραστηριότητες επεξεργασίας που εκτελούν, να ορίζουν ένα εκπρόσωπο στην Ένωση. Το άρθρο 26 αποσαφηνίζει τη θέση και τις υποχρεώσεις των εκτελούντων την επεξεργασία, εν μέρει βάσει του άρθρου 17 παράγραφος 2 της οδηγίας 95/46/ΕΚ, και προσθέτοντας νέα στοιχεία, όπως ότι εάν ένας εκτελών την επεξεργασία επεξεργάζεται δεδομένα πέραν των εντολών του υπευθύνου επεξεργασίας πρέπει να θεωρείται από κοινού υπεύθυνος επεξεργασίας. Το άρθρο 27 αφορά την επεξεργασία υπό την εποπτεία του υπευθύνου της επεξεργασίας και του εκτελούντος την επεξεργασία βασίζεται στο άρθρο 16 της οδηγίας 95/46/ΕΚ. Το άρθρο 28 θεσπίζει την υποχρέωση των υπευθύνων επεξεργασίας και των εκτελούντων την επεξεργασία να διατηρούν τεκμηρίωση των πράξεων επεξεργασίας που εκτελούν υπό την ευθύνη τους αντί της γενικής κοινοποίησης προς την αρχή ελέγχου που απαιτείται από το άρθρο 18 παράγραφος 1 και το άρθρο 19 της οδηγίας 95/46/ΕΚ. Το άρθρο 29 αποσαφηνίζει τις υποχρεώσεις του υπευθύνου επεξεργασίας και του εκτελούντος την επεξεργασία για τη συνεργασία με την αρχή ελέγχου. 3.4.4.2. Τμήμα 2 – Ασφάλεια δεδομένων Το άρθρο 30 υποχρεώνει τον υπεύθυνο επεξεργασίας και τον εκτελούντα την επεξεργασία να εφαρμόζουν κατάλληλα μέτρα για την ασφάλεια της επεξεργασίας, βάσει του άρθρου 17 παράγραφος 1 της οδηγίας 95/46/ΕΚ, επεκτείνοντας τη συγκεκριμένη υποχρέωση στους εκτελούντες την επεξεργασία, ανεξάρτητα από τη σύμβασή τους με τον υπεύθυνο επεξεργασίας. Τα άρθρα 31 και 32 θεσπίζουν υποχρέωση κοινοποίησης παραβιάσεων των δεδομένων προσωπικού χαρακτήρα, βάσει της κοινοποίησης των παραβιάσεων δεδομένων προσωπικού χαρακτήρα που προβλέπεται στο άρθρο 4 παράγραφος 3 της οδηγίας 2002/58/ΕΚ για την προστασία της ιδιωτικής ζωής στις ηλεκτρονικές επικοινωνίες. 3.4.4.3. Τμήμα 3 – Εκτίμηση επιπτώσεων σχετικά με την προστασία των δεδομένων και προηγούμενη έγκριση Το άρθρο 33 θεσπίζει την υποχρέωση των υπευθύνων επεξεργασίας και των εκτελούντων την επεξεργασία να διενεργούν εκτίμηση επιπτώσεων σχετικά με την προστασία των δεδομένων πριν από ριψοκίνδυνες πράξεις επεξεργασίας. Το άρθρο 34 αφορά τις περιπτώσεις στις οποίες η έγκριση από την αρχή ελέγχου και η διαβούλευση με την αρχή ελέγχου είναι υποχρεωτικές πριν από την επεξεργασία βάσει της έννοιας των προηγούμενων ελέγχων που προβλέπεται στο άρθρο 20 της οδηγίας 95/46/ΕΚ. 3.4.4.4. Τμήμα 4 – Υπεύθυνος προστασίας δεδομένων Το άρθρο 35 θεσπίζει την υποχρέωση διορισμού ενός υπευθύνου προστασίας δεδομένων για τον δημόσιο τομέα και, στον ιδιωτικό τομέα, για τις μεγάλες επιχειρήσεις ή όταν οι βασικές δραστηριότητες του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία περιλαμβάνουν πράξεις επεξεργασίας οι οποίες απαιτούν τακτική και συστηματική παρακολούθηση. Η διάταξη αυτή βασίζεται στο άρθρο 18 παράγραφος 2 της οδηγίας 95/46/ΕΚ, το οποίο προβλέπει τη δυνατότητα των κρατών μελών να θεσπίζουν μια τέτοια υποχρέωση αντί της γενικής απαίτησης κοινοποίησης. Το άρθρο 36 καθορίζει τη θέση του υπευθύνου προστασίας δεδομένων. Το άρθρο 37 προβλέπει τα βασικά καθήκοντα του υπευθύνου προστασίας δεδομένων. 3.4.4.5. Τμήμα 5 – Κώδικες δεοντολογίας και πιστοποίηση Το άρθρο 38 αφορά τους κώδικες δεοντολογίας, βάσει της έννοιας που προβλέπεται στο άρθρο 27 παράγραφος 1 της οδηγίας 95/46/ΕΚ, αποσαφηνίζοντας το περιεχόμενο των κωδίκων και τις διαδικασίες και προβλέποντας την εξουσία της Επιτροπής να αποφασίζει για τη γενική ισχύ κωδίκων δεοντολογίας. Το άρθρο 39 θεσπίζει τη δυνατότητα θέσπισης μηχανισμών πιστοποίησης και σφραγίδων και σημάτων προστασίας των δεδομένων. 3.4.5. ΚΕΦΑΛΑΙΟ V – ΔΙΑΒΙΒΑΣΗ ΔΕΔΟΜΕΝΩΝ ΠΡΟΣΩΠΙΚΟΥ ΧΑΡΑΚΤΗΡΑ ΣΕ ΤΡΙΤΕΣ ΧΩΡΕΣ Ή ΣΕ ΔΙΕΘΝΕΙΣ ΟΡΓΑΝΙΣΜΟΥΣ Το άρθρο 40 προσδιορίζει, ως γενική αρχή, ότι η συμμόρφωση προς τις υποχρεώσεις του παρόντος κεφαλαίου είναι υποχρεωτική για κάθε διαβίβαση δεδομένων προσωπικού χαρακτήρα σε τρίτες χώρες ή διεθνείς οργανισμούς, συμπεριλαμβανομένων περαιτέρω διαβιβάσεων. Το άρθρο 41 καθορίζει τα κριτήρια, τις προϋποθέσεις και τις διαδικασίες για τη λήψη απόφασης περί επάρκειας από την Επιτροπή, βάσει του άρθρου 25 της οδηγίας 95/46/ΕΚ. Τα κριτήρια τα οποία λαμβάνονται υπόψη για την αξιολόγηση από την Επιτροπή του επαρκούς ή μη επιπέδου προστασίας περιλαμβάνουν ρητώς το κράτος δικαίου, το δικαίωμα προσφυγής στη δικαιοσύνη και τον ανεξάρτητο έλεγχο. Το άρθρο επιβεβαιώνει πλέον ρητώς τη δυνατότητα της Επιτροπής να αξιολογεί το επίπεδο προστασίας που παρέχει ένα έδαφος ή ένας τομέας επεξεργασίας σε μια τρίτη χώρα. Το άρθρο 42 απαιτεί για τις διαβιβάσεις προς τρίτες χώρες, εφόσον δεν έχει ληφθεί απόφαση περί επάρκειας από την Επιτροπή, την προσθήκη κατάλληλων εγγυήσεων, και ειδικότερα τυποποιημένων ρητρών προστασίας των δεδομένων, δεσμευτικών εταιρικών κανόνων και συμβατικών ρητρών. Η δυνατότητα χρήσης τυποποιημένων ρητρών προστασίας των δεδομένων της Επιτροπής βασίζεται στο άρθρο 26 παράγραφος 4 της οδηγίας 95/46/ΕΚ. Το νέο στοιχείο είναι ότι πλέον τέτοιες τυποποιημένες ρήτρες προστασίας των δεδομένων μπορούν επίσης να θεσπισθούν από αρχή ελέγχου και να χαρακτηρισθούν γενικά έγκυρες από την Επιτροπή. Στο νομικό κείμενο αναφέρονται πλέον ρητώς οι δεσμευτικοί εταιρικοί κανόνες. Η επιλογή συμβατικών ρητρών παρέχει κάποια ευελιξία στον υπεύθυνο επεξεργασίας ή στον εκτελούντα την επεξεργασία, αλλά υπόκειται σε προηγούμενη έγκριση των αρχών ελέγχου. Το άρθρο 43 περιγράφει λεπτομερέστερα τις προϋποθέσεις για τις διαβιβάσεις μέσω δεσμευτικών εταιρικών κανόνων, βάσει των ισχυουσών πρακτικών και απαιτήσεων των αρχών ελέγχου. Το άρθρο 44 προσδιορίζει και αποσαφηνίζει τις παρεκκλίσεις στη διαβίβαση δεδομένων βάσει των ισχυουσών διατάξεων του άρθρου 26 της οδηγίας 95/46/ΕΚ. Αυτό ισχύει ειδικότερα για τις αιτηθείσες διαβιβάσεις δεδομένων που είναι αναγκαίες για την προστασία σημαντικών λόγων δημόσιου συμφέροντος, για παράδειγμα σε περιπτώσεις διεθνών διαβιβάσεων δεδομένων μεταξύ αρχών ανταγωνισμού, φορολογικών ή τελωνειακών αρχών ή μεταξύ υπηρεσιών αρμόδιων για θέματα κοινωνικής ασφάλισης ή για τη διαχείριση της αλιείας. Επιπλέον, σε περιορισμένες περιπτώσεις, μια διαβίβαση δεδομένων μπορεί να δικαιολογείται βάσει του έννομου συμφέροντος του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία, αλλά μόνον αφού αξιολογηθούν και τεκμηριωθούν οι συνθήκες της συγκεκριμένης πράξης διαβίβασης. Το άρθρο 45 προβλέπει ρητώς μηχανισμούς διεθνούς συνεργασίας για την προστασία των δεδομένων προσωπικού χαρακτήρα μεταξύ της Επιτροπής και των αρχών ελέγχου τρίτων χωρών, και ιδίως εκείνων που θεωρούνται ότι παρέχουν επαρκές επίπεδο προστασίας, λαμβάνοντας υπόψη τη σύσταση του Οργανισμού Οικονομικής Συνεργασίας και Ανάπτυξης (ΟΟΣΑ) για τη διασυνοριακή συνεργασία στην επιβολή της νομοθεσίας για την προστασία της ιδιωτικής ζωής της 12ης Ιουνίου 2007. 3.4.6. ΚΕΦΑΛΑΙΟ VI – ΑΝΕΞΑΡΤΗΤΕΣ ΑΡΧΕΣ ΕΛΕΓΧΟΥ 3.4.6.1. Τμήμα 1 – Ανεξάρτητο καθεστώς Το άρθρο 46 υποχρεώνει τα κράτη μέλη να συστήσουν αρχές ελέγχου, βάσει του άρθρου 28 παράγραφος 1 της οδηγίας 95/46/ΕΚ, και διευρύνει την αποστολή των αρχών ελέγχου στη συνεργασία μεταξύ τους και με την Επιτροπή. Το άρθρο 47 αποσαφηνίζει τις προϋποθέσεις της ανεξαρτησίας των αρχών ελέγχου, εφαρμόζοντας τη νομολογία του Δικαστηρίου της Ευρωπαϊκής Ένωσης[34], εμπνεόμενο επίσης από το άρθρο 44 του κανονισμού (ΕΚ) αριθ. 45/2001[35]. Το άρθρο 48 προβλέπει γενικές προϋποθέσεις για τα μέλη της αρχής ελέγχου, εφαρμόζοντας τη σχετική νομολογία[36] και εμπνεόμενο επίσης από το άρθρο 42 παράγραφοι 2 έως 6 του κανονισμού (ΕΚ) αριθ. 45/2001. Το άρθρο 49 θεσπίζει τους κανόνες για την ίδρυση της αρχής ελέγχου, οι οποίοι θα προβλεφθούν από τα κράτη μέλη διά νόμου. Το άρθρο 50 προβλέπει το επαγγελματικό απόρρητο για τα μέλη και τους υπαλλήλους της αρχής ελέγχου και βασίζεται στο άρθρο 28 παράγραφος 7 της οδηγίας 95/46/ΕΚ. 3.4.6.2. Τμήμα 2 – Καθήκοντα και εξουσίες Το άρθρο 51 καθορίζει την αρμοδιότητα των αρχών ελέγχου. Ο γενικός κανόνας, βασισμένος στο άρθρο 28 παράγραφος 6 της οδηγίας 95/46/ΕΚ (αρμοδιότητα στο έδαφος του κράτους μέλους στο οποίο υπάγεται), συμπληρώνεται με τη νέα αρμοδιότητα της επικεφαλής αρχής στην περίπτωση που ένας υπεύθυνος επεξεργασίας ή ένας εκτελών την επεξεργασία είναι εγκαταστημένος σε περισσότερα κράτη μέλη, προκειμένου να διασφαλίζεται ενιαία εφαρμογή (υπηρεσία μίας στάσης). Τα δικαστήρια, όταν ενεργούν υπό τη δικαιοδοτική τους εξουσία, εξαιρούνται της παρακολούθησης από την αρχή ελέγχου, αλλά δεν απαλλάσσονται από την εφαρμογή των ουσιαστικών κανόνων για την προστασία των δεδομένων. Το άρθρο 52 προβλέπει τα καθήκοντα της αρχής ελέγχου, τα οποία περιλαμβάνουν την εξέταση και τη διερεύνηση καταγγελιών και την προώθηση της ευαισθητοποίησης του κοινού για τους κινδύνους, τους κανόνες, τις εγγυήσεις και τα δικαιώματα. Το άρθρο 53 προβλέπει τις εξουσίες της αρχής ελέγχου, βασιζόμενο εν μέρει στο άρθρο 28 παράγραφος 3 της οδηγίας 95/46/ΕΚ και στο άρθρο 47 του κανονισμού (ΕΚ) αριθ. 45/2001, και προσθέτοντας μερικά νέα στοιχεία, συμπεριλαμβανομένης της εξουσίας επιβολής κυρώσεων σε διοικητικά παραπτώματα. Το άρθρο 54 υποχρεώνει τις αρχές ελέγχου να εκπονούν ετήσιες εκθέσεις δραστηριοτήτων, βάσει του άρθρου 28 παράγραφος 5 της οδηγίας 95/46/ΕΚ. 3.4.7. ΚΕΦΑΛΑΙΟ VII – ΣΥΝΕΡΓΑΣΙΑ ΚΑΙ ΣΥΝΕΚΤΙΚΟΤΗΤΑ 3.4.7.1. Τμήμα 1 – Συνεργασία Το άρθρο 55 θεσπίζει ρητούς κανόνες για την υποχρεωτική αμοιβαία συνδρομή, συμπεριλαμβανομένων των συνεπειών μη συμμόρφωσης προς το αίτημα άλλης αρχής ελέγχου, βάσει του άρθρου 28 παράγραφος 6 δεύτερο εδάφιο της οδηγίας 95/46/ΕΚ. Το άρθρο 56 θεσπίζει κανόνες για τις κοινές πράξεις, εμπνεόμενο από το άρθρο 17 της απόφασης 2008/615/ΔΕΥ[37] του Συμβουλίου, συμπεριλαμβανομένου του δικαιώματος των αρχών ελέγχου να συμμετέχουν σε τέτοιες πράξεις. 