HR Službeni list Europske unije C 159/83

Obrazloženje Vijeća: Stajalište Vijeća (EU) br. 6/2016 u prvom čitanju s ciljem donošenja Uredbe Europskog parlamenta i Vijeća o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom protoku takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka)

(2016/C 159/02)

I. UVOD

Komisija je 25. siječnja 2012. predložila sveobuhvatni paket o zaštiti podataka koji čine:

— navedeni Prijedlog opće uredbe o zaštiti podataka kojom se namjerava zamijeniti Direktivu o zaštiti podataka iz 1995. (bivši prvi stup);

— Prijedlog direktive o zaštiti pojedinaca pri obradi osobnih podataka od strane nadležnih tijela u svrhe sprečavanja, istrage, otkrivanja ili progona kaznenih djela ili izvršavanja kaznenopravnih sankcija te slobodnom kretanju takvih podataka, kojom se namjerava zamijeniti Okvirnu odluku o zaštiti podataka iz 2008. (bivši treći stup).

Europski parlament donio je 12. ožujka 2014. stajalište u prvom čitanju o predloženoj Općoj uredbi o zaštiti podataka (7427/14).

Vijeće je 15. lipnja 2015. postiglo dogovor o općem pristupu i time predsjedništvu dalo pregovarački mandat za početak trijalogâ s Europskim parlamentom (9565/15).

Dogovor o kompromisnom tekstu koji je rezultat pregovora u okviru trijalogâ potvrdio je 17. prosinca 2015. Europski parlament na razini Odbora za građanske slobode, pravosuđe i unutarnje poslove, a 18. prosinca 2015. Vijeće na razini Odbora stalnih predstavnika.

Na sastanku održanom 12. veljače 2016. Vijeće je postiglo politički dogovor o Nacrtu uredbe (5455/15). Vijeće je 8. travnja 2016. donijelo stajalište u prvom čitanju koje je u potpunosti usklađeno s kompromisnim tekstom o Uredbi dogovorenim tijekom neformalnih pregovora između Vijeća i Europskog parlamenta.

Gospodarski i socijalni odbor dostavio je 2012. mišljenje o Uredbi (SL C 229, 31.7.2012., str. 90.).

Odbor regija dostavio je mišljenje o Uredbi (SL C 391, 18.12.2012., str. 127.).

Provedeno je savjetovanje s Europskim nadzornikom za zaštitu podataka, koji je prvo mišljenje dostavio 2012. (SL C 192, 30.6.2012., str. 7.), a drugo mišljenje 2015. (SL C 301, 12.9.2015., str. 1. – 8.).

Agencija za temeljna prava dostavila je mišljenje 1. listopada 2012.

II. CILJ

Općom uredbom o zaštiti podataka usklađuju se pravila o zaštiti podataka u Europskoj uniji. Tom se Uredbom nastoji ojačati prava pojedinaca na zaštitu podataka, olakšati slobodan protok osobnih podataka na jedinstvenom tržištu i smanjiti administrativno opterećenje.

III. ANALIZA STAJALIŠTA VIJEĆA U PRVOM ČITANJU

A. Opće napomene

S obzirom na to da je Europsko vijeće željelo osigurati postizanje dogovora o reformi zaštite podataka do kraja 2015., Europski parlament i Vijeće proveli su neformalne pregovore kako bi uskladili svoja stajališta. Tekst stajališta Vijeća u prvom čitanju o Općoj uredbi o zaštiti podataka u potpunosti odražava kompromis koji su postigla dva suzakonodavca uz pomoć Europske komisije.

U stajalištu Vijeća u prvom čitanju zadržani su ciljevi Direktive 95/46/EZ: zaštita pravâ na zaštitu podataka i slobodan protok podataka. Vijeće istodobno nastoji prilagoditi pravila o zaštiti podataka koja su trenutačno na snazi s obzirom na sve veću količinu osobnih podataka koji se obrađuju zahvaljujući tehnološkim promjenama i globalizaciji. Pravila o zaštiti podataka sadržana u stajalištu Vijeća u prvom čitanju tehnološki su neutralna kako bi Uredba bila otporna na promjene u budućnosti.

Kako bi se osigurala dosljedna razina zaštite za pojedince diljem Unije te spriječila razilaženja koja ometaju slobodno kretanje osobnih podataka na unutarnjem tržištu, stajalištem Vijeća u prvom čitanju u velikoj se mjeri predviđa jedinstven skup pravila koji se izravno primjenjuje diljem Unije. Tim usklađivanjem riješit će se problem rascjepkanosti koji proizlazi iz razlika među zakonima država članica kojima se primjenjuje Direktiva 95/46. Međutim, kako bi se uzeli u obzir zahtjevi u vezi s posebnim situacijama obrade podataka, među ostalim za javni sektor, stajalištem Vijeća u prvom čitanju državama članicama dopušta se da u svojem nacionalnom pravu dodatno preciziraju primjenu pravila o zaštiti podataka utvrđenih Uredbom.

Zaštita osobnih podataka temeljno je pravo sadržano u članku 8. stavku 1. Povelje Europske unije o temeljnim pravima. Nadalje, člankom 16. Ugovora o funkcioniranju Europske unije utvrđeno je da svatko ima pravo na zaštitu svojih osobnih podataka, bez obzira na državljanstvo ili boravište, te da bi trebalo utvrditi pravila u tu svrhu i u svrhu slobodnog kretanja osobnih podataka. Na temelju toga stajalištem Vijeća u prvom čitanju utvrđuju se načela i pravila o zaštiti pojedinaca pri obradi njihovih osobnih podataka.

U svrhu postizanja ciljeva Uredbe stajalištem Vijeća u prvom čitanju jača se odgovornost voditeljâ obrade (odgovornih za utvrđivanje svrha i načina obrade osobnih podataka) i izvršiteljâ obrade (odgovornih za obradu osobnih podataka u ime voditelja obrade) radi promicanja stvarne kulture zaštite podataka. U tom je kontekstu u cijeloj Uredbi uveden pristup temeljen na riziku, kojim se omogućuje prilagodba obveza voditelja i izvršitelja obrade u skladu s rizikom obrade podataka koju provode. Nadalje, kodeksi ponašanja i mehanizmi certifikacije doprinose usklađenosti s pravilima o zaštiti podataka. Tim se pristupom sprečava uvođenje pretjerano preskriptivnih pravila i smanjuje administrativno opterećenje bez smanjivanja usklađenosti. Nadalje, odvraćajuća priroda potencijalnih sankcija koje bi se mogle nametnuti potiče voditelje obrade da postupaju u skladu s Uredbom.

Novim pravilima o zaštiti podataka utvrđenima u stajalištu Vijeća u prvom čitanju također se predviđaju ojačana i ostvariva prava za građane. Time se pojedincima omogućuje bolji nadzor nad njihovim osobnim podacima, čime se jača povjerenje u internetske usluge na prekograničnoj razini, što će dovesti do osnaživanja jedinstvenog digitalnog tržišta. Djeca zaslužuju posebnu zaštitu jer mogu biti manje svjesna rizika povezanih s obradom osobnih podataka, kao i svojih prava.

Nadalje, stajalištem Vijeća u prvom čitanju povećava se neovisnost nadzornih tijela te istodobno usklađuju njihove zadaće i ovlasti. Pravila za suradnju među nadzornim tijelima i, kada je to relevantno, s Komisijom u prekograničnim slučajevima – mehanizam konzistentnosti – doprinijet će dosljednoj primjeni Uredbe diljem Europske unije. Time će se povećati pravna sigurnost i smanjiti administrativno opterećenje. Nadalje, jedinstvenim mehanizmom voditeljima i izvršiteljima obrade osigurat će se jedan sugovornik u kontekstu njihove prekogranične obrade, uključujući obvezujuće odluke u sporovima koje donosi novoosnovani Europski odbor za zaštitu podataka. Taj će mehanizam rezultirati dosljednijom primjenom Uredbe. Nadalje, njime će se osigurati veća pravna sigurnost i smanjiti administrativno opterećenje.

Konačno, stajalištem Vijeća u prvom čitanju utvrđuje se sveobuhvatan okvir za prijenose osobnih podataka iz Europske unije primateljima u trećim zemljama ili u međunarodnim organizacijama kojim se predviđaju novi alati u usporedbi s Direktivom 95/46/EZ.

B. Ključna pitanja

Vijeće i Europski parlament, uz pomoć Europske komisije, tijekom neformalnih su pregovora približili svoja stajališta navedena u općem pristupu Vijeća odnosno stajalištu Parlamenta u prvom čitanju. Stajalište Vijeća u prvom čitanju o Općoj uredbi o zaštiti podataka u potpunosti odražava postignute kompromise. Ključna pitanja iz stajališta Vijeća u prvom čitanju navedena su u nastavku.

1. Područje primjene

1.1. Materijalno područje primjene Uredbe i razgraničenje s Direktivom o zaštiti podataka

Stajalištem Vijeća u prvom čitanju predviđa se da se Opća uredba o zaštiti podataka primjenjuje na potpuno ili djelomično automatiziranu obradu osobnih podataka te na neautomatiziranu obradu osobnih podataka koji su dio bilo kakvog strukturiranog skupa osobnih podataka dostupnih prema posebnim kriterijima ili namijenjenih tome da budu dio takvog strukturiranog skupa. Materijalno područje primjene Opće uredbe o zaštiti podataka i područje primjene Direktive o zaštiti podataka u području izvršavanja zakonodavstva međusobno se isključuju. Navedeno je da se Uredba ne primjenjuje na obradu osobnih podataka koju provode nadležna tijela u svrhu sprečavanja, istrage, otkrivanja ili progona kaznenih djela, izvršavanja kaznenopravnih sankcija, uključujući zaštitu od prijetnji javnoj sigurnosti i njihovo sprečavanje. To razgraničenje omogućava tijelima za izvršavanje zakonodavstva, osobito policiji, da kao pravilo primjenjuju sustav zaštite podataka iz Direktive, istodobno osiguravajući dosljednu i visoku razinu zaštite osobnih podataka za pojedince nad kojima se provode postupci izvršavanja zakonodavstva.

1.2. Institucije i tijela EU-a

Kako bi se osigurala jedinstvena i dosljedna zaštita ispitanika pri obradi njihovih osobnih podataka, u stajalištu Vijeća u prvom čitanju navedeno je da bi nakon donošenja Opće uredbe o zaštiti podataka trebale uslijediti potrebne prilagodbe Uredbe (EZ) 45/2001 koja se primjenjuje na institucije, tijela, urede i agencije EU-a kako bi se potonja mogla primjenjivati istovremeno s Općom uredbom o zaštiti podataka.

1.3. Izuzeće kućanstava

Kako bi se izbjeglo utvrđivanje pravila kojima bi se stvorilo nepotrebno opterećenje za pojedince, stajalištem Vijeća u prvom čitanju predviđa se da se Uredba ne primjenjuje na obradu osobnih podataka koju provodi fizička osoba tijekom isključivo osobne ili kućne djelatnosti, koja stoga nije povezana s profesionalnom ili komercijalnom djelatnošću.

1.4. Teritorijalno područje primjene

Stajalištem Vijeća u prvom čitanju obuhvaćaju se svi voditelji i izvršitelji obrade, neovisno o tome imaju li poslovni nastan u Uniji, čime se stvaraju jednaki uvjeti za voditelje obrade u pogledu teritorijalnog područja primjene.

Uredbom se prije svega utvrđuje da se pravila o zaštiti podataka primjenjuju na obradu osobnih podataka u okviru aktivnosti poslovnog nastana voditelja ili izvršitelja obrade u Uniji, neovisno o tome odvija li se obrada u Uniji ili ne. Zatim, kako bi se osiguralo da pojedinci ne budu zakinuti za zaštitu svojih podataka, Uredba se primjenjuje na obradu osobnih podataka ispitanika koji se nalaze u Uniji, čak i ako voditelj ili izvršitelj obrade nemaju poslovni nastan u Uniji, ali su aktivnosti obrade povezane s ponudom robe ili usluga takvim ispitanicima u Uniji, kao i s praćenjem njihova ponašanja ako se njihovo ponašanje odvija u Europskoj uniji. Osim toga, takvim utvrđivanjem područja primjene jača se pravna sigurnost za voditelje obrade i ispitanike (pojedince čiji se osobni podaci obrađuju).

Stajalištem Vijeća u prvom čitanju također se osigurava da ispitanici i nadzorna tijela imaju kontaktnu točku u EU-u ako voditelji ili izvršitelji obrade nemaju poslovni nastan u Uniji, a obuhvaćeni su područjem primjene Uredbe; oni pismenim putem moraju imenovati predstavnika u Uniji. Kako bi se izbjeglo nepotrebno administrativno opterećenje, ta se obveza ne primjenjuje na obradu koja vjerojatno neće prouzročiti rizik za prava i slobode pojedinaca te obradu koju provodi tijelo javne vlasti ili javno tijelo treće zemlje.

2. Načela obrade osobnih podataka

Načela zaštite podataka primjenjuju se na sve informacije koje se odnose na osobu čiji je identitet utvrđen ili se može utvrditi, uključujući informacije koje se više ne mogu pripisati određenom ispitaniku bez uporabe dodatnih informacija, dokle god se takve dodatne informacije drže odvojeno te podliježu tehničkim i organizacijskim mjerama kako bi se osiguralo da se ne mogu pripisati osobi čiji je identitet utvrđen ili se može utvrditi (pseudonimizacija). U usporedbi s Direktivom 95/46 Uredbom se u velikoj mjeri osigurava kontinuitet u pogledu načela na kojima počiva obrada osobnih podataka. Istodobno, načelo „smanjenja količine podataka” prilagođeno je kako bi se uzela u obzir digitalna stvarnost i uspostavila ravnoteža između zaštite osobnih podataka s jedne strane i mogućnosti voditeljâ obrade da obrade podatke s druge strane.

3. Zakonitost obrade

3.1. Uvjeti za zakonitost

U cilju pružanja pravne sigurnosti stajalište Vijeća u prvom čitanju nadovezuje se na Direktivu 95/46 navodeći da je obrada osobnih podataka zakonita samo ako je ispunjen barem jedan od sljedećih uvjeta:

— privola ispitanika za jednu ili više posebnih svrha;

— ugovor;

— pravna obveza;

— zaštita ključnih interesa ispitanika ili druge fizičke osobe;

— izvršavanje zadaće od javnog interesa ili izvršavanje službene ovlasti dodijeljene voditelju obrade;

— legitimni interesi voditelja obrade ili treće strane.

Dva uvjeta zahtijevaju daljnje pojašnjenje: privola i legitimni interesi voditelja obrade ili treće strane.

3.1.1. Privola

Kako bi dopustio obradu svojih osobnih podataka, ispitanik može dati privolu za obradu jasnom potvrdnom radnjom kojom se izražava dragovoljan, izričit, informiran i nedvosmislen pristanak ispitanika na obradu osobnih podataka koji se odnose na njega. Takvom su privolom obuhvaćene sve djelatnosti obrade koje se vrše u istu svrhu ili svrhe. Kada obrada ima višestruke svrhe, privola se mora dati za sve svrhe obrade. Nadalje, voditelj obrade mora moći dokazati da je ispitanik dao privolu za postupak obrade. Šutnja, unaprijed kvačicom označena polja ili manjak aktivnosti prema tome ne tumače se kao privola. Definiranjem pojma privole osigurava se kontinuitet s pravnom stečevinom koja je u pogledu uporabe tog pojma razvijena na temelju Direktive 95/46/EZ te se istodobno doprinosi jednakom tumačenju i primjeni privole diljem Europske unije.

Nadalje, u cilju zaštite prava ispitanika na zaštitu podataka navodi se da, ako je ispitanik privolu dao u kontekstu pismene izjave koja se odnosi i na druga pitanja, nijedan dio te izjave koji predstavlja kršenje Uredbe nije obvezujući. Osim toga, kada se procjenjuje je li privola bila dragovoljna, u najvećoj mogućoj mjeri mora se uzeti u obzir činjenica je li, među ostalim, izvršenje ugovora uvjetovano privolom za obradu podataka koja nije neophodna za izvršenje tog ugovora.

Konačno, kako bi se dopustila odstupanja od opće zabrane za obradu posebnih kategorija osobnih podataka, stajalištem Vijeća u prvom čitanju predviđa se prag viši od onoga za druge vrste obrade jer za obradu takvih osjetljivih osobnih podataka ispitanik mora dati svoju izričitu privolu.

Kada je riječ o djeci, stajalištem Vijeća u prvom čitanju predviđa se poseban zaštitni režim za privolu djece u vezi s pružanjem usluga informacijskog društva. Obrada osobnih podataka djeteta mlađeg od 16 godina zakonita je ako se može, uzimajući u obzir dostupnu tehnologiju, razumno provjeriti je li takva privola dana ili je li obradu dopustio nositelj roditeljske odgovornosti nad djetetom. Države članice koje primjerenijom smatraju nižu dob smiju odrediti nižu najvišu dob, pod uvjetom da ona nije niža od 13 godina.

3.1.2. Legitimni interes voditelja obrade

Obrada osobnih podataka može biti zakonita ako je nužna u svrhe legitimnih interesa voditelja obrade ili treće strane. Međutim, takvi legitimni interesi nisu dovoljna osnova za zakonitu obradu ako su takvi interesi podređeni interesima ili temeljnim pravima i slobodama ispitanika kojima se zahtijeva zaštita osobnih podataka, osobito ako je ispitanik dijete.

Postojanje legitimnog interesa zahtijeva procjenu, među ostalim i toga može li ispitanik u vrijeme i u kontekstu prikupljanja osobnih podataka razumno očekivati obradu u dotičnu svrhu. Može se smatrati da postoji legitiman interes kod obrade osobnih podataka provedene za potrebe izravnog marketinga. Budući da je zakonodavac dužan zakonski odrediti pravnu osnovu za obradu osobnih podataka koju provode tijela javne vlasti, to se ne primjenjuje na obradu podataka koju provode tijela javne vlasti pri izvršavanju svojih zadaća.

3.2. Konkretna pravila država članica za prilagodbu primjene Uredbe

Stajalištem Vijeća u prvom čitanju državama članicama dopušta se da zadrže ili uvedu konkretnije odredbe kojima se prilagođava primjena pravila Uredbe ako se osobni podaci obrađuju radi usklađivanja s pravnom obvezom ili ako je obrada nužna za izvršavanje zadaće od javnog interesa ili pri izvršavanju službene ovlasti dodijeljene voditelju obrade. Odstupanja, posebni zahtjevi i ostale mjere dalje su predviđeni u odnosu na određene postupke obrade, pri čemu države članice usklađuju pravo na zaštitu osobnih podataka s pravom na slobodu izražavanja i informiranja, javnim pristupom službenim dokumentima, obradom nacionalnih identifikacijskih brojeva, obradom u kontekstu zaposlenja i obradom u svrhe arhiviranja od javnog interesa, znanstvenog ili povijesnog istraživanja ili u statističke svrhe.

3.3. Daljnja obrada

Stajalištem Vijeća u prvom čitanju predviđa se da je obrada u svrhu različitu od svrhe prvotnog prikupljanja osobnih podataka zakonita samo ako je ta daljnja obrada u skladu sa svrhama prvotne obrade podataka. Međutim, ako je ispitanik dao privolu ili ako se obrada temelji na pravu Unije ili države članice koje u demokratskom društvu predstavlja potrebnu i razmjernu mjeru za zaštitu konkretno važnih ciljeva od općeg javnog interesa, voditelju obrade dopušta se da izvrši daljnju obradu osobnih podataka neovisno o usklađenosti svrha. U slučaju daljnje obrade prava ispitanika su ojačana, osobito u pogledu prava na informiranje i prava na prigovor na takvu daljnju obradu ako ona nije nužna za izvršavanje zadaće od javnog interesa.

Kako bi se utvrdilo je li svrha daljnje obrade usklađena sa svrhom prvotnog prikupljanja osobnih podataka, voditelj obrade mora uzeti u obzir, među ostalim, sve veze između prvotne svrhe i svrhe planirane daljnje obrade, kontekst obavljenog prikupljanja podataka, osobito razumna očekivanja ispitanika u pogledu daljnje uporabe osobnih podataka koja se temelje na njegovu odnosu s voditeljem obrade, prirodu osobnih podataka, posljedice planirane daljnje obrade za ispitanika i postojanje primjerenih zaštitnih mjera u postupcima i prvotne i planirane daljnje obrade.

3.4. Obrada posebnih kategorija osobnih podataka

Osobni podaci posebno osjetljive naravi zaslužuju posebnu zaštitu jer okolnosti njihove obrade mogu dovesti do ozbiljnih rizika za temeljna prava i slobode pojedinaca. Stoga se u stajalištu Vijeća u prvom čitanju u pravilu zadržava pristup iz Direktive 95/46 koji se odnosi na zabranu obrade posebnih kategorija osobnih podataka.

Odstupajući od tog pravila, obrada osjetljivih podataka dopuštena je u određenim, taksativno navedenim situacijama, primjerice ako je ispitanik izričito dao svoju privolu, ako je obrada potrebna zbog značajnog javnog interesa, ili ako je obrada potrebna u druge svrhe, među ostalim u području zdravlja.

Naposljetku, stajalištem Vijeća u prvom čitanju predviđa se da države članice mogu uvesti dodatne uvjete, uključujući ograničenja, u vezi s obradom genetskih podataka, biometrijskih podataka ili zdravstvenih podataka. Međutim, tim dodatnim uvjetima ne smije se ometati slobodni protok podataka unutar Unije.

4. Jačanje položaja ispitanikâ

4.1. Uvod

Stajalištem Vijeća u prvom čitanju jača se položaj ispitanika tako što se jačaju njihova prava na zaštitu podataka i nameću obveze voditeljima obrade. Prava ispitanika obuhvaćaju pravo na informacije, na pristup osobnim podacima, na ispravak i brisanje osobnih podataka, uključujući „pravo na zaborav”, na ograničavanje obrade i prenosivost podataka, na prigovor te pravo na to da se na ispitanika ne odnosi odluka koja se temelji isključivo na automatiziranoj obradi, uključujući izradu profila. Prava koja su znatno izmijenjena u odnosu na Direktivu 95/46 razrađena su u nastavku.

Voditelji obrade imaju obvezu olakšati ostvarivanje prava ispitanikâ i obrađivati osobne podatke u skladu s načelom transparentnosti, konkretno pružajući informacije o obradi osobnih podataka koju provode.

Međutim, ako osobni podaci koje obrađuje voditelju obrade ne omogućuju da utvrdi identitet ispitanika, on nije obvezan prikupiti dodatne informacije kako bi utvrdio identitet ispitanika isključivo radi usklađivanja s bilo kojom odredbom ove Uredbe.

Bez obzira na ta prava ispitanikâ i te obveze voditeljâ obrade stajalištem Vijeća u prvom čitanju zadržava se pristup iz Direktive 95/46 tako što se dopuštaju ograničenja općih načela i pravâ pojedinca ako se takvo ograničenje temelji na pravu Unije ili države članice. Takvim ograničenjima mora se poštovati bit temeljnih prava i sloboda te moraju biti neophodna i razmjerna cilju zaštite određenih javnih interesa u demokratskom društvu.

4.2. Transparentnost

U skladu s načelom transparentnosti voditelji obrade moraju pružati informacije i obavijesti o obradi osobnih podataka u sažetom, transparentnom, razumljivom i lako dostupnom obliku, koristeći se jasnim i jednostavnim jezikom, posebice ako je riječ o informacijama upućenima djetetu. Informacije se moraju pružati pismenim putem ili drugim sredstvima, prema potrebi elektroničkim putem.

Stajalištem Vijeća u prvom čitanju dodatno se utvrđuju rokovi za zahtjeve za informacije, obavijesti ili bilo koje druge radnje koje vrši voditelj obrade te koje se u pravilu moraju izvršavati besplatno. Međutim, ako su zahtjevi ispitanika očito neutemeljeni ili pretjerani, osobito zbog njihova učestalog ponavljanja, voditelj obrade može naplatiti razumnu naknadu uzimajući u obzir administrativne troškove pružanja informacija ili obavijesti ili poduzimanja zatraženih radnji ili pak voditelj obrade može odbiti postupiti u skladu sa zahtjevom. U tim slučajevima teret dokazivanja očigledne neutemeljenosti ili pretjeranosti zahtjeva snosi voditelj obrade.

4.3. Informacije i obavijesti koje treba pružati voditelj obrade

Kako bi se pronašla ravnoteža između, s jedne strane, pružanja dostatnih informacija ispitanicima u vezi s obradom njihovih osobnih podataka i, s druge strane, izbjegavanja opterećujućih obveza za voditelje obrade, stajalištem Vijeća u prvom čitanju utvrđuje se pristup u dva koraka kako bi se osiguralo da ispitanici budu primjereno informirani, i u slučajevima kada su osobni podaci prikupljeni od ispitanika i u slučajevima kada osobni podaci nisu prikupljeni od ispitanika. U okviru prvog koraka voditelj obrade dužan je u trenutku prikupljanja osobnih podataka ispitaniku pružiti informacije navedene u Uredbi. U okviru drugog koraka voditelj obrade mora pružiti dodatne informacije navedene u Uredbi koje su neophodne za osiguravanje poštene i učinkovite obrade. Voditelji obrade također obavješćuju ispitanike o svojoj namjeri daljnje obrade osobnih podataka u drugu svrhu različitu od one za koju su osobni podaci prvotno prikupljeni.

Voditelj obrade nije dužan pružiti informacije navedene ni u okviru prvog ni u okviru drugog koraka ako ispitanik već posjeduje te informacije. U slučajevima kada osobni podaci nisu prikupljeni od ispitanika voditelj obrade ne pruža informacije ispitaniku ako je bilježenje ili otkrivanje osobnih podataka drugim stranama izričito propisano zakonom ili ako se pokaže da je pružanje informacija ispitaniku nemoguće ili bi zahtijevalo nerazmjerne napore.

Konačno, voditelji obrade dužni su o svakom ispravku, brisanju ili ograničavanju obrade obavijestiti svakog primatelja kojemu su osobni podaci otkriveni, osim ako se to pokaže nemogućim ili uključuje nerazmjeran napor. Štoviše, voditelj obrade mora obavijestiti ispitanika o tim primateljima ako on to zatraži.

4.4. Ikone

Načelima transparentne obrade zahtijeva se da ispitanik bude informiran o postojanju obrade i njezinim svrhama. U tom kontekstu stajalištem Vijeća u prvom čitanju utvrđuje se da informacije koje se pružaju ispitanicima mogu biti popraćene standardiziranim ikonama. Voditelji obrade mogu dobrovoljno odlučiti bi li upotreba tih standardiziranih ikona bila korisna za obradu osobnih podataka koju provode. Ikonama bi se na uočljiv, razumljiv i jasno čitljiv način trebao predstaviti smislen pregled namjeravane obrade. Ikone se moraju navesti istodobno s danim informacijama. Ako su ikone predstavljene elektroničkim putem, moraju biti strojno čitljive. Kako bi se doprinijelo standardiziranoj uporabi ikona u EU-u, Uredbom se Komisiji daje ovlast za donošenje delegiranih akata kojima se određuju informacije koje bi ikone trebale predstavljati, kao i postupci za utvrđivanje standardiziranih ikona. Europski odbor za zaštitu podataka mora dati mišljenje o ikonama koje predloži Komisija. Mogućnost donošenja delegiranih akata ne sprečava Europski odbor za zaštitu podataka da izdaje smjernice, mišljenja i primjere najbolje prakse o ikonama.

4.5. Pravo pristupa

Ispitanik ima pravo od voditelja obrade dobiti potvrdu o tome obrađuju li se osobni podaci koji se odnose na njega, a ako se takvi osobni podaci obrađuju, ima pravo dobiti pristup informacijama navedenima u Uredbi. U tom kontekstu Uredbom se propisuje da voditelj obrade mora besplatno osigurati kopije osobnih podataka koji se obrađuju. Za sve dodatne kopije koje zatraži ispitanik voditelj obrade može naplatiti razumnu naknadu na temelju administrativnih troškova. Pravo na dobivanje kopije ne smije negativno utjecati na prava i slobode drugih.

4.6. Pravo na brisanje („pravo na zaborav”)

Stajalištem Vijeća u prvom čitanju ispitanicima se daje pravo na brisanje osobnih podataka koji se odnose na njih ako obrada takvih podataka nije u skladu s Uredbom ili s pravom Unije ili države članice koje se primjenjuje na voditelja obrade.

Upućivanjem na „pravo na zaborav” potvrđuje se potreba za prilagodbom prava na brisanje, osobito u digitalnom kontekstu. Voditelji obrade koji su objavili osobne podatke za koje ispitanik želi da budu zaboravljeni moraju poduzeti razumne korake, uključujući tehničke mjere, kako bi obavijestili voditelje obrade koji obrađuju te osobne podatke o zahtjevu ispitanika da se obrišu poveznice na takve podatke ili kopije ili preslike takvih podataka, uzimajući u obzir dostupnu tehnologiju i trošak provedbe. Europski odbor za zaštitu podataka može izdati smjernice, preporuke i primjere najbolje prakse o postupcima brisanja poveznica, kopija ili preslika osobnih podataka iz javno dostupnih sredstava komunikacije.

Pravo na brisanje i obveza voditelja obrade da obavijesti druge voditelje obrade o zahtjevu za brisanje ne primjenjuju se u onoj mjeri u kojoj je obrada osobnih podataka nužna u svrhe koje su taksativno navedene u Uredbi, poput prava na slobodu izražavanja i informiranja.

4.7. Pravo na prenosivost podataka

Stajalištem Vijeća u prvom čitanju utvrđuje se da, kada se obrada osobnih podataka vrši automatskim putem, ispitanici imaju pravo primiti osobne podatke koji se odnose na njih, a koje su dali voditelju obrade, u strukturiranom, uobičajeno upotrebljavanom, strojno čitljivom i interoperabilnom formatu te ih prenijeti drugom voditelju obrade. Nadalje, navedeno je da ispitanici imaju pravo na izravan prijenos osobnih podataka od jednog voditelja obrade drugome ako je to tehnički izvedivo. Time se dodatno jača nadzor ispitanikâ nad vlastitim podacima. Također se potiče tržišno natjecanje među voditeljima obrade.

Međutim, pravo na prenosivost podataka ne primjenjuje se na obradu nužnu za izvršavanje zadaće od javnog interesa ili pri izvršavanju službene ovlasti dodijeljene voditelju obrade. Štoviše, kada se određeni skup osobnih podataka odnosi na više od jednog ispitanika, pravom ispitanika na primanje osobnih podataka ne dovode se u pitanje prava i slobode drugih.

4.8. Pravo na prigovor

U slučajevima kada bi se osobni podaci mogli zakonito obrađivati jer je obrada nužna za izvršavanje zadaće od javnog interesa ili pri izvršavanju službene ovlasti dodijeljene voditelju obrade ili na temelju legitimnih interesa voditelja obrade ili treće strane, ispitanik ima pravo prigovora na obradu bilo kojih osobnih podataka povezanih s njegovom konkretnom situacijom. Voditelj obrade u tom slučaju više ne smije obrađivati osobne podatke ako ne dokaže da postoje uvjerljivi legitimni razlozi za obradu koji nadilaze interese, prava i slobode ispitanika ili radi postavljanja, ostvarivanja ili obrane pravnih zahtjeva.

U tom se kontekstu navodi da, kada se osobni podaci obrađuju za potrebe izravnog marketinga, ispitanik u svakom trenutku ima pravo uložiti prigovor na obradu osobnih podataka koji se odnose na njega. To uključuje izradu profila ako je ona povezana s takvim izravnim marketingom. Izrada profila definirana je kao svaki oblik automatizirane obrade osobnih podataka koji se sastoji od uporabe tih podataka za ocjenu određenih osobnih aspekata povezanih s pojedincem, posebno za analizu ili predviđanje aspekata u vezi s radnim učinkom, ekonomskim stanjem, zdravljem, osobnim sklonostima, interesima, pouzdanošću, ponašanjem, lokacijom ili kretanjem tog pojedinca. Ako se ispitanik usprotivi obradi za potrebe izravnog marketinga, osobni se podaci više ne smiju obrađivati u takve svrhe. Usto, ispitanika se o tom pravu mora izričito i jasno obavijestiti najkasnije u vrijeme prve komunikacije voditelja obrade s ispitanikom.

Nadalje, u stajalištu Vijeća u prvom čitanju upućuje se na internetske postavke koje onemogućavaju praćenje tako da se navodi da, u kontekstu korištenja uslugama informacijskog društva, ispitanik svoje pravo na prigovor može ostvariti automatskim putem uporabom tehničkih specifikacija.

4.9. Automatizirano pojedinačno donošenje odluka, uključujući izradu profila

Ispitanik ima pravo da se na njega ne odnosi odluka koja se temelji isključivo na automatiziranoj obradi kojom se ocjenjuju osobni aspekti u vezi s njime i koja proizvodi pravne učinke koji se na njega odnose ili na sličan način značajno na njega utječu. Primjeri toga jesu automatsko odbijanje zahtjeva za kredit podnesenog putem interneta ili prakse zapošljavanja putem interneta bez ikakve ljudske intervencije. Takva automatizirana obrada može uključivati izradu profila. Međutim, pravo na to da se ne podliježe takvoj automatiziranoj obradi ne primjenjuje se kada je ona potrebna radi:

— sklapanja ili izvršenja ugovora između ispitanika i voditelja obrade;

— kada je dopuštena pravom Unije ili države članice kojem podliježe voditelj obrade te kojim se također propisuju odgovarajuće mjere zaštite prava i sloboda te legitimnih interesa ispitanika, kao što je praćenje prijevare i utaje poreza; ili

— kada je utemeljena na izričitoj privoli ispitanika.

— Osim u drugom slučaju u vezi s obradom dopuštenom pravom Unije ili države članice, voditelj obrade koji vrši obradu automatskim putem mora primijeniti odgovarajuće zaštitne mjere koje se odnose na prava i slobode te legitimne interese ispitanikâ. Te zaštitne mjere moraju obuhvaćati barem pravo na ljudsku intervenciju od strane voditelja obrade i mogućnost ispitanika da izrazi svoje stajalište i ospori odluku. Nadalje, kako bi se osigurala poštena i transparentna obrada, voditelji obrade trebali bi upotrebljavati prikladne matematičke i statističke postupke za izradu profila i mjere kojima se smanjuju mogući rizici za interese ispitanikâ.

Položaj ispitanika dodatno je ojačan jer je voditelj obrade obvezan, kada je to potrebno kako bi se osigurala poštena i transparentna obrada, ispitaniku pružiti informacije o postojanju automatiziranog donošenja odluka, uključujući izradu profila, te barem u tim slučajevima pružiti i smislene informacije o logici takve obrade te njezinoj važnosti i predviđenim posljedicama za ispitanika.

Naposljetku, automatizirano donošenje odluka i izrada profila na temelju posebnih kategorija osobnih podataka dopušteni su samo pod posebnim uvjetima, uključujući pravo ispitanika na ulaganje prigovora na takvu obradu ako se ti osobni podaci dalje obrađuju u svrhe znanstvenog ili povijesnog istraživanja ili u statističke svrhe, osim ako je obrada nužna za izvršavanje zadaće od javnog interesa.

Europski odbor za zaštitu podataka može izdavati smjernice, preporuke i primjere najbolje prakse u svrhu dodatnog određivanja kriterija i uvjeta za odluke koje se temelje na izradi profila.

5. Voditelj obrade i izvršitelj obrade

5.1. Uvod

U stajalištu Vijeća u prvom čitanju uspostavlja se pravni okvir za odgovornost i obveze za svaku obradu osobnih podataka koju provodi voditelj obrade ili koju u ime voditelja obrade provodi izvršitelj obrade. U skladu s načelom pouzdanosti, voditelj obrade mora provoditi odgovarajuće tehničke i organizacijske mjere i mora moći dokazati usklađenost svojih postupaka obrade s Uredbom. U tom kontekstu Uredbom se utvrđuju pravila o odgovornostima voditelja obrade u pogledu procjena učinka, vođenja evidencije obrade, povreda podataka, imenovanja službenika za zaštitu podataka te kodeksâ ponašanja i certifikacijskih mehanizama.

5.2. Procjene učinka

Voditelj obrade odgovoran je za provedbu procjene učinka na zaštitu podataka kako bi procijenio kada će obrada vjerojatno dovesti do visokog rizika za prava i slobode pojedinaca. U stajalištu Vijeća u prvom čitanju utvrđuju se slučajevi u kojima je procjena učinka na zaštitu podataka osobito potrebna, poput određenih postupaka obrade velikog opsega. Ako se takvom procjenom učinka pokaže da postupci obrade uključuju visok rizik koji voditelj obrade ne može umanjiti odgovarajućim mjerama u smislu dostupne tehnologije i troškova provedbe, prije obrade mora se izvršiti savjetovanje s nadzornim tijelom. Nadzorno tijelo tada može dati savjet voditelju obrade i iskoristiti bilo koju od svojih ovlasti.

Europski odbor za zaštitu podataka može izdati smjernice o postupcima obrade koji će vjerojatno dovesti do visokog rizika za prava i slobode pojedinaca te može navesti koje mjere u takvim slučajevima mogu biti dovoljne za rješavanje potencijalnog rizika.

5.3. Evidencija aktivnosti obrade

Kako bi se omogućile ex post kontrole koje provodi nadzorno tijelo, voditelj obrade ili, ako postoji, predstavnik voditelja obrade ili izvršitelj obrade mora voditi evidenciju aktivnosti obrade za koje je odgovoran, među ostalim o povredama podataka. Kako bi se smanjilo administrativno opterećenje, obveza vođenja evidencije ne primjenjuje se na poduzeća ili organizacije u kojima je zaposleno manje od 250 osoba, osim ako će obrada koju provode vjerojatno prouzročiti rizik za prava i slobode ispitanikâ, ako obrada nije povremena ili obrada uključuje osjetljive podatke ili podatke povezane s kaznenim osudama i kažnjivim djelima.

5.4. Povrede podataka

Povreda osobnih podataka mogla bi prouzročiti fizičku, materijalnu ili nematerijalnu štetu pojedincima, kao što su gubitak nadzora nad osobnim podacima ili ograničavanje njihovih prava, diskriminacija, krađa identiteta ili prijevara, financijski gubitci, neovlašteni obrnuti postupak pseudonimizacije, šteta za ugled, gubitak povjerljivosti podataka zaštićenih profesionalnom tajnom ili bilo koju drugu ekonomsku ili društvenu štetu za dotičnog pojedinca. U stajalištu Vijeća u prvom čitanju predviđa se da voditelji obrade moraju izvijestiti nadzorna tijela o povredama podataka, osim kada povreda podataka vjerojatno neće prouzročiti rizik za prava i slobode pojedinaca. Usto dotične ispitanike moraju obavijestiti o onim povredama koje će vjerojatno predstavljati visok rizik. Izvješćivanje nadzornih tijela omogućit će im da interveniraju ako to bude potrebno. Nadalje, obavješćivanje relevantnih ispitanika njima će omogućiti poduzimanje mjera opreza.

Radi smanjenja administrativnog opterećenja u stajalištu Vijeća u prvom čitanju primjenjuju se različiti pragovi za izvješćivanje nadzornog tijela i obavješćivanje relevantnih ispitanika, pri čemu je prag za obavješćivanje viši od praga za izvješćivanje. Čim saznaju da je došlo do povrede osobnih podataka voditelji obrade moraju, bez nepotrebnog odgađanja i, kada je to moguće, ne kasnije od 72 sata nakon saznanja, izvijestiti nadležno nadzorno tijelo. Međutim, voditelji obrade mogu odustati od izvješćivanja ako mogu dokazati da povreda osobnih podataka vjerojatno neće prouzročiti rizik za prava i slobode pojedinaca. Osim nekih iznimaka, voditelji obrade moraju bez nepotrebnog odgađanja o povredi podataka obavijestiti relevantne ispitanike kada je vjerojatno da će povreda osobnih podataka prouzročiti visok rizik za prava i slobode tih ispitanika.

Europski odbor za zaštitu podataka može izdati smjernice, preporuke i najbolje prakse za utvrđivanje povreda podataka te određivanje nepotrebnog odgađanja nakon što je voditelj obrade saznao za povredu, za posebne okolnosti u kojima se od voditelja obrade zahtijeva izvješćivanje o povredi osobnih podataka te za okolnosti u kojima će povreda osobnih podataka vjerojatno dovesti do visokog rizika za prava i slobode pojedinaca.

5.5. Službenik za zaštitu podataka

Svrha imenovanja službenika za zaštitu podataka jest poboljšanje usklađenosti s Uredbom. Službenik za zaštitu podataka stoga mora biti osoba koja posjeduje stručno znanje o pravu i praksama u području zaštite podataka i mora pomagati voditelju ili izvršitelju obrade u praćenju unutarnje usklađenosti s ovom Uredbom. To može biti član osoblja voditelja ili izvršitelja obrade ili obavljati zadaće na temelju ugovora o djelu. Jedan službenik za zaštitu podataka ujedno može biti imenovan za grupu poduzetnika ili kada je voditelj ili izvršitelj obrade tijelo javne vlasti. U stajalištu Vijeća u prvom čitanju predviđa se obvezno imenovanje službenika za zaštitu podataka kada:

— obradu provodi tijelo javne vlasti, uz iznimku sudova ili neovisnih pravosudnih tijela kada djeluju u okviru svoje sudske nadležnosti;

— osnovne djelatnosti voditelja obrade ili izvršitelja obrade sastoje se od postupaka obrade koji zbog svoje prirode, opsega i/ili svrhe iziskuju redovito i sustavno praćenje ispitanika u velikom opsegu; ili

— osnovne djelatnosti voditelja obrade ili izvršitelja obrade sastoje se od opsežne obrade osjetljivih podataka i podataka u vezi s kaznenim osudama i kažnjivim djelima.

5.6. Kodeksi ponašanja i mehanizmi certificiranja

U stajalištu Vijeća u prvom čitanju potiče se primjena kodeksâ ponašanja te promiče šira upotreba mehanizama certificiranja zaštite podataka te pečata i oznaka za zaštitu podataka. Tim se inicijativama doprinosi usklađenosti s pravilima o zaštiti podataka i istodobno izbjegavaju pretjerano preskriptivna pravila te smanjuju troškovi za tijela javnih vlasti odgovorna za provedbu. Nadalje, kodeksima ponašanja mogu se uzeti u obzir posebna obilježja obrade koja se provodi u određenim sektorima, kao i potrebe mikro, malih i srednjih poduzeća. Mehanizmi certificiranja te pečati i oznake za zaštitu podataka također doprinose usklađenosti s Uredbom jer ispitanici mogu lako procijeniti razinu zaštite podataka relevantnih proizvoda i usluga.

Stajalište Vijeća u prvom čitanju sadrži opsežan skup pravila u vezi s kodeksima ponašanja i mehanizmima certificiranja, pečatima i oznakama za zaštitu podataka, koja ostavljaju prostora za privatne inicijative istodobno štiteći norme zaštite podataka uključivanjem nadzornih tijela.

5.6.1. Kodeksi ponašanja

Nadzorno tijelo može odobriti kodekse ponašanja ili izmjene ili proširenja takvih kodeksa ponašanja. Ako se nacrt kodeksa ponašanja odnosi na aktivnosti obrade u nekoliko država članica, nadležno nadzorno tijelo nacrt kodeksa, izmjenu ili proširenje prije odobrenja mora dostaviti Europskom odboru za zaštitu podataka radi dobivanja mišljenja.

Komisija može donijeti provedbene akte radi odlučivanja da novi kodeksi ponašanja i izmjene ili proširenja postojećih kodeksa ponašanja koje je odobrilo nadležno nadzorno tijelo imaju opću valjanost unutar Unije.

Europski odbor za zaštitu podataka trebao bi poticati izradu kodeksâ ponašanja. Europski odbor za zaštitu podataka također mora sve odobrene kodekse ponašanja i njihove izmjene prikupiti u evidenciju i objaviti ih na bilo koji prikladan način.

5.6.2. Mehanizmi certificiranja te pečati i oznake za zaštitu podataka

U stajalištu Vijeća u prvom čitanju navodi se da svaka država članica mora navesti je li certifikacijska tijela akreditiralo nadzorno tijelo ili nacionalno akreditacijsko tijelo. Akreditirana certifikacijska tijela mogu certificirati voditelje i izvršitelje obrade na temelju kriterija koje je odobrilo nadležno nadzorno tijelo ili, u skladu s mehanizmom konzistentnosti, Europski odbor za zaštitu podataka. U potonjem slučaju iz kriterija koje je odobrio Europski odbor za zaštitu podataka može proizaći zajednička certifikacija: Europski pečat za zaštitu podataka. Certifikacija se izdaje voditelju obrade ili izvršitelju obrade na najviše tri godine s mogućnošću produljenja. Certifikacijsko tijelo nadležnom nadzornom tijelu mora dostaviti razloge za izdavanje ili povlačenje zatražene certifikacije. Nadzorno tijelo takvu certifikaciju zatim može odbiti ili je proglasiti nevaljanom.

Komisija je nadležna za donošenje delegiranih akata u svrhu preciziranja zahtjeva koje treba uzeti u obzir za mehanizme certificiranja zaštite podataka. Europski odbor za zaštitu podataka mora dati mišljenje o tim zahtjevima. Komisija također može donositi provedbene akte o tehničkim normama za mehanizme certificiranja, pečate i oznake za zaštitu podataka te mehanizme promicanja i priznavanja mehanizama certificiranja te pečata i oznaka za zaštitu podataka.

Na kraju, Europski odbor za zaštitu podataka trebao bi poticati uspostavu mehanizama certificiranja zaštite podataka te pečata i oznaka za zaštitu podataka.

6. Prijenos osobnih podataka trećim zemljama ili međunarodnim organizacijama

6.1. Uvod

Prekogranični protoci osobnih podataka u zemlje izvan Unije i međunarodne organizacije te iz njih ključni su u kontekstu globalne trgovine i prekograničnog digitalnoga gospodarstva. Razina zaštite koju jamči Unija ne smije biti narušena ako se osobni podaci građana EU-a prenose izvan Unije.

Kao opće načelo, bilo kakav prijenos osobnih podataka trećoj zemlji ili međunarodnoj organizaciji smije se izvršiti samo ako voditelji i izvršitelji obrade poštuju pravila Uredbe. Stajalištem Vijeća u prvom čitanju u potpunosti se uzima u obzir sudska praksa Suda Europske unije, uključujući njegovu odluku od 6. listopada 2015. u predmetu C-362/14. U stajalištu Vijeća zadržani su različiti načini dopuštanja prekograničnog prijenosa osobnih podataka uz istodobno jačanje jamstava poštovanja prava na zaštitu podataka. Navedeni različiti načini prijenosa osobnih podataka jesu odluke o primjerenosti, odgovarajuće zaštitne mjere i odstupanja.

U stajalištu Vijeća u prvom čitanju objašnjava se da sve odluke suda ili odluke upravnog tijela treće zemlje kojima se od voditelja ili izvršitelja obrade zahtijeva prijenos ili otkrivanje osobnih podataka mogu biti priznate ili izvršive na bilo koji način samo ako se temelje na međunarodnom sporazumu koji je na snazi između treće zemlje koja je podnijela zahtjev i Unije ili države članice. Nadalje, u stajalištu Vijeća u prvom čitanju izričito se navodi da se takvim međunarodnim sporazumima ne dovode u pitanje drugi razlozi za prekogranične prijenose predviđeni Uredbom.

6.2. Odluke o primjerenosti

Međunarodni prijenosi mogu se izvršiti na temelju Komisijine odluke o primjerenosti da treća zemlja, područje, jedan poseban sektor ili više njih unutar te treće zemlje ili dotična međunarodna organizacija osigurava razinu zaštite u načelu istovjetnu onoj zajamčenoj unutar Unije. Time se u cijeloj Uniji pruža pravna sigurnost i ujednačenost.

Komisija može odlučiti povući odluku o primjerenosti, nakon što trećoj zemlji ili međunarodnoj organizaciji uputi obavijest i potpuno obrazloženje. Komisija odluke o primjerenosti i odluke o opozivu takvih odluka donosi u obliku provedbenih akata. Provedbenim aktima mora se osigurati mehanizam periodičnog preispitivanja najmanje svake četiri godine. Komisija mora pratiti razvoj događaja u trećim zemljama i međunarodnim organizacijama koji bi mogao utjecati na funkcioniranje odluka o primjerenosti. Za potrebe praćenja i provedbe periodičnih preispitivanja Komisija bi trebala uzeti u obzir stajališta i nalaze Europskog parlamenta i Vijeća, kao i ostalih relevantnih tijela i izvora. U kontekstu ocjene i preispitivanja Uredbe Komisija također mora izvješćivati Vijeće i Europski parlament u redovitim vremenskim razmacima. Konačno, Europski odbor za zaštitu podataka Komisiji mora dati mišljenje za procjenu primjerenosti razine zaštite u trećoj zemlji ili međunarodnoj organizaciji, uključujući procjenu o tome da više nije osigurana odgovarajuća razina zaštite.

Odluke koje je Komisija donijela na temelju članka 25. stavka 6. Direktive 95/46/EZ ostaju na snazi dok ih se ne izmijeni, zamijeni ili stavi izvan snage odlukom Komisije. Isto tako, odobrenja države članice ili nadzornog tijela na temelju članka 26. stavka 2. Direktive 95/46/EZ i odluka koje je Komisija donijela na temelju članka 26. stavka 4. Direktive 95/46/EZ ostaju na snazi dok ih to nadzorno tijelo ne izmijeni, zamijeni ili stavi izvan snage, prema potrebi, ili dok se navedeno ne izvrši odlukom Komisije. Stajalište Vijeća u prvom čitanju osiguravanjem kontinuiteta omogućuje pravnu sigurnost.

6.3. Odgovarajuće zaštitne mjere

Osim odluke o primjerenosti, prekogranični prijenosi mogu se izvršiti i ako je voditelj ili izvršitelj obrade poduzeo odgovarajuće zaštitne mjere kako bi nadoknadio pomanjkanje zaštite podataka u trećoj zemlji ili međunarodnoj organizaciji. Te zaštitne mjere mogu obuhvaćati pravno obvezujuće i provedive instrumente između tijela javne vlasti ili javnih tijela, obvezujuća korporativna pravila, standardne klauzule o zaštiti podataka koje je donijela Komisija, standardne klauzule o zaštiti podataka koje je donijelo nadzorno tijelo ili ugovorne klauzule koje je odobrilo nadzorno tijelo. Voditelji ili izvršitelji obrade u trećoj zemlji također mogu osigurati odgovarajuće zaštitne mjere za prijenose osobnih podataka trećim zemljama ili međunarodnim organizacijama. To mogu ostvariti putem odobrenog kodeksa ponašanja, uz obvezujuće i provedive obveze da će ugovornim ili drugim pravno obvezujućim instrumentima primijeniti odgovarajuće zaštitne mjere, među ostalim u pogledu prava ispitanikâ. Navedeno također mogu ostvariti putem mehanizma certificiranja koji je odobrilo nadležno nadzorno tijelo, zajedno s obvezujućim i provedivim obvezama voditelja ili izvršitelja obrade u trećoj zemlji u pogledu primjene odgovarajućih zaštitnih mjera, među ostalim u pogledu prava ispitanikâ.

6.4. Odstupanja

Ako ne postoji odluka o primjerenosti ili odgovarajuće zaštitne mjere, prijenos ili skup prijenosa osobnih podataka trećoj zemlji ili međunarodnoj organizaciji može se izvršiti na temelju odstupanja koja su taksativno navedena u Uredbi. Jedno od tih odstupanja odnosi se na legitimne interese voditelja obrade ako interesi ili prava i slobode ispitanika ne nadvladavaju takve interese. S ciljem osiguravanja dostatnih zaštitnih mjera za prekogranične prijenose osobnih podataka legitimni interesi voditelja obrade strogo su ograničeni i na njih se može pozivati samo kao ultimum remedium. Radi osiguravanja dosljedne primjene Uredbe Europski odbor za zaštitu podataka mora na vlastitu inicijativu ili na zahtjev Komisije sastavljati i revidirati smjernice, preporuke i primjere najbolje prakse u svrhu dodatnog određivanja kriterija i zahtjeva u pogledu prijenosa podataka u nedostatku odluke o primjerenosti ili odgovarajućih zaštitnih mjera.

7. Nadzorna tijela

7.1. Neovisnost

Radi zaštite temeljnih prava i sloboda pojedinaca u odnosu na obradu njihovih osobnih podataka i radi olakšavanja slobodnog protoka osobnih podataka unutar Unije, svaka država članica mora osigurati da jedno ili više neovisnih tijela javne vlasti bude odgovorno za praćenje primjene Uredbe na njezinu državnom području. Svako nadzorno tijelo i njegovi članovi moraju djelovati potpuno neovisno, među ostalim i pošteno, u obavljanju zadaća i izvršavanju ovlasti povjerenih tom nadzornom tijelu i njegovim članovima.

Svako nadzorno tijelo mora doprinositi dosljednoj primjeni Uredbe u cijeloj Uniji. U tu svrhu nadzorna tijela moraju surađivati međusobno i s Europskim odborom za zaštitu podataka te s Komisijom. Dosljedna primjena Uredbe dodatno se osigurava utvrđivanjem nadležnosti nadzornih tijela i definiranjem zadaća te najmanjih istražnih, korektivnih i savjetodavnih ovlasti te ovlasti u vezi s odobravanjem koje moraju posjedovati nadzorna tijela.

7.2. Profesionalna tajna

U stajalištu Vijeća u prvom čitanju utvrđuju se pravila o profesionalnoj tajni za nadzorna tijela i njihove članove. Član ili članovi i osoblje svakog nadzornog tijela ponajprije, u skladu s pravom Unije ili države članice, i za vrijeme svojeg mandata i nakon njegova završetka moraju podlijegati obvezi čuvanja profesionalne tajne u pogledu svih povjerljivih informacija koje doznaju tijekom obavljanja svojih zadaća ili izvršavanja svojih ovlasti. Navedeno je i da se tijekom mandata ta dužnost čuvanja profesionalne tajne posebno primjenjuje na izvješćivanje pojedinaca o kršenjima ove Uredbe. Nadalje, Europski odbor za zaštitu podataka ima zadatak izdavanja smjernica, preporuka i primjera najbolje prakse za utvrđivanje zajedničkih postupaka izvješćivanja pojedinaca o kršenjima Uredbe.

8. Suradnja i konzistentnost

8.1. Europski odbor za zaštitu podataka

Stajalištem Vijeća u prvom čitanju osniva se Europski odbor za zaštitu podataka kao tijelo Unije koje ima pravnu osobnost s ciljem osiguravanja ispravne i dosljedne primjene Uredbe. Intervencije Odbora sastoje se ponajprije od davanja mišljenjâ ili donošenja obvezujućih odluka u kontekstu rješavanja sporova između nadzornih tijela ili od izdavanja smjernica o bilo kojem pitanju povezanom s primjenom ove Uredbe kako bi se osigurala dosljedna provedba Uredbe.

Europski odbor za zaštitu podataka čine voditelji jednog nadzornog tijela iz svake države članice i europski nadzornik za zaštitu podataka, ili njihovi predstavnici. Komisija ima pravo sudjelovanja u aktivnostima i na sastancima Europskog odbora za zaštitu podataka bez prava glasa. Rasprave Europskog odbora za zaštitu podataka povjerljive su ako to Odbor smatra potrebnim, kako je predviđeno u poslovniku Odbora.

Ako Europski odbor za zaštitu podataka donese obvezujuću odluku u kontekstu rješavanja sporova, Europski nadzornik za zaštitu podataka ima pravo glasa samo u pogledu odluka koje se tiču načela i pravila primjenjivih na institucije, tijela, urede i agencije Unije koji sadržajno odgovaraju onima iz Uredbe.

8.2. Mehanizam konzistentnosti

U slučajevima prekogranične obrade osobnih podataka u koju je uključeno više nadzornih tijela, mehanizmom konzistentnosti osigurava se donošenje jedinstvene odluke koja će biti primjenjiva u cijeloj Europskoj uniji, uzimajući istodobno u obzir mišljenja različitih dotičnih nadzornih tijela. Mehanizmom konzistentnosti stoga se približavaju ispitanici i nadzorno tijelo koje donosi odluke uključivanjem „lokalnih” nadzornih tijela u postupak odlučivanja. Nadalje, u slučaju sporova između nadzornih tijela iz različitih država članica novoosnovani Europski odbor za zaštitu podataka nadležan je za donošenje obvezujućih odluka.

Pravila mehanizma konzistentnosti ne primjenjuju se ako obradu obavljaju tijela javne vlasti ili privatna tijela u javnom interesu. U takvim slučajevima jedino nadležno nadzorno tijelo jest nadzorno tijelo države članice u kojoj tijelo javne vlasti ili privatno tijelo ima poslovni nastan.

U stajalištu Vijeća u prvom čitanju u okviru Komisijine ocjene Uredbe predviđa se ispitivanje primjene mehanizma za suradnju i mehanizma konzistentnosti.

9. Pravna sredstva, odgovornosti i sankcije

U stajalištu Vijeća u prvom čitanju utvrđuje se razrađen skup pravila kojima se ispitanicima osigurava više vrsta pravnih sredstava, uključujući mogućnost zahtijevanja odštete u slučaju štete uzrokovane kršenjem Uredbe.

9.1. Pravo na pritužbu i pravo na pravni lijek

U stajalištu Vijeća u prvom čitanju predviđa se da svaki ispitanik ima pravo na podnošenje pritužbe nadzornom tijelu ako smatra da obrada osobnih podataka koji se odnose na njega nije usklađena s ovom Uredbom. Nadalje, svaki ispitanik ima pravo na učinkoviti pravni lijek protiv pravno obvezujuće odluke nadzornog tijela koja se odnosi na njega. Ispitanik također ima pravo na učinkoviti pravni lijek ako nadzorno tijelo ne obradi pritužbu ili ne pruži informacije o tijeku ili ishodu pritužbe.

Svaki ispitanik ujedno ima pravo na učinkoviti pravni lijek ako smatra da su njegova prava iz ove Uredbe prekršena uslijed obrade njegovih osobnih podataka koja nije usklađena s Uredbom.

Približavanje ispitanika i nacionalnog suda osigurava se tako što ispitanik ima pravo na to da odluku njegova tijela za zaštitu podataka preispita njegov nacionalni sud, bez obzira na to u kojoj državi članici voditelj ili izvršitelj obrade ima poslovni nastan. Postupci protiv voditelja obrade ili izvršitelja obrade moraju se voditi pred sudovima države članice u kojoj voditelj obrade ili izvršitelj obrade ima poslovni nastan. Druga je mogućnost da se takvi postupci vode pred sudovima države članice u kojoj ispitanik ima uobičajeno boravište, osim ako je voditelj obrade ili izvršitelj obrade tijelo javne vlasti neke države članice koje djeluje u svojstvu vršitelja svojih javnih ovlasti.

Na kraju, svaka fizička ili pravna osoba ima pravo pokrenuti postupak za poništenje odluka Europskog odbora za zaštitu podataka pred Sudom Europske unije u skladu s uvjetima iz članka 263. UFEU-a.

9.2. Zastupanje ispitanikâ

Ispitanik ima pravo ovlastiti tijela, organizacije ili udruženja koji ispunjavaju određene kriterije, na primjer ako je njihov rad neprofitne prirode i aktivni su u području zaštite podataka, da podnesu pritužbu u njegovo ime i da u njegovo ime ostvaruju prava na pravni lijek i pravo na dobivanje naknade ako je to predviđeno pravom države članice. Tim se posebnim kriterijima želi izbjeći razvoj kulture komercijalnih zahtjeva u području zaštite podataka. Osim toga, države članice mogu predvidjeti da svako takvo tijelo, organizacija ili udruženje neovisno o mandatu ispitanika ima pravo u toj državi članici podnijeti pritužbu nadležnom nadzornom tijelu i ostvariti prava na pravni lijek ako smatra da su prava ispitanika prekršena uslijed obrade osobnih podataka koja nije usklađena s ovom Uredbom.

9.3. Suspenzija postupka

Kako bi se izbjeglo da isti predmet u vezi s obradom koju izvršava isti voditelj ili izvršitelj obrade razmatraju različiti sudovi, svi nadležni sudovi osim suda pred kojim je prvo pokrenut postupak mogu suspendirati postupak ili se na zahtjev jedne od stranaka proglasiti nenadležnima.

9.4. Pravo na naknadu štete i odgovornost

Stajalištem Vijeća u prvom čitanju predviđa se da svaki ispitanik koji je pretrpio materijalnu ili nematerijalnu štetu zbog kršenja Uredbe ima pravo primiti naknadu štete od voditelja ili izvršitelja obrade. Kako bi se ispitanicima osigurala mogućnost traženja odštete u slučaju štete, a voditeljima obrade i izvršiteljima obrade istodobno osigurala pravna sigurnost, Uredbom se utvrđuju njihove odgovornosti. Svi voditelji obrade uključeni u obradu odgovorni su za njome prouzročenu štetu. Izvršitelj obrade odgovoran je samo ako nije poštovao obveze iz Uredbe koje se posebno odnose na izvršitelje obrade ili ako je djelovao izvan zakonskih uputa voditelja obrade ili protivno njima. Međutim, voditelj ili izvršitelj obrade izuzet je od odgovornosti ako dokaže da ni na koji način nije odgovoran za događaj koji je prouzročio štetu.

Ako je u istu obradu uključeno više voditelja ili izvršitelja obrade ili jedan voditelj i jedan izvršitelj obrade i ako su oni odgovorni za bilo kakvu štetu prouzročenu obradom, svaki voditelj ili izvršitelj obrade smatra se odgovornim za cjelokupnu štetu kako bi se osigurala učinkovita naknada ispitaniku. Međutim, ako je jedan voditelj ili izvršitelj obrade platio punu odštetu za pretrpljenu štetu, taj voditelj ili izvršitelj obrade ima pravo od drugih voditelja ili izvršitelja obrade uključenih u istu obradu zatražiti dio odštete koji odgovara njihovu udjelu u odgovornosti za štetu.

9.5. Sankcije

Kako bi se osigurala usklađenost s Uredbom, u stajalištu Vijeća u prvom čitanju predviđa se da nadzorna tijela mogu propisati upravne novčane kazne. Te kazne moraju biti učinkovite, proporcionalne i odvraćajuće. Država članica može utvrditi pravila o tome mogu li se i u kojoj mjeri tijelima javne vlasti i javnim tijelima s poslovnim nastanom u toj državi članici propisati upravne novčane kazne. Osim propisivanja upravnih novčanih kazni nadzorna se tijela mogu koristiti i drugim korektivnim ovlastima, kao što su upozorenja ili opomene. S ciljem povećanja usklađenosti Europski odbor za zaštitu podataka mora izraditi smjernice za nadzorna tijela o primjeni korektivnih ovlasti nadzornih tijela i određivanju upravnih novčanih kazni.

Stajalište Vijeća u prvom čitanju sadrži popis kriterija za nadzorna tijela pri odlučivanju o propisivanju upravne novčane kazne i odlučivanju o iznosu te upravne novčane kazne. Ti se kriteriji, među ostalim, odnose na prirodu, težinu i trajanje kršenja Uredbe ili na to ima li ono obilježje namjere ili nepažnje. U Uredbi se navode i povrede i odgovarajuće najveće upravne novčane kazne. U okviru tih maksimalnih upravnih novčanih kazni nadzorno tijelo mora utvrditi odgovarajući iznos ovisno o okolnostima svakog pojedinačnog kršenja. Radi osiguravanja pravne sigurnosti voditeljima i izvršiteljima obrade te veće usklađenosti upravnih novčanih kazni unutar Unije, zadržavajući pritom diskrecijsko pravo nadzornih tijela, ta su kršenja podijeljena u tri kategorije. Za kršenja odredaba iz prve kategorije u vezi s obvezama voditelja i izvršitelja obrade mogu se izreći kazne u iznosu do 10 000 000 EUR, ili, u slučaju poduzetnika, do 2 % ukupnog godišnjeg prometa na svjetskoj razini za prethodnu financijsku godinu, ovisno o tome koji je iznos veći. Za kršenja iz druge kategorije u vezi s pravima ispitanikâ i općim načelima gornja granica iznosi 20 000 000 EUR ili 4 % prometa. Treća kategorija kršenja odnosi se na nepoštovanje naredbe nadzornog tijela, a maksimalna kazna također iznosi 20 000 000 EUR ili 4 % prometa.

10. Posebne situacije obrade podataka

10.1. Obrada osobnih podataka i sloboda izražavanja i informiranja

Države članice moraju zakonom predvidjeti usklađivanje prava na zaštitu osobnih podataka s pravom na slobodu izražavanja i informiranja, što uključuje obradu osobnih podataka u novinarske svrhe i svrhe akademskog, umjetničkog ili književnog izražavanja. S ciljem osiguravanja transparentnosti u pogledu usklađivanja tih prava, svaka država članica mora obavijestiti Komisiju o relevantnim odredbama svojeg prava, izmjenama tih odredaba i relevantnim novim odredbama.

10.2. Obrada u kontekstu zaposlenja

Države članice mogu zakonom ili kolektivnim ugovorima predvidjeti preciznija pravila s ciljem osiguravanja zaštite prava i sloboda u vezi s obradom osobnih podataka zaposlenikâ u kontekstu zaposlenja.

Ta pravila moraju uključivati prikladne i posebne mjere za zaštitu ljudskog dostojanstva ispitanika, njegovih legitimnih interesa i temeljnih prava. Svaka država članica mora obavijestiti Komisiju o relevantnim odredbama svojeg prava, izmjenama tih odredaba i relevantnim novim odredbama.

10.3. Zaštitne mjere i odstupanja za obradu osobnih podataka u svrhe arhiviranja u javnom interesu, znanstvenog ili povijesnog istraživanja ili u statističke svrhe

U stajalištu Vijeća u prvom čitanju uspostavljaju se posebna pravila za obradu osobnih podataka u svrhe arhiviranja u javnom interesu, znanstvenog ili povijesnog istraživanja ili u statističke svrhe. Cilj je tih pravila usklađivanje interesa dostupnosti osobnih podataka za održavanje arhiva s ciljem osiguravanja statističkih podataka i provođenja istraživanja s jedne strane i prava na zaštitu podataka s druge strane.

Na obradu u svrhe arhiviranja u javnom interesu, znanstvenog ili povijesnog istraživanja ili u statističke svrhe moraju se na temelju Uredbe primjenjivati odgovarajuće zaštitne mjere u pogledu prava i sloboda ispitanikâ. Države članice ovlaštene su da pod posebnim uvjetima i podložno odgovarajućim zaštitnim mjerama za ispitanike predvide specifikacije i odstupanja u pogledu zahtjeva povezanih s informacijama te pravom na ispravak, brisanje, zaborav, ograničavanje obrade, prenosivost podataka te prigovor u slučaju obrade osobnih podataka u svrhe arhiviranja u javnom interesu, znanstvenog ili povijesnog istraživanja ili u statističke svrhe.

Stajalištem Vijeća u prvom čitanju predviđa se odstupanje od zabrane obrade osjetljivih osobnih podataka u slučaju obrade u svrhe arhiviranja u javnom interesu, znanstvenog ili povijesnog istraživanja ili u statističke svrhe. Takvo se odstupanje dopušta ako se dotična obrada temelji na pravu Unije ili države članice, koje treba biti razmjerno željenom cilju te kojim se poštuje bit prava na zaštitu podataka i predviđaju prikladne i posebne mjere za zaštitu temeljnih prava i interesa ispitanika.

11. Prethodno sklopljeni sporazumi

U stajalištu Vijeća u prvom čitanju navodi se da međunarodni sporazumi koji uključuju prijenos osobnih podataka trećim zemljama ili međunarodnim organizacijama koje su države članice sklopile prije stupanja na snagu ove Uredbe i koji su u skladu s pravom Unije primjenjivim prije stupanja na snagu ove Uredbe ostaju na snazi dok ih se ne izmijeni, zamijeni ili stavi izvan snage. Time se osigurava pravna sigurnost za voditelje obrade i sprečava nepotrebno administrativno opterećenje za države članice. Time se ujedno uzima u obzir činjenica da u pogledu izmjene postojećih sporazuma države članice ovise o suradnji treće zemlje ili međunarodne organizacije.

IV. ZAKLJUČAK

Stajalište Vijeća u prvom čitanju odražava kompromis postignut tijekom neformalnih pregovora između Vijeća i Europskog parlamenta, uz pomoć Komisije. Vijeće poziva Europski parlament da službeno odobri stajalište Vijeća u prvom čitanju bez izmjena kako bi se mogao uspostaviti novi zakonodavni okvir EU-a za zaštitu podataka kojim će se ojačati zaštita podataka i istodobno olakšati protok osobnih podataka na digitalnom tržištu.