EUROPSKA KOMISIJA Bruxelles, 25.7.2022. COM(2022) 364 final KOMUNIKACIJA KOMISIJE EUROPSKOM PARLAMENTU I VIJEĆU Prvo izvješće o primjeni i funkcioniranju Direktive o zaštiti podataka pri izvršavanju zakonodavstva (EU) 2016/680













KOMUNIKACIJA KOMISIJE EUROPSKOM PARLAMENTU I VIJEĆU Prvo izvješće o primjeni i funkcioniranju Direktive o zaštiti podataka pri izvršavanju zakonodavstva (EU) 2016/680 Sadržaj 1. Direktiva o zaštiti podataka pri izvršavanju zakonodavstva glavni je instrument za jamčenje zaštite podataka u okviru sigurnosne politike Europske unije 1.1. Ključni element dosljednosti okvira Europske unije za zaštitu podataka 1.2. Bitan doprinos jamčenju čvrste sigurnosne politike u Europskoj uniji 1.3. Važna razmatranja u pogledu izrade izvješća 2. Zadovoljavajuće prenošenje, ali ostaje nekoliko neriješenih pitanja 2.1. Ukupno gledajući cjelovito prenošenje, ali s nekoliko pitanja o posebnim odredbama 2.2. Prioriteti za ocjenu usklađenosti 2.2.1. Područje primjene Direktive o zaštiti podataka pri izvršavanju zakonodavstva 2.2.2. Upravljanje nadzornim tijelima za zaštitu podataka i njihove ovlasti 2.2.3. Pravni lijekovi 2.2.4. Rokovi za pohranu i preispitivanje 2.2.5. Pravna osnova za obradu, uključujući posebne kategorije osobnih podataka 2.2.6. Automatizirano donošenje odluka 2.2.7. Prava ispitanika

2.2.8. Neke važne odredbe koje se odnose na Direktivu o zaštiti podataka pri izvršavanju zakonodavstva 3. Prve pouke izvučene iz primjene i funkcioniranja Direktive o zaštiti podataka pri izvršavanju zakonodavstva 3.1. Pritužbe i pozitivan učinak na prava ispitanikâ 3.2. Veća osviještenost nadležnih tijela o zaštiti podataka 3.3. Poboljšana sigurnost podataka, ali uz razlike u obavješćivanju o povredi podataka 3.4. Nadzor koji provode nadzorna tijela za zaštitu podataka 3.4.1. Resursi nadzornih tijela za zaštitu podataka 3.4.2. Primjena ovlasti 3.4.3. Sudski nadzor postupaka nadzornih tijela za zaštitu podataka 3.4.4. Smjernice Europskog odbora za zaštitu podataka 3.4.5. Uzajamna pomoć 3.5. Fleksibilan instrument za međunarodne prijenose podataka 3.5.1. Odluke o primjerenosti 3.5.2. Odgovarajuće zaštitne mjere 3.5.3. Primjena odstupanja 3.5.4. Učinkovita policijska i pravosudna prekogranična suradnja 4. Daljnji koraci



1.Direktiva o zaštiti podataka pri izvršavanju zakonodavstva glavni je instrument za jamčenje zaštite podataka u okviru sigurnosne politike Europske unije

Ovom se Komunikacijom utvrđuje prvo izvješće Europske komisije o ocjeni i preispitivanju Direktive o zaštiti podataka pri izvršavanju zakonodavstva (EU) 2016/680 u skladu s člankom 62. stavkom 1. Direktive. Naime, u izvješću se ispituju primjena i funkcioniranje pravila Direktive o zaštiti podataka pri izvršavanju zakonodavstva u pogledu prijenosa osobnih podataka trećim zemljama i međunarodnim organizacijama kao što se zahtijeva tom direktivom, ali zauzima se i širi pristup. Njime se Direktiva o zaštiti podataka pri izvršavanju zakonodavstva smješta u okvire prava EU-a o zaštiti osobnih podataka i prava EU-a kojim se uređuje obrada osobnih podataka u svrhe sprečavanja, istrage, otkrivanja ili progona kaznenih djela i izvršavanja kaznenih sankcija, uključujući zaštitu od prijetnji javnoj sigurnosti i njihovo sprečavanje („izvršavanje kaznenog zakonodavstva”) . U izvješću se daje pregled postupka prenošenja Direktive o zaštiti podataka pri izvršavanju zakonodavstva u nacionalna prava država članica, predstavljaju prve pouke izvučene iz primjene i funkcioniranja Direktive i ocrtavaju daljnji koraci. 1.1.Ključni element dosljednosti okvira Europske unije za zaštitu podataka Direktiva o zaštiti podataka pri izvršavanju zakonodavstva jedan je od tri stupa okvira EU-a kojim se jamči temeljno pravo na zaštitu osobnih podataka. Preostala su dva Opća uredba o zaštiti podataka i Uredba o zaštiti podataka u vezi s obradom u institucijama i tijelima EU-a . Temeljno pravo zaštite podataka utvrđeno je u članku 8. Povelje Europske unije o temeljnim pravima („Povelja”) i članku 16. Ugovora o funkcioniranju Europske unije („UFEU”). Direktiva o zaštiti podataka pri izvršavanju zakonodavstva stupila je na snagu 6. svibnja 2016., a države članice trebale su je prenijeti u nacionalno pravo do 6. svibnja 2018. Direktiva o zaštiti podataka pri izvršavanju zakonodavstva prvi je zakonodavni akt EU-a sa sveobuhvatnim pristupom zaštiti osobnih podataka koju pružaju nadležna tijela (odnosno pravosudna tijela, policija i druga tijela za izvršavanje kaznenog zakonodavstva kako je predviđeno člankom 3. stavkom 7. Direktive) u svrhe izvršavanja kaznenog zakonodavstva. U usporedbi s Okvirnom odlukom Vijeća 2008/977/PUP, koja je njome stavljena izvan snage i zamijenjena, Direktiva o zaštiti podataka pri izvršavanju zakonodavstva čini znatan napredak u jamčenju dosljedne primjene pravila o zaštiti podataka u EU-u. Direktivom o zaštiti podataka pri izvršavanju zakonodavstva ponajprije se predviđa cjelovit skup pravila za prekograničnu i domaću obradu osobnih podataka u svrhe izvršavanja kaznenog zakonodavstva, dok je Okvirnom odlukom Vijeća bila obuhvaćena samo prekogranična obrada. Nadalje, Direktivom o zaštiti podataka pri izvršavanju zakonodavstva predviđa se sveobuhvatan i horizontalan skup pravila, dok je prijašnjim pristupom svaki sektorski akt EU-a kojim se predviđala obrada osobnih podataka u kontekstu izvršavanja kaznenog zakonodavstva bio uređen vlastitim pravilima o zaštiti podataka. Opća uredba o zaštiti podataka, Uredba o zaštiti podataka u vezi s obradom u institucijama i tijelima EU-a i Direktiva o zaštiti podataka pri izvršavanju zakonodavstva temelje se na sličnim pojmovima i načelima, što dovodi do dosljednog tumačenja i primjene pravila EU-a o zaštiti podataka. One imaju zajedničke definicije i sadržavaju slične obveze za voditelje i izvršitelje obrade podataka. Međutim, Direktiva o zaštiti podataka pri izvršavanju zakonodavstva posebno se bavi i rizicima povezanima s obradom osobnih podataka u kontekstu izvršavanja kaznenog zakonodavstva. Odgovarajuće odredbe uključuju obveze da se: i. razlikuju različite kategorije ispitanika, ii. razlikuju osobni podaci utemeljeni na činjenicama i podaci utemeljeni na osobnim procjenama, iii. bilježe zapisi o upotrebi osobnih podataka i poštuju posebni zahtjevi o sigurnosti. S obzirom na posebnu prirodu pravosudne suradnje u kaznenim pitanjima i policijske suradnje, smatralo se potrebnim u tim područjima donijeti posebna pravila za zaštitu osobnih podataka i slobodno kretanje osobnih podataka. Osjetljivost područja pravosudne suradnje u kaznenim pitanjima i policijske suradnje, uz složenost nacionalnih pravnih okvira kojima se uređuje izvršavanje kaznenog zakonodavstva, rezultirala je direktivom koja se smatra najboljim instrumentom za postizanje visoke razine zaštite podataka u tom području. Direktivom se državama članicama daje i potrebna fleksibilnost u provedbi načelâ, pravila i oslobođenja na nacionalnoj razini. Komisija je svoje prvo izvješće o provedbi Opće uredbe o zaštiti podataka objavila 24. lipnja 2020. U njemu je istaknuto kako je opće mišljenje da su se Općom uredbom o zaštiti podataka ispunili ciljevi, posebno tako da se građanima pružio čvrsti skup primjenjivih pravila i da je stvoren novi EU-ov sustav upravljanja i provedbe. U izvješću je naveden popis mjera koje treba provesti kako bi se svim dionicima dodatno olakšala primjena Opće uredbe o zaštiti podataka te kako bi se zajedno s jakom provedbom promicala i dodatno razvijala kultura zaštite podataka u EU-u. Ovo se izvješće nadovezuje na preispitivanje pravnih akata koje je donio EU, a kojima se uređuje obrada podataka koju provode nadležna tijela u svrhe sprečavanja, istrage, otkrivanja ili progona kaznenih djela ili izvršavanja kaznenih sankcija. Svrha tog preispitivanja bila je ocijeniti potrebu za usklađivanjem predmetnih pravnih akata s Direktivom o zaštiti podataka pri izvršavanju zakonodavstva . Komisija je 24. lipnja 2020. ispunila tu obvezu donošenjem Komunikacije o daljnjim koracima u usklađivanju nekadašnjeg trećeg stupa pravne stečevine s pravilima o zaštiti podataka. U njoj se navodi 10 pravnih akata koje bi trebalo uskladiti s Direktivom o zaštiti podataka pri izvršavanju zakonodavstva i utvrđuje plan tog rada. Konačno, ovo je izvješće izrađeno paralelno s izvješćem Komisije o primjeni Uredbe o zaštiti podataka u vezi s obradom u institucijama i tijelima EU-a. Važan element tog izvješća jest preispitivanje njezinih pravila utvrđenih u poglavlju IX. o obradi operativnih osobnih podataka koju obavljaju tijela, uredi ili agencije EU-a pri provedbi aktivnosti u okviru policijske i pravosudne suradnje u kaznenim pitanjima („agencije za pravosuđe i unutarnje poslove”). Predmetna pravila u velikoj se mjeri temelje na Direktivi o zaštiti podataka pri izvršavanju zakonodavstva. Člankom 98. Uredbe o zaštiti podataka u vezi s obradom u institucijama i tijelima EU-a od Komisije se zahtijeva da preispita pravne akte kojima se uređuje obrada operativnih osobnih podataka koju provode agencije za pravosuđe i unutarnje poslove te joj se daje mogućnost podnošenja odgovarajućih zakonodavnih prijedloga, posebno radi primjene pravila iz poglavlja IX. te uredbe na Europol i Ured europskog javnog tužitelja, i predlaganja izmjene tog poglavlja, ako je to potrebno. 