3.4.7.2. Τμήμα 2 – Συνεκτικότητα Το άρθρο 57 θεσπίζει έναν μηχανισμό συνεκτικότητας προκειμένου να διασφαλίζεται ενιαία εφαρμογή όσον αφορά πράξεις επεξεργασίας οι οποίες ενδέχεται να αφορούν πρόσωπα στα οποία αναφέρονται τα δεδομένα σε περισσότερα κράτη μέλη. Το άρθρο 58 καθορίζει τις διαδικασίες και τις προϋποθέσεις για την έκδοση γνώμης από το Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων. Το άρθρο 59 αφορά γνώμες της Επιτροπής σε θέματα που εξετάζονται στο πλαίσιο του μηχανισμού συνεκτικότητας, οι οποίες μπορεί είτε να ενισχύουν τη γνώμη του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων είτε να διαφωνούν με την εν λόγω γνώμη και το σχέδιο μέτρου της αρχής ελέγχου. Εάν το θέμα εγείρεται από το Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων βάσει του άρθρου 58 παράγραφος 3, η Επιτροπή μπορεί να ασκεί τη διακριτική της ευχέρεια και να εκδίδει γνώμη όποτε απαιτείται. Το άρθρο 60 αφορά αποφάσεις της Επιτροπής οι οποίες υποχρεώνουν μια αρμόδια αρχή να αναστείλει ένα σχέδιο μέτρου, όταν αυτό είναι αναγκαίο προκειμένου να διασφαλισθεί η ορθή εφαρμογή του παρόντος κανονισμού. Το άρθρο 61 προβλέπει τη δυνατότητα λήψης προσωρινών μέτρων στο πλαίσιο επείγουσας διαδικασίας. Το άρθρο 62 καθορίζει τις απαιτήσεις για εκτελεστικές πράξεις της Επιτροπής στο πλαίσιο του μηχανισμού συνεκτικότητας. Το άρθρο 63 προβλέπει την υποχρέωση επιβολής των μέτρων μιας αρχής ελέγχου σε όλα τα ενδιαφερόμενα κράτη μέλη, και ορίζει ότι η εφαρμογή του μηχανισμού συνεκτικότητας αποτελεί προϋπόθεση για τη νομική ισχύ και την επιβολή του αντίστοιχου μέτρου. 3.4.7.3. Τμήμα 3 – Ευρωπαϊκή Επιτροπή Προστασίας Δεδομένων Το άρθρο 64 θεσπίζει το Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων, η οποία απαρτίζεται από τους προϊσταμένους της αρχής ελέγχου κάθε κράτους μέλους και τον Ευρωπαίο Επόπτη Προστασίας Δεδομένων. Το Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων αντικαθιστά την ομάδα για την προστασία των προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα, η οποία συστάθηκε βάσει του άρθρου 29 της οδηγίας 95/46/ΕΚ. Διευκρινίζεται ότι η Επιτροπή δεν είναι μέλος του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων, αλλά δικαιούται να συμμετέχει στις δραστηριότητές της και να εκπροσωπείται σε αυτήν. Το άρθρο 65 υπογραμμίζει και αποσαφηνίζει την ανεξαρτησία του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων. Το άρθρο 66 περιγράφει τα καθήκοντα του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων, βάσει του άρθρου 30 παράγραφος 1 της οδηγίας 95/46/ΕΚ, και προβλέπει πρόσθετα στοιχεία, τα οποία αντικατοπτρίζουν το διευρυνόμενο πεδίο των δραστηριοτήτων του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων, εντός της Ένωσης και εκτός αυτής. Για να είναι σε θέση να αντιδρά σε επείγουσες καταστάσεις, η Επιτροπή μπορεί να ζητεί την έκδοση γνώμης εντός συγκεκριμένης προθεσμίας. Το άρθρο 67 υποχρεώνει το Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων να υποβάλει ετήσια έκθεση για τις δραστηριότητές της, βάσει του άρθρου 30 παράγραφος 6 της οδηγίας 95/46/ΕΚ. Το άρθρο 68 καθορίζει τις διαδικασίες λήψης αποφάσεων του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων, συμπεριλαμβανομένης της υποχρέωσης θέσπισης εσωτερικού κανονισμού, ο οποίος πρέπει να εκτείνεται επίσης σε επιχειρησιακές ρυθμίσεις. Το άρθρο 69 περιέχει τις διατάξεις για τον πρόεδρο και τους αντιπροέδρους του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων. Το άρθρο 70 καθορίζει τα καθήκοντα του προέδρου. Το άρθρο 71 ορίζει ότι η γραμματεία του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων παρέχεται από τον Ευρωπαίο Επόπτη Προστασίας Δεδομένων και προσδιορίζει τα καθήκοντα της γραμματείας. Το άρθρο 72 προβλέπει κανόνες για την εμπιστευτικότητα. 3.4.8. ΚΕΦΑΛΑΙΟ VIII - ΠΡΟΣΦΥΓΕΣ, ΕΥΘΥΝΗ ΚΑΙ ΚΥΡΩΣΕΙΣ Το άρθρο 73 προβλέπει το δικαίωμα κάθε προσώπου στο οποίο αναφέρονται τα δεδομένα να υποβάλει καταγγελία σε αρχή ελέγχου, βάσει του άρθρου 28 παράγραφος 4 της οδηγίας 95/46/ΕΚ. Προσδιορίζει επίσης τους φορείς, τους οργανισμούς ή τις οργανώσεις που μπορούν να υποβάλουν καταγγελία για λογαριασμό του προσώπου στο οποίο αναφέρονται τα δεδομένα ή, σε περίπτωση παραβίασης δεδομένων προσωπικού χαρακτήρα, ανεξάρτητα από την καταγγελία προσώπου στο οποίο αναφέρονται τα δεδομένα. Το άρθρο 74 αφορά το δικαίωμα δικαστικής προσφυγής κατά αρχής ελέγχου. Βασίζεται στη γενική διάταξη του άρθρου 28 παράγραφος 3 της οδηγίας 95/46/ΕΚ. Προβλέπει ρητώς δικαστική προσφυγή, η οποία υποχρεώνει την αρχή ελέγχου να ενεργεί σε μια καταγγελία, και αποσαφηνίζει την αρμοδιότητα των δικαστηρίων του κράτους μέλους στο οποίο είναι εγκαταστημένη η αρχή ελέγχου. Προβλέπει επίσης τη δυνατότητα κίνησης διαδικασίας, για λογαριασμό του προσώπου στο οποίο αναφέρονται τα δεδομένα, από την αρχή ελέγχου του κράτους μέλους στο οποίο διαμένει το πρόσωπο στο οποίο αναφέρονται τα δεδομένα ενώπιον των δικαστηρίων άλλου κράτους μέλους στο οποίο είναι εγκαταστημένη η αρμόδια αρχή ελέγχου. Το άρθρο 75 αφορά το δικαίωμα δικαστικής προσφυγής κατά υπευθύνου επεξεργασίας ή εκτελούντος την επεξεργασία, βάσει του άρθρου 22 της οδηγίας 95/46/ΕΚ, και παρέχει τη δυνατότητα προσφυγής σε δικαστήριο στο κράτος μέλος στο οποίο είναι εγκαταστημένος ο καθ’ ου ή σε εκείνο στο οποίο διαμένει το πρόσωπο στο οποίο αναφέρονται τα δεδομένα. Εάν εκκρεμεί διαδικασία για την ίδια υπόθεση στον μηχανισμό συνεκτικότητας, το δικαστήριο μπορεί να αναστείλει τη διαδικασία, εκτός εάν πρόκειται για επείγουσα υπόθεση. Το άρθρο 76 θεσπίζει κοινούς κανόνες για τη δικαστική διαδικασία, συμπεριλαμβανομένων των δικαιωμάτων φορέων, οργανισμών και οργανώσεων να εκπροσωπούν πρόσωπα στα οποία αφορούν τα δεδομένα ενώπιον των δικαστηρίων, του δικαιώματος των αρχών ελέγχου να συμμετέχουν σε νομικές διαδικασίες και να ενημερώνουν τα δικαστήρια για την ύπαρξη παράλληλης διαδικασίας σε άλλο κράτος μέλος, και της δυνατότητας των δικαστηρίων να αναστέλλουν τη διαδικασία σε μια τέτοια περίπτωση[38]. Τα κράτη μέλη υποχρεούνται να διασφαλίζουν την ταχύτητα των ενδίκων μέσων[39]. Το άρθρο 77 καθορίζει το δικαίωμα αποζημίωσης και την ευθύνη. Βασίζεται στο άρθρο 23 της οδηγίας 95/46/ΕΚ, επεκτείνει το δικαίωμα αυτό σε ζημίες που προκαλούνται από εκτελούντες την επεξεργασία και αποσαφηνίζει την ευθύνη των από κοινού υπευθύνων επεξεργασίας και των από κοινού εκτελούντων την επεξεργασία. Το άρθρο 78 υποχρεώνει τα κράτη μέλη να θεσπίζουν κανόνες σχετικά με ποινές, για την κύρωση παραβάσεων του κανονισμού, και να διασφαλίζουν την εφαρμογή τους. Το άρθρο 79 υποχρεώνει κάθε αρχή ελέγχου να επιβάλλει κυρώσεις για τα διοικητικά παραπτώματα που απαριθμούνται στους καταλόγους που αναφέρονται στην παρούσα διάταξη, επιβάλλοντας πρόστιμα έως μέγιστα ποσά, λαμβάνοντας δεόντως υπόψη τις συνθήκες κάθε μεμονωμένης περίπτωσης. 3.4.9. ΚΕΦΑΛΑΙΟ IX – ΔΙΑΤΑΞΕΙΣ ΠΟΥ ΑΦΟΡΟΥΝ ΕΙΔΙΚΕΣ ΠΕΡΙΠΤΩΣΕΙΣ ΕΠΕΞΕΡΓΑΣΙΑΣ ΔΕΔΟΜΕΝΩΝ Το άρθρο 80 υποχρεώνει τα κράτη μέλη να θεσπίζουν εξαιρέσεις και παρεκκλίσεις από τις ειδικές διατάξεις του κανονισμού, όταν απαιτείται, για τον συμβιβασμό του δικαιώματος στην προστασία των δεδομένων προσωπικού χαρακτήρα με το δικαίωμα ελευθερίας έκφρασης. Βασίζεται στο άρθρο 9 της οδηγίας 95/46/ΕΚ, όπως ερμηνεύθηκε από το Δικαστήριο της ΕΕ[40]. Το άρθρο 81 υποχρεώνει τα κράτη μέλη, πέραν των προϋποθέσεων για τις ειδικές κατηγορίες δεδομένων, να διασφαλίζουν ειδικές εγγυήσεις για την επεξεργασία για σκοπούς υγείας. Το άρθρο 82 εξουσιοδοτεί τα κράτη μέλη να θεσπίζουν ειδικούς νόμους για την επεξεργασία δεδομένων προσωπικού χαρακτήρα στο πλαίσιο της απασχόλησης. Το άρθρο 83 καθορίζει ειδικές προϋποθέσεις για την επεξεργασία δεδομένων προσωπικού χαρακτήρα για ιστορικούς και στατιστικούς σκοπούς, καθώς και για σκοπούς επιστημονικής έρευνας. Το άρθρο 84 εξουσιοδοτεί τα κράτη μέλη να θεσπίζουν ειδικούς κανόνες για την πρόσβαση των αρχών ελέγχου σε δεδομένα προσωπικού χαρακτήρα και σε εγκαταστάσεις, όταν οι υπεύθυνοι επεξεργασίας υπέχουν υποχρεώσεις απορρήτου. Το άρθρο 85 επιτρέπει, υπό το πρίσμα του άρθρου 17 της συνθήκης για τη λειτουργία της Ευρωπαϊκής Ένωσης, τη συνεχή εφαρμογή των ισχυόντων συνολικών κανόνων για την προστασία των δεδομένων εκκλησιών, εφόσον εναρμονισθούν με τον παρόντα κανονισμό. 