Javaslat AZ EURÓPAI PARLAMENT ÉS A TANÁCS RENDELETE a személyes adatok feldolgozása vonatkozásában az egyének védelméről és az ilyen adatok szabad áramlásáról (általános adatvédelmi rendelet) /* COM/2012/011 final - 2011/ () */





INDOKOLÁS 1. A JAVASLAT HÁTTERE A jelen indokolás további részletekkel szolgál a COM(2012)9 végleges közleményben[1] rögzített, a személyes adatok Európai Unión belüli védelmének új jogi keretéhez kapcsolódó bizottsági megközelítés vonatkozásában. A javasolt új jogi keret két jogalkotási javaslatból áll: – személyes adatok feldolgozása vonatkozásában az egyének védelméről és az ilyen adatok szabad áramlásáról szóló európai parlamenti és tanácsi rendelet (általános adatvédelmi rendelet) javaslata, valamint – a személyes adatoknak az illetékes hatóságok által a bűncselekmények megelőzése, nyomozása, felderítése, büntetőeljárás lefolytatása vagy büntetőjogi szankciók végrehajtása céljából végzett feldolgozása vonatkozásában az egyének védelméről és az ilyen adatok szabad áramlásáról szóló európai parlamenti és tanácsi irányelv javaslat[2]. A jelen indokolás az általános adatvédelmi rendeletre vonatkozó jogalkotási javaslathoz kapcsolódik. A hatályos uniós személyesadat-védelmi szabályozás központi elemének, vagyis a 95/46/EK irányelvnek[3] 1995-ben történt elfogadásakor két célt tartottak szem előtt: az adatvédelemhez való alapvető jog tiszteletben tartását és a személyes adatok tagállamok közötti szabad áramlásának biztosítását. A jogszabály a büntetőügyekben folytatott rendőrségi és igazságügyi együttműködés területén a személyes adatok védelmére vonatkozó általános uniós eszközzel, a 2008/977/IB kerethatározattal[4] egészült ki. A gyors technológiai fejlődés új kihívásokat állított a személyes adatok védelme elé. Az adatmegosztás és adatgyűjtés mértéke rendkívül megnőtt. A technológia mind a magánvállalkozások, mind a hatóságok részére minden eddiginél nagyobb mértékben teszi lehetővé, hogy tevékenységük ellátása érdekében személyes adatokat használjanak fel. Az egyének egyre több személyes információt tesznek nyilvánosan és globálisan hozzáférhetővé. A technológia a gazdasági élet mellett a társadalmi életet is átformálta. A gazdasági fejlődés kulcsát az online környezetbe vetett bizalom kiépítése jelenti. A fogyasztók bizalom hiányában vonakodnak az online vásárlástól és új szolgáltatások elfogadásától. E kockázati tényezők lassítják az új technológiák innovatív felhasználásának fejlődését. A személyes adatok védelme tehát központi szerepet játszik az európai digitális menetrendben[5], valamint általában véve az Európa 2020 stratégiában[6]. Az Európai Unió működéséről szóló szerződés (EUMSZ) Lisszaboni Szerződés által beiktatott 16. cikkének (1) bekezdése rögzíti azt az elvet, amely szerint mindenkinek joga van a rá vonatkozó személyes adatok védelméhez. A Lisszaboni Szerződés ezenfelül az EUMSZ 16. cikk (2) bekezdésével a személyes adatok védelmére vonatkozó szabályok elfogadására külön jogalapot vezetett be. Az Európai Unió Alapjogi Chartájának 8. cikke a személyes adatok védelmét alapvető jogként rögzíti. Az Európai Tanács felkérte a Bizottságot, hogy értékelje az uniós adatvédelmi eszközök működését, valamint hogy – amennyiben szükséges – terjesszen elő további jogalkotási és nem jogalkotási kezdeményezéseket[7]. Az Európai Parlament a stockholmi programról szóló állásfoglalásában[8] üdvözölte az Európai Unió átfogó adatvédelmi rendszerének gondolatát, és egyebek mellett a kerethatározat felülvizsgálatára szólított fel. A Bizottság a stockholmi program végrehajtásáról szóló cselekvési tervében[9] hangsúlyozta annak szükségességét, hogy az összes uniós szakpolitika terén gondoskodni kell a személyes adatok védelmére vonatkozó alapvető jog következetes alkalmazásáról. A Bizottság „A személyes adatok Európai Unión belüli védelmének átfogó megközelítése” című közleményében[10] arra a következtetésre jutott, hogy az Európai Uniónak átfogóbb és következetesebb politikára van szüksége a személyes adatok védelméhez fűződő alapvető jog tekintetében. A jelenlegi keret célkitűzéseit és alapelveit tekintve továbbra is érvényes, de nem akadályozza meg az Unión belüli személyesadat-védelem széttagolt megvalósítását, a jogbizonytalanságot és azt a széles körben elterjedt közvélekedést, miszerint az online tevékenység jelentős kockázatokat rejt magába[11]. Ezért elérkezett az ideje egy szilárdabb és következetesebb uniós adatvédelmi keret kialakításának, amely mögött olyan erős kikényszeríthetőség áll, amely lehetővé teszi a digitális gazdaság belső piaci fejlődését, biztosítja az egyének számára a saját adataik feletti ellenőrzést, és megszilárdítja a jogbiztonságot és a gyakorlat biztonságát a gazdasági szereplők és a hatóságok számára. 2. AZ ÉRDEKELTEKKEL FOLYTATOTT KONZULTÁCIÓK EREDMÉNYEI, HATÁSVIZSGÁLAT E kezdeményezés a személyes adatok védelmének fennálló jogi keretét felülvizsgáló összes főbb érdekelttel folytatott széles körű konzultáció eredménye, amely több mint két évig tartott, és egy 2009 májusában tartott magas szintű konferenciát[12], valamint két nyilvános konzultációs szakaszt is magában foglalt: – 2009. július 9. és december 31. között zajlott a Konzultáció a személyes adatok védelméhez való alapvető jog jogi keretéről. A Bizottsághoz 168 válasz érkezett, 127 magánszemélyektől, gazdasági szervezetektől és szövetségektől, 12 pedig hatóságoktól[13]. – 2010. november 4. és 2011. január 15. között zajlott a Konzultáció a Bizottságnak a személyes adatok Európai Unión belüli védelméhez kapcsolódó átfogó megközelítéséről. A Bizottsághoz 305 válasz érkezett, 54 polgároktól, 31 hatóságoktól és 220 magánszervezetektől, különösen gazdasági szövetségektől és nem kormányzati szervezetektől[14]. A kulcsfontosságú érdekeltekkel célzott konzultációkat is folytattak; 2010 júniusában és júliusában külön eseményeket szerveztek a tagállami hatóságok és a magánszektor érdekeltjei, valamint a magánélet védelmére, az adatvédelemre és a fogyasztók védelmére létrejött szervezetek részére[15]. 2010. novemberében az Európai Bizottság alelnöke, Viviane Reding kerekasztal-megbeszélést szervezett az adatvédelem reformjáról. 2011. január 28-án (az adatvédelem napja) az Európai Bizottság és az Európa Tanács együttes szervezésében magas szintű konferenciát tartottak az uniós jogi keret reformjához kapcsolódó kérdésekről, valamint az egész világra kiterjedő közös adatvédelmi szabályok szükségességéről[16]. A magyar és lengyel soros tanácsi elnökség során két adatvédelmi konferenciát tartottak 2011. június 16–17-én és 2011. szeptember 21-én. 2011 folyamán célzott műhelytalálkozókat és egyedi kérdésekről szóló szemináriumokat tartottak. Januárban az ENISA[17] szervezett műhelytalálkozót az adatvédelem megsértésének európai bejelentéséről[18]. Februárban a Bizottság műhelytalálkozóra hívta a tagállami hatóságokat a büntetőügyekben folytatott rendőri és igazságügyi együttműködés területén felmerülő adatvédelmi problémák – beleértve a kerethatározat végrehajtását is – megvitatása céljából, az Alapjogi Ügynökség pedig konzultációra hívta az érdekelteket „Adatvédelem és a magánélet védelme” címmel. A reform kulcsfontosságú kérdéseinek megvitatására 2011. július 13-án került sor a nemzeti adatvédelmi hatóságok részvételével. 2010 novembere és decembere között az Eurobarometer felmérést végzett az uniós polgárok körében[19]. Számos tanulmányt is készítettek[20]. A „29. cikk alapján létrehozott munkacsoport”[21] számos véleményt és hasznos anyagot bocsátott a Bizottság rendelkezésére[22]. Az európai adatvédelmi biztos átfogó véleményt is kiadott a Bizottság 2010 novemberi közleményében felmerült kérdések vonatkozásában[23]. Az Európai Parlament 2011. július 6-i állásfoglalásával jóváhagyott egy, az adatvédelmi keret átalakítására vonatkozó bizottsági megközelítést támogató jelentést[24]. Az Európai Unió Tanácsa 2011. február 24-én elfogadott következtetéseiben általában véve támogatta a Bizottság adatvédelmi keret reformjára irányuló törekvéseit és egyetértett a Bizottság megközelítésének számos elemével. Az Európai Gazdasági és Szociális Bizottság ugyancsak támogatta az uniós adatvédelmi szabályok[25] valamennyi tagállamban való következetesebb alkalmazásának biztosítására vonatkozó bizottsági célkitűzést, valamint a 95/46/EK irányelv megfelelő felülvizsgálatát[26]. Az átfogó megközelítésről szóló konzultációk során az érdekeltek nagy többsége egyetértett azzal, hogy az általános elvek továbbra is érvényesek, de alkalmassá kell tenni a jelenlegi keretet arra, hogy jobb választ adhasson az új (különösen az online) technológiák gyors fejlődéséből fakadó kihívásokra és a terjedő globalizációra, fenntartva a jogi keret technológiai semlegességét. Súlyos kritikával illették az uniós személyesadat-védelem jelenlegi széttagoltságát, különösen azok a gazdasági érdekeltek, akik nagyobb mértékű jogbiztonságot és a személyes adatok védelméről szóló szabályok harmonizálását kérték. A személyes adatok nemzetközi továbbítására irányuló szabályok összetettségét lényeges hátráltató tényezőnek minősítették működésük szempontjából, mivel rendszeresen továbbítaniuk kell személyes adatokat az Unióból a világ más részeire. A Bizottság szabályozásjavító politikájával összhangban elvégezte a lehetséges szakpolitikai alternatívák hatásvizsgálatát. A hatásvizsgálatnál három szakpolitikai célkitűzést vettek alapul, az adatvédelem belső piaci vetületének javítását, az adatok védelméhez való jogok egyének általi gyakorlásának hatékonyabbá tételét, valamint az uniós hatáskörök mindegyikét – ideértve a büntetőügyekben folytatott rendőrségi és igazságügyi együttműködést is – lefedő átfogó és egységes keret kialakítását. Három eltérő mértékű beavatkozást maga után vonó szakpolitikai lehetőséget vizsgáltak meg: az első lehetőség a lehető legkevesebb jogszabály-módosítással járva értelmező közlemények és szakpolitikát támogató intézkedések, például támogatási programok és technikai eszközök használatából állt; a második az elemzésben meghatározott problémákat egyenként kezelő jogszabályi rendelkezéseket tartalmazott, míg a harmadik lehetőség az adatvédelem uniós szintű, minden ágazatra kiterjedő pontos és részletes szabályok útján végbemenő centralizációja, valamint a rendelkezések ellenőrzésére és végrehajtására létrehozandó uniós ügynökség volt. A Bizottság kialakult módszertanának megfelelően, egy szolgálatközi irányítócsoport segítségével minden egyes szakpolitikai lehetőséget megvizsgáltak a szakpolitikai célkitűzések elérésére való alkalmassága, az érdekelt felekre gyakorolt gazdasági hatása (ideértve az Európai Unió intézményeinek költségvetését is), társadalmi hatása és az alapvető jogokra gyakorolt hatása tükrében. Környezetre gyakorolt hatásokat nem figyeltek meg. A hatások átfogó elemzése a jelen javaslatban testet öltő, előnyben részesített szakpolitikai lehetőség kialakításához vezetett, amelyet a második lehetőségre és a másik két lehetőség néhány elemére alapoztak. A hatásvizsgálat szerint annak megvalósítása többek között komoly javuláshoz vezet majd az adatkezelők és a polgárok jogbiztonsága, az adminisztratív terhek csökkenése, az adatvédelem Unión belüli érvényesítésének következetessége, az egyének személyes adataik védelméhez való joga Európai Unión belüli hatékony gyakorlásának lehetősége, valamint az adatvédelem hatékony felügyelete és érvényesítése terén. Az előnyben részesített szakpolitikai lehetőség megvalósítása a várakozások szerint hozzájárul majd az adminisztratív terhek egyszerűsítésére és csökkentésére irányuló bizottsági célkitűzés, valamint az európai digitális menetrend, a stockholmi cselekvési terv és az Európa 2020 stratégia célkitűzéseinek megvalósulásához is. A hatásvizsgálati testület 2011. szeptember 9-én a hatásvizsgálat-tervezetről szóló véleményt fogalmazott meg. A hatásvizsgálati testület véleménye nyomán különösen a következő módosításokra került sor a hatásvizsgálatban: – egyértelművé tették a jelenlegi jogi keret célkitűzéseit (mennyiben sikerült, illetve nem sikerült elérni azokat), valamint a tervezett átalakítás célkitűzéseit is; – több bizonyíték és kiegészítő indokolás/magyarázat került a problémák meghatározására vonatkozó fejezetbe; – beillesztettek egy, az arányosságról szóló szakaszt; – teljes mértékben felülvizsgálták és módosították az alapforgatókönyv és az előnyben részesített lehetőség adminisztratív terheire vonatkozó számításokat és becsléseket, és egyértelműsítették a bejelentések költségei és a széttagoltság összköltsége között fennálló kapcsolatot (beleértve a 10. mellékletet); – pontosították a mikro-, kis- és középvállalkozásokra irányuló hatásokat – különösen az adatvédelmi tisztviselők tekintetében – és az adatvédelmi hatásvizsgálatokat. A hatásvizsgálatról szóló jelentést és a vezetői összefoglalót a javaslatokkal együtt teszik közzé. 3. A JAVASLAT JOGI ELEMEI 3.1. Jogalap E javaslat az EUMSZ 16. cikken alapul, amely a Lisszaboni Szerződéssel bevezetett új jogalapot képez az adatvédelmi szabályok elfogadásához. E rendelkezés lehetőséget teremt az egyéneknek az uniós jog alkalmazási körébe tartozó tevékenységeik során a személyes adatok tagállamok általi feldolgozása tekintetében történő védelmére vonatkozó szabályok megállapítására. Lehetővé teszi továbbá a személyes adatok – beleértve a tagállamok vagy magánfelek által feldolgozott személyes adatok ‑ szabad áramlására vonatkozó szabályok megállapítását is. A személyes adatok uniós védelme keretének meghatározására a rendelet a legmegfelelőbb jogi eszköz. A rendeletnek az EUMSZ 288. cikke szerinti közvetlen alkalmazhatósága csökkenti a jogi széttagoltságot, és az alapvető szabályok összehangolása révén nagyobb jogbiztonságot teremt, növeli az egyének alapvető jogainak védelmét, és hozzájárul a belső piac működéséhez. Az EUMSZ 114. cikk (1) bekezdésére történő hivatkozásra csak a 2002/58/EK irányelv módosítása miatt van szükség, annyiban, amennyiben az említett irányelv rendelkezik a jogi személy előfizetők jogos érdekeinek védelméről is. 3.2. Szubszidiaritás és arányosság A szubszidiaritás elvének (EUSZ 5. cikk (3) bekezdése) megfelelően uniós szinten csak akkor és annyiban kell fellépni, amikor és amennyiben a kitűzött célokat a tagállamok nem tudják kielégítően megvalósítani, így azok a tervezett intézkedés terjedelme vagy hatása miatt uniós szinten jobban megvalósíthatók. A fentiekben körvonalazott problémák fényében a szubszidiaritás elemzése a következőkkel indokolja az Európai Unió szintjén történő fellépés szükségességét: – Az Alapjogi Charta 8. cikkében rögzített személyes adatok védelméhez való jog Unió-szerte azonos szintű adatvédelmet követel meg. A közös uniós szabályozás hiánya azzal a kockázattal járna, hogy a tagállamokban különböző védelmi szintek alakulnak ki, és a létrejövő eltérő normák akadályozzák a személyes adatok tagállamok közötti határon átnyúló áramlását. – A személyes adatokat egyre nagyobb mértékben továbbítják a belső és külső nemzeti határokon át. Ezen túlmenően az adatvédelmi szabályozás érvényesítése gyakorlati kihívásokat jelent, és szükségessé teszi a tagállamok és hatóságaik közötti együttműködésre, amit az uniós jog egységes alkalmazásának érdekében uniós szinten kell megszervezni. Szintén az EU a legalkalmasabb arra, hogy hatékonyan és következetesen biztosítsa az egyének számára személyes adataik azonos szintű védelmét az adatok harmadik országokba történő továbbítása esetén. – A tagállamok önállóan nem képesek a jelen helyzetben fennálló, különösen a tagállami szabályozások széttagoltsága eredményeként előállt problémák orvoslására. Ezért különleges szükség van egy olyan harmonizált és egységes keret létrehozására, amely az Unión belül lehetővé teszi a személyes adatok határokon átnyúló zavartalan továbbítását, eközben hatékony védelmet biztosítva az egyének számára az EU egész területén . – A tervezett uniós jogalkotási intézkedések – a nem egy vagy több tagállam területére korlátozódó problémák jellege és terjedelme okán – hatékonyabbak lesznek a hasonló tagállami szintű intézkedéseknél. Az arányosság elve megkívánja, hogy a beavatkozás a célkitűzések eléréséhez szükséges intézkedésekre irányuljon, és ne lépje túl azok körét. A szakpolitikai lehetőségek megállapításától és értékelésétől a jelen javaslat megfogalmazásáig a javaslat előkészítése ezen elv mentén zajlott. 3.3. Az alapjogi vonatkozások összefoglalása A személyes adatok védelméhez való jogot a Charta 8. cikke, az EUMSZ 16. cikke, valamint az EJEE 8. cikke is rögzíti. Miként azt az Európai Unió Bírósága kiemelte[27], a személyes adatok védelméhez való jog nem abszolút jog, hanem a társadalomban betöltött szerepének függvényében kell figyelembe venni[28]. Az adatvédelem szorosan kapcsolódik a Charta 7. cikke által védett magán- és családi élet tiszteletben tartásához. Ezt tükrözi a 95/46/EK irányelv 1. cikkének (1) bekezdése, amely kimondja, hogy a tagállamok védik a természetes személyek alapvető jogait és szabadságait, különösen a magánélet tiszteletben tartásához való jogukat a személyes adatok feldolgozása tekintetében. A Chartában rögzített további esetlegesen érintett alapvető jogok a következők: a véleménynyilvánítás szabadsága (a Charta 11. cikke); a vállalkozás szabadsága (16. cikk); a tulajdonhoz való jog és különösen a szellemi tulajdon védelme (17. cikk (2) bekezdés); a megkülönböztetés tilalma többek között a faj, etnikai származás, genetikai tulajdonság, vallás vagy meggyőződés, politikai vagy más vélemény, fogyatékosság vagy szexuális irányultság alapján (21. cikk); a gyermekek jogai (24. cikk); az emberi egészségvédelem magas szintjéhez való jog (35. cikk); a dokumentumokhoz való hozzáférés joga (42. cikk), a hatékony jogorvoslathoz és a tisztességes eljáráshoz való jog (47. cikk). 3.4. A javaslat részletes magyarázata 3.4.1. I. FEJEZET – ÁLTALÁNOS RENDELKEZÉSEK Az 1. cikk meghatározza a rendelet tárgyát, valamint – a 95/46/EK irányelv 1. cikkéhez hasonlóan – a rendelet két célkitűzését. A 2. cikk meghatározza a rendelet tárgyi hatályát. A 3. cikk meghatározza a rendelet területi hatályát. A 4. cikk a rendeletben használt fogalmak meghatározását tartalmazza. Míg egyes fogalmak a 95/46/EK irányelvből kerültek át, addig más fogalmak módosultak, új elemekkel egészültek ki, illetve újonnan kerültek bevezetésre (a „személyes adatok megsértése” fogalma a 2009/136/EK irányelvvel[29] módosított 2002/58/EK elektronikus hírközlési adatvédelmi irányelv[30] 2. cikkének h) pontja alapján, a „genetikai adat”, „biometrikus adat” fogalma, az „egészségügyi adat” fogalma; a „fő szervezet”, „vállalkozás”, „vállalkozáscsoport”, „kötelező erejű vállalati szabályok” fogalma, a gyermekek jogairól szóló ENSZ-egyezményen[31] alapuló „gyermek” fogalma és a „felügyelő hatóság” fogalma). A hozzájárulás fogalmának meghatározása kiegészül azzal a feltétellel, hogy „kifejezett” legyen, amely az „egyértelmű” hozzájárulással való megtévesztő párhuzamosság elkerülését hivatott szolgálni, valamint arra irányul, hogy egyetlen egységes meghatározását adja a hozzájárulás fogalmának, ezáltal biztosítva azt, hogy az érintett tudatában van a hozzájárulásnak, valamint annak, hogy mihez járul hozzá. 3.4.2. II. FEJEZET – ALAPELVEK Az 5. cikk rögzíti a személyes adatok feldolgozásával kapcsolatos alapelveket, amelyek megfelelnek a 95/46/EK irányelv 6. cikkében foglaltaknak. További új elemként jelenik meg különösen az átláthatóság elve, az adatminimalizálás elvének egyértelművé tétele, valamint az adatkezelő átfogó feladatainak és felelősségének meghatározása. A 6. cikk – a 95/46/EK irányelv 7. cikke alapján – meghatározza a jogszerű adatfeldolgozás feltételeit, amelyeket az érdekek egyensúlyának feltétele, illetve a jogi kötelezettségeknek, valamint a közérdeknek történő megfelelés tekintetében tovább részletez. A 7. cikk tisztázza az ahhoz szükséges feltételeket, hogy a hozzájárulás a jogszerű adatfeldolgozás érvényes jogalapja lehessen. A 8. cikk további feltételeket állapít meg a gyermekek személyes adatai feldolgozásának jogszerűségét illetően, a közvetlenül nekik nyújtott információs társadalommal összefüggő szolgáltatások tekintetében. A 9. cikk – a 95/46/EK irányelv 8. cikke alapján – rögzíti a személyes adatok különleges kategóriáinak feldolgozására vonatkozó általános tilalmat, valamint a főszabály alóli kivételeket. A 10. cikk egyértelművé teszi, hogy az adatkezelő nem köteles kiegészítő információkat beszerezni azért, hogy pusztán az e rendelet valamelyik rendelkezésének való megfelelés érdekében azonosítsa az érintettet. 3.4.3. III. FEJEZET – AZ ÉRINTETT JOGAI 3.4.3.1. 1. szakasz – Átláthatóság és szabályozás A 11. cikk bevezeti az átlátható, könnyen hozzáférhető és érthető tájékoztatás kötelezettségét, amelyet különösen a személyes adatok és a magánélet védelmére vonatkozó nemzetközi normákról szóló madridi állásfoglalás[32] ösztönzött. A 12. cikk az érintett jogainak gyakorlásához szükséges olyan eljárások és mechanizmusok biztosítására kötelezi az adatkezelőt, amelyek magukban foglalják az elektronikus kérelmek lehetővé tételét, az érintett kérelmére meghatározott határidőn belül történő válaszadás kötelezettségét, valamint a megtagadás indokait. A 13. cikk a 95/46/EK irányelv 12. cikkének c) pontja alapján a címzettek tekintetében biztosít jogokat, amelyeket kiterjeszt valamennyi címzettre, beleértve a közös adatkezelőket és adatfeldolgozókat is. 3.4.3.2. 2. szakasz – Tájékoztatás és az adatokhoz való hozzáférés A 14. cikk, amely a 95/46/EK irányelv 10. és 11. cikkének alapján rögzíti az adatkezelőnek az érintett irányába fennálló tájékoztatási kötelezettségét, további tájékoztatást biztosít az érintett számára, beleértve a tárolás időtartamával, a panasz benyújtásának jogával, a nemzetközi adattovábbítással, valamint az adatok forrásával kapcsolatos tájékoztatást. Tartalmazza továbbá a 95/46/EK irányelvben szereplő esetleges eltéréseket is, például nem áll fenn ez a kötelezettség, ha a rögzítést vagy közlést jogszabály kifejezetten előírja. Ez alkalmazható például a versenyhatóságok, adó- vagy vámhatóságok, vagy társadalombiztosítási szolgáltatásokért felelős szolgálatok eljárásaira. A 15. cikk a 95/46/EK irányelv 12. cikkének a) pontja alapján biztosítja az érintett számára a személyes adataihoz való hozzáférés jogát, amelyet olyan új elemekkel egészít ki, mint például az érintettek tájékoztatása a tárolási időtartamról, az adatok helyesbítéséhez és törléséhez, valamint a panasz benyújtásához való jogról. 3.4.3.3. 3. szakasz – Helyesbítés és törlés A 16. cikk a 95/46/EK irányelv 12. cikkének b) pontja alapján meghatározza az érintett helyesbítéshez való jogát. A 17. cikk biztosítja az érintett számára a személyes adatok tárolásának megszüntetéséhez, valamint az adatok törléséhez való jogát. Tovább magyarázza és részletezi a 95/46/EK irányelv 12. cikkének b) pontjában foglalt törléshez való jogot, és meghatározza a személyes adatok tárolásának megszüntetéséhez való jog feltételeit, beleértve a személyes adatokat nyilvánosságra hozó adatkezelő kötelezettségét a harmadik felek arról történő tájékoztatására, hogy az érintett kérte az e személyes adatokra mutató internetes link vagy az adatok másolatának, illetve másodpéldányának törlését. Ezenkívül bizonyos esetekben beemeli az adatfeldolgozás korlátozásához való jogot, amellyel mellőzi a homályos „zárolás” kifejezést. A 18. cikk bevezeti az érintettnek az adatok hordozhatóságához való jogát, azaz azt, hogy az adatokat az egyik elektronikus feldolgozó rendszerből egy másikhoz, illetve másikba továbbítsa, anélkül, hogy az adatkezelő ezt megakadályozná. Ennek előfeltételeként – és annak érdekében, hogy fokozza az egyének lehetőségét a személyes adataikhoz való hozzáféréshez – biztosítja azt a jogot, amely alapján az adatkezelőtől ezek az adatok strukturált és széles körben használt elektronikus formában igényelhetők. 3.4.3.4. 4. szakasz – Kifogásolási jog és profilalkotás A 19. cikk biztosítja az érintett kifogásolási jogát. A rendelkezés a 95/46/EK irányelv 14. cikkén alapul néhány módosítással, beleértve a bizonyítási teherre vonatkozó szabályokat és a közvetlen üzletszerzésre történő alkalmazást. A 20. cikk az érintett arra irányuló jogával foglalkozik, hogy ne legyen profilalkotáson alapuló intézkedés alanya. A rendelkezés a 95/46/EK irányelv 15. cikkének (1) bekezdésében szabályozott, az automatizált egyedi döntésekről szóló rendelkezéseket veszi alapul, azokhoz képest módosított tartalommal és további biztosítékokkal kiegészítve, figyelembe véve továbbá az Európa Tanács profilalkotásra vonatkozó ajánlását[33]. 3.4.3.5. 5. szakasz –Korlátozások A 21. cikk egyértelművé teszi, hogy az Unió vagy a tagállamok jogosultak korlátozásokat bevezetni vagy fenntartani az 5. cikkben meghatározott alapelvek, valamint az érintett 11–20. cikkben és 32. cikkben meghatározott jogait illetően. E rendelkezés a 95/46/EK irányelv 13. cikkén, valamint az Európai Unió Bírósága és az Emberi Jogok Európai Bíróság által értelmezett Alapjogi Chartán és, az emberi jogok és alapvető szabadságok védelméről szóló európai egyezményén alapul. 3.4.4. IV. FEJEZET – AZ ADATKEZELŐ ÉS AZ ADATFELDOLGOZÓ 3.4.4.1. 1. szakasz – Általános kötelezettségek A 22. cikk figyelembe veszi az „elszámoltathatóság elvéről” folytatott vitát, és részletesen rögzíti az adatkezelő e rendeletnek való megfelelésre, valamint e megfelelés bizonyítására vonatkozó felelősségvállalási kötelezettségét, többek között az ilyen megfelelést biztosító belső politikák, illetve mechanizmusok elfogadása által. A 23. cikk meghatározza az adatkezelőnek a beépített és az alapértelmezett adatvédelem elveiből eredő kötelezettségeit. A közös adatkezelőkről szóló 24. cikk egyértelműen meghatározza a közös adatkezelők felelősségét egymás közötti viszonyrendszerük tekintetében, valamint az érintett irányába. A 25. cikk bizonyos feltételek esetén arra kötelezi az Unióban le nem telepedett adatkezelőket, hogy jelöljenek ki képviselőt az Unió területén, amennyiben a rendeletet alkalmazni kell az adatfeldolgozási tevékenységükre. A 26. cikk – részben a 95/46/EK irányelv 17. cikkének (2) bekezdése alapján – egyértelműen meghatározza az adatfeldolgozók jogállását és kötelezettségeit, amelyeket új elemekkel is kiegészít, ideértve azt a rendelkezést, miszerint közös adatkezelőnek kell tekinteni azt az adatfeldolgozót, aki az adatkezelő utasításain túlmenően végez adatfeldolgozást. A 27. cikk a 95/46/EK irányelv 16. cikkében foglaltakon alapul, és az adatkezelő és adatfeldolgozó felügyelete mellett végzett adatfeldolgozásról rendelkezik. A 28. cikk bevezeti az adatkezelők és adatfeldolgozók arra irányuló kötelezettségét, hogy a 95/46/EK irányelv 18. cikkének (1) bekezdése és 19. cikke által előírt, a felügyelő hatósággal szemben fennálló általános értesítési kötelezettség helyett dokumentációt vezessenek a felelősségi körükbe tartozó adatfeldolgozási műveletekről. A 29. cikk az adatkezelők és az adatfeldolgozók felügyelő hatósággal való együttműködési kötelezettséget írja elő. 3.4.4.2. 2. szakasz – Adatbiztonság A 30. cikk a 95/46/EK irányelv 17. cikkének (1) bekezdése alapján arra kötelezi az adatkezelőt és az adatfeldolgozót, hogy megfelelő intézkedéseket hozzon az adatfeldolgozás biztonsága érdekében, valamint az adatkezelővel kötött szerződéstől függetlenül kiterjeszti ezt a kötelezettséget az adatfeldolgozókra is. A 31. és 32. cikk a személyes adatok megsértése esetén fennálló értesítési kötelezettséget vezeti be a 2002/58/EK elektronikus hírközlési adatvédelmi irányelv 4. cikkének (3) bekezdése szerinti, a személyes adatok megsértése esetén fennálló bejelentési kötelezettség alapján. 3.4.4.3. 3. szakasz – Adatvédelmi hatásvizsgálat és előzetes engedélyezés A 33. cikk bevezeti az adatkezelők és adatfeldolgozók arra irányuló kötelezettségét, hogy adatvédelmi hatásvizsgálatot végezzenek a kockázatos adatfeldolgozási műveletek előtt. A 34. cikk azokkal az esetekkel foglalkozik, amelyekben az adatfeldolgozást megelőzően kötelező beszerezni a felügyelő hatóság engedélyét, illetve kötelező egyeztetni a felügyelő hatósággal, amely rendelkezés a 95/46/EK irányelv 20. cikkében szabályozott előzetes ellenőrzés koncepcióján alapul. 3.4.4.4. 4. szakasz – Az adatvédelmi tisztviselő A 35. cikk adatvédelmi tisztviselő kötelező kijelölését írja elő egyrészről a közszféra, másrészről – a magánszektoron belül – a nagyvállalkozások vagy olyan esetek tekintetében, amikor az adatkezelő vagy adatfeldolgozó fő tevékenységi köre rendszeres és szisztematikus ellenőrzést igénylő adatfeldolgozási műveletekből áll. Ez a rendelkezés a 95/46/EK irányelv 18. cikkének (2) bekezdésén alapul, amely lehetővé tette a tagállamok számára, hogy az általános értesítési kötelezettség helyett ilyen előírást vezessenek be. A 36. cikk meghatározza az adatvédelmi tisztviselő jogállását. A 37. cikk megállapítja az adatvédelmi tisztviselő alapvető feladatait. 3.4.4.5. 5. szakasz – Eljárási szabályzat és tanúsítás A 38. cikk az eljárási szabályzattal kapcsolatos rendelkezéseket tartalmazza a 95/46/EK irányelv 27. cikkének (1) bekezdésében foglalt koncepció alapulvételével, és tisztázza a szabályzatok tartalmát és az eljárásokat, valamint feljogosítja a Bizottságot, hogy döntsön az eljárási szabályzatok általános érvényességéről. A 39. cikk újonnan bevezeti a tanúsítási mechanizmusok és adatvédelmi címkék és jelzők létrehozásának lehetőségét. 3.4.5. V. FEJEZET – A SZEMÉLYES ADATOK HARMADIK ORSZÁGOKBA VAGY NEMZETKÖZI SZERVEZETEK RÉSZÉRE TÖRTÉNŐ TOVÁBBÍTÁSA A 40. cikk általános elvként rögzíti, hogy az e fejezet szerinti kötelezettségek betartása kötelező a harmadik országokba vagy nemzetközi szervezetek részére történő bármely személyesadat-továbbítás esetén, beleértve az adatok továbbadását is. A 41. cikk a 95/46/EK irányelv 25. cikke alapján meghatározza azokat a szempontokat, feltételeket és eljárásokat, amelyek alapján a Bizottság megfelelőségi határozatot hoz. Azok a szempontok, amelyek figyelembevételével a Bizottság értékeli a védelem szintjének megfelelő, illetve nem megfelelő mivoltát, kifejezetten magukban foglalják a jogállamiságot, a bírósági jogorvoslatot és a független felügyeletet. A cikk immár kifejezetten megerősíti a Bizottság azon lehetőségét, hogy értékelje a valamely harmadik országbeli terület vagy adatfeldolgozási ágazat által biztosított védelmi szintet. A 42. cikk megfelelő biztosítékok nyújtását írja elő a harmadik országokba irányuló adattovábbítás tekintetében, amennyiben a Bizottság nem hozott megfelelőségi határozatot, különös tekintettel az egységes adatvédelmi feltételekre, a kötelező erejű vállalati szabályokra és szerződési feltételekre. A Bizottság egységes adatvédelmi feltételeinek felhasználási lehetősége a 95/46/EK irányelv 26. cikkének (4) bekezdésén alapul. Új elemként jelenik meg, hogy ilyen egységes adatvédelmi feltételeket a felügyelő hatóság is elfogadhat, és a Bizottság általános érvényűnek nyilváníthatja ezeket. A jogszabály szövege kifejezetten utal a kötelező erejű vállalati szabályokra. A szerződési feltételek választásának lehetősége bizonyos fokú rugalmasságot biztosít az adatkezelő vagy adatfeldolgozó számára, alkalmazásuk azonban a felügyelő hatóság előzetes engedélyéhez kötött. A 43. cikk a jelenlegi gyakorlat és a felügyelő hatóságok elvárásai alapulvételével tovább részletezi a kötelező erejű vállalati szabályok alapján történő adattovábbítás feltételeit. A 44. cikk a 95/46/EK irányelv 26. cikkében foglalt meglévő rendelkezések alapján kimondja és egyértelműen meghatározza az adattovábbítás tekintetében lehetséges eltéréseket. Ez különösen a fontos közérdekből szükséges adattovábbításokra érvényes, például a versenyhatóságok, adó- és vámhivatalok, vagy a társadalombiztosítási, illetve halászati gazdálkodási ügyekben illetékes szolgáltatók közötti nemzetközi adattovábbítások esetében. Ezen túlmenően, az adattovábbítást bizonyos korlátozott körülmények között indokolhatja az adatkezelő vagy adatfeldolgozó jogos érdeke, de csak azt követően, hogy a kérdéses adattovábbítási művelet körülményeit megvizsgálták és dokumentálták. A 45. cikk kifejezetten rendelkezik a személyes adatok védelmét szolgáló, a Bizottság és harmadik országok felügyelő hatóságai közötti nemzetközi együttműködési mechanizmusokról, különös tekintettel azokra a harmadik országokra, amelyekről megállapítást nyer, hogy – figyelemmel a Gazdasági Együttműködési és Fejlesztési Szervezetnek (OECD) a magánélet védelmét szolgáló jogszabályok alkalmazása során megvalósuló határokon átnyúló együttműködésről szóló, 2007. június 12-i ajánlására – megfelelő szintű védelmet biztosítanak. 3.4.6. VI. FEJEZET – FÜGGETLEN FELÜGYELŐ HATÓSÁGOK 3.4.6.1. 1. szakasz – Független jogállás A 46. cikk felügyelő hatóságok létrehozására kötelezi a tagállamokat a 95/46/EK irányelv 28. cikkének (1) bekezdése alapján, valamint a felügyelő hatóságok feladatkörét kiterjeszti az egymással és a Bizottsággal való együttműködési kötelezettségre is. A 47. cikk az Európai Unió Bíróságának ítélkezési gyakorlatát[34] átültetve és többek között felhasználva a 45/2001/EK rendelet[35] 44. cikkének rendelkezéseit is, egyértelműen meghatározza a felügyelő hatóságok függetlenségének feltételeit. A 48. cikk az irányadó ítélkezési gyakorlatot[36] átültetve és a 45/2001/EK rendelet 42. cikkének (2)–(6) bekezdését figyelembe véve meghatározza a felügyelő hatóság tagjaira vonatkozó általános feltételeket. A 49. cikk meghatározza azokat a szabályokat, amelyek alapján a tagállamoknak jogszabályban kell létrehozniuk a felügyelő hatóságot. Az 50. cikk a 95/46/EK irányelv 28. cikkének (7) bekezdése alapján meghatározza a felügyelő hatóság tagjaira és személyzetére vonatkozó szakmai titoktartás szabályait. 3.4.6.2. 2. szakasz – Feladat- és hatáskörök Az 51. cikk meghatározza a felügyelő hatóságok illetékességét. Az egységes alkalmazás („one-stop shop”) biztosítása érdekében a 95/46/EK irányelv 28. cikkének (6) bekezdésén alapuló főszabályt (illetékesség a saját tagállama területén) kiegészíti a fő hatóságot megillető új illetékességgel abban az esetben, amikor az adatkezelő vagy adatfeldolgozó több tagállamban telepedett le. A bíróságok igazságszolgáltatási hatáskörükben eljárva mentesülnek a felügyelő hatóság ellenőrzése alól, az adatvédelemre vonatkozó anyagi jogszabályok alkalmazása alól azonban nem. Az 52. cikk a felügyelő hatóság feladatait rögzíti, beleértve a panaszok kezelését és azok kivizsgálását, valamint a közvélemény tudatosságának növelését a kockázatok, szabályok, biztosítékok és jogok tekintetében. Az 53. cikk a felügyelő hatóság hatásköreit határozza meg részben a 95/46/EK irányelv 28. cikkének (3) bekezdése és a 45/2001/EK rendelet 47. cikke alapján, valamint bevezet néhány új elemet, ideértve a közigazgatási szabálysértések szankcionálására vonatkozó jogosultságot. Az 54. cikk a 95/46/EK irányelv 28. cikkének (5) bekezdése alapján arra kötelezi a felügyelő hatóságokat, hogy tevékenységükről éves jelentéseket készítsenek. 3.4.7. VII. FEJEZET – EGYÜTTMŰKÖDÉS ÉS EGYSÉGESSÉG 3.4.7.1. 1. szakasz – Együttműködés Az 55. cikk a 95/46/EK irányelv 28. cikke (6) bekezdésének második albekezdése alapján kifejezett szabályokat vezet be a kötelező kölcsönös segítségnyújtásra vonatkozóan, beleértve a valamely másik felügyelő hatóság megkeresésének elutasításából fakadó következményeket is. Az 56. cikk a közös műveletekre vonatkozó szabályokat vezeti be a 2008/615/IB tanácsi kerethatározat[37] 17. cikke nyomán, beleértve a felügyelő hatóságok ilyen műveletekben való részvételének jogát. 3.4.7.2. 2. szakasz – Egységesség Az 57. cikk a több tagállam érintettjeire vonatkozó adatfeldolgozási műveletek tekintetében egységességi mechanizmust vezet be az egységes alkalmazás biztosítása érdekében. Az 58. cikk meghatározza az Európai Adatvédelmi Testület véleményadásához szükséges eljárásokat és feltételeket. Az 59. cikk a Bizottságnak az egységességi mechanizmus keretén belül kezelt ügyekkel kapcsolatos – az Európai Adatvédelmi Testület véleményét megerősítő vagy attól eltérő – véleményével, illetve a felügyelő hatóság tervezett intézkedésével kapcsolatos véleményével foglalkozik. Amennyiben a kérdést az 58. cikk (3) bekezdése alapján az Európai Adatvédelmi Testület terjesztette elő, várható, hogy a Bizottság élni fog mérlegelési jogkörével, és szükség esetén véleményt terjeszt elő. A 60. cikk a Bizottság azon határozataival foglalkozik, amelyek az illetékes hatóságot a tervezett intézkedés felfüggesztésére kötelezik, amennyiben a rendelet megfelelő alkalmazása érdekében az szükséges. A 61. cikk lehetőséget teremt átmeneti intézkedések elfogadására sürgősségi eljárásban. A 62. cikk meghatározza a Bizottságnak az egységességi mechanizmus keretében hozott végrehajtási aktusainak követelményeit. A 63. cikk minden érintett tagállam tekintetében megállapítja a felügyelő hatóság által hozott intézkedések végrehajtásának kötelezettségét, és megállapítja, hogy az egységességi mechanizmus alkalmazása a kérdéses intézkedés jogi érvényességének és végrehajtásának előfeltételét képezi. 3.4.7.3. 3. szakasz – Az Európai Adatvédelmi Testület A 64. cikk létrehozza az Európai Adatvédelmi Testületet, amely valamennyi tagállam felügyelő hatóságának vezetőiből, valamint az európai adatvédelmi biztosból áll. Az Európai Adatvédelmi Testület felváltja a személyesadat-feldolgozás vonatkozásában az egyének védelmével foglalkozó munkacsoportot, amelyet a 95/46/EK irányelv 29. cikke hozott létre. A rendelkezésből kiderül, hogy a Bizottság nem tagja az Európai Adatvédelmi Testületnek, azonban a tevékenységekben jogában áll részt venni, és képviseltetheti magát. A 65. cikk hangsúlyozza és részletezi az Európai Adatvédelmi Testület függetlenségét. A 66. cikk rögzíti az Európai Adatvédelmi Testület feladatait a 95/46/EK irányelv 30. cikkének (1) bekezdése alapján, valamint további elemeket vezet be, amelyek az Európai Adatvédelmi Testület megnövekedett tevékenységi körét jelzik mind az Unióban, mind azon kívül. A sürgős helyzetekre való reagálás érdekében biztosítja a Bizottság számára annak lehetőségét, hogy meghatározott határidőn belül véleményt kérjen. A 67. cikk a 95/46/EK irányelv 30. cikkének (6) bekezdése alapján előírja az Európai Adatvédelmi Testület számára, hogy tevékenységeiről évente jelentést készítsen. A 68. cikk meghatározza az Európai Adatvédelmi Testület döntéshozatali eljárását, beleértve a működési szabályokra is kiterjedő eljárási szabályzat elfogadásának kötelezettségét is. A 69. cikk az Európai Adatvédelmi Testület elnökére és elnökhelyetteseire vonatkozó rendelkezéseket tartalmazza. A 70. cikk az elnök feladatait határozza meg. A 71. cikk kimondja, hogy az Európai Adatvédelmi Testület titkárságát az európai adatvédelmi biztos bocsátja rendelkezésre, valamint meghatározza a titkárság feladatait. A 72. cikk meghatározza a titoktartásra vonatkozó szabályokat. 3.4.8. VIII. FEJEZET – JOGORVOSLAT, FELELŐSSÉG ÉS SZANKCIÓK A 73. cikk a 95/46/EK irányelv 28. cikkének (4) bekezdése alapján bármely érintett számára biztosítja azt a jogot, hogy panaszt terjesszen elő a felügyelő hatósághoz. Azokat a szerveket, szervezeteket és egyesületeket is meghatározza, amelyek az érintett nevében, vagy – személyes adatok megsértése esetén – az érintett panaszától függetlenül panaszt terjeszthetnek elő. A 74. cikk a felügyelő hatósággal szemben kezdeményezhető bírósági jogorvoslathoz való jogról rendelkezik. A 95/46/EK irányelv 28. cikkének (3) bekezdésében foglalt általános rendelkezésen alapul. Kifejezetten biztosítja a felügyelő hatóság arra irányuló kötelezésére irányuló jogorvoslatot, hogy panasz esetén eljárjon, valamint egyértelműen meghatározza a felügyelő hatóságok székhelye szerinti tagállamok bíróságainak illetékességét. Előírja továbbá azt a lehetőséget, hogy az érintett lakóhelye szerinti tagállam felügyelő hatósága az érintett nevében az illetékes felügyelő hatóság szerinti másik tagállam bíróságai előtt indítsa meg az eljárást. A 75. cikk az adatkezelővel vagy -feldolgozóval szembeni bírósági jogorvoslathoz való jogról rendelkezik a 95/46/EK irányelv 22. cikke alapján, felkínálva annak lehetőségét, hogy az alperes telephelye vagy az érintett lakóhelye szerinti tagállam bíróságához forduljanak. Amennyiben az egységességi mechanizmus keretén belül azonos tárgyú eljárások folynak, a bíróság – a sürgősség kivételével – felfüggesztheti az eljárását. A 76. cikk rögzíti a bírósági eljárások közös szabályait, beleértve a szervek, szervezetek vagy egyesületek arra vonatkozó jogát, hogy az érintetteket a bíróság előtt képviseljék, a felügyelő hatóságok arra vonatkozó jogát, hogy részt vegyenek a bírósági eljárásokban, a bíróságok tájékoztatását a más tagállamban párhuzamosan folyó eljárásokról, valamint a bíróság azon lehetőségét, hogy ilyen esetben felfüggessze az eljárást[38]. A tagállamoknak biztosítaniuk kell a gyors bírósági intézkedéseket[39]. A 77. cikk a kártérítéshez való jogról és a felelősségről rendelkezik. A 95/46/EK irányelv 23. cikkét veszi alapul, és kiterjeszti ezt a jogot az adatfeldolgozók által okozott károkra is, valamint egyértelművé teszi a közös adatkezelők és közös adatfeldolgozók felelősségét. A 78. cikk a szankciók szabályainak megállapítására, e rendelet megsértésének szankcionálására, valamint azok végrehajtására kötelezi a tagállamokat. A 79. cikk valamennyi felügyelő hatóságot arra kötelezi, hogy szankcionálja az e rendelkezésben meghatározott jegyzékben felsorolt közigazgatási szabálysértéseket, és az egyedi eset összes körülményeire tekintettel alkalmazza a legfeljebb a maximum összegekig terjedően megállapított mértékű bírságot. 3.4.9. IX. FEJEZET – AZ ADATFELDOLGOZÁS KÜLÖNÖS ESETEIRE VONATKOZÓ RENDELKEZÉSEK A 80. cikk arra kötelezi a tagállamokat, hogy a személyes adatok védelmére vonatkozó jog és a szabad véleménynyilvánításhoz való jog összhangba hozása érdekében szükség esetén kivételeket és eltéréseket fogadjanak el a rendelet különös rendelkezései alól. Ez a rendelkezés a 95/46/EK irányelvnek az Európai Unió Bírósága által értelmezett[40] 9. cikkén alapul. A 81. cikk arra kötelezi a tagállamokat, hogy – a különleges adatkategóriákra vonatkozó feltételeken túlmenően – különös biztosítékokról gondoskodjanak az egészségügyi célú adatfeldolgozások tekintetében. A 82. cikk biztosítja a tagállamok számára azt a jogot, hogy különös jogszabályokat fogadjanak el a személyes adatok foglalkoztatással összefüggő feldolgozására. A 83. cikk meghatározza a személyes adatok történelmi, statisztikai, és tudományos kutatás céljából történő feldolgozásának különös feltételeit. A 84. cikk feljogosítja a tagállamokat arra, hogy különös szabályokat fogadjanak el a felügyelő hatóságok azon személyes adatokhoz való hozzáférése, valamint azon létesítményekbe való belépési joga tekintetében, amelyek tekintetében az adatkezelőket titoktartási kötelezettség terheli. A 85. cikk az Európai Unió működéséről szóló szerződés 17. cikkének fényében lehetővé teszi a létező átfogó egyházi adatvédelmi szabályok továbbalkalmazását, amennyiben azokat összhangba hozzák a jelen rendelettel. 3.4.10. X. FEJEZET – FELHATALMAZÁSON ALAPULÓ ÉS VÉGREHAJTÁSI JOGI AKTUSOK A 86. cikk az EUMSZ 290. cikkel összhangban a felhatalmazás gyakorlására vonatkozó általános rendelkezéseket tartalmazza. Ez lehetővé teszi a jogalkotó számára, hogy általános hatályú nem jogalkotási aktusok elfogadására hatalmazza fel a Bizottságot a jogalkotási aktusok egyes nem alapvető fontosságú elemeinek kiegészítése vagy módosítása érdekében („kvázi-jogalkotási” aktusok). A 87. cikk a végrehajtási hatásköröknek a Bizottságra történő átruházásához szükséges bizottsági eljárásról rendelkezik azokban az esetekben, amelyekben az EUMSZ 291. cikkel összhangban valamely kötelező erejű uniós jogi aktus végrehajtásának egységes feltételek szerint kell történnie. A vizsgálóbizottsági eljárás alkalmazandó. 3.4.11. XI. FEJEZET – ZÁRÓ RENDELKEZÉSEK A 88. cikk hatályon kívül helyezi a 95/46/EK irányelvet. A 89. cikk módosítja a 2002/58/EK elektronikus hírközlési adatvédelmi irányelvet, és tisztázza a rendelet és ezen irányelv kapcsolatát. A 90. cikk a rendelet értékelésére és kapcsolódó jelentés benyújtására kötelezi a Bizottságot. A 91. cikk meghatározza a rendelet hatálybalépésének időpontját, alkalmazásának kezdő időpontját tekintve pedig egy átmeneti időszakot jelöl ki. 4. KÖLTSÉGVETÉSI VONZATOK A javaslat különös költségvetési vonzatai az európai adatvédelmi biztos feladataihoz kapcsolódnak, amelyeket a jelen javaslatot kísérő pénzügyi kimutatás tartalmaz. E vonzatok a pénzügyi terv 5. fejezetének újratervezését igénylik. A javaslat nem jár működési kiadási vonzatokkal. Az e rendeletre vonatkozó javaslatot kísérő pénzügyi kimutatás az e rendelet és a rendőrségi és igazságügyi vonatkozású adatvédelemről szóló irányelv költségvetési vonzatait is tartalmazza. Javaslat AZ EURÓPAI PARLAMENT ÉS A TANÁCS RENDELETE a személyes adatok feldolgozása vonatkozásában az egyének védelméről és az ilyen adatok szabad áramlásáról (általános adatvédelmi rendelet) (EGT vonatkozású szöveg) AZ EURÓPAI PARLAMENT ÉS AZ EURÓPAI UNIÓ TANÁCSA, tekintettel az Európai Unió működéséről szóló szerződésre, és különösen annak 16. cikke (2) bekezdésére, valamint 114. cikke (1) bekezdésére, tekintettel az Európai Bizottság javaslatára, a jogalkotási aktus tervezetének a nemzeti parlamentek részére való megküldését követően, tekintettel az Európai Gazdasági és Szociális Bizottság véleményére[41], az európai adatvédelmi biztossal folytatott konzultációt követően[42], rendes jogalkotási eljárás keretében, mivel: (1) A természetes személyeknek a személyes adataik feldolgozásával kapcsolatban nyújtott védelem alapvető jog. Az Európai Unió Alapjogi Chartája 8. cikkének (1) bekezdése és a Szerződés 16. cikkének (1) bekezdése rögzíti, hogy mindenkinek joga van a rá vonatkozó személyes adatok védelméhez. (2) A személyes adatok feldolgozásának célja az emberek szolgálata; a személyes adataik feldolgozása vonatkozásában az egyének védelméhez kapcsolódó elveknek és szabályoknak a természetes személyek nemzetiségétől és lakóhelyétől függetlenül tiszteletben kell tartaniuk e személyek alapvető jogait és szabadságait, különösen személyes adataik védelméhez való jogukat. Ennek hozzá kell járulnia a szabadságon, a biztonságon és a jog érvényesülésén alapuló térség, valamint a gazdasági unió megteremtéséhez, a gazdasági és társadalmi fejlődéshez, a belső piacon belüli gazdaságok erősödéséhez és konvergenciájához, valamint az egyének jólétéhez. (3) A személyes adatok feldolgozása vonatkozásában az egyének védelméről és az ilyen adatok szabad áramlásáról szóló, 1995. október 24-i 95/46/EK európai parlamenti és tanácsi irányelv[43] célja a feldolgozási tevékenységek tekintetében a természetes személyek alapvető jogai és szabadságai védelmének harmonizálása, valamint a személyes adatok tagállamok közötti szabad áramlásának biztosítása. (4) A belső piac működéséből eredő gazdasági és társadalmi integráció lényegesen megnövelte a határokon keresztüli áramlást. Az Unión belül megnövekedett a gazdasági és a társadalmi, az állami és a piaci szereplők közötti adatcsere. A tagállamok nemzeti hatóságai az uniós jog értelmében kötelesek olyan mértékben együttműködni és személyes adatokat cserélni, ami lehetővé teszi számukra feladataik ellátását, vagy a fellépést egy másik tagállam hatósága nevében. (5) A gyors technológiai fejlődés és a globalizáció új kihívások elé állította a személyes adatok védelmét. Az adatmegosztás és -gyűjtés mértéke ugrásszerűen megnőtt. A technológia a magánvállalatok és a hatóságok számára minden eddiginél nagyobb mértékben teszi lehetővé, hogy tevékenységük ellátása érdekében személyes adatokat használjanak fel. Az egyének egyre nagyobb mértékben hoznak nyilvánosságra és tesznek globális szinten elérhetővé személyes információkat. A technológia egyaránt megváltoztatta a gazdaságot és a társadalmi életet, szükségessé téve az Unión belüli szabad adatáramlás és a harmadik országok és nemzetközi szervezetek részére történő adattovábbítás egyszerűbbé tételét, biztosítva egyúttal a személyes adatok magas szintű védelmét. (6) E fejlemények szükségessé teszik egy olyan szilárd és következetesebb uniós adatvédelmi keret kialakítását, amely mögött erős kikényszeríthetőség áll, hiszen fontos megteremteni azt a bizalmat, amely lehetővé teszi a digitális gazdaság belső piaci fejlődését. Az egyéneknek ellenőrzést kell gyakorolniuk saját személyes adataik felett, és erősíteni kell a jogbiztonságot és a gyakorlat biztonságát az egyének, gazdasági szereplők és hatóságok tekintetében. (7) A 95/46/EK irányelv célkitűzései és elvei továbbra is fontosak, de nem akadályozták meg az adatvédelem uniós végrehajtásának széttagoltságát, a jogbiztonság hiányát és azt a széles körben elterjedt közfelfogást, hogy különösen az online tevékenységgel összefüggésben lényeges kockázatok jelentkeznek az egyének védelme tekintetében. Az egyes tagállamokban végzett személyesadat-feldolgozás terén az egyének jogai és szabadságai, különösen a személyes adatok védelméhez való jog védelmének szintjei közötti eltérések akadályozhatják a személyes adatok Unióban történő továbbítását. Ebből eredően ezek az eltérések akadályt jelentenek számos uniós szintű gazdasági tevékenység elvégzésében, torzítják a versenyt, és hátráltatják a hatóságokat az uniós jog szerinti feladataik teljesítésében. A védelmi szintek közötti ezen eltérés a 95/46/EK irányelv végrehajtásában és alkalmazásában fennálló eltéréseknek tulajdonítható. (8) Az egyének következetes és magas szintű védelmének biztosítása és a személyes adatok áramlása előtti akadályok elhárítása érdekében az egyének jogai és szabadságai védelmi szintjének az ilyen adatok feldolgozása vonatkozásában azonosnak kell lennie minden tagállamban. A természetes személyeknek a személyes adataik feldolgozásához kapcsolódó alapvető jogai és szabadságai védelmére vonatkozó szabályok következetes és egységes alkalmazását az Unió egész területén biztosítani kell. (9) A személyes adatoknak az Unió egész területén biztosított hatékony védelme megköveteli az érdekeltek jogainak, valamint a személyes adatok feldolgozását végző és a feldolgozást meghatározó személyek kötelezettségeinek megszilárdítását és részletes meghatározását, de ugyanakkor azt is, hogy a személyes adatok védelmére vonatkozó szabályok betartásának ellenőrzését és biztosítását azonos hatáskörben és a jogsértőkre azonos szankciót kiszabva lássák el a tagállamokban. (10) A Szerződés 16. cikkének (2) bekezdése felhatalmazza az Európai Parlamentet és a Tanácsot a személyes adatok feldolgozása vonatkozásában az egyének védelméről és a személyes adatok szabad áramlásáról szóló szabályok megállapítására. (11) Az egyének egységes szintű védelmének az Unió egész területén való biztosítása, valamint az adatok belső piacon való szabad áramlását akadályozó eltérések megelőzése érdekében rendelettel kell biztosítani a jogbiztonságot és az áttekinthetőséget valamennyi tagállam gazdasági szereplői részére, beleértve a mikro-, kis- és középvállalkozásokat, valamint az egyének részére a jogi úton érvényesíthető jogoknak és az adatkezelők és -feldolgozók kötelezettségeinek és felelősségének valamennyi tagállamban azonos szintjét, a személyes adatok feldolgozásának következetes nyomon követését és azt, hogy minden tagállamban rendelkezésre álljanak a megfelelő szankciók és a különböző tagállamok felügyelő hatóságai hatékonyan együttműködjenek. A rendelet számos eltérést tartalmaz annak érdekében, hogy figyelembe vegye a mikro-, kis- és középvállalkozások sajátos helyzetét. Emellett az uniós intézményeket és szervezeteket, a tagállamokat és felügyelő hatóságaikat arra ösztönzik, hogy e rendelet alkalmazása során vegyék figyelembe a mikro-, kis- és középvállalkozások sajátos szükségleteit. A mikro-, kis- és középvállalkozások fogalmát a kis- és közepes méretű vállalkozások meghatározásáról szóló, 2003. május 6-i 2003/361/EK bizottsági ajánlás alapján kell meghatározni. (12) Az e rendelet által nyújtott védelem a természetes személyeket a személyes adatok feldolgozása tekintetében nemzetiségtől és lakóhelytől függetlenül illeti meg. Olyan adatfeldolgozás tekintetében, amely jogi személyeket érint, és különösen olyan vállalkozásokat, amelyeket jogi személyként hoztak létre, beleértve a jogi személy nevét és formáját, valamint a jogi személy elérhetőségére vonatkozó adatokat, senki nem igényelheti a jelen rendelet szerinti védelmet. Ez vonatkozik arra az esetre is, ha a jogi személy egy vagy több természetes személy nevét tartalmazza. (13) Az egyének védelmének technológiailag semlegesnek kell lennie, és az nem függhet a felhasznált technológiáktól; különben komoly megkerülési kockázatot teremtene. Az egyének védelme az automatizált eszközök útján végzett személyesadat-feldolgozás mellett a kézi feldolgozásra is vonatkozik, amennyiben az adatokat egy nyilvántartási rendszerben tárolják, vagy kívánják tárolni. A meghatározott szempontok szerint nem rendszerezett iratok, illetve iratok csoportjai, és azok borítóoldalai nem tartoznak e rendelet hatálya alá. (14) E rendeletnek nem tárgya az olyan tevékenységekkel kapcsolatos alapvető jogok és szabadságok védelme vagy adatok szabad áramlása, amelyek az uniós jog hatályán kívül esnek, és nem tartozik a rendelet hatálya alá az uniós intézmények, szervek, hatóságok és ügynökségek 45/2001/EK rendelet[44] alkalmazási körébe tartozó személyesadat-feldolgozása, vagy a tagállamok által végzett személyesadat-feldolgozás, ha a tevékenységeket az Unió közös kül- és biztonságpolitikájával összefüggésben végzik. (15) A rendelet nem alkalmazandó továbbá a természetes személyek által végzett adatfeldolgozásra, amennyiben azt kizárólag személyes vagy házi használatra, például levelezés vagy címjegyzékek vezetése során végzik, és amely nélkülöz minden haszonszerzési célt, és nem kapcsolódik kereskedelmi vagy szakmai tevékenységhez. A kivétel nem alkalmazandó továbbá azokra az adatkezelőkre vagy -feldolgozókra, akik ilyen személyes vagy házi használatra szolgáló személyesadat-feldolgozáshoz biztosítanak eszközöket. (16) A személyes adatok felelős hatóságok általi, bűncselekmények megelőzése, nyomozása, felderítése, büntetőeljárás lefolytatása vagy büntetőjogi szankciók végrehajtása céljából történő feldolgozása vonatkozásában az egyének védelme és az ilyen adatok szabad áramlása uniós szintű különös jogi eszköz tárgya. A rendelet ennek értelmében nem alkalmazandó az e célok érdekében végzett feldolgozási tevékenységekre. Ugyanakkor a hatóságok által a jelen rendelet alapján végzett adatfeldolgozást, amennyiben azokat bűncselekmények megelőzése, nyomozása, felderítése, büntetőeljárás lefolytatása vagy büntetőjogi szankciók végrehajtása céljára használják fel, uniós szinten külön jogi aktus (XX/YYY irányelv) szabályozza. (17) E rendeletet a 2000/31/EK irányelv, különösen az említett irányelv 12–15. cikke szerinti, a közvetítő szolgáltatók felelősségére vonatkozó szabályok alkalmazásának a sérelme nélkül kell alkalmazni. (18) E rendelet lehetővé teszi a hivatalos iratokhoz való nyilvános hozzáférés elvének figyelembevételét a rendelettel megállapított rendelkezések alkalmazása során. (19) A tagállam területén az adatkezelő vagy -feldolgozó valamely szervezete tevékenységének keretében végzett bármely személyesadat-feldolgozást e rendelettel összhangban kell végezni tekintet nélkül arra, hogy maga az adatfeldolgozás az Unió területén történik-e vagy sem. A letelepedés magában foglalja a tevékenység tényleges gyakorlását tartós jelleggel. E letelepedések – legyen akár fióktelep, akár jogi személyiséggel rendelkező leányvállalat – jogi formája e tekintetben nem meghatározó tényező. (20) Annak biztosítása érdekében, hogy az egyéneket ne lehessen megfosztani attól a védelemtől, amelyre e rendelet értelmében jogosultak, a nem az Unióban letelepedett adatkezelő által az Unióban lakóhellyel rendelkező érintettek személyes adatainak feldolgozását akkor kell a rendelet betartásával végezni, ha a feldolgozási tevékenység termékek vagy szolgáltatások ilyen érintettek számára történő nyújtására, vagy az ilyen érintettek viselkedésének nyomon követésére szolgál. (21) Annak meghatározása érdekében, hogy a feldolgozás az érintett „viselkedésének nyomon követésére” szolgál-e, azt kell megvizsgálni, hogy az egyéneket nyomon követik-e az interneten, vagy az egyén profiljának megalkotását is magában foglaló adatfeldolgozási technikákat alkalmaznak-e, különösen az egyénre vonatkozó döntések meghozatala vagy személyes igényeinek, viselkedésének vagy beállítottságának elemzése vagy előrejelzése érdekében. (22) Amennyiben a nemzetközi közjog értelmében valamely tagállam nemzeti jogát kell alkalmazni, e rendelet alkalmazandó a nem az Unióban letelepedett adatkezelőre is, például a tagállam diplomáciai vagy konzuli képviseleteire. (23) A védelem elveit minden azonosított vagy azonosítható személyre vonatkozó információ esetében alkalmazni kell. Annak meghatározására, hogy valamely személy azonosítható-e, minden olyan módszert figyelembe kell venni, amelyet az adatkezelő vagy más személy ésszerű módon felhasználhat az egyén azonosítására. A védelem elvei nem alkalmazhatók az olyan módon anonimmá tett adatokra, hogy az érintett a továbbiakban nem azonosítható. (24) Az online szolgáltatások igénybe vétele során az egyének a berendezéseik, alkalmazásaik, eszközeik és szabványos protokolljaik által rendelkezésre bocsátott online azonosítókhoz kapcsolódnak, mint például az IP-cím vagy a cookie-azonosítók. Mivel ez olyan nyomokat hagy maga után, amely az egyedi azonosítókkal és a szerverek által fogadott egyéb információkkal együtt felhasználható az egyének profiljának létrehozásához és az azonosításukhoz. Ebből következik, hogy az azonosítószámokat, tartózkodási helyre utaló adatokat, online azonosítókat vagy egyéb sajátos tényezőket nem szükségképpen kell minden körülmények között személyes adatnak tekinteni. (25) A hozzájárulást kifejezetten kell megadni bármely olyan megfelelő eljárással – nyilatkozattal vagy egyértelmű megerősítő cselekedettel –, amely lehetővé teszi az érintett nyilatkozatára vagy egyértelmű beleegyező aktusára alapozva az érintett kívánságának önkéntes, kifejezett és tájékozott kinyilvánítását, biztosítva azt, hogy az egyének tudatában legyenek annak, hogy személyesadat-feldolgozáshoz adják beleegyezésüknek, beleértve az internetes honlap látogatása során egy négyzet megjelölését és bármely egyéb nyilatkozatot vagy beleegyezést, amely egyértelműen jelzi ezzel összefüggésben az érintett hozzájárulását személyes adatainak tervezett feldolgozásához. A hallgatás vagy a nem cselekvés ezért nem minősül hozzájárulásnak. A hozzájárulás lehetővé tesz minden olyan feldolgozási tevékenységet, amelyet ugyanazon cél vagy célok érdekében végeznek. Amennyiben az érintett hozzájárulását elektronikus igénylés alapján adja meg, az igénylésnek egyértelműnek és tömörnek kell lennie, és az nem gátolhatja szükségtelenül azon szolgáltatás igénybevételét, amely vonatkozásában kérik. (26) Az egészségre vonatkozó személyes adatok közé tartozik különösen minden olyan adat, amely az érintett egészségi állapotára vonatkozik; az egyén egészségügyi szolgáltatásnyújtás érdekében történő nyilvántartása; az egészségügyi ellátásért teljesített fizetések és az arra való jogosultság az egyén vonatkozásában; olyan adott egyénhez rendelt szám, szimbólum vagy adat, amelynek célja, hogy egészségügyi szempontból kizárólagosan azonosítsa a személyt; az egyénnel kapcsolatban a neki nyújtott egészségügyi szolgáltatás során gyűjtött bármilyen információ; testrész vagy testet alkotó anyag – beleértve a biológiai mintákat is – teszteléséből vagy vizsgálatából származó információk; egy személy azonosítása, aki egészségügyi szolgáltatást nyújt az egyénnek; bármilyen többek között az érintett betegséggel, fogyatékossággal, betegségkockázattal, kórtörténettel, klinikai kezeléssel vagy az érintett aktuális fiziológiai vagy orvosbiológiai állapotával kapcsolatos információ, függetlenül annak forrásától, mint például orvos vagy egyéb egészségügyi dolgozó, kórház, orvosi berendezés vagy in vitro diagnosztikai teszt. (27) Az adatkezelő Unión belüli fő szervezet helyét objektív feltételek alapján kell meghatározni, és annak magában kell foglalnia a feldolgozás céljára, feltételeire és módjára vonatkozó fő döntéseket meghatározó igazgatási tevékenység tényleges, tartós jellegű gyakorlását. E feltétel azonban független attól, hogy a személyesadat-feldolgozásra ténylegesen ezen a helyen kerül-e sor; a személyes adatok feldolgozásához vagy a feldolgozási tevékenységekhez kapcsolódó technikai eszközök és technológiák jelenléte és használata önmagában nem hoz létre ilyen fő szervezetet, ezért nem meghatározó feltétel a fő szervezet helye szempontjából. Az adatfeldolgozó fő szervezete az Unión belüli központi igazgatásának helye. (28) Az ellenőrző vállalkozás és az ellenőrzése alatt álló vállalkozások vállalkozáscsoportot alkotnak, minek körében az ellenőrző vállalkozás az a vállalkozás, amely például tulajdonosi jogok, pénzügyi részesedés vagy az arra vonatkozó szabályok, vagy a személyes adatok védelmére vonatkozó szabályok végrehajtására való jogosultság révén meghatározó befolyást gyakorol a többi vállalkozás felett. (29) A gyermekeknek személyes adataik tekintetében különös védelmet kell biztosítani, mivel ők kevésbé lehetnek tisztában a személyes adatok feldolgozásának kockázataival, következményeivel és az ahhoz kapcsolódó biztosítékokkal és jogosultságokkal. Az egyén gyermekként történő meghatározásához e rendelet átveszi a gyermekek jogairól szóló ENSZ-egyezmény fogalommeghatározását. (30) A személyes adatok feldolgozásának törvényesnek, tisztességesnek és átláthatónak kell lennie az érintett egyének vonatkozásában. Az adatfeldolgozás sajátos céljainak különösen kifejezetten megfogalmazottaknak és jogszerűeknek, valamint az adatgyűjtés időpontjában meghatározottaknak kell lenniük. Az adatoknak megfelelőnek és relevánsnak kell lenniük, valamint az adatok feldolgozásának céljához szükséges legkisebb mértékre kell korlátozódniuk; ez elsősorban annak biztosítását igényli, hogy az összegyűjtött adatok ne legyenek túlzott mértékűek, az adattárolás időtartama pedig a lehető legkisebb mértékűre korlátozódjon. A személyes adatokat csak abban az esetben lehet feldolgozni, ha a feldolgozás célját egyéb eszközzel nem lehetséges elérni. Minden ésszerű intézkedést meg kell tenni annak érdekében, hogy a hibás személyes adatok helyesbítésre vagy törlésre kerüljenek. Annak biztosítása érdekében, hogy az adatokat csak a szükséges ideig tárolják, az adatkezelő törlési vagy rendszeres felülvizsgálati határidőket állapít meg. (31) A feldolgozás jogszerűsége érdekében a személyes adatok az érintett személy hozzájárulása vagy akár az e rendeletben, akár az e rendelet által hivatkozott egyéb uniós vagy tagállami jogszabályban meghatározott más jogalap alapján dolgozhatók fel. (32) Amennyiben a feldolgozás az érintett hozzájárulásán alapul, az adatkezelőnek kell bizonyítania, hogy az érintett hozzájárult a feldolgozási művelethez. Különösen a más ügyben tett írásos nyilatkozattal összefüggésben biztosítékokkal kell biztosítani azt, hogy az érintett tisztában legyen azzal, hogy hozzájárulását adta, valamint azzal, hogy milyen mértékben tette ezt. (33) A szabad akaratból tett hozzájárulás biztosítása érdekében egyértelművé kell tenni, hogy a hozzájárulás jelent érvényes jogalapot, amennyiben az egyén nem rendelkezik egyéni és szabad választással, és később nem tagadhatja meg vagy vonhatja vissza hátrányok nélkül a hozzájárulását. (34) A hozzájárulás nem hoz létre érvényes jogalapot a személyes adatok feldolgozására, amennyiben egyértelmű kiegyensúlyozatlanság áll fenn az érintett és az adatkezelő között. Ez különösen fennáll, ha az érintett függő viszonyban van az adatkezelőtől, többek között, amikor a munkavállaló személyes adatait a munkáltató a munkaviszonnyal összefüggésben dolgozza fel. Amennyiben az adatfeldolgozó hatóság, csak akkor áll fenn kiegyensúlyozatlanság a konkrét adatfeldolgozási műveletek tekintetében, ha a hatóság a vonatkozó közhatalmi jogosítványai alapján kötelezettséget írhat elő, és a hozzájárulás nem tekinthető szabadon, az érintett érdekére figyelemmel megadottnak. (35) A feldolgozás jogszerű akkor is, ha arra valamely szerződés vagy valamely megkötendő szerződés keretében van szükség. (36) Ha a feldolgozás az adatkezelőre vonatkozó jogi kötelezettség teljesítéséhez vagy közérdekű feladat végrehajtásához, illetve hivatali hatáskör gyakorlásához szükséges, a feldolgozásnak olyan uniós vagy nemzeti jogi jogalappal kell rendelkeznie, amely megfelel az Európai Unió Alapjogi Chartájában foglalt, a jogok és szabadságok korlátozására vonatkozó követelménynek. Az uniós vagy a nemzeti jog feladata annak meghatározása is, hogy a közérdekű vagy hatósági feladatot teljesítő adatkezelő közigazgatási szerv vagy a közjog, illetve a magánjog hatálya alá tartozó egyéb természetes vagy jogi személy, például szakmai szövetség legyen-e. (37) A feldolgozást hasonlóan jogszerűnek kell tekinteni akkor, ha azt az érintett élete szempontjából alapvető fontosságú érdek védelme céljából végzik. (38) Az adatkezelő jogos érdeke jogalapot teremthet a feldolgozáshoz, feltéve hogy az érintett érdekei, alapvető jogai és szabadságai nem élveznek elsőbbséget. Ezt különösen akkor kell vizsgálni, ha az érintett gyermek, mivel a gyermekeknek különös védelmet kell biztosítani. Az érintettnek joga van tiltakozni a feldolgozás ellen egyedi helyzetével kapcsolatos indokok alapján, és térítésmentesen. Az átláthatóság biztosítása érdekében az adatkezelőt kötelezni kell arra, hogy kifejezetten tájékoztassa az érintettet az alapul szolgáló jogos érdekről és a tiltakozáshoz való jogról, és igazolnia kell e jogos érdekeket. Mivel a jogalkotó feladata jogszabályokban meghatározni a hatóságok adatfeldolgozásának jogalapját, e jogi indokolás nem alkalmazható a hatóságok által feladataik ellátása során végzett feldolgozásra. (39) Az érintett adatfeldolgozó jogos érdekét jelenti a hálózati és informatikai biztonság biztosításához szigorúan szükséges mértékű adatfeldolgozás, vagyis az érintett hálózat vagy információs rendszer adott megbízhatósági szintű ellenállási képessége a szóban forgó hálózatokon és rendszereken tárolt vagy továbbított adatok és az általuk nyújtott vagy rajtuk keresztül – a hatóságok, hálózatbiztonsági vészhelyzeteket elhárító csoportok (CERT), hálózatbiztonsági incidenskezelő csoportok (CSIRT), elektronikus hírközlési hálózatok és szolgáltatások szolgáltatói, valamint biztonságtechnológiai szolgáltatók számára – elérhető kapcsolódó szolgáltatások hozzáférhetőségét, hitelességét, sértetlenségét és titkosságát veszélyeztető véletlen eseményekkel, illetve jogellenes vagy rosszindulatú tevékenységgel szemben. Ez magában foglalhatja például az elektronikus hírközlési hálózatokhoz való engedély nélküli hozzáférés és a rosszindulatú kódkiosztás megakadályozását, a hozzáférés megtagadásával (denial of service) járó támadások, valamint a számítógépes és elektronikus hírközlési rendszerekben való károkozás megakadályozását. (40) A személyes adatok egyéb célú feldolgozása csak akkor megengedett, ha a feldolgozás az adatgyűjtés eredeti céljaival is összeegyeztethető, különösen, ha a feldolgozásra történelmi, statisztikai vagy tudományos kutatás céljából van szükség. Az adatgyűjtés eredeti céljával összeegyeztethetetlen egyéb cél esetén az adatkezelőnek a jogszerű adatfeldolgozás érdekében be kell szereznie az érintett ezen egyéb célhoz való hozzájárulását, vagy más jogszerű indokra kell alapítania a feldolgozást, különösen ha az uniós jog vagy azon tagállam joga, amelynek hatálya alá az adatkezelő tartozik, így rendelkezik. Minden esetben biztosítani kell az e rendeletben rögzített elvek alkalmazását, valamint különösen az érintett ezen egyéb célokról történő tájékoztatását. (41) Az alapvető jogokkal és a magánélettel kapcsolatos, jellegüknél fogva különösen érzékeny és visszaélésre alkalmas személyes adatok különleges védelmet érdemelnek. Az ilyen adatok feldolgozása csak az érintett kifejezett hozzájárulásával végezhető. Az ilyen tilalomtól való eltérésről azonban különleges esetekre tekintettel kifejezetten rendelkezni kell, különösen amennyiben az adatfeldolgozást olyan egyesületek, illetve alapítványok végzik, amelyek célja – jogszerű tevékenységük keretében – az alapvető szabadságok gyakorlásának lehetővé tétele. (42) Megfelelő biztosítékok és a személyes adatok és más alapvető jogok védelme mellett jogszabály útján is el lehet térni az adatok érzékeny kategóriái feldolgozásának tilalmától, amennyiben ezt közérdekű okok indokolják különösen egészségügyi célból, beleértve a közegészségügyet és a szociális védelmet, valamint az egészségügyi szolgáltatások igazgatását, elsősorban annak biztosítása érdekében, hogy az egészségbiztosítási rendszer szolgáltatásaival és juttatásaival kapcsolatos követelések rendezésére alkalmazott eljárások magas szintűek és költséghatékonyak legyenek, vagy történelmi, statisztikai és tudományos kutatási célból. (43) Ezenfelül csak közérdekből lehetséges a személyes adatok hatóságok általi feldolgozása a hivatalosan elismert vallási szervezetek alkotmányjogban vagy nemzetközi közjogban megállapított céljainak elérése érdekében. (44) A választással kapcsolatos tevékenységek során egyes tagállamokban a demokratikus rendszer működése megkívánja, hogy a politikai pártok adatokat gyűjtsenek az emberek politikai véleményéről; az ilyen adatok feldolgozása csak közérdekből lehetséges, feltéve hogy megfelelő biztosítékokat hoznak létre. (45) Amennyiben az adatkezelő által feldolgozott adatok nem teszik lehetővé az adatkezelő számára, hogy azonosítson egy természetes személyt, akkor az adatkezelő nem köteles további információkat szerezni az érintett azonosítása érdekében, kizárólag abból a célból, hogy megfeleljen e rendelet bármely rendelkezésének. Hozzáférés iránti kérelem esetén az adatkezelő jogosult az érintettől további adatokat kérni annak érdekében, hogy az adatkezelő azonosíthassa azokat a személyes adatokat, amelyeket az érintett igényel. (46) Az átláthatóság elve megköveteli, hogy a nyilvánosság vagy az érintett tájékoztatása könnyen hozzáférhető és érthető legyen, valamint hogy azt világos és közérthető nyelven fogalmazzák meg. Ez különösen akkor fontos, amikor az online reklámozáshoz hasonló helyzetek során a szereplők nagy száma és a gyakorlatok technológiai összetettsége megnehezíti az érintett számára annak felismerését és megértését, hogy személyes adatai feldolgozásra kerülnek-e, valamint hogy ki által és milyen célra. Mivel a gyermekeket különös védelemben kell részesíteni, ezért a kifejezetten gyermekekre vonatkozó feldolgozás során minden információt és közleményt olyan világos és közérthető nyelven kell megfogalmazni, hogy a gyermek könnyen megértse. (47) Az érintettek e rendeletben biztosított jogainak gyakorlását egyszerűbbé tevő eljárásokat – ideértve az adatok vonatkozásában kérelemre és térítésmentesen biztosított hozzáférés, helyesbítés és törlés, valamint a tiltakozáshoz való jog gyakorlásának mechanizmusait – kell létrehozni. Az adatkezelőnek kötelesnek kell lennie arra, hogy az érintett kérelmére meghatározott határidőn belül válaszoljon, valamint hogy megindokolja, ha nem ad helyt az érintett kérelmének. (48) A tisztességes és átlátható adatfeldolgozás elve megköveteli az érintett tájékoztatását az adatfeldolgozási művelet megtörténtéről és céljáról, az adatok tárolásának időtartamáról, a hozzáférési, helyesbítési és törlési jog fennállásáról, valamint a panaszemelési jogról. Amennyiben az adatokat az érintett személytől gyűjtik be, az érintettet tájékoztatni kell arról, hogy köteles-e az adatszolgáltatásra, valamint hogy ezen adatszolgáltatás megtagadása milyen következményekkel jár. (49) Az érintettre vonatkozó személyes adatok feldolgozásával kapcsolatos tájékoztatást az adatgyűjtés időpontjában kell rendelkezésére bocsátani, illetve, abban az esetben, ha az adatokat nem az érintettől gyűjtötték be, ésszerű határidőn belül, az ügy körülményeire tekintettel. Ha az adatok jogszerűen közölhetőek más címzettel, a címzettel történő első közléskor tájékoztatni kell az érintettet. (50) Mindazonáltal nem szükséges e kötelezettség előírása, ha az érintett már rendelkezik az említett tájékoztatással, vagy ha az adat rögzítését, illetve közlését jogszabály kifejezetten előírja, vagy ha az érintett tájékoztatása lehetetlennek bizonyul, vagy aránytalanul nagy erőfeszítést igényelne. Utóbbi helyzet állhat fenn különösen történelmi, statisztikai, vagy tudományos célból történő feldolgozás esetén; e tekintetben figyelembe vehető az érintettek száma, az adatok kora és az elfogadott kárpótló intézkedések. (51) Minden személyt megillet a vonatkozásában gyűjtött adatokhoz való hozzáférés joga, valamint e jog egyszerű gyakorlása az adatfeldolgozás jogszerűségének megállapíthatósága és ellenőrzése érdekében. Ezért minden érintett számára biztosítani kell a jogot ahhoz, hogy megismerje elsősorban az adatfeldolgozás céljait, időtartamát, az adatok címzettjeit, az adatok feldolgozásának logikáját, valamint azt, hogy az ilyen adatfeldolgozás, legalábbis amennyiben az profilalkotásra épül, milyen következményekkel jár, és hogy tájékoztatást kapjon minderről. Ez a jog nem érintheti hátrányosan mások jogait és szabadságait, beleértve az üzleti titkokat vagy szellemi tulajdont és különösen a szoftvert védelemben részesítő szerzői jogot. E megfontolások mindazonáltal nem eredményezhetik azt, hogy az érintettől minden információt megtagadnak. (52) Az adatkezelőnek minden ésszerű intézkedést meg kell tennie a hozzáférést kérő érintett személyazonosságának megállapítására, különösen az online szolgáltatásokkal és online azonosítókkal összefüggésben. Az adatkezelő nem őrizheti meg a személyes adatokat kizárólag azért, hogy megválaszolhassa az esetleges kérelmeket. (53) Minden személynek joga van a rá vonatkozó személyes adatok helyesbítéséhez és „a személyes adatok tárolásának megszüntetéséhez”, amennyiben az ilyen adatok megőrzése nem felel meg e rendeletnek. Az érintetteknek különösen ahhoz van joga, hogy személyes adataikat töröljék, és ne dolgozzák fel akkor, ha az adatokra azok gyűjtése vagy más módon való feldolgozása céljának tekintetében már nincs szükség, ha az érintettek visszavonták a feldolgozáshoz adott hozzájárulásukat, vagy ha megtiltják a rájuk vonatkozó személyes adatok feldolgozását, vagy ha személyes adataik feldolgozása egyébként nem áll összhangban e rendelettel. Ez a jog különösen akkor lényeges, ha az érintett gyermekként adta hozzájárulását, amikor nem volt teljes mértékben tisztában a feldolgozás kockázataival, később pedig el akarja távolítani az ilyen személyes adatokat, különösen az internetről. Mindazonáltal az adatok továbbra is visszatarthatóak, ha ez történelmi, statisztikai vagy tudományos kutatási célokból, a közegészségügy területén közérdekből vagy a véleménynyilvánítás jogának gyakorlásához szükséges, ha jogszabály előírja, vagy ha az adat feldolgozásának korlátozása indokoltabb a törlésénél. (54) A személyes adatok tárolásának megszüntetéséhez való jog online környezetben való erősítése érdekében a törléshez való jogot is ki kell terjeszteni oly módon, hogy a személyes adatokat nyilvánosságra hozó adatkezelőnek tájékoztatnia kell az ilyen adatokat feldolgozó harmadik feleket arról, hogy az érintett kérte e személyes adatokra mutató linkek, vagy e személyes adatok másolatának, illetve másodpéldányának törlését. E tájékoztatás biztosítása érdekében az adatkezelőnek minden ésszerű lépést meg kell tennie – beleértve a műszaki intézkedéseket is – az adatkezelő felelősségi körébe tartozó közléssel érintett adatok tekintetében. A személyes adatok harmadik fél általi közlése tekintetében az adatkezelő felel a nyilvánosságra hozatalért, amennyiben a harmadik fél általi közlést az adatkezelő engedélyezte. (55) A saját adataik feletti ellenőrzés és a hozzáférési jog gyakorlásának további erősítése érdekében az érintetteknek joga van a személyes adatok elektronikus úton történő feldolgozása során az őket érintő adatokról strukturált és széles körben elterjedt elektronikus formátumban másolatot kérni. Az érintettnek lehetősége van a rendelkezésre bocsátott adatok továbbítására is, az egyik automatizált alkalmazástól – például a közösségi hálózatról – a másikhoz. Ez alkalmazandó akkor is, ha az érintett az adatot a hozzájárulása alapján vagy szerződés teljesítése keretében bocsátotta az automatizált feldolgozó rendszer rendelkezésére. (56) Amennyiben a személyes adatokat jogszerűen dolgozhatják fel az érintett alapvető érdekeinek védelme érdekében vagy közérdekű, illetve hatósági indokok vagy az adatkezelő jogos érdekei alapján, ugyanakkor minden érintettnek jogot kell biztosítani a rá vonatkozó adatok feldolgozásának kifogásolására. Az adatkezelőre hárul annak bizonyítása, hogy az ő jogos érdeke elsőbbséget élvez az érintett alapvető jogaival és szabadságaival szemben. (57) Ha az adatokat közvetlen üzletszerzés érdekében dolgozzák fel, az érintett jogosult térítésmentesen, valamint könnyen és hatékonyan kifogásolni az ilyen feldolgozást. (58) Minden természetes személyt megillet a jog, hogy ne legyen automatizált adatfeldolgozási eszközökkel végzett profilalkotáson alapuló intézkedés alanya Az ilyen intézkedések mindazonáltal megengedhetőek akkor, ha azt jogszabály kifejezetten előírja, ha valamely szerződés megkötése vagy telesítése során végzik, vagy ha az érintett hozzájárult. Az ilyen feldolgozásra minden esetben megfelelő biztosítékok mellett kerülhet sor, beleértve az érintett külön tájékoztatását és az emberi beavatkozás kérésének jogát, és az ilyen intézkedés nem vonatkozhat gyermekekre. (59) Az uniós és a tagállami jog korlátozhatja az egyes alapelveket, az információhoz való jogot, a betekintési, módosítási és törlési jogot, az adathordozhatósághoz fűződő jogot, a kifogásolási jogot, valamint a profilalkotáson alapuló intézkedések és a személyes adatokkal való jogsértés érintettel történő közlését, amennyiben ez egy demokratikus társadalomban a közbiztonság védelméhez szükséges és arányos, beleértve az emberi élet védelmét különösen a természeti vagy ember okozta katasztrófákkal szemben, bűncselekmények vagy a szabályozott szakmák etikai szabályainak megsértései megelőzését, nyomozását és üldözését, az egyéb uniós vagy tagállami közérdeket, különösen az Unió vagy egy tagállam fontos gazdasági vagy pénzügyi érdekét, vagy az érintett, illetve mások jogainak és szabadságainak védelmét. E korlátozásoknak összhangban kell állniuk az Európai Unió Alapjogi Chartájával, valamint az emberi jogok és alapvető szabadságok védelméről szóló európai egyezménnyel. (60) A személyes adatoknak az adatkezelő által vagy az adatkezelő nevében végzett bárminemű feldolgozása tekintetében rögzíteni kell az adatkezelő átfogó feladatát és felelősségét. Az adatkezelőnek biztosítania és kötelezettségének megfelelően bizonyítania kell, hogy valamennyi adatfeldolgozási művelet összhangban áll e rendelettel. (61) A rendelet követelményeinek kielégítése érdekében az érintetteket személyes adataik feldolgozása tekintetében megillető jogok és szabadságok védelme megfelelő műszaki és szervezési intézkedéseket követel meg mind az adatfeldolgozás megtervezésének mind magának az adatfeldolgozásnak az időpontjában. Az adatkezelő az e rendelettel való összhang biztosítása és bizonyítása érdekében belső szakpolitikákat fogad el, valamint különösen a beépített és az alapértelmezett adatvédelem elveit kielégítő megfelelő intézkedéseket alkalmaz. (62) Az érintettek jogainak és szabadságainak védelme mellett az adatkezelők és -feldolgozók feladata és felelőssége a felügyelő hatóságok ellenőrzése és intézkedései tekintetében is megköveteli az e rendelet szerinti feladatok egyértelmű hozzárendelhetőségét, ideértve azt az esetet is, amikor az adatkezelő más adatkezelőkkel közösen határozza meg az adatfeldolgozás céljait, feltételeit és eszközeit, vagy amikor egy adatkezelő nevében végeznek adatfeldolgozási műveletet. (63) Amennyiben az Unióban lakóhellyel rendelkező érintettek személyes adatait az Unióban nem letelepedett olyan adatkezelő dolgozza fel, akinek adatfeldolgozási tevékenysége termékek vagy szolgáltatások ilyen érintettek számára történő nyújtásához vagy az ilyen érintettek viselkedésének nyomon követéséhez kapcsolódik, az adatkezelőnek képviselőt kell kijelölnie, kivéve ha az adatkezelő egy megfelelő szintű védelmet biztosító harmadik országban telepedett le, vagy az adatkezelő kis- vagy középvállalkozás, vagy hatóság vagy állami szerv, vagy ha az adatkezelő csak alkalmi jelleggel kínál termékeket és szolgáltatásokat ezen érintetteknek. A képviselő az adatkezelő nevében jár el, és bármelyik felügyelő hatóság megkeresheti. (64) Annak megállapítása érdekében, hogy az adatkezelő csupán alkalmi jelleggel kínál-e termékeket és szolgáltatásokat az Unióban lakóhellyel rendelkező érintetteknek, azt kell megvizsgálni, hogy az adatkezelő tevékenységeinek összességéből kitűnik-e az, hogy a termékek és szolgáltatások ilyen érintettek számára történő nyújtása kiegészítő jelleggel bír-e a fő tevékenységekhez képest. (65) Az adatkezelőnek vagy -feldolgozónak az e rendelettel való összhang igazolása érdekében dokumentálnia kell minden adatfeldolgozási tevékenységet. Minden adatkezelő vagy -feldolgozó köteles a felügyelő hatósággal együttműködni és az említett dokumentációt – kérésre – hozzáférhetővé tenni az adatfeldolgozási műveletek esetleges ellenőrzése céljából. (66) A biztonság fenntartása és a jelen rendelettel ellentétes adatfeldolgozás megelőzése érdekében az adatkezelőnek vagy -feldolgozónak értékelnie kell az adatfeldolgozás természetéből fakadó kockázatokat, és meg kell tennie az e kockázatok csökkentésére alkalmas intézkedéseket. Ezeknek az intézkedéseknek biztosítaniuk kell a megfelelő szintű biztonságot, a védendő személyes adatok jellegével és a belőlük fakadó kockázatokkal kapcsolatban figyelembe véve a technika állását és alkalmazásuk költségeit. Az adatfeldolgozás biztonságát biztosító technikai szabványok és szervezeti intézkedések kialakítása során a Bizottságnak elő kell mozdítania a technológiai semlegességet, az átjárhatóságot és az innovációt, valamint adott esetben együtt kell működnie harmadik országokkal. (67) A személyes adatok megsértése – ha nem foglalkoznak vele megfelelően és időben – jelentős gazdasági veszteséget és társadalmi kárt okozhat – a személyazonossággal való visszaélést is beleértve – az érintett egyén számára. Az adatkezelőnek ezért haladéktalanul, amennyiben lehetséges, az ilyen adatsértésről való tudomásszerzést követő 24 órán belül értesítenie kell a felügyelő hatóságot. Ha ez 24 órán belül nem tehető meg, az értesítéshez csatolni kell a késedelem indokainak ismertetését. A szükséges óvintézkedések lehetővé tétele érdekében haladéktalanul értesíteni kell azokat az egyéneket, akiknek személyes adatait a jogsértés hátrányosan befolyásolhatja. Az érintett személyes adatait vagy magánéletét hátrányosan befolyásolónak tekintendő a jogsértés, ha például személyazonosság-lopáshoz, személyazonossággal való visszaéléshez, fizikai károkozáshoz, súlyos sértéshez vagy hírnévrontáshoz vezet. Az értesítésnek tartalmaznia kell a személyes adatokat érintő jogsértés jellegének leírását, valamint az érintett egyénnek szóló, a lehetséges hátrányos hatások enyhítését célzó ajánlásokat. Az érintetteknek szóló tájékoztatást az ésszerűség keretei között a lehető leghamarabb meg kell tenni, szorosan együttműködve a felügyelő hatósággal, és az az által vagy más releváns hatóságok (például bűnüldöző hatóságok) által nyújtott iránymutatást betartva. Például ha annak a lehetősége, hogy az érintettek enyhíthetik a kár közvetlen veszélyét, az érintettek sürgős értesítését igényelné, míg az adatsértés folytatásával vagy hasonló adatsértés elkövetésével szemben alkalmazott megfelelő intézkedések hosszabb időtartamot indokolhatnak. (68) Annak meghatározása érdekében, hogy a személyes adatok megsértéséről haladéktalanul értesítették-e a felügyelő hatóságot, valamint az érintettet, meg kell vizsgálni, hogy az adatkezelő megfelelő technológiai védelmet, illetve szervezeti intézkedéseket vezetett-e be és alkalmazott-e annak haladéktalan megállapítása érdekében, hogy sor került-e a személyes adatok megsértésére, valamint annak érdekében, hogy haladéktalanul tájékoztassa a felügyelőt hatóságot és az érintettet a személyes és gazdasági érdekek sérelmének bekövetkezését megelőzően, figyelemmel különösen a személyes adatok megsértésének jellegére és súlyosságára, valamint annak következményeire, illetve az adatsértésnek az érintettre gyakorolt hátrányos hatásaira. (69) A személyes adatok megsértéséről szóló értesítés formájára és az arra alkalmazandó eljárásokra vonatkozó részletes szabályok megállapításakor megfelelő figyelmet kell fordítani az adatsértés körülményeire, beleértve azt is, hogy a személyes adatokat védték‑e olyan megfelelő műszaki védelmi intézkedésekkel, amelyek hatékonyan korlátozzák a személyazonossággal való visszaélés vagy a visszaélés más formái előfordulásának valószínűségét. E szabályoknak és eljárásoknak figyelembe kell venniük továbbá a bűnüldöző hatóságok jogos érdekeit olyan esetekben, amikor az idő előtti feltárás szükségtelenül veszélyeztethetné az adatsértés körülményeinek kivizsgálását. (70) A 95/46/EK irányelv általános jelleggel előírta, hogy értesíteni kell a felügyelő hatóságot a személyes adatok feldolgozásáról. Ez a kötelezettség igazgatási és költségvetési terhekkel jár, azonban nem minden esetben járul hozzá a személyes adatok védelmének javításához. Ezért az ilyen megkülönböztetés nélküli általános értesítési kötelezettséget meg kell szüntetni, és olyan hatékony eljárásokkal és mechanizmusokkal kell felváltani, amelyek inkább az érintettek alapvető jogait és szabadságait jellegüknél, alkalmazási területüknél és céljuknál fogva valószínűsíthetően veszélyeztető feldolgozási műveletekre összpontosítanak. Ilyen esetekben az adatkezelőnek vagy -feldolgozónak adatvédelmi hatásvizsgálatot kell végeznie az adatfeldolgozás előtt, amelynek kifejezetten tartalmaznia kell a személyes adatok védelmét biztosító tervezett intézkedéseket, biztosítékokat és mechanizmusokat, valamint az e rendelettel való összhang bizonyítását. (71) Ez különösen vonatkozik azokra az újonnan létrehozott nagyméretű személyesadat-nyilvántartó rendszerekre, amelyek jelentős mennyiségű személyes adat regionális, nemzeti vagy szupranacionális szintű feldolgozását hivatottak biztosítani, és amelyek jelentős számú érintettre gyakorolhatnak hatást. (72) Bizonyos körülmények között ésszerűnek és gazdaságosnak bizonyulhat az adatvédelmi hatásvizsgálat nem egyetlen projekt tekintetében történő lefolytatása, például amennyiben a hatóságok vagy állami szervek közös alkalmazást vagy adatfeldolgozási felületet kívánnak létrehozni, vagy ha több adatkezelő közös alkalmazást vagy feldolgozási környezetet kíván bevezetni valamely ipari ágazat vagy terület, illetve egy széles körben használt horizontális tevékenység tekintetében. (73) Az adatvédelmi hatásvizsgálatot hatóságnak vagy állami szervnek kell elvégeznie, amennyiben ilyen hatásvizsgálatra még nem került sor azon nemzeti jogszabály elfogadásával összefüggésben, amelyen a hatóság vagy állami szerv feladatainak elvégzése alapul, és amely szabályozza a szóban forgó sajátos feldolgozási műveletet vagy műveleteket. (74) Amennyiben egy adatvédelmi hatásvizsgálat azt jelzi, hogy az adatfeldolgozó műveletek valószínűleg magas szintű, különleges kockázatot jelentenek az érintettek jogaira és szabadságaira nézve, mint például kizárhatják az egyéneket a jogaik gyakorlásából vagy különleges új technológiákat alkalmaznak, a műveletek megkezdése előtt konzultálni kell a felügyelő hatósággal arról a kockázatos feldolgozásról, amely esetlegesen nem áll összhangban e rendelettel, és javaslatokat készíteni e helyzet orvoslására. Ezt a konzultációt egyaránt el kell végezni a nemzeti parlament intézkedésének előkészítése, vagy valamely, az adatfeldolgozás jellegét meghatározó és a megfelelő biztosítékokat megállapító jogalkotási rendelkezésen alapuló intézkedés előkészítése során. (75) Amennyiben a feldolgozásra a közszférában kerül sor, vagy amennyiben a magánszférában a feldolgozást nagyvállalkozás végzi, vagy amennyiben fő tevékenységei között a vállalkozás méretétől függetlenül szerepel olyan feldolgozási művelet, amely rendszeres és rendszerszerű nyomon követést igényel, az adatkezelőt vagy -feldolgozót az e rendelettel való belső összhang nyomon követése során egy személynek kell segítenie. Az ilyen adatvédelmi tisztviselők függetlenül látják el kötelezettségeiket és feladataikat, akár az adatkezelő alkalmazásában állnak, akár nem. (76) A szövetségeket vagy az adatkezelők kategóriáit képviselő más szerveket ösztönözni kell eljárási szabályzat létrehozására e rendelet keretein belül annak érdekében, hogy megkönnyítsék e rendelet hatékony alkalmazását, figyelembe véve a meghatározott ágazatokban végzett feldolgozás sajátos jellegzetességeit. (77) Az átláthatóság és az e rendelettel való összhang elősegítése érdekében ösztönözni kell olyan tanúsítási mechanizmusok, adatvédelmi címkék és jelzők létrehozását, amelyek lehetővé teszik az érintetteknek az adott termékek és szolgáltatások adatvédelmi szintjének gyors felmérését. (78) A személyes adatok határokon átnyúló áramlására szükség van a nemzetközi kereskedelem és együttműködés bővüléséhez. Ezen áramlások növekedése új kihívásokat és aggodalmakat támasztott a személyes adatok védelme tekintetében. Mindazonáltal a személyes adatok Unióból valamely harmadik államba vagy nemzetközi szervezetek részére történő továbbítása esetén nem sérülhet az egyéneknek az Unióban e rendelettel biztosított védelem szintje. A harmadik országokba irányuló továbbítás csak e rendelet tagállamok általi teljes betartásával lehetséges. (79) E rendelet nem sérti az Unió és harmadik országok között kötött, a személyes adatok továbbításáról – beleértve az érintetteknek szolgáltatott megfelelő biztosítékokat is – szóló nemzetközi megállapodásokat. (80) A Bizottság az Unió egészére kiterjedő hatállyal úgy határozhat, hogy adott harmadik országok vagy valamely harmadik ország régiója vagy adatfeldolgozó ágazata, illetve valamely nemzetközi szervezet megfelelő adatvédelmi szintet nyújtanak, biztosítva ezáltal az Unió egész területén a jogbiztonságot és az egységességet az ilyen védelmi szintet biztosító harmadik országok vagy nemzetközi szervezetek tekintetében. Ezekben az esetekben a személyes adatok az említett országokba további engedély beszerzése nélkül is továbbíthatók. (81) A Bizottságnak – az Uniót megalapozó alapvető értékekkel, így különösen az emberi jogok védelmével összhangban – a harmadik ország vizsgálata során figyelembe kell vennie, hogy az adott harmadik országban mennyire tisztelik a jogállamiságot, a bírói igazságszolgáltatáshoz való jogot valamint a nemzetközi emberi jogi normákat és előírásokat. (82) A Bizottságnak hasonlóképpen felismerheti, hogy az adott harmadik ország, vagy valamely harmadik ország régiója vagy adatfeldolgozó ágazata, illetve valamely nemzetközi szervezet nem képes megfelelő adatvédelmi szintet nyújtani. Ennek következtében a személyes adatoknak az említett harmadik országba történő továbbítását meg kell tiltani. Ebben az esetben rendelkezni kell a Bizottság és ilyen harmadik országok vagy nemzetközi szervezetek közötti konzultációkra vonatkozó eljárásokról. (83) Megfelelőségi határozat hiányában az adatkezelő vagy -feldolgozó intézkedéseket hoz a védelem harmadik országban fellépő hiányosságainak ellensúlyozására, az érintett számára megfelelő biztosítékok rendelkezésre bocsátása útján. Ezek a megfelelő biztosítékok magukban foglalják a kötelező erejű vállalati szabályok, a Bizottság által elfogadott egységes adatvédelmi feltételek, a felügyelő hatóság által elfogadott egységes adatvédelmi feltételek vagy a felügyelő hatóság által engedélyezett szerződési feltételek vagy olyan egyéb megfelelő és arányos intézkedések alkalmazását, amelyek az adattovábbítási művelet vagy az adattovábbítási műveletek csoportjának összes körülménye fényében igazolhatók, amennyiben a felügyelő hatóság engedélyezi. (84) Az a lehetőség, miszerint az adatkezelő vagy -feldolgozó alkalmazhatja a Bizottság vagy a felügyelő hatóság által elfogadott egységes adatvédelmi feltételeket, nem zárja ki sem azt, hogy az adatkezelő vagy -feldolgozó szélesebb körű szerződésben alkalmazza ezen egységes adatvédelmi feltételeket, sem a további feltételek hozzáadását, feltéve, hogy azok sem közvetlen, sem közvetett módon nem ellentétesek a Bizottság vagy a felügyelő hatóság által elfogadott egységes szerződési feltételekkel, és nem sértik az érintettek alapvető jogait és szabadságait. (85) Az adott vállalkozáscsoport alkalmazhatja a jóváhagyott kötelező erejű vállalati szabályokat az Unióból az ugyanazon vállalkozáscsoporton belüli szervezetekhez irányuló nemzetközi adattovábbítások során, amennyiben e vállalati szabályok a személyes adatok továbbítása kategóriái megfelelő biztosítékainak biztosítására szolgáló lényeges alapelveket és érvényesíthető jogokat tartalmaznak. (86) Rendelkezni kell a továbbítás lehetőségéről bizonyos körülmények esetében, ha az érintett hozzájárulását adta, ha a továbbítás szerződés vagy jogi igény érvényesítése keretében szükséges, ha a fontos közérdek uniós vagy tagállami jogban szereplő védelme megkívánja, vagy ha a továbbításra jogszabály alapján létrehozott nyilvántartásból kerül sor, és célja a nyilvánossággal vagy a jogos érdekkel rendelkező személyekkel való konzultáció. Ez utóbbi esetben az ilyen továbbítás nem vonatkozhat a nyilvántartásban szereplő adatok vagy adatkategóriák összességére, és amennyiben a nyilvántartás célja a jogos érdekkel rendelkező személyekkel való konzultáció, a továbbításra kizárólag e személyek kérelmére kerülhet sor, vagy ha ők a címzettek. (87) Ezeket az eltéréseket különösen a fontos közérdekből szükséges adattovábbításokra kell alkalmazni, például a versenyhatóságok, adó- és vámhatóságok, pénzügyi felügyelő hatóságok vagy társadalombiztosítási ügyekért felelős hivatalok közötti, illetve a bűncselekmények megelőzésére, nyomozására, felderítésére vagy üldözésére hatáskörrel rendelkező hatóságok felé irányuló nemzetközi adattovábbítás esetében. (88) Az adattovábbítás összes körülményének mérlegelése alapján a gyakorinak vagy tömegesnek nem minősülő továbbítások is az adatkezelő vagy -feldolgozó jogos érdekének tekinthetők. A történelmi, statisztikai és tudományos kutatási célú feldolgozás esetében figyelembe kell venni a társadalom tudásnövelésre irányuló jogos érdekét. (89) Amennyiben a Bizottság nem határozott a harmadik országbeli védelem megfelelő szintjéről, az adatkezelő vagy -feldolgozó olyan megoldásokat alkalmaz, amely adattovábbítás esetében is biztosítja, hogy az érintettek hozzájussanak az Unió területén történő adatfeldolgozás tekintetében élvezett alapvető jogokhoz és biztosítékhoz. (90) Néhány harmadik ország olyan törvényeket, rendeleteket és más jogalkotási eszközöket alkalmaz, amelyek közvetlenül szabályozzák a tagállamok természetes vagy jogi személyei által végzett adatfeldolgozási tevékenységet. E törvények, rendeletek és más jogalkotási eszközök országhatáron kívüli alkalmazása sértheti a nemzetközi jogot és akadályozhatja az egyéneknek az Unióban e rendelet által biztosított védelmét. Az adattovábbítás csak akkor engedélyezhető, amennyiben az e rendeletben a harmadik országokba történő adattovábbítás tekintetében meghatározott feltételek teljesülnek. Ez többek között akkor áll fenn, ha a közlés olyan, az uniós jogban vagy azon tagállam jogában elismert fontos közérdekből szükséges, amelynek hatálya alá az adatkezelő tartozik. A Bizottságnak felhatalmazáson alapuló jogi aktusban kell részletesen meghatároznia a fontos közérdek megvalósulásának feltételeit. (91) Amennyiben a személyes adatok átlépik a határokat, megnövekedhet annak a kockázata, hogy az egyének nem képesek gyakorolni adatvédelmi jogaikat, különösen az említett adatok jogellenes felhasználása vagy nyilvánosságra hozatala elleni védelem érdekében. Ezzel egyidejűleg a felügyelő hatóságok megállapíthatják, hogy képtelenek a panaszok érvényesítésére vagy vizsgálat lefolytatására a határaikon kívül folyó tevékenységek tekintetében. A határokon átnyúló közös munka érdekében tett erőfeszítéseiket hátráltathatják az elégtelen megelőzési és jogorvoslati hatáskörök, az egymásnak ellentmondó jogi rendszerek, valamint gyakorlatban felmerülő olyan akadályok, mint a források korlátozottsága. Ezért elő kell mozdítani az adatvédelmi felügyelő hatóságok közötti szorosabb együttműködést az információcsere és a külföldi partnerekkel folytatott vizsgálatok elősegítése érdekében. (92) A feladataik ellátása folyamán teljes függetlenséget élvező felügyelő hatóságok létrehozása a tagállamokban alapvető eleme az egyének védelmének a személyes adatok feldolgozása tekintetében. A tagállamok saját alkotmányos, szervezeti és igazgatási szerkezetükhöz igazodva egynél több felügyelő hatóságot is létrehozhatnak. (93) Amennyiben valamely tagállam több felügyelő hatóságot hoz létre, jogszabályban kell rendelkeznie azokról a mechanizmusokról, amelyek biztosítják e felügyelő hatóságoknak az egységességi mechanizmusban való hatékony részvételét. Az említett tagállam kijelöli különösen azt a felügyelő hatóságot, amely az ezen hatóságok mechanizmusban való hatékony részvétele érdekében egyetlen kapcsolattartóként működik a más felügyelő hatóságokkal, az Európai Adatvédelmi Testülettel és a Bizottsággal való gyors és egyszerű együttműködés érdekében. (94) Valamennyi felügyelő hatóság számára biztosítani kell a feladatai – beleértve az Unió bármely másik felügyelő hatóságával való kölcsönös segítségnyújtáshoz és együttműködéshez kapcsolódó feladatokat – hatékony ellátásához szükséges megfelelő anyagi és személyzeti erőforrásokat, helyiségeket és infrastruktúrát. (95) A felügyelő hatóság tagjaira vonatkozó általános feltételeket minden tagállamban jogszabályban kell rögzíteni, és különösen biztosítani kell azt, hogy az említett tagokat a tagállam parlamentje vagy kormánya nevezze ki, valamint szabályozni kell a tagok szükséges képesítését és beosztását. (96) A felügyelő hatóságok a természetes személyeknek személyes adataik feldolgozása tekintetében biztosítandó védelem, valamint a személyes adatok belső piacon belüli szabad áramlásának biztosítása érdekében ellenőrzik az e rendelet értelmében elfogadott rendelkezések alkalmazását, és hozzájárulnak azoknak az Unió egész területén történő következetes alkalmazásához. A felügyelő hatóságok e célból együttműködnek a Bizottsággal és egymással. (97) Amennyiben az adatkezelő vagy -feldolgozó uniós szervezetének tevékenységével összefüggésben végzett adatfeldolgozásra egynél több tagállamban kerül sor, egyetlen felügyelő hatóság lesz illetékes az adatkezelő vagy -feldolgozó egész Unió területén belüli tevékenységeinek nyomon követésére és a kapcsolódó határozatok meghozatalára a következetes alkalmazás elősegítése, a jogbiztonság biztosítása, és az ilyen adatkezelőkre és -feldolgozókra háruló adminisztratív terhek csökkentése érdekében. (98) Az ilyen egyablakos ügyintézést biztosító illetékes hatóság annak a tagállamnak a felügyelő hatósága, ahol az adatkezelő vagy -feldolgozó fő szervezete található. (99) Bár e rendelet a tagállami bíróságok tevékenységére is alkalmazandó, a felügyelő hatóságok hatásköre nem terjed ki a személyes adatok feldolgozására, ha a bíróságok igazságszolgáltatási feladatkörükben járnak el, ezzel biztosítva a bírák függetlenségét igazságszolgáltatási feladataik ellátása folyamán. E kivétel azonban szigorúan csak a bírósági ügyekben ellátott valódi igazságszolgáltatási tevékenységekre korlátozódik, és nem alkalmazható azokra az egyéb tevékenységekre, amelyekbe a bírákat a nemzeti jognak megfelelően bevonhatják. (100) E rendelet Unió-szerte következetes ellenőrzésének és érvényesítésének biztosítása érdekében a felügyelő hatós