1.2.Bitan doprinos jamčenju čvrste sigurnosne politike u Europskoj uniji Komisija je stalno isticala da se učinkovit i istinski siguran EU može izgraditi jedino na temelju potpune usklađenosti s temeljnim pravima utvrđenima u Povelji i sekundarnom zakonodavstvu EU-a. Direktiva o zaštiti podataka pri izvršavanju zakonodavstva na ključan način doprinosi sigurnosnoj politici EU-a tako što se njome osigurava zaštita osobnih podataka žrtava i svjedoka kaznenih djela i osumnjičenika za njih. Nadalje, usklađivanjem pravila o zaštiti osobnih podataka koje obrađuju nadležna tijela u EU-u i državama članicama schengenskog područja Direktiva o zaštiti podataka pri izvršavanju zakonodavstva doprinosi povećanju povjerenja i sigurnosti u pogledu razmjene podataka među nadležnim tijelima u svrhe izvršavanja kaznenog zakonodavstva i tako olakšava prekograničnu suradnju u borbi protiv kaznenih djela i terorizma. Direktiva o zaštiti podataka pri izvršavanju zakonodavstva ima ključnu ulogu i u promicanju kulture usklađenosti zaštite podataka među nadležnim tijelima. U Strategiji za sigurnosnu uniju ističe se i da bi se nove tehnologije, poput umjetne inteligencije, mogle upotrebljavati kao moćno sredstvo u borbi protiv kriminala. Uviđanje tog potencijala znači i jamčenje najviših standarda usklađenosti s temeljnim pravima. Zakonodavstvo o zaštiti podataka, uključujući Direktivu o zaštiti podataka pri izvršavanju zakonodavstva, čini temelj na kojem se može izgraditi sektorsko zakonodavstvo. Primjerice, predloženi Akt o umjetnoj inteligenciji mogao bi dati dodatan okvir za upotrebu osobnih podataka za biometrijsku identifikaciju na daljinu na javnim mjestima u svrhe izvršavanja zakonodavstva. Konačno, u međusobno povezanom svijetu kriminal je sve više prekogranične prirode (kao i kibernetički kriminal, a posebno druge vrste kriminala olakšane kibernetikom). Čak se i u istragama domaćih predmeta nadležna tijela sve češće nalaze u prekograničnim situacijama jer se informacije pohranjuju elektronički u trećoj zemlji. Slijedom toga povećava se potreba za međunarodnom suradnjom u kaznenim istragama, koju će osigurati i nadležna tijela država članica i tijela EU-a poput Europola i Eurojusta. Takva suradnja, a posebno prikupljanje i razmjena elektroničkih dokaza, često uključuje prijenos osobnih podataka. Pouzdane zaštitne mjere u pogledu zaštite podataka stoga su nužne. Takvim se zaštitnim mjerama pomaže i u izgradnji povjerenja među tijelima za izvršavanje zakonodavstva, čime se jamči brža i učinkovitija razmjena informacija i jačanje pravne sigurnosti pri upotrebi informacija u kaznenim postupcima. U tom se smislu Direktivom o zaštiti podataka pri izvršavanju zakonodavstva predviđaju ažurirani alati za olakšavanje tih prijenosa osobnih podataka iz EU-a trećoj zemlji ili međunarodnoj organizaciji (na primjer Interpolu), a da se istodobno i dalje jamči visoka razina zaštite osobnih podataka. Komisija i države članice iskoristile su cijeli niz alata Direktive o zaštiti podataka pri izvršavanju zakonodavstva od njezina stupanja na snagu, čime se potvrđuje da je ona dovoljno široka i fleksibilna za omogućivanje učinkovite međunarodne policijske i pravosudne suradnje. 1.3.Važna razmatranja u pogledu izrade izvješća Pri izradi ovog izvješća Komisija je prikupila podatke i povratne informacije iz različitih izvora i provela ciljana savjetovanja. U skladu s člankom 62. Direktive o zaštiti podataka pri izvršavanju zakonodavstva Komisija je uzela u obzir doprinose i stajališta Europskog parlamenta, Vijeća, Europskog odbora za zaštitu podataka i nacionalnih nadzornih tijela za zaštitu podataka. Dodatne povratne informacije dobivene su putem upitnika upućenog organizacijama civilnog društva (u okviru Agencije Europske unije za temeljna prava) i iz odgovora na javni poziv na očitovanje . Komisija je uzela u obzir i opažanja stručne skupine država članica u pogledu Opće uredbe o zaštiti podataka i Direktive o zaštiti podataka pri izvršavanju zakonodavstva te opažanja iznijeta u okviru njemačkog predsjedanja Vijećem. Uzela je u obzir i analize nacionalnih mjera za prenošenje te mali broj pritužbi koje je u tom pogledu primila. Iako se Direktiva o zaštiti podataka pri izvršavanju zakonodavstva primjenjuje na sve države članice EU-a i sve države članice schengenskog područja (jer predstavlja razvoj schengenske pravne stečevine ), ovim su izvješćem obuhvaćene samo države članice EU-a. Tri su čimbenika utjecala na izradu ovog izvješća. Prvo, dvije trećine država članica nisu ispoštovale rok, odnosno nisu prenijele Direktivu o zaštiti podataka pri izvršavanju zakonodavstva u nacionalno pravo do svibnja 2018. Većina država članica ipak je prenijela Direktivu do 2019., nakon što je Komisija pokrenula postupke zbog povrede prava. Iskustvo u njezinoj primjeni stoga je prilično ograničeno, što su istaknuli i Europski odbor za zaštitu podataka i Vijeće. Drugo, ispostavilo se težim prikupiti statističke podatke o primjeni Direktive o zaštiti podataka pri izvršavanju zakonodavstva nego onu o primjeni Opće uredbe o zaštiti podataka. Neka nadzorna tijela za zaštitu podataka ne prikupljaju statističke podatke o svojim nadzornim aktivnostima odvojeno za Direktivu o zaštiti podataka pri izvršavanju zakonodavstva i Opću uredbu o zaštiti podataka. To je slučaj, primjerice, kad je riječ o obavješćivanju o povredi podataka i pritužbama podnesenima u okviru Direktive o zaštiti podataka pri izvršavanju zakonodavstva, zbog čega je ponekad teško dobiti točan pregled tih odredbi iz Direktive . Treće, važno je uzeti u obzir da se sudska praksa u pogledu primjene Direktive o zaštiti podataka pri izvršavanju zakonodavstva tek počinje razvijati. Nekoliko je predmeta trenutačno u tijeku pred Sudom Europske unije u pogledu tumačenja ključnih odredbi Direktive o zaštiti podataka pri izvršavanju zakonodavstva, poput prava ispitanika na pristup i prava na učinkovit pravni lijek. Te će presude pružiti više jasnoće i doprinijeti ujednačenijem pristupu među državama članicama.

2.Zadovoljavajuće prenošenje, ali ostaje nekoliko neriješenih pitanja Komisija je uspostavila stručnu skupinu država članica kako bi pomogla državama članicama da uključe Direktivu o zaštiti podataka pri izvršavanju zakonodavstva u nacionalno pravo. Tom se stručnom skupinom olakšavaju razgovori i razmjena iskustava između država članica i Komisije o pravilima o zaštiti podataka. Sastanci skupine održavali su se redovito u razdoblju od donošenja Direktive o zaštiti podataka pri izvršavanju zakonodavstva u 2016. do roka za prenošenje, odnosno svibnja 2018., a ponovno je počela s radom 2021. Pregled prenošenja predstavljen u nastavku usmjeren je na glavna pitanja koja su dosad utvrđena. On se prije svega temelji na analizi koju je Komisija provela u pogledu informacija koje su države članice dostavile pri obavješćivanju Komisije o nacionalnim mjerama koje su poduzele radi prenošenja Direktive o zaštiti podataka pri izvršavanju zakonodavstva u nacionalno pravo. Ta je analiza poduprta vanjskom studijom koju je proveo vanjski ugovorni suradnik. Komisija je sudjelovala i u bilateralnim razgovorima s nekoliko država članica. 2.1.Ukupno gledajući cjelovito prenošenje, ali s nekoliko pitanja o posebnim odredbama Komisija je u srpnju 2018. pokrenula postupke zbog povrede prava protiv 19 država članica jer nisu u roku, odnosno do svibnja 2018., donijele zakone kojima se prenosi Direktiva o zaštiti podataka pri izvršavanju zakonodavstva te nisu obavijestile Komisiju o prenošenju. Drugi postupak zbog djelomičnog neprenošenja pokrenut je u srpnju 2019. protiv druge države članice. Kao rezultat većina država članica naknadno je obavijestila Komisiju o svojem nacionalnom zakonodavstvu kojim se prenosi Direktiva, a Komisija je 2019. postupno zatvorila postupke zbog povrede prava pokrenute protiv njih (2020. za jednu državu članicu). Komisija je 2021. svoj postupak zbog povrede pokrenut protiv Španjolske uputila Sudu Europske unije jer Španjolska još uvijek nije prenijela Direktivu o zaštiti podataka pri izvršavanju zakonodavstva niti je obavijestila Komisiju o svojim mjerama za prenošenje. S obzirom na ozbiljnost i trajanje povrede Sud Europske unije po prvi je put naložio Španjolskoj plaćanje i paušalnog iznosa i novčane kazne . Komisija je u travnju 2022. pokrenula i postupak zbog povrede protiv Njemačke, nakon što je uočila nedostatak u prenošenju Direktive o zaštiti podataka pri izvršavanju zakonodavstva u odnosu na aktivnosti njemačke savezne policije. Komisija će i dalje ocjenjivati prenošenje Direktive o zaštiti podataka pri izvršavanju zakonodavstva u državama članicama i poduzimati potrebne mjere kako bi uklonila eventualne nedostatke. 2.2.Prioriteti za ocjenu usklađenosti Komisija provjerava i prenose li se ispravno nacionalnim odredbama država članica zahtjevi iz Direktive o zaštiti podataka pri izvršavanju zakonodavstva (provjera usklađenosti). Pri prenošenju Direktive o zaštiti podataka pri izvršavanju zakonodavstva države članice izmijenile su svoje prethodno zakonodavstvo o zaštiti podataka ili ga stavile izvan snage i zamijenile novim horizontalnim aktom/aktima o zaštiti podataka. U mnogim se primjerima Direktiva o zaštiti podataka pri izvršavanju zakonodavstva u nacionalno pravo prenosi upućivanjem na istu ili ekvivalentnu odredbu Opće uredbe o zaštiti podataka (npr. u pogledu definicija, obavijesti o povredama podataka, imenovanja službenika za zaštitu podataka te odredbi o organizaciji, statusu, nadležnostima, dužnostima i ovlastima nacionalnih nadzornih tijela za zaštitu podataka). Nekoliko je odredbi Direktive o zaštiti podataka pri izvršavanju zakonodavstva bilo preneseno i u okviru novih odredbi u, primjerice, općem upravnom pravu, upravnom postupovnom pravu ili kaznenom procesnom pravu. Neke su države članice prenijele nekoliko odredbi Direktive o zaštiti podataka pri izvršavanju zakonodavstva i u sektorsko zakonodavstvo kojim se uređuju rad i ovlasti posebnih nadležnih tijela. Možda će stoga pri utvrđivanju je li Direktiva o zaštiti podataka pri izvršavanju zakonodavstva bila ispravno prenesena u određenu državu članicu trebati uzeti u obzir različite nacionalne pravne akte. Ukupno gledajući, nacionalni zakoni u velikoj mjeri odražavaju načela i temeljne odredbe Direktive o zaštiti podataka pri izvršavanju zakonodavstva. Utvrđeno je ipak nekoliko pitanja, a najvažnija su navedena u odjeljcima u nastavku. Komisija je već pokrenula nekoliko postupaka zbog povrede prava protiv država članica . Postupak preispitivanja i dalje je u tijeku, a Komisija će nastaviti upotrebljavati sve raspoložive alate, uključujući postupke zbog povrede, ako nacionalna mjera za prenošenje nije u skladu s Direktivom o zaštiti podataka pri izvršavanju zakonodavstva. Sudska praksa o Direktivi o zaštiti podataka pri izvršavanju zakonodavstva još je uvijek u povojima. Sud Europske unije počeo je donositi presude u pogledu tumačenja Direktive o zaštiti podataka pri izvršavanju zakonodavstva, među ostalim u predmetu WS protiv Savezne Republike Njemačke i B protiv Latvijas Republikas Saeima. U vrijeme izrade ovog izvješća nekoliko je prethodnih odluka u tijeku pred Sudom EU-a (kako je navedeno u odjeljcima u nastavku). 