3.4.10. ΚΕΦΑΛΑΙΟ X – ΚΑΤ’ ΕΞΟΥΣΙΟΔΟΤΗΣΗ ΠΡΑΞΕΙΣ ΚΑΙ ΕΚΤΕΛΕΣΤΙΚΕΣ ΠΡΑΞΕΙΣ Το άρθρο 86 περιέχει τις τυποποιημένες διατάξεις για την άσκηση των αναθέσεων σύμφωνα με το άρθρο 290 ΣΛΕΕ. Αυτό επιτρέπει στον νομοθέτη να αναθέτει στην Επιτροπή την εξουσία έκδοσης μη νομοθετικών πράξεων γενικής ισχύος που συμπληρώνουν ή τροποποιούν ορισμένα μη ουσιώδη στοιχεία της νομοθετικής πράξης (οιονεί νομοθετικές πράξεις). Το άρθρο 87 περιέχει τη διάταξη για τη διαδικασία επιτροπής που απαιτείται για την ανάθεση εκτελεστικών εξουσιών στην Επιτροπή στις περιπτώσεις στις οποίες, σύμφωνα με το άρθρο 291 ΣΛΕΕ, απαιτούνται ενιαίες προϋποθέσεις για την εκτέλεση των νομικά δεσμευτικών πράξεων της Ένωσης. Εφαρμόζεται η διαδικασία εξέτασης. 3.4.11. ΚΕΦΑΛΑΙΟ XI – ΤΕΛΙΚΕΣ ΔΙΑΤΑΞΕΙΣ Το άρθρο 88 καταργεί την οδηγία 95/46/ΕΚ. Το άρθρο 89 αποσαφηνίζει τη σχέση με, και τροποποιεί, την οδηγία 2002/58/ΕΚ για την προστασία της ιδιωτικής ζωής στις ηλεκτρονικές επικοινωνίες. Το άρθρο 90 υποχρεώνει την Επιτροπή να αξιολογεί τον κανονισμό και να υποβάλλει σχετικές εκθέσεις. Το άρθρο 91 καθορίζει την ημερομηνία έναρξης ισχύος του κανονισμού και μεταβατική φάση όσον αφορά την ημερομηνία από την οποία τίθεται σε εφαρμογή. 4. ΔΗΜΟΣΙΟΝΟΜΙΚΕΣ ΕΠΙΠΤΩΣΕΙΣ Οι συγκεκριμένες δημοσιονομικές επιπτώσεις της πρότασης σχετίζονται με τα καθήκοντα που ανατίθεται στον Ευρωπαίο Επόπτη Προστασίας Δεδομένων, όπως προσδιορίζεται στο νομοθετικό δημοσιονομικό δελτίο που συνοδεύει την παρούσα πρόταση. Οι επιπτώσεις αυτές απαιτούν τον αναπρογραμματισμό του τομέα 5 της δημοσιονομικής προοπτικής. Η πρόταση δεν έχει επιπτώσεις στις επιχειρησιακές δαπάνες. Το νομοθετικό δημοσιονομικό δελτίο που συνοδεύει την παρούσα πρόταση κανονισμού καλύπτει τις δημοσιονομικές επιπτώσεις του κανονισμού και της οδηγίας για την προστασία των δεδομένων στο πλαίσιο της αστυνομικής και δικαστικής συνεργασίας. 2012/0011 (COD) Πρόταση ΚΑΝΟΝΙΣΜΟΣ ΤΟΥ ΕΥΡΩΠΑΪΚΟΥ ΚΟΙΝΟΒΟΥΛΙΟΥ ΚΑΙ ΤΟΥ ΣΥΜΒΟΥΛΙΟΥ για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών (γενικός κανονισμός για την προστασία δεδομένων) (Κείμενο που παρουσιάζει ενδιαφέρον για τον ΕΟΧ) ΤΟ ΕΥΡΩΠΑΪΚΟ ΚΟΙΝΟΒΟΥΛΙΟ ΚΑΙ ΤΟ ΣΥΜΒΟΥΛΙΟ ΤΗΣ ΕΥΡΩΠΑΪΚΗΣ ΕΝΩΣΗΣ, Έχοντας υπόψη τη συνθήκη για τη λειτουργία της Ευρωπαϊκής Ένωσης, και ιδίως το άρθρο 16 παράγραφος 2 και το άρθρο 114 παράγραφος 1, Έχοντας υπόψη την πρόταση της Ευρωπαϊκής Επιτροπής, Κατόπιν διαβίβασης του σχεδίου νομοθετικής πράξης στα εθνικά κοινοβούλια, Έχοντας υπόψη τη γνώμη της Ευρωπαϊκής Οικονομικής και Κοινωνικής Επιτροπής[41] Ύστερα από διαβούλευση με τον Ευρωπαίο Επόπτη Προστασίας Δεδομένων [42], Αποφασίζοντας σύμφωνα με τη συνήθη νομοθετική διαδικασία, Εκτιμώντας τα ακόλουθα: (1) Η προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα είναι θεμελιώδες δικαίωμα. Το άρθρο 8 παράγραφος 1 του Χάρτη Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης και το άρθρο 16 παράγραφος 1 της Συνθήκης ορίζουν ότι κάθε πρόσωπο έχει δικαίωμα στην προστασία των δεδομένων προσωπικού χαρακτήρα που το αφορούν. (2) Η επεξεργασία των δεδομένων προσωπικού χαρακτήρα προορίζεται να εξυπηρετεί τον άνθρωπο. Οι αρχές και οι κανόνες για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα που τα αφορούν πρέπει, ανεξάρτητα από την ιθαγένεια ή τον τόπο διαμονής των φυσικών προσώπων, να σέβονται τα θεμελιώδη δικαιώματα και τις ελευθερίες τους, και συγκεκριμένα το δικαίωμά τους στην προστασία των δεδομένων προσωπικού χαρακτήρα που τα αφορούν. Η επεξεργασία πρέπει να συμβάλει στην επίτευξη ενός χώρου ελευθερίας, ασφάλειας και δικαιοσύνης και οικονομικής ένωσης, στην οικονομική και κοινωνική πρόοδο, στην ενίσχυση και στη σύγκλιση των οικονομιών στην εσωτερική αγορά και στην ευημερία των φυσικών προσώπων. (3) Η οδηγία 95/46/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 24ης Οκτωβρίου 1995, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών[43] επιδιώκει την εναρμόνιση της προστασίας των θεμελιωδών δικαιωμάτων και ελευθεριών των φυσικών προσώπων όσον αφορά τις δραστηριότητες επεξεργασίας και τη διασφάλιση της ελεύθερης ροής δεδομένων προσωπικού χαρακτήρα μεταξύ κρατών μελών. (4) Η οικονομική και κοινωνική ολοκλήρωση, η οποία προέκυψε από τη λειτουργία της εσωτερικής αγοράς, έχει ως αποτέλεσμα σημαντική αύξηση των διασυνοριακών ροών. Η ανταλλαγή δεδομένων μεταξύ οικονομικών και κοινωνικών, δημόσιων και ιδιωτικών, παραγόντων σε ολόκληρη την Ένωση αυξήθηκε. Οι εθνικές αρχές των κρατών μελών καλούνται από το δίκαιο της Ένωσης να συνεργάζονται και να ανταλλάσσουν δεδομένα προσωπικού χαρακτήρα προκειμένου να μπορούν να εκτελούν τις υποχρεώσεις τους ή να ασκούν καθήκοντα για λογαριασμό αρχής άλλου κράτους μέλους. (5) Οι ραγδαίες τεχνολογικές εξελίξεις και η παγκοσμιοποίηση δημιούργησαν νέες προκλήσεις για την προστασία των δεδομένων προσωπικού χαρακτήρα. Η κλίμακα της ανταλλαγής και της συλλογής δεδομένων αυξήθηκε εντυπωσιακά. Η τεχνολογία επιτρέπει τόσο σε ιδιωτικές επιχειρήσεις όσο και σε δημόσιες αρχές να κάνουν χρήση δεδομένων προσωπικού χαρακτήρα σε πρωτόγνωρη κλίμακα για την επιδίωξη των δραστηριοτήτων τους. Τα φυσικά πρόσωπα καθιστούν ολοένα και περισσότερο δημόσια διαθέσιμες προσωπικές πληροφορίες παγκοσμίως. Η τεχνολογία έχει αλλάξει τόσο την οικονομία όσο και την κοινωνική ζωή και απαιτεί την περαιτέρω διευκόλυνση της ελεύθερης ροής δεδομένων εντός της Ένωσης και της διαβίβασης σε τρίτες χώρες και διεθνείς οργανισμούς, διασφαλίζοντας παράλληλα υψηλό επίπεδο προστασίας των δεδομένων προσωπικού χαρακτήρα. (6) Οι εξελίξεις αυτές απαιτούν την οικοδόμηση ενός ισχυρού και πιο συνεκτικού πλαισίου προστασίας των δεδομένων στην Ένωση, υποστηριζόμενου από αυστηρή εφαρμογή της νομοθεσίας, δεδομένης της σημασίας να δημιουργηθεί η αναγκαία εμπιστοσύνη που θα επιτρέψει στην ψηφιακή οικονομία να αναπτυχθεί στο σύνολο της εσωτερικής αγοράς. Τα φυσικά πρόσωπα πρέπει να έχουν τον έλεγχο των δεδομένων προσωπικού χαρακτήρα που τα αφορούν, ενώ πρέπει να ενισχυθούν η ασφάλεια δικαίου και η πρακτική ασφάλεια για τα φυσικά πρόσωπα, τους οικονομικούς παράγοντες και τις δημόσιες αρχές. (7) Ενώ οι στόχοι και οι αρχές της οδηγίας 95/46/ΕΚ παραμένουν έγκυροι, η οδηγία δεν κατάφερε να αποτρέψει τον κατακερματισμό στον τρόπο με τον οποίο εφαρμόζεται η προστασία των δεδομένων σε ολόκληρη την Ένωση, την ανασφάλεια δικαίου και τη διαδεδομένη στο κοινό αντίληψη ότι υπάρχουν σημαντικοί κίνδυνοι για την προστασία των φυσικών προσώπων, οι οποίοι συνδέονται ειδικότερα με την επιγραμμική δραστηριότητα. Αν το επίπεδο προστασίας των δικαιωμάτων και των ελευθεριών των φυσικών προσώπων -και ειδικότερα του δικαιώματος προστασίας των δεδομένων προσωπικού χαρακτήρα – που αναγνωρίζεται στα κράτη μέλη όσον αφορά την επεξεργασία δεδομένων προσωπικού χαρακτήρα είναι διαφορετικό, αυτό ενδέχεται να εμποδίζει την ελεύθερη ροή δεδομένων προσωπικού χαρακτήρα σε ολόκληρη την Ένωση. Επομένως, οι διαφορές αυτές μπορεί να συνιστούν εμπόδιο για την άσκηση οικονομικών δραστηριοτήτων στο επίπεδο της Ένωσης, να στρεβλώνουν τον ανταγωνισμό και να εμποδίζουν τις αρχές στην εκτέλεση των υποχρεώσεών τους, όπως αυτές απορρέουν από το δίκαιο της Ένωσης. Αυτή η διαφορά ως προς τα επίπεδα προστασίας οφείλεται στην ύπαρξη αποκλίσεων κατά την εκτέλεση και εφαρμογή της οδηγίας 95/46/ΕΚ. (8) Για τη διασφάλιση συνεκτικής και υψηλού επιπέδου προστασίας των φυσικών προσώπων και την άρση των εμποδίων στις ροές δεδομένων προσωπικού χαρακτήρα, το επίπεδο προστασίας των δικαιωμάτων και των ελευθεριών των φυσικών προσώπων σε σχέση με την επεξεργασία των εν λόγω δεδομένων πρέπει να είναι ισοδύναμο σε όλα τα κράτη μέλη. Πρέπει να διασφαλίζεται συνεκτική και ομοιόμορφη εφαρμογή των κανόνων για την προστασία των θεμελιωδών δικαιωμάτων και των ελευθεριών των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα σε ολόκληρη την Ένωση. (9) Η ουσιαστική προστασία των δεδομένων προσωπικού χαρακτήρα σε ολόκληρη την Ένωση απαιτεί την ενίσχυση και τη λεπτομερή περιγραφή των δικαιωμάτων των προσώπων στα οποία αναφέρονται τα δεδομένα, καθώς και των υποχρεώσεων εκείνων που επεξεργάζονται και καθορίζουν την επεξεργασία δεδομένων προσωπικού χαρακτήρα, αλλά επίσης αντίστοιχες εξουσίες παρακολούθησης και διασφάλισης της συμμόρφωσης προς τους κανόνες προστασίας των δεδομένων προσωπικού χαρακτήρα και αντίστοιχες κυρώσεις για τους παραβάτες στα κράτη μέλη. (10) Το άρθρο 16 παράγραφος 2 της Συνθήκης αναθέτει στο Ευρωπαϊκό Κοινοβούλιο και στο Συμβούλιο να θεσπίσουν τους κανόνες σχετικά με την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και τους κανόνες σχετικά με την ελεύθερη κυκλοφορία των δεδομένων αυτών. (11) Για τη διασφάλιση συνεκτικού επιπέδου προστασίας για τα φυσικά πρόσωπα σε ολόκληρη την Ένωση και την αποφυγή αποκλίσεων που εμποδίζουν την ελεύθερη κυκλοφορία των δεδομένων στην εσωτερική αγορά, απαιτείται κανονισμός ο οποίος θα κατοχυρώνει την ασφάλεια δικαίου και τη διαφάνεια για τους οικονομικούς παράγοντες, συμπεριλαμβανομένων των πολύ μικρών, των μικρών και των μεσαίων επιχειρήσεων, και θα προβλέπει το ίδιο επίπεδο δικαστικά απαιτητών δικαιωμάτων για τα φυσικά πρόσωπα σε όλα τα κράτη μέλη και το ίδιο επίπεδο υποχρεώσεων και ευθυνών για τους υπευθύνους επεξεργασίας και τους εκτελούντες την επεξεργασία, ώστε να διασφαλίζεται συνεκτική παρακολούθηση της επεξεργασίας δεδομένων προσωπικού χαρακτήρα, καθώς και ισοδύναμες κυρώσεις σε όλα τα κράτη μέλη και αποτελεσματική συνεργασία των αρχών ελέγχου των διάφορων κρατών μελών. Για να ληφθεί υπόψη η ειδική κατάσταση των πολύ μικρών, των μικρών και των μεσαίων επιχειρήσεων, ο παρών κανονισμός περιλαμβάνει διάφορες παρεκκλίσεις. Επιπλέον, τα θεσμικά όργανα και οι οργανισμοί της Ένωσης, τα κράτη μέλη και οι αρχές ελέγχου των κρατών μελών παροτρύνονται να λαμβάνουν υπόψη τις ειδικές ανάγκες των πολύ μικρών, των μικρών και των μεσαίων επιχειρήσεων κατά την εφαρμογή του παρόντος κανονισμού. Η έννοια των πολύ μικρών, των μικρών και των μεσαίων επιχειρήσεων πρέπει να βασίζεται στη σύσταση της Επιτροπής 2003/361/ΕΚ, της 6ης Μαΐου 2003, σχετικά με τον ορισμό των πολύ μικρών, των μικρών και των μεσαίων επιχειρήσεων. (12) Η προστασία που παρέχει ο παρών κανονισμός αφορά τα φυσικά πρόσωπα, ανεξαρτήτως ιθαγένειας ή τόπου διαμονής, σε σχέση με την επεξεργασία δεδομένων προσωπικού χαρακτήρα. Όσον αφορά την επεξεργασία δεδομένων που αφορούν νομικά πρόσωπα, και ιδίως επιχειρήσεις συσταθείσες ως νομικά πρόσωπα, συμπεριλαμβανομένης της επωνυμίας, του τύπου και των στοιχείων επικοινωνίας του νομικού προσώπου, η παρεχόμενη από τον παρόντα κανονισμό προστασία δεν πρέπει να τυγχάνει επίκλησης. Αυτό πρέπει να ισχύει επίσης όταν η επωνυμία του νομικού προσώπου περιέχει τα ονόματα ενός ή περισσότερων φυσικών προσώπων. (13) Η προστασία των φυσικών προσώπων πρέπει να είναι τεχνολογικά ουδέτερη και να μην εξαρτάται από τις χρησιμοποιούμενες τεχνικές διότι, διαφορετικά, δημιουργείται σοβαρός κίνδυνος καταστρατήγησης. Η προστασία των φυσικών προσώπων πρέπει να εφαρμόζεται τόσο στην επεξεργασία δεδομένων προσωπικού χαρακτήρα με αυτοματοποιημένα μέσα όσο και στη χειροκίνητη επεξεργασία, εάν τα δεδομένα περιέχονται ή προορίζονται να περιληφθούν σε αρχείο. Τα αρχεία ή τα σύνολα αρχείων καθώς και οι συνοδευτικές σελίδες τους, τα οποία δεν είναι διαρθρωμένα σύμφωνα με συγκεκριμένα κριτήρια, δεν πρέπει να υπάγονται στο πεδίο εφαρμογής του παρόντος κανονισμού. (14) Ο παρών κανονισμός δεν εξετάζει ζητήματα προστασίας θεμελιωδών δικαιωμάτων και ελευθεριών ή την ελεύθερη ροή δεδομένων που σχετίζονται με δραστηριότητες που δεν υπάγονται στο πεδίο εφαρμογής του δικαίου της Ένωσης και δεν καλύπτει την επεξεργασία δεδομένων προσωπικού χαρακτήρα από τα θεσμικά και λοιπά όργανα και τους οργανισμούς της Ένωσης, που υπάγονται στον κανονισμό (ΕΚ) αριθ. 45/2001[44], ούτε την επεξεργασία δεδομένων προσωπικού χαρακτήρα από τα κράτη μέλη κατά την άσκηση δραστηριοτήτων σε σχέση με την κοινή εξωτερική πολιτική και πολιτική ασφάλειας της Ένωσης. (15) Ο παρών κανονισμός δεν πρέπει να εφαρμόζεται στην επεξεργασία δεδομένων προσωπικού χαρακτήρα από φυσικό πρόσωπο, τα οποία δεδομένα είναι αποκλειστικά προσωπικά ή οικιακά, όπως η αλληλογραφία και η τήρηση διευθύνσεων, και χωρίς κανένα κερδοσκοπικό συμφέρον και, επομένως, χωρίς καμία σύνδεση με επαγγελματική ή εμπορική δραστηριότητα. Η εξαίρεση δεν πρέπει να εφαρμόζεται ούτε σε υπευθύνους επεξεργασίας ή εκτελούντες την επεξεργασία οι οποίοι παρέχουν τα μέσα για την επεξεργασία δεδομένων προσωπικού χαρακτήρα για τέτοιες προσωπικές ή οικιακές δραστηριότητες. (16) Η προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα από αρμόδιες αρχές για τον σκοπό της πρόληψης, της διερεύνησης, της ανίχνευσης ή της δίωξης ποινικών αδικημάτων ή της εκτέλεσης ποινικών κυρώσεων, και η ελεύθερη κυκλοφορία των δεδομένων αυτών, αποτελεί αντικείμενο συγκεκριμένης νομικής πράξης σε επίπεδο Ένωσης. Επομένως, ο παρών κανονισμός δεν πρέπει να εφαρμόζεται σε δραστηριότητες επεξεργασίας για τους σκοπούς αυτούς. Ωστόσο, τα δεδομένα που υποβάλλονται σε επεξεργασία από δημόσιες αρχές βάσει του παρόντος κανονισμού, όταν χρησιμοποιούνται για τον σκοπό της πρόληψης, της διερεύνησης, της ανίχνευσης ή της δίωξης ποινικών αδικημάτων ή της εκτέλεσης ποινικών κυρώσεων, πρέπει να ρυθμίζονται από την ειδικότερη νομική πράξη σε επίπεδο Ένωσης (οδηγία XX/YYY). (17) Ο παρών κανονισμός θα πρέπει να εφαρμόζεται με την επιφύλαξη της οδηγίας 2000/31/ΕΚ, και ιδίως των κανόνων για τη ευθύνη των μεσαζόντων παροχής υπηρεσιών που προβλέπονται στα άρθρα 12 έως 15 της εν λόγω οδηγίας. (18) Ο παρών κανονισμός επιτρέπει να λαμβάνεται υπόψη η αρχή της πρόσβασης του κοινού στα επίσημα έγγραφα κατά την εφαρμογή των διατάξεων που προβλέπονται στον παρόντα κανονισμό. (19) Κάθε επεξεργασία δεδομένων προσωπικού χαρακτήρα στο πλαίσιο των δραστηριοτήτων ενός υπευθύνου επεξεργασίας ή εκτελούντος την επεξεργασία στην Ένωση εντός μιας εγκατάστασης πρέπει να διεξάγεται σύμφωνα με τον παρόντα κανονισμό, ανεξάρτητα από το κατά πόσον η ίδια η επεξεργασία πραγματοποιείται εντός ή εκτός της Ένωσης. Η εγκατάσταση προϋποθέτει την ουσιαστική και πραγματική άσκηση δραστηριότητας μέσω σταθερής ρύθμισης. Ο νομικός τύπος της ρύθμισης αυτής, είτε πρόκειται για παράρτημα είτε για θυγατρική με νομική προσωπικότητα, δεν είναι καθοριστικής σημασίας σε σχέση με το συγκεκριμένο ζήτημα. (20) Για τη διασφάλιση του ότι τα φυσικά πρόσωπα δεν στερούνται την προστασία που δικαιούνται βάσει του παρόντος κανονισμού, η επεξεργασία δεδομένων προσωπικού χαρακτήρα προσώπων στα οποία αναφέρονται τα δεδομένα τα οποία διαμένουν στην Ένωση από υπεύθυνο επεξεργασίας μη εγκαταστημένο στην Ένωση πρέπει να υπάγεται στον παρόντα κανονισμό, εάν οι δραστηριότητες επεξεργασίας σχετίζονται με την παροχή αγαθών ή υπηρεσιών στα εν λόγω πρόσωπα στα οποία αναφέρονται τα δεδομένα ή με την παρακολούθηση της συμπεριφοράς των εν λόγω προσώπων. (21) Για τον καθορισμό του κατά πόσον μια διαδικασία επεξεργασίας μπορεί να θεωρηθεί ότι «παρακολουθεί τη συμπεριφορά» πρόσωπου στο οποίο αναφέρονται τα δεδομένα, πρέπει να εξακριβωθεί το κατά πόσον τα φυσικά πρόσωπα παρακολουθούνται στο Διαδίκτυο με τεχνικές επεξεργασίας δεδομένων οι οποίες συνίστανται στη διαμόρφωση του «προφίλ» ενός φυσικού προσώπου, ιδίως με σκοπό να ληφθούν αποφάσεις που το αφορούν ή να αναλυθούν ή να προβλεφθούν οι προσωπικές προτιμήσεις, οι συμπεριφορές και οι στάσεις του. (22) Εάν το εθνικό δίκαιο ενός κράτους μέλους εφαρμόζεται δυνάμει του δημόσιου διεθνούς δικαίου, ο παρών κανονισμός πρέπει να εφαρμόζεται επίσης και σε υπεύθυνο επεξεργασίας μη εγκαταστημένο στην Ένωση, όπως, για παράδειγμα, στη διπλωματική αποστολή ή στην προξενική αρχή ενός κράτους μέλους. (23) Οι αρχές της προστασίας πρέπει να εφαρμόζονται σε κάθε πληροφορία η οποία αφορά πρόσωπο κατονομαζόμενο ή του οποίου η ταυτότητα μπορεί να εξακριβωθεί. Για τον καθορισμό του κατά πόσον η ταυτότητα ενός προσώπου μπορεί να εξακριβωθεί, πρέπει να λαμβάνονται υπόψη όλα τα μέσα τα οποία είναι εύλογα πιθανό να χρησιμοποιηθούν είτε από τον υπεύθυνο επεξεργασίας είτε από οποιοδήποτε άλλο πρόσωπο για την εξακρίβωση της ταυτότητας του φυσικού προσώπου. Οι αρχές της προστασίας των δεδομένων δεν πρέπει να εφαρμόζονται σε δεδομένα που ανωνυμοποιήθηκαν κατά τέτοιο τρόπο ώστε η ταυτότητα του προσώπου στο οποίο αναφέρονται τα δεδομένα να μην μπορεί πλέον να εξακριβωθεί. (24) Όταν χρησιμοποιούν επιγραμμικές υπηρεσίες, τα φυσικά πρόσωπα μπορεί να συνδέονται με επιγραμμικά αναγνωριστικά ταυτότητας, τα οποία παρέχονται από τις συσκευές, τις εφαρμογές, τα εργαλεία και τα πρωτόκολλά τους, όπως διευθύνσεις πρωτοκόλλου Ίντερνετ ή αναγνωριστικά cookies. Αυτά μπορεί να αφήνουν ίχνη τα οποία, σε συνδυασμό με μοναδικά αναγνωριστικά ταυτότητας και άλλες πληροφορίες που λαμβάνουν οι εξυπηρετητές, μπορούν να χρησιμοποιηθούν για τη δημιουργία προφίλ των φυσικών προσώπων και την αναγνώριση της ταυτότητάς τους. Επομένως, αναγνωριστικοί αριθμοί, δεδομένα θέσης, επιγραμμικά αναγνωριστικά ταυτότητας ή άλλοι ειδικοί τέτοιοι παράγοντες δεν είναι υποχρεωτικό να θεωρούνται σε κάθε περίπτωση δεδομένα προσωπικού χαρακτήρα. (25) Η συγκατάθεση πρέπει να παρέχεται ρητώς με κάθε προσήκουσα μέθοδο η οποία παρέχει ελεύθερη, ρητή και εν πλήρει επιγνώσει δήλωση της βούλησης του προσώπου στο οποίο αναφέρονται τα δεδομένα, μέσω δήλωσης ή σαφούς θετικής ενέργειας από το συγκεκριμένο πρόσωπο, διασφαλίζοντας ότι τα φυσικά πρόσωπα γνωρίζουν ότι παρέχουν τη συγκατάθεσή τους στην επεξεργασία δεδομένων προσωπικού χαρακτήρα, μεταξύ άλλων σημειώνοντας ένα πλαίσιο όταν επισκέπτονται έναν δικτυακό τόπο ή με κάθε άλλη δήλωση ή συμπεριφορά η οποία υποδεικνύει σαφώς στο πλαίσιο αυτό την αποδοχή από το πρόσωπο στο οποίο αναφέρονται τα δεδομένα της προτεινόμενης επεξεργασίας των δεδομένων προσωπικού χαρακτήρα που το αφορούν. Επομένως, η σιωπή ή η παράλειψη ενέργειας δε συνιστά συγκατάθεση. Η συγκατάθεση πρέπει να καλύπτει το σύνολο των δραστηριοτήτων επεξεργασίας που διενεργείται για τον ίδιο ή τους ίδιους σκοπούς. Εάν η συγκατάθεση του προσώπου στο οποίο αναφέρονται τα δεδομένα πρόκειται να δοθεί σε συνέχεια ηλεκτρονικού αιτήματος, το αίτημα πρέπει να είναι σαφές, περιεκτικό και να μην διαταράσσει αδικαιολόγητα τη χρήση της υπηρεσίας για την οποία παρέχεται η συγκατάθεση. (26) Τα δεδομένα προσωπικού χαρακτήρα που αφορούν την υγεία πρέπει να περιλαμβάνουν ειδικότερα όλα τα δεδομένα που αφορούν την κατάσταση της υγείας του προσώπου στο οποίο αναφέρονται τα δεδομένα· πληροφορίες σχετικά με την εγγραφή του φυσικού προσώπου για την παροχή υπηρεσιών υγείας· πληροφορίες σχετικά με πληρωμές ή με την επιλεξιμότητα του συγκεκριμένου φυσικού προσώπου για υπηρεσίες υγειονομικής περίθαλψης· έναν αριθμό, ένα σύμβολο ή ένα χαρακτηριστικό ταυτότητας το οποίο αποδίδεται σε ένα φυσικό πρόσωπο με σκοπό την πλήρη ταυτοποίησή του για σκοπούς υγείας· κάθε σχετική με το φυσικό πρόσωπο πληροφορία που συλλέχθηκε κατά την παροχή υγειονομικής περίθαλψης στο εν λόγω πρόσωπο· πληροφορίες οι οποίες προκύπτουν από εξετάσεις ή αναλύσεις σε μέρος ή ουσία του σώματος, συμπεριλαμβανομένων βιολογικών δειγμάτων· την ταυτοποίηση ενός προσώπου ως παρόχου υπηρεσιών υγειονομικής περίθαλψης στο φυσικό πρόσωπο· ή κάθε πληροφορία π.χ. σχετικά με ασθένεια, αναπηρία, κίνδυνο ασθένειας, ιατρικό ιστορικό, κλινική θεραπεία ή την πραγματική φυσιολογική ή βιοϊατρική κατάσταση του προσώπου στο οποίο αναφέρονται τα δεδομένα, ανεξαρτήτως πηγής, όπως π.χ. από ιατρό ή άλλο επαγγελματία του τομέα της υγείας, νοσοκομείο, ιατρική συσκευή ή διαγνωστική δοκιμή in vitro. (27) Η κύρια εγκατάσταση ενός υπευθύνου επεξεργασίας στην Ένωση πρέπει να καθορίζεται σύμφωνα με αντικειμενικά κριτήρια, και πρέπει να σημαίνει την ουσιαστική και πραγματική άσκηση δραστηριοτήτων διαχείρισης οι οποίες καθορίζουν τις κύριες αποφάσεις ως προς τους σκοπούς, τις προϋποθέσεις και τα μέσα της επεξεργασίας μέσω σταθερής ρύθμισης. Το κριτήριο αυτό δεν πρέπει να εξαρτάται από το κατά πόσον η επεξεργασία δεδομένων προσωπικού χαρακτήρα πραγματοποιείται πράγματι στον συγκεκριμένο τόπο· η ύπαρξη και η χρήση τεχνικών μέσων και τεχνολογιών για την επεξεργασία δεδομένων προσωπικού χαρακτήρα ή δραστηριοτήτων επεξεργασίας δεν αποτελούν αφ’ εαυτές τέτοια κύρια εγκατάσταση και, επομένως, δεν είναι καθοριστικά κριτήρια της κύριας εγκατάστασης. Η κύρια εγκατάσταση του εκτελούντος την επεξεργασία πρέπει να είναι ο τόπος της κεντρικής διοίκησής του στην Ένωση. (28) Ο όμιλος επιχειρήσεων πρέπει να καλύπτει την ελέγχουσα επιχείρηση και τις ελεγχόμενες επιχειρήσεις της, όπου η ελέγχουσα επιχείρηση πρέπει να είναι η επιχείρηση η οποία μπορεί να ασκεί κυρίαρχη επιρροή στις άλλες επιχειρήσεις δυνάμει, για παράδειγμα, κυριότητας, οικονομικής συμμετοχής ή των κανόνων που τη διέπουν ή της εξουσίας εφαρμογής κανόνων προστασίας των δεδομένων προσωπικού χαρακτήρα. (29) Τα δεδομένα προσωπικού χαρακτήρα παιδιών απαιτούν ειδική προστασία, καθώς τα παιδιά μπορεί να έχουν μικρότερη επίγνωση των κινδύνων, των συνεπειών, των εγγυήσεων και των δικαιωμάτων τους σε σχέση με την επεξεργασία δεδομένων προσωπικού χαρακτήρα. Για τον καθορισμό του πότε ένα φυσικό πρόσωπο είναι παιδί, ο παρών κανονισμός πρέπει να υιοθετήσει τον ορισμό που προβλέπεται στη σύμβαση των Ηνωμένων Εθνών για τα δικαιώματα του παιδιού. (30) Κάθε επεξεργασία δεδομένων προσωπικού χαρακτήρα πρέπει να είναι σύννομη, θεμιτή και διαφανής σε σχέση με τα φυσικά πρόσωπα τα οποία αφορά. Ειδικότερα, οι συγκεκριμένοι σκοποί για τους οποίους υποβάλλονται σε επεξεργασία πρέπει να είναι σαφείς και νόμιμοι και να καθορίζονται κατά τον χρόνο συλλογής των δεδομένων. Τα δεδομένα πρέπει να είναι κατάλληλα, συναφή και να περιορίζονται στα ελάχιστα αναγκαία για τους σκοπούς για τους οποίους υποβάλλονται σε επεξεργασία· αυτό απαιτεί ειδικότερα να διασφαλίζεται ότι τα δεδομένα που συλλέγονται δεν είναι υπερβολικά και ότι το διάστημα αποθήκευσης των δεδομένων περιορίζεται στο ελάχιστο δυνατόν. Τα δεδομένα προσωπικού χαρακτήρα πρέπει να υποβάλλονται σε επεξεργασία μόνον εάν ο σκοπός της επεξεργασίας δεν μπορεί να επιτευχθεί με άλλα μέσα. Πρέπει να λαμβάνεται κάθε εύλογο μέτρο ώστε να διασφαλίζεται ότι δεδομένα προσωπικού χαρακτήρα τα οποία δεν είναι ορθά διορθώνονται ή διαγράφονται. Για τη διασφάλιση του ότι τα δεδομένα δεν διατηρούνται περισσότερο από όσο είναι αναγκαίο, ο υπεύθυνος επεξεργασίας πρέπει να ορίζει προθεσμίες για τη διαγραφή τους ή για την περιοδική επανεξέτασή τους. (31) Για να είναι η επεξεργασία σύννομη, τα δεδομένα προσωπικού χαρακτήρα πρέπει να υποβάλλονται σε επεξεργασία βάσει της συγκατάθεσης του ενδιαφερόμενου προσώπου ή κάποιας άλλης θεμιτής βάσης, η οποία προβλέπεται διά νόμου είτε στον παρόντα κανονισμό είτε σε άλλη νομοθεσία της Ένωσης ή κράτους μέλους η οποία αναφέρεται στον παρόντα κανονισμό. (32) Όταν η επεξεργασία βασίζεται στη συγκατάθεση του προσώπου στο οποίο αναφέρονται τα δεδομένα, ο υπεύθυνος επεξεργασίας φέρει το βάρος απόδειξης ότι το πρόσωπο στο οποίο αναφέρονται τα δεδομένα παρέσχε τη συγκατάθεσή του στην πράξη επεξεργασίας. Ειδικότερα, στο πλαίσιο έγγραφης δήλωσης για άλλο θέμα, εγγυήσεις πρέπει να διασφαλίζουν ότι το πρόσωπο στο οποίο αναφέρονται τα δεδομένα γνωρίζει ότι και σε ποιο βαθμό παρέχει τη συγκατάθεσή του. (33) Για τη διασφάλιση της ελεύθερης συγκατάθεσης, πρέπει να διευκρινίζεται ότι η συγκατάθεση δεν συνιστά έγκυρο νομικό λόγο όταν το φυσικό πρόσωπο δεν έχει γνήσια και ελεύθερη επιλογή και δεν είναι ακολούθως σε θέση να αρνηθεί ή να αποσύρει τη συγκατάθεση χωρίς αυτό να αποβεί εις βάρος του. (34) Η συγκατάθεση δεν πρέπει να παρέχει έγκυρο νομικό λόγο για την επεξεργασία δεδομένων προσωπικού χαρακτήρα, εάν υπάρχει σαφής ανισορροπία μεταξύ του προσώπου στο οποίο αναφέρονται τα δεδομένα και του υπευθύνου επεξεργασίας. Αυτό ισχύει ιδίως εάν το πρόσωπο στο οποίο αναφέρονται τα δεδομένα τελεί σε σχέση εξάρτησης από τον υπεύθυνο επεξεργασία, μεταξύ άλλων, εάν τα δεδομένα προσωπικού χαρακτήρα υποβάλλονται σε επεξεργασία από τον εργοδότη στο πλαίσιο της εργασιακής τους σχέσης. Εάν ο υπεύθυνος επεξεργασίας είναι δημόσια αρχή, ανισορροπία στις συγκεκριμένες πράξεις επεξεργασίας δεδομένων υπάρχει μόνον εάν η δημόσια αρχή μπορεί να επιβάλει μια υποχρέωση δυνάμει των σχετικών δημόσιων εξουσιών της και η συγκατάθεση δεν μπορεί να θεωρηθεί ότι παρέχεται ελεύθερα, λαμβάνοντας υπόψη το συμφέρον του προσώπου στο οποίο αναφέρονται τα δεδομένα. (35) Η επεξεργασία πρέπει επίσης να είναι σύννομη εφόσον είναι αναγκαία στο πλαίσιο σύμβασης ή πρόθεσης σύναψης σύμβασης. (36) Εάν η επεξεργασία διενεργείται για σκοπούς συμμόρφωσης προς νομική υποχρέωση την οποία υπέχει ο υπεύθυνος επεξεργασίας ή εάν η επεξεργασία είναι αναγκαία για την εκτέλεση καθήκοντος που ασκείται για το δημόσιο συμφέρον ή κατά την άσκηση δημόσιας εξουσίας, η νομική βάση της επεξεργασίας πρέπει να ερείδεται στο δίκαιο της Ένωσης ή στο δίκαιο κράτους μέλους, ανταποκρινόμενη στις απαιτήσεις του Χάρτη Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης σχετικά με οιονδήποτε περιορισμό των δικαιωμάτων και των ελευθεριών. Επίσης, το δίκαιο της Ένωσης ή το εθνικό δίκαιο καθορίζουν κατά πόσον ο υπεύθυνος επεξεργασίας ο οποίος εκτελεί καθήκον που ασκείται για το δημόσιο συμφέρον ή κατά την άσκηση δημόσιας εξουσίας θα πρέπει να είναι δημόσια διοίκηση ή άλλο φυσικό ή νομικό πρόσωπο του δημοσίου δικαίου ή του ιδιωτικού δικαίου, όπως επαγγελματική οργάνωση. (37) Η επεξεργασία δεδομένων προσωπικού χαρακτήρα πρέπει επίσης να θεωρείται σύννομη όταν είναι απαραίτητη για την προστασία ζωτικού συμφέροντος για τη ζωή του προσώπου στο οποίο αναφέρονται τα δεδομένα. (38) Τα έννομα συμφέροντα του υπευθύνου επεξεργασίας μπορεί να παρέχουν τη νομική βάση για την επεξεργασία, υπό τον όρο ότι δεν υπερισχύουν τα συμφέροντα ή τα θεμελιώδη δικαιώματα και οι ελευθερίες του προσώπου στο οποίο αναφέρονται τα δεδομένα. Κάτι τέτοιο απαιτεί προσεκτική αξιολόγηση ιδίως εάν το πρόσωπο στο οποίο αναφέρονται τα δεδομένα είναι παιδί, δεδομένου ότι τα παιδιά χρήζουν ειδικής προστασίας. Το πρόσωπο στο οποίο αναφέρονται τα δεδομένα πρέπει να έχει το δικαίωμα να αντιταχθεί στην επεξεργασία για λόγους που σχετίζονται με τη συγκεκριμένη κατάστασή του και χωρίς οικονομική επιβάρυνση. Για τη διασφάλιση της διαφάνειας, ο υπεύθυνος επεξεργασίας πρέπει να υποχρεούται να ενημερώνει ρητώς το πρόσωπο στο οποίο αναφέρονται τα δεδομένα για τα έννομα συμφέροντα που επιδιώκονται και για το δικαίωμα αντίταξης, καθώς και να υποχρεούται να τεκμηριώνει τα εν λόγω έννομα συμφέροντα. Δεδομένου ότι ο νομοθέτης πρέπει να παρέχει διά νόμου τη νομική βάση για την επεξεργασία δεδομένων από τις δημόσιες αρχές, ο συγκεκριμένος νομικός λόγος δεν πρέπει να εφαρμόζεται για την επεξεργασία από τις δημόσιες αρχές κατά την εκπλήρωση των καθηκόντων τους. (39) Η επεξεργασία δεδομένων, στο βαθμό που είναι αυστηρά απαραίτητη για τη διασφάλιση της ασφάλειας δικτύων και πληροφοριών, δηλαδή της ικανότητας ενός δικτύου ή ενός συστήματος πληροφοριών να αντέχει, έως ένα δεδομένο επίπεδο εμπιστοσύνης, σε τυχαία γεγονότα ή παράνομες ή κακόβουλες ενέργειες οι οποίες διακυβεύουν τη διαθεσιμότητα, τη γνησιότητα, την ακεραιότητα και την εμπιστευτικότητα αποθηκευμένων ή διαβιβαζόμενων δεδομένων, καθώς και της ασφάλειας των σχετικών υπηρεσιών που προσφέρουν τα εν λόγω δίκτυα και συστήματα ή που είναι προσπελάσιμες μέσω των εν λόγω δικτύων και συστημάτων, από δημόσιες αρχές, ομάδες αντιμετώπισης έκτακτων αναγκών στην πληροφορική (CERT), ομάδες παρέμβασης συμβάντων που αφορούν την ασφάλεια των υπολογιστών (CSIRT), παρόχους δικτύων και υπηρεσιών ηλεκτρονικών επικοινωνιών και παρόχους τεχνολογιών και υπηρεσιών ασφάλειας, αποτελεί έννομο συμφέρον του ενδιαφερόμενου υπευθύνου επεξεργασίας. Αυτό μπορεί να περιλαμβάνει, για παράδειγμα, την πρόληψη μη εξουσιοδοτημένης πρόσβασης σε δίκτυα ηλεκτρονικών επικοινωνιών και διανομής κακόβουλων προγραμμάτων και την παύση επιθέσεων «άρνησης υπηρεσίας» και ζημιών σε συστήματα πληροφορικής και ηλεκτρονικών επικοινωνιών. (40) Η επεξεργασία δεδομένων προσωπικού χαρακτήρα για άλλους σκοπούς πρέπει να επιτρέπεται μόνον εάν η επεξεργασία είναι συμβατή με τους σκοπούς εκείνους για τους οποίους συλλέχθηκαν αρχικά τα δεδομένα, ιδίως εάν η επεξεργασία είναι αναγκαία για ιστορικούς και στατιστικούς σκοπούς ή σκοπούς επιστημονικής έρευνας. Εάν ο άλλος σκοπός δεν είναι συμβατός με τον αρχικό σκοπό για τον οποίο συλλέχθηκαν τα δεδομένα, ο υπεύθυνος επεξεργασίας πρέπει να εξασφαλίζει τη συγκατάθεση του προσώπου στο οποίο αναφέρονται τα δεδομένα για τον συγκεκριμένο άλλο σκοπό ή πρέπει να βασίζει την επεξεργασία σε άλλον θεμιτό λόγο σύννομης επεξεργασίας, ιδίως εάν προβλέπεται από το δίκαιο της Ένωσης ή το δίκαιο του κράτους μέλος στο οποίο υπάγεται ο υπεύθυνος επεξεργασίας. Σε κάθε περίπτωση, πρέπει να εξασφαλίζεται η εφαρμογή των αρχών που καθορίζονται στον παρόντα κανονισμό και, ιδίως, η ενημέρωση του προσώπου στο οποίο αναφέρονται τα δεδομένα σχετικά με τους άλλους αυτούς σκοπούς. (41) Τα δεδομένα προσωπικού χαρακτήρα τα οποία είναι εκ φύσεως ιδιαίτερα ευαίσθητα σε σχέση με τα θεμελιώδη δικαιώματα ή με την ιδιωτική ζωή χρήζουν ειδικής προστασίας. Τέτοια δικαιώματα δεν πρέπει να υποβάλλονται σε επεξεργασία, παρά μόνον με τη ρητή συγκατάθεση του προσώπου το οποίο αφορούν. Ωστόσο, πρέπει να προβλέπονται ρητώς παρεκκλίσεις από τη συγκεκριμένη απαγόρευση σε σχέση με ειδικές ανάγκες, ιδίως όταν η επεξεργασία διενεργείται στο πλαίσιο θεμιτών δραστηριοτήτων από ορισμένες οργανώσεις ή ιδρύματα σκοπός των οποίων είναι να επιτρέπουν την άσκηση θεμελιωδών ελευθεριών. (42) Η παρέκκλιση από την απαγόρευση επεξεργασίας ευαίσθητων κατηγοριών δεδομένων πρέπει να επιτρέπεται επίσης όταν θεσπίζεται διά νόμου, και με την επιφύλαξη κατάλληλων εγγυήσεων, ώστε να προστατεύονται τα δεδομένα προσωπικού χαρακτήρα και άλλα θεμελιώδη δικαιώματα, εφόσον κάτι τέτοιο δικαιολογείται από λόγους δημόσιου συμφέροντος και κυρίως για σκοπούς υγείας, συμπεριλαμβανομένης της δημόσιας υγείας, της κοινωνικής προστασίας και της διαχείρισης υπηρεσιών υγειονομικής περίθαλψης, προκειμένου ιδίως να διασφαλίζεται η ποιότητα και η αποδοτικότητα ως προς το κόστος των διαδικασιών που χρησιμοποιούνται για τον διακανονισμό απαιτήσεων για παροχές και υπηρεσίες στο σύστημα ασφάλισης υγείας ή για ιστορικούς και στατιστικούς σκοπούς και για σκοπούς επιστημονικής έρευνας. (43) Επιπλέον, η επεξεργασία δεδομένων προσωπικού χαρακτήρα από δημόσιες αρχές για την επίτευξη στόχων, προβλεπόμενων στο συνταγματικό ή στο δημόσιο διεθνές δίκαιο, επίσημα αναγνωρισμένων θρησκευτικών οργανισμών διενεργείται για λόγους δημόσιου συμφέροντος. (44) Εάν στο πλαίσιο εκλογικών δραστηριοτήτων, η λειτουργία του δημοκρατικού συστήματος απαιτεί σε ένα κράτος μέλος τη συγκέντρωση από τα πολιτικά κόμματα δεδομένων σχετικά με τα πολιτικά φρονήματα των πολιτών, η επεξεργασία των εν λόγω δεδομένων μπορεί να επιτρέπεται για λόγους δημόσιου συμφέροντος, υπό τον όρο ότι θεσπίζονται κατάλληλες εγγυήσεις. (45) Εάν τα δεδομένα τα οποία επεξεργάζεται ένας υπεύθυνος επεξεργασίας δεν επιτρέπουν στον υπεύθυνο επεξεργασίας να αναγνωρίσει την ταυτότητα ενός φυσικού προσώπου, ο υπεύθυνος επεξεργασίας δεν πρέπει να υποχρεούται να εξασφαλίζει πρόσθετες πληροφορίες προκειμένου να αναγνωρίσει την ταυτότητα του προσώπου στο οποίο αναφέρονται τα δεδομένα με μοναδικό σκοπό τη συμμόρφωσή του προς οποιαδήποτε διάταξη του παρόντος κανονισμού. Σε περίπτωση αιτήματος πρόσβασης, ο υπεύθυνος επεξεργασίας πρέπει να δικαιούται να ζητεί από το πρόσωπο στο οποίο αναφέρονται τα δεδομένα περισσότερες πληροφορίες οι οποίες θα του επιτρέψουν να εντοπίσει τα δεδομένα προσωπικού χαρακτήρα που ζητεί το εν λόγω πρόσωπο. (46) Η αρχή της διαφάνειας απαιτεί κάθε ενημέρωση η οποία απευθύνεται στο κοινό ή στο πρόσωπο στο οποίο αναφέρονται τα δεδομένα να είναι εύκολα προσιτή και εύκολα κατανοητή και να χρησιμοποιείται απλή διατύπωση. Αυτό έχει ιδιαίτερη σημασία όταν σε περιπτώσεις, όπως η επιγραμμική διαφήμιση, η πληθώρα των συμμετεχόντων και η πολυπλοκότητα των χρησιμοποιούμενων τεχνολογιών καθιστούν δύσκολο για το πρόσωπο στο οποίο αναφέρονται τα δεδομένα να γνωρίζει και να κατανοεί εάν συλλέγονται δεδομένα προσωπικού χαρακτήρα που το αφορούν, από ποιον και για ποιον σκοπό. Δεδομένου ότι τα παιδιά χρήζουν ειδικής προστασίας, κάθε ενημέρωση και ανακοίνωση, εάν η επεξεργασία αφορά ειδικά παιδί, πρέπει να διατυπώνεται σε σαφή και απλή γλώσσα ώστε το παιδί να μπορεί να την κατανοεί εύκολα. (47) Πρέπει να προβλέπονται τρόποι για τη διευκόλυνση της άσκησης από το πρόσωπο στο οποίο αναφέρονται τα δεδομένα των δικαιωμάτων του που προβλέπονται από τον παρόντα κανονισμό, συμπεριλαμβανομένων ειδικότερα μηχανισμών υποβολής αιτημάτων -χωρίς οικονομική επιβάρυνση- πρόσβασης σε δεδομένα, διόρθωσης, διαγραφής και άσκησης του δικαιώματος αντίταξης. Ο υπεύθυνος επεξεργασίας πρέπει να υποχρεούται να απαντά σε αιτήματα του προσώπου στο οποίο αναφέρονται τα δεδομένα εντός καθορισμένης προθεσμίας και να παρέχει αιτιολογία στην περίπτωση που δεν συμμορφώνεται προς το αίτημα του προσώπου στο οποίο αναφέρονται τα δεδομένα. (48) Οι αρχές της θεμιτής και διαφανούς επεξεργασίας απαιτούν να ενημερώνεται το πρόσωπο στο οποίο αναφέρονται τα δεδομένα ειδικότερα για την ύπαρξη της πράξης επεξεργασίας και τους σκοπούς της, για τη διάρκεια αποθήκευσης των δεδομένων, για την ύπαρξη δικαιώματος πρόσβασης, διόρθωσης ή διαγραφής και για το δικαίωμα υποβολής καταγγελίας. Εάν τα δεδομένα συλλέγονται από το πρόσωπο στο οποίο αναφέρονται, το εν λόγω πρόσωπο πρέπει να ενημερώνεται επίσης για το κατά πόσον υποχρεούται να παράσχει τα δεδομένα και για τις συνέπειες της μη παροχής των εν λόγω δεδομένων. (49) Η ενημέρωση σε σχέση με την επεξεργασία των δεδομένων προσωπικού χαρακτήρα που σχετίζονται με το πρόσωπο στο οποίο αναφέρονται τα δεδομένα πρέπει να παρέχεται κατά τη συλλογή ή, εάν τα δεδομένα δεν συλλέγονται από το πρόσωπο στο οποίο αναφέρονται, εντός εύλογης προθεσμίας, ανάλογα με τις συνθήκες κάθε περίπτωσης. Εάν τα δεδομένα επιτρέπεται να κοινοποιηθούν σε άλλον αποδέκτη, το πρόσωπο στο οποίο αναφέρονται τα δεδομένα πρέπει να ενημερώνεται όταν τα δεδομένα κοινοποιούνται για πρώτη φορά στον εν λόγω αποδέκτη. (50) Ωστόσο, δεν είναι αναγκαίο να επιβάλλεται η υποχρέωση αυτή εάν το πρόσωπο στο οποίο αναφέρονται τα δεδομένα διαθέτει ήδη την ενημέρωση αυτή ή εάν η καταχώριση ή η κοινοποίηση των δεδομένων προβλέπεται ρητώς από τον νόμο ή εάν η παροχή ενημέρωσης στο πρόσωπο στο οποίο αναφέρονται τα δεδομένα αποδεικνύεται ανέφικτη ή απαιτεί δυσανάλογες προσπάθειες. Η τελευταία αυτή περίπτωση μπορεί να συμβεί ειδικότερα εάν η επεξεργασία προορίζεται για ιστορικούς ή στατιστικούς σκοπούς ή σκοπούς επιστημονικής έρευνας· συναφώς, μπορούν να λαμβάνονται υπόψη ο αριθμός των προσώπων στα οποία αναφέρονται τα δεδομένα, η ηλικία των δεδομένων και τυχόν ληφθέντα αντισταθμιστικά μέτρα. (51) Κάθε πρόσωπο πρέπει να έχει δικαίωμα πρόσβασης σε δεδομένα τα οποία συλλέχθηκαν και το αφορούν και να μπορεί να ασκεί το δικαίωμα αυτό ευχερώς, προκειμένου να γνωρίζει και να ελέγχει τη νομιμότητα της επεξεργασίας. Επομένως, κάθε πρόσωπο στο οποίο αναφέρονται τα δεδομένα πρέπει να έχει το δικαίωμα να γνωρίζει και να εξασφαλίζει ενημέρωση, ιδίως όσον αφορά τους σκοπούς για τους οποίους τα δεδομένα υποβάλλονται σε επεξεργασία, το χρονικό διάστημα της επεξεργασίας, τους αποδέκτες που λαμβάνουν τα δεδομένα, τη συλλογιστική για τα δεδομένα που υποβάλλονται σε επεξεργασία και τις δυνητικές συνέπειες της εν λόγω επεξεργασίας, τουλάχιστον όταν αυτή βασίζεται σε κατάρτιση προφίλ. Το δικαίωμα αυτό δεν πρέπει να επηρεάζει αρνητικά τα δικαιώματα και τις ελευθερίες άλλων, όπως το επαγγελματικό απόρρητο ή το δικαίωμα πνευματικής ιδιοκτησίας και, ειδικότερα, το δικαίωμα δημιουργού που προστατεύει το λογισμικό. Ωστόσο, οι παράγοντες αυτοί δεν πρέπει να έχουν ως αποτέλεσμα την άρνηση παροχής κάθε ενημέρωσης στο πρόσωπο στο οποίο αναφέρονται τα δεδομένα. (52) Ο υπεύθυνος επεξεργασίας χρησιμοποιεί κάθε εύλογο μέτρο για να επαληθεύει την ταυτότητα του προσώπου στο οποίο αναφέρονται τα δεδομένα το οποίο ζητεί πρόσβαση, ιδίως στο πλαίσιο επιγραμμικών υπηρεσιών και επιγραμμικών αναγνωριστικών ταυτότητας. Ο υπεύθυνος επεξεργασίας δεν πρέπει να διατηρεί δεδομένα προσωπικού χαρακτήρα με μοναδικό σκοπό να μπορεί να αποκρίνεται σε δυνητικά αιτήματα. (53) Κάθε πρόσωπο πρέπει να έχει το δικαίωμα να ζητεί τη διόρθωση των δεδομένων προσωπικού χαρακτήρα που το αφορούν καθώς και το «δικαίωμα να λησμονηθεί» εάν η διατήρηση των εν λόγω δεδομένων δεν είναι σύμφωνη προς τον παρόντα κανονισμό. Ειδικότερα, τα πρόσωπα στα οποία αναφέρονται τα δεδομένα πρέπει να έχουν το δικαίωμα να ζητούν τη διαγραφή και την παύση της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα που τα αφορούν, εάν τα δεδομένα δεν είναι πλέον απαραίτητα σε σχέση με τους σκοπούς για τους οποίους συλλέγονται ή υποβάλλονται άλλως πως σε επεξεργασία, εάν τα πρόσωπα στα οποία αναφέροντα τα δεδομένα αποσύρουν τη συγκατάθεσή τους για την επεξεργασία ή εάν αντιτάσσονται στην επεξεργασία δεδομένων προσωπικού χαρακτήρα που τα αφορούν ή εάν η επεξεργασία των δεδομένων προσωπικού χαρακτήρα που τα αφορούν δεν είναι σύμφωνη προς τον παρόντα κανονισμό για οποιονδήποτε άλλο λόγο. Το δικαίωμα αυτό έχει ιδιαίτερη σημασία όταν το πρόσωπο στο οποίο αναφέρονται τα δεδομένα παρέσχε τη συγκατάθεσή του στην παιδική του ηλικία, όταν δεν είχε πλήρη επίγνωση των κινδύνων που ενέχει η επεξεργασία, και θέλει αργότερα να αφαιρέσει τα συγκεκριμένα δεδομένα προσωπικού χαρακτήρα, κυρίως από το Διαδίκτυο. Ωστόσο, η περαιτέρω διατήρηση των δεδομένων πρέπει να επιτρέπεται όταν είναι αναγκαία για ιστορικούς ή στατιστικούς σκοπούς και σκοπούς επιστημονικής έρευνας, για λόγους δημόσιου συμφέροντος στον τομέα της δημόσιας υγείας, για την άσκηση του δικαιώματος ελευθερίας έκφρασης, όταν απαιτείται από τον νόμο ή εάν υπάρχει λόγος περιορισμού της επεξεργασίας των δεδομένων αντί της διαγραφής τους. (54) Για να ενισχυθεί το δικαίωμα του προσώπου στο οποίο αναφέρονται τα δεδομένα «να λησμονηθεί», το δικαίωμα διαγραφής πρέπει επίσης να επεκταθεί με τέτοιο τρόπο ώστε ο υπεύθυνος επεξεργασίας ο οποίος δημοσιοποίησε τα δεδομένα προσωπικού χαρακτήρα να υποχρεούται να ενημερώνει τους τρίτους που επεξεργάζονται τα εν λόγω δεδομένα ότι ένα πρόσωπο στο οποίο αναφέρονται τα δεδομένα του ζήτησε να διαγραφεί κάθε σύνδεσμος ή αντίγραφο ή αναπαραγωγή των εν λόγω δεδομένων προσωπικού χαρακτήρα. Για τη διασφάλιση της εν λόγω ενημέρωσης, ο υπεύθυνος επεξεργασίας πρέπει να λαμβάνει κάθε εύλογο μέτρο, συμπεριλαμβανομένων τεχνικών μέτρων, σε σχέση με τα δεδομένα για τη δημοσίευση των οποίων είναι αρμόδιος. Σε σχέση με τη δημοσίευση δεδομένων προσωπικού χαρακτήρα από τρίτο, ο υπεύθυνος επεξεργασίας πρέπει να θεωρείται υπεύθυνος για τη δημοσίευση, εάν αυτός ο ίδιος ενέκρινε τη δημοσίευση από τον τρίτο. (55) Για να ενισχυθεί περαιτέρω ο έλεγχος επί των δεδομένων τους και το δικαίωμα πρόσβασής τους, τα πρόσωπα στα οποία αναφέρονται τα δεδομένα πρέπει να έχουν το δικαίωμα, εάν τα δεδομένα προσωπικού χαρακτήρα αποτελούν αντικείμενο επεξεργασίας με ηλεκτρονικά μέσα και με δομημένο και συνήθως χρησιμοποιούμενο μορφότυπο, να λαμβάνουν αντίγραφο των δεδομένων που τα αφορούν εξίσου σε συνήθως χρησιμοποιούμενο ηλεκτρονικό μορφότυπο. Το πρόσωπο στο οποίο αναφέρονται τα δεδομένα πρέπει να δικαιούται επίσης να μεταφέρει τα εν λόγω δεδομένα, τα οποία παρέσχε, από μια αυτοματοποιημένη εφαρμογή, όπως ένα κοινωνικό δίκτυο, σε μια άλλη. Αυτό πρέπει να εφαρμόζεται όταν το πρόσωπο στο οποίο αναφέρονται τα δεδομένα παρέσχε τα δεδομένα στο αυτοματοποιημένο σύστημα επεξεργασίας, με τη συγκατάθεσή του ή στο πλαίσιο της εκτέλεσης σύμβασης. (56) Σε περιπτώσεις στις οποίες δεδομένα προσωπικού χαρακτήρα μπορούν να υποβληθούν νόμιμα σε επεξεργασία για την προστασία των ζωτικών συμφερόντων του προσώπου στο οποίο αναφέρονται ή για λόγους δημόσιου συμφέροντος, άσκησης δημόσιας εξουσίας, ή εξυπηρέτησης εννόμων συμφερόντων του υπευθύνου της επεξεργασίας, κάθε πρόσωπο στο οποίο αναφέρονται τα δεδομένα πρέπει να δικαιούται παρ’ όλα αυτά να αντιταχθεί στην επεξεργασία τυχόν δεδομένων που το αφορούν. Ο υπεύθυνος επεξεργασίας πρέπει να φέρει το βάρος απόδειξης ότι τα έννομα συμφέροντά του υπερισχύουν ενδεχομένως των συμφερόντων ή των θεμελιωδών δικαιωμάτων και ελευθεριών του προσώπου στο οποίο αναφέρονται τα δεδομένα. (57) Εάν δεδομένα προσωπικού χαρακτήρα υποβάλλονται σε επεξεργασία για σκοπούς ενεργητικής εμπορικής προώθησης , το πρόσωπο στο οποίο αναφέρονται τα δεδομένα πρέπει να έχει το δικαίωμα να αντιταχθεί στην εν λόγω επεξεργασία ατελώς και με ευχερή και αποτελεσματικό τρόπο. (58) Κάθε φυσικό πρόσωπο πρέπει να έχει το δικαίωμα να μην υπάγεται σε μέτρο το οποίο βασίζεται σε κατάρτιση προφίλ μέσω αυτοματοποιημένης επεξεργασίας. Ωστόσο, ένα τέτοιο μέτρο πρέπει να επιτρέπεται όταν εγκρίνεται ρητώς διά νόμου, εκτελείται κατά τη σύναψη ή την εκτέλεση σύμβασης ή όταν το πρόσωπο στο οποίο αναφέρονται τα δεδομένα παρέσχε τη συγκατάθεσή του. Σε κάθε περίπτωση, η επεξεργασία πρέπει να υπόκειται σε κατάλληλες εγγυήσεις, συμπεριλαμβανομένης της ειδικής ενημέρωσης του προσώπου στο οποίο αναφέρονται τα δεδομένα, του δικαιώματος εξασφάλισης ανθρώπινης παρέμβασης και της προϋπόθεσης το εν λόγω μέτρο να μην αφορά παιδί. (59) Περιορισμοί σε συγκεκριμένες βασικές αρχές και στα δικαιώματα ενημέρωσης, πρόσβασης, διόρθωσης και διαγραφής ή στο δικαίωμα φορητότητας των δεδομένων, στο δικαίωμα αντίταξης, στα μέτρα που βασίζονται σε κατάρτιση προφίλ καθώς και στη γνωστοποίηση παραβίασης δεδομένων προσωπικού χαρακτήρα στο πρόσωπο στο οποίο αναφέρονται τα δεδομένα και σε ορισμένες σχετικές υποχρεώσεις των υπευθύνων επεξεργασίας μπορούν να επιβληθούν από το δίκαιο της Ένωσης ή το δίκαιο κράτους μέλους, στον βαθμό που είναι αναγκαίοι και αναλογικοί σε μια δημοκρατική κοινωνία για τη διασφάλιση της δημόσιας ασφάλειας, συμπεριλαμβανομένης της προστασίας της ανθρώπινης ζωής σε περίπτωση ιδίως φυσικών ή ανθρωπογενών καταστροφών, της πρόληψης, της διερεύνησης και της δίωξης ποινικών αδικημάτων ή παραβάσεων δεοντολογίας σε νομοθετικά κατοχυρωμένα επαγγέλματα, άλλων δημόσιων συμφερόντων της Ένωσης ή κράτους μέλους, ιδίως σημαντικού οικονομικού ή χρηματοοικονομικού συμφέροντος της Ένωσης ή κράτους μέλους, ή της προστασίας του προσώπου στο οποίο αναφέρονται τα δεδομένα ή των δικαιωμάτων και των ελευθεριών τρίτων. Οι εν λόγω περιορισμοί πρέπει να είναι σύμφωνοι προς τις απαιτήσεις που καθορίζονται στον Χάρτη των Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης και στην Ευρωπαϊκή Σύμβαση για την προάσπιση των δικαιωμάτων του ανθρώπου και των θεμελιωδών ελευθεριών. (60) Πρέπει να θεσπισθεί συνολική ευθύνη και υποχρέωση αποζημίωσης εκ μέρους του υπευθύνου επεξεργασίας για κάθε επεξεργασία δεδομένων προσωπικού χαρακτήρα η οποία διενεργείται από τον υπεύθυνο επεξεργασίας ή για λογαριασμό του υπευθύνου επεξεργασίας. Ειδικότερα, ο υπεύθυνος επεξεργασίας πρέπει να διασφαλίζει και να υποχρεούται να αποδείξει τη συμμόρφωση κάθε πράξης επεξεργασίας προς τον παρόντα κανονισμό. (61) Η προστασία των δικαιωμάτων και των ελευθεριών των προσώπων στα οποία αναφέρονται τα δεδομένα έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα απαιτεί τη λήψη κατάλληλων τεχνικών και οργανωτικών μέτρων, τόσο κατά τον σχεδιασμό της επεξεργασίας όσο και κατά την ίδια την επεξεργασία, ώστε να διασφαλίζεται ότι πληρούνται οι απαιτήσεις του παρόντος κανονισμού. Για τη διασφάλιση και την απόδειξη της συμμόρφωσης προς τον παρόντα κανονισμό, ο υπεύθυνος επεξεργασίας πρέπει να θεσπίζει εσωτερικές πολιτικές και να εφαρμόζει κατάλληλα μέτρα, τα οποία ανταποκρίνονται ειδικότερα στις αρχές της προστασίας των δεδομένων ήδη από τον σχεδιασμό και της προστασίας των δεδομένων εξ ορισμού. (62) Η προστασία των δικαιωμάτων και των ελευθεριών των προσώπων στα οποία αναφέρονται τα δεδομένα, καθώς και η ευθύνη και η υποχρέωση αποζημίωσης των υπευθύνων επεξεργασίας και των εκτελούντων την επεξεργασία, επίσης σε σχέση με την παρακολούθηση από τις αρχές ελέγχου και τα μέτρα αρχών ελέγχου, προϋποθέτει σαφή κατανομή των αρμοδιοτήτων βάσει του παρόντος κανονισμού, συμπεριλαμβανομένης της περίπτωσης κατά την οποία ένας υπεύθυνος επεξεργασίας καθορίζει τους σκοπούς, τις προϋποθέσεις και τα μέσα της επεξεργασίας από κοινού με άλλους υπευθύνους επεξεργασίας ή όταν μια πράξη επεξεργασίας διενεργείται για λογαριασμό ενός υπευθύνου επεξεργασίας. (63) Εάν ένας υπεύθυνος επεξεργασίας μη εγκαταστημένος στην Ένωση επεξεργάζεται δεδομένα προσωπικού χαρακτήρα προσώπων στα οποία αναφέρονται τα δεδομένα τα οποία διαμένουν στην Ένωση, του οποίου οι δραστηριότητες επεξεργασίας σχετίζονται με την προσφορά αγαθών ή υπηρεσιών στα εν λόγω πρόσωπα ή με την παρακολούθηση της συμπεριφοράς τους, ο υπεύθυνος επεξεργασίας πρέπει να ορίσει εκπρόσωπο, εκτός εάν ο υπεύθυνος επεξεργασίας είναι εγκαταστημένος σε τρίτη χώρα η οποία διασφαλίζει επαρκές επίπεδο προστασίας ή ο υπεύθυνος επεξεργασίας είναι μικρή ή μεσαία επιχείρηση ή δημόσια αρχή ή φορέας ή εάν ο υπεύθυνος επεξεργασίας προσφέρει μόνον περιστασιακά αγαθά ή υπηρεσίες στα εν λόγω πρόσωπα στα οποία αναφέρονται τα δεδομένα. Ο εκπρόσωπος πρέπει να ενεργεί για λογαριασμό του υπευθύνου επεξεργασίας και σε αυτόν μπορεί να απευθύνεται κάθε αρχή ελέγχου. (64) Για τον καθορισμό του κατά πόσον ένας υπεύθυνος επεξεργασίας προσφέρει μόνον περιστασιακά αγαθά και υπηρεσίες σε πρόσωπα στα οποία αναφέρονται τα δεδομένα τα οποία διαμένουν στην Ένωση, πρέπει να εξακριβώνεται κατά πόσον είναι εμφανές από τις συνολικές δραστηριότητες του υπευθύνου επεξεργασίας ότι η προσφορά αγαθών και υπηρεσιών στα εν λόγω πρόσωπα στα οποία αναφέρονται τα δεδομένα είναι παρεπόμενη δραστηριότητα στις βασικές αυτές δραστηριότητες. (65) Για την απόδειξη της συμμόρφωσης προς τον παρόντα κανονισμό, ο υπεύθυνος επεξεργασίας ή ο εκτελών την επεξεργασία πρέπει να τεκμηριώνουν κάθε πράξη επεξεργασίας. Κάθε υπεύθυνος επεξεργασίας και κάθε εκτελών την επεξεργασία πρέπει να υποχρεούται να συνεργάζεται με την αρχή ελέγχου και να θέτει στη διάθεσή της, κατόπιν αιτήματός της, την εν λόγω τεκμηρίωση ώστε να μπορεί να τη χρησιμοποιήσει για την παρακολούθηση των συγκεκριμένων πράξεων επεξεργασίας. (66) Για τη διατήρηση της ασφάλειας και την αποφυγή της επεξεργασίας κατά παράβαση του παρόντος κανονισμού, ο υπεύθυνος επεξεργασίας ή ο εκτελών την επεξεργασία πρέπει να αξιολογούν τους εγγενείς κινδύνους της επεξεργασίας και εφαρμόζουν μέτρα για τον μετριασμό των εν λόγω κινδύνων. Τα μέτρα πρέπει να διασφαλίζουν κατάλληλο επίπεδο ασφάλειας, λαμβάνοντας υπόψη την κατάσταση της τεχνολογίας και το κόστος της εφαρμογής τους σε σχέση με τους κινδύνους και τη φύση των δεδομένων προσωπικού χαρακτήρα που πρέπει να προστατευθούν. Κατά τη θέσπιση τεχνικών προτύπων και οργανωτικών μέτρων για τη διασφάλιση της ασφάλειας της επεξεργασίας, η Επιτροπή πρέπει να προωθεί την τεχνολογική ουδετερότητα, τη διαλειτουργικότητα και την καινοτομία και, όπου συντρέχει περίπτωση, να συνεργάζεται με τρίτες χώρες. (67) Η παραβίαση δεδομένων προσωπικού χαρακτήρα μπορεί, εάν δεν αντιμετωπισθεί κατάλληλα και έγκαιρα, να έχει ως αποτέλεσμα σημαντική οικονομική ζημία και κοινωνική βλάβη -συμπεριλαμβανομένης της υποκλοπής ταυτότητας- για το ενδιαφερόμενο φυσικό πρόσωπο. Επομένως, μόλις ο υπεύθυνος επεξεργασίας αντιληφθεί μια τέτοια παραβίαση, πρέπει να γνωστοποιήσει την παραβίαση στην αρχή ελέγχου αμελλητί και, ει δυνατόν, εντός 24 ωρών. Εάν αυτό δεν μπορεί να επιτευχθεί εντός 24 ωρών, η γνωστοποίηση πρέπει να συνοδεύεται από αιτιολογία η οποία αναφέρει τους λόγους της καθυστέρησης. Τα φυσικά πρόσωπα των οποίων τα δεδομένα προσωπικού χαρακτήρα μπορεί να επηρεασθούν αρνητικά από την παραβίαση πρέπει να ενημερώνονται αμελλητί προκειμένου να μπορούν να λάβουν τις αναγκαίες προφυλάξεις. Η παραβίαση πρέπει να θεωρείται ότι επηρεάζει αρνητικά τα δεδομένα προσωπικού χαρακτήρα ή την ιδιωτική ζωή του προσώπου στο οποίο αναφέρονται εάν μπορεί να έχει ως αποτέλεσμα, για παράδειγμα, κατάχρηση ή υποκλοπή ταυτότητας, σωματική βλάβη, σημαντική προσβολή ή βλάβη της φήμης του. Η γνωστοποίηση πρέπει να περιγράφει τη φύση της παραβίασης των δεδομένων προσωπικού χαρακτήρα και να περιέχει συστάσεις προς το ενδιαφερόμενο φυσικό πρόσωπο για τον μετριασμό δυνητικών δυσμενών συνεπειών. Οι γνωστοποιήσεις στα πρόσωπα στα οποία αναφέρονται τα δεδομένα πρέπει να πραγματοποιούνται το συντομότερο δυνατόν, σε στενή συνεργασία με την αρχή ελέγχου και τηρώντας την καθοδήγηση που παρέχεται από αυτήν ή άλλες σχετικές αρχές (π.χ. αρχές επιβολής του νόμου). Για παράδειγμα, η δυνατότητα των προσώπων στα οποία αναφέρονται τα δεδομένα να μετριάσουν έναν άμεσο κίνδυνο βλάβης απαιτεί την άμεση ενημέρωση των προσώπων στα οποία αναφέρονται τα δεδομένα, ενώ η αναγκαιότητα εφαρμογής κατάλληλων μέτρων κατά της συνέχισης της παραβίασης ή άλλων παρόμοιων παραβιάσεων δεδομένων μπορεί να δικαιολογεί μεγαλύτερη καθυστέρηση. (68) Για να καθορισθεί κατά πόσον μια παραβίαση δεδομένων προσωπικού χαρακτήρα γνωστοποιείται αμελλητί στην αρχή ελέγχου και στο πρόσωπο στο οποίο αναφέρονται τα δεδομένα, πρέπει να εξακριβώνεται κατά πόσον ο υπεύθυνος επεξεργασίας θέσπισε και εφάρμοσε κατάλληλα τεχνολογικά μέτρα προστασίας και οργανωτικά μέτρα ώστε να διαπιστώνεται αμέσως κατά πόσον έλαβε χώρα παραβίαση δεδομένων προσωπικού χαρακτήρα και να ενημερώνονται αμέσως η αρχή ελέγχου και το πρόσωπο στο οποίο αναφέρονται τα δεδομένα, προτού επέλθει ζημία σε προσωπικά και οικονομικά συμφέροντα, λαμβάνοντας υπόψη ειδικότερα τη φύση και τη σοβαρότητα της παραβίασης δεδομένων προσωπικού χαρακτήρα καθώς και τις συνέπειες και τα δυσμενή αποτελέσματά της για το πρόσωπο στο οποίο αναφέρονται τα δεδομένα. (69) Κατά τη θέσπιση λεπτομερών κανόνων σχετικά με τον μορφότυπο και τις διαδικασίες που εφαρμόζονται στην γνωστοποίηση παραβιάσεων δεδομένων προσωπικού χαρακτήρα, πρέπει να λαμβάνονται δεόντως υπόψη οι συνθήκες της παραβίασης, συμπεριλαμβανομένου του κατά πόσον τα δεδομένα προσωπικού χαρακτήρα προστατεύονταν από κατάλληλα τεχνικά μέτρα προστασίας, περιορίζοντας ουσιαστικά το ενδεχόμενο υποκλοπής ταυτότητας ή άλλων μορφών κατάχρησης. Επιπλέον, οι εν λόγω κανόνες και οι διαδικασίες πρέπει να λαμβάνουν υπόψη τα έννομα συμφέροντα των αρχών επιβολής του νόμου σε περιπτώσεις στις οποίες η πρόωρη γνωστοποίηση μπορεί να εμποδίσει χωρίς λόγο τη διερεύνηση των συνθηκών μιας παραβίασης. (70) Η οδηγία 95/46/ΕΚ προέβλεπε γενική υποχρέωση γνωστοποίησης της επεξεργασίας δεδομένων προσωπικού χαρακτήρα στις αρχές ελέγχου. Παρότι η υποχρέωση αυτή συνεπάγεται διοικητικό και οικονομικό φόρτο, δεν συνέβαλε σε όλες τις περιπτώσεις στη βελτίωση της προστασίας των δεδομένων προσωπικού χαρακτήρα. Επομένως, μια τέτοια γενική υποχρέωση κοινοποίησης χωρίς διαφοροποιήσεις πρέπει να καταργηθεί και να αντικατασταθεί με αποτελεσματικές διαδικασίες και μηχανισμούς που επικεντρώνονται σε εκείνες τις πράξεις επεξεργασίας που ενδέχεται να ενέχουν συγκεκριμένους κινδύνους για τα δικαιώματα και τις ελευθερίες των προσώπων στα οποία αναφέρονται τα δεδομένα λόγω της φύσης, της έκτασης ή του σκοπού τους. Σε αυτές τις περιπτώσεις πρέπει να διενεργείται εκτίμηση επιπτώσεων όσον αφορά την προστασία των δεδομένων από τον υπεύθυνο επεξεργασίας ή τον εκτελούντα την επεξεργασία, πριν από την επεξεργασία, η οποία πρέπει να περιλαμβάνει ειδικότερα τα προβλεπόμενα μέτρα, τις εγγυήσεις και τους μηχανισμούς που διασφαλίζουν την προστασία των δεδομένων προσωπικού χαρακτήρα και αποδεικνύουν τη συμμόρφωση προς τον παρόντα κανονισμό. (71) Αυτό πρέπει να ισχύει ειδικότερα για νεοσυσταθέντα αρχεία μεγάλης κλίμακας, στόχος των οποίων είναι η επεξεργασία σημαντικής ποσότητας δεδομένων προσωπικού χαρακτήρα σε περιφερειακό, εθνικό ή υπερεθνικό επίπεδο, τα οποία μπορεί να επηρεάζουν μεγάλο αριθμό προσώπων στα οποία αναφέρονται τα δεδομένα. (72) Υπάρχουν περιπτώσεις στις οποίες ενδέχεται να είναι λογικό και οικονομικό το αντικείμενο μιας εκτίμησης επιπτώσεων σχετικά με την προστασία των δεδομένων να υπερβαίνει ένα μεμονωμένο σχέδιο, για παράδειγμα εάν δημόσιες αρχές ή φορείς σκοπεύουν να εγκαθιδρύσουν μια κοινή εφαρμογή ή πλατφόρμα επεξεργασίας ή εάν περισσότεροι υπεύθυνοι επεξεργασίας σχεδιάζουν να θεσπίσουν μια κοινή εφαρμογή ή ένα περιβάλλον επεξεργασίας σε έναν τομέα ή ένα τμήμα κλάδου ή για μια ευρέως χρησιμοποιούμενη οριζόντια δραστηριότητα. (73) Οι εκτιμήσεις επιπτώσεων σχετικά με την προστασία των δεδομένων πρέπει να διενεργούνται από δημόσια αρχή ή δημόσιο φορέα, εάν μια τέτοια εκτίμηση δεν έχει ήδη διενεργηθεί στο πλαίσιο της θέσπισης της εθνικής νομοθεσίας στην οποία βασίζεται η άσκηση των καθηκόντων της δημόσιας αρχής ή του δημόσιου φορέα και η οποία ρυθμίζει τη συγκεκριμένη πράξη επεξεργασίας ή σειρά πράξεων επεξεργασίας. (74) Εάν η εκτίμηση επιπτώσεων σχετικά με την προστασία των δεδομένων υποδεικνύει ότι οι πράξεις επεξεργασίας συνεπάγονται υψηλό βαθμό συγκεκριμένων κινδύνων για τα δικαιώματα και τις ελευθερίες των προσώπων στα οποία αναφέρονται τα δεδομένα, όπως τον αποκλεισμό φυσικών προσώπων από το δικαίωμά τους, ή λόγω της χρήσης συγκεκριμένων νέων τεχνολογιών, πρέπει να ζητείται η γνώμη της αρχής ελέγχου, πριν από την έναρξη των πράξεων, για μια ριψοκίνδυνη επεξεργασία η οποία ενδέχεται να μην είναι σύμφωνη προς τον παρόντα κανονισμό, η δε αρχή ελέγχου πρέπει να μπορεί να διατυπώσει προτάσεις για την επανόρθωση της κατάστασης αυτής. Μια τέτοια διαβούλευση πρέπει επίσης να λάβει χώρα κατά την προετοιμασία ενός μέτρου από το εθνικό κοινοβούλιο ή ενός μέτρου που βασίζεται σε τέτοιο νομοθετικό μέτρο το οποίο καθορίζει τη φύση της επεξεργασίας και θ