P7_TA(2014)0212

Zaštita pojedinaca pri obradi osobnih podataka ***I

Zakonodavna rezolucija Europskog parlamenta od 12. ožujka 2014. o prijedlogu Uredbe Europskog parlamenta i Vijeća o zaštiti pojedinaca pri obradi osobnih podataka i o slobodnom kretanju takvih podataka (Opća uredba o zaštiti podataka) (COM(2012)0011 – C7-0025/2012 – 2012/0011(COD))

(Redovni zakonodavni postupak: prvo čitanje)

(2017/C 378/55)

Europski parlament,

(1) SL C 229, 31.7.2012., str. 90.

(2) SL C 192, 30.6.2012., str. 7.

P7_TC1-COD(2012)0011

Stajalište Europskog parlamenta usvojeno u prvom čitanju 12. ožujka 2014. radi donošenja Uredbe (EU) br. …/2014 Europskog parlamenta i Vijeća o zaštiti pojedinaca pri obradi osobnih podataka i o slobodnom kretanju takvih podataka (Opća uredba o zaštiti podataka)

(Tekst značajan za EGP)

EUROPSKI PARLAMENT I VIJEĆE EUROPSKE UNIJE,

uzimajući u obzir Ugovor o funkcioniranju Europske unije, a posebno njegov članak 16. stavak 2. i članak 114. stavak 1.,

uzimajući u obzir prijedlog Europske komisije,

nakon što se nacrt zakonodavnog akta proslijedio nacionalnim parlamentima,

uzimajući u obzir mišljenje Europskog gospodarskog i socijalnog odbora (1),

nakon savjetovanja s Odborom regija,

uzimajući u obzir mišljenje Europskog nadzornika za zaštitu podataka (2)

djelujući u skladu s redovnim zakonodavnim postupkom (3),

budući da:

(1) Zaštita fizičkih osoba pri obradi osobnih podataka temeljno je pravo. Člankom 8. stavkom 1. Povelje o temeljnim pravima Europske unije („Povelja”) i člankom 16. stavkom 1. Ugovora utvrđuje se da svaka osoba ima pravo na zaštitu osobnih podataka koji se odnose na nju.

(2) Obrada osobnih podataka namijenjena je tome da služi čovjeku; načela i pravila o zaštiti pojedinaca pri obradi njihovih osobnih podataka trebala bi poštovati njihova temeljna prava i slobode, a posebno pravo na zaštitu osobnih podataka, bez obzira na njihovu nacionalnost ili boravište. Obrada osobnih podataka trebala bi doprinijeti stvaranju područja slobode, sigurnosti i pravde te gospodarske unije, gospodarskom i socijalnom napretku, jačanju i približavanju ekonomija na unutarnjem tržištu te dobrobiti ljudi.

(3) Cilj Direktive 95/46/EZ Europskog parlamenta i Vijeća (4) jest usklađivanje zaštite temeljnih prava i sloboda fizičkih osoba pri obradi podataka kao i jamčenje slobodnog protoka osobnih podataka između država članica.

(4) Gospodarska i socijalna integracija koja proizlazi iz funkcioniranja unutarnjeg tržišta dovela je do znatnog povećanja u prekograničnom prijenosu podataka. Razmjena podataka između gospodarskih i socijalnih, javnih i privatnih subjekata u Uniji povećala se. U skladu sa zakonodavstvom Unije državna tijela u državama članicama pozivaju se na suradnju i razmjenu osobnih podataka kako bi mogla izvršavati svoje zadaće ili izvršavati zadatke u ime nekog tijela u drugoj državi članici.

(5) Brz tehnološki napredak i globalizacija donijeli su nove izazove za zaštitu osobnih podataka. Opseg razmjene i prikupljanja podataka bitno se povećao. Zahvaljujući tehnologiji privatna poduzeća i državna tijela mogu za obavljanje svojih aktivnosti u nezapamćenom opsegu koristiti osobne podatke. Pojedinci sve više javno i globalno objavljuju svoje osobne informacije. Tehnologija je promijenila gospodarstvo i društveni život te je potrebno daljnje olakšanje slobodnog protoka podataka u Uniji i njihova prijenosa u treće zemlje i međunarodne organizacije, pri čemu se treba osigurati visoka razina zaštite osobnih podataka.

(6) S obzirom na važnost stvaranja povjerenja koje će omogućiti razvoj digitalne ekonomije na unutarnjem tržištu potrebno je izgraditi snažan i usklađeniji okvir za zaštitu podataka u Uniji koji će se dosljedno provoditi. Svaki bi pojedinac trebao imati nadzor nad svojim osobnim podacima, a za privatne korisnike, gospodarske subjekte i javna tijela treba se ojačati pravna i praktična sigurnost.

(7) Ciljevi i načela Direktive 95/46/EZ i dalje su utemeljeni, no njome nije spriječena nepotpuna provedba zaštite podataka u Uniji, pravna nesigurnost i rasprostranjeno javno mišljenje da posebno kod mrežnih aktivnosti postoje znatni rizici povezani sa sigurnošću osoba. Razlike u razini zaštite prava i sloboda pojedinaca, a posebno prava na zaštitu osobnih podataka pri obradi osobnih podataka u državama članicama, mogle bi spriječiti slobodni protok osobnih podataka u Uniji. Te razlike mogu predstavljati prepreku pri obavljanju gospodarskih aktivnosti na razini Unije, narušiti tržišno natjecanje te spriječiti nadležna tijela u ispunjenju njihovih obaveza na temelju zakonodavstva Unije. Do razlika u razinama zaštite došlo je zbog razlika u provedbi i primjeni Direktive 95/46/EZ.

(8) Kako bi se osigurala visoka razina dosljedne zaštite pojedinaca i uklonile zapreke prijenosu osobnih podataka, razina zaštite prava i sloboda pojedinaca pri obradi takvih podataka trebala bi biti jednaka u svim državama članicama. U cijeloj Uniji trebalo bi osigurati dosljednu i ujednačenu primjenu pravila za zaštitu temeljnih prava i sloboda fizičkih osoba pri obradi osobnih podataka.

(9) Učinkovita zaštita osobnih podataka u cijeloj Uniji zahtijeva jačanje i pomno određivanje prava osoba čiji se podaci obrađuju te obveza onih koji osobne podatke obrađuju i određuju način njihove obrade, ali i jednake ovlasti za nadzor i osiguravanje pridržavanja pravila za zaštitu osobnih podataka te jednake sankcije za prijestupnike u državama članicama.

(10) Člankom 16. stavkom 2. Ugovora nalaže se Europskom parlamentu i Vijeću da utvrde pravila o zaštiti pojedinaca pri obradi osobnih podataka i pravila o slobodnom kretanju takvih podataka.

(11) Kako bi se osigurala dosljedna razina zaštite pojedinaca u cijeloj Uniji i spriječila odstupanja koja onemogućavaju slobodno kretanje podataka na unutarnjem tržištu, potrebna je Uredba kojom će se gospodarskim subjektima, uključujući mikro, malim i srednjim poduzećima, pružiti pravna sigurnost i transparentnost, a pojedincima u svim državama članicama jednaka razina zakonski izvršivih prava i obveza te odgovornosti za nadzornike i obrađivače kako bi se osigurao dosljedan nadzor obrade osobnih podataka i jednake sankcije u svim državama članicama te učinkovita suradnja nadzornih tijela različitih država članica. Kako bi se uzela u obzir posebna situacija mikro, malih i srednjih poduzeća, ova Uredba sadrži niz odstupanja. Osim toga, institucije i tijela Unije, države članice i njihova nadzorna tijela pozivaju se da u primjeni ove Uredbe uvaže posebne potrebe mikro, malih i srednjih poduzeća. Za pojam mikro, malih i srednjih poduzeća mjerodavna je definicija iz Preporuke Komisije 2003/361/EZ (5).

(12) Zaštita koju ova Uredba pruža odnosi se na fizičke osobe pri obradi osobnih podataka, bez obzira na njihovu nacionalnost ili boravište. Pravne osobe i posebno društva osnovana kao pravne osobe čiji se podaci, uključujući naziv i oblik pravne osobe te njezini kontaktni podaci, obrađuju, ne bi se trebali pozivati na zaštitu iz ove Uredbe. To bi trebalo vrijediti i u slučajevima gdje naziv pravne osobe sadrži imena jedne ili više fizičkih osoba.

(13) Zaštita pojedinaca trebala bi biti tehnološki neutralna i ne ovisiti o tehnikama koje se koriste jer bi to u suprotnom izazvalo ozbiljan rizik od zaobilaženja propisa. Zaštita pojedinaca trebala bi se odnositi na obradu osobnih podataka automatiziranim sredstvima, ali i na ručnu obradu ako su podaci pohranjeni ili će biti pohranjeni u sustavu podataka. Dokumenti ili skupovi dokumenata kao i njihove naslovne stranice koje nisu strukturirane u skladu s posebnim mjerilima ne bi trebali biti obuhvaćeni područjem primjene ove Uredbe.

(14) U ovoj Uredbi ne obrađuju se pitanja zaštite temeljnih prava i sloboda ili slobodnog protoka podataka vezana uz aktivnosti koje nisu u području primjene zakonodavstva Unije. , niti osobni podaci koje obrađuju institucije, tijela, uredi i agencije Unije, a za koje je mjerodavna Uredbu (EZ) br. 45/2001 Europskog parlamenta i Vijeća (6) , niti osobni podaci koje obrađuju države članice pri obavljanju aktivnosti povezanih sa zajedničkom vanjskom i sigurnosnom politikom Unije trebalo bi uskladiti s ovom Uredbom i primijeniti u skladu s ovom Uredbom. . [Am. 1]

(15) Ova se Uredba ne bi trebala odnositi na obradu osobnih podataka koju provodi fizička osoba, koja je isključivo osobne, porodične ili obiteljske naravi, kao što je dopisivanje i vođenje evidencije adresata ili privatna prodaja i koja stoga nije povezana s profesionalnom ili gospodarskom djelatnošću. Izuzeće se ne bi trebalo primjenjivati i na nadzornike ili obrađivače koji osiguravaju sredstva za obradu osobnih podataka za takve osobne ili obiteljske aktivnosti. Međutim, ova Uredba trebala bi se primjenjivati na nadzornike i obrađivače koji osiguravaju sredstva za obradu osobnih podataka za takve osobne ili obiteljske aktivnosti. [Am. 2]

(16) Zaštita pojedinaca pri obradi osobnih podataka koju provode nadležna tijela u svrhe sprečavanja, istrage, otkrivanja ili progona kaznenih djela ili izvršavanja kaznenopravnih sankcija te slobodno kretanje takvih podataka uređeni su posebnim pravnim instrumentom na razini Unije. Stoga se ova Uredba ne bi trebala primjenjivati na aktivnosti obrade u te svrhe. No podaci koje su obradila javna tijela u skladu s ovom Uredbom trebali bi, kada se koriste u svrhe sprečavanja, istrage, otkrivanja ili progona kaznenih djela ili izvršavanja kaznenopravnih sankcija, biti uređeni posebnim pravnim instrumentom na razini Unije (Direktivom Europskog parlamenta i Vijeća o zaštiti pojedinaca pri obradi osobnih podataka od strane nadležnih tijela u svrhe sprečavanja, istrage, otkrivanja ili progona kaznenih djela ili izvršavanja kaznenopravnih sankcija i o slobodnom kretanju takvih podataka).

(17) Ovom se Uredbom ne dovodi u pitanje primjena Direktive 2000/31/EZ Europskog parlamenta i Vijeća (7), posebno pravila o odgovornosti posrednika pri pružanju usluga u skladu s člancima 12. do 15. Direktive.

(18) Ovom Uredbom omogućuje se poštovanje načela javnog pristupa službenim dokumentima kod primjene odredbi utvrđenih ovom Uredbom. Osobne podatke u dokumentima koje posjeduje javna ustanova ili javno tijelo ta ustanova ili to tijelo mogu otkriti u skladu sa zakonodavstvom Unije ili države članice o javnom pristupu službenim dokumentima koje usklađuje pravo na zaštitu podataka s pravom javnog pristupa službenim dokumentima i predstavlja poštenu ravnotežu različitih uključenih interesa. [Am. 3]

(19) Bilo koja obrada osobnih podataka u okviru aktivnosti poslovnog nastana nadzornika ili obrađivača u Uniji trebala bi se provoditi u skladu s ovom Uredbom, bez obzira na to provodi li se obrada u Uniji ili izvan nje. Poslovni nastan podrazumijeva učinkovito i stvarno provođenje aktivnosti kroz stabilni sustav. Pravni oblik takvog poslovnog nastana, bilo da je to podružnica ili društvo-kći s pravnom osobnošću, nije odlučujući faktor u tome smislu.

(20) Kako bi se osiguralo da pojedinci nisu uskraćeni za zaštitu na koju imaju pravo u skladu s ovom Uredbom, obrada osobnih podataka osoba s boravištem u Uniji koju provodi nadzornik koji nema poslovni nastan u Uniji trebala bi biti utvrđena ovom Uredbom, ako su aktivnosti obrade povezane s ponudom proizvoda ili usluga, neovisno o tome jesu li povezane uz plaćanje ili ne , dotičnim osobama ili s praćenjem njihova ponašanja. Kako bi se utvrdilo nudi li takav nadzornik robu ili usluge takvim osobama čiji se podaci obrađuju u Uniji, potrebno je provjeriti može li se zaključiti da nadzornik namjerava ponuditi usluge osobama čiji se podaci obrađuju koje imaju boravište u jednoj od država članica Unije ili u više njih. [Am. 4]

(21) Kako bi se ustanovilo može li se smatrati da se aktivnošću obrade „prati ponašanje osoba čiji se podaci obrađuju”, trebalo bi se provjeriti može li se pojedince pratiti na bez obzira na porijeklo podataka, ili jesu li o njima prikupljeni drugi podaci, uključujući one iz javnih evidencija i objava u Uniji kojima se može pristupiti i izvan Unije, uključujući one s namjerom upotrebe ili mogućnosti naknadne upotrebe tehnika obrade podataka koje se sastoje od „profiliranja” pojedinca, pogotovo s ciljem donošenja odluka koje se tiču njega ili analize ili predviđanja njegovih sklonosti, ponašanja i stavova. [Am. 5]

(22) Ako se na temelju javnog međunarodnog prava primjenjuje nacionalno zakonodavstvo države članice, ova bi se Uredba trebala primjenjivati i na nadzornika koji nema poslovni nastan u Uniji, kao što je diplomatska misija ili konzularni ured države članice.

(23) Načela zaštite podataka trebalo bi primjenjivati na bilo koju informaciju koja se odnosi na identificiranu osobu ili fizičku osobu koju se može identificirati. Kako bi se utvrdilo može li se osobu identificirati, trebalo bi uzeti u obzir sva sredstva koja nadzornik ili bilo koja druga osoba može opravdano koristiti da izravno ili neizravno utvrdi ili izdvoji identitet navedene osobe. Kako bi se provjerilo mogu li se sredstva opravdano koristiti da se utvrdi identitet navedene osobe, treba uzeti u obzir sve objektivne činitelje kao što su troškovi i vrijeme potrebni za utvrđivanje identiteta, uzimajući u obzir tehnologiju raspoloživu u trenutku obrade i tehnološki razvoj. Načela zaštite podataka stoga ne bi trebalo primjenjivati na anonimne podatke koji su informacija koja se ne odnosi na identificiranu fizičku osobu ili fizičku osobu koju se može identificirati . Ova Uredba stoga se ne odnosi na obradu takvih anonimnih podataka, uključujući obradu u statističke i istraživačke svrhe . [Am. 6]

(24) Pri korištenju mrežnim uslugama pojedince se može povezati s mrežnim identifikatorima Ova Uredba trebala bi biti primjenjiva na obradu koja uključuje identifikatore kao što su adrese internetskog protokola ili identifikatori kolačića, i tagovi za radiofrekventnu identifikaciju , a koje sadrže njihovi uređaji, aplikacije, alati i protokoli , osim ako se ti identifikatori ne odnose na neku identificiranu fizičku osobu ili fizičku osobu koju se može identificirati . To može ostaviti tragove koji se, zajedno s jedinstvenim identifikatorima i drugim informacijama koje dostavljaju poslužitelji, mogu upotrijebiti za identificiranje i profiliranje pojedinaca. Iz stoga slijedi da identifikacijske brojeve, podatke o lokaciji, mrežne identifikatore ili druge posebne elemente kao takve ne treba nužno u svim okolnostima smatrati osobnim podacima. [Am. 7]

(25) Suglasnost bi izričito trebalo dati bilo kojom odgovarajućom metodom kojom se omogućava da osoba čiji se podaci obrađuju dobrovoljno i na temelju informacija da posebnu izjavu svoje volje, tj. kojom se osigurava da je pojedinac svjestan da svojom izjavom ili jasnim postupkom potvrde daje svoju suglasnost za obradu osobnih podataka. uključujući označavanjem Jasan postupak potvrde može uključivati označavanje polja na internetskoj stranici ili bilo kojom drugom izjavom ili ponašanjem kojim se jasno pokazuje da osoba čiji se podaci obrađuju prihvaća predloženu obradu svojih osobnih podataka. Šutnja , puko korištenje usluge ili neaktivnost stoga ne bi trebali značiti suglasnost. Suglasnost bi trebala obuhvaćati sve aktivnosti obrade koje se provode u istu svrhu ili svrhe. Ako osoba čiji se podaci obrađuju daje suglasnost na temelju elektroničkog zahtjeva, taj zahtjev mora biti jasan i sažet, tako da se njime ne ometa korištenje usluge za koju se on upotrebljava. [Am. 8]

(26) Osobni podaci o zdravstvenom stanju trebali bi obuhvaćati sve podatke vezane uz zdravstveno stanje osobe čiji se podaci obrađuju; informacije o registraciji pojedinca za ostvarenje zdravstvenih usluga; informacije o plaćanjima ili ostvarenom pravu pojedinca na zdravstvenu zaštitu; broj, simbol ili posebnu oznaku koji su dodijeljeni pojedincu radi njegove jedinstvene identifikacije u zdravstvene svrhe, bilo koje informacije o pojedincu prikupljene tijekom pružanja zdravstvenih usluga pojedincu; informacije dobivene ispitivanjem ili pregledavanjem dijela tijela ili tjelesnog sadržaja, uključujući i biološke uzorke; identifikacija osobe koja pojedincu pruža zdravstvenu zaštitu ili bilo koje informacije, na primjer, o bolesti, invalidnosti, riziku od razvoja bolesti, povijesti bolesti, kliničkom liječenju ili trenutačnom fiziološkom ili biomedicinskom stanju osobe čiji se podaci obrađuju, neovisno o izvoru podataka, npr. liječniku ili drugom zdravstvenom djelatniku, bolnici, medicinskom uređaju ili dijagnostičkoj pretrazi „in vitro”.

(27) Glavni poslovni nastan nadzornika u Uniji trebao bi se odrediti u skladu s objektivnim kriterijima te bi trebao podrazumijevati stvarno i učinkovito obavljanje upravljačkih aktivnosti u okviru kojih se kroz stabilni sustav donose glavne odluke o svrsi, i sredstvima obrade. Taj kriterij ne bi trebao ovisiti o tome provodi li se obrada osobnih podataka zaista na toj lokaciji; prisutnost i upotreba tehničkih sredstava za obradu osobnih podataka ili aktivnosti obrade ne čine sami po sebi takav glavni poslovni nastan te stoga nisu kriteriji za njegovo određivanje. Za obrađivača bi glavni poslovni nastan trebalo biti mjesto njegove središnje uprave u Uniji.

(28) Grupa poduzetnika trebala bi obuhvaćati poduzetnika u vladajućem položaju i o njemu ovisne poduzetnike, pri čemu bi poduzetnik u vladajućem položaju trebao biti onaj koji može ostvariti dominantni utjecaj na druge poduzetnike, na primjer, na temelju vlasništva, financijskog udjela ili propisa kojima se uređuju njegove aktivnosti ili ovlasti za provedbu propisa o zaštiti osobnih podataka.

(29) Djeci je potrebna posebna zaštita njihovih osobnih podataka, s obzirom na to da mogu biti manje svjesna rizika i posljedica te manje upoznata s mjerama zaštite i svojim pravima pri obradi osobnih podataka. Kako bi se utvrdilo kad se pojedinac smatra djetetom, u ovoj bi se Uredbi trebala preuzeti definicija utvrđena Konvencijom UN-a o pravima djeteta. Ako se obrada podataka temelji na suglasnosti osobe čiji se podaci obrađuju u odnosu na ponudu robe ili usluga izravno djetetu , suglasnost daje ili odobrava djetetov roditelj ili zakonski skrbnik ako dijete ima manje od 13 godina. Ako su ciljana publika djeca, koristi se jezik primjeren toj dobi. Drugi razlozi za zakonitu obradu kao što su razlozi od javnog interesa ostaju primjenjivi, primjerice za obradu u kontekstu preventivnih usluga ili usluga savjetovanja koje su ponuđene izravno djetetu . [Am. 9]

(30) Bilo koja obrada osobnih podataka mora biti zakonita, poštena i transparentna prema pojedincima o kojima je riječ. Posebne svrhe obrade podataka osobito bi trebale biti izričite i legitimne te utvrđene u trenutku prikupljanja podataka. Osobni podaci trebali bi biti prikladni, relevantni i ograničeni na nužno potrebne za svrhe radi kojih se obrađuju; zbog toga posebno valja osigurati da prikupljeni podaci nisu pretjerani te da je razdoblje pohranjivanja podataka svedeno na najmanju moguću mjeru. Osobni podaci trebali bi se obrađivati samo ako se svrha obrade ne može postići drugim sredstvima. Trebalo bi poduzeti sve odgovarajuće mjere da se podaci koji su netočni isprave ili izbrišu. Kako bi se osiguralo da se podaci ne pohranjuju duže od potrebnog, nadzornik bi trebao odrediti rokove za njihovo brisanje ili redovitu reviziju.

(31) Kako bi obrada bila zakonita, osobni podaci trebali bi se obrađivati na temelju suglasnosti dotične osobe ili na nekoj drugoj legitimnoj osnovi, zakonski utvrđenoj bilo ovom Uredbom ili drugim zakonodavstvom Unije ili države članice, kako je navedeno u ovoj Uredbi. U slučaju djeteta ili osobe koja nema pravnu sposobnost, relevantno zakonodavstvo Unije ili države članice određuje uvjete pod kojima ta osoba daje ili odobrava pristanak. [Am. 10]

(32) Kada se obrada temelji na suglasnosti osobe čiji se podaci obrađuju, nadzornik bi trebao snositi odgovornost dokazivanja da je dotična osoba dala svoju suglasnost za postupak obrade. Osobito u slučaju pisane izjave o drugom pitanju, mjerama zaštite trebalo bi se osigurati da je osoba čiji se podaci obrađuju svjesna toga da daje svoju suglasnost i u kojoj mjeri to čini. U skladu s načelom smanjenja količine podataka teret dokaza ne treba shvatiti kao zahtjev za pozitivnu identifikaciju osoba čiji se podaci obrađuju, osim ako to nije potrebno. Istovjetno odredbama građanskog prava (npr. Direktiva Vijeća 93/13/EEZ (8) ), politike zaštite podataka trebaju biti što je moguće jasnije i transparentnije. Ne bi trebale sadržavati skrivene ili nepogodne klauzule. Suglasnost se ne može dati za obradu osobnih podataka trećih osoba. [Am. 11]

(33) Kako bi se osiguralo da je suglasnost dobrovoljna, trebalo bi pojasniti da suglasnost nije važeća pravna osnova za obradu ako pojedinac nema istinsku slobodu izbora te ako ne može odbiti ili povući suglasnost bez posljedica. To je naročito slučaj ako je nadzornik javno tijelo koje na temelju svojih relevantnih javnih ovlasti može nametnuti obvezu i suglasnost se ne može smatrati dobrovoljno danom. Upotreba zadanih opcija koje osoba čiji se podaci obrađuju mora izmijeniti kako bi se usprotivila toj obradi, kao što su već označena polja, ne izražava suglasnost. Suglasnost za obradu dodatnih osobnih podataka koji nisu potrebni za pružanje usluge ne zahtijeva se za korištenje usluge. Ako je suglasnost povučena, to može omogućiti obustavu ili neizvršenje usluge koja ovisi o podacima. Ako je dovršenje predviđene svrhe nejasno, nadzornik u pravilnim razmacima osigurava osobi čiji se podaci obrađuju informacije o obradi te traži ponovnu potvrdu njezine suglasnosti. [Am. 12]

(34) Suglasnost ne bi trebala biti važeća pravna osnova za obradu osobnih podataka ako postoji jasna neravnoteža između osobe čiji se podaci obrađuju i nadzornika. To je posebno slučaj kad osoba čiji se podaci obrađuju ovisi o nadzorniku, između ostalog kad poslodavac pri zapošljavanju obrađuje osobne podatke zaposlenika. Ako je nadzornik javno tijelo, neravnoteža bi postojala samo u posebnim postupcima obrade podataka kad javno tijelo na temelju svojih relevantnih javnih ovlasti može nametnuti obvezu i suglasnost se, s obzirom na interes osobe čiji se podaci obrađuju, ne može smatrati dobrovoljno danom. [Am. 13]

(35) Obrada bi trebala biti zakonita ako je potrebna u okviru ugovora ili predviđenog sklapanja ugovora.

(36) Ako se obrada provodi radi izvršavanja pravne obveze kojoj podliježe nadzornik ili ako je obrada potrebna za izvršavanje zadatka koji se provodi zbog javnog interesa ili pri izvršavanju javne ovlasti, obrada bi trebala imati pravnu osnovu u zakonodavstvu Unije ili države članice, koje u pogledu bilo kakvog ograničenja prava i sloboda zadovoljava zahtjeve Povelje. To bi također trebalo uključivati kolektivne ugovore koji bi u skladu sa nacionalnim zakonodavstvom mogli biti priznati kao opće valjani. U zakonodavstvu Unije ili nacionalnom zakonodavstvu također mora biti utvrđeno treba li nadzornik koji izvršava zadatak koji se provodi zbog javnog interesa ili pri izvršavanju javne ovlasti biti tijelo javne uprave ili druga pravna ili fizička osoba koja podliježe javnom pravu ili privatnom pravu, kao što je na primjer strukovno udruženje..[Am. 14]

(37) Obrada osobnih podataka također bi se trebala smatrati zakonitom ako je potrebna radi zaštite interesa od životne važnosti za osobu čiji se podaci obrađuju.

(38) Legitimni interesi nadzornika kontrolora ili, u slučaju otkrivanja, treće strane kojoj se podaci otkrivaju, mogu biti pravna osnova za obradu, pod uvjetom da ispunjava razumna očekivanja osobe čiji se podaci obrađuju na temelju njezine veze s nadzornikom te da interesi ili temeljna prava i slobode osobe čiji se podaci obrađuju nemaju prednost. To je posebno potrebno pažljivo ocijeniti ako je osoba čiji se podaci obrađuju dijete, s obzirom na to da je djeci potreba posebna zaštita. Pod uvjetom da interesi ili temeljna prava i slobode osobe čiji se podaci obrađuju nemaju prednost, pretpostavlja se da obrada ograničena na pseudonimne podatke ispunjava razumna očekivanja osobe čiji se podaci obrađuju na temelju njezine veze s nadzornikom. Osoba čiji se podaci obrađuju trebala bi imati ima pravo da na osnovi svoje posebne situacije na besplatno uloži prigovor ulaganje prigovora na obradu. Kako bi se osigurala transparentnost, nadzornik bi trebao biti dužan izričito obavijestiti osobu čiji se podaci obrađuju o postojanju legitimnih interesa te ih i dokumentirati, kao i obavijestiti dotičnu osobu o njezinu pravu na prigovor. Interesi i temeljna prava osobe čiji se podaci obrađuju mogu naročito nadvladati interes nadzornika podataka ako se osobni podaci obrađuju u okolnostima u kojima osobe čiji se podaci obrađuju ne očekuju daljnju obradu. Budući da je zakonodavac dužan zakonski odrediti pravnu osnovu za obradu podataka koju provode javna tijela, ova pravna osnova ne bi se trebala primjenjivati na obradu podataka koju provode javna tijela pri izvršavanju svojih zadataka. [Am. 15]

(39) Obrada podataka u opsegu nužno potrebnom i razmjernom kako bi se osigurala sigurnost mreže i informacija, tj. sposobnost mreže ili informacijskog sustava da se, uz određeni stupanj pouzdanosti, obrani od neočekivanih događaja ili nezakonitih ili zlonamjernih radnji koje ugrožavaju dostupnost, autentičnost, cjelovitost i povjerljivost pohranjenih ili prenesenih podataka te sigurnost povezanih usluga koje pružaju te mreže i sustavi, ili koje su dostupne putem tih mreža i sustava, javnih javna tijela, središta za računalnu sigurnost (CERT), grupa grupe za rješavanje računalnih sigurnosnih incidenata (CSIRT), operatera operateri elektroničkih komunikacijskih mreža i pružatelja pružatelji elektroničkih komunikacijskih usluga te pružatelja pružatelji sigurnosnih tehnologija i usluga, legitiman je interes dotičnog nadzornika obrade. To bi, na primjer, moglo uključivati sprečavanje neovlaštenog pristupa elektroničkim komunikacijskim mrežama, širenja zlonamjernih kodova, zaustavljanje napada na temelju uskraćivanja usluge te sprečavanje štete na računalnim i elektroničkim komunikacijskim sustavima. To se načelo također primjenjuje na obradu osobnih podataka kako bi se ograničio nasilan pristup javno dostupnim mrežama ili informacijskim sustavima te njihova upotreba, kao što je crna lista elektroničkih identifikatora. [Am. 16]

(39.a) Pod uvjetom da interesi ili temeljna prava i slobode osobe čiji se podaci obrađuju nemaju prednost, smatra se da je sprečavanje ili ograničavanje štete na strani nadzornika podataka provedeno radi legitimnog interesa nadzornika podataka ili, u slučaju otkrivanja, treće osobe kojoj se podaci otkrivaju, te da ispunjava razumna očekivanja osobe čiji se podaci obrađuju na temelju njezine veze s nadzornikom. Jednako načelo primjenjuje se i na provedbu zakonskih potraživanja protiv osobe čiji se podaci obrađuju, kao što su naplata duga ili građanske odštete i pravni lijekovi. [Am. 17]

(39.b) Pod uvjetom da interesi ili temeljna prava i slobode osobe čiji se podaci obrađuju nemaju prednost, smatra se da je obrada osobnih podataka u izravne marketinške svrhe za vlastite ili slične proizvode i usluge ili u izravne poštanske marketinške svrhe provedena radi legitimnog interesa nadzornika ili, u slučaju otkrivanja, treće osobe kojoj se podaci otkrivaju, te da ispunjava razumna očekivanja osobe čiji se podaci obrađuju na temelju njezine veze s nadzornikom ako postoji veoma vidljiva informacija o pravu prigovora i o izvoru osobnih podataka. Općenito se smatra da se obrada poslovnih kontaktnih podataka provodi radi legitimnog interesa nadzornika ili, u slučaju otkrivanja, treće osobe kojoj se podaci otkrivaju, te da zadovoljava razumna očekivanja osobe čiji se podaci obrađuju na temelju njezine veze s nadzornikom. To se primjenjuje i na obradu osobnih podataka koje je objavila osoba čiji se podaci obrađuju. [Am. 18]

(40) Obrada osobnih podataka u druge svrhe trebala bi se dopustiti samo ako je obrada u skladu sa svrhom radi koje su podaci prethodno prikupljeni, a posebno ako je obrada potrebna u svrhe povijesnog, statističkog ili znanstvenog istraživanja. Ako je druga svrha nespojiva s prvotnom svrhom radi koje su podaci prikupljeni, nadzornik bi za tu drugu svrhu trebao dobiti suglasnost osobe čiji se podaci obrađuju ili bi obradu trebao temeljiti na drugoj legitimnoj osnovi za zakonitu obradu, pogotovo ako je ona utvrđena zakonodavstvom Unije ili države članice kojemu podliježe nadzornik. U svakom slučaju trebalo bi se osigurati da se primjenjuju načela utvrđena ovom Uredbom i posebno da je osoba čiji se podaci obrađuju obaviještena o tim drugim svrhama. [Am. 19]

(41) Osobni podaci koji su po svojoj prirodi osobito osjetljivi i ranjivi u pogledu temeljnih prava ili privatnosti zaslužuju posebnu zaštitu. Takve podatke ne bi trebalo obrađivati, osim ako osoba čiji se podaci obrađuju za to ne da svoju izričitu suglasnost. Međutim, kad je riječ o posebnim potrebama, trebalo bi izričito predvidjeti odstupanja od ove zabrane, pogotovo ako se obrada provodi u sklopu zakonitih aktivnosti određenih udruga ili zaklada čiji je cilj ostvarenje temeljnih sloboda. [Am. 20]

(42) Odstupanja od zabrane obrade osjetljivih kategorija podataka također bi se trebala dopustiti kad za to postoji zakonska osnova i – pod uvjetom da postoje odgovarajuće mjere za zaštitu osobnih podataka i drugih temeljnih prava – kad je to opravdano zbog javnog interesa, te posebno u zdravstvene svrhe, na područjima kao što je javno zdravlje i socijalna zaštita, upravljanje zdravstvenim službama, posebno kako bi se osigurala kvaliteta i isplativost postupaka koji se koriste za rješavanje zahtjeva za ostvarenje pogodnosti i usluga iz sustava zdravstvenog osiguranja ili u svrhe povijesnog, statističkog i znanstvenog istraživanja ili za usluge arhiviranja . [Am. 21]

(43) Osim toga, obrada osobnih podataka službeno priznatih vjerskih udruga koju provode državna tijela u svrhe postizanja ciljeva predviđenih ustavnim pravom ili međunarodnim javnim pravom, provodi se zbog javnog interesa.

(44) Ako je tijekom izbornih aktivnosti za djelovanje demokratskog sustava u određenim državama članicama potrebno da političke stranke prikupe podatke o političkim stavovima ljudi, obrada takvih podataka može se dopustiti zbog javnog interesa, pod uvjetom da se uspostave odgovarajuće mjere zaštite.

(45) Ako nadzornik ne može utvrditi identitet fizičke osobe čije podatke obrađuje, on ne bi trebao biti obvezan prikupiti dodatne informacije kako bi utvrdio identitet osobe čiji se podaci obrađuju samo radi pridržavanja neke odredbe ove Uredbe. U slučaju zahtjeva za pristup podacima, nadzornik bi trebao imati pravo da od osobe čiji se podaci obrađuju zatraži daljnje informacije koje bi mu omogućile da nađe osobne podatke koje ta osoba traži. Ako osoba čiji se podaci obrađuju može pružiti takve podatke, nadzornici ne bi smjeli biti u mogućnosti da se pozovu na nedostatak informacija kako bi odbili zahtjev za pristup. [Am. 22]

(46) U skladu s načelom transparentnosti sve informacije koje su namijenjene javnosti ili osobi čiji se podaci obrađuju trebale bi biti lako dostupne i razumljive te formulirane jasnim i jednostavnim jezikom. To je posebno važno u situacijama kao što je mrežno oglašavanje, ako osobi čiji se podaci obrađuju zbog velikog broja sudionika i tehnološke složenosti nije lako prepoznati i razumjeti prikupljaju li se ili ne osobni podaci koji se odnose na nju, tko to radi i u koju svrhu. Budući da je djeci potrebna posebna zaštita, ako se obrada odnosi posebno na dijete sve informacije i komunikacija trebale bi biti na jasnom i jednostavnom jeziku koje dijete može razumjeti.

(47) Trebalo bi osigurati načine kojima se osobi čiji se podaci obrađuju olakšava ostvarivanje njezinih prava u okviru ove Uredbe, uključujući mehanizme za besplatan zahtjev posebno za pristup dobivanje, i to besplatno, naročito pristupa podacima, njihov ispravak i brisanje njihovom ispravku i brisanju te za ostvarivanje prava na prigovor. Nadzornik bi trebao biti dužan da na zahtjev osobe čiji se podaci obrađuju odgovori u određenom razumnom roku ili da u slučaju odbijenog zahtjeva navede razloge za to. [Am. 23]

(48) Načelo poštene i transparentne obrade podataka zahtijeva da su osobe čiji se podaci obrađuju obaviještene osobito o postupku obrade i njezinoj svrsi, vjerojatnoj duljini pohrane podataka u svaku svrhu , o tome hoće li se podaci prenijeti trećim stranama ili u treće zemlje, o postojanju mjera prigovora i prava pristupa, ispravka ili brisanja podataka te o pravu na podnošenje žalbe. Ako se podaci prikupljaju od osobe čiji se podaci obrađuju, osoba čiji se podaci obrađuju trebala bi biti obaviještena o tome je li ona dužna dostaviti takve podatke te o mogućim posljedicama u slučaju da ih ne dostavi. Ta se obavijest osigurava, što može značiti i da je lako dostupna, osobi čiji se podaci obrađuju nakon davanja pojednostavljene obavijesti u obliku standardiziranih ikona. To također znači da se osobni podaci obrađuju na način koji učinkovito omogućuje da osoba čiji se podaci obrađuju ostvari svoja prava. [Am. 24]

(49) Osobi čiji se podaci obrađuju trebalo bi tijekom prikupljanja podataka dati informacije o obradi osobnih podataka koji se odnose na nju ili, ako se podaci ne prikupljaju od osobe čiji se podaci obrađuju, u primjerenom roku ovisno o okolnostima slučaja. Ako se podaci mogu zakonito otkriti drugom primatelju, osobu čiji se podaci objavljuju trebalo bi obavijestiti o tome kada su oni prvi put otkriveni primatelju.

(50) Međutim, nije potrebno nametnuti tu obvezu ako osoba čiji se podaci obrađuju već ima tu informaciju ili ako je bilježenje ili otkrivanje izričito propisano zakonom ili ako se davanje informacija osobi čiji se podaci obrađuju pokaže nemogućim ili bi uključivalo nerazmjerni napor. To bi mogao biti slučaj posebno ako se obrada provodi u svrhe povijesnog, statističkog ili znanstvenog istraživanja; u tome se smislu može uzeti u obzir broj osoba čiji se podaci obrađuju, starost podataka i sve donesene zamjenske mjere. [Am. 25]

(51) Svaka bi osoba trebala imati pravo na pristup podacima koji se o njoj prikupljaju i ostvarivanje toga prava na jednostavan način kako bi znala da je obrada zakonita i to mogla potvrditi. Svaka osoba čiji se podaci obrađuju trebala bi stoga imati pravo znati i primiti obavijest, osobito o svrhama u koje se podaci obrađuju, na koje predviđeno razdoblje, o tome tko su primatelji podataka, o općoj logici podataka koji se obrađuju te o posljedicama takve obrade, posebno u slučaju kad se obrada temelji na profiliranju. To pravo ne bi smjelo štetno utjecati na prava i slobode drugih, uključujući poslovne tajne ili intelektualno vlasništvo, te posebno na autorska prava kao ono što su ona kojima kojima se štiti programska oprema. Ta pitanja međutim ne bi smjela dovesti do toga da se osobi čiji se podaci obrađuju uskrate bilo kakve informacije. [Am. 26]

(52) Nadzornik bi trebao poduzeti sve opravdane mjere kako bi utvrdio identitet osobe čiji se podaci obrađuju i koja zahtijeva pristup podacima, a posebno u okviru mrežnih usluga i mrežnih identifikatora. Nadzornik ne bi smio pohraniti osobne podatke samo zato da može odgovoriti na možebitne zahtjeve.

(53) Svaka osoba bi trebala imati pravo na ispravak osobnih podataka o sebi i „pravo na zaborav brisanje podataka ” ako pohrana takvih podataka nije u skladu s ovom Uredbom. Štoviše, osobe čiji se podaci obrađuju trebale bi imati pravo na to da se njihovi osobni podaci obrišu i više ne obrađuju, ako podaci više nisu potrebni za svrhe radi kojih su prikupljeni ili na drugi način obrađivani, ako su osobe čiji se podaci obrađuju povukle svoju suglasnost za obradu ili ako se protive obradi osobnih podataka koji se odnose na njih ili ako obrada njihovih osobnih podataka iz drugih razloga nije u skladu s ovom Uredbom. To je pravo posebno relevantno u slučajevima kad je osoba čiji se podaci obrađuju dala svoju suglasnost kao dijete, kad nije bila u potpunosti svjesna rizika vezanih uz obradu, i kasnije želi ukloniti takve osobne podatke, pogotovo one na internetu. No daljnja pohrana podataka trebala bi se dopustiti ako je potrebna u svrhe povijesnog, statističkog i znanstvenog istraživanja, zbog javnog interesa na području javnog zdravlja, radi ostvarivanja prava na slobodu izražavanja, ako to zahtijeva zakon i ako postoji razlog za ograničenje obrade podataka umjesto njihova brisanja. Osim toga pravo na brisanje podataka ne bi se trebalo primjenjivati ako je pohrana osobnih podataka potrebna za izvršenje ugovora s osobom čiji se podaci obrađuju ili ako postoji zakonska obveza pohrane tih podataka. [Am. 27]

(54) Kako bi se „pravo na zaborav brisanje podataka ” ojačalo u mrežnom okruženju, pravo brisanja trebalo bi proširiti tako da bi nadzornik koji je objavio osobne podatke bez pravnog obrazloženja trebao biti dužan obavijestiti poduzeti sve potrebne korake kako bi se podaci izbrisali, uključujući i brisanje koje provode treće strane koje obrađuju takve podatke da osoba , ne dovodeći u pitanje pravo osobe čiji se podaci obrađuju da traži naknadu štete. zahtijeva da obrišu sve poveznice, kopije i replike tih osobnih podataka. Kako bi osigurao obavješćivanje trećih strana, nadzornik bi trebao poduzeti sve opravdane korake, uključujući tehničke mjere, u odnosu na podatke za čije je objavljivanje odgovoran. U pogledu objave osobnih podataka koju je izvršila treća strana, nadzornik bi se trebao smatrati odgovornim za tu objavu ako je on ovlastio treću stranu da objavi osobne podatke. [Am. 28]

(54.a) Podatke koje usporava osoba čiji se podaci obrađuju i čija se točnost ili netočnost ne može utvrditi treba blokirati dok se pitanje ne razjasni. [Am. 29]

(55) Osobe čiji se podaci obrađuju trebale bi radi jačanja nadzora nad vlastitim podacima i svog prava na pristup podacima imati pravo, ako se osobni podaci obrađuju elektroničkim putem te uz pomoć strukturiranog i uobičajenog formata, dobiti kopiju podataka koji se odnose na njih u uobičajenom elektroničkom formatu. Osoba čiji se podaci obrađuju također bi trebala imati pravo prenijeti osobne podatke koje je ustupila iz jedne automatizirane aplikacije, na primjer društvene mreže, u drugu. Nadzornike podataka treba poticati na razvijanje interoperabilnih oblika koji omogućavaju prijenos podataka. To bi se trebalo primjenjivati u slučajevima kad je osoba čiji se podaci obrađuju na temelju svoje suglasnosti ili pri izvršenju ugovora ustupila podatke automatiziranom sustavu obrade. Pružatelji usluga informacijskog društva ne bi trebali prenositi podatke koji su obvezni za pružanje njihovih usluga. [Am. 30]

(56) U slučajevima gdje se osobni podaci zakonito obrađuju radi zaštite vitalnih interesa osobe čiji se podaci obrađuju ili zbog javnog interesa, pri izvršavanju javne ovlasti ili zbog legitimnih interesa nadzornika, svaka osoba čiji se podaci obrađuju trebala bi unatoč tome imati pravo protivljenja obradi podataka koji se odnose na nju , besplatno i na jednostavan i djelotvoran način Nadzornik bi trebao snositi odgovornost dokazivanja da njegovi legitimni interesi mogu imati prednost nad interesima ili temeljnim pravima i slobodama osobe čiji se podaci obrađuju. [Am. 31]

(57) Ako se osobni podaci obrađuju u izravne marketinške svrhe, osoba čiji se podaci obrađuju ima trebala bi imati pravo besplatno, na jednostavan i djelotvoran način protiviti se obradi , nadzornik bi to pravo trebao izričito ponuditi osobi čiji se podaci obrađuju na razumljiv način i u razumljivom obliku, koristeći jasan i jednostavan jezik, te bi ga trebao jasno razlikovati od drugih informacija .svojih osobnih podataka za takav marketing. [Am. 32]

(58) Ne dovodeći u pitanje zakonitost obrade podataka, svaka fizička osoba trebala bi imati pravo da je se ne podvrgne mjeri koja se temelji na profiliranju automatiziranom obradom. No takva prigovora na profiliranje. Profiliranje koje rezultira mjerama s pravnim učinkom na osobu čiji se podaci obrađuju ili slično tomu uvelike utječu na interese, prava ili slobode predmetne osobe čiji se podaci obrađuju trebalo bi se mjera trebala dopustiti samo ako je izričito dopuštena dopušteno zakonom, ako se provodi pri sklapanju ili izvršenju ugovora ili ako je osoba čiji se podaci obrađuju dala svoju suglasnost. U svakom slučaju za takve bi se obrade trebale primjenjivati odgovarajuće mjere zaštite kao što su posebno obavješćivanje osobe čiji se podaci obrađuju, pravo na izravnu ljudsku procjenu đizravno ljudsko posredovanje te jamstvo da se takva obrada ne bi smjela odnositi na dijete. Takve mjere ne bi trebale dovesti do diskriminacije pojedinaca na temelju rasnog ili etničkog porijekla, političkih mišljenja, vjere ili uvjerenja, članstva u sindikatu, spolne opredijeljenosti ili spolnog identiteta. [Am. 33]

(58.a) Pretpostavlja se da profiliranje koje se temelji isključivo na obradi pseudonimnih podataka ne utječe uvelike na interese, prava ili slobode osobe čiji se podaci obrađuju. Ako profiliranje, bilo da se temelji na jednom izvoru pseudonimnih podataka ili na grupi pseudonimnih podataka iz različitih izvora, omogućuje nadzorniku da poveže pseudonimne podatke s određenom osobom čiji se podaci obrađuju, smatra se da obrađeni podaci više nisu pseudonimni. [Am. 34]

(59) Ograničenja određenih načela i prava na informacije, pristup, ispravljanje, brisanje ili prava na prijenos pristup i dobivanje podataka, prava prigovora, mjera koje se temelje na profiliranju, obavješćivanja osobe čiji se podaci obrađuju o povredi njezinih osobnih podataka te određenih povezanih obveza nadzornika, mogu biti nametnuta zakonodavstvom Unije ili države članice ako je to u demokratskom društvu potrebno i razmjerno radi zaštite javne sigurnosti, što uključuje zaštitu ljudskih života osobito uslijed prirodnih katastrofa i katastrofa uzrokovanih ljudskim djelovanjem, sprečavanje, istragu i progon kaznenih djela ili kršenja etike u zakonski uređenim djelatnostima, druge specifične i jasno određene javne interese Unije ili države članice, posebno važan gospodarski ili financijski interes Unije ili države članice ili zaštitu osobe čiji se podaci obrađuju ili prava i sloboda drugih. Ta bi ograničenja trebala biti u skladu sa zahtjevima iz Povelje i Europske konvencije o zaštiti ljudskih prava i temeljnih sloboda. [Am. 35]

(60) Za bilo koju obradu osobnih podataka koju provodi nadzornik ili koja se provodi u njegovo ime nadzornik bi trebao snositi potpunu odgovornost , naročito s obzirom na dokumentaciju, sigurnost podataka, procjene učinka, službenika za zaštitu podataka i nadzor tijela za zaštitu podataka . Nadzornik bi posebno trebao osigurati i biti u mogućnosti dokazati da je svaki postupak obrade u skladu s ovom Uredbom. To bi trebali provjeriti nezavisni unutarnji ili vanjski revizori. [Am. 36]

(61) Zaštita prava i sloboda osoba čiji se podaci obrađuju pri obradi osobnih podataka zahtijeva poduzimanje odgovarajućih tehničkih i organizacijskih mjera pri planiranju obrade i pri samoj obradi kako bi se osiguralo ispunjavanje zahtjeva ove Uredbe. Kako bi se osigurala i dokazala usklađenost s ovom Uredbom, nadzornik bi trebao usvojiti interne strategije i provoditi odgovarajuće mjere koje posebno zadovoljavaju načela zaštite podataka pomoću tehnike i integrirane zaštite. Načelo tehničke zaštite podataka zahtijeva da se zaštita podataka ugradi u čitav životni ciklus tehnologije, od same rane faze dizajniranja do njezina krajnjeg razvijanja, korištenja i konačnog uklanjanja. To bi također trebalo uključiti odgovornost za proizvode i usluge koje koristi nadzornik ili obrađivač. Načelo integrirane zaštite podataka zahtijeva postavke privatnosti na uslugama i proizvodima koje bi automatski trebale biti u skladu s općim načelima zaštite podataka kao što su smanjenje količine podataka i ograničenje namjene. [Am. 37]

(62) Zaštita prava i sloboda osoba čiji se podaci obrađuju te odgovornost nadzornika i obrađivača, također vezano uz nadzor i mjere nadzornih tijela, zahtijevaju jasnu raspodjelu odgovornosti u skladu s ovom Uredbom, uključujući i slučaj kada nadzornik zajedno s ostalim nadzornicima utvrđuje svrhe i sredstva obrade ili kada se postupak obrade provodi u ime nadzornika. U međusobnom dogovoru zajedničkih nadzornika trebaju se ogledati stvarne uloge zajedničkih nadzornika i njihovi odnosi. Obrada osobnih podataka u skladu s ovom Uredbom treba uključivati dopuštenje za nadzornika da prenese podatke zajedničkom nadzorniku ili obrađivaču za obradu podataka u njihovo ime. [Am. 38]

(63) Kada nadzornik koji nema poslovni nastan u Uniji obrađuje osobne podatke osoba koje imaju boravište u Uniji, te ako su njegove aktivnosti obrade povezane s ponudom proizvoda ili usluga osobama čiji se podaci obrađuju ili s praćenjem njihova ponašanja, nadzornik bi trebao imenovati predstavnika, osim ako nadzornik nema poslovni nastan u trećoj zemlji koja osigurava odgovarajuću razinu zaštite ili se obrada odnosi na manje od 5 000 osoba čiji se podaci obrađuju u bilo kojem uzastopnom razdoblju od 12 mjeseci i ne provodi se na posebnim kategorijama osobnih podataka ili je nadzornik malo ili srednje poduzeće ili javno tijelo ili ako nadzornik samo povremeno nudi proizvode i usluge takvim osobama čiji se podaci obrađuju. Predstavnik bi trebao djelovati u ime nadzornika i biti osoba za kontakt s nadzornim tijelima. [Am. 39]

(64) Kako bi se utvrdilo nudi li nadzornik osobama čiji se podaci obrađuju i koje imaju boravište u Uniji proizvode i usluge samo povremeno, trebalo bi se provjeriti može li se iz cjelokupnih aktivnosti nadzornika zaključiti predstavlja li ponuda proizvoda i usluga takvim osobama samo sporednu aktivnost uz njegove glavne aktivnosti. [Am.40]

(65) Kako bi se dokazala mogla dokazati usklađenost s ovom Uredbom, nadzornik ili obrađivač trebao bi voditi dokumentaciju potrebnu za ispunjavanje uvjeta utvrđenih ovom Uredbom trebali bi dokumentirati svaki postupak obrade. Svaki nadzornik i obrađivač trebao bi biti obvezan surađivati s nadzornim tijelima te im na zahtjev omogućiti pristup toj dokumentaciji kako bi se mogla ocijeniti usklađenost s ovom Uredbom . Međutim jednak naglasak i važnost treba staviti na dobru praksu i usklađenost, a ne samo na nadopunu dokumentacije. ti postupci obrade mogli pratiti. [Am. 41]

(66) Kako bi se očuvala sigurnost i spriječila obrada kojom se krši ova Uredba, nadzornik ili obrađivač trebali bi procijeniti rizike vezane uz obradu i provesti mjere za njihovo ublažavanje. Tim bi se mjerama, koje uzimaju u obzir razvoj tehnologije i trošak provedbe, trebala osigurati odgovarajuća razina zaštite u odnosu na rizike i vrstu osobnih podataka koji se trebaju zaštititi. Kod utvrđivanja tehničkih standarda i organizacijskih mjera za osiguranje sigurnosti obrade Komisija bi trebala poticati trebalo bi promicati tehnološku neutralnost, interoperabilnost i inovacije te, ako je potrebno, surađivati poticati suradnju s trećim zemljama. [Am. 42]

(67) Povreda osobnih podataka može, ako se ne rješava pravovremeno i na odgovarajući način, dotičnom pojedincu prouzročiti znatan gospodarski gubitak i društvenu štetu, uključujući i zlouporabu identiteta. Stoga, čim bi nadzornik uoči da je došlo do takve povrede, trebao bi je bez nepotrebnog odgađanja prijaviti povredu nadzornom tijelu, pretpostavlja se u roku ne dužem od 72 sata. i Ako je potrebno moguće u roku od 24 sata prijaviti nadzornom tijelu. Ako to nije moguće učiniti u roku od 24 sata, uz obavijest bi trebalo priložiti obrazloženje razloga za kašnjenje. Pojedince na čije osobne podatke takva povreda može štetno utjecati trebalo bi bez nepotrebnog odgađanja o tome obavijestiti kako bi im se omogućilo poduzimanje potrebnih mjera opreza. Trebalo bi se smatrati da povreda ima štetan učinak na osobne podatke ili privatnost pojedinca u slučajevima kada bi na primjer mogla dovesti do krađe identiteta ili prijevare, fizičke povrede, velikog poniženja ili povrede ugleda. Obavijest bi trebala sadržavati opis prirode povrede osobnih podataka i oblikovati preporuke za dotičnog pojedinca za ublažavanje možebitnih štetnih učinaka. Osobe čiji se podaci obrađuju trebalo bi obavijestiti što je prije razumno moguće, u tijesnoj suradnji s nadzornim tijelom i pridržavajući se smjernica koje je izdalo ono ili neko drugo nadležno tijelo (npr. tijela za prisilno provođenje zakona). Na primjer, kako bi osobe čiji se podaci obrađuju mogle umanjiti rizik od nastanka neposredne štete, potrebno je brzo ih obavijestiti, a duži rok obavješćivanja mogao bi se opravdati potrebom da se poduzmu odgovarajuće mjere za sprečavanje daljnjih i sličnih povreda podataka. [Am. 43]

(68) Kako bi se utvrdilo jesu li nadzorno tijelo i osoba čiji se podaci obrađuju bez nepotrebnog odgađanja obaviješteni o povredi osobnih podataka, trebalo bi provjeriti je li nadzornik proveo i primijenio odgovarajuću tehnološku zaštitu i organizacijske mjere kako bi odmah ustanovio je li došlo do povrede osobnih podataka i brzo, prije nego što je nanesena šteta osobnim i gospodarskim interesima, o tome obavijestio nadzorno tijelo i osobu čiji se podaci obrađuju, uzimajući u obzir prirodu i ozbiljnost povrede osobnih podataka te njezine posljedice za osobu čiji se podaci obrađuju.

(69) Pri utvrđivanju detaljnih pravila u vezi s formatom i postupcima za obavješćivanje o povredama osobnih podataka, trebalo bi voditi računa o okolnostima povrede, kao na primjer jesu li osobni podaci bili zaštićeni odgovarajućim tehničkim zaštitnim mjerama, čime se učinkovito ograničava vjerojatnost zlouporabe identiteta ili drugi oblici zlouporabe. Povrh toga, takvim pravilima i postupcima trebalo bi uzeti u obzir legitimne interese tijela za prisilno provođenje zakona u slučajevima kada bi rano otkrivanje moglo nepotrebno ometati istragu o okolnostima povrede.

(70) Direktivom 95/46/EZ predviđena je opća obveza obavješćivanja nadzornih tijela o obradi osobnih podataka. Nametanjem te obveze stvorio se administrativni i financijski teret, a ona nije u svim slučajevima dovela do poboljšanja zaštite osobnih podataka. Stoga bi trebalo ukinuti tu obvezu općeg obavješćivanja i zamijeniti je djelotvornim postupcima i mehanizmima koji se umjesto toga usredotočuju na one postupke obrade koji bi zbog svoje prirode, opsega i svoje svrhe vjerojatno mogli predstavljati specifičan rizik za prava i slobode osoba čiji se podaci obrađuju. U takvim slučajevima nadzornik ili obrađivač trebao bi prije obrade izvršiti procjenu učinka zaštite podataka, koja bi posebno trebala uključivati predviđene mjere, mjere zaštite i mehanizme za osiguranje zaštite osobnih podataka i za dokazivanje usklađenosti s ovom Uredbom.

(71) To bi se posebno trebalo odnositi na novouspostavljene opsežne sustave podataka namijenjene obradi znatne količine osobnih podataka na regionalnoj, nacionalnoj ili nadnacionalnoj razini koji bi mogli utjecati na veliki broj osoba čiji se podaci obrađuju.

(71.a) Procjene učinka ključni su dio svakog održivog okvira za zaštitu podataka jer osiguravaju da je poduzetništvo od početka svjesno svih mogućih posljedica postupaka obrade njegovih podataka. Ako su procjene učinka temeljite, moguće je bitno ograničiti vjerojatnost bilo kakve povrede osobnih podataka ili postupka koji narušava privatnost. Procjene učinka zaštite podataka trebale bi stoga uzeti u obzir upravljanje cjelokupnim životnim ciklusom osobnih podataka, od prikupljanja preko obrade do brisanja, detaljno opisujući predviđene postupke obrade, rizike za prava i slobode osoba čiji se podaci obrađuju, predviđene mjere za rizike, jamstva, sigurnosne mjere i mehanizme kako bi se osigurala usklađenost s ovom Uredbom. [Am. 44]

(71.b) Nadzornici bi se trebali usredotočiti na zaštitu osobnih podataka, od prikupljanja preko obrade do brisanja, od početka ulažući u održivi okvir za upravljanje podacima i nastavljajući ga sveobuhvatnim mehanizmom za usklađenost. [Am. 45]

(72) U nekim okolnostima može biti smisleno i ekonomično da procjena učinka zaštite podataka obuhvaća više od jednog projekta i tematski šire područje, na primjer ako javna tijela namjeravaju uspostaviti zajedničku aplikaciju ili platformu za obradu ili ako nekoliko nadzornika namjerava uvesti zajedničku aplikaciju ili okruženje za obradu u cijeli jedan industrijski sektor ili segment ili za horizontalnu djelatnost široke uporabe.

(73) Procjene učinka zaštite podataka trebala bi provoditi javna ustanova ili javno tijelo, ako takva procjena već nije provedena u sklopu donošenja nacionalnog zakonodavstva na kojem se temelji izvršavanje zadaća tog javnog tijela i kojim se uređuje dotični postupak ili skup postupaka obrade. [Am. 46]

(74) U slučajevima kad procjena učinka zaštite podataka pokazuje da postupci obrade sadrže visoki stupanj određenih rizika za prava i slobode osoba čiji se podaci obrađuju, na primjer onemogućavanje pojedinca u ostvarivanju njegovih prava ili na temelju određenih novih tehnologija, prije početka postupka obrade trebalo bi se savjetovati sa službenikom za zaštitu podataka ili s nadzornim tijelom o riskantnom postupku obrade koji možda nije u skladu s ovom Uredbom te sastaviti prijedloge za rješavanje takve situacije. Takvo Savjetovanje s nadzornim tijelom trebalo bi se provesti tijekom pripreme zakonodavne mjere nacionalnog parlamenta ili mjere koja se temelji na takvoj zakonodavnoj mjeri i kojom se utvrđuje priroda obrade te predviđaju odgovarajuće mjere zaštite. [Am. 47]

(74.a) Procjene učinka mogu biti od pomoći samo ako nadzornici osiguraju njihovu usklađenost s jamstvima koja su u njima izvorno utvrđena. Nadzornici podataka stoga bi trebali provoditi periodične provjere sukladnosti sa zaštitom podataka pokazujući da su mehanizmi za obradu podataka koji se koriste u skladu jamstvima danim u procjeni učinka zaštite podataka. Nadalje bi trebalo dokazati sposobnost usklađenosti nadzornika podataka sa samostalnim izborom osoba čiji se podaci obrađuju. Osim toga ako provjera pokaže nedosljednost sukladnosti, potrebno ih je istaknuti i dati preporuke za postizanje potpune sukladnosti. [Am. 48]

(75) Ako se obrada provodi u javnom sektoru ili ako obradu u privatnom sektoru provodi veliko poduzeće obrada odnosi na više od 5000 osoba čiji se podaci obrađuju tijekom 12 mjeseci ili ako osnovne djelatnosti poduzeća bez obzira na njegovu veličinu obuhvaćaju postupke obrade osjetljivih podataka ili postupke obrade koji zahtijevaju redovito i sustavno praćenje, službenik bi trebao pomagati nadzorniku ili obrađivaču pri nadzoru unutarnje usklađenosti s ovom Uredbom. Kada se utvrđuje jesu li obrađeni podaci o velikom broju osoba čiji se podaci obrađuju, ne treba uzeti u obzir arhivirane podatke koji su ograničeni na takav način da nisu podložni normalnom pristupu podacima i postupcima obrade nadzornika te se više ne mogu mijenjati. Takvi službenici za zaštitu podataka trebali bi biti u stanju obavljati svoje dužnosti i zadatke samostalne, bez obzira na to jesu li zaposleni kod nadzornika ili ne i bez obzira na to ispunjavaju li tu zadaću u punom radnom vremenu ili ne, trebali bi biti u stanju obavljati svoje dužnosti i zadatke samostalno i biti posebno zaštićeni od otpuštanja s posla . Konačnu odgovornost trebala bi imati uprava organizacije. Sa službenikom za zaštitu podataka trebalo bi se posebno savjetovati prije dizajniranja, nabave, razvoja i uspostavljanja sustava za automatsku obradu osobnih podataka kako bi se osigurala načela tehničkih rješenja zaštite privatnosti i integrirane zaštite privatnosti. [Am. 49]

(75.a) Službenik za zaštitu podataka trebao bi imati barem sljedeće kvalifikacije: opsežno znanje o sadržaju i primjeni zakona o zaštiti podataka, uključujući tehničke i organizacijske mjere i postupke; vladanje tehničkim zahtjevima za tehnička rješenja zaštite privatnosti, integrirane zaštite privatnosti i sigurnosti podataka; znanje specifično za granu industrije u skladu s veličinom nadzornika ili obrađivača i osjetljivosti podataka koje treba obraditi; sposobnost provođenja pregleda, savjetovanja, dokumentacije i analiza log podataka; i sposobnost rada s predstavnicima zaposlenih. Nadzornik bi trebao omogućiti službeniku za zaštitu podataka da sudjeluje u naprednim mjerama obuke za održavanje specijaliziranog znanja koje mu je potrebno za obavljanje njegovih dužnosti. Imenovanje za službenika za zaštitu podataka ne zahtijeva nužno puno radno vrijeme dotičnog zaposlenika. [Am. 50]

(76) Udruge ili druga tijela koja predstavljaju kategorije nadzornika trebalo bi poticati , nakon savjetovanja s predstavnicima zaposlenih, da u skladu s ovom Uredbom i uzimajući u obzir posebne značajke obrade koja se provodi u određenim sektorima izrade kodekse ponašanja kako bi se pospješila djelotvorna primjena ove Uredbe. Takvi kodeksi trebali bi industriji olakšati usklađenost s ovom Uredbom. [Am. 51]

(77) Kako bi se povećala transparentnost i usklađenost s ovom Uredbom, trebalo bi se poticati uvođenje mehanizama certificiranja, pečata i standardiziranih oznaka za zaštitu podataka, što bi osobama čiji se podaci obrađuju omogućilo brzu , pouzdanu i provjerljivu procjenu razine zaštite podataka za relevantne proizvode i usluge. „Europski pečat za zaštitu podataka” trebao bi biti uspostavljen na europskoj razini kako bi stvorio povjerenje među osobama čiji se podaci obrađuju i pravnu sigurnost za nadzornike te kako bi se istovremeno izvozili europski standardi zaštite podataka koji bi neeuropskim poduzećima omogućili da s pomoću certifikata lakše uđu na europska tržišta. [Am. 52]

(78) Prekogranični prijenosi osobnih podataka potrebni su za širenje međunarodne trgovine i međunarodne suradnje. Povećanje tih prijenosa dovelo je do novih izazova i briga u vezi sa zaštitom osobnih podataka. No u slučaju kad se osobni podaci prenose iz Unije u treće zemlje ili u međunarodne organizacije, razina zaštite pojedinaca u Uniji zajamčena ovom Uredbom ne bi smjela biti ugrožena. U svakom slučaju prijenosi u treće zemlje mogu se obavljati samo u potpunoj sukladnosti s ovom Uredbom.

(79) Ovom se Uredbom ne dovode u pitanje međunarodni sporazumi sklopljeni između Unije i trećih zemalja kojima se uređuje prijenos osobnih podataka, uključujući i odgovarajuća jamstva za osobe čiji se podaci obrađuju , osiguravajući primjerenu razinu zaštite temeljnih prava državljana . [Am. 53]

(80) Komisija može odlučiti s učinkom na cijelu Uniju da određene treće zemlje, ili teritorij ili sektor u kojem se vrši obrada u trećoj zemlji ili međunarodna organizacija pružaju odgovarajuću razinu zaštite podataka te na taj način pružaju pravnu sigurnost i ujednačenost u cijeloj Uniji kad je riječ o trećim zemljama ili međunarodnim organizacijama za koje se smatra da pružaju takvu razinu zaštite. U takvim slučajevima prijenosi osobnih podataka u ove zemlje mogu se obaviti bez bilo kakvog dodatnog odobrenja. Komisija također može odlučiti da će povući takvu odluku, uz obavijest i potpuno obrazloženje trećoj zemlji . [Am. 84]

(81) U skladu s temeljnim vrijednostima na kojima počiva Unija, osobito zaštitom ljudskih prava, Komisija bi u svojoj ocjeni treće zemlje trebala uzeti u obzir koliko se u toj trećoj zemlji poštuju vladavina prava, pristup pravosuđu te međunarodne norme i standardi o ljudskim pravima.

(82) Komisija isto tako može prepoznati da treća zemlja, ili teritorij ili sektor u kojem se vrši obrada u toj trećoj zemlji ili međunarodna organizacija ne pružaju odgovarajuću razinu zaštite podataka. Svako zakonodavstvo kojim je predviđen izvanteritorijalni pristup osobnim podacima obrađenim u Uniji bez odobrenja u skladu sa zakonom Unije ili države članice treba smatrati pokazateljem nedostatka odgovarajuće razine zaštite. Prijenos osobnih podataka u tu treću zemlju trebalo bi stoga zabraniti. U tom bi slučaju trebalo predvidjeti postupke za savjetovanja između Komisije i takvih trećih zemalja ili međunarodnih organizacija. [Am. 55]

(83) Ako se ne donese odluka o odgovarajućoj razini zaštite, nadzornik ili obrađivač trebali bi, kako bi se nadoknadilo pomanjkanje zaštite podataka u trećoj zemlji, poduzeti odgovarajuće mjere zaštite za osobu čiji se podaci obrađuju. Takve odgovarajuće mjere zaštite mogu obuhvaćati uporabu obvezujućih pravila poduzeća, standardne klauzule o zaštiti podataka koje je usvojila Komisija, standardne klauzule o zaštiti podataka koje je usvojilo nadzorno tijelo ili ugovorne klauzule koje je odobrilo nadzorno tijelo. Te odgovarajuće mjere zaštite trebale bi podupirati poštovanje prava osobe čiji se podaci obrađuju primjereno obradi unutar EU-a, a posebno u odnosu na ograničenje namjene, pravo pristupa, ispravljanje, brisanje i traženje naknade. Te mjere zaštite naročito bi trebale jamčiti poštovanje načela obrade osobnih podataka , štititi prava osobe čiji se podaci obrađuju i predvidjeti učinkovite mehanizme pravne zaštite, osigurati poštovanje načela tehničke i integrirane zaštite podataka , jamčiti postojanje službenika za zaštitu podataka . ili druge primjerene i razmjerne mjere koje su opravdane na temelju okolnosti postupka prijenosa podataka ili skupa postupaka prijenosa podataka i koje je odobrilo nadzorno tijelo. [Am.56]

(84) Mogućnost koju ima nadzornik ili obrađivač da koristi standardne klauzule o zaštiti podataka koje je usvojila Komisija ili nadzorno tijelo ne bi ga trebala sprečavati u tome da standardne klauzule o zaštiti podataka uključi i u opsežnije ugovore ili da dodaje druge klauzule ili dodatne mjere zaštite , dokle god one izravno ili neizravno ne proturječe standardnim ugovornim klauzulama koje je usvojila Komisija ili nadzorno tijelo ili ne dovode u pitanje temeljna prava i slobode osoba čiji se podaci obrađuju. Standardne klauzule o zaštiti podataka koje je usvojila Komisija mogle bi obuhvatiti različite situacije odnosno prijenose od nadzornika s poslovnim nastanom u Uniji do nadzornika s poslovnim nastanom izvan Unije i od nadzornika s poslovnim nastanom u Uniji do obrađivača, uključujući podobrađivače, s poslovnim nastanom izvan Unije. Nadzornike i obrađivače treba poticati da osiguraju još snažnije mjere zaštite preko dodatnih ugovornih obveza koje nadopunjuju standardne klauzule o zaštiti. [Am. 57]

(85) Grupa poduzetnika bi za svoje međunarodne prijenose iz Unije u organizacije unutar iste grupe poduzetnika trebala moći primijeniti odobrena obvezujuća pravila poduzeća dokle god takva pravila poduzeća obuhvaćaju temeljna načela i ostvariva prava kojima se osiguravaju odgovarajuće mjere zaštite odgovarajuća jamstva za prijenose ili skup prijenosa osobnih podataka. [Am. 58]

(86) Trebalo bi predvidjeti mogućnost prijenosa u određenim okolnostima ako je osoba čiji se podaci obrađuju dala svoju suglasnost, ako je prijenos potreban na temelju ugovora ili pravnog zahtjeva, ako je potreban radi važnog javnog interesa utvrđenog zakonodavstvom Unije države članice ili ako se obavlja iz evidencije koja je u skladu sa zakonom namijenjena uvidu javnosti ili osoba koje imaju legitimni interes. U potonjem slučaju takav prijenos ne bi smio uključivati cjelokupne podatke ili cjelokupne skupove podataka koje sadrži evidencija i, ako je evidencija namijenjena uvidu osoba koje imaju legitimni interes, prijenos bi se trebao obaviti samo na zahtjev tih osoba ili ako su te osobe primatelji , u potpunosti uzimajući u obzir interese i temeljna prava osobe čiji se podaci obrađuju . [Am. 59]

(87) Ta bi odstupanja posebno trebala važiti za prijenose podataka koji su potrebni radi zaštite nekog važnog javnog interesa, na primjer u slučajevima međunarodnog prijenosa podataka između tijela za zaštitu tržišnog natjecanja, poreznih i carinskih tijela, tijela za financijski nadzor, između službi nadležnih za pitanja socijalnog osiguranja ili javnog zdravlja , ili prijenosa u nadležna javna tijela za sprečavanje, istragu, otkrivanje i progon kaznenih djela , uključujući za sprečavanje pranja novca i borbu protiv financiranja terorista . Prijenos osobnih podataka jednako tako treba smatrati zakonitim ako je potrebno zaštititi interes koji je ključan za život osobe čiji se podaci obrađuju ili neke druge osobe ako osoba čiji se podaci obrađuju nije sposobna dati svoju suglasnost. Prijenos osobnih podataka radi tako važnog javnog interesa treba upotrebljavati samo za povremene prijenose. U svakom slučaju treba provesti pažljivu procjenu svih okolnosti prijenosa. [Am. 60]

(88) Prijenosi koji se ne mogu opisati kao česti ili masivni mogli bi se također obavljati zbog legitimnih interesa nadzornika ili obrađivača ako su oni ocijenili sve okolnosti oko prijenosa podataka. Za obrade u svrhe povijesnog, statističkog i znanstvenog istraživanja, trebala bi se uzeti u obzir opravdana očekivanja društva u pogledu povećanja znanja. [Am. 61]

(89) U svakom slučaju, ako Komisija nije donijela odluku o odgovarajućoj razini zaštite podataka u trećoj zemlji, nadzornik ili obrađivač trebali bi iskoristiti rješenja kojima se osobama čiji se podaci obrađuju pravno obvezujuće jamči da će i nakon prijenosa tih podataka moći ostvariti temeljna prava i mjere zaštite pri obradi svojih podataka u Uniji , u toj mjeri da obrada nije masivna, da se ne ponavlja i da nije strukturalna . To jamstvo treba uključivati financijsku naknadu štete u slučajevima gubitka ili neovlaštenog pristupa ili obrade podataka te obvezu, neovisno o nacionalnom zakonodavstvu, osiguravanja potpunih pojedinosti o svim pristupima podacima javnih tijela u trećim zemljama. [Am. 62]

(90) Neke treće zemlje donose zakone, uredbe i druge zakonodavne instrumente kojima se izravno uređuju aktivnosti obrade podataka koje provode fizičke i pravne osobe u nadležnosti država članica. Primjenom tih zakona, uredbi i drugih zakonodavnih instrumenata izvan državnog teritorija moglo bi se kršiti međunarodno pravo i otežati postizanje zaštite pojedinaca koja se ovom Uredbom jamči u Uniji. Prijenosi bi se trebali dopustiti samo onda kad su zadovoljeni uvjeti ove Uredbe za prijenos u treće zemlje. To može na primjer biti slučaj kad je otkrivanje podataka potrebno zbog važnog javnog interesa utvrđenog zakonodavstvom Unije ili države članice kojemu podliježe nadzornik. Uvjete postojanja važnog javnog interesa trebala bi detaljnije odrediti Komisija delegiranim aktom. U slučajevima u kojima su nadzornici ili obrađivači suočeni s proturječnim zahtjevima usklađenosti između nadležnosti Unije s jedne strane i nadležnosti treće zemlje s druge strane Komisija bi trebala osigurati da primat uvijek ima pravo Unije. Komisija bi trebala osigurati vodstvo i pomoć nadzorniku i obrađivaču te nastojati riješiti pravni sukob s trećom zemljom o kojoj je riječ. [Am. 63]

(91) Prekogranično kretanje osobnih podataka može dodatno ugroziti sposobnost pojedinaca da ostvare prava na zaštitu podataka posebno kako bi se zaštitili od njihova nezakonitog korištenja ili otkrivanja. Nadzorna tijela mogu istodobno ustanoviti da nisu u mogućnosti obraditi žalbe ili provesti istrage vezane uz aktivnosti izvan svojih granica. Njihove napore u pogledu prekogranične suradnje također mogu otežati nedovoljne ovlasti za sprečavanje i preinaku, neusklađeni pravni sustavi i praktične prepreke kao što su ograničena sredstva. Stoga je potrebno promicati bližu suradnju između nadzornih tijela za zaštitu podataka kako bi im se pomoglo u razmjeni informacija i provođenju istraga zajedno sa stranim partnerima.

(92) Uspostava nadzornih tijela u državama članicama, koje potpuno samostalno provode svoje funkcije ključna je sastavnica zaštite pojedinaca pri obradi njihovih osobnih podataka. Države članice smiju uspostaviti više od jednoga nadzornog tijela, ako to odražava njihovu ustavnu, organizacijsku i administrativnu strukturu. Tijelo mora imati odgovarajuće financijske i osobne resurse kako bi u potpunosti izvršavalo svoju ulogu, uzimajući u obzir broj stanovništva i količinu obrade osobnih podataka. [Am. 64]

(93) Ako neka država članica uspostavi nekoliko nadzornih tijela, trebala bi i zakonski utvrditi mehanizme kojima se osigurava učinkovito sudjelovanje tih nadzornih tijela u mehanizmu za usklađivanje. Kako bi se osigurala brza i neometana suradnja s drugim nadzornim tijelima, Europskim odborom za zaštitu podataka i Komisijom, ta bi država članica posebno trebala odrediti nadzorno tijelo koje će biti jedinstvena kontaktna točka za učinkovito sudjelovanje tih tijela u mehanizmu.

(94) Svako bi nadzorno tijelo trebalo imati odgovarajuće financijske i ljudske resurse, pridajući posebnu pozornost osiguravanju odgovarajućih tehničkih i pravnih vještina osoblja, prostore i infrastrukturu, koji su neophodni za učinkovitu provedbu njihovih zadataka, uključujući i zadatke vezane uz obostranu pomoć i suradnju s ostalim nadzornim tijelima u cijeloj Uniji. [Am. 65]

(95) Opći uvjeti za članove nadzornog tijela trebali bi biti utvrđeni zakonom u svakoj državi članici te bi osobito trebali predvidjeti da te članove imenuje ili parlament ili vlada dotične države članice , vodeći brigu o smanjenju mogućnosti političkog uplitanja, te bi trebali obuhvaćati pravila o osobnim kvalifikacijama članova , izbjegavanju konflikta interesa i njihovom položaju. [Am. 66]

(96) Nadzorna tijela trebala bi nadzirati primjenu odredbi u skladu s ovom Uredbom i pridonositi njezinoj dosljednoj primjeni u cijeloj Uniji kako bi se zaštitile fizičke osobe pri obradi njihovih osobnih podataka i olakšao slobodni protok osobnih podataka na unutarnjem tržištu. U tu svrhu nadzorna tijela trebala bi surađivati jedni s drugima i s Komisijom.

(97) Ako se obrada osobnih podataka u sklopu aktivnosti poslovnog nastana nadzornika ili obrađivača u Uniji provodi u više država članica, kao jedinstvena kontaktna točka i vodeće tijelo nadležno za nadzor aktivnosti nadzornika ili obrađivača u cijeloj Uniji i za donošenje odgovarajućih relevantnih odluka trebalo bi biti nadležno samo jedno nadzorno tijelo, čime bi se povećala dosljednost primjene, pružila pravna sigurnost i smanjio administrativni teret za takve nadzornike ili obrađivače. [Am. 67]

(98) Nadležno Vodeće tijelo, koje bi pružalo sve usluge na jednom mjestu, trebalo bi biti nadzorno tijelo države članice u kojoj nadzornik ili obrađivač ima svoj glavni poslovni nastan ili svojeg predstavnika . Europski odbor za zaštitu podataka na zahtjev nadležnog tijela u određenim slučajevima može imenovati vodeće tijelo preko mehanizma za usklađivanje. [Am. 68]

(98.a) Osobe čiji se podaci obrađuju i čije podatke obrađuje nadzornik ili obrađivač u drugoj državi članici trebale bi imati mogućnost žalbe nadzornom tijelu koje izaberu. Vodeće tijelo za zaštitu podataka trebalo bi uskladiti svoj rad s radom ostalih uključenih tijela. [Am. 69]

(99) Premda se ova Uredba također primjenjuje na aktivnosti nacionalnih sudova, kako bi se zaštitila neovisnost sudaca u izvršenju njihovih pravosudnih zadaća, nadležnost nadzornih tijela ne bi trebala obuhvaćati obradu osobnih podataka kada sudovi djeluju u okviru svoje sudske nadležnosti. No ovo bi izuzeće trebalo ograničiti isključivo na pravosudne djelatnosti u sudskim postupcima i ne bi ga se trebalo primjenjivati na ostale aktivnosti u kojima bi suci u skladu s nacionalnim zakonodavstvom mogli sudjelovati.

(100) Kako bi se osiguralo dosljedno nadziranje i provođenje ove Uredbe u cijeloj Uniji, nadzorna bi tijela u svakoj državi članici trebala imati iste dužnosti i izvršne ovlasti, uključujući istražne ovlasti, ovlasti pravno obvezujućeg posredovanja, donošenja odluka i sankcija, osobito u slučajevima žalbi pojedinaca, te ovlasti sudjelovanja u sudskim postupcima. Istražne ovlasti nadzornih tijela u pogledu pristupa prostorijama trebale bi se izvršavati u skladu sa zakonodavstvom Unije i nacionalnim zakonodavstvom. To se posebno odnosi na obvezu dobivanja prethodnog sudskog odobrenja.

(101) Svako nadzorno tijelo trebalo bi razmotriti žalbe koje uloži bilo koja osoba čiji se podaci obrađuju ili udruga koja djeluje u javnom interesu i istražiti to pitanje. Istragu pokrenutu na temelju žalbe treba sukladno sudskom preispitivanju provesti u mjeri koja je za određeni slučaj primjerena. Nadzorno tijelo trebalo bi u razumnom roku obavijestiti osobu čiji se podaci obrađuju ili udrugu o tijeku i ishodu žalbe. Ako slučaj zahtijeva daljnju provjeru ili usklađivanje s drugim nadzornim tijelom, osobu čiji se podaci obrađuju trebalo bi obavijestiti da je provjera u tijeku. [Am. 70]

(102) Aktivnosti nadzornih tijela s ciljem podizanja svijesti javnosti trebale bi obuhvaćati posebne mjere namijenjene nadzornicima i obrađivačima, uključujući mikro, mala i srednja poduzeća te osobe čiji se podaci obrađuju.

(103) Nadzorna tijela trebala bi si međusobno pomagati u obavljanju svojih dužnosti i pružati si međusobnu pomoć kako bi se zajamčila dosljedna primjena i provedba ove Uredbe na unutarnjem tržištu.

(104) Svako nadzorno tijelo trebalo bi imati pravo na sudjelovanje u zajedničkim mjerama nadzornih tijela. Nadzorno tijelo kojemu je upućen zahtjev trebalo bi biti dužno odgovoriti na zahtjev u utvrđenom roku.

(105) Kako bi se osigurala dosljedna primjena ove Uredbe u cijeloj Uniji, za suradnju nadzornih tijela jednih s drugima i Komisije trebao bi se uspostaviti mehanizam za usklađivanje. Taj bi se mehanizam trebao primjenjivati osobito u slučajevima kad nadzorno tijelo namjerava poduzeti mjeru u vezi s postupcima obrade koji su povezani s ponudom proizvoda ili usluga u nekoliko država članica osobama čiji se podaci obrađuju ili s praćenjem takvih osoba ili koji bi mogli znatno utjecati na slobodni protok osobnih podataka. Mehanizam bi se također trebao primjenjivati u slučajevima kad bilo koje nadzorno tijelo ili Komisija zatraži da se predmet razmotri u okviru mehanizma za usklađivanje. Nadalje, osobe čiji se podaci obrađuju trebale bi imati pravo ostvarivanja usklađenosti ako smatraju da mjera tijela za zaštitu podataka države članice nije ispunila taj kriterij. Taj mehanizam ne bi smio dovoditi u pitanje druge mjere koje Komisija može poduzeti izvršavajući svoje ovlasti u skladu s Ugovorima. [Am. 71]

(106) Pri primjeni mehanizma za usklađivanje Europski odbor za zaštitu podataka trebao bi, ako je tako odlučila većina njegovih članova ili ako je to zatražilo nadzorno tijelo ili Komisija, u utvrđenom roku objaviti mišljenje.

(106.a) Kako bi se osigurala dosljedna primjena ove Uredbe, Europski odbor za zaštitu podataka može u pojedinačnim slučajevima donijeti odluku koja je obvezujuća za nadležna nadzorna tijela. [Am. 72]

(107) Kako bi se osigurala usklađenost s ovom Uredbom, Komisija može donijeti mišljenje o tom pitanju ili odluku kojom se od nadzornog tijela zahtijeva da povuče svoj nacrt mjere. [Am. 73]

(108) Može doći do potrebe da se hitno djeluje kako bi se zaštitili interesi osoba čiji se podaci obrađuju, posebno ako postoji opasnost da bi ostvarivanje prava osobe čiji se podaci obrađuju moglo biti znatno otežano. Stoga bi nadzorno tijelo trebalo imati mogućnost da pri primjeni mehanizma za usklađivanje usvoji privremene mjere s utvrđenim razdobljem valjanosti.

(109) Primjena ovog mehanizma trebala bi biti uvjet za pravnu valjanost i izvršenje određene odluke od strane nadzornog tijela. U drugim slučajevima od prekogranične važnosti uzajamna pomoć i zajedničke istrage između dotičnih nadzornih tijela mogu se provoditi na bilateralnoj i multilateralnoj osnovi, a da se pritom ne pokreće mehanizam za usklađivanje.

(110) Na razini Unije trebao bi se osnovati Europski odbor za zaštitu podataka. On bi trebao zamijeniti Radnu skupinu za zaštitu pojedinaca pri obradi osobnih podataka koja je uspostavljena Direktivom 95/46/EZ. Trebao bi se sastojati od predsjednika nadzornog tijela svake države članice i europskog nadzornika za zaštitu podataka. Komisija bi trebala sudjelovati u njegovim aktivnostima. Europski odbor za zaštitu podataka trebao bi pridonijeti dosljednoj primjeni ove Uredbe u cijeloj Uniji, između ostalog savjetovanjem institucija Unije Komisije i promicanjem suradnje između nadzornih tijela u cijeloj Uniji , uključujući koordinaciju zajedničkih mjera . Europski odbor za zaštitu podataka trebao bi biti neovisan u izvršavanju svojih zadaća. Europski odbor za zaštitu podataka trebao bi ojačati dijalog sa zainteresiranim dionicima kao što su udruge osoba čiji se podaci obrađuju, organizacije potrošača, nadzornici podataka i ostali relevantni dionici i stručnjaci. [Am. 74]

(111) Svaka osoba Osobe čiji se podaci obrađuju trebale bi imati pravo uložiti žalbu nadzornome tijelu u bilo kojoj državi članici te pravo na učinkovit pravni lijek u skladu s člankom 47. Povelje ako smatra smatraju da su im joj prava prema ovoj Uredbi povrijeđena ili u slučaju kad nadzorno tijelo ne reagira na žalbu ili ne poduzima nikakve korake, a kad je takav korak potreban za zaštitu prava osobe čiji se podaci obrađuju. [Am. 75]

(112) Svako tijelo, organizacija ili udruga koja djeluje u javnom interesu kojoj je cilj zaštiti prava i interese osoba čiji se podaci obrađuju u vezi sa zaštitom njihovih podataka te je osnovana u skladu sa zakonodavstvom države članice trebala bi imati pravo uložiti žalbu nadzornom tijelu u ime osoba čiji se podaci obrađuju i uz njihovu suglasnost ili ostvariti pravo na pravni lijek u ime ako ju je za to ovlastila osoba čiji se podaci obrađuju, ili imati pravo, neovisno o žalbi osobe čiji se podaci obrađuju, uložiti vlastitu žalbu ako smatra da je došlo do povrede ove Uredbe osobnih podataka. [Am. 76]

(113) Svaka fizička ili pravna osoba trebala bi imati pravo na pravni lijek protiv odluka nadzornog tijela koje se odnose na nju. Za postupke protiv nadzornog tijela trebali bi biti nadležni sudovi države članice u kojoj nadzorno tijelo ima poslovni nastan.

(114) Kako bi se ojačala sudska zaštita osoba čiji se podaci obrađuju u slučajevima kad nadležno nadzorno tijelo ima poslovni nastan u drugoj državi članici od one u kojoj osoba čiji se podaci obrađuju boravi, dotična osoba može zatražiti od ovlastiti bilo koje tijelo, organizaciju ili udrugu koja djeluje u javnom interesu da kojeg tijela, organizacije ili udruge kojoj je cilj zaštiti prava i interese osoba čiji se podaci obrađuju u vezi sa zaštitom njihovih podataka da u njezino ime na nadležnom sudu u drugoj državi članici pokrene postupak protiv tog nadzornog tijela. [Am. 77]

(115) U slučajevima kad nadležno nadzorno tijelo s poslovnim nastanom u drugoj državi članici ne reagira ili ne poduzima dostatne mjere u pogledu žalbe, osoba čiji se podaci obrađuju može zatražiti od nadzornog tijela u državi članici njezinog uobičajenog boravišta da na nadležnom sudu u drugoj državi članici pokrene postupak protiv tog nadzornog tijela. To se ne primjenjuje na osobe koje nemaju prebivalište u EU-u. Nadzorno tijelo kojemu je podnesen zahtjev može na temelju sudskog preispitivanja odlučiti je li primjereno udovoljiti zahtjevu ili ne. [Am. 78]

(116) Tužitelj bi trebao imati pravo pokrenuti postupke protiv nadzornika ili obrađivača na sudu u državi članici u kojoj nadzornik ili obrađivač ima poslovni nastan ili, u slučaju boravišta u EU-u, u kojoj osoba čiji se podaci obrađuju boravi, osim ako je nadzornik javno tijelo Unije ili države članice koje izvršava svoje javne ovlasti. [Am. 79]

(117) Ako postoje naznake da se na sudovima u različitim državama članicama vode usporedni postupci, sudovi bi trebali biti dužni stupiti u kontakt jedan s drugim. Sudovi bi trebali imati mogućnost obustaviti postupak ako se u drugoj državi članici vodi usporedni postupak. Države članice trebale bi zajamčiti učinkovite sudske postupke s mogućnošću brzog donošenja mjera za otklanjanje ili sprečavanje povrede ove Uredbe.

(118) Svaku štetu , materijalnu ili nematerijalnu, koju osoba može pretrpjeti kao rezultat nezakonite obrade trebao bi nadoknaditi nadzornik ili obrađivač, kojeg se može izuzeti od odgovornosti samo ako dokaže da on nije odgovoran za štetu, osobito u slučaju kad utvrdi grešku osobe čiji se podaci obrađuju ili u slučaju više sile. [Am. 80]

(119) Sankcije bi trebalo nametnuti svakoj osobi, bilo da je uređena privatnim ili javnim pravom, koja se ne pridržava ove Uredbe. Države članice trebale bi zajamčiti učinkovite, proporcionalne i odvraćajuće sankcije te bi morale poduzeti sve mjere za njihovo provođenje. Pravila o sankcijama trebala bi biti uvjetovana odgovarajućim postupovnim zaštitnim mjerama u skladu s općim načelima zakonodavstva Unije i Povelje, uključujući ona koja se odnose na pravo na učinkovit pravni lijek, odgovarajući postupak i načelo „ne bis in idem”. [Am. 81]

(119.a) U primjenjivanju sankcija države članice trebale bi u potpunosti poštovati odgovarajuće postupovne zaštitne mjere, uključujući pravo na učinkovit pravni lijek, odgovarajući postupak i načelo „ne bis in idem”. [Am. 82]

(120) Kako bi se ojačale i uskladile upravne sankcije za povredu ove Uredbe, svako nadzorno tijelo trebalo bi imati ovlast propisati sankcije za upravne prekršaje. U ovoj bi se Uredbi trebali navesti ti prekršaji i gornja granica s njima povezanih upravnih kazni, koja bi se trebala odrediti u svakom pojedinačnom slučaju u odnosu na konkretne okolnosti slučaja, osobito uzimajući u obzir prirodu, ozbiljnost i trajanje povrede. Mehanizam za usklađivanje također se može koristiti za umanjivanje razlika u primjeni upravnih sankcija.

(121) Kad god je potrebno, trebalo bi osigurati izuzeća i odstupanja za obradu osobnih podataka koja se provodi isključivo u svrhe novinarstva ili književnog ili umjetničkog izražavanja trebalo bi se primjenjivati izuzeće od zahtjeva određenih odredbi ove Uredbe kako bi se uskladilo pravo na zaštitu osobnih podataka s pravom na slobodu izražavanja i posebno s pravom na primanje i davanje informacije, kako je posebno zajamčeno člankom 11. Povelje. To bi se posebno trebalo primjenjivati na obradu osobnih podataka na audiovizualnom području te u novinskim i medijskim arhivima. Stoga bi države članice trebale donijeti zakonodavne mjere kojima bi se predvidjela izuzeća i odstupanja potrebna radi usklađivanja tih temeljnih prava. Takva bi izuzeća i odstupanja države članice trebale usvojiti o općim načelima, o pravima osoba čiji se podaci obrađuju, o nadzorniku i obrađivaču, o prijenosu podataka u treće zemlje ili međunarodne organizacije, o neovisnim nadzornim tijelima te o suradnji i usklađenosti te o posebnim slučajevima obrade podataka . To međutim ne bi trebalo navesti države članice na to da predvide izuzeća od drugih odredbi ove uredbe. Kako bi se vodilo računa o važnosti prava na slobodu mišljenja u svakom demokratskom društvu, pojmove vezane uz tu slobodu, kao što je novinarstvo, potrebno je tumačiti u širokom smislu kako bi se pokrile sve . Stoga bi države članice u svrhu izuzeća i odstupanja predviđenih ovom Uredbom trebale označiti aktivnosti kao „novinarske” ako je predmet tih djelatnosti s ciljem otkrivanja otkrivanje informacija, mišljenja ili ideja javnosti bez obzira na medij kojim se one prenose , uzimajući u obzir i tehnološki razvoj . Te aktivnosti ne bi smjele biti ograničene na medijske poduzetnike te se mogu i ne moraju obavljati u cilju stjecanja dobiti. [Am. 83]

(122) Za obradu osobnih podataka o zdravstvenom stanju kao posebne kategorije podataka kojima je potreban veći stupanj zaštite često se može naći niz legitimnih razloga vezanih uz dobrobit pojedinaca i cijelog društva, posebno kad je riječ o osiguravanju neprekinute prekogranične zdravstvene zaštite. Stoga bi se ovom Uredbom trebali utvrditi usklađeni uvjeti za obradu osobnih podataka o zdravstvenom stanju uz primjenu određenih i odgovarajućih mjera za zaštitu temeljnih prava i osobnih podataka pojedinaca. To uključuje pravo pojedinaca na pristup svojim osobnim podacima o zdravstvenom stanju, na primjer podacima u zdravstvenim kartonima koji sadrže informacije poput dijagnoze, rezultata pretraga, liječničkih mišljenja, liječenja ili zahvata.

(122.a) Stručnjak koji obrađuje osobne podatke o zdravstvenom stanju trebao bi, ako je moguće, primiti anonimizirane ili pseudonimizirane podatke, čime identitet osobe ostaje poznat samo liječniku opće prakse ili specijalistu koji je zatražio takvu obradu podataka. [Am. 84]

(123) Zbog javnog interesa na području javnog zdravlja može biti potrebno provesti obradu osobnih podataka o zdravstvenom stanju bez suglasnosti osobe čiji se podaci obrađuju. U tom kontekstu „javno zdravlje” trebalo bi se tumačiti na način kako je definirano u Uredbi (EZ) br. 1338/2008 Europskog parlamenta i Vijeća (9) od 16. prosinca 2008. o statistici Zajednice o javnom zdravlju i zdravlju i sigurnosti na radu, što uključuje sve elemente vezane uz zdravlje kao što su zdravstveno stanje, uključujući pobol i invalidnost, faktore koji utječu na zdravstveno stanje, potrebe zdravstvene zaštite, sredstva dodijeljena zdravstvenim službama, pružanje zdravstvenih usluga i opći pristup njima kao i troškove zdravstvene zaštite i njezino financiranje te uzroke smrtnosti. Takva obrada osobnih podataka o zdravstvenom stanju zbog javnog interesa ne bi smjela dovesti do toga da treće strane kao što su poslodavci, osiguravajuća društva i banke obrađuju osobne podatke u druge svrhe. [Am. 85]

(123.a) Obrada osobnih podataka o zdravstvenom stanju kao posebna kategorija podataka može biti potrebna radi povijesnog, statističkog ili znanstvenog istraživanja. Stoga je ovom Uredbom predviđeno izuzeće od zahtjeva za suglasnost u slučajevima istraživanja od važnog javnog interesa. [Am. 86]

(124) Opća načela zaštite pojedinaca pri obradi osobnih podataka trebala bi se primjenjivati i pri zapošljavanju i u kontekstu socijalne sigurnosti . Države članice trebale bi imati mogućnost uređivanja obrade . Kako bi se uredila obrada osobnih podataka zaposlenika pri zapošljavanju i obrade osobnih podataka u kontekstu socijalne sigurnosti , države članice trebale bi imati mogućnosti da u skladu s pravilima i minimalnim standardima iz ove Uredbe. Ako u državi članici o kojoj je riječ postoji zakonska osnova za uređivanje pitanja u vezi sa zapošljavanjem prema ugovoru između predstavnika zaposlenih i uprave poduzeća ili poduzetnika u vladajućem položaju grupe poduzetnika (kolektivni ugovor) ili u skladu s Direktivom 2009/38/EZ Europskog parlamenta i Vijeća (10) , obrada ovom Uredbom zakonski utvrde posebna pravila za obradu osobnih podataka u sektoru zapošljavanja pri zapošljavanju može biti uređena i takvim ugovorom . [Am. 87]

(125) Kako bi obrada osobnih podataka u svrhe povijesnog, statističkog ili znanstvenog istraživanja bila zakonita, pri njezinom bi se provođenju trebalo poštovati drugo relevantno zakonodavstvo kao što je ono o kliničkim ispitivanjima.

(125.a) Osobni podaci mogu se obrađivati i naknadno u arhivskim službama čija je glavna zadaća ili obveza prikupljanje, pohranjivanje i pružanje informacija, korištenje i širenje arhive u javnom interesu. Zakonodavstvo države članice trebalo bi uskladiti pravo na zaštitu osobnih podataka s pravilima o arhivima i javnom pristupu administrativnim informacijama. Države članice trebale bi poticati sastavljanje pravila, naročito od strane Europske arhivske grupe, kako bi se zajamčila povjerljivost podataka s obzirom na treće strane te autentičnost, cjelovitost i pravilno pohranjivanje podataka. [Am. 88]

(126) Znanstvena istraživanja u smislu ove Uredbe trebala bi uključivati temeljna istraživanja, primijenjena istraživanja i privatno financirana istraživanja te bi osim toga trebala uzimati u obzir cilj Unije iz članka 179. stavka 1. Ugovora o funkcioniranju Europske unije u pogledu izgradnje Europskog istraživačkog prostora. Obrada osobnih podataka u svrhe povijesnog, statističkog i znanstvenog istraživanja ne bi smjela dovesti do toga da se osobne podatke obrađuje u druge svrhe, osim uz suglasnost osoba čiji se podaci obrađuju ili na temelju zakonodavstva Unije ili države članice. [Am. 89]

(127) U pogledu ovlasti nadzornih organa da od nadzornika ili obrađivača dobiju pristup osobnim podacima ili njihovim prostorijama, države članice mogu u skladu s ovom Uredbom zakonski propisati posebna pravila kako bi zajamčile obveze čuvanja profesionalnih i drugih vrsta tajni, ako je to potrebno radi usklađivanja prava na zaštitu osobnih podataka s obvezom čuvanja profesionalne tajne.

(128) Ovom se Uredbom poštuje i ne dovodi u pitanje status crkava i vjerskih udruga ili zajednica u zakonodavstvu država članica, kao što je priznato u članku 17. Ugovora o funkcioniranju Europske unije. Ako crkva u državi članici u trenutku stupanja na snagu ove Uredbe primijeni sveobuhvatna odgovarajuća pravila u pogledu zaštite pojedinaca pri obradi osobnih podataka, ta bi se pravila trebala i dalje primjenjivati ako su usklađena s ovom Uredbom i biti priznata kao sukladna . Takve crkve i vjerske udruge trebale bi biti dužne uspostaviti potpuno neovisno nadzorno tijelo. [Am. 90]

(129) Kako bi se ostvarili ciljevi iz ove Uredbe, odnosno zaštitila temeljna prava i slobode fizičkih osoba, osobito njihovo pravo na zaštitu osobnih podataka, te kako bi se osigurao slobodni protok osobnih podataka u Uniji, na Komisiju bi trebalo prenijeti ovlast za donošenje akata u skladu s člankom 290. Ugovora o funkcioniranju Europske unije. Štoviše, delegirane akte trebalo bi donositi u vezi s određivanjem uvjeta za način koji se temelji na ikonama za pružanje informacija sa zakonitošću obrade; radi određivanja kriterija i preduvjeta u pogledu suglasnosti djeteta; pri obradi posebnih kategorija podataka; radi određivanja kriterija i preduvjeta za pretjerane zahtjeve i pristojbe za ostvarivanje prava osoba čiji se podaci obrađuju; kriterija i preduvjeta u pogledu obavješćivanja osoba čiji se podaci obrađuju te u vezi s pravom izjavljujući da su kodeksi ponašanja pristupa; u vezi s pravom na zaborav i brisanje; u vezi s mjerama koje se temelje na profiliranju; u skladu s Uredbom radi određivanja kriterija i preduvjeta u vezi s odgovornošću nadzornika i zaštitom podataka pomoću tehnike i integrirane zaštite; u vezi s obrađivačem; radi određivanja kriterija i preduvjeta za dokumentaciju i sigurnost obrade; kriterija i preduvjeta za utvrđivanje povrede osobnih podataka i za obavješćivanje nadzornog tijela o tome te za okolnosti u kojima bi povreda osobnih podataka vjerojatno imala štetan učinak na osobu čiji se podaci obrađuju; kriterija i preduvjeta za postupke obrade koji zahtijevaju procjenu učinka obrade; kriterija i preduvjeta za utvrđivanje visokog stupnja određenih rizika za koje je potrebno prethodno savjetovanje; u vezi s imenovanjem službenika za zaštitu podataka i njegovim zadaćama; u vezi s kodeksom ponašanja; radi utvrđivanja kriterija i preduvjeta za mehanizme certificiranja; odgovarajuće razine zaštite koju pruža treća zemlja ili međunarodna organizacija; kriterija i preduvjeta za prijenose na temelju obvezujućih pravila poduzeća; u vezi s odstupanjima za prijenos podataka; u vezi s upravnim sankcijama; u vezi s obradom obrade podataka u zdravstvene svrhe; u vezi obrade podataka pri zapošljavanju i obrade u svrhe povijesnog, statističkog i znanstvenog istraživanja. Posebno je važno da Komisija tijekom svog pripremnog rada provede odgovarajuća savjetovanja, uključujući i ona na stručnoj razini , naročito s Europskim odborom za zaštitu podataka . Prilikom . Kod pripreme i izrade sastavljanja delegiranih akata Komisija bi trebala osigurati da se relevantni dokumenti Europskom parlamentu i Vijeću šalju istodobno, na vrijeme pravovremeno i na primjeren način dostave Europskom parlamentu i Vijeću. [Am. 91]

(130) Kako bi se osigurali jednaki uvjeti za provedbu ove Uredbe, na Komisiju bi se trebale prenijeti provedbene ovlasti za: utvrđivanje standardnih obrazaca za pojedine metode stjecanja provjerljivog pristanka suglasnost djeteta; standardne postupke i obrasce za obavješćivanje osoba čiji se podaci obrađuju o ostvarivanju njihovih ostvarivanje prava, standardne obrasce za obavješćivanje osoba čiji se podaci obrađuju o osobnim podacima ; standardne obrasce za obavješćivanje osoba čiji se podaci obrađuju; standardne obrasce i postupke u vezi s pravom pristupa; pravom na prijenos podataka; standardne obrasce u vezi s dokumentacijom koju vode nadzornik i obrađivač ; odgovornošću nadzornika za zaštitu podataka pomoću tehnike i integrirane zaštite te za dokumentaciju; posebne uvjete za sigurnost obrade; standardni obrazac za obavješćivanje format i postupke za obavješćivanje nadzornog tijela u slučaju povrede osobnih podataka te za dokumentiranje povrede obavješćivanje osobe čiji se podaci obrađuju o povredi osobnih podataka; standarde i postupke za procjenu učinka zaštite podataka; obrasce i postupke za prethodno savjetovanje i obavijest nadzornom tijelu . odobrenje i prethodno savjetovanje; tehničke standarde i mehanizme certificiranja; odgovarajuću razinu zaštite koju osigurava treća zemlja ili teritorij ili sektor u kojem se vrši obrada u toj trećoj zemlji ili međunarodna organizacija; otkrivanje podataka koje nije dopušteno u zakonodavstvu Unije; međusobnu pomoć; zajedničke operacije; odluke u sklopu mehanizma za usklađivanje. Te bi se ovlasti trebale izvršavati u skladu s Uredbom (EU) br. 182/2011 Europskog parlamenta i Vijećaod 16. veljače 2011. o pravilima i općim načelima na temelju kojih države članice nadziru Komisiju u izvršavanju njezinih provedbenih ovlasti (11) . U skladu s tim Komisija bi trebala razmotriti posebne mjere za mikro, mala i srednja poduzeća. [Am. 92]

(131) Tijekom postupka ispitivanja trebalo bi utvrditi pojedinačne standardne obrasce pojedinačne standardne obrasce: za pojedine metode stjecanja provjerljivog pristanka suglasnost djeteta; za obavješćivanje standardne postupke i obrasce za ostvarivanje prava osoba čiji se podaci obrađuju; o ostvarivanju njihovih prava ; standardne obrasce za obavješćivanje osoba čiji se podaci obrađuju; za pravo pristupa uključujući one za obavješćivanje osobe čiji se podaci obrađuju o osobnim podacima; standardne obrasce i postupke u vezi s dokumentacijom koju vode nadzornik i obrađivač ; pravom pristupa, pravom na prijenos podataka; standardne obrasce u vezi s odgovornošću nadzornika za zaštitu podataka pomoću tehnike i integrirane zaštite te za dokumentaciju; posebne uvjete sigurnosti obrade; standardni za obavješćivanje format i postupke obavješćivanja nadzornog tijela u slučaju povrede osobnih podataka te obavješćivanje osobe čiji se podaci obrađuju o povredi za dokumentiranje povrede osobnih podataka; standarde i postupke za procjenu učinka zaštite podataka; obrasce i postupke za prethodno savjetovanje i obavijest nadzornom tijelu odobrenje i prethodno savjetovanje; tehničke standarde i mehanizme certificiranja; odgovarajuću razinu zaštite koju osigurava treća zemlja ili teritorij ili sektor na kojem se vrši obrada u toj trećoj zemlji ili međunarodna organizacija; otkrivanje podataka koje nije dopušteno prema zakonodavstvu Unije; međusobnu pomoć; zajedničke operacije; odluke u okviru mehanizma za usklađivanje, pod uvjetom da se radi o općim pravnim aktima. [Am. 93]

(132) Komisija treba odmah donijeti provedbene akte koji se mogu primijeniti u propisno opravdanim slučajevima u vezi s trećom zemljom, teritorijem ili sektorom na kojem se vrši obrada u toj trećoj zemlji ili međunarodnom organizacijom koja ne jamči odgovarajuću razinu zaštite te u vezi s pitanjima koja su iznijela nadzorna tijela u okviru mehanizma za usklađivanje ako je to nužno zbog izrazite hitnosti slučaja. [Am. 94]

(133) S obzirom na to da ciljeve ove Uredbe, osiguranje jednake razine zaštite pojedinca i slobodan protok podataka u cijeloj Uniji, ne mogu dostatno ostvariti države članice, nego se zbog opsega i učinka djelovanja oni na bolji način mogu ostvariti na razini Unije, Unija može donijeti mjere u skladu s načelom supsidijarnosti utvrđenim u članku 5. Ugovora o Europskoj uniji. U skladu s načelom proporcionalnosti utvrđenim u tom članku, ova Uredba ne prelazi ono što je potrebno za ostvarivanje tih ciljeva.

(134) Direktiva 95/46/EZ ovom se Uredbom stavlja izvan snage. No, usvojene odluke Komisije i odobrenja nadzornih tijela koja se temelje na Direktivi 95/46/EZ trebaju ostati na snazi. Odluke Komisije i odobrenja nadzornih tijela koja se odnose na prijenose podataka u treće zemlje u skladu s člankom 41. stavkom 8. trebaju ostati na snazi tijekom prijelaznog razdoblja od pet godina nakon stupanja na snagu ove Uredbe, osim ako ih Komisija ne izmijeni, zamijeni ili stavi izvan snage prije kraja tog razdoblja. [Am. 95]

(135) Ova bi se Uredba treba odnositi na sva pitanja u vezi sa zaštitom temeljnih prava i sloboda pri obradi osobnih podataka ako ne podliježu posebnim obvezama s istim ciljem koji je određen Direktivom 2002/58/EZ Europskog parlamenta i Vijeća (12), uključujući sve obveze nadzornika i prava pojedinaca. Kako bi se pojasnio odnos između ove Uredbe i Direktive 2002/58/EZ, Direktiva bi se trebala izmijeniti.

(136) Za Island i Norvešku ova Uredba znači razvoj odredbi schengenske pravne stečevine u toj mjeri da se odnosi na obradu osobnih podataka od strane tijela uključenih u provedbu te pravne stečevine u skladu sa Sporazumom koji je sklopljen između Vijeća Europske unije i Republike Islanda te Kraljevine Norveške u vezi s njihovimsudjelovanjem u provođenju, primjeni i razvoju schengenske pravne stečevine (13).

(137) Za Švicarsku ova Uredba znači razvoj odredbi schengenske pravne stečevine u toj mjeri da se odnosi na obradu osobnih podataka od strane tijela uključenih u provedbu te pravne stečevine u skladu sa Sporazumom koji je sklopljen između Europske unije, Europske zajednice i Švicarske Konfederacije o sudjelovanju Švicarske Konfederacije u provođenju, primjeni i razvoju schengenske pravne stečevine (14).

(138) Za Lihtenštajn ova Uredba znači razvoj odredbi schengenske pravne stečevine u toj mjeri da se odnosi na obradu osobnih podataka od strane tijela uključenih u provedbu te pravne stečevine u skladu s Protokolom koji je sklopljen između Europske unije, Europske zajednice, Švicarske Konfederacije i Kneževine Lihtenštajn o priključivanju Kneževine Lihtenštajn Sporazumu između Europske unije, Europske zajednice i Švicarske Konfederacije u vezi sa sudjelovanjem Švicarske Konfederacije u provođenju, primjeni i razvoju schengenske pravne stečevine (15).

(139) S obzirom na činjenicu, kao što je naglasio Sud Europske unije, da pravo na zaštitu osobnih podataka nije apsolutno pravo, već se ono mora razmatrati u odnosu na svoju društvenu funkciju i uskladiti s drugim temeljnim pravima u skladu s načelom proporcionalnosti, ovom se Uredbom poštuju sva temeljna prava i uvažavaju načela priznata Poveljom koja su sadržana u Ugovorima, osobito pravo poštovanja osobnog i obiteljskog života, doma i komunikacije, pravo na zaštitu osobnih podataka, sloboda mišljenja, savjesti i vjere, sloboda izražavanja i informiranja, sloboda obavljanja posla, pravo na učinkovit pravni lijek i pošteno suđenje te pravo na kulturnu, vjersku i jezičnu raznolikost.

DONIJELI SU OVU UREDBU:

POGLAVLJE I.

OPĆE ODREDBE

Članak 1.

Predmet i ciljevi

1. Ovom se Uredbom određuju pravila o zaštiti pojedinaca pri obradi osobnih podataka i pravila o slobodnom kretanju osobnih podataka.

2. Ovom se Uredbom štite temeljna prava i slobode fizičkih osoba, a posebno njihovo pravo na zaštitu osobnih podataka.

3. Slobodno kretanje osobnih podataka unutar Unije ne ograničava se ni zabranjuje iz razloga povezanih sa zaštitom osoba pri obradi osobnih podataka.

Članak 2.

Područje primjene

1. Ova Uredba primjenjuje se na obradu osobnih podataka koji se u cijelosti ili djelomično obrađuju automatiziranim putem , bez obzira na metodu obrade, te na obradu osobnih podataka koji čine dio sustava podataka ili će činiti dio sustava podataka obradom koja nije automatizirana.

2. Ova Uredba ne primjenjuje se na obradu osobnih podataka:

(a) tijekom aktivnosti koja je izvan područja primjene zakonodavstva Unije, a posebno vezano uz nacionalnu sigurnost;

(b) od strane institucija, tijela, ureda i agencija Unije;

(c) od strane država članica pri provođenju aktivnosti obuhvaćenih Poglavljem 2. Glave V. Ugovora o Europskoj uniji;

(d) od strane fizičke osobe radi isključivo osobne ili obiteljske aktivnosti . Ovo izuzeće primjenjuje se i na objavljivanje osobnih podataka ako se može opravdano očekivati da će im pristupiti samo ograničen broj osoba ;

(e) od stra