2.2.1.Područje primjene Direktive o zaštiti podataka pri izvršavanju zakonodavstva Poteškoća u razgraničenju područjâ primjene Direktive o zaštiti podataka pri izvršavanju zakonodavstva i Opće uredbe o zaštiti podataka pitanje je koje izaziva zabrinutost i koje su istaknuli i stručna skupina država članica za Opću uredbu o zaštiti podataka i Direktivu o zaštiti podataka pri izvršavanju zakonodavstva i Europski odbor za zaštitu podataka. Neka nadzorna tijela za zaštitu podataka primijetila su i da nadležna tijela to smatraju složenim pitanjem . Područje primjene Direktive o zaštiti podataka pri izvršavanju zakonodavstva definirano je dvama ključnim elementima: pojmom nadležnog tijela (osobno područje primjene) i pojmom kaznenog djela (materijalno područje primjene). Kad je riječ o osobnom području primjene, obrada podataka obuhvaćena je Direktivom o zaštiti podataka pri izvršavanju zakonodavstva prvenstveno kad je provodi nadležno tijelo, ali i ako se osobni podaci obrađuju u svrhe te direktive (npr. sprečavanja, istrage, otkrivanja ili progona kaznenih djela ili izvršavanja kaznenih sankcija, uključujući zaštitu od prijetnji javnoj sigurnosti i njihovo sprečavanje). Prema mišljenju Komisije „nadležna tijela” kako su definirana Direktivom o zaštiti podataka pri izvršavanju zakonodavstva državna su ili privatna tijela koja pravom države imaju posebne ovlasti koje nadilaze one dane na temelju normalnih pravila koja se primjenjuju u odnosima između pojedinaca i/ili na temelju mogućnosti izvršavanja ovlasti prisile. Ta su tijela nadležna tijela u smislu Direktive o zaštiti podataka pri izvršavanju zakonodavstva kad obrađuju (čak i ako to rade samo povremeno i/ili u izoliranim slučajevima) podatke u svrhe sprečavanja, istrage, otkrivanja ili progona kaznenih djela ili izvršavanja kaznenih sankcija (uključujući zaštitu od prijetnji javnoj sigurnosti i njihovo sprečavanje). To znači, primjerice, da je obrada osobnih podataka koju provode takva tijela u svrhe koje nisu obuhvaćene Direktivom o zaštiti podataka pri izvršavanju zakonodavstva (npr. za ljudske resurse ili u druge administrativne svrhe, poput obrade osobnih podataka koju provode financijsko-obavještajne jedinice na temelju pravne stečevine u pogledu sprečavanja pranja novca) obuhvaćena područjem primjene Opće uredbe o zaštiti podataka, a ne Direktive o zaštiti podataka pri izvršavanju zakonodavstva. Pojam „kaznenog djela” od središnje je važnosti pri utvrđivanju je li obrada podataka obuhvaćena područjem primjene Direktive o zaštiti podataka pri izvršavanju zakonodavstva. Prema mišljenju Suda Europske unije tri su kriterija relevantna za ocjenu kaznene naravi kažnjivog djela: je li kažnjivo djelo kvalificirano kao kazneno u nacionalnom pravu, sama narav kažnjivog djela i težina kazne kojoj predmetna osoba može biti izložena . Autonomna narav pojma kaznenog djela iz uvodne izjave 13. Direktive o zaštiti podataka pri izvršavanju zakonodavstva podrazumijeva među ostalim da država članica ne može kvalificirati kažnjivo djelo kao „kazneno” samo za potrebe primjene Direktive o zaštiti podataka pri izvršavanju zakonodavstva. Pitanje razgraničenja područjâ primjene Opće uredbe o zaštiti podataka i Direktive o zaštiti podataka pri izvršavanju zakonodavstva u nekim se državama članicama postavlja upućivanjem na razgraničenja područjâ kaznenog djela i prekršaja. Točnije, neki nacionalni zakoni kojima se prenosi Direktiva upućuju na svrhe obrade osobnih podataka koje nisu navedene u članku 1. Direktive o zaštiti podataka pri izvršavanju zakonodavstva (npr. prijetnje javnom redu ili javnoj sigurnosti). To se pitanje postavlja i zato što neke države članice smatraju da nekoliko upravnih tijela (npr. financijsko-obavještajne jedinice, kao što je prethodno spomenuto) obavlja dužnosti obuhvaćene Direktivom o zaštiti podataka pri izvršavanju zakonodavstva. Većinom zakona država članica na sveobuhvatan je način obuhvaćeno svako nadležno tijelo koje obrađuje podatke u svrhe Direktive o zaštiti podataka pri izvršavanju zakonodavstva. Međutim, neke su države članice u svojem zakonodavstvu odlučile na iscrpan način navesti nadležna tijela iz Direktive o zaštiti podataka pri izvršavanju zakonodavstva. Nekoliko je država članica predvidjelo i odstupanje za obradu koju provode određene vrste nadležnih tijela ili za obradu određenih vrsta podataka. Pitanje područje primjene Direktive o zaštiti podataka pri izvršavanju zakonodavstva predmet je zahtjeva za prethodnu odluku pred Sudom Europske unije. Sud Landesverwaltungsgericht Tirol (Austrija) pokrenuo je pitanje područja primjene Direktive o zaštiti podataka pri izvršavanju zakonodavstva kad je nadležno tijelo neuspješno pokušalo pristupiti podacima na zaplijenjenom telefonu (tumačenje članka 2. Direktive o zaštiti podataka pri izvršavanju zakonodavstva). Taj se predmet odnosi i na uvjete za takav pristup. 2.2.2.Upravljanje nadzornim tijelima za zaštitu podataka i njihove ovlasti

Sve su države članice, osim njih dvije (Belgija i Švedska), za provedbu Direktive o zaštiti podataka pri izvršavanju zakonodavstva ovlastile nadzorno tijelo koje je odgovorno i za provođenje Opće uredbe o zaštiti podataka. Belgija je za nadzor policije u svrhe Direktive o zaštiti podataka pri izvršavanju zakonodavstva ovlastila drugo nadzorno tijelo. U Švedskoj nadzor određenih nadležnih tijela, uključujući policiju, provode zajedno nadzorno tijelo nadležno za Opću uredbu o zaštiti podataka i drugo nadzorno tijelo. Nadalje, u skladu s Direktivom o zaštiti podataka pri izvršavanju zakonodavstva sva nadzorna tijela za zaštitu podataka nisu nadležna za nadzor sudova kad djeluju u okviru svoje sudbene nadležnosti. Kad je riječ o odredbama Direktive o zaštiti podataka pri izvršavanju zakonodavstva o neovisnosti nadzornih tijela za zaštitu podataka, sve su države članice u svojem zakonodavstvu za prenošenje propisale da nadzorna tijela za zaštitu podataka pri obavljanju svojih dužnosti djeluju neovisno. Tim se odredbama od članova njihovih nadzornih tijela za zaštitu podataka zahtijeva i da nisu podložni vanjskom utjecaju te da ne primaju i ne traže upute ni od koga. U skladu s člankom 8. stavkom 3. Povelje ključno je nadzirati da nadzorna tijela za zaštitu podataka poštuju ta pravila. Direktivom o zaštiti podataka pri izvršavanju zakonodavstva od država članica zahtijeva se da nadzornim tijelima za zaštitu podataka daju učinkovite istražne, korektivne i savjetodavne ovlasti. To je preduvjet za odgovarajuće provođenje pravila o zaštiti podataka, a time i za postizanje cilja Direktive o zaštiti podataka pri izvršavanju zakonodavstva u pogledu visoke razine zaštite temeljnih prava, posebno kad je riječ o pravu na zaštitu osobnih podataka, te za jamčenje slobodnog protoka podataka u EU-u. Nadzorna tijela za zaštitu podataka trebaju imati jednake ovlasti u cijeloj Uniji kako bi mogla obavljati svoje dužnosti propisane Direktivom o zaštiti podataka pri izvršavanju zakonodavstva. Sve su države članice svojim nadzornim tijelima dale istražne ovlasti navedene u Direktivi o zaštiti podataka pri izvršavanju zakonodavstva, a većina im je država članica dala i druge ovlasti (npr. da provode revizije, ulaze u prostorije, kopiraju podatke i zapljenjuju predmete). Slijedom toga, gotovo sva nadzorna tijela za zaštitu podataka smatrala su da imaju učinkovite istražne ovlasti. Gotovo sve države članice predvidjele su korektivne ovlasti navedene u Direktivi o zaštiti podataka pri izvršavanju zakonodavstva. Mnoge su to postigle pažljivo prateći formulaciju Direktive o zaštiti podataka pri izvršavanju zakonodavstva, a nekoliko je država članica upotrijebilo vrlo široku formulaciju koja bi se razumno mogla protumačiti tako da obuhvaća sve ovlasti utvrđene u Direktivi. Osim toga, većinom zakona država članica nadzornom tijelu za zaštitu podataka daje se ovlast izricanja administrativnih novčanih kazni. Sve države članice nisu dale svojim nadzornim tijelima za zaštitu podataka ovlast izvješćivanja pravosudnih tijela o povredama nacionalnih zakona donesenih za prenošenje Direktive o zaštiti podataka pri izvršavanju zakonodavstva i pokretanja sudskog postupka ili sudjelovanja u njemu u nekom drugom obliku. Takva je ovlast važna i nadopunjuje druga sredstva koja su na raspolaganju nadzornim tijelima za zaštitu podataka za učinkovito jamčenje visoke razine zaštite temeljnih prava pojedinaca, a posebno njihova prava na zaštitu osobnih podataka. 2.2.3.Pravni lijekovi Sve su države članice predvidjele pravo na podnošenje pritužbe svojem relevantnom nadzornom tijelu. Rok za podnošenje te pritužbe predviđen je u većini nacionalnih zakona. Važno je osigurati da taj rok ne ometa prava ispitanikâ u tom pogledu. U skladu s Direktivom o zaštiti podataka pri izvršavanju zakonodavstva sve države članice predviđaju pravni lijek protiv odluka nadzornog tijela te ne dovode u pitanje nijedan drugi upravni ili izvansudski pravni lijek u njihovim pravnim sustavima. Pravni lijek dostupan je u svim državama članicama, osim u dvjema, kad nadzorno tijelo ne riješi pritužbu ili ne izvijesti ispitanika u roku od tri mjeseca o napretku ili ishodu pritužbe. Većina je država članica predvidjela i pravni lijek protiv voditelja i izvršitelja obrade podataka u slučaju navodne povrede Direktive o zaštiti podataka pri izvršavanju zakonodavstva. Međutim, u nekoliko nacionalnih zakona kojima se prenosi Direktiva ne predviđa se pravo ispitanika da ovlasti neprofitno tijelo, organizaciju ili udruženje za podnošenje pritužbe nadzornom tijelu ili pokretanje postupka pravnog lijeka u njegovo ime. 2.2.4.Rokovi za pohranu i preispitivanje Pristupi država članica prenošenju rokova iz Direktive o zaštiti podataka pri izvršavanju zakonodavstva za pohranu i preispitivanje osobnih podataka u velikoj se mjeri razlikuju. Većina nacionalnih zakona o zaštiti podataka kojima se prenosi Direktiva o zaštiti podataka pri izvršavanju zakonodavstva ispunjava jedino opći zahtjev iz članka 5. Direktive. To znači da je na sektorskom zakonu da zapravo utvrdi rokove za brisanje osobnih podataka ili za periodično preispitivanje potrebe za pohranom osobnih podataka. Nekoliko je država članica prenijelo odredbu kojom se utvrđuju rokovi u sektorskom zakonodavstvu. Međutim, u nekim se državama članicama pravom prepušta nadležnom tijelu da utvrdi rokove. U nekim se primjerima pravom ne utvrđuje nikakav kriterij za periodično preispitivanje niti se njime zahtijeva da se takav kriterij predvidi drugim zakonima i/ili ne predviđa se utvrđivanje postupaka u nacionalnom pravu za jamčenje poštovanja rokova. Utvrđeno je da je Vrhovni upravni sud Bugarske nedavno od Suda Europske unije zatražio da odgovori na njegov zahtjev za prethodnu odluku u pogledu tumačenja članka 5. Direktive o zaštiti podataka pri izvršavanju zakonodavstva u vezi s rokovima za pohranu podataka . 2.2.5.Pravna osnova za obradu, uključujući posebne kategorije osobnih podataka Većina država članica predviđa, upotrebom formulacije koja se često u velikoj mjeri podudara s onom iz članka 8. Direktive o zaštiti podataka pri izvršavanju zakonodavstva, obavezno utvrđivanje pravne osnove za obradu podataka u pravu EU-a ili pravu države članice. Međutim, neki nacionalni zakoni o zaštiti podataka kojima se prenosi Direktiva o zaštiti podataka pri izvršavanju zakonodavstva ne odražavaju zahtjev prema kojem je u pravu potrebno definirati osobne podatke koji se obrađuju, kao i svrhu obrade. Drugi nacionalni zakoni o zaštiti podataka kojima se prenosi Direktiva o zaštiti podataka pri izvršavanju zakonodavstva ne sadržavaju sve odredbe koje odgovaraju članku 8. Nacionalnim zakonodavstvom trebalo bi predvidjeti osnovu za obradu i ono bi trebalo biti u skladu i sa zahtjevima iz članka 8. Osim toga, jednostavno ponavljanje općih zahtjeva iz članka 8. Direktive o zaštiti podataka pri izvršavanju zakonodavstva u nacionalnom zakonu ne može se smatrati dovoljnom pravnom osnovom kad je riječ o posebnom postupku obrade: u nacionalnom zakonu moraju se navesti tijelo koje je nadležno za obradu osobnih podataka, javne dužnosti koje ono obavlja, a kojima se opravdava takva obrada, te svrha obrade. Kad je riječ o obradi posebnih kategorija osobnih podataka, većina država članica zahtijeva da se one obrađuju samo ako je to nužno. Većina država članica predviđa i iste pravne osnove za obradu osjetljivih podataka kako su utvrđene u članku 10. Direktive o zaštiti podataka pri izvršavanju zakonodavstva (obrada dopuštena pravom, radi zaštite vitalnih interesa ispitanika ili drugog pojedinca ili ako se takva obrada odnosi na podatke za koje je očito da ih je objavio ispitanik). U nekoliko se država članica zakonima kojima se prenosi Direktiva predviđaju neke dodatne osnove za obradu podataka (npr. kad je obrada takvih podataka potrebna kako bi se izbjegla ili spriječila opasnost koja izravno ugrožava život, fizički integritet ili imovinu osoba ili kako bi se zaštitilo zdravlje ili interesi ispitanika ili druge osobe). Ako se nacionalnim zakonom o zaštiti podataka kojim se prenosi Direktiva o zaštiti podataka pri izvršavanju zakonodavstva ne predvide potrebne zaštitne mjere za prava i slobode ispitanikâ (kao što je to bio slučaj u nekim državama članicama), takve je zaštitne mjere potrebno predvidjeti u sektorskim zakonima. U nekoliko se nacionalnih zakona kojima se prenosi Direktiva upućuje na suglasnost u pogledu obrade osobnih podataka, uključujući obradu posebnih kategorija osobnih podataka. Važno je podsjetiti da, iako su države članice slobodne u svojim nacionalnim zakonima predvidjeti da se ispitanik može složiti s obradom svojih osobnih podataka u svrhe Direktive o zaštiti podataka pri izvršavanju zakonodavstva, ta suglasnost može poslužiti samo kao zaštitna mjera i ne može činiti pravnu osnovu za takvu obradu. Rasprave o ovom pitanju ukazuju na to da bi dodatne smjernice o ulozi suglasnosti u kontekstu obrade osobnih podataka u svrhe izvršavanja kaznenog zakonodavstva bile korisne. 2.2.6.Automatizirano donošenje odluka

Svi zakoni država članica kojima se prenosi Direktiva uključuju odredbe kojima se zabranjuje odluka utemeljena samo na automatiziranoj obradi, osim ako je predviđena zakonom. Većinom zakona država članica kojima se prenosi Direktiva zahtijeva se da se takve odluke ne temelje na posebnim kategorijama osobnih podataka, osim ako su uspostavljene odgovarajuće zaštitne mjere. Njima se zabranjuje i izrada profila koja dovodi do diskriminacije. Međutim, neka nacionalna zakonodavstva ne upućuju na odgovarajuće zaštitne mjere za prava i slobode ispitanika ako je automatizirano donošenje odluka dopušteno zakonom. Konkretno, sve države članice ne predviđaju pravo na ljudsku intervenciju voditelja obrade ili ne zahtijevaju odgovarajuće mjere za zaštitu prava i/ili sloboda te legitimnih interesa ispitanika. 2.2.7.Prava ispitanika Sve su države članice odlučile iskoristiti mogućnost koja im se pruža Direktivom o zaštiti podataka pri izvršavanju zakonodavstva i prema kojoj mogu ograničiti pravo ispitanika na pristup njihovim osobnim podacima. Većina država članica predviđa i ograničenja drugih prava ispitanikâ. U nacionalnim zakonima o zaštiti podataka kojima se prenosi Direktiva o zaštiti podataka pri izvršavanju zakonodavstva često se slijedi samo opći jezik Direktive, bez daljnjeg navođenja okolnosti ili uvjeta u kojima se ta ograničenja primjenjuju. U takvim slučajevima te okolnosti i uvjeti moraju biti navedeni u sektorskom zakonodavstvu jer bi u protivnome voditelji obrade podataka odlučivali o primjeni tih ograničenja. Većina država članica ispunjava zahtjev iz Direktive o zaštiti podataka pri izvršavanju zakonodavstva i omogućuje ispitanicima da ostvare svoja prava preko nadzornog tijela za zaštitu podataka. Većina država članica iskoristila je mogućnost utvrđivanja da se prava ispitanikâ ostvaruju u skladu s nacionalnim pravom u kontekstu nacionalnih kaznenih istraga i postupaka. Nekoliko zakona država članica kojima se prenosi Direktiva ne odražava sve posebne zahtjeve Direktive o zaštiti podataka pri izvršavanju zakonodavstva u pogledu načina na koji se prava ispitanikâ ostvaruju (npr. format i način priopćavanja odgovora, odsustvo naknade). U tijeku je postupak donošenja prethodne odluke, za koju je zahtjev uputio njemački sud u pogledu tumačenja ograničenjâ prava ispitanika na pristup njihovim podacima (članak 15. Direktive o zaštiti podataka pri izvršavanju zakonodavstva u kontekstu članka 54. te direktive) i prava na učinkovit pravni lijek na temelju članka 47. Povelje te slobode izbora zanimanja na temelju članka 15. Povelje. 2.2.8.Neke važne odredbe koje se odnose na Direktivu o zaštiti podataka pri izvršavanju zakonodavstva Neke odredbe Direktive o zaštiti podataka pri izvršavanju zakonodavstva posebno se odnose na kontekst izvršavanja kaznenog zakonodavstva i nemaju ekvivalent u Općoj uredbi o zaštiti podataka. Kategorije ispitanikâ Direktivom o zaštiti podataka pri izvršavanju zakonodavstva države članice obvezuju se da od voditelja obrade podataka zahtijevaju da prema potrebi i koliko je to moguće, razlikuju podatke različitih kategorija ispitanikâ te da daju primjere tih kategorija (npr. osoba za koju postoje ozbiljni razlozi za sumnju da je počinila ili će počiniti kazneno djelo („osumnjičenik”)). U nekim se zakonima država članica ne navode (u nekoj mjeri ili uopće) kategorije iz Direktive o zaštiti podataka pri izvršavanju zakonodavstva. Pri navođenju kategorije „osumnjičenici” nekim se nacionalnim zakonima ne zahtijeva da postoje „ozbiljni razlozi za sumnju da su osobe počinile ili će počiniti kazneno djelo”. U nadolazećoj odluci Suda Europske unije u predmetu Ministerstvo na vatreshnite raboti protiv B.C., koji je u tijeku, dodatno će se pojasniti tumačenje Direktive o zaštiti podataka pri izvršavanju zakonodavstva u pogledu kategorija ispitanikâ, uključujući zahtjev da bi kategoriziranje ispitanika kao osumnjičenika trebalo biti uvjetovano postojanjem „ozbiljnih razloga za sumnju da je počinio ili će počiniti kazneno djelo” . Razlika između razreda osobnih podataka i provjera njihove kvalitete Države članice trebaju osigurati da se osobni podaci utemeljeni na činjenicama što više razlikuju od osobnih podataka utemeljenih na osobnim procjenama. One trebaju i poduzeti mjere kojima će osigurati da se osobni podaci koji su netočni, nepotpuni ili više nisu ažurni ne prenose ni stavljaju na raspolaganje. Ako se prenesu netočni podaci, primatelji moraju biti obaviješteni bez odgode i u takvom se slučaju osobni podaci moraju ispraviti, obrisati ili treba ograničiti njihovu obradu. Iako je većina država članica prenijela taj zahtjev, neke potrebne posebne mjere nisu izričito predviđene u nekoliko nacionalnih zakona kojima se prenosi Direktiva. Zapisivanje Ukupno 12 država članica iskoristilo je mogućnost odgode usklađivanja njihova automatiziranog sustava obrade sa zahtjevima o zapisivanju do svibnja 2023. Većina država članica predvidjela je da se zapisi vode za postupke obrade u automatiziranim sustavima obrade. Nekim se nacionalnim zakonima ne zahtijeva zapisivanje svih vrsta postupaka. Direktivom o zaštiti podataka pri izvršavanju zakonodavstva utvrđuju se minimalne vrste informacija koje zapisi moraju sadržavati. Neki nacionalni zakoni ne obuhvaćaju sve potrebne vrste informacija (npr. razlog obavljanja uvida ili otkrivanja osobnih podataka). 3.Prve pouke izvučene iz primjene i funkcioniranja Direktive o zaštiti podataka pri izvršavanju zakonodavstva 3.1.Pritužbe i pozitivan učinak na prava ispitanikâ Direktivom o zaštiti podataka pri izvršavanju zakonodavstva jamči se zaštita temeljnih prava i sloboda pojedinaca, a posebno prava na zaštitu podataka. Njome se pruža sveobuhvatan okvir za prava ispitanikâ i za način na koji se ta prava mogu ostvariti, uključujući njihovo pravo na informiranje, pristup, ispravak ili brisanje njihovih osobnih podataka, kao i za jamčenje ograničenja obrade. Zahvaljujući Direktivi o zaštiti podataka pri izvršavanju zakonodavstva ispitanici bolje razumiju svoja prava i kako ih mogu ostvariti, a to se odražava u povećanju broja zahtjeva podnesenih nadležnim tijelima. Praksa je pokazala da se ispitanici, od svih prava koja im se daju na temelju Direktive o zaštiti podataka pri izvršavanju zakonodavstva, kod nadležnih tijela najviše pozivaju na pravo pristupa i brisanja . Direktivom o zaštiti podataka pri izvršavanju zakonodavstva dopuštaju se i ograničenja određenih prava (prava pristupa i prava na ispravak ili brisanje) i informacija koje voditelj obrade podataka mora dati ispitaniku u vezi s osobnim podacima koji su obrađeni. Ispitanici mogu od nadzornih tijela za zaštitu podataka zahtijevati da preispitaju ograničenje predmetnog prava koje je nadležno tijelo stavilo ili tražiti da provjere je li ograničenje provedeno u skladu s Direktivom o zaštiti podataka pri izvršavanju zakonodavstva (neizravno ostvarenje prava) . Otprilike polovina nadzornih tijela za zaštitu podataka izvijestila je da je primila takav zahtjev. Praksa pokazuje da broj primljenih zahtjeva može znatno varirati (npr. jedan takav zahtjev primljen je u Hrvatskoj, ali više od 1 500 zahtjeva primljeno je u Francuskoj). Iako su nadzorna tijela za zaštitu podataka nakon provjere ili preispitivanja tih pritužbi utvrdila da je većina zahtjeva nedopuštena, voditelju obrade podataka u nekoliko je slučajeva naloženo da ispravi ili obriše osobne podatke ili da ograniči obradu osobnih podataka, čime je zajamčena pravilna primjena ograničenjâ. Direktivom o zaštiti podataka pri izvršavanju zakonodavstva predviđa se da neprofitno tijelo, organizacija ili udruženje mogu podnijeti pritužbu u ime ispitanika. Međutim, čini se da se ta mogućnost nedovoljno iskorištava (samo četiri nadzorna tijela za zaštitu podataka izvijestila su da su primila takvu pritužbu od predstavničkog tijela). Isto tako, organizacije civilnog društva izvijestile su o tek malom broju zahtjeva za podnošenje takve pritužbe.

Svoje pravo na podnošenje pritužbi nadzornim tijelima za zaštitu podataka sve više iskorištavaju i pojedinci, među ostalim ako nadležna tijela ograniče ostvarivanje prava ispitanikâ. Više od trećine nadzornih tijela za zaštitu podataka izvijestilo je o povećanju broja pritužbi primljenih nakon prenošenja Direktive o zaštiti podataka pri izvršavanju zakonodavstva u njihove države članice . Neke od najčešćih pritužbi koje su nadzorna tijela za zaštitu podataka primila odnosile su se na ograničenje prava pristupa , na pravo na ispravak ili brisanje te pravo na informiranje i njegova ograničenja Nakon toga slijede pritužbe koje su se odnosile na načelo ograničenja pohrane, kojim se od nadležnog tijela zahtijeva da pohranjuje osobne podatke samo onoliko koliko je potrebno te na pravo na informiranje. 3.2.Veća osviještenost nadležnih tijela o zaštiti podataka Države članice izvješćuju da je uvođenje Direktive o zaštiti podataka pri izvršavanju zakonodavstva imalo i nastavlja imati velik učinak na osviještenost nadležnih tijela o važnosti zaštite podataka. Nekoliko nadzornih tijela za zaštitu podataka izrazilo je svoje mišljenje da je najveći učinak Direktive o zaštiti podataka pri izvršavanju zakonodavstva bio povećanje osviještenosti i usmjeravanje na pitanja zaštite podataka i prava ispitanikâ . To je pokazala i komunikacija između nadzornih tijela za zaštitu podataka i nadležnih tijela o pravima ispitanikâ i načinima ostvarivanja tih prava . Neka su nadležna tijela izvijestila da su zbog toga dodijelila više sredstava za zaštitu podataka . To se odnosilo na ulaganje u uključivanje načela tehničke i integrirane privatnosti u njihove informacijske sustave, uspostavljanje razdoblja čuvanja podataka, primjenu načela smanjenja količine podataka i prijavu kršenja. Kasnije je prijavljeno da se poboljšala ukupna sigurnost obrađenih podataka . Osposobljavanje i aktivnosti podizanja svijesti koje provode nadzorna tijela za zaštitu podataka pridonose i pravilnoj provedbi Direktive o zaštiti podataka pri izvršavanju zakonodavstva, a nadzorna tijela zadužena su za upoznavanje voditelja i izvršitelja obrade podataka s njihovim obvezama prema toj direktivi. Mnoga nadzorna tijela za zaštitu podataka podižu svijest objavljivanjem smjernica. Neke od tema kojima se bave različita nadzorna tijela za zaštitu podataka uključuju: pomoć sudstvu, državnom odvjetništvu i policijskim tijelima u usklađenosti s načelima odgovornosti, razmjenu osobnih podataka s policijom, imenovanje službenika za zaštitu podataka, provođenje procjene učinka na zaštitu podataka, obradu podataka u područjima kriminala kao što su organizirani kriminal i terorizam, vođenje evidencije o aktivnostima obrade i zapisivanju, provođenje videonadzora, pružanje informacija ispitanicima, obavješćivanje o povredama podataka, obveze voditeljâ obrade i ostvarivanje prava pojedinaca. Međutim, osam nadzornih tijela za zaštitu podataka još nije izdalo nikakve smjernice i/ili praktične alate za podupiranje nadležnih tijela i izvršitelja obrade podataka u ispunjavanju njihovih obveza. Nadalje, 12 nadzornih tijela za zaštitu podataka nije osiguralo nikakvo osposobljavanje niti provelo aktivnosti podizanja svijesti nadležnih tijela ili izvršitelja obrade podataka u okviru Direktive o zaštiti podataka pri izvršavanju zakonodavstva. Među nadzornim tijelima za zaštitu podataka koja su provodila takve aktivnosti najčešće su teme bile: obrada podataka koju provode policija, državno odvjetništvo te pravosudna i zatvorska tijela, definiranje odgovarajućih područja primjene Opće uredbe o zaštiti podataka i Direktive o zaštiti podataka pri izvršavanju zakonodavstva, upotreba osobnih podataka s društvenih mreža, obrada podataka u policijskoj dokumentaciji, tehnike videonadzora i velike količine podataka, postupanje s pravima ispitanikâ i obrada osobnih podataka zatvorenika . Još jedna novost u Direktivi o zaštiti podataka pri izvršavanju zakonodavstva jest zahtjev da voditelji obrade podataka imenuju službenika za zaštitu podataka, koji je, među ostalim, zadužen za informiranje i savjetovanje o zahtjevima zaštite podataka, praćenje usklađenosti s Direktivom o zaštiti podataka pri izvršavanju zakonodavstva, savjetovanje o procjenama učinka na zaštitu podataka i praćenje njezine izvedbe. To je dovelo do toga da nadležna tijela postaju svjesnija svojih obveza zaštite podataka, kao i pozitivnog učinka na usklađenost nadležnih tijela s pravilima o zaštiti podataka, što je priznalo i Vijeće . Važno je ulagati u razvoj i povećanje stručnosti i znanja službenikâ za zaštitu podataka kako bi se nadležnim tijelima pomoglo u dosljednoj primjeni Direktive o zaštiti podataka pri izvršavanju zakonodavstva. Komisija je stoga uspostavila Mrežu službenika za zaštitu podataka nadležnih tijela, agencija za pravosuđe i unutarnje poslove i Ureda europskog javnog tužitelja te olakšava njezino djelovanje. Mreža je stalna inicijativa usmjerena na primjenu Direktive o zaštiti podataka pri izvršavanju zakonodavstva u nadležnim tijelima država članica. Njome se nastoji pružiti platforma za suradnju i razmjenu stručnog znanja među službenicima za zaštitu podataka država članica. Mreža stručnjaka za zaštitu podataka Europola (EDEN) i nacionalne mreže službenika za zaštitu podataka za nadležna tijela važne su inicijative koje pomažu službenicima za zaštitu podataka nadležnih tijela u promicanju razmjene primjera najbolje prakse i informacija o primjeni Direktive o zaštiti podataka pri izvršavanju zakonodavstva. 3.3.Poboljšana sigurnost podataka, ali uz razlike u obavješćivanju o povredi podataka Direktivom o zaštiti podataka pri izvršavanju zakonodavstva poboljšala se sigurnost osobnih podataka zahtijevanjem da nadležna tijela poduzmu mjere za postizanje konkretnih sigurnosnih ciljeva. Na primjer, zahtijeva se da nadležna tijela provedu procjene učinka na zaštitu podataka kad postoji vjerojatnost da će aktivnost obrade podataka dovesti do visokog rizika za prava i slobode ispitanikâ. Procjene učinka uključuju utvrđivanje rizika i mjera za njihovo ublažavanje. Ovaj zahtjev te dosljedno pridržavanje načela tehničke i integrirane zaštite podataka i zahtjevâ za obavješćivanje o povredi podataka doveli su do poboljšanja sigurnosti obrade osobnih podataka . To je prepoznalo i Vijeće, utvrdivši da se Direktivom o zaštiti podataka pri izvršavanju zakonodavstva poboljšala razina sigurnosti podataka, među ostalim zahvaljujući sigurnosnim planovima, ažuriranju informacijskih sustava i organizacijskih mjera, procjenama učinka na zaštitu podataka i zahtjevu da nadležna tijela vode evidenciju o određenim postupcima obrade. U Direktivi o zaštiti podataka pri izvršavanju zakonodavstva utvrđuju se okolnosti u kojima voditelji obrade podataka moraju obavijestiti svoje nadzorno tijelo za zaštitu podataka i predmetnog ispitanika o povredi osobnih podataka. Unatoč toj obvezi postoji znatna nejednakost u broju povreda podataka o kojima su obaviještena nadzorna tijela za zaštitu podataka otkad je uvedena Direktiva o zaštiti podataka pri izvršavanju zakonodavstva . Šest nadzornih tijela za zaštitu podataka izvijestilo je da nije primilo nikakve obavijesti o povredi podataka , a nekoliko drugih izvijestilo je da je primilo vrlo malo takvih obavijesti. Na primjer, talijansko tijelo prijavilo je samo tri obavijesti o povredi podataka, francusko tijelo prijavilo ih je osam, a nizozemsko tijelo više od 500. Ta razlika u broju prijavljenih obavijesti o povredi podataka sugerira (nakon uzimanja u obzir faktora kao što je veličina populacije) da se čini da postoje različite prakse između nadležnih tijela država članica u pogledu toga što se smatra povredom i kad je treba prijaviti nadzornom tijelu za zaštitu podataka. Komisija je to napomenula i u svojem izvješću o Općoj uredbi o zaštiti podataka. Odbor je nedavno objavio smjernice o kršenjima Opće uredbe o zaštiti podataka . Te smjernice, iako nisu izravno primjenjive, irelevantne su i za povrede podataka prema Direktivi o zaštiti podataka pri izvršavanju zakonodavstva. Stoga bi trebale pridonijeti ujednačenijem pristupu postupanju s povredama podataka prema Direktivi o zaštiti podataka pri izvršavanju zakonodavstva u svim državama članicama. 3.4.Nadzor koji provode nadzorna tijela za zaštitu podataka 3.4.1.Resursi nadzornih tijela za zaštitu podataka Osiguravanje potrebnih ljudskih, tehničkih i financijskih resursa, prostorija i infrastrukture za svako tijelo za zaštitu podataka preduvjet je za djelotvorno obavljanje njegovih zadaća i izvršavanje njegovih ovlasti, a time i bitan uvjet za njegovu neovisnost. Komisija stalno ističe da su države članice obvezne dodijeliti dovoljno ljudskih, financijskih i tehničkih resursa nadzornim tijelima za zaštitu podataka. Vijeće je isto tako posebno pozvalo države članice da dodijele dovoljno ljudskih, tehničkih i financijskih resursa nadzornim tijelima za zaštitu podataka. Međutim, čini se da se ukupno povećanje broja članova osoblja nadzornih tijela za zaštitu podataka proteklih godina ne odnosi na rad na zadacima povezanima s Direktivom o zaštiti podataka pri izvršavanju zakonodavstva. Broj članova osoblja koje radi na Direktivi o zaštiti podataka pri izvršavanju zakonodavstva ostao je isti ili se čak smanjio u polovini nadzornih tijela za zaštitu podataka. Svako povećanje bilo je vrlo skromno, u prosjeku manje od dvije osobe u ekvivalentu punog radnog vremena („EPRV”). U gotovo polovini nadzornih tijela za zaštitu podataka (uključujući ona s ukupnim brojem zaposlenika većim od 100 EPRV-a), od manje od 1 % do 7 % ukupnog broja članova osoblja radi na Direktivi o zaštiti podataka pri izvršavanju zakonodavstva. U apsolutnim brojevima otprilike polovina nadzornih tijela za zaštitu podataka dodjeljuje od jednog do četiri EPRV-a zadacima povezanima s Direktivom o zaštiti podataka pri izvršavanju zakonodavstva, a osam nadzornih tijela za zaštitu podataka dodjeljuje od sedam do petnaest EPRV-a zadacima povezanima s Direktivom o zaštiti podataka pri izvršavanju zakonodavstva. Međutim, jedno nadzorno tijelo za zaštitu podataka ima 53 EPRV-a koji rade na Direktivi o zaštiti podataka pri izvršavanju zakonodavstva. Slično tomu, tajništvo Europskog odbora za zaštitu podataka posvetilo je manje od 1,5 EPRV-a pitanjima koja su u potpunosti povezana s Direktivom o zaštiti podataka pri izvršavanju zakonodavstva. Ovo stanje nije zadovoljavajuće, čak i ako je 10 nadzornih tijela za zaštitu podataka navelo da ima dovoljno financijskih, ljudskih i tehničkih resursa. S druge strane, 16 nadzornih tijela za zaštitu podataka utvrdilo je da nema dovoljno resursa. Od tih tijela neka su napomenula da je to negativno utjecalo na istrage koje pokreću na vlastitu inicijativu, njihovo postupanje po pritužbama, inspekciju velikih informacijskih sustava (SIS, VIS) i izdavanje mišljenja na vlastitu inicijativu. Naime, specifične karakteristike sektora znače da učinkovita provedba Direktive o zaštiti podataka pri izvršavanju zakonodavstva zahtijeva sustavnu inspekciju aktivnosti obrade koje su često složene te da nije dovoljno oslanjati se na pojedinačne pritužbe (kojih je mnogo manje nego za Opću uredbu o zaštiti podataka). Nadalje, nadzorna tijela za zaštitu podataka ukazala su na nedostatak stručnog znanja u području informacijskih tehnologija u pronalasku rješenja za sve veću složenost informacijskih tehnologija koje se upotrebljavaju pri izvršavanju zakonodavstva.

3.4.2.Primjena ovlasti Primjena korektivnih ovlasti Ukupno 19 nadzornih tijela za zaštitu podataka primijenilo je svoje istražne ovlasti – na vlastitu inicijativu ili na temelju pritužbe. Nadzorna tijela za zaštitu podataka prijavila su poteškoće samo u vrlo malom broju slučajeva (npr. kad voditelj obrade podataka nije pružio sve relevantne informacije ili je uskratio pristup informacijama). Istih 19 nadzornih tijela za zaštitu podataka primijenilo je i korektivne ovlasti. Daleko najčešće primijenjena ovlast bila je izdavanje naloga za usklađivanje obrade sa zakonom, uključujući naloge za ispravak ili brisanje osobnih podataka ili ograničavanje njihove obrade. Nadzorna tijela za zaštitu podataka tu su ovlast primijenila u 114 slučajeva. Činjenica da je ta ovlast za izdavanje naloga za privremeno ili konačno ograničenje (uključujući zabranu) obrade primijenjena u samo četiri slučaja pokazuje da su nadzorna tijela za zaštitu podataka pažljivo primjenjivala te ovlasti. Primjena savjetodavnih ovlasti Sustavno provođenje prethodnih savjetovanja i traženje mišljenja nadzornih tijela za zaštitu podataka o nacrtima zakonskih i administrativnih mjera učinkovito su sredstvo kojim se osigurava visoka razina zaštite prava na zaštitu osobnih podataka i smanjuje broj naknadnih pritužbi. Prethodno savjetovanje s nadzornim tijelima za zaštitu podataka posebno je važno pri upotrebi novih tehnologija koje znatno utječu na temeljna prava. Polovina nadzornih tijela za zaštitu podataka izjavila je da je provela savjetovanja o procjenama učinka na zaštitu podataka. Broj prethodnih savjetovanja razlikuje se među državama članicama. Neka su tijela primila samo jedan zahtjev za savjetovanje, a jedno je tijelo primilo 59 zahtjeva za prethodno savjetovanje. U većini tih slučajeva nadzorna tijela za zaštitu podataka pružala su pisane savjete, a u nekim su slučajevima primjenjivala svoje korektivne ovlasti u vezi s obradom. Posebno su izdavala upozorenja ili nalagala mjere kako bi se obrada podataka uskladila sa zakonom. U jednom je slučaju nadzorno tijelo za zaštitu podataka izdalo negativno mišljenje koje je, čini se, imalo isti učinak kao i zabrana obrade. Osim toga, čini se da se nadzorna tijela za zaštitu podataka bave i zahtjevima za savjete izvan postupka prethodnog savjetovanja. Najčešća vrsta pitanja u vezi s kojima su se nadležna tijela obratila nadzornim tijelima za zaštitu podataka radi savjeta bila su povezana s konkretnom vrstom obrade podataka (osobito s upotrebom novih tehnologija, mehanizama ili postupaka, zatim s odgovarajućim sigurnosnim mjerama, obradom posebnih kategorija osobnih podataka, određivanjem pravne osnove za obradu, načelom ograničenja pohrane i odgovarajućim rokovima). Nadalje, 22 nadzorna tijela za zaštitu podataka izdala su mišljenja svojim nacionalnim parlamentima i vladama o zakonodavnim i administrativnim mjerama u vezi s obradom osobnih podataka. Nekoliko ih je navelo da povremeno prima zahtjeve za savjetovanje. 3.4.3.Sudski nadzor postupaka nadzornih tijela za zaštitu podataka Gotovo polovina nadzornih tijela za zaštitu podataka navela je da se u malom broju slučajeva suočila sa sudskim postupcima u vezi sa svojim odlukama ili nepostupanjem. Postupke su uglavnom pokrenuli ispitanici, a u nekoliko slučajeva i nadležna tijela. Nekoliko predmeta sudovi su proglasili nedopuštenima ili su ih podnositelji zahtjeva povukli. Sud je potvrdio odluku nadzornog tijela za zaštitu podataka u većini preostalih predmeta, ali ju je u nekim predmetima poništio (a drugi su predmeti još bili u tijeku). Mali broj presuda do danas znači da još nije moguće otkriti jasan trend. 3.4.4.Smjernice Europskog odbora za zaštitu podataka Dosljednost i visoka razina zaštite među državama članicama ključni su kako bi se osigurala učinkovita pravosudna suradnja u kaznenim stvarima i policijska suradnja. U Direktivi o zaštiti podataka pri izvršavanju zakonodavstva predviđa se da Europski odbor za zaštitu podataka izdaje smjernice, preporuke i primjere najbolje prakse (na vlastitu inicijativu ili na zahtjev Komisije) kako bi se osiguralo da države članice dosljedno primjenjuju Direktivu o zaštiti podataka. Europski odbor za zaštitu podataka izradio je posebne smjernice za Direktivu o zaštiti podataka pri izvršavanju zakonodavstva relevantne za Poglavlje V. (međunarodni prijenosi podataka), smjernice o upotrebi tehnologija za prepoznavanje lica i (u nekadašnjem svojstvu Radne skupine iz članka 29.) mišljenje o nekim ključnim pitanjima Direktive o zaštiti podataka pri izvršavanju zakonodavstva. Mnoge smjernice Europskog odbora za zaštitu podataka koje se odnose na Opću uredbu o zaštiti podataka relevantne su i za Direktivu o zaštiti podataka pri izvršavanju zakonodavstva u mjeri u kojoj se oslanjaju na zajedničke koncepte ili tehnologije. Takve smjernice uključuju smjernice o konceptu voditelja obrade podataka i izvršitelja obrade podataka, o pravima ispitanikâ, o obavješćivanju o povredi osobnih podataka, o procjeni učinka na zaštitu podataka, o tehničkoj i integriranoj zaštiti podataka te o individualnom automatiziranom donošenju odluka. Za izradu sveobuhvatnih i praktičnih smjernica potrebni su značajan rad i resursi, ali one su ključne (kao što je napomenulo i Vijeće). Stoga je vrlo pozitivno što je Europski odbor za zaštitu podataka naznačio da će uskoro pružiti dodatne smjernice, među ostalim o konceptu stvarnih istražnih i korektivnih ovlasti nadzornih tijela za zaštitu podataka te o međunarodnim prijenosima podataka koji podliježu odgovarajućim zaštitnim mjerama. Smjernice Europskog odbora za zaštitu podataka mogu i smanjiti radno opterećenje nadzornih tijela za zaštitu podataka (npr. zadatke kao što su savjetovanje voditelja obrade podataka ili rješavanje pritužbi). Na primjer, nekoliko pitanja koja se razmatraju u mišljenju Radne skupine iz članka 29. o nekim ključnim pitanjima Direktive o zaštiti podataka pri izvršavanju zakonodavstva (kao što su odgovarajući rokovi, pravna osnova obrade, uvjeti za obradu posebnih kategorija podataka) ujedno su neka od najvažnijih čestih pitanja u vezi s kojima su nadležna tijela tražila savjet od nadzornih tijela za zaštitu podataka. 3.4.5.Uzajamna pomoć Kako bi se osigurala dosljedna primjena Direktive o zaštiti podataka pri izvršavanju zakonodavstva, nadzorna tijela za zaštitu podataka dužna su si međusobno pomagati. To uključuje pomoć u obliku zahtjeva za informacije i zahtjeva za provođenje savjetovanja, inspekcija i istraga. Međutim, mehanizam uzajamne pomoći dosad se vrlo rijetko primjenjivao. Primijenilo ga je samo šest nadzornih tijela za zaštitu podataka, prvenstveno kao odgovor na zahtjeve za informacije primljene od drugih nadzornih tijela za zaštitu podataka. Većina nadzornih tijela za zaštitu podataka navela je da je primila samo jedan zahtjev za informacije. Sva navedena tijela za nadzor zaštite podataka izvijestila su da su postupila u skladu sa zaprimljenim zahtjevom. Nije se primjenjivala ni dobrovoljna razmjena uzajamne pomoći koja nema zakonski rok ni stroga obveza odgovora. Europski odbor za zaštitu podataka izjavio je da će objaviti smjernice o okviru uzajamne pomoći prema Općoj uredbi o zaštiti podataka i Direktivi o zaštiti podataka pri izvršavanju zakonodavstva. 3.5.Fleksibilan instrument za međunarodne prijenose podataka

Poglavlje V. Direktive o zaštiti podataka pri izvršavanju zakonodavstva obuhvaća prijenose osobnih podataka nadležnim tijelima u trećim zemljama i međunarodnim organizacijama. Ovo poglavlje zapravo osigurava postojanje kontinuiteta zaštite kad se osobni podaci prenose iz države članice u treću zemlju ili međunarodnu organizaciju u svrhu izvršavanja zakonodavstva. Kako je prethodno navedeno, takav kontinuitet zaštite važan je uvjet za brzu, učinkovitu i pravno izvjesnu suradnju pouzdanih partnera u izvršavanju zakonodavstva. Naime, prema relevantnim pravilima Direktive o zaštiti podataka pri izvršavanju zakonodavstva , međunarodni prijenosi podataka među nadležnim tijelima u smislu Direktive o zaštiti podataka pri izvršavanju zakonodavstva moraju se temeljiti na jednom od alata za prijenos podataka navedenih u člancima od 36. do 38. Direktive o zaštiti podataka pri izvršavanju zakonodavstva (ako podaci potječu iz druge države članice, za prijenos je potrebno i prethodno odobrenje te države članice). Ti alati uključuju odluke o primjerenosti, prijenose podataka na temelju odgovarajućih zaštitnih mjera i primjenu odstupanja u određenim situacijama. U članku 39. Direktive o zaštiti podataka pri izvršavanju zakonodavstva dopuštaju se i izravni prijenosi podataka primateljima koji nisu tijela za izvršavanje kaznenog zakonodavstva, koji imaju poslovni nastan u trećim zemljama u pojedinačnim i posebnim slučajevima te na temelju nekih uvjeta. 3.5.1.Odluke o primjerenosti Komisija je ubrzala svoj rad na ostvarivanju punog potencijala alata dostupnih u okviru Direktive o zaštiti podataka pri izvršavanju zakonodavstva. To je uključivalo prvo donošenje „odluke o primjerenosti”, koja obuhvaća aktivnosti obrade podataka u svrhu izvršavanja zakonodavstva prema članku 36. Direktive o zaštiti podataka pri izvršavanju zakonodavstva, s Ujedinjenom Kraljevinom u lipnju 2021. Ta odluka o primjerenosti omogućuje siguran i slobodan protok osobnih podataka nadležnim tijelima predmetne treće zemlje bez potrebe za daljnjim zaštitnim mjerama ili posebnim odobrenjem (osim ako druga država članica iz koje su podaci dobiveni mora odobriti prijenos ). Odluka o primjerenosti za Ujedinjenu Kraljevinu iz lipnja 2021. ključni je temelj za policijsku i pravosudnu suradnju nakon Brexita, koja se, prema Sporazumu o trgovini i suradnji između EU-a i Ujedinjene Kraljevine, temelji na „dugogodišnjoj predanosti stranaka osiguravanju visoke razine zaštite osobnih podataka” . U skladu s člankom 36. stavkom 4. Direktive o zaštiti podataka pri izvršavanju zakonodavstva Komisija prati svaki razvoj pravnog okvira Ujedinjene Kraljevine koji bi mogao utjecati na tu odluku o primjerenosti. Ta odluka o primjerenosti s Ujedinjenom Kraljevinom trebala bi se primjenjivati četiri godine od njezina stupanja na snagu, s mogućnošću produljenja u načelu za još četiri godine ako nadzor Komisije potvrdi da Ujedinjena Kraljevina još uvijek održava odgovarajuću razinu zaštite . Osim toga, Europski odbor za zaštitu podataka pridonio je i razvoju tog instrumenta pojašnjavanjem pravnog standarda korištenjem smjernicama o elementima koji se moraju uzeti u obzir pri procjeni primjerenosti u kontekstu izvršavanja zakonodavstva, izdavanjem referentnog dokumenta o primjerenosti na temelju Direktive o zaštiti podataka pri izvršavanju zakonodavstva . Naime, treća zemlja mora osigurati provediva pojedinačna prava, učinkovitu sudsku zaštitu i neovisni nadzor. Komisija aktivno promiče mogućnost donošenja zaključaka o primjerenosti s drugim ključnim međunarodnim partnerima koji ispunjavaju uvjete, posebno u onim zemljama s kojima je potrebna bliska i brza suradnja u borbi protiv kriminala i terorizma te s kojima se već razmjenjuje mnogo osobnih podataka. Iako dosad nisu donesene druge odluke o primjerenosti, to je uglavnom zato što je taj instrument tek nedavno uveden. Osim toga, i za razliku od obrade podataka koju provode komercijalni subjekti, globalna konvergencija pravila o zaštiti podataka u području izvršavanja kaznenog zakonodavstva tek se sad počinje razvijati (potaknuta, na primjer, multilateralnim aranžmanima kao što je modernizirana Konvencija Vijeća Europe br. 108 ili Drugi dodatni protokol uz Budimpeštansku konvenciju o kibernetičkom kriminalu). Ipak, iskustvo stečeno donošenjem odluke o primjerenosti s Ujedinjenom Kraljevinom pomoći će da se postave temelji za slične inicijative u narednim godinama. Komisija će u okviru svoje međunarodne strategije razmotriti druge moguće kandidate za buduće odluke o primjerenosti na temelju Direktive o zaštiti podataka pri izvršavanju zakonodavstva i to će učiniti u izravnom kontaktu s drugim relevantnim institucijama i tijelima EU-a. U tu svrhu i u skladu s uvodnom izjavom 68. Direktive o zaštiti podataka pri izvršavanju zakonodavstva Komisija će obratiti osobitu pozornost na međunarodne obveze procijenjenih zemalja koje se odnose na zaštitu osobnih podataka, uključujući pristupanje prethodno navedenim multilateralnim aranžmanima ili drugim instrumentima za izvršavanje zakonodavstva koji osiguravaju odgovarajuće zaštitne mjere za zaštitu podataka. 3.5.2.Odgovarajuće zaštitne mjere Direktiva o zaštiti podataka pri izvršavanju zakonodavstva sadržava i druge instrumente prijenosa uz sveobuhvatno rješenje odluke o primjerenosti. Fleksibilnost tog paketa instrumenata odražava se u članku 37. Direktive o zaštiti podataka pri izvršavanju zakonodavstva, kojim se uređuju prijenosi podataka na temelju „odgovarajućih zaštitnih mjera” u pogledu zaštite osobnih podataka. Takve odgovarajuće zaštitne mjere mogu se osigurati ili pravno obvezujućim instrumentom ili kad voditelj obrade podataka na temelju procjene svih okolnosti prijenosa zaključi da postoje odgovarajuće zaštitne mjere (tzv. „samoprocjena” za prijenose). U prvim godinama primjene Direktive o zaštiti podataka pri izvršavanju zakonodavstva Komisija je posebno radila na obvezujućim pravnim instrumentima u obliku međunarodnih sporazuma koji pružaju odgovarajuće zaštitne mjere. Takvi sporazumi igraju važnu ulogu u kontekstu „tradicionalne” suradnje (tj. suradnje među nadležnim tijelima) i drugih oblika suradnje u izvršavanju zakonodavstva (tj. suradnje koja uključuje treće strane kao što su privatna poduzeća). Oni mogu poslužiti i kao temelj za prijenos podataka koji provode Europol i Eurojust u skladu sa svojim pravnim okvirima, čija su pravila o međunarodnim prijenosima vrlo slična onima iz Direktive o zaštiti podataka pri izvršavanju zakonodavstva. Kad je riječ o tradicionalnim oblicima suradnje u izvršavanju zakonodavstva, Komisija preispituje međunarodne sporazume donesene prije stupanja na snagu Direktive o zaštiti podataka pri izvršavanju zakonodavstva kako bi osigurala dosljednost s moderniziranim sustavom zaštite podataka EU-a . Prvo, Komisija procjenjuje odredbe o zaštiti podataka sadržane u postojećim Europolovim sporazumima o suradnji s trećim zemljama sklopljenima prije 1. svibnja 2017., kako je propisano Uredbom (EU) 2016/794 o Agenciji Europske unije za suradnju tijela za izvršavanje zakonodavstva (dalje u tekstu „Uredba o Europolu”) . U skladu s člankom 9. Protokola br. 36. priloženog Ugovoru o Europskoj uniji i UFEU-om (o prijelaznim odredbama) pravni učinci ovih sporazuma zadržavaju se dok se ti sporazumi ne stave izvan snage, ponište ili izmijene . Komisija će obavijestiti Europski parlament i Vijeće o rezultatima te procjene i, ako je potrebno, Vijeću će podnijeti preporuku za donošenje odluke o odobrenju otvaranja pregovora o izmjeni predmetnih sporazuma u skladu s člankom 218. UFEU-a. Riječ je o složenom zadatku koji uključuje procjenu 18 sporazuma i koji je odgođen zbog poremećaja uzrokovanih pandemijom bolesti COVID-19. Komisija očekuje da će dovršiti procjenu u drugoj polovini 2022. Usklađenost svih mehanizama suradnje u izvršavanju zakonodavstva s pravilima Direktive o zaštiti podataka pri izvršavanju zakonodavstva vodeće je načelo koje Komisija slijedi i kad pregovara o novim sporazumima za Europolov prijenos osobnih podataka trećim zemljama ili međunarodnim organizacijama. Otkako je sadašnja Uredba o Europolu stupila na snagu 2017., članak 218. UFEU-a pravna je osnova za takve međunarodne sporazume koji osiguravaju odgovarajuće zaštitne mjere. U 2018. i 2019. Vijeće je donijelo devet mandata Komisiji za početak pregovora s trećim zemljama u ime Unije. Komisija je ovlaštena i započeti pregovore o sporazumu o suradnji s Interpolom koji obuhvaćaju razmjenu podataka s nekoliko tijela i agencija EU-a. U svim tim slučajevima Vijeće je uputilo pregovaračke smjernice Komisiji kako bi osiguralo uključivanje potrebnih zaštitnih mjera za zaštitu osobnih podataka i drugih temeljnih prava i sloboda pojedinaca. Na temelju toga Komisija je već zaključila pregovore s Novim Zelandom, što je dovelo do potpisivanja sporazuma o suradnji 30. lipnja 2022. Osim toga, postignut je napredak i u pregovorima s Izraelom. Kad je riječ o Turskoj, pregovori su u naprednoj fazi, ali ne mogu se zaključiti dok Turska ne donese potrebne reforme u svojem zakonodavstvu o zaštiti podataka. Slična su ovlaštenja izdana u ožujku 2021. za pregovore o sporazumima o suradnji kako bi se Eurojustu omogućila razmjena podataka s 13 trećih zemalja. Drugo, Komisija provodi prvo zajedničko preispitivanje Sporazuma između Sjedinjenih Američkih Država i Europske unije o zaštiti osobnih informacija u vezi sa sprečavanjem, istragom, otkrivanjem i progonom kaznenih djela (Krovni sporazum). Krovni sporazum, koji je stupio na snagu u veljači 2017., sadržava sveobuhvatan i usklađen skup pravila o zaštiti podataka koja se primjenjuju na sve transatlantske razmjene između nadležnih tijela. Njime se nadopunjuju postojeći sporazumi između EU-a i SAD-a te između država članica EU-a i SAD-a koji se odnose na tijela za izvršavanje kaznenog zakonodavstva, postavlja standard visoke razine zaštite budućih sporazuma u tom području i jača suradnja u izvršavanju zakonodavstva olakšavanjem razmjene informacija. Zajedničkim preispitivanjem nastoji se procijeniti učinkovita provedba Krovnog sporazuma, posebno u pogledu odredaba o daljnjem prijenosu, pojedinačnim pravima i sudskoj zaštiti. Na raspored zajedničkog preispitivanja utjecali su poremećaji povezani s pandemijom bolesti COVID-19, kao i paralelni pregovori o Drugom dodatnom protokolu uz Budimpeštansku konvenciju Vijeća Europe o kibernetičkom kriminalu . Komisija očekuje da će biti dovršeno u drugoj polovini 2022. Kao prvi bilateralni međunarodni sporazum sa sveobuhvatnim katalogom prava i obveza u vezi sa zaštitom podataka, Krovni sporazum referentna je točka za pregovore o sličnim okvirnim sporazumima s važnim partnerima za izvršavanje kaznenog zakonodavstva. Komisija će pritom uzeti u obzir i relevantna kretanja, uključujući smjernice Europskog odbora za zaštitu podataka, sudsku praksu Suda Europske unije i ishod međunarodnih pregovora o zaštitnim mjerama za zaštitu podataka u tom području (kao što je, na primjer, Drugi dodatni protokol uz Budimpeštansku konvenciju Vijeća Europe o kibernetičkom kriminalu ili sporazum Europola s Novim Zelandom). Treće, Komisija je utvrdila da je Sporazum između Europske unije i Japana o međusobnoj pravnoj pomoći u kaznenim stvarima (ugovor o uzajamnoj pravnoj pomoći između EU-a i Japana) akt EU-a kojim se uređuje obrada (prijenos) podataka u svrhu izvršavanja kaznenog zakonodavstva i koji je potrebno izmijeniti kako bi se osigurale odgovarajuće zaštitne mjere za zaštitu podataka u skladu s Direktivom o zaštiti podataka pri izvršavanju zakonodavstva. Nakon što je Vijeće donijelo odluku kojom se odobrava otvaranje pregovora za izmjenu ugovora o uzajamnoj pravnoj pomoći između EU-a i Japana, Komisija nastavlja surađivati s japanskim vlastima kako bi što prije započeli pregovori. Osim toga, sad se sve više oslanja na druge oblike suradnje prilagođene posebnim izazovima i potrebama kaznenih istraga u današnjem digitalnom gospodarstvu. To se uglavnom odnosi na pojačanu suradnju u području kibernetičkog kriminala i prikupljanja dokaza o kaznenim djelima u elektroničkom obliku. Ta suradnja uključuje izravnu suradnju s privatnim stranama za pristup elektroničkim dokazima. Komisija surađuje i s međunarodnim partnerima kako bi osigurala da se ti drugi (važni) oblici suradnje mogu odvijati na temelju odgovarajućih zaštitnih mjera za zaštitu podataka. Prvo, Komisija je predstavljala EU na pregovorima u okviru Vijeća Europe o Drugom dodatnom protokolu uz Budimpeštansku konvenciju Vijeća Europe o kibernetičkom kriminalu . Protokol koji je odobrio Odbor ministara Vijeća Europe 17. studenoga 2021. sadržava pouzdane zaštitne mjere za zaštitu temeljnih prava, uključujući članak koji sadržava detaljne odredbe o zaštiti osobnih podataka koji se prenose u skladu s Protokolom. Te odredbe obuhvaćaju sva temeljna načela zaštite podataka, prava i obveze priznate u okviru prava Unije. Ta su jamstva dopunjena odredbom o nadzoru i mogućnošću obustave prijenosâ u slučaju sustavnog ili materijalnog kršenja zaštitnih mjera sadržanih u Protokolu, na primjer, nepostojanja učinkovitih pravnih lijekova. Tim se odredbama osiguravaju odgovarajuće zaštitne mjere u skladu sa zahtjevima članka 37. stavka 1. točke (a) Direktive o zaštiti podataka pri izvršavanju zakonodavstva . Riječ je o značajnom postignuću s obzirom na raznoliko članstvo Budimpeštanske konvencije o kibernetičkom kriminalu, u kojem trenutačno sudjeluje 66 država stranaka koje predstavljaju različite pravne kontekste i tradicije. Omogućit će nadležnim tijelima država članica da imaju koristi od učinkovite prekogranične suradnje u borbi protiv kibernetičkog kriminala, uz istodobno osiguravanje poštovanja vrijednosti EU-a iz Povelje EU-a o temeljnim pravima, Ugovorâ EU-a i sekundarnog prava Unije. S obzirom na veliki broj stranaka Budimpeštanske konvencije o kibernetičkom kriminalu, koja trenutačno uključuje zemlje iz cijeloga svijeta, Protokol će pomoći i u promicanju visokih standarda zaštite podataka za obradu podataka u području izvršavanja kaznenog zakonodavstva na globalnoj razini. Protokol je otvoren za potpisivanje 12. svibnja 2022., a već su ga potpisale ukupno 22 stranke Budimpeštanske konvencije o kibernetičkom kriminalu (uključujući 13 država članica EU-a). Drugo, Komisija je započela pregovore o bilateralnom sporazumu sa Sjedinjenim Američkim Državama o prekograničnom pristupu elektroničkim dokazima za pravosudnu suradnju u kaznenim stvarima. Ovim se ugovorom nastoje obuhvatiti elektronički dokazi u obliku neosobnih i osobnih podataka, uključujući podatke o prometu i sadržaju. Važno je da su pregovori usmjereni i na uključivanje dodatnih zaštitnih mjera za zaštitu podataka koje bi nadopunjavale one iz Krovnog sporazuma, posebno uzimajući u obzir osjetljivost predmetnih kategorija podataka, kao i zahtjeve za prijenos elektroničkih dokaza koji izravno provode pružatelji usluga. Napredak u tim pregovorima uvelike će ovisiti o napretku tekućeg zakonodavnog postupka o paketu EU-a o elektroničkim dokazima . Te različite inicijative Komisije za razvoj međunarodnih instrumenata koji olakšavaju suradnju u izvršavanju zakonodavstva s međunarodnim partnerima, a istodobno osiguravaju odgovarajuće zaštitne mjere za zaštitu podataka, podupire rad Europskog odbora za zaštitu podataka i Europskog nadzornika za zaštitu podataka. Taj rad uključuje izjavu Europskog odbora za zaštitu podataka o nacrtu Drugog dodatnog protokola uz Budimpeštansku konvenciju o kibernetičkom kriminalu i mišljenja Europskog nadzornika za zaštitu podataka o nacrtima pregovaračkih mandata za međunarodne sporazume prema članku 218. UFEU-a koji bi Europolu i Eurojustu omogućili razmjenu osobnih podataka s trećim zemljama ili međunarodnim organizacijama . Osim toga, Europski odbor za zaštitu podataka u okviru izjave pozvao je države članice da procijene i, prema potrebi, revidiraju međunarodne sporazume koji uključuju međunarodne prijenose osobnih podataka . Ta se izjava odnosi na sporazume koji su sklopljeni prije 6. svibnja 2016., među ostalim u području izvršavanja kaznenog zakonodavstva, i poziva države članice da utvrde je li potrebno daljnje usklađivanje sa zakonodavstvom EU-a o zaštiti podataka i sudskom praksom.

U članku 37. Direktive o zaštiti podataka pri izvršavanju zakonodavstva dopuštaju se i međunarodni prijenosi podataka na temelju samoprocjene nadležnog tijela o tome ima li treća zemlja (ili međunarodna organizacija) odgovarajuće zaštitne mjere za zaštitu podataka. U tim slučajevima tijelo mora dokumentirati prijenos (uključujući njegov datum i vrijeme, informacije o tijelu koje prima podatke, obrazloženje prijenosa i prenesene osobne podatke), a dokumentacija mora biti dostupna nadzornom tijelu na zahtjev (članak 37. stavak 3. Direktive o zaštiti podataka pri izvršavanju zakonodavstva). Povratne informacije koje su dostavile države članice pokazuju da se taj alat rijetko upotrebljavao. Kako bi se državama članicama omogućilo da u potpunosti iskoriste alate za prijenos Direktive o zaštiti podataka pri izvršavanju zakonodavstva, važno je da Europski odbor za zaštitu podataka intenzivira sadašnji rad na različitim mehanizmima prijenosa. Među ostalim, trebao bi pružiti smjernice o mehanizmima iz članka 37. stavka 1. Direktive o zaštiti podataka pri izvršavanju zakonodavstva, posebno u vezi s prijenosima na temelju samoprocjene nadležnih tijela. Tu je potrebu istaknulo i Vijeće. 3.5.3.Primjena odstupanja Konačno, takozvana „odstupanja” važan su temelj za prijenose pod određenim uvjetima, utvrđenima u članku 38. Direktive o zaštiti podataka pri izvršavanju zakonodavstva. Ti uvjeti uspostavljaju ravnotežu između pitanjâ privatnosti i operativnih potreba nadležnih tijela. Konkretno, u članku 38. stavku 1. dopuštaju se prijenosi, pa čak i kategorije prijenosâ osobnih podataka, kad su nužni za sprečavanje neposredne i ozbiljne prijetnje javnoj sigurnosti ili, u pojedinačnim slučajevima, u svrhu sprečavanja, istrage, otkrivanja ili progona kaznenih djela. Za razliku od odstupanja prema članku 49. Opće uredbe o zaštiti podataka, trenutačno ne postoje smjernice za odstupanja prema članku 38. Direktive o zaštiti podataka pri izvršavanju zakonodavstva. 3.5.4.Učinkovita policijska i pravosudna prekogranična suradnja Direktiva o zaštiti podataka pri izvršavanju zakonodavstva postala je međunarodna referentna točka za zaštitu podataka u kontekstu izvršavanja zakonodavstva i potaknula je zemlje u cijelom svijetu da razmotre uvođenje modernih pravila o privatnosti u tom području. Taj vrlo pozitivan razvoj događaja donosi nove prilike za bolju zaštitu pojedinaca u EU-u kad se njihovi podaci prenose u inozemstvo u svrhu izvršavanja zakonodavstva, a istodobno olakšava protok podataka koji može pomoći u borbi protiv kriminala. Općenito, važno je osigurati da, kad trgovačka društva aktivna na europskom tržištu prime izravan zahtjev za suradnju u dijeljenju podataka u svrhu izvršavanja zakonodavstva, to mogu činiti bez sukoba zakona i uz puno poštovanje temeljnih prava EU-a . Da bi se poboljšali takvi prijenosi podataka, Komisija se obvezuje razviti odgovarajuće pravne okvire sa svojim međunarodnim partnerima kako bi se izbjegao sukob zakona i poticala djelotvorna suradnja, konkretno tako da osigura potrebne zaštitne mjere za zaštitu podataka, te time pridonijeti učinkovitijoj borbi protiv kriminala. U tom kontekstu Komisija se uključila u bilateralne, regionalne i multilateralne okvire kako bi aktivno promicala međunarodnu konvergenciju standardâ zaštite podataka za suradnju u izvršavanju kaznenog zakonodavstva. Tijekom dijaloga s nekoliko stranih partnerskih zemalja o tekućim reformama zakonâ o zaštiti podataka službe Komisije angažirale su se na različite načine (npr. podnescima kao odgovorom na javna savjetovanja, sudjelovanjem u parlamentarnim raspravama i posebnim sastancima s vladinim predstavnicima i donositeljima političkih odluka) u pogledu izrade pravilâ o obradi osobnih podataka koju provode nadležna tijela. U regionalnom i multilateralnom okruženju Komisija, primjerice, podupire projekte izgradnje kapaciteta u kontekstu provedbe Budimpeštanske konvencije Vijeća Europe o kibernetičkom kriminalu . Ti projekti uključuju program GLACY+ za osnaživanje kapaciteta država za primjenu zakonodavstva o kibernetičkom kriminalu i poboljšanje njihove sposobnosti za učinkovitu međunarodnu suradnju u skladu s Budimpeštanskom konvencijom o kibernetičkom kriminalu i njezinim dodatnim protokolima. To uključuje i izradu zakonodavstva o zaštiti podataka radi obrade podataka u ovom području. Program trenutačno podupire 17 prioritetnih i središnjih zemalja u Africi, azijsko-pacifičkoj regiji, Latinskoj Americi i karipskoj regiji. Komisija surađuje i s Ameripolom, organizacijom za policijsku suradnju koja okuplja 18 zemalja Latinske Amerike, u kontekstu izrade okvira za zaštitu podataka radi razmjene informacija između Ameripola i njegovih država članica. Taj angažman odvija se u okviru projekta EL PAcCTO: podupiranje Ameripola, čija je svrha unaprijediti razinu međunarodne suradnje policijskih, pravosudnih i tužiteljskih tijela partnerskih zemalja u borbi protiv organiziranog kriminala. Komisija promiče i moderniziranu Konvenciju br. 108 (poznatu i pod nazivom Konvencija br. 108+), koja se isto može primijeniti na aktivnosti obrade podataka u svrhu izvršavanja kaznenog zakonodavstva. Ta konvencija, koja je otvorena i za zemlje koje nisu članice Vijeća Europe, važna je ne samo zato što je jedini multilateralni obvezujući sporazum o zaštiti podataka, nego i zato što u okviru svojeg Odbora Konvencije pruža forum za razmjenu primjera najbolje prakse i postavljanje globalnih standarda . Kao dio svoje međunarodne strategije o protoku podataka, Komisija potiče treće zemlje na pristupanje Konvenciji br. 108+. Naposljetku, Komisija potiče veću konvergenciju na međunarodnoj razini razmjenom našeg iskustva s partnerima o aspektima zaštite podataka u suradnji u izvršavanju kaznenog zakonodavstva. Komisijina „Akademija za zaštitu podataka”, dio projekta „Međunarodna digitalna suradnja – poboljšana zaštita podataka i protok podataka”, koji se financira iz Instrumenta za vanjsku politiku, ključan je alat u tom nastojanju. Akademija je osnovana radi poticanja razmjene između europskih regulatora i regulatora trećih zemalja te radi poboljšanja suradnje na terenu. Djelatnosti akademije obuhvaćaju sve aspekte nadzora zaštite podataka, uključujući područje izvršavanja zakonodavstva. 4.Daljnji koraci Kako bi osigurala učinkovitu sigurnosnu politiku EU-a kojom se u potpunosti poštuje temeljno pravo na zaštitu osobnih podataka, Komisija će nastaviti provjeravati jesu li države članice ispravno prenijele Direktivu o zaštiti podataka pri izvršavanju zakonodavstva u nacionalno pravo i pratiti primjenu njezinih odredaba. Direktiva o zaštiti podataka pri izvršavanju zakonodavstva znatno je pridonijela usklađenijoj i višoj razini zaštite pravâ pojedinaca te koherentnijem pravnom okviru za nadležna tijela. Direktiva o zaštiti podataka pri izvršavanju zakonodavstva općenito je prenesena u nacionalno pravo na zadovoljavajući način, ali utvrđen je i niz problema. Komisija je već pokrenula postupke zbog povrede prava u vezi s neprenošenjem u nacionalno pravo i nesukladnošću nacionalnih zakona s Direktivom o zaštiti podataka pri izvršavanju zakonodavstva. Nastavit će raditi na osiguravanju potpunog i pravilnog prijenosa u nacionalno pravo. Direktiva o zaštiti podataka pri izvršavanju zakonodavstva rezultirala je višom razinom svijesti i pažnje u vezi sa zaštitom podataka među nacionalnim nadležnim tijelima, kao i u vezi sa sigurnošću obrade podataka. Aktivni nadzor koji provode nadzorna tijela za zaštitu podataka ključan je kako bi se osiguralo postizanje ciljeva Direktive o zaštiti podataka pri izvršavanju zakonodavstva u praksi. Nadležnim je tijelima stoga potrebno dati sve vrste ovlasti koje se zahtijevaju u Direktivi o zaštiti podataka pri izvršavanju zakonodavstva, zajedno s odgovarajućim resursima. U ovoj fazi trebalo bi se usmjeriti na ostvarivanje punog potencijala Direktive o zaštiti podataka pri izvršavanju zakonodavstva. U tom kontekstu i s obzirom na ograničeno iskustvo s tim novim pravilima Komisija smatra da je prerano razmatrati reviziju Direktive o zaštiti podataka pri izvršavanju zakonodavstva. Komisija će nastaviti aktivno surađivati sa svim relevantnim stranama u kontekstu sljedeće evaluacije koja se treba provesti do 2026. U međuvremenu će nastaviti raditi na osiguravanju dosljednosti s drugim zakonodavstvom EU-a koje je relevantno za obradu osobnih podataka u svrhu izvršavanja kaznenog zakonodavstva.

Pravni okvir Komisija će: -nastaviti procjenjivati prenošenje Direktive o zaštiti podataka pri izvršavanju zakonodavstva u pravo država članica i prema potrebi poduzimati odgovarajuće mjere (uključujući pokretanje postupaka zbog povrede prava), -nastaviti bilateralnu razmjenu s državama članicama, -osigurati da budući zakonodavni prijedlozi budu u skladu s Direktivom o zaštiti podataka pri izvršavanju zakonodavstva. Države članice trebale bi: -osigurati potpuno i ispravno prenošenje Direktive o zaštiti podataka pri izvršavanju zakonodavstva na nacionalnoj razini, među ostalim navođenjem potrebnih zahtjeva Direktive o zaštiti podataka pri izvršavanju zakonodavstva kad to ne čine nacionalni akti o zaštiti podataka kojima se prenosi Direktiva o zaštiti podataka pri izvršavanju zakonodavstva. Nadzor koji provode nadzorna tijela za zaštitu podataka Države članice trebale bi: -osigurati nadzornim tijelima za zaštitu podataka dovoljno resursa za obavljanje njihovih zadataka provedbe Direktive o zaštiti podataka pri izvršavanju zakonodavstva, -osigurati da nadzorna tijela za zaštitu podataka mogu izvršavati sve vrste ovlasti navedene u Direktivi o zaštiti podataka pri izvršavanju zakonodavstva, -sustavno se savjetovati sa svojim nadzornim tijelima za zaštitu podataka o nacrtima zakonodavnih tekstova i administrativnih mjera opće primjene koji se odnose na zaštitu osobnih podataka te uzeti u obzir njihova mišljenja (osobito kad je riječ o novim tehnologijama). Nadzorna tijela za zaštitu podataka pozivaju se da: -u potpunosti koriste svoje istražne ovlasti, uključujući provođenje inspekcija na vlastitu inicijativu, -prikupljaju posebne statističke podatke koji se odnose na njihove nadzorne aktivnosti u okviru Direktive o zaštiti podataka pri izvršavanju zakonodavstva, -primjenjuju alate za uzajamnu pomoć i razvijaju praktične mjere za olakšavanje podnošenja zahtjeva za pomoć, među ostalim putem planiranih smjernica Europskog odbora za zaštitu podataka. Europski odbor za zaštitu podataka poziva se da: -proširi Stručnu skupinu za podršku za zadatke povezane s Direktivom o zaštiti podataka pri izvršavanju zakonodavstva. Podupiranje nadležnih tijela Komisija će:

-olakšati rasprave i razmjenu iskustava između država članica i Komisije u Stručnoj skupini država članica za Direktivu o zaštiti podataka pri izvršavanju zakonodavstva, -olakšati razmjenu mišljenja između službenika za zaštitu podataka putem Mreže službenika za zaštitu podataka. Države članice pozivaju se da: -nastave s nastojanjima za osposobljavanje nadležnih tijela u vezi sa zahtjevima za zaštitu podataka, među ostalim u vezi s novim tehnologijama. Europski odbor za zaštitu podataka i nadzorna tijela za zaštitu podataka pozivaju se da: -intenzivnije rade na donošenju relevantnih smjernica (npr. o ulozi privole u kontekstu obrade osobnih podataka u svrhu izvršavanja kaznenog zakonodavstva i o pravima ispitanikâ, uključujući njihova moguća ograničenja), donošenjem novih samostalnih smjernica ili dopunom smjernica koje su već donesene u okviru Opće uredbe o zaštiti podataka. Prekogranični prijenosi podataka Komisija namjerava: -aktivno promicati moguće nove odluke o primjerenosti s ključnim međunarodnim partnerima, -pregovarati o novim sporazumima o suradnji između Europola i Eurojusta s jedne strane i trećih zemalja s druge strane. Prema potrebi nastojat će ponovno pregovarati o postojećim sporazumima o suradnji s Europolom kako bi osigurala da uključuju odgovarajuće zaštitne mjere za zaštitu podataka, -uključiti se u pregovore s Japanom radi izmjene postojećeg Sporazuma između Europske unije i Japana o međusobnoj pravnoj pomoći kako bi se osigurale odgovarajuće zaštitne mjere za zaštitu podataka, -nastaviti i zaključiti pregovore o bilateralnom sporazumu sa Sjedinjenim Američkim Državama o prekograničnom pristupu elektroničkim dokazima za pravosudnu suradnju u kaznenim stvarima, među ostalim dopunjavanjem zaštitnih mjera za zaštitu podataka zajamčenih Krovnim sporazumom između EU-a i SAD-a kako bi se odrazio specifičan kontekst izravne suradnje tijelâ za izvršavanje kaznenog zakonodavstva i pružateljâ usluga, -istražiti mogućnost sklapanja okvirnih sporazuma o zaštiti podataka za obradu podataka u području izvršavanja kaznenog zakonodavstva s važnim partnerima za izvršavanje kaznenog zakonodavstva po uzoru na Krovni sporazum između EU-a i SAD-a. Europski odbor za zaštitu podataka poziva se da: -donese smjernice kako bi se dodatno razjasnio pojam i sadržaj „odgovarajućih zaštitnih mjera” (članak 37. Direktive o zaštiti podataka pri izvršavanju zakonodavstva), kao i primjena odstupanja (članak 38. Direktive o zaštiti podataka pri izvršavanju zakonodavstva). Promicanje konvergencije i razvoj međunarodne suradnje Komisija će: -proširiti svoj angažman s međunarodnim partnerima radi jačanja konvergencije pravila o zaštiti podataka u području izvršavanja kaznenog zakonodavstva, među ostalim promicanjem pristupanja Konvenciji br. 108+ kao jedinom obvezujućem globalnom sporazumu o zaštiti podataka, -promicati bilateralnu, regionalnu i multilateralnu suradnju i podupirati projekte izgradnje kapaciteta u području zaštite podataka i policijske suradnje. To će uključivati osposobljavanje i razmjenu znanja i najbolje prakse u okviru Akademije za zaštitu podataka. Države članice pozivaju se da: