EURÓPAI BIZOTTSÁG Brüsszel, 2017.1.10. COM(2017) 8 final 2017/0002(COD) Javaslat AZ EURÓPAI PARLAMENT ÉS A TANÁCS RENDELETE az egyéneknek a személyes adatok uniós intézmények, szervek, hivatalok és ügynökségek általi kezelése tekintetében való védelméről és az ilyen adatok szabad áramlásáról, valamint a 45/2001/EK rendelet és a 1247/2002/EK határozat hatályon kívül helyezéséről



INDOKOLÁS 1.A JAVASLAT HÁTTERE •A javaslat indokai és céljai Az Európai Unió működéséről szóló szerződés (EUMSZ) Lisszaboni Szerződés által beiktatott 16. cikkének (1) bekezdése rögzíti azt az elvet, amely szerint mindenkinek joga van a rá vonatkozó személyes adatok védelméhez. A Lisszaboni Szerződés ezenfelül az EUMSZ 16. cikk (2) bekezdésével a személyes adatok védelmére vonatkozó szabályok elfogadására külön jogalapot vezetett be. Az Európai Unió Alapjogi Chartájának 8. cikke a személyes adatok védelmét alapvető jogként rögzíti. A személyes adatok védelméhez való jog a személyes adatok uniós intézmények, szervek és hivatalok általi kezelésére is alkalmazandó. A hatályos uniós személyesadat-védelmi szabályozás központi elemét, vagyis a 45/2001/EK rendeletet 2001-ben a következő két cél szem előtt tartásával fogadták el: az adatvédelemhez való alapvető jog védelme és a személyes adatok Unión belüli szabad áramlásának biztosítása. A rendeletet az 1247/2002/EK határozat egészítette ki. Az Európai Parlament és a Tanács 2016. április 27-én elfogadta az általános adatvédelmi rendeletet ((EU) 2016/679 rendelet), amely 2018. május 25-től alkalmazandó. E rendelet kimondja, hogy a 45/2001/EK rendeletet hozzá kell igazítani az (EU) 2016/679 rendeletben foglalt elvekhez és szabályokhoz, annak érdekében, hogy az Unióban szigorú és koherens adatvédelmi keret jöjjön létre, valamint a két jogszabály alkalmazása egy időben kezdődhessen meg. A személyes adatok Európai Unión belüli védelmének következetes megközelítésével összhangban kívánatos a lehető legnagyobb értékben összehangolni az uniós intézményekre, szervekre és hivatalokra vonatkozó adatvédelmi szabályokat a tagállamokra vonatkozóan elfogadott adatvédelmi szabályokkal. Amennyiben a javaslat rendelkezései ugyanazon az elven alapulnak, mint az (EU) 2016/679 rendelet rendelkezései, az érintett két rendelkezést egységesen kell értelmezni, mert a javaslat szerkezete az (EU) 2016/679 rendelet rendszerével egyenértékűnek tekintendő. A 45/2001/EK rendelet felülvizsgálata során figyelembe veszik továbbá a vizsgálatok és az érdekelt felekkel folytatott konzultációk eredményeit, valamint a rendeletnek az elmúlt 15 évben történő alkalmazásáról szóló értékelő tanulmányt. E kezdeményezés nem tartozik a célravezető szabályozás (REFIT) program hatálya alá. •Összhang a szabályozási terület jelenlegi rendelkezéseivel A javaslat célja, hogy összehangolja a 45/2001/EK rendelet rendelkezéseit az (EU) 2016/679 rendeletben foglalt elvekkel és szabályokkal annak érdekében, hogy szigorú és koherens adatvédelmi keretet biztosítson az Unióban. A javaslat a végfelhasználók végberendezéseinek védelme tekintetében magában foglalja az (EU) XXXX/XX rendelet (elektronikus adatvédelemről szóló rendelet) releváns szabályait is. •Összhang az Unió egyéb szakpolitikáival Tárgytalan. 2.JOGALAP, SZUBSZIDIARITÁS ÉS ARÁNYOSSÁG •Jogalap A természetes személyek személyes adataik kezelésével összefüggő védelme alapvető jog, amelyet az Európai Unió Alapjogi Chartája 8. cikkének (1) bekezdése rögzít. E javaslat az EUMSZ 16. cikkén alapul, amely az adatvédelmi szabályok elfogadásának jogalapja. E cikk lehetővé teszi olyan szabályok elfogadását, amelyek lehetővé teszik az egyének védelmét személyes adataiknak az uniós intézmények, szervek és hivatalok által az uniós jog alkalmazási körébe tartozó tevékenységeik során végzett kezelése tekintetében. A cikk lehetővé teszi olyan szabályok elfogadását is, amelyek a személyes adatok – ezen belül az uniós intézmények, szervek és hivatalok által kezelt személyes adatok – szabad áramlására vonatkoznak. •Szubszidiaritás (nem kizárólagos hatáskör esetén) E rendelet tárgya az Unió kizárólagos hatáskörébe tartozik, mivel a személyes adatoknak az uniós intézmények által végzett kezelésére vonatkozóan csak az Unió fogadhat el szabályokat.

•Arányosság Az arányosság elvével összhangban szükséges és arányos szabályokat meghatározni a személyes adatoknak az uniós intézmények, szervek és hivatalok által végzett kezelésére vonatkozóan azon alapvető célok elérése érdekében, hogy biztosítsák a természetes személyek azonos szintű védelmét a személyes adatok kezelése tekintetében, valamint a személyes adatok Unión belüli szabad áramlását. E rendelet az Európai Unióról szóló szerződés 5. cikkének (4) bekezdésével összhangban nem lépi túl a célkitűzések eléréséhez szükséges mértéket. •A jogi aktus típusának megválasztása A rendelet a megfelelő jogi eszköz a személyeknek a személyes adataik uniós intézmények, szervek, hivatalok és ügynökségek általi kezelése tekintetében való védelmére és az ilyen adatok szabad áramlására vonatkozó keret meghatározásához. A keret törvény alapján érvényesíthető jogokat biztosít a személyeknek, és meghatározza az uniós intézmények, szervek és hivatalok adatkezelőinek adatkezelési kötelezettségeit. Rendelkezik továbbá egy független felügyeleti hatóságról, az európai adatvédelmi biztosról, amely a személyes adatok uniós intézmények, szervek és hivatalok általi kezelésének nyomon követéséért felel. 3.AZ UTÓLAGOS ÉRTÉKELÉSEK, AZ ÉRDEKELT FELEKKEL FOLYTATOTT KONZULTÁCIÓK ÉS A HATÁSVIZSGÁLATOK EREDMÉNYEI A Bizottság 2010-ben és 2011-ben a 45/2001/EK rendelet javasolt módosításait tartalmazó adatvédelmi reformcsomag előkészítésével összefüggésben konzultációt folytatott az érdekelt felekkel és hatásvizsgálatot végzett. Ezzel kapcsolatban a Bizottság felmérést végzett a bizottsági adatvédelmi koordinátorokról is. A 45/2001/EK rendelet uniós intézmények, szervek és hivatalok általi gyakorlati alkalmazása tekintetében a Bizottság az európai adatvédelmi biztostól, más uniós intézményektől, szervektől és hivataloktól, a Bizottság más főigazgatóságaitól és egy külső vállalkozótól gyűjtött információkat. Az adatvédelmi tisztviselők hálózata számára kérdőívet küldtek. 2015. július 9-én, 2015. október 22-én, 2016. január 19-én és 2016. március 15-én számos uniós intézmény, szerv és hivatal adatvédelmi felelősének részvételével munkaértekezleteket tartottak a 45/2001/EK rendelet reformjáról. A Bizottság 2013-ban úgy döntött, értékelő tanulmányt végez a 45/2001/EK rendelet addigi alkalmazásáról, és ezzel megbízott egy külső vállalkozót. Az értékelő tanulmány végleges eredményeit (végső jelentés, öt esettanulmány és cikkenkénti elemzés) 2015. június 8-án nyújtották be a Bizottságnak. Az értékelés szerint az adatvédelmi tisztviselők és az európai adatvédelmi biztos köré szerveződő irányítási rendszer hatékony. A jelentés megállapította, hogy az adatvédelmi tisztviselők és az európai adatvédelmi biztos közötti hatáskörmegosztás egyértelmű és kiegyensúlyozott, és mindkettő megfelelő hatáskörrel rendelkezik. Nehézségek adódhatnak azonban abból, hogy az adatvédelmi tisztviselők nem kapnak megfelelő támogatást a vezetőségüktől. Az értékelő tanulmány rámutatott, hogy az európai adatvédelmi biztos által hozott szankciók révén javítani lehetne a 45/2001/EK rendelet érvényesítését. A felügyelő hatóság hatásköreinek fokozott alkalmazása az adatvédelmi szabályok jobb végrehajtását eredményezheti. Az értékelés az a következtetést is levonta, hogy az adatkezelőknek kockázatkezelési megközelítést kellene alkalmazniuk, és az adatkezelési műveletek elvégzése előtt kockázatértékelést kellene végezniük az adatmegőrzésre és adatbiztonságra vonatkozó követelmények megfelelőbb teljesítése érdekében. A tanulmány továbbá rámutatott arra, hogy a 45/2001/EK rendelet IV. fejezetének a távközlési ágazatra vonatkozó jelenlegi szabályai elavultak, és ezt a fejezetet össze kell hangolni az elektronikus hírközlési adatvédelmi irányelvvel. Az értékelő tanulmány szerint a 45/2001/EK rendelet néhány kulcsfontosságú fogalommeghatározását is egyértelműbbé kell tenni. Ezek közé tartoznak az uniós intézmények, szervek és hivatalok adatkezelőinek azonosításáról, a címzett fogalmáról, valamint a titoktartás követelményének a külső adatfeldolgozókra való kiterjesztéséről szóló rendelkezések. Az értékelő tanulmány arra is utalt, hogy a hatékonyság növelése és az adminisztratív terhek csökkentése érdekében egyszerűsíteni kell az értesítések és az előzetes ellenőrzések rendszerét. Az értékelés keretében 64 uniós intézményre, szervre és hivatalra kiterjedő internetes felmérés készült. A felmérés kérdéseire 422 adatkezelői felelősséggel rendelkező tisztviselő, 73 adatvédelmi tisztviselő, 118 adatvédelmi koordinátor és 109 IT-szakember válaszolt. Az értékelés végzője számos interjút készített az érdekelt felekkel. 2015. március 26-án az értékelés végzője és a Bizottság záró munkaértekezletet rendezett, amelyen számos adatkezelő, adatvédelmi tisztviselő, adatvédelmi koordinátor, IT-szakember és az európai adatvédelmi biztos képviselői vettek részt. •Szakértői vélemények beszerzése és felhasználása Lásd az értékelő tanulmányra való hivatkozást az előző pontban. •Hatásvizsgálat E javaslat hatása elsősorban az uniós intézményeket, szerveket és hivatalokat érinti. Ezt az európai adatvédelmi biztostól, más uniós intézményektől, szervektől és hivataloktól, a Bizottság főigazgatóságaitól és egy külső vállalkozótól gyűjtött információk megerősítik. Továbbá az (EU) 2016/679 rendeletből eredő azon új kötelezettségek hatásának elemzésére már sor került az említett rendeletre irányuló előkészítő munka keretében, amelyekkel a jelen javaslat tárgyát képező rendeletet össze kell hangolni. Így felesleges e rendeletre vonatkozóan külön hatásvizsgálatot végezni. •Célravezető szabályozás és egyszerűsítés Tárgytalan.

•Alapjogok A személyes adatok védelméhez való jogot az Európai Unió Alapjogi Chartájának (a továbbiakban: a Charta) 8. cikke, az EUMSZ 16. cikke és az emberi jogok európai egyezményének 8. cikke rögzíti. Miként azt az Európai Unió Bírósága kiemelte, a személyes adatok védelméhez való jog nem abszolút jog, hanem a társadalomban betöltött szerepének függvényében kell figyelembe venni. Az adatvédelem szorosan kapcsolódik a Charta 7. cikke által védett magán- és családi élet tiszteletben tartásához is. E javaslat szabályokat határoz meg a személyeknek a személyes adataik uniós intézmények, szervek, hivatalok és ügynökségek általi kezelése tekintetében való védelmére és az ilyen adatok szabad áramlására vonatkozóan. A Chartában rögzített további esetlegesen érintett alapvető jogok a következők: a véleménynyilvánítás szabadsága (11. cikk); a tulajdonhoz való jog és különösen a szellemi tulajdon védelme (17. cikk (2) bekezdés); a faj, etnikai származás, genetikai tulajdonság, vallás vagy meggyőződés, politikai vagy más vélemény, fogyatékosság vagy szexuális irányultság alapján történő megkülönböztetés tilalma (21. cikk); a gyermekek jogai (24. cikk); az emberi egészség védelmének magas szintjéhez való jog (35. cikk); a dokumentumokhoz való hozzáférés joga (42. cikk), valamint a hatékony jogorvoslathoz és a tisztességes eljáráshoz való jog (47. cikk). 4.KÖLTSÉGVETÉSI VONZATOK Lásd a mellékletben található pénzügyi kimutatást. 5.EGYÉB ELEMEK •Végrehajtási tervek, valamint a nyomon követés, az értékelés és a jelentéstétel szabályai Tárgytalan. •Magyarázó dokumentumok (irányelvek esetén) Tárgytalan. I. FEJEZET – ÁLTALÁNOS RENDELKEZÉSEK Az 1. cikk meghatározza a rendelet tárgyát, valamint – a 45/2001/EK rendelet 1. cikkéhez hasonlóan – a rendelet két célkitűzését: az adatvédelemhez való alapvető jog védelmét és a személyes adatok Unión belüli szabad áramlásának biztosítását. Rendelkezik továbbá az európai adatvédelmi biztos főbb feladatairól. A 2. cikk meghatározza a rendelet hatályát: e rendeletet kell alkalmazni a személyes adatok bármely közösségi intézmény és szerv által történő kezelésére, ha a kezelés részben vagy teljes egészében az uniós jog hatálya alá tartozó tevékenységek gyakorlása során történik. E rendelet tárgyi hatálya technológiasemleges. A személyes adatok védelme a személyes adatok automatizált eszközök útján végzett és manuális kezelésére egyaránt vonatkozik, amennyiben a személyes adatokat nyilvántartási rendszerben tárolják vagy kívánják tárolni. A 3. cikk a rendeletben használt fogalmak meghatározását tartalmazza. A rendeletben használt fogalmak meghatározása – az „uniós intézmények és szervek”, az „adatkezelő”, a „felhasználó” és az „adattár” fogalmának meghatározásán kívül, amelyek e rendeletre jellemzőek –az (EU) 2016/679 rendeletben, az (EU) 0000/00 rendeletben [az új elektronikus hírközlési adatvédelmi rendelet], az (EU) 00/0000 irányelvben [az Európai Elektronikus Hírközlési Kódex létrehozásáról szóló irányelv], valamint a 2008/63/EK bizottsági irányelvben található. II. FEJEZET – ELVEK A 4. cikk rögzíti a személyes adatok kezelésére vonatkozó elveket, amelyek megfelelnek az (EU) 2016/679 rendelet 5. cikkében foglaltaknak. A 45/2001/EK rendelethez képest a következő új elveket vezeti be: átláthatóság, integritás és bizalmas jelleg. Az 5. cikk az (EU) 2016/679 rendelet 6. cikke alapján meghatározza az adatkezelés jogszerűségének kritériumait– az egyedüli kivétel az adatkezelő jogos érdekével kapcsolatos kritérium, mivel ez nem alkalmazható a közszférára, így az uniós intézményekre és szervekre sem. Az 5. cikk fenntartja a 45/2001/EK rendelet 5. cikkében már meghatározott kritériumokat. A 6. cikk az (EU) 2016/679 rendelet 6. cikkének (4) bekezdésével összhangban pontosítja az adatgyűjtés céljától eltérő, összeegyeztethető célból történő adatkezelés feltételeit. A 45/2001/EK rendelet 6. cikkéhez képest ez az új rendelkezés nagyobb rugalmasságot és jogbiztonságot nyújt a összeegyeztethető célból történő további adatkezelés tekintetében. A 7. cikk – az (EU) 2016/679 rendelet 7. cikkével összhangban – pontosítja, hogy a hozzájárulás milyen feltételek teljesülése esetén számít a jogszerű adatkezelés érvényes jogalapjának.

A 8. cikk – az (EU) 2016/679 rendelet 8. cikkével összhangban – meghatározza, milyen további feltételek vonatkoznak a gyermekek személyes adatainak jogszerű kezelésére az információs társadalommal összefüggő, közvetlenül a gyermekek részére nyújtott szolgáltatások vonatkozásában. A cikk az érvényes hozzájárulás alsó korhatáraként a 13. életévet határozza meg. A 9. cikk – a 45/2001/EK rendelet 8. cikkével összhangban – szabályokat határoz meg a személyes adatoknak az uniós intézményektől és szervektől eltérő, az (EU) 2016/679 rendelet vagy az (EU) 2016/680 irányelv hatálya alá tartozó címzettek részére való továbbítására vonatkozó védelem speciális szintjére vonatkozóan. Egyértelművé teszi, hogy amennyiben az adatkezelő kezdeményezi a továbbítást, igazolnia kell a továbbítás szükségességét és arányosságát. A 10. cikk – az (EU) 2016/679 rendelet 9. cikkére alapozva és a 45/2001/EK rendelet 10. cikkét továbbfejlesztve – általános tilalmat állapít meg a személyes adatok különleges kategóriáinak feldolgozására vonatkozóan, valamint meghatározza az általános szabály alóli kivételeket. A 11. cikk – az (EU) 2016/679 rendelet 10. cikkével összhangban és a 45/2001/EK rendelet 10. cikkének (5) bekezdésének megfelelően – meghatározza a büntetőjogi felelősség megállapítására vonatkozó határozatokra és a bűncselekményekre vonatkozó személyes adatok kezelésének feltételeit. A 12. cikk egyértelműsíti az adatkezelőnek az érintett tájékoztatására vonatkozó kötelezettségét, az (EU) 2016/679 rendelet 11. cikkével összhangban úgy rendelkezve, hogy ha az adatkezelő által kezelt személyes adatok nem teszik lehetővé az adatkezelő számára valamely természetes személy azonosítását, akkor az adatkezelő nem köteles az érintett személyazonosságának megállapítása érdekében kiegészítő információkat beszerezni pusztán abból a célból, hogy megfeleljen e rendeletnek. Az adatkezelő ugyanakkor nem utasíthatja vissza az érintett által a jogai gyakorlásának támogatása érdekében nyújtott további információkat. A 13. cikk – az (EU) 2016/679 rendelet 89. cikkének (1) bekezdése alapján – meghatározza a közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból folytatott adatkezelésre vonatkozó garanciákról szóló szabályokat. III. FEJEZET – AZ ÉRINTETT JOGAI 1. szakasz – Átláthatóság és intézkedések A 14. cikk – az (EU) 2016/679 rendelet 12. cikke alapján – bevezeti az adatkezelők azon kötelezettségét, amely értelmében az érintett számára a jogai gyakorlásához átlátható, könnyen hozzáférhető és érthető tájékoztatást, eljárásokat és mechanizmust kell biztosítaniuk, adott esetben elektronikus úton, az érintett kérelmére meghatározott időn belül válaszolniuk kell, a kérelmek elutasítását pedig indokolniuk kell. Mivel az uniós intézmények és szervek semmilyen körülmények között nem számíthatnak fel díjat a tájékoztatás adminisztratív költségére való tekintettel, az (EU) 2016/679 rendelet e lehetőségre vonatkozó rendelkezéseit nem veszi át a javaslat. 2. szakasz – Tájékoztatás és az adatokhoz való hozzáférés A 15. cikk – az (EU) 2016/679 rendelet 13. cikkére alapozva és a 45/2001/EK rendelet 11. cikkét továbbfejlesztve – meghatározza az adatkezelőnek az érintettel szemben abban az esetben fennálló tájékoztatási kötelezettségeit, ha a személyes adatokat az érintettől gyűjtik, amelyek értelmében tájékoztatniuk kell az érintettet többek között a tárolás időtartamáról, a panasz benyújtásának jogáról, valamint a nemzetközi továbbítás tekintetében. A 16. cikk – az (EU) 2016/679 rendelet 14. cikkére alapozva és a 45/2001/EK rendelet 12. cikkét továbbfejlesztve – tovább részletezi az adatkezelőnek az érintettel szemben abban az esetben fennálló tájékoztatási kötelezettségeit, ha a személyes adatokat nem az érintettől szerezték meg, amelyek értelmében tájékoztatást kell nyújtania az adatok forrásáról. Fenntartja továbbá az (EU) 2016/679 rendelet szerinti esetleges eltéréseket, például azt, hogy nem áll fenn tájékoztatási kötelezettség, ha az érintett már rendelkezik az információkkal, ha a szóban forgó információk rendelkezésre bocsátása lehetetlennek bizonyul vagy aránytalanul nagy erőfeszítést igényelne az adatkezelő részéről, ha a személyes adatok az uniós jog által szabályozott szakmai titoktartási kötelezettség hatálya alá tartoznak, vagy ha a személyes adat rögzítését vagy közlését valamely jogszabály kifejezetten előírja. Ez alkalmazható lehet például a szociális biztonságért vagy egészségügyi kérdésekért felelős szolgálatok eljárásai tekintetében. A 17. cikk – az (EU) 2016/679 rendelet 15. cikkével összhangban és a 45/2001/EK rendelet 13. cikkét továbbfejlesztve – az érintett saját személyes adataihoz való hozzáférési jogáról rendelkezik, új elemekkel egészítve ki azt, például azzal a kötelezettséggel, hogy az érintetteket tájékoztatni kell a tárolás időtartamáról, valamint a helyesbítéshez, a törléshez és a panasztételhez való joggal. 3. szakasz – Helyesbítés és törlés A 18. cikk – az (EU) 2016/679 rendelet 16. cikkére alapozva és a 45/2001/EK rendelet 14. cikkét továbbfejlesztve – az érintett törléshez való jogáról rendelkezik. A 19. cikk – az (EU) 2016/679 rendelet 17. cikkével összhangban és a 45/2001/EK rendelet 16. cikkét továbbfejlesztve – meghatározza az érintett jogát a személyes adatok tárolásának megszüntetéséhez és törléséhez. Rendelkezik a személyes adatok tárolásának megszüntetéséhez való jog feltételeiről, beleértve a személyes adatokat nyilvánosságra hozó adatkezelő kötelezettségét a harmadik felek arról történő tájékoztatására, hogy az érintett kérte az e személyes adatokra mutató internetes link vagy az adatok másolatának, illetve másodpéldányának törlését. A 20. cikk bevezeti az adatkezelés bizonyos esetekben való korlátozására vonatkozó jogot, elkerülve a 45/2001/EK rendeletben használt homályos „zárolás” kifejezést, és biztosítva az (EU) 2016/679 rendelet 18. cikke szerinti új terminológiával való összhangot. A 21. cikk – az (EU) 2016/679 rendelet 19. cikkével összhangban és a 45/2001/EK rendelet 17. cikkét továbbfejlesztve – előírja, hogy az adatkezelőnek minden olyan címzettet tájékoztatnia kell a személyes adatok esetleges helyesbítéséről, törléséről vagy azok kezelésének korlátozásáról, akivel, illetve amellyel a személyes adatot közölték, kivéve, ha ez lehetetlennek bizonyul, vagy aránytalanul nagy erőfeszítést igényel. Az adatkezelőnek tájékoztatnia kell az érintettet is – kérése esetén – e címzettekről. A 22. cikk – az (EU) 2016/679 rendelet 20. cikkével összhangban – bevezeti az érintett adathordozhatósághoz való jogát, amelynek értelmében az érintett jogosult arra, hogy a rá vonatkozó, általa egy adatkezelő rendelkezésére bocsátott személyes adatokat megkapja, továbbá jogosult arra, hogy – ha ez technikailag megvalósítható – kérje e személyes adatok más adatkezelőnek való közvetlen továbbítását. Ennek előfeltételeként – és annak érdekében, hogy fokozza az egyének lehetőségét a személyes adataikhoz való hozzáféréshez – a cikk biztosítja azt a jogot, amely alapján ezek az adatok az adatkezelőtől tagolt, széles körben használt, géppel olvasható formátumban igényelhetők. E jog csak abban az esetben alkalmazandó, amennyiben az adatkezelés az érintett hozzájárulásán, vagy az érintett által kötött szerződésen alapul. 4. szakasz – A tiltakozáshoz való jog és automatizált döntéshozatal egyedi ügyekben

