Evaluator je proveo i internetsku anketu u 64 institucije, agencije, ureda i tijela Unije. Na anketna pitanja odgovorila su 422 službenika odgovorna za obradu podataka, 73 službenika za zaštitu podataka, 118 koordinatora zaštite podataka i 109 osoba zaduženih za IT. Evaluator je proveo i niz razgovora s dionicima. Zajedno s Komisijom 26. ožujka 2015. organizirao je završnu radionicu u kojoj su sudjelovali brojni voditelji obrade podataka, službenici za zaštitu podataka, koordinatori zaštite podataka, osobe zadužene za IT te predstavnici EDPS-a.

Člankom 22. uvodi se, u skladu s člankom 20. Uredbe (EU) 2016/679, pravo ispitanika na prenosivost podataka, tj. pravo na zaprimanje osobnih podataka koji se odnose na njega, a koje je dao voditelju obrade, odnosno pravo na izravni prijenos tih osobnih podataka drugom voditelju obrade ako je to tehnički izvedivo. Kao preduvjet te radi dodatnog poboljšanja pristupa pojedinaca svojim osobnim podacima, ovim se člankom predviđa pravo na dobivanje tih podataka od voditelja obrade u strukturiranom, uobičajenom i strojno čitljivom formatu. To se pravo primjenjuje samo ako se obrada temelji na privoli ispitanika ili na ugovoru zaključenom s ispitanikom.

U članku 21. utvrđuje se, u skladu s člankom 19. Uredbe (EU) 2016/679 te dodatno razrađujući članak 17. Uredbe (EZ) br. 45/2001, obveza voditelja obrade da primatelje kojima su otkriveni osobni podaci izvijesti o svakom ispravku ili brisanju osobnih podataka ili ograničenju obrade, osim ako se to pokaže nemogućim ili zahtijeva nerazmjeran napor. Voditelj obrade isto tako obavješćuje ispitanika o tim primateljima ako to ispitanik zatraži.

U članku 12. pojašnjavaju se obveze voditelja obrade podataka u pogledu informiranja ispitanika u skladu s člankom 11. Uredbe (EU) 2016/679 te se predviđa da ako voditelj obrade ne može utvrditi identitet pojedinca na temelju osobnih podataka koje obrađuje, on ne bi smio biti obvezan prikupiti dodatne informacije kako bi utvrdio identitet ispitanika isključivo radi pridržavanja bilo koje odredbe iz ove uredbe. No voditelj obrade ne bi smio odbiti prihvatiti dodatne informacije koje je ispitanik pružio radi ostvarivanja svojih prava.

Članak 30. o obradi pod vodstvom voditelja obrade i izvršitelja obrade temelji se na članku 29. Uredbe (EU) 2016/679 te se njime zabranjuje izvršitelju obrade ili bilo kojoj osobi koja djeluje pod vodstvom voditelja obrade ili izvršitelja obrade te ima pristup osobnim podacima da obrađuje te podatke ako to ne zatraži voditelj obrade, osim ako to nalaže pravo Unije ili pravo države članice.

Člankom 25. dopuštaju se ograničenja prava ispitanika utvrđenih u člancima od 14. do 22. te u člancima 34. i 38. i ograničenja načela utvrđenih u članku 4. (ako njegove odredbe odgovaraju pravima i obvezama predviđenima u člancima od 14. do 22.). Ta bi ograničenja trebalo utvrditi pravnim aktima donesenima na temelju Ugovorâ ili internih pravila institucija i tijela Unije. Ako pravnim aktima donesenima na temelju Ugovorâ ili internih pravila institucija i tijela Unije nije predviđena mogućnost takvog ograničenja, institucije i tijela Unije mogu uvesti ad hoc ograničenje pod uvjetom da se njime poštuje bit temeljnih prava i sloboda u odnosu na određeni postupak obrade te da predstavlja nužnu i razmjernu mjeru u demokratskom društvu za zaštitu jednog ili više ciljeva koji dopuštaju ograničavanje prava ispitanika. Ovaj je pristup u skladu s člankom 23. Uredbe (EU) 2016/679. No za razliku od članka 23. Uredbe (EU) 2016/679, a u skladu s člankom 20. Uredbe (EZ) br. 45/2001, ovom se odredbom ne predviđa mogućnost ograničavanja prava na prigovor i prava ispitanika da ne podliježe odlukama koje se temelje isključivo na automatiziranoj obradi. Zahtjevi u pogledu ograničenja u skladu su s Poveljom o temeljnim pravima i Europskom konvencijom o ljudskim pravima, kako ih tumači Sud Europske unije odnosno Europski sud za ljudska prava.

Članak 66. temelji se na članku 83. Uredbe (EU) 2016/679 te se njime EDPS-u osiguravaju ovlasti za izricanje upravnih novčanih kazni institucijama i tijelima Unije, i to kao krajnju sankciju i samo ako institucija ili tijelo Unije nije postupilo u skladu s naredbom EDPS-a iz članka 59. stavka 2. točaka od (a) do (h) i točke (j). U tom se članku pobliže određuju i kriteriji za odlučivanje o iznosu upravne novčane kazne u svakom pojedinom slučaju, a najveće godišnje gornje granice određene su na temelju iznosa novčanih kazni koje se primjenjuju u nekim državama članicama.

U članku 72. pojašnjava se da ova uredba ne utječe na mandat Europskog nadzornika za zaštitu podataka i pomoćnika nadzornika te da se članak 54. stavci 4., 5. i 7. te članci 56. i 57. Uredbe primjenjuju na sadašnjeg pomoćnika do isteka njegova mandata, tj. do 5. prosinca 2019.

(25)Ako voditelj obrade ne može utvrditi identitet pojedinca na temelju osobnih podataka koje obrađuje, on ne bi smio biti obvezan prikupiti dodatne informacije kako bi utvrdio identitet ispitanika isključivo radi pridržavanja bilo koje odredbe iz ove Uredbe. No voditelj obrade ne bi smio odbiti prihvatiti dodatne informacije koje je ispitanik pružio radi ostvarivanja svojih prava. Identifikacija bi trebala uključivati digitalnu identifikaciju ispitanika, primjerice mehanizmom autentifikacije, kao što su isti pristupni podaci kojima se ispitanik prijavljuje za internetske usluge koje nudi voditelj obrade.

(24)Obrada posebnih kategorija osobnih podataka bez privole ispitanika može biti potrebna zbog javnog interesa u područjima javnog zdravlja. Takva bi obrada trebala podlijegati primjerenim i posebnim mjerama kako bi se zaštitila prava i slobode pojedinaca. U tom bi kontekstu „javno zdravlje” trebalo tumačiti u skladu s definicijom iz Uredbe (EZ) br. 1338/2008 Europskog parlamenta i Vijeća, što znači svi elementi povezani sa zdravljem, tj. zdravstvenim stanjem, uključujući morbiditet i invaliditet, determinante koje utječu na to zdravstveno stanje, potrebe zdravstvene zaštite, sredstva dodijeljena zdravstvenoj zaštiti, pružanje zdravstvene zaštite i opća dostupnost zdravstvene zaštite, kao i troškovi i financiranje zdravstvene zaštite te uzroci smrtnosti. Takva obrada podataka koji se odnose na zdravlje za potrebe javnog interesa ne bi trebala dovesti do toga da treće osobe obrađuju osobne podatke u druge svrhe.

(23)Osobni podaci koji su po svojoj prirodi posebno osjetljivi u pogledu temeljnih prava i sloboda zaslužuju posebnu zaštitu jer bi u okviru njihove obrade moglo doći do znatnih rizika za temeljna prava i slobode. Ti osobni podaci trebali bi obuhvaćati osobne podatke koji otkrivaju rasno ili etničko podrijetlo, pri čemu upotreba pojma „rasno podrijetlo” u ovoj Uredbi ne znači da Unija prihvaća teorije koje pokušavaju dokazati postojanje različitih ljudskih rasa. Obradu fotografija ne bi trebalo sustavno smatrati obradom posebnih kategorija osobnih podataka jer su one obuhvaćene definicijom biometrijskih podataka samo kad se obrađuju posebnim tehničkim sredstvima koja omogućuju jedinstvenu identifikaciju ili autentifikaciju pojedinca. Osim posebnih zahtjeva za obradu osjetljivih podataka trebala bi se primjenjivati opća načela i druga pravila iz ove Uredbe, posebno u pogledu uvjeta za zakonitu obradu. Odstupanja od opće zabrane obrade takvih posebnih kategorija osobnih podataka trebala bi biti izričito predviđena, među ostalim ako je ispitanik dao izričitu privolu ili u vezi s posebnim potrebama, pogotovo ako se obrada provodi u sklopu legitimnih aktivnosti određenih udruženja ili zaklada koje se zalažu za ostvarivanje temeljnih sloboda.

(17)Kako bi obrada bila zakonita, osobne podatke trebalo bi obrađivati ako je to potrebno za izvršavanje zadaće koju institucije i tijela Unije obavljaju u javnom interesu ili pri izvršavanju službene ovlasti, za ispunjavanje pravne obveze kojoj podliježe voditelj obrade ili neke druge legitimne osnove kako je navedeno u ovoj Uredbi, uključujući privolu predmetnog ispitanika ili ako je to potrebno za izvršavanje ugovora kojeg je ispitanik jedna od stranaka ili kako bi se poduzele radnje na zahtjev ispitanika prije sklapanja ugovora. Obrada osobnih podataka radi izvršavanja zadaća koje institucije i tijela Unije obavljaju u javnom interesu uključuje i obradu osobnih podataka potrebnu za upravljanje tim institucijama i tijelima te za njihovo djelovanje. Obrada osobnih podataka trebala bi se također smatrati zakonitom ako je potrebna za zaštitu interesa koji je bitan za očuvanje života ispitanika ili druge fizičke osobe. Obrada osobnih podataka na temelju životno važnih interesa druge fizičke osobe u načelu bi se smjela obavljati samo ako se obrada očito ne može temeljiti na drugoj pravnoj osnovi. Neke vrste obrade mogu poslužiti i za važne potrebe javnog interesa i životno važne interese ispitanika, primjerice ako je obrada potrebna u humanitarne svrhe, među ostalim za praćenje epidemija i njihovog širenja ili u humanitarnim krizama, posebno u slučaju prirodnih katastrofa i katastrofa uzrokovanih ljudskim djelovanjem.

(15)Svaka obrada osobnih podataka trebala bi biti zakonita i poštena. Za pojedince bi trebalo biti transparentno kako se osobni podaci koji se odnose na njih prikupljaju, upotrebljavaju, daju na uvid ili na drugi način obrađuju te do koje se mjere ti osobni podaci obrađuju ili će se obrađivati. Prema načelu transparentnosti svaka informacija i komunikacija u vezi s obradom tih osobnih podataka treba biti lako dostupna i razumljiva te jasno i jednostavno sročena. To se načelo posebno odnosi na informacije ispitaniku o identitetu voditelja obrade i svrhama obrade te daljnje informacije radi osiguravanja poštenosti i transparentnosti obrade s obzirom na pojedince o kojima je riječ i njihovo pravo da dobiju potvrdu i obavijest o osobnim podacima koji se obrađuju, a odnose se na njih. Pojedinci bi trebali biti upoznati s rizicima, pravilima, zaštitnim mjerama i pravima u vezi s obradom osobnih podataka i načinom ostvarenja svojih prava u vezi s obradom. Konkretno, posebne svrhe u koje se osobni podaci obrađuju trebale bi biti izrijekom navedene i opravdane te određene u vrijeme prikupljanja osobnih podataka. Osobni podaci trebali bi biti primjereni, bitni i ograničeni na ono što je nužno za svrhe u koje se obrađuju. Zbog toga je osobito potrebno osigurati da je razdoblje u kojem se osobni podaci pohranjuju ograničeno na strogi minimum. Osobni podaci trebali bi se obrađivati samo ako se svrha obrade ne bi mogla razumno postići drugim sredstvima. Kako bi se osiguralo da se osobni podaci ne drže duže nego što je nužno, voditelj obrade trebao bi odrediti rok za brisanje ili periodično preispitivanje. Trebalo bi poduzeti sve razumno opravdane korake radi osiguravanja da se netočni osobni podaci isprave ili izbrišu. Osobne podatke trebalo bi obrađivati na način kojim se jamči odgovarajuća sigurnost i povjerljivost osobnih podataka, uključujući sprečavanje neovlaštenog pristupa osobnim podacima i opremi za obradu podataka ili njihove neovlaštene upotrebe.

(10)Ako je osnivačkim aktom agencije Unije koja obavlja aktivnosti obuhvaćene područjem primjene glave V. poglavlja 4. i 5. Ugovora utvrđen zaseban režim zaštite podataka za obradu operativnih osobnih podataka, ova uredba ne bi smjela utjecati na taj režim. No Komisija bi, u skladu s člankom 62. Direktive (EU) 2016/680, do 6. svibnja 2019. trebala preispitati akte Unije kojima se uređuje obrada koju provode nadležna tijela u svrhe sprečavanja, istrage, otkrivanja ili progona kaznenih djela ili izvršavanja kaznenih sankcija, uključujući zaštitu od prijetnji javnoj sigurnosti i njihovo sprečavanje te bi prema potrebi trebala donijeti potrebne prijedloge za izmjenu tih akata kako bi se osigurao usklađen pristup zaštiti osobnih podataka u području pravosudne suradnje u kaznenim stvarima i policijske suradnje.

(26)Obrada osobnih podataka u svrhe arhiviranja u javnom interesu, u svrhe znanstvenog ili povijesnog istraživanja ili u statističke svrhe trebala bi podlijegati odgovarajućim zaštitnim mjerama za prava i slobode ispitanika u skladu s ovom Uredbom. Tim bi zaštitnim mjerama trebalo osigurati da su tehničke i organizacijske mjere na snazi kako bi se posebno zajamčilo načelo smanjenja količine podataka. Daljnja obrada osobnih podataka u svrhe arhiviranja u javnom interesu, u svrhe znanstvenog ili povijesnog istraživanja ili u statističke svrhe provodi se kad voditelj obrade procijeni izvedivost ispunjavanja tih svrha obradom osobnih podataka koji ne omogućuju ili više ne omogućuju identifikaciju ispitanikâ, pod uvjetom da postoje odgovarajuće zaštitne mjere (kao što je, primjerice, pseudonimizacija osobnih podataka). Institucije i tijela Unije trebali bi pravom Unije, koje može uključivati i interna pravila, predvidjeti odgovarajuće zaštitne mjere za obradu osobnih podataka u svrhe arhiviranja u javnom interesu, u svrhe znanstvenog ili povijesnog istraživanja ili u statističke svrhe.

(27)Trebalo bi predvidjeti modalitete za lakše ostvarivanje prava ispitanika iz ove Uredbe, uključujući mehanizme za podnošenje zahtjeva te, ako je primjenjivo, besplatno ostvarivanje posebno pristupa osobnim podacima, njihovo ispravljanje ili brisanje i ostvarivanje prava na prigovor. Voditelj obrade trebao bi pružiti i sredstva za elektroničku predaju zahtjeva, posebno ako se osobni podaci obrađuju elektronički. Voditelj obrade trebao bi biti dužan odgovoriti na zahtjev ispitanika bez nepotrebne odgode i najkasnije u roku od mjesec dana te iznijeti razloge ako nema namjeru ispuniti bilo koji takav zahtjev.

(28)Prema načelima poštene i transparentne obrade ispitanik treba biti informiran o postupku obrade i njegovim svrhama. Voditelj obrade trebao bi ispitaniku pružiti sve dodatne informacije potrebne za osiguravanje poštene i transparentne obrade uzimajući u obzir posebne okolnosti i kontekst obrade osobnih podataka. Osim toga ispitanik bi trebao biti informiran o postupku izrade profila i njegovim posljedicama. Kad se prikupljaju osobni podaci od ispitanika, trebalo bi ga obavijestiti i o tome je li obvezan pružiti osobne podatke te o posljedicama do kojih će doći ako takve podatke ne pruži. Ova se informacija može pružiti u kombinaciji sa standardiziranim ikonama kako bi se na lako vidljiv, razumljiv i jasno čitljiv način pružio smislen pregled planirane obrade. Kad su ikone prikazane elektronički, trebale bi biti strojno čitljive.

(29)Informacije o obradi osobnih podataka koji se odnose na ispitanika trebalo bi dati ispitaniku u trenutku kad se od njega uzimaju ti podaci ili, ako se osobni podaci ne uzimaju od ispitanika već su prikupljeni iz drugog izvora, u razumnom roku ovisno o okolnostima slučaja. Ako se osobni podaci legitimno mogu otkriti drugom primatelju, ispitanika bi trebalo informirati kad se osobni podaci prvi put otkrivaju primatelju. Ako voditelj obrade namjerava obrađivati osobne podatke u drugu svrhu osim one za koju su prikupljeni, prije te daljnje obrade trebao bi ispitaniku pružiti informacije o toj drugoj svrsi i druge potrebne informacije. Ako se izvor osobnih podataka ne može dati ispitaniku jer su upotrebljavani razni izvori, trebalo bi dati opće informacije.

(30)Ispitanik bi trebao imati pravo pristupa prikupljenim osobnim podacima koji se na njega odnose te ostvarivati to pravo lako i u razumnim intervalima kako bi bio svjestan obrade i provjerio njezinu zakonitost. To uključuje pravo ispitanika na pristup podacima o njegovu zdravstvenom stanju, na primjer podacima u medicinskoj dokumentaciji koja sadržava informacije kao što su dijagnoze, rezultati pretraga, liječnička mišljenja, liječenja ili zahvati. Svaki ispitanik stoga bi osobito trebao imati pravo znati koje su svrhe obrade osobnih podataka i dobiti obavijest o tim svrhama, ako je moguće i o tome za koje se razdoblje osobni podaci obrađuju, o primateljima osobnih podataka, o logici automatske obrade osobnih podataka i o posljedicama takve obrade, barem kad se temelji na izradi profila. To pravo ne bi smjelo negativno utjecati na prava ili slobode drugih, uključujući i poslovne tajne ili intelektualno vlasništvo, a posebno na autorsko pravo kojim je zaštićen računalni program. Rezultat tih razmatranja ipak ne bi smjelo biti odbijanje pružanja svih informacija ispitaniku. Ako voditelj obrade obrađuje velike količine informacija koje se odnose na ispitanika, trebao bi imati mogućnost prije dostave informacija zahtijevati od ispitanika da navede informacije ili aktivnosti obrade na koje se zahtjev odnosi.

(31)Ispitanik bi trebao imati pravo na ispravak osobnih podataka koji se na njega odnose te „pravo na zaborav” ako se zadržavanjem takvih podataka krši ova Uredba ili pravo Unije koje se primjenjuje na voditelja obrade. Ispitanici bi trebali imati pravo na to da se njihovi osobni podaci izbrišu i više ne obrađuju ako ti osobni podaci više nisu potrebni s obzirom na svrhu u koju su prikupljeni ili na druge načine obrađivani, ako su ispitanici povukli svoju privolu ili ako iznesu prigovor na obradu osobnih podataka koji se odnose na njih ili ako obrada njihovih osobnih podataka na druge načine nije u skladu s ovom Uredbom. Ovo je pravo posebno važno ako je ispitanik dao privolu dok je bio dijete te nije bio u potpunosti svjestan rizika obrade, a kasnije želi ukloniti takve osobne podatke, posebno na internetu. Ispitanik bi trebao biti u mogućnosti ostvariti to pravo neovisno o činjenici da više nije dijete. No daljnja pohrana osobnih podataka trebala bi biti zakonita ako je nužna za ostvarivanje prava na slobodu izražavanja i na slobodu informiranja, radi ispunjavanja pravnih obveza, za izvršavanje zadaće od javnog interesa ili izvršavanje službene ovlasti voditelja obrade, na temelju javnog interesa u području javnog zdravlja, u svrhe arhiviranja od javnog interesa, u svrhe znanstvenih ili povijesnih istraživanja, u statističke svrhe ili za postavljanje, ostvarivanje ili obranu pravnih zahtjeva.

(32)Kako bi se ojačalo „pravo na zaborav” u internetskom okruženju, pravo na brisanje trebalo bi proširiti tako da voditelj obrade koji je objavio osobne podatke bude obvezan obavijestiti voditelje obrade koji takve osobne podatke obrađuju da izbrišu sve poveznice s tim osobnim podacima odnosno sve kopije ili replike tih osobnih podataka. Pritom bi voditelj obrade trebao poduzeti razumne mjere, uzimajući u obzir dostupnu tehnologiju i sredstva koja su mu dostupna, uključujući tehničke mjere, da o zahtjevu ispitanika obavijesti voditelje obrade koji obrađuju osobne podatke.

(33)Metode kojima se ograničava obrada osobnih podataka mogle bi, među ostalim, uključivati privremeno premještanje odabranih podataka u drugi sustav obrade, onemogućavanje dostupnosti odabranih podataka korisnicima ili privremeno uklanjanje objavljenih podataka s internetske stranice. U automatiziranim sustavima pohrane ograničavanje obrade u načelu bi trebalo osigurati tehničkim sredstvima na način da se osobni podaci dalje ne obrađuju i da se ne mogu mijenjati. Činjenicu da je obrada osobnih podataka ograničena trebalo bi jasno navesti u sustavu.

(34)Radi dodatnog jačanja nadzora nad vlastitim podacima, kad se obrada osobnih podataka obavlja automatiziranim sredstvima, ispitaniku bi trebalo dopustiti i da osobne podatke koji se odnose na njega, a koje je dao voditelju obrade, dobije u strukturiranom, uobičajenom, strojno čitljivom i interoperabilnom formatu i da ih prenese drugom voditelju obrade. Voditelje obrade trebalo bi poticati na razvijanje interoperabilnih formata koji omogućuju prenosivost podataka. To bi se pravo trebalo primjenjivati u slučajevima kad je ispitanik osobne podatke dao na temelju svoje privole ili kad je obrada nužna za izvršenje ugovora. Stoga se ono ne bi smjelo primjenjivati ako je obrada osobnih podataka nužna za ispunjavanje pravne obveze kojoj podliježe voditelj obrade ili za izvršavanje zadaće od javnog interesa ili pri izvršavanju službene ovlasti voditelja obrade. Pravo ispitanika na prijenos ili primanje osobnih podataka koji se odnose na njega ne bi trebalo obvezivati voditelja obrade da upotrebljava ili održava tehnički kompatibilne sustave za obradu. Ako se određeni skup osobnih podataka odnosi na više ispitanika, pravo na primanje tih osobnih podataka ne bi smjelo dovoditi u pitanje prava i slobode ostalih ispitanika u skladu s ovom Uredbom. Nadalje, to pravo ne bi smjelo dovoditi u pitanje pravo ispitanika na brisanje osobnih podataka ni ograničenja tog prava kako je navedeno u ovoj Uredbi, a pogotovo ne bi smjelo podrazumijevati brisanje osobnih podataka koji se odnose na ispitanika, koje je on dostavio u svrhu izvršavanja ugovora, u mjeri u kojoj su ti osobni podaci potrebni za izvršavanje tog ugovora i sve dok su potrebni. Ako je to tehnički izvedivo, ispitanik bi trebao imati pravo na to da se osobni podaci prenose izravno između voditelja obrade.

(35)Ako se osobni podaci mogu zakonito obrađivati jer je obrada potrebna za izvršavanje zadaće od javnog interesa ili pri izvršavanju službene ovlasti voditelja obrade, ispitanik bi ipak trebao imati pravo prigovora na obradu bilo kojih osobnih podataka povezanih s njegovom posebnom situacijom. Voditelj obrade morao bi dokazati da njegovi uvjerljivi legitimni interesi imaju prednost pred interesima ili temeljnim pravima i slobodama ispitanika.

(36)Ispitanik bi trebao imati pravo na to da se na njega ne odnosi odluka, koja može obuhvaćati mjeru kojom se procjenjuju osobni aspekti u vezi s njim i koja se isključivo temelji na automatiziranoj obradi te proizvodi pravne učinke koji se odnose na njega ili na sličan način znatno utječu na njega, kao što je praksa zapošljavanja putem interneta bez ljudske intervencije. Takva obrada uključuje „izradu profila” koja se odnosi na svaki oblik automatizirane obrade osobnih podataka kojom se procjenjuju osobni aspekti u vezi s pojedincem, osobito analizu i predviđanje aspekata ispitanikovog učinka na poslu, ekonomskog stanja, zdravlja, osobnih preferencija ili interesa, pouzdanosti ili ponašanja, lokacije ili kretanja kad ona proizvodi pravne učinke koji se odnose na ispitanika ili na sličan način znatno utječu na njega. No donošenje odluka koje se temelji na takvoj obradi, uključujući i izradu profila, trebalo bi se dopustiti ako to izričito dopušta pravo Unije. U svakom slučaju na takve bi se obrade trebale primjenjivati odgovarajuće zaštitne mjere, koje bi trebale uključivati davanje određenih informacija ispitaniku i pravo na ljudsku intervenciju, pravo na izražavanje vlastitog stajališta, na dobivanje pojašnjenja odluke donesene nakon takve procjene i pravo na osporavanje odluke. Takve se mjere ne bi smjele odnositi na djecu. Kako bi se osigurala poštena i transparentna obrada podataka s obzirom na ispitanika, uzimajući u obzir posebne okolnosti i kontekst u kojem se osobni podaci obrađuju, voditelj obrade trebao bi primijeniti odgovarajuće matematičke i statističke postupke za izradu profila, provesti odgovarajuće tehničke i organizacijske mjere kako bi se posebno osiguralo da budu ispravljeni čimbenici koji dovode do netočnosti osobnih podataka i da se rizici od pogrešaka svedu na minimum te bi trebao osigurati osobne podatke tako da se uzmu u obzir potencijalni rizici za interese i prava ispitanika i kojima se, među ostalim, sprečavaju diskriminacijski učinci na pojedince na temelju rasnog ili etničkog podrijetla, političkog mišljenja, vjere ili uvjerenja, članstva u sindikatu, genetskog ili zdravstvenog stanja ili seksualne orijentacije, ili koji rezultiraju mjerama koje imaju takav učinak. Automatizirane odluke i izrada profila na temelju posebnih kategorija osobnih podataka trebale bi se dopustiti samo pod posebnim uvjetima.

(37)Pravnim aktima donesenima na temelju Ugovorâ ili internih pravila institucija i tijela Unije mogu se uvesti ograničenja s obzirom na posebna načela te na prava na informacije, pristup i ispravak ili brisanje osobnih podataka, pravo na prenosivost podataka, povjerljivost elektroničkih komunikacija te obavješćivanje ispitanika o povredi osobnih podataka i ograničenja određenih povezanih obveza voditelja obrade, u mjeri u kojoj je to nužno i razmjerno u demokratskom društvu kako bi se zaštitila javna sigurnost te sprečavanje, istraga i progon kaznenih djela ili izvršavanje kaznenopravnih sankcija, uključujući zaštitu od prijetnji javnoj sigurnosti i njihovo sprečavanje te zaštitu ljudskog života, posebno kao odgovor na prirodne katastrofe ili one koje je izazvao čovjek, zaštitu unutarnje sigurnosti institucija i tijela Unije te zaštitu drugih važnih ciljeva koji su u javnom interesu Unije ili države članice, a posebno važnog gospodarskog ili financijskog interesa Unije ili države članice, vođenja javne evidencije u svrhu općeg javnog interesa ili zaštitu ispitanika ili prava i sloboda drugih osoba, među ostalim u svrhu socijalne zaštite, javnog zdravlja i u humanitarne svrhe.

Ako pravnim aktima donesenima na temelju Ugovorâ ili internih pravila institucija i tijela Unije nije predviđeno ograničenje, institucije i tijela Unije mogu u određenom slučaju uvesti ad hoc ograničenje koje se odnosi na posebna načela i na prava ispitanika, pod uvjetom da se takvim ograničenjem poštuje bit temeljnih prava i sloboda te da u odnosu na određeni postupak obrade predstavlja nužnu i razmjernu mjeru u demokratskom društvu za zaštitu jednog ili više ciljeva iz stavka 1. O tom bi ograničenju trebalo obavijestiti službenika za zaštitu podataka. Sva bi ograničenja trebala biti u skladu sa zahtjevima utvrđenima u Povelji i Europskoj konvenciji za zaštitu ljudskih prava i temeljnih sloboda.

(38)Trebalo bi uspostaviti dužnosti i odgovornosti voditelja obrade za svaku obradu osobnih podataka koju provede sam voditelj obrade ili netko drugi u njegovo ime. Konkretno, voditelj obrade trebao bi imati obvezu provođenja odgovarajućih i djelotvornih mjera te biti u mogućnosti dokazati usklađenost aktivnosti obrade s ovom Uredbom, uključujući i djelotvornost mjera. Tim bi mjerama u obzir trebalo uzeti prirodu, opseg, kontekst i svrhe obrade te rizik za prava i slobode pojedinaca. Rizik za prava i slobode pojedinaca, različitih vjerojatnosti i ozbiljnosti, može proizići iz obrade osobnih podataka koja bi mogla prouzročiti fizičku, materijalnu ili nematerijalnu štetu, posebno: ako ta obrada može dovesti do diskriminacije, krađe identiteta ili prijevare, financijskog gubitka, štete za ugled, gubitka povjerljivosti osobnih podataka zaštićenih profesionalnom tajnom, neovlaštenog obrnutog postupka pseudonimizacije ili bilo koje druge znatne gospodarske ili društvene štete; ako se ispitanicima mogu uskratiti njihova prava i slobode ili ih se može spriječiti u obavljanju nadzora nad svojim osobnim podacima; ako se obrađuju osobni podaci koji odaju rasno ili etničko podrijetlo, politička mišljenja, vjerska ili filozofska uvjerenja, članstvo u sindikatu i ako je riječ o obradi genetskih podataka, podataka koji se odnose na zdravlje ili spolni život ili kaznene osude i kažnjiva djela ili s tim povezane sigurnosne mjere; ako se procjenjuju osobni aspekti, posebno analiza ili predviđanje aspekata u vezi s učinkom na poslu, ekonomskim stanjem, zdravljem, osobnim preferencijama ili interesima, pouzdanošću ili ponašanjem, lokacijom ili kretanjem kako bi se izradili ili upotrebljavali osobni profili; ako se obrađuju osobni podaci osjetljivih pojedinaca, posebno djece; ili ako obrada uključuje veliku količinu osobnih podataka i utječe na velik broj ispitanika. Vjerojatnost i ozbiljnost rizika za prava i slobode ispitanika trebala bi se određivati s obzirom na prirodu, opseg, kontekst i svrhe obrade. Rizik bi trebalo procjenjivati na temelju objektivne procjene kojom se utvrđuje uključuju li postupci obrade podataka rizik ili visoki rizik.

(39)Zaštita prava i sloboda pojedinaca s obzirom na obradu osobnih podataka zahtijeva poduzimanje odgovarajućih tehničkih i organizacijskih mjera kako bi se osiguralo ispunjenje zahtjeva ove Uredbe. Radi dokazivanja usklađenosti s ovom Uredbom voditelj obrade trebao bi donijeti interne politike i provesti mjere kojima se posebno poštuju načela tehničke zaštite podataka i integrirane zaštite podataka. Takve mjere mogle bi se, među ostalim, sastojati od smanjenja količine obrade osobnih podataka, što brže pseudonimizacije osobnih podataka, transparentnosti u vezi s funkcijama i obradom osobnih podataka, omogućavanja ispitaniku da prati obradu podataka te omogućavanja voditelju obrade da stvara i poboljšava sigurnosne značajke. Načela tehničke i integrirane zaštite podataka trebalo bi uzeti u obzir i u kontekstu javnih natječaja.

(40)Zaštita prava i sloboda ispitanikâ te dužnost i odgovornost voditeljâ obrade i izvršiteljâ obrade zahtijevaju jasno utvrđivanje dužnosti u skladu s ovom Uredbom, među ostalim u slučajevima u kojima voditelj obrade određuje svrhe i sredstva obrade zajedno s drugim voditeljima obrade ili kad se postupak obrade provodi u ime voditelja obrade.

(41)Kako bi se osiguralo ispunjavanje zahtjeva iz ove Uredbe u vezi s obradom koju provodi izvršitelj obrade u ime voditelja obrade, pri povjeravanju aktivnosti obrade izvršitelju obrade voditelj obrade trebao bi angažirati samo izvršitelje obrade koji u dovoljnoj mjeri jamče, osobito u pogledu stručnog znanja, pouzdanosti i resursa, provedbu tehničkih i organizacijskih mjera koje ispunjavaju zahtjeve iz ove Uredbe, među ostalim u pogledu sigurnosti obrade. Poštovanje odobrenog kodeksa ponašanja ili odobrenog mehanizma certificiranja od strane izvršitelja obrade koji nisu institucije i tijela Unije može se upotrijebiti kao element u dokazivanju ispunjavanja obveza voditelja obrade. Postupak obrade koju provodi izvršitelj obrade trebao bi biti uređen ugovorom ili drugim pravnim aktom u skladu s pravom Unije ili pravom države članice koji izvršitelja obrade obvezuje prema voditelju obrade, a u kojemu su navedeni predmet i trajanje obrade, priroda i svrhe obrade, vrsta osobnih podataka te kategorije ispitanika, uzimajući u obzir posebne zadaće i odgovornosti izvršitelja obrade u kontekstu obrade koju je potrebno provesti te rizika za prava i slobode ispitanika. Voditelj obrade i izvršitelj obrade trebali bi biti u mogućnosti izabrati pojedinačni ugovor ili standardne ugovorne klauzule koje je ili izravno donijela Komisija ili ih je donio Europski nadzornik za zaštitu podataka, a potom ih je donijela Komisija. Nakon što završi obradu u ime voditelja obrade, izvršitelj obrade trebao bi, prema izboru voditelja obrade, vratiti ili izbrisati osobne podatke, osim ako postoji obveza pohrane osobnih podataka u skladu s pravom Unije ili pravom države članice kojem izvršitelj obrade podliježe.

(42)Kako bi dokazali usklađenost s ovom Uredbom, voditelji obrade trebali bi voditi evidenciju o aktivnostima obrade za koje su odgovorni, a izvršitelji obrade trebali bi voditi evidenciju o kategorijama aktivnosti obrade za koje su odgovorni. Institucije i tijela Unije trebali bi biti obvezni surađivati s Europskim nadzornikom za zaštitu podataka i omogućiti mu na zahtjev uvid u svoje evidencije kako bi mu mogle poslužiti za praćenje postupaka obrade. Institucije i tijela Unije trebali bi biti u mogućnosti uspostaviti središnji registar evidencija o svojim aktivnostima obrade. Radi transparentnosti trebali bi biti u mogućnosti takav registar i objaviti.

(43)Kako bi se očuvala sigurnost i spriječila obrada kojom se krši ova Uredba, voditelj obrade ili izvršitelj obrade trebao bi procijeniti rizike povezane s obradom i provesti mjere za njihovo umanjivanje, kao što je enkripcija. Takvim bi se mjerama trebala osigurati odgovarajuća razina zaštite, uključujući povjerljivost, te uzeti u obzir najnovija dostignuća i troškovi provedbe u odnosu na rizik i vrstu osobnih podataka koji se trebaju zaštititi. Pri procjeni rizika za sigurnost podataka u obzir bi trebalo uzeti rizike koje predstavlja obrada osobnih podataka, kao što su slučajno ili nezakonito uništenje, gubitak, izmjene, neovlašteno otkrivanje osobnih podataka ili neovlašten pristup osobnim podacima koji su preneseni, pohranjeni ili na drugi način obrađivani, a što posebno može dovesti do fizičke, materijalne ili nematerijalne štete.

(44)Institucije i tijela Unije trebali bi osigurati povjerljivost elektroničkih komunikacija, kako je predviđeno člankom 7. Povelje. Institucije i tijela Unije trebali bi posebno osigurati sigurnost svojih elektroničkih komunikacijskih mreža, štititi informacije koje se odnose na terminalnu opremu krajnjih korisnika koji pristupaju njihovim javno dostupnim internetskim stranicama i mobilnim aplikacijama u skladu s Uredbom (EU) XXXX/XX (nova Uredba o e-privatnosti) te štititi osobne podatke sadržane u imenicima korisnika.