A 23. cikk – az (EU) 2016/679 rendelet 21. cikkére alapozva és a 45/2001/EK rendelet 18. cikkét továbbfejlesztve – az érintett tiltakozáshoz való jogáról rendelkezik. A 24. cikk – az (EU) 2016/679 rendelet 22. cikkére alapozva és a 45/2001/EK rendelet 19. cikkét továbbfejlesztve – arról rendelkezik, hogy az érintett jogosult arra, hogy ne terjedjen ki rá olyan intézkedés hatálya, amely kizárólag automatizált adatkezelésen – ideértve a profilalkotást is – alapul. 5. szakasz – Korlátozások A 25. cikk lehetővé teszi az érintett 14–22. cikkben, valamint a 34. és 38. cikkben meghatározott jogainak, valamint a 4. cikkben meghatározott elvek (amennyiben ezek rendelkezései megfelelnek a 14–22. cikkben meghatározott jogoknak és kötelezettségeknek) korlátozását. Az ilyen korlátozásokat a Szerződések alapján vagy az uniós intézmények és szervek belső szabályai alapján elfogadott jogi aktusokban kell meghatározni. Amennyiben ilyen korlátozásról nem rendelkeznek a Szerződések alapján elfogadott jogi aktusok vagy az uniós intézmények és szervek belső szabályai , az utóbbiak abban az esetben írhatnak elő ad hoc korlátozást, ha a korlátozás – egy adott feldolgozási művelet tekintetében – tiszteletben tartja az alapvető jogok és szabadságok lényeges tartalmát, valamint egy demokratikus társadalomban az érintett jogainak korlátozását lehetővé tevő célok védelme érdekében szükséges és arányos intézkedés. E cikk összhangban van az (EU) 2016/679 rendelet 23. cikkével. Ugyanakkor az (EU) 2016/679 rendelet 23. cikkével ellentétben és az 45/2001/EK rendelet 20. cikkével összhangban a rendelkezés nem teszi lehetővé a tiltakozáshoz való jog és a kizárólag automatizált adatkezelésen alapuló döntések alóli mentesüléshez való jog korlátozását. A korlátozásokra vonatkozó követelmények összhangban vannak az Alapjogi Chartával és az emberi jogok európai egyezményével, az Európai Unió Bíróságának és Emberi Jogok Európai Bíróságának vonatkozó értelmezéseit is figyelembe véve. IV. FEJEZET – AZ ADATKEZELŐ ÉS AZ ADATFELDOLGOZÓ 1. szakasz – Általános kötelezettségek A 26. cikk továbbfejleszti az (EU) 2016/679 rendelet 24. cikkét és bevezeti az elszámoltathatóság elvét, meghatározva, hogy az adatkezelő köteles felelősséget vállalni a rendeletnek való megfelelésért és e megfelelés bizonyításáért, többek között az ilyen megfelelést biztosító technikai és szervezési intézkedések, valamint adott esetben belső szabályok és mechanizmusok elfogadása révén. Az (EU) 2016/679 rendelet 24. cikkének (3) bekezdését nem tartalmazza e rendelkezés, mivel az uniós intézményeknek és szervekre nem alkalmazandók magatartási kódexek vagy tanúsítási mechanizmusok. A 27. cikk – az (EU) 2016/679 rendelet 25. cikkével összhangban – meghatározza az adatkezelőnek a beépített és az alapértelmezett adatvédelem elveiből eredő kötelezettségeit. A közös adatkezelőkről szóló 28. cikk az (EU) 2016/679 rendelet 26. cikkére alapoz, hogy pontosítsa a közös adatkezelők felelősségi körét – akár uniós intézményekről vagy szervekről van szó, akár nem – azok belső kapcsolata és az érintettel való kapcsolatuk tekintetében. Ezen átmeneti rendelkezés szabályozza azt a helyzetet, amikor a közös adatkezelők mindegyikére ugyanaz a jogi szabályozás vonatkozik (e rendelet), valamint azt is, amikor a közös adatkezelők között vannak olyanok, amelyekre e rendelet alkalmazandó, valamint olyanok is, amelyek más jogi eszköz hatálya alá tartoznak (az (EU) 2016/679 rendelet, az (EU) 2016/680 irányelv, az (EU) 2016/681 irányelv vagy más speciális, az uniós intézményeket vagy szerveket érintő adatvédelmi szabályozás). A 29. cikk az (EU) 2016/679 rendelet 28. cikkére alapozva és a 45/2001/EK rendelet 23. cikkét továbbfejlesztve pontosítja az adatfeldolgozók helyzetét és kötelezettségeit, beleértve annak meghatározását is, hogy amennyiben egy adatfeldolgozó e rendeletet sértve maga határozza meg az adatkezelés céljait és eszközeit, akkor őt az adott adatkezelés tekintetében adatkezelőnek kell tekinteni. Az adatkezelő vagy az adatfeldolgozó irányítása alatt végzett adatkezelésről szóló 30. cikk az (EU) 2016/679 rendelet 29. cikkén alapul, és előírja, hogy az adatfeldolgozó és bármely, az adatkezelő vagy az adatfeldolgozó irányítása alatt eljáró, a személyes adatokhoz hozzáféréssel rendelkező személy ezeket az adatokat kizárólag az adatkezelő utasításának megfelelően kezelheti, kivéve, ha az ettől való eltérésre őt uniós vagy tagállami jog kötelezi. A 31. cikk az (EU) 2016/679 rendelet 30. cikkére épül, és bevezeti az adatkezelők és adatfeldolgozók azon kötelezettségét, hogy – az európai adatvédelmi biztosnak a 45/2001/EK rendelet 25. cikkében előírt előzetes értesítése és az adatvédelmi tisztviselők által vezetett nyilvántartás helyett – a felelősségi körükbe tartozóan végzett adatkezelési műveletekről nyilvántartást kell vezetniük. Az (EU) 2016/679 rendelettel szemben e rendelkezés nem említi az adatkezelő képviselőit, mivel az uniós intézményeknek nincs képviselője és minden esetben rendelkeznek adatvédelmi tisztviselőkkel. Az (EU) 2016/679 rendelet a különös helyzetekben biztosított eltéréseken alapuló továbbításokra való hivatkozásait nem tartalmazza e javaslat, mivel ilyen típusú továbbításokról e rendelet nem rendelkezik. Az adatkezelési tevékenységekről való nyilvántartás vezetésére vonatkozó kötelezettség egy uniós intézmény vagy szerv szintjén központosítható. Ebben az esetben az uniós intézményeknek és szerveknek lehetőségük van az adatkezelési tevékenységek nyilvántartását nyilvánosan elérhető nyilvántartásban vezetni. A 32. cikk – az (EU) 2016/679 rendelet 31. cikke alapján – tisztázza az uniós intézményeknek és szerveknek az európai adatvédelmi biztossal való együttműködésre vonatkozó kötelezettségeit. 2. szakasz – Adatbiztonság és az elektronikus kommunikáció bizalmas jellege A 33. cikk – az (EU) 2016/679 rendelet 32. cikkével összhangban és a 45/2001/EK rendelet 22. cikkét továbbfejlesztve – kötelezi az adatkezelőt az adatkezelés biztonságát garantáló megfelelő intézkedések végrehajtására, és kiterjeszti e kötelezettséget az adatfeldolgozókra is, az adatkezelővel való szerződésük jellegétől függetlenül. A 34. cikk a 45/2001/EK rendelet 36. cikkére épül, és biztosítja az uniós intézményeken és szerveken belüli elektronikus kommunikáció bizalmas jellegét. A 35. cikk az uniós intézmények és szervek meglévő gyakorlatára épül, és védi az uniós intézmények és szervek által biztosított, nyilvánosan elérhető weboldalait és mobilalkalmazásait elérő végfelhasználók végberendezéseivel kapcsolatos információkat, az (EU) XXXX/XX rendelettel [az elektronikus adatvédelemről szóló új rendelettel] összhangban, különös tekintettel annak 8. cikkére. A 36. cikk a 45/2001/EK rendelet 38. cikkére épül, és biztosítja az uniós intézmények és szervek nyilvános és személyes névjegyzékeiben tárolt személyes adatok védelmét. A 37. és a 38. cikk – az (EU) 2016/679 rendelet 33. és 34. cikkével összhangban – bevezeti az adatvédelmi incidensek bejelentésére vonatkozó kötelezettséget. 3. szakasz – Adatvédelmi hatásvizsgálat és előzetes konzultáció

A 39. cikk az (EU) 2016/679 rendelet 35. cikkére épül, és bevezeti az adatkezelők és adatfeldolgozók azon kötelezettségét, hogy adatvédelmi hatásvizsgálatot végezzenek az olyan feldolgozási műveleteket megelőzően, amelyek valószínűsíthetően magas kockázattal járnak a természetes személyek jogaira és szabadságaira nézve. E kötelezettség különösen vonatkozik a természetes személyekre vonatkozó egyes személyes jellemzők olyan módszeres és kiterjedt értékelésére, amely automatizált adatkezelésen – ideértve a profilalkotást is – alapul, a személyes adatok különleges kategóriáinak nagy számban történő kezelésére, vagy nyilvános helyek nagymértékű, módszeres megfigyelésére. A 40. cikk az (EU) 2016/679 rendelet 36. cikkén alapul, és azokra az esetekre vonatkozik, amelyekben az adatkezelést megelőzően kötelező az európai adatvédelmi biztos engedélyének beszerzése és a vele való konzultálás. Ugyanakkor a 40. cikk első bekezdése átveszi az (EU) 2016/679 rendelet (94) preambulumbekezdését, és a konzultációra való kötelezettség hatályának pontosítására irányul. 4. szakasz – Tájékoztatás és jogalkotási konzultáció A 41. cikk rendelkezik arról a kötelezettségről, hogy az uniós intézményeknek és szerveknek értesíteniük kell az európai adatvédelmi biztost a személyes adatok kezelésére vonatkozó közigazgatási intézkedések és belső szabályok kidolgozása esetén. A 42. cikk rendelkezik arról a kötelezettségről, hogy a Bizottságnak konzultálnia kell az európai adatvédelmi biztossal a jogalkotási aktusokra vonatkozó javaslatok, ajánlások, vagy az EUMSZ 218. cikke alapján a Tanácsnak benyújtott javaslatok elfogadását követően, valamint az egyének személyes adataik kezelése tekintetében fennálló jogainak és szabadságainak védelmére hatással lévő felhatalmazáson alapuló jogi aktusok és végrehajtási jogi aktusok előkészítésekor. Amennyiben ezek a jogi aktusok különösen fontosak az egyének személyes adataik kezelése tekintetében fennálló jogainak és szabadságainak védelméhez, a Bizottság az Európai Adatvédelmi Testülettel is konzultálhat. Ilyen esetekben a két érintett hatóságnak közös vélemény kiadása céljából össze kell hangolnia a munkáját. A cikk az említett esetekben a tanács kiadására vonatkozóan nyolc hetes határidőt állapít meg, eltéréseket téve lehetővé sürgős esetekben és más indokolt esetekben, például amikor a Bizottság felhatalmazáson alapuló jogi aktusokat és végrehajtási jogi aktusokat készít elő. 5. szakasz – Válaszadási kötelezettség az állítólagos jogsértések tekintetében A 43. cikk rendelkezik arról a kötelezettségről, hogy az adatkezelőknek és az adatfeldolgozónak válaszolniuk kell az állításokra azt követően, hogy az európai adatvédelmi biztos úgy döntött, hozzájuk fordul az üggyel. 6. szakasz – Az adatvédelmi tisztviselő A 44. cikk az (EU) 2016/679 rendelet 37. cikke (1) bekezdésének a) pontjára és a 45/2001/EK rendelet 24. cikkére épül, és az uniós intézményeknél és szerveknél kötelezően kinevezendő adatvédelmi tisztviselőről rendelkezik. A 45. cikk az (EU) 2016/679 rendelet 38. cikkére és a 45/2001/EK rendelet 24. cikkére épül, és az adatvédelmi tisztviselő jogállásáról rendelkezik. A 46. cikk az (EU) 2016/679 rendelet 39. cikkére és a 45/2001/EK rendelet 24. cikkére, valamint mellékletének második és harmadik bekezdésére épül, és az adatvédelmi tisztviselő alapvető feladatairól rendelkezik. V. FEJEZET – A SZEMÉLYES ADATOK HARMADIK ORSZÁGOKBA VAGY NEMZETKÖZI SZERVEZETEK RÉSZÉRE TÖRTÉNŐ TOVÁBBÍTÁSA A 47. cikk továbbfejleszti a 45/2001/EK rendelet 9. cikkét, és az (EU) 2016/679 rendelet 44. cikkével összhangban kimondja azt az általános elvet, hogy a személyes adatok harmadik országba vagy nemzetközi szervezetek részére történő továbbítása – ezen belül a harmadik országból vagy nemzetközi szervezettől egy további harmadik országba vagy további nemzetközi szervezet részére történő újbóli továbbítása – esetén kötelező betartani e rendelet rendelkezéseit és az V. fejezetben rögzített feltételeket. A 48. cikk megállapítja, hogy személyes adatok harmadik országba vagy nemzetközi szervezetek részére történő továbbítására akkor kerülhet sor, ha a Bizottság az (EU) 2016/679 rendelet 45. cikkének (3) bekezdése szerint megállapította, hogy a harmadik ország, a harmadik ország valamely területe, vagy egy vagy több meghatározott ágazata, vagy a szóban forgó nemzetközi szervezet megfelelő védelmi szintet biztosít, valamint a személyes adatok továbbítására kizárólag az adatkezelő illetékességi körébe tartozó feladatok végrehajtásának lehetővé tétele céljából kerül sor. E cikk (2) és (3) bekezdése átveszi a 45/2001/EK rendelet 9. cikkének rendelkezéseit, mivel ezek hasznos elemek a harmadik országok és nemzetközi szervezetek által biztosított védelmi szint nyomon követésének tekintetében. A 49. cikk az (EU) 2016/679 rendelet 46. cikkére épül, és előírja, hogy amennyiben a Bizottság nem fogadott el a megfelelőségre vonatkozó határozatot, a harmadik országoknak való továbbításra csak megfelelő garanciák, különösen pedig általános adatvédelmi kikötések és szerződési feltételek mellett kerülhet sor. Az uniós intézményeken és szerveken kívüli adatfeldolgozók az (EU) 2016/679 rendelettel összhangban kötelező erejű vállalati szabályokat, magatartási kódexeket és tanúsítási mechanizmusokat is alkalmazhatnak. E cikk negyedik bekezdése, amely az uniós intézmények és szervek azon kötelezettségéről szól, hogy tájékoztatniuk kell az európai adatvédelmi biztost azokról az esetkategóriákról, amelyekben e cikket alkalmazták, a 45/2001/EK rendelet 9. cikke (8) bekezdésének felel meg, amelyet annak sajátos jellege miatt megőriz. Az ötödik bekezdés az (EU) 2016/679 rendelet 46. cikke (5) bekezdésében meghatározott hatályos engedélyek szerzett jogok alapján történő fenntartására épül. Az 50. cikk – az (EU) 2016/679 rendelet 48. cikkével összhangban – egyértelműsíti, hogy valamely harmadik ország bíróságának bármely olyan ítélete, illetve közigazgatási hatóságának bármely olyan döntése, amely a személyes adatok továbbítását vagy közlését írja elő, kizárólag akkor ismerhető el vagy hajtható bármely módon végre, ha az az adatok megismerését igénylő harmadik ország és az Unió vagy egy tagállama között létrejött, hatályos nemzetközi megállapodáson, például kölcsönös jogsegélyszerződésen alapul, az adattovábbítás e fejezet szerinti egyéb módozatainak sérelme nélkül. Az 51. cikk az (EU) 2016/679 rendelet 49. cikkére épül, és megállapítja és egyértelművé teszi az adattovábbítással kapcsolatos eltéréseket. Ez különösen a fontos közérdekből szükséges adattovábbításokra érvényes, például a versenyhatóságokat, adó- és vámhivatalokat, vagy a társadalombiztosítási, illetve halászati gazdálkodási ügyekben illetékes szolgáltatókat érintő nemzetközi adattovábbítások esetében. Az ötödik bekezdés, amely arról a kötelezettségről rendelkezik, hogy az európai adatvédelmi biztost tájékoztatni kell azokról az esetkategóriákról, amelyekben a továbbítás eltéréseken alapul, a jelenleg hatályos 45/2001/EK rendelet 9. cikke (8) bekezdésének felel meg. Az 52. cikk az (EU) 2016/679 rendelet 50. cikkén alapul, és kifejezetten rendelkezik a személyes adatok védelmével kapcsolatos nemzetközi együttműködés mechanizmusairól, amelyek – a Bizottsággal és az Európai Adatvédelmi Testülettel együttműködést folytató – európai adatvédelmi biztos és a harmadik országok felügyeleti hatóságai között alakítandók ki. VI. FEJEZET – AZ EURÓPAI ADATVÉDELMI BIZTOS A 53. cikk a 45/2001/EK rendelet 41. cikkére épül, és az európai adatvédelmi biztos létrehozására vonatkozik.

Az 54. cikk a 45/2001/EK rendelet 42. cikkére és a 1247/2002/EK határozat 3. cikkére épül, és meghatározza az európai adatvédelmi biztos Európai Parlament és Tanács általi kinevezésének szabályait. Megállapítja továbbá megbízatásának időtartamát, amely öt év. Az 55. cikk a 45/2001/EK rendelet 43. cikkére és a 1247/2002/EK határozat 1. cikkére épül, és meghatározza az európai adatvédelmi biztos feladatkörének ellátására vonatkozó szabályozást és általános feltételeket, valamint a vonatkozó személyi és anyagi erőforrásokat. Az 56. cikk az (EU) 2016/679 rendelet 52. cikkére és a 45/2001/EK rendelet 44. cikkére épül, és pontosítja az európai adatvédelmi biztos függetlenségére vonatkozó feltételeket, figyelembe véve az Európai Unió Bíróságának ítélkezési gyakorlatát. Az 57. cikk – a 45/2001/EK rendelet 45. cikke alapján – meghatározza az európai adatvédelmi biztost megbízatási ideje alatt és után terhelő titoktartási kötelezettséget minden olyan bizalmas információ tekintetében, amelyről hivatali feladatainak ellátása során szerzett tudomást. Az 58. cikk az (EU) 2016/679 rendelet 57. cikkére és a 45/2001/EK rendelet 46. cikkére épül, és meghatározza az európai adatvédelmi biztos feladatkörét, amely magában foglalja a panaszok meghallgatását és kivizsgálását, valamint a nyilvánosság tájékoztatását a személyes adatok kezelésével összefüggő kockázatokról, szabályokról, garanciákról és jogokról. A 59. cikk az (EU) 2016/679 rendelet 58. cikkén és a 45/2001/EK rendelet 47. cikkén alapul, és meghatározza az adatvédelmi tisztviselő hatáskörét. A 60. cikk az (EU) 2016/679 rendelet 59. cikkére és a 45/2001/EK rendelet 48. cikkére épül, és meghatározza az adatvédelmi tisztviselő azon kötelezettségét, hogy tevékenységeiről éves jelentést kell készítenie. VII. FEJEZET – EGYÜTTMŰKÖDÉS ÉS EGYSÉGESSÉG A 61. cikk az (EU) 2016/679 rendelet 61. cikkére és a 45/2001/EK rendelet 46. cikkének f) pontjára épül, és kifejezett szabályokat vezet be az adatvédelmi tisztviselő nemzeti felügyeleti hatóságokkal folytatandó együttműködésére vonatkozóan. A 62. cikk az európai adatvédelmi biztos azon kötelezettségeiről rendelkezik, amelyek azokban az esetekben állnak fenn, amikor más uniós jogi aktusok a nemzeti felügyeleti hatóságokkal való összehangolt felügyelet keretében hivatkoznak e cikkre. Célja az összehangolt felügyelet egységes modelljének érvényesítése. E modell alkalmazható a nagyszabású informatikai rendszerek – például az Eurodac, a Schengeni Információs Rendszer második generációja, a Vízuminformációs Rendszer, a váminformációs rendszer és a belső piaci információs rendszer – összehangolt felügyeletére, továbbá egyes uniós ügynökségek – például az Europol – felügyeletére is, amelyekre vonatkozóan az európai adatvédelmi biztos és a nemzeti hatóságok közötti együttműködés külön modelljét határozták meg. A hatékony összehangolt felügyelet általános érvényesülésének biztosítása céljából az Európai Adatvédelmi Testület alkalmazandó egyedüli fórumként. VIII. FEJEZET – JOGORVOSLAT, FELELŐSSÉG ÉS SZANKCIÓK A 63. cikk az (EU) 2016/679 rendelet 77. cikkén és a 45/2001/EK rendelet 32. cikkén alapul, és biztosítja minden érintett számára az európai adatvédelmi biztosnál történő panasztételhez való jogot. Attól is rendelkezik, hogy az európai adatvédelmi biztos köteles e panaszt kezelni és tájékoztatni az érintettet a panasszal kapcsolatos eljárási fejleményekről és annak eredményéről három hónapon belül, és e határidő elteltével a panaszt elutasítottnak kell tekinteni. A 64. cikk fenntartja a 45/2001/EK rendelet 32. cikkének (1) bekezdését, meghatározva, hogy az e rendelet rendelkezéseivel kapcsolatos valamennyi jogvitában – ideértve a kártérítési igényeket is – az Európai Unió Bírósága rendelkezik hatáskörrel. A 65. cikk a vagyoni és nem vagyoni kár esetén a Szerződésben foglalt, többek között a felelősségre vonatkozó feltételek szerinti kártérítésre való jogosultságról rendelkezik. A 66. cikk az (EU) 2016/679 rendelet 83. cikkére épül, és arról rendelkezik, hogy az európai adatvédelmi biztos hatáskörrel rendelkezik arra, hogy – végső eszközként és kizárólag abban az esetben, ha az adott uniós intézmény vagy szerv nem teljesítette az európai adatvédelmi biztos által kiadott, az 59. cikk (2) bekezdésének a)–h) és j) pontjában említett utasítást – közigazgatási bírságokat szabhat ki az uniós intézményekre és szervekre. E cikk továbbá részletezi az egyes esetekben kiszabandó bírság összegének meghatározására vonatkozó kritériumokat, az éves maximális felső határok pedig a tagállamok egy részében alkalmazott bírságok összegéből indulnak ki. A 67. cikk – az (EU) 2016/679 rendelet 80. cikkének (1) bekezdésével összhangban – lehetővé teszi, hogy bizonyos szervek, szervezetek vagy egyesületek panaszt nyújtsanak be az érintett nevében. A 68. cikk – a 45/2001/EK rendelet 33. cikkével összhangban – az európai adatvédelmi biztosnál e rendelet rendelkezéseinek vélt megsértésével kapcsolatban a hivatali út igénybevétele nélkül panaszt tevő uniós alkalmazottak védelmére irányuló speciális szabályokról rendelkezik. A 69. cikk a 45/2001/EK rendelet 49. cikkére épül, és szankciókról rendelkezik arra az esetre vonatkozóan, ha az Európai Unió tisztviselői vagy más köztisztviselői megszegik az e rendeletben foglalt kötelezettségeit. IX. FEJEZET – VÉGREHAJTÁSI JOGI AKTUSOK A 70. cikk a végrehajtási hatásköröknek a Bizottságra történő átruházásához szükséges bizottsági eljárásról rendelkezik azokban az esetekben, amelyekben az EUMSZ 291. cikkel összhangban valamely kötelező erejű uniós jogi aktus végrehajtásának egységes feltételek szerint kell történnie. A vizsgálóbizottsági eljárás alkalmazandó.

X. FEJEZET – ZÁRÓ RENDELKEZÉSEK A 71. cikk hatályon kívül helyezi a 45/2001/EK rendeletet és az 1247/2002/EK határozatot, és úgy rendelkezik, hogy a két hatályon kívül helyezett jogi aktusra való hivatkozásokat e rendeletre való hivatkozásként kell értelmezni. A 72. cikk egyértelművé teszi, hogy e rendelet nem érinti az európai adatvédelmi biztos és a helyettes biztos jelenlegi megbízatását, továbbá a rendelet 54. cikkének (4), (5) és (7) bekezdése, valamint 56. és 57. cikke a jelenlegi helyettes biztosra vonatkozik a megbízatásának lejártáig, azaz 2019. december 5-ig. A 73. cikk az (EU) 2016/679 rendelet alkalmazásának kezdő napjával való összhang biztosítása érdekében e rendelet hatálybalépésének időpontjaként 2018. május 25-ét határozza meg. 2017/0002 (COD) Javaslat AZ EURÓPAI PARLAMENT ÉS A TANÁCS RENDELETE az egyéneknek a személyes adatok uniós intézmények, szervek, hivatalok és ügynökségek általi kezelése tekintetében való védelméről és az ilyen adatok szabad áramlásáról, valamint a 45/2001/EK rendelet és a 1247/2002/EK határozat hatályon kívül helyezéséről AZ EURÓPAI PARLAMENT ÉS AZ EURÓPAI UNIÓ TANÁCSA, tekintettel az Európai Unió működéséről szóló szerződésre és különösen annak 16. cikke (2) bekezdésére, tekintettel az Európai Bizottság javaslatára, a jogalkotási aktus tervezete nemzeti parlamenteknek való megküldését követően, tekintettel az Európai Gazdasági és Szociális Bizottság véleményére, rendes jogalkotási eljárás keretében, mivel: (1)A természetes személyek személyes adataik kezelésével összefüggő védelme alapvető jog. Az Európai Unió Alapjogi Chartája (Charta) 8. cikkének (1) bekezdése és az Európai Unió működéséről szóló szerződés (EUMSZ) 16. cikkének (1) bekezdése rögzíti, hogy mindenkinek joga van a rá vonatkozó személyes adatok védelméhez. (2)A 45/2001/EK európai parlamenti és tanácsi rendelet érvényesíthető jogokkal ruházza fel a természetes személyeket, meghatározza az adatkezelőknek a közösségi intézményeken és szerveken belüli adatfeldolgozási kötelezettségeit, és létrehoz egy független felügyeleti hatóságot, az európai adatvédelmi biztost, amelynek feladata a személyes adatok uniós intézmények és szervek általi feldolgozásának nyomon követése. E rendelet nem alkalmazandó azonban a személyes adatoknak az uniós intézmények és szervek olyan tevékenységei során történő feldolgozására, amelyek az uniós jog hatályán kívül esnek. (3)Az Unió 2016. április 27-én elfogadta az (EU) 2016/679 európai parlamenti és tanácsi rendeletet és az (EU) 2016/680 európai parlamenti és tanácsi irányelvet. A rendelet a természetes személyeknek a személyes adatok feldolgozásával kapcsolatos védelmére és a személyes adatok Unión belüli szabad áramlásának biztosítására vonatkozó általános szabályokat állapítja meg, az irányelv pedig a természetes személyeknek a személyes adatok feldolgozásával kapcsolatos védelmére, valamint a személyes adatok Unión belüli szabad áramlásának biztosítására vonatkozó különös szabályokat rögzíti a büntetőügyekben folytatott igazságügyi együttműködés és a rendőrségi együttműködés területén. (4)Az (EU) 2016/679 rendelet hangsúlyozza, hogy szükség van a 45/2001/EK rendelet kiigazítására annak érdekében, hogy az Unióban szilárd és koherens adatvédelmi keret álljon rendelkezésre, és ugyanakkor lehetővé váljék az (EU) 2016/679 rendelet alkalmazása. (5)A személyes adatok védelmének Unión belüli egységes megközelítése és a személyes adatok Unión belüli szabad áramlása érdekében a lehető legnagyobb mértékben összhangba kell hangolni az uniós intézményekre és szervekre vonatkozó adatvédelmi szabályokat a tagállamokban a közszektor számára elfogadott adatvédelmi szabályokkal. Amennyiben e rendelet rendelkezései ugyanazon az elven alapulnak, mint az (EU) 2016/679 rendelet rendelkezései, az érintett két rendelkezést egységesen kell értelmezni, különösen mivel e rendelet szerkezete az (EU) 2016/679 rendelet szerkezetével egyenértékűnek tekintendő.

(6)Védeni kell azok a személyeket, akiknek a személyes adatait az uniós intézmények és szervek bármilyen összefüggésben feldolgozzák, például azért, mert az említett intézmények és szervek alkalmazásában állnak. Ez a rendelet nem alkalmazandó az elhunyt személyek személyes adatainak feldolgozására. E rendelet hatálya nem terjed ki az olyan személyes adatkezelésre, amely jogi személyekre, illetve amely különösen olyan vállalkozásokra vonatkozik, amelyeket jogi személyként hoztak létre, beleértve a jogi személy nevét és formáját, valamint a jogi személy elérhetőségére vonatkozó adatokat. (7)Annak érdekében, hogy kiküszöbölhető legyen a szabályok kijátszásának komoly kockázata, a természetes személyek védelmének technológiailag semlegesnek kell lennie, és nem függhet a felhasznált technikai megoldásoktól. A természetes személyek védelme a személyes adatok automatizált eszközök útján végzett kezelése mellett a manuális kezelésre is vonatkozik, ha a személyes adatokat nyilvántartási rendszerben tárolják vagy kívánják tárolni. Olyan iratok, illetve iratok csoportjai, és azok borítóoldalai, amelyek nem rendszerezettek meghatározott szempontok szerint, nem tartoznak e rendelet hatálya alá. (8)A Lisszaboni Szerződést elfogadó kormányközi konferencia zárónyilatkozatához csatolt, a büntetőügyekben folytatott igazságügyi, valamint a rendőrségi együttműködés területén a személyes adatok védelméről szóló 21. sz. nyilatkozatban a konferencia elismerte, hogy az EUMSZ 16. cikke alapján a büntetőügyekben folytatott igazságügyi együttműködés és a rendőrségi együttműködés területén – e területek sajátos természetéből adódóan – a személyes adatok védelmére és a személyes adatok szabad áramlására vonatkozóan különös szabályok válhatnak szükségessé. Ez a rendelet ezért csak annyiban alkalmazandó a büntetőügyekben folytatott igazságügyi együttműködés és a rendőrségi együttműködés területén tevékenységet folytató uniós ügynökségekre, amennyiben az ilyen ügynökségekre alkalmazandó uniós jog nem tartalmaz a személyes adatok feldolgozására vonatkozó különös szabályokat. (9)Az (EU) 2016/680 irányelv harmonizált szabályokat állapít meg a bűncselekmények megelőzése, nyomozása, felderítése, vádeljárás lefolytatása vagy büntetőjogi szankciók végrehajtása céljából feldolgozott személyes adatok védelmére és szabad áramlására vonatkozóan, ideértve a közbiztonságot fenyegető veszélyekkel szembeni védelmet és e veszélyek megelőzését. Annak érdekében, hogy a természetes személyek számára jogi úton érvényesíthető jogok révén Unió-szerte azonos szintű védelmet biztosítsanak, valamint hogy megelőzzék a személyes adatoknak a büntetőügyekben folytatott igazságügyi együttműködés és a rendőrségi együttműködés területén folytatott tevékenységeket végző uniós ügynökségek és a tagállami illetékes hatóságok közötti cseréjét akadályozó eltéréseket, az ilyen uniós ügynökségek által feldolgozott, az operatív személyes adatok védelemére és szabad áramlására vonatkozó szabályoknak az e rendelet alapját képező elvekre kell épülniük, és összhangban kell állniuk az (EU) 2016/680 irányelvvel. (10)Amennyiben a Szerződés V. címe 4. és 5. fejezetének hatálya alá tartozó tevékenységeket végző uniós ügynökség alapító okirata önálló adatvédelmi rendszert hoz létre az operatív személyes adatok feldolgozására, e rendelet nem érinti az ilyen rendszereket. Mindazonáltal a Bizottságnak az (EU) 2016/680 irányelv 62. cikkével összhangban 2019. május 6-ig felül kell vizsgálnia azokat az uniós jogi aktusokat, amelyek a bűncselekmények megelőzése, nyomozása, felderítése, büntetőeljárás lefolytatása vagy büntetőjogi szankciók végrehajtása céljából az illetékes hatóságok általi feldolgozást szabályozzák, ideértve a közbiztonságot fenyegető veszélyekkel szembeni védelmet és e veszélyek megelőzését, valamint adott elő kell terjesztenie a szükséges javaslatokat az említett jogi aktusok módosítására a személyes adatoknak a büntetőügyekben folytatott igazságügyi együttműködés és a rendőrségi együttműködés területén való védelme következetes megközelítésének biztosítása érdekében. (11)Az adatvédelem elveit minden azonosított vagy azonosítható természetes személyre vonatkozó információ esetében alkalmazni kell. Az álnevesített személyes adatok, amelyeket további információ felhasználásával valamely természetes személlyel kapcsolatba lehet hozni, azonosítható természetes személyre vonatkozó adatnak kell tekinteni. Valamely természetes személy azonosíthatóságának meghatározásakor minden olyan módszert figyelembe kell venni – ideértve például a megjelölést –, amelyről észszerűen feltételezhető, hogy az adatkezelő vagy más személy a természetes személy közvetlen vagy közvetett azonosítására felhasználhatja. Annak meghatározásakor, hogy mely eszközökről feltételezhető észszerűen, hogy egy adott természetes személy azonosítására fogják felhasználni, az összes objektív tényezőt figyelembe kell venni, így például az azonosítás költségeit és időigényét, számításba véve az adatkezeléskor rendelkezésre álló technológiákat, és a technológia fejlődését. Az adatvédelem elveit ennek megfelelően az anonim információkra nem kell alkalmazni, nevezetesen olyan információkra, amelyek nem azonosított vagy azonosítható természetes személyre vonatkoznak, valamint az olyan személyes adatokra, amelyeket olyan módon anonimizáltak, amelynek következtében az érintett nem vagy többé nem azonosítható. Ez a rendelet ezért nem vonatkozik az ilyen anonim információk kezelésére, a statisztikai vagy kutatási célú adatkezelést is ideértve. (12)A személyes adatok álnevesítése csökkentheti az érintettek számára a kockázatokat, valamint segíthet az adatkezelőknek és az adatfeldolgozóknak abban, hogy az adatvédelmi kötelezettségeiknek eleget tegyenek. Az „álnevesítés” e rendeletbe történő kifejezett bevezetése nem irányul más adatvédelmi intézkedés kizárására. (13)A természetes személyek összefüggésbe hozhatók az általuk használt készülékek, alkalmazások, eszközök és protokollok által rendelkezésre bocsátott online azonosítókkal, például IP-címekkel és cookie-azonosítókkal, valamint egyéb azonosítókkal, például rádiófrekvenciás azonosító címkékkel. Ezáltal olyan nyomok keletkezhetnek, amelyek egyedi azonosítókkal és a szerverek által fogadott egyéb információkkal összekapcsolva felhasználhatók a természetes személyes profiljának létrehozására és az adott személy azonosítására. (14)Az adatkezelésre csak akkor kerülhet sor, ha az érintett egyértelmű megerősítő cselekedettel, például írásbeli – ideértve az elektronikus úton tett –, vagy szóbeli nyilatkozattal önkéntes, konkrét, tájékoztatáson alapuló és egyértelmű hozzájárulását adja a természetes személyt érintő személyes adatok kezeléséhez. Ilyen hozzájárulásnak minősül az is, ha az érintett valamely internetes honlap megtekintése során bejelöl egy erre vonatkozó négyzetet, az információs társadalommal összefüggő szolgáltatások igénybevétele során erre vonatkozó technikai beállításokat hajt végre, valamint bármely egyéb olyan nyilatkozat vagy cselekedet is, amely az adott összefüggésben az érintett hozzájárulását személyes adatainak tervezett kezeléséhez egyértelműen jelzi. A hallgatás, az előre bejelölt négyzet vagy a nem cselekvés ezért nem minősül hozzájárulásnak. A hozzájárulás az ugyanazon cél vagy célok érdekében végzett összes adatkezelési tevékenységre kiterjed. Ha az adatkezelés egyszerre több célt is szolgál, akkor a hozzájárulást az összes adatkezelési célra vonatkozóan meg kell adni. Ha az érintett hozzájárulását elektronikus felkérést követően adja meg, a felkérésnek egyértelműnek és tömörnek kell lennie, és nem gátolhatja szükségtelenül azon szolgáltatás igénybevételét, amely vonatkozásában a hozzájárulást kérik. (15)A személyes adatok kezelésének jogszerűnek és tisztességesnek kell lennie. A természetes személyek számára átláthatónak kell lennie, hogy a rájuk vonatkozó személyes adataikat hogyan gyűjtik, használják fel, azokba hogy tekintenek bele vagy milyen egyéb módon kezelik, valamint azzal összefüggésben, hogy a személyes adatokat milyen mértékben kezelik vagy fogják kezelni. Az átláthatóság elve megköveteli, hogy a személyes adatok kezelésével összefüggő tájékoztatás, illetve kommunikáció könnyen hozzáférhető és közérthető legyen, valamint hogy azt világosan és egyszerű nyelvezettel fogalmazzák meg. Ez az elv vonatkozik különösen az érintetteknek az adatkezelő kilétéről és az adatkezelés céljáról való tájékoztatására, valamint az azt célzó további tájékoztatásra, hogy biztosított legyen az érintett személyes adatainak tisztességes és átlátható kezelése, továbbá arra a tájékoztatásra, hogy az érintetteknek jogukban áll megerősítést és tájékoztatást kapni a róluk kezelt adatokról. A természetes személyt a személyes adatok kezelésével összefüggő kockázatokról, szabályokról, garanciákról és jogokról tájékoztatni kell, valamint arról, hogy hogyan gyakorolhatja az adatkezelés kapcsán megillető jogokat. A személyes adatkezelés konkrét céljainak mindenekelőtt explicit módon megfogalmazottaknak és jogszerűeknek, továbbá már a személyes adatok gyűjtésének időpontjában meghatározottaknak kell lenniük. A személyes adatoknak a kezelésük céljára alkalmasaknak és relevánsaknak kell lenniük, az adatok körét pedig a célhoz szükséges minimumra kell korlátozni. Ehhez pedig biztosítani kell különösen azt, hogy a személyes adatok tárolása a lehető legrövidebb időtartamra korlátozódjon. Személyes adatok csak abban az esetben kezelhetők, ha az adatkezelés célját egyéb eszközzel észszerű módon nem lehetséges elérni. Annak biztosítása érdekében, hogy a személyes adatok tárolása a szükséges időtartamra korlátozódjon, az adatkezelő törlési vagy rendszeres felülvizsgálati határidőket állapít meg. A pontatlan személyes adatok helyesbítése vagy törlése érdekében minden észszerű lépést meg kell tenni. A személyes adatokat olyan módon kell kezelni, amely biztosítja azok megfelelő szintű biztonságát és bizalmas kezelését, többek között annak érdekében, hogy megakadályozza a személyes adatokhoz és a személyes adatok kezeléséhez használt eszközökhöz való jogosulatlan hozzáférést, illetve azok jogosulatlan felhasználását. (16)Az elszámoltathatóság elvével összhangban, amennyiben az uniós intézmények és szervek személyes adatokat továbbítanak más uniós intézményeken vagy szerveken belül, meg kell vizsgálniuk, hogy e személyes adatok szükségesek-e a címzett hatáskörébe tartozó feladatok jogszerű teljesítéséhez, amennyiben a címzett nem része az adatkezelőnek. Különösen a címzettnek a személyes adatok továbbítására vonatkozó kérelmét követően az adatkezelőnek ellenőriznie kell a személyes adatok jogszerű feldolgozásának releváns okát, a címzett hatáskörét, és előzetesen el kell bírálnia az adatok továbbításának szükségességét. Ha a szükségességgel kapcsolatban kétségek merülnek fel, az adatkezelőnek további tájékoztatást kell kérnie a címzettől. A címzettnek gondoskodnia kell arról, hogy az adatok továbbításának szükségessége utóbb igazolható legyen. (17)Az adatfeldolgozás jogszerűsége érdekében a személyes adatok feldolgozásának azon a szükségszerűségen kell alapulnia, hogy az uniós intézmények és szervek ellássanak egy adott közérdekű feladatot vagy hivatalos hatáskörükben járjanak el, az adatkezelő eleget tegyen jogszabályi kötelezettségeinek, vagy annak egyéb jogszerű, e rendeletben említett alappal kell rendelkeznie, beleértve az érintett hozzájárulását vagy egy olyan szerződés teljesítésének szükségességét, amelyben az érintett félként részt vesz, vagy annak érdekében, hogy az érintett kérésére a szerződés megkötése előtt lépéseket lehessen tenni. Az uniós intézmények és szervek által a közérdekből végzett feladatok teljesítése érdekében végzett személyesadat-feldolgozás magában foglalja az ilyen intézmények és szervek irányításához és működéséhez szükséges személyes adatok feldolgozását is. Az adatkezelést szintén jogszerűnek kell tekinteni akkor, amikor az az érintett életének vagy más fent említett természetes személy érdekeinek védelmében történik. Más természetes személy létfontosságú érdekeire hivatkozással személyes adatkezelésre elvben csak akkor kerülhet sor, ha a szóban forgó adatkezelés egyéb jogalapon nem végezhető. A személyes adatkezelés néhány típusa szolgálhat egyszerre fontos közérdeket és az érintett létfontosságú érdekeit is, például olyan esetben, amikor az adatkezelésre humanitárius okokból – ideértve, ha arra a járványok és terjedéseik nyomon követéséhez, vagy humanitárius vészhelyzetben, különösen természeti vagy ember által okozott katasztrófák esetében – van szükség. (18)Az uniós jognak – ideértve az e rendeletben hivatkozott belső szabályokat – világosnak és pontosnak kell lennie, alkalmazásának pedig előreláthatónak kell lennie a hatálya alá tartozó személyek számára, az Európai Unió Bíróságának és az Emberi Jogok Európai Bíróságának az ítélkezési gyakorlatával összhangban. (19)A személyes adatoknak a gyűjtésük eredetitől eltérő egyéb célból történő kezelése csak akkor megengedett, ha az adatkezelés összeegyeztethető azokkal a célokkal, amelyekre a személyes adatokat eredetileg gyűjtötték. Ebben az esetben nincs szükség attól a jogalaptól eltérő, külön jogalapra, mint amely lehetővé tette a személyes adatok gyűjtését. Ha az adatkezelés közérdekből elvégzendő feladat végrehajtása vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlása érdekében szükséges, az uniós jog meghatározhatja és pontosan leírhatja azokat a feladatokat és célokat, amelyek tekintetében a további adatkezelés jogszerűnek és összeegyeztethetőnek tekintendő. A közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból folytatott további adatkezelést összeegyeztethető, jogszerű adatkezelési műveleteknek kell tekinteni. Az uniós jogban foglalt, a személyes adatok kezelésére vonatkozó jogalap a további adatkezeléshez is jogalapul szolgálhat. Annak megállapításához, hogy a további adatkezelés célja összeegyeztethető-e a személyes adatok gyűjtésének eredeti céljával, az adatkezelő – az eredeti adatkezelés jogszerűségére vonatkozó valamennyi előírás teljesítését követően – figyelembe veszi többek között a következőket: az említett eredeti célok és a tervezett további adatkezelési célok között fennálló bármely összefüggés; az adatgyűjtés körülményei és különösen az érintettnek a további adatfelhasználásra vonatkozó, az adatkezelővel fennálló kapcsolatán alapuló észszerű elvárásai; a személyes adatok jellege; az, hogy az érintettekre nézve milyen következményekkel járna az adatok tervezett további felhasználása; valamint a megfelelő garanciák megléte mind az eredeti, mind a tervezett további adatfeldolgozási műveletek során. (20)Ha az adatkezelés az érintett hozzájárulásán alapul, az adatkezelő számára lehetővé kell tenni, hogy bizonyítani tudja, hogy az adatkezelési művelethez az érintett hozzájárult. Különösen a más ügyben tett írásbeli nyilatkozattal összefüggésben garanciákkal szükséges biztosítani azt, hogy az érintett tisztában legyen azzal a ténnyel, hogy hozzájárulását adta, valamint azzal, hogy ezt milyen mértékben tette. A 93/13/EGK tanácsi irányelvnek megfelelően az adatkezelő előre megfogalmazott hozzájárulási nyilatkozatról gondoskodik, amelyet érthető és könnyen hozzáférhető formában bocsát rendelkezésre, nyelvezetének pedig világosnak és egyszerűnek kell lennie, és nem tartalmazhat tisztességtelen feltételeket. Ahhoz, hogy a hozzájárulás tájékoztatáson alapulónak minősüljön, az érintettnek tisztában kell lennie legalább az adatkezelő kilétével és a személyes adatok kezelésének céljával. A hozzájárulás megadása nem tekinthető önkéntesnek, ha az érintett nem rendelkezik valós vagy szabad választási lehetőséggel, és nem áll módjában a hozzájárulás anélküli megtagadása vagy visszavonása, hogy ez kárára válna. (21)A gyermekek személyes adatai különös védelmet érdemelnek, mivel ők kevésbé lehetnek tisztában a személyes adatok kezelésével összefüggő kockázatokkal, következményeivel és az ahhoz kapcsolódó garanciákkal és jogosultságokkal. E különleges védelmet különösen a gyermekekkel kapcsolatos személyi profilok létrehozására és személyes adatok gyűjtésére kell alkalmazni az uniós intézmények és szervek internetes oldalain közvetlenül gyermekeknek kínált szolgáltatások igénybevétele esetén, ideértve például az interperszonális kommunikációs szolgáltatásokat vagy az online jegyértékesítést, valamint azokat a helyzeteket, amikor a személyes adatok feldolgozása hozzájáruláson alapul. (22)Amennyiben az Unióban székhellyel rendelkező és az (EU) 2016/679 rendelet vagy az (EU) 2016/680 irányelv hatálya alá tartozó címzettek az uniós intézmények és szervek által számukra továbbított személyes adatokat szeretnének kapni, a címzettnek bizonyítania kell, hogy a továbbítás a céljának eléréséhez szükséges, arányos, és nem lépi túl az e cél eléréséhez szükséges mértéket. Az uniós intézményeknek és szerveknek – az átláthatóság elvének tiszteletben tartásával – bizonyítaniuk kell az adattovábbítás szükségességét, amikor azt ők maguk kezdeményezik. (23)Az alapvető jogok és szabadságok szempontjából a természetüknél fogva különösen érzékeny személyes adatok egyedi védelmet igényelnek, mivel az alapvető jogokra és szabadságokra nézve a kezelésük körülményei jelentős kockázatot hordozhatnak. Ilyen adatnak minősülnek a faji vagy etnikai származásra utaló személyes adatok is; e tekintetben megjegyzendő, hogy a „faji származás” kifejezés e rendelet keretében történő alkalmazása nem értelmezhető úgy, hogy az Unió elfogadja a különböző emberi fajok létezésének megállapítására törekvő elméleteket. A fényképek kezelését nem szükséges szisztematikusan különleges adatkezelésnek tekinteni, mivel azokra csak azokban az esetekben vonatkozik a biometrikus adatok fogalommeghatározása, amikor a természetes személy egyedi azonosítását vagy hitelesítését lehetővé tevő speciális eszközzel kezelik őket. Az érzékeny személyes adatok feldolgozására vonatkozó különös előírásokon kívül e rendelet általános elveit és egyéb szabályait kell alkalmazni, különösen a jogszerű adatkezelés feltételei tekintetében. A személyes adatok ilyen különleges kategóriáinak kezelésére vonatkozó általános tilalomtól való eltérésről kifejezetten rendelkezni kell, ideértve, ha az érintett egyértelmű hozzájárulását adja, vagy bizonyos sajátos adatkezelési szükségletekre tekintettel, különösen, ha az adatkezelést jogszerű tevékenységük keretében olyan egyesületek, illetve alapítványok végzik, amelyek célja az alapvető szabadságok gyakorlásának lehetővé tétele. (24)A népegészség területén közérdekből szükséges lehet a személyes adatok különleges kategóriáinak az érintett hozzájárulása nélkül történő kezelése. Az ilyen adatkezelés vonatkozásában a természetes személyek jogainak és szabadságainak védelme érdekében megfelelő és célzott intézkedéseket kell hozni. Ebben az összefüggésben a „népegészség” fogalmát az 1338/2008/EK európai parlamenti és tanácsi rendeletben meghatározottak szerint a következőképpen kell értelmezni: valamennyi, az egészséggel kapcsolatos elem, nevezetesen az egészségi állapot – beleértve a morbiditást és a fogyatékosságot –, az egészségi állapotot meghatározó tényezők, az egészségügyi ellátással kapcsolatos igények, az egészségügyi ellátásra biztosított források, az egészségügyi ellátás nyújtása és az ahhoz való általános hozzáférés, valamint az egészségügyi ellátással kapcsolatos kiadások és finanszírozás, továbbá a halálokok. Az egészségügyi adatok ilyen közérdekű kezelése nem eredményezheti a személyes adatok harmadik személyek általi kezelését más célokból. (25)Ha az adatkezelő által kezelt személyes adatok nem teszik lehetővé az adatkezelő számára valamely természetes személy azonosítását, akkor az adatkezelőt az érintett személyazonosságának megállapítása érdekben nem lehet további információk beszerzésére kötelezni annak érdekében, hogy az adatkezelő megfeleljen e rendelet valamely rendelkezésének. Az adatkezelő ugyanakkor nem utasíthatja vissza az érintett által a jogai gyakorlásának elősegítése érdekében nyújtott további információkat. Az azonosítás magában foglalja az érintettek például olyan hitelesítési mechanizmus révén történő digitális azonosítását, amelynek keretében az érintett ugyanazokat a belépési azonosító adatokat adja meg, amelyeket az adatkezelő által nyújtott online szolgáltatáshoz történő bejelentkezéshez használ.

(26)E rendelet alapján a személyes adatok közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból történő kezelésére az érintettek jogai és szabadságai tekintetében megfelelő garanciák vonatkoznak. Az említett garanciák biztosítják, hogy technikai és szervezési intézkedéseket hoztak különösen annak érdekében, hogy az adattakarékosság elve érvényesüljön. A személyes adatok közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból történő további kezelésére akkor kerülhet sor, ha az adatkezelő előzetesen felmérte, hogy ezek a célok megvalósíthatók olyan személyes adatok kezelésével, amelyek eleve nem vagy a továbbiakban már nem teszik lehetővé az érintettek azonosítását, feltéve hogy megfelelő garanciák állnak rendelkezésre (mint például a személyes adatok álnevesítése). Az uniós intézményeknek és szerveknek rendelkezniük kell az uniós jogon belüli megfelelő garanciákról a személyes adatok közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból történő kezelése tekintetében; ezek a garanciák belső szabályok is lehetnek. (27)Az érintettek e rendeletben biztosított jogainak gyakorlását megkönnyítő intézkedéseket kell biztosítani, ideértve olyan mechanizmusok biztosítását, amely által többek között az érintettnek lehetősége van díjmentesen kérelmezni, illetve adott esetben megkapni különösen a személyes adatokhoz való hozzáférést, azok helyesbítését és törlését, valamint gyakorolja a tiltakozáshoz való jogát. Az adatkezelő ennek megfelelően biztosítja a kérelmek elektronikus benyújtását lehetővé tevő eszközöket is, különösen, ha a személyes adatok kezelése elektronikus úton történik. Az adatkezelőt kötelezni kell arra, hogy az érintett kérelmére indokolatlan késedelem nélkül, de legkésőbb egy hónapon belül válaszoljon, és ha az adatkezelő az érintett bármely kérelmének nem tesz eleget, indokolnia kell azt. (28)A tisztességes és átlátható adatkezelés elve megköveteli, hogy az érintett tájékoztatást kapjon az adatkezelés tényéről és céljairól. Az adatkezelő azokat a további információkat is az érintett rendelkezésére bocsátja, amelyek a tisztességes és átlátható adatkezelés biztosításához szükségesek, figyelembe véve a személyes adatok kezelésének konkrét körülményeit és kontextusát. Az érintettet továbbá a profilalkotás tényéről és annak következményeiről tájékoztatni kell. Ha a személyes adatokat az érintettől gyűjtik, az érintettet arról is tájékoztatni kell, hogy köteles-e a személyes adatokat közölni, valamint hogy az adatszolgáltatás elmaradása milyen következményekkel jár. Ezeket az információkat szabványosított ikonokkal is ki lehet egészíteni annak érdekében, hogy az érintett a tervezett adatkezelésről jól látható, könnyen érthető és jól olvasható formában általános tájékoztatást kapjon. Amikor az ikonokat elektronikus formátumban jelenítik meg, azoknak géppel olvashatóknak kell lenniük. (29)Az érintettre vonatkozó személyes adatok kezelésével összefüggő tájékoztatást az adatgyűjtés időpontjában kell az érintett részére megadni, illetve ha az adatokat nem az érintettől, hanem más forrásból gyűjtötték, az ügy körülményeit figyelembe véve, észszerű határidőn belül kell rendelkezésre bocsátani. Ha a személyes adatok jogszerűen közölhetőek más címzettel, a címzettel történő első közléskor arról az érintettet tájékoztatni kell. Ha az adatkezelő a személyes adatokat a gyűjtésük eredeti céljától eltérő célból kívánja kezelni, a további adatkezelést megelőzően az érintettet erről az eltérő célról és minden egyéb szükséges tudnivalóról tájékoztatnia kell. Ha az adatkezelő nem tud tájékoztatást nyújtani az érintett részére a személyes adatok eredetéről, mivel azok különböző forrásokból származnak, általános tájékoztatást kell adni. (30)Az érintett jogosult arra, hogy hozzáférjen a rá vonatkozóan gyűjtött adatokhoz, valamint arra, hogy egyszerűen és észszerű időközönként, az adatkezelés jogszerűségének megállapítása és ellenőrzése érdekében gyakorolja e jogát. Ez magában foglalja az érintett jogát arra, hogy az egészségi állapotára vonatkozó személyes adatokhoz – mint például a diagnózis, a vizsgálati leletek, a kezelőorvosok véleményei, valamint a kezeléseket és a beavatkozásokat tartalmazó egészségügyi dokumentációk – hozzáférjen. Ezért minden érintett számára biztosítani kell a jogot arra, hogy megismerje különösen a személyes adatok kezelésének céljait, továbbá ha lehetséges, azt, hogy a személyes adatok kezelése milyen időtartamra vonatkozik, a személyes adatok címzettjeit, azt, hogy a személyes adatok automatizált kezelése milyen logika alapján történt, valamint azt, hogy az adatkezelés – legalább abban az esetben, amikor az profilalkotásra épül – milyen következményekkel járhat, továbbá hogy minderről tájékoztatást kapjon. Ez a jog nem érintheti hátrányosan mások jogait és szabadságait, beleértve az üzleti titkokat vagy a szellemi tulajdont, és különösen a szoftverek védelmét biztosító szerzői jogokat. Ezek a megfontolások mindazonáltal nem eredményezhetik azt, hogy az érintettől minden információt megtagadnak. Ha az adatkezelő nagy mennyiségű információt kezel az érintettre vonatkozóan, kérheti az érintettet, hogy az információk közlését megelőzően pontosítsa, hogy kérése mely információkra vagy mely adatkezelési tevékenységekre vonatkozik. (31)Az érintett jogosult arra, hogy kérhesse a rá vonatkozó személyes adatok helyesbítését és megilleti őt az „a személyes adatok tárolásának megszüntetéséhez való jog”, ha a szóban forgó adatok megőrzése sérti e rendeletet vagy olyan uniós jogot, amelynek hatálya az adatkezelőre kiterjed. Az érintett jogosult arra, hogy személyes adatait töröljék és a továbbiakban ne kezeljék, ha a személyes adatok gyűjtésére vagy más módon való kezelésére az adatkezelés eredeti céljaival összefüggésben már nincs szükség, vagy ha az érintettek visszavonták az adatok kezeléshez adott hozzájárulásukat, vagy ha személyes adataik kezelése egyéb szempontból nem felel meg e rendeletnek. Ez a jog különösen akkor lényeges, ha az érintett gyermekként adta meg hozzájárulását, amikor még nem volt teljes mértékben tisztában az adatkezelés kockázataival, később pedig el akarja távolítani a szóban forgó személyes adatokat, különösen az internetről. Az érintett e jogát gyakorolhatja akkor is, ha már nem gyermek. Ugyanakkor a személyes adatok további megőrzése jogszerűnek tekinthető, ha az a véleménynyilvánítás és a tájékozódás szabadságához való jog gyakorlása, valamely jogi kötelezettségnek való megfelelés, illetőleg közérdekből végzett feladat végrehajtása vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlása miatt, vagy a népegészségügy területét érintő közérdekből, közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból, vagy jogi igények előterjesztéséhez, érvényesítéséhez, illetve védelméhez szükséges. (32)Az elfeledtetéshez való jog online környezetben történő megerősítése érdekében a törléshez való jogot emellett oly módon szükséges kiterjeszteni, hogy a személyes adatokat nyilvánosságra hozó adatkezelőnek az ilyen személyes adatokat kezelő adatkezelőket tájékoztatnia kell arról, hogy töröljék a szóban forgó személyes adatokra mutató linkeket vagy e személyes adatok másolatát, illetve másodpéldányát. E tájékoztatás során az adatkezelőnek észszerű lépéseket kell tennie annak érdekében, hogy – figyelembe véve a rendelkezésre álló technológiát és a végrehajtás költségeit, ideértve a technikai intézkedések alkalmazását is – a személyes adatokat kezelő adatkezelők értesüljenek az érintett kéréséről. (33)A személyes adatok kezelésének korlátozására alkalmazott módszerek közé tartozhat többek között a szóban forgó személyes adatoknak egy másik adatkezelő rendszerbe történő ideiglenes áthelyezése vagy a felhasználók számára való hozzáférhetőségük megszüntetése, vagy egy honlapról az ott közzétett adatok ideiglenes eltávolítása. Az adatkezelés korlátozását az automatizált nyilvántartási rendszerekben alapvetően technikai eszközökkel kell biztosítani, oly módon, hogy a személyes adatokon további adatkezelési műveleteket ne végezzenek el és azokat ne lehessen megváltoztatni. Azt a tényt, hogy a személyes adatok kezelése korlátozott, egyértelműen jelezni kell a rendszerben. (34)Ha a személyes adatok kezelése automatizált módon történik, az érintettek számára – a saját adataik feletti rendelkezés további erősítése érdekében – lehetővé kell tenni azt is, hogy az általuk az adatkezelő rendelkezésére bocsátott, rájuk vonatkozó személyes adatokat tagolt, széles körben használt, géppel olvasható és interoperábilis formátumban megkapják, és azokat egy másik adatkezelő részére továbbítsák. Az adatkezelőket ösztönözni kell, hogy az adathordozhatóságot lehetővé tevő interoperábilis formátumokat fejlesszenek ki. Ez a jog abban az esetben gyakorolható, ha az érintett a személyes adatokat a hozzájárulása alapján bocsátotta rendelkezésre, illetve ha az adatkezelés szerződés teljesítéséhez szükséges. Ennélfogva nem gyakorolható különösen akkor, ha a személyes adatok kezelésére valamely, az adatkezelőre alkalmazandó jogi kötelezettség teljesítéséhez, illetve közérdekből vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlása keretében szükséges. Az érintett azon joga, hogy továbbítsa, illetve megkapja a rá vonatkozóan kezelt személyes adatokat, nem teremthet olyan kötelezettséget az adatkezelők számára, hogy egymással műszakilag kompatibilis adatkezelő rendszereket vezessenek be vagy tartsanak fenn. Ha egy adott személyes adatállomány egynél több érintettre vonatkozik, a személyes adatok megszerzéséhez való jog nem sértheti az egyéb érintettek e rendelet szerinti jogait. Ez a jog nem érinti továbbá az érintettnek jogát arra, hogy a személyes adatainak törlését elérje, sem pedig az e jogra vonatkozóan e rendeletben megállapított korlátozásokat, továbbá nem járhat különösen az érintettre vonatkozó olyan személyes adatok törlésével, amelyeket az érintett valamely szerződés teljesítése céljából bocsátott rendelkezésre, ha és ameddig a szóban forgó személyes adatokra szükség van az adott szerződés teljesítéséhez. Az érintett jogosult arra, hogy az adatokat az adatkezelők egymás között közvetlenül továbbítsák, ha ez technikailag megvalósítható. (35)Bármely érintett számára akkor is biztosítani kell a jogot arra, hogy az egyedi helyzetére vonatkozó adatok kezelése ellen tiltakozzon, ha a személyes adatok jogszerűen kezelhetők, mert az adatkezelésre közérdekből vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlása keretében végzett feladat végrehajtásához van szükség. Az adatkezelő bizonyítja, hogy az érintett érdekeivel vagy alapvető jogaival és szabadságaival szemben az ő kényszerítő erejű jogos érdeke elsőbbséget élvezhet. (36)Az érintett jogosult arra, hogy ne terjedjen ki rá olyan, kizárólag automatizált adatkezelésen alapuló – akár intézkedést is magában foglaló – döntés hatálya, amely a rá vonatkozó egyes személyes jellemzők kiértékelésén alapul, és amely rá nézve joghatással jár vagy őt hasonlóan jelentős mértékben érinti, mint például az emberi beavatkozás nélkül folytatott online munkaerő-toborzás. Ilyen adatkezelésnek minősül a „profilalkotás” is, vagyis a természetes személyekre vonatkozó személyes jellemzők bármilyen automatizált személyes adatok kezelése keretében történő kiértékelése, különösen az érintett munkahelyi teljesítményére, gazdasági helyzetére, egészségi állapotára, személyes preferenciáira vagy érdeklődési körökre, megbízhatóságra vagy viselkedésre, tartózkodási helyére vagy mozgására vonatkozó jellemzők elemzésére és előrejelzésére, ha az az érintettre nézve joghatással jár vagy őt hasonlóan jelentős mértékben érinti. Megengedhető azonban az efféle adatkezelésen – ideértve profilalkotást is – alapuló döntéshozatal, ha azt az olyan uniós jog kifejezetten engedélyezi. Az ilyen adatkezelés mindazonáltal csakis megfelelő garanciák mellett végezhető, amelybe beletartozik az érintett külön tájékoztatása és az ahhoz való joga, hogy emberi beavatkozást kérjen és kapjon, különösen hogy kifejtse álláspontját, hogy magyarázatot kapjon az ilyen értékelés alapján hozott döntésről és hogy megtámadja a döntést. Az ilyen intézkedés gyermekre nem vonatkozhat. Az érintett szempontjából tisztességes és átlátható adatkezelés biztosítása érdekében – az adatkezelés konkrét körülményeinek és kontextusának figyelembevételével – az adatkezelő a profilalkotáshoz megfelelő matematikai és statisztikai eljárásokat alkalmaz, olyan megfelelő technikai és szervezési intézkedéseket vezet be, amelyek biztosítják különösen az adatok pontatlanságát előidéző tényezők korrekcióját és a hibalehetőségek minimálisra csökkentését, továbbá a személyes adatok biztonságáról oly módon gondoskodik, amely az érintett érdekeit és jogait potenciálisan veszélyeztető tényezőket figyelembe veszi, és amely megakadályozza egyebek között az olyan hatások érvényesülését, amelyek a természetes személyek közötti hátrányos megkülönböztetést eredményeznek faji vagy etnikai származás, politikai vélemény, vallási vagy világnézeti meggyőződés, szakszervezeti tagság, genetikai vagy egészségi állapot, szexuális irányultság vagy nemi identitás alapján, illetve amelyek ilyen hatást kiváltó intézkedésekhez vezetnek. A személyes adatok különleges kategóriáit célzó automatizált döntéshozatal és profilalkotás csak bizonyos meghatározott feltételek mellett engedélyezhető. (37)A Szerződések vagy az uniós intézmények és szervek belső szabályai alapján elfogadott jogi aktusok olyan mértékig korlátozhatnak bizonyos elveket, a tájékoztatáshoz való jogot, a személyes adatokhoz való hozzáférési, helyesbítési és törlési jogot, az adathordozhatósághoz való jogot, az elektronikus hírközlési adatok titkosságát, az adatvédelmi incidens érintettel történő közlését, valamint az adatkezelők bizonyos kapcsolódó kötelezettségeit, amilyen mértékig ez egy demokratikus társadalomban szükségesnek és arányosnak tekinthető a közbiztonság védelme érdekében – beleértve az emberi élet védelmét különösen a természeti vagy ember okozta katasztrófákkal szemben, valamint a bűncselekmények megelőzését, kivizsgálását és üldözését, illetve a büntetőjogi szankciók végrehajtását és ezen belül többek között a közbiztonságot fenyegető veszélyekkel szembeni védelmet és e veszélyek megelőzését is –, továbbá az uniós intézmények és szervek belső biztonságát, az Unió vagy valamely tagállam általános közérdeket szolgáló egyéb fontos célkitűzéseit, különösen az Unió vagy valamely tagállam fontos gazdasági vagy pénzügyi érdekeit, az állami nyilvántartások vezetését a közérdek vagy az érintett védelme vagy mások jogainak és szabadságainak védelme érdekében, beleértve a szociális védelmet, a közegészségügyet és a humanitárius célokat. Amennyiben a Szerződések alapján vagy az uniós intézmények és szervek belső szabályai alapján elfogadott jogi aktusok ilyen korlátozásról nem rendelkeznek, az uniós intézmények és szervek abban az esetben írhatják elő bizonyos elvek és az érintett jogainak ad hoc korlátozását, ha a korlátozás tiszteletben tartja az alapvető jogok és szabadságok lényegét, és egy adott adatfeldolgozási művelet tekintetében az (1) bekezdésben említett egy vagy több célkitűzés megőrzéséhez egy demokratikus társadalomban szükségesnek és arányosnak tekinthető. A korlátozásról az adatvédelmi felelőst értesíteni kell. Valamennyi ilyen korlátozásnak tiszteletben kell tartania a Charta, valamint az emberi jogok és alapvető szabadságok védelméről szóló európai egyezmény rendelkezéseit. (38)A személyes adatoknak az adatkezelő által vagy az adatkezelő nevében végzett bármilyen jellegű kezelése tekintetében az adatkezelő hatáskörét és felelősségét szabályozni kell. Az adatkezelőt kötelezni kell különösen arra, hogy megfelelő és hatékony intézkedéseket hajtson végre, valamint hogy képes legyen igazolni azt, hogy az adatkezelési tevékenységek e rendeletnek megfelelnek, és az alkalmazott intézkedések hatékonysága is az e rendelet által előírt szintű. Ezeket az intézkedéseket az adatkezelés jellegének, hatókörének, körülményeinek és céljainak, valamint a természetes személyek jogait és szabadságait érintő kockázatnak a figyelembevételével kell meghozni. A természetes személyek jogait és szabadságait érintő – változó valószínűségű és súlyosságú – kockázatok származhatnak a személyes adatok kezeléséből, amelyek fizikai, vagyoni vagy nem vagyoni károkhoz vezethetnek, különösen, ha az adatkezelésből hátrányos megkülönböztetés, személyazonosság-lopás vagy személyazonossággal való visszaélés, pénzügyi veszteség, a jó hírnév sérelme, a szakmai titoktartási kötelezettség által védett személyes adatok bizalmas jellegének sérülése, az álnevesítés engedély nélkül történő feloldása, vagy bármilyen egyéb jelentős gazdasági vagy szociális hátrány fakadhat; vagy ha az érintettek nem gyakorolhatják jogaikat és szabadságaikat, vagy nem rendelkezhetnek saját személyes adataik felett; vagy ha olyan személyes adatok kezelése történik, amelyek faji vagy etnikai származásra, politikai véleményre, vallási vagy világnézeti meggyőződésre vagy szakszervezeti tagságra utalnak, valamint ha a kezelt adatok genetikai adatok, egészségügyi adatok vagy a szexuális életre, büntetőjogi felelősség megállapítására, illetve bűncselekményekre, vagy ezekhez kapcsolódó biztonsági intézkedésekre vonatkoznak; vagy ha személyes jellemzők értékelésére, így különösen munkahelyi teljesítménnyel kapcsolatos jellemzők, gazdasági helyzet, egészségi állapot, személyes preferenciák vagy érdeklődési körök, megbízhatóság vagy viselkedés, tartózkodási hely vagy mozgás elemzésére vagy előrejelzésére kerül sor személyes profil létrehozása vagy felhasználása céljából; vagy ha kiszolgáltatott személyek – és különösen gyermekek – személyes adatainak a kezelésére kerül sor; vagy ha az adatkezelés nagy mennyiségű személyes adat alapján zajlik, és nagyszámú érintettre terjed ki. Az érintett jogait és szabadságait érintő kockázat valószínűségét és súlyosságát az adatkezelés jellegének, hatókörének, körülményeinek és céljainak függvényében kell meghatározni. A kockázatot olyan objektív értékelés alapján kell felmérni, amelynek során szükséges megállapítani, hogy az adatkezelési műveletek kockázattal, illetve nagy kockázattal járnak-e. (39)A természetes személyeket személyes adataik kezelése tekintetében megillető jogok és szabadságok védelme megköveteli az e rendelet követelményeinek teljesítését biztosító megfelelő technikai és szervezési intézkedések meghozatalát. Ahhoz, hogy az adatkezelő igazolni tudja az e rendeletnek való megfelelést, olyan belső szakpolitikákat kell alkalmaznia, valamint olyan intézkedéseket kell végrehajtania, amelyek eleget tesznek különösen a beépített és az alapértelmezett adatvédelem elveinek. Az említett intézkedések magukban foglalhatják a személyes adatok kezelésének minimálisra csökkentését, a személyes adatok mihamarabbi álnevesítését, a személyes adatok funkcióinak és kezelésének átláthatóságát, valamint azt, hogy az érintett nyomon követhesse az adatkezelést, az adatkezelő pedig biztonsági elemeket hozhasson létre és továbbfejleszthesse azokat. A beépített és az alapértelmezett adatvédelem elveit a közbeszerzések során is figyelembe kell venni. (40)Az érintettek jogainak és szabadságainak védelme csakúgy, mint az adatkezelők és az adatfeldolgozók hatásköre és felelőssége megköveteli az e rendelet szerinti hatáskörök egyértelmű felosztását, ideértve azt az esetet is, amikor az adatkezelő más adatkezelőkkel közösen határozza meg az adatkezelés céljait és eszközeit, vagy amikor egy adatkezelő nevében végeznek adatkezelési műveletet. (41)Annak biztosítása érdekében, hogy az e rendeletben az adatfeldolgozó által az adatkezelő nevében elvégzendő adatkezelésre vonatkozóan előírt követelmények teljesüljenek, ha az adatkezelő adatfeldolgozót bíz meg az adatkezelési tevékenységek elvégzésével, csakis olyan adatfeldolgozókat vehet igénybe, amelyek megfelelő garanciákat nyújtanak – különösen a szakértelem, a megbízhatóság és az erőforrások tekintetében – arra vonatkozóan, hogy az e rendelet követelményeinek teljesülését biztosító technikai és szervezési intézkedéseket végrehajtják, ideértve az adatkezelés biztonságát is. Az uniós intézményektől és szervektől eltérő adatfeldolgozó kötelezettségei teljesítésének bizonyítására felhasználható, ha az adatfeldolgozó csatlakozik valamelyik jóváhagyott magatartási kódexhez vagy jóváhagyott tanúsítási mechanizmushoz. Az adatkezelés adatfeldolgozó általi elvégzését uniós vagy tagállami jog alapján létrejött szerződés vagy egyéb jogi aktus szabályozza, amely köti az adatfeldolgozót az adatkezelővel szemben, meghatározza az adatkezelés tárgyát és időtartamát, az adatkezelés jellegét és céljait, a személyes adatok típusát és az érintettek kategóriáit, figyelembe véve az adatfeldolgozóra az elvégzendő adatkezelés kapcsán háruló konkrét feladatokat és felelősségeket, valamint az érintett jogait és szabadságait érintő kockázatot is. Az adatkezelő és az adatfeldolgozó számára lehetővé kell tenni, hogy választhasson az egyedi szerződés vagy általános szerződési feltételek alkalmazása között, amelyeket vagy közvetlenül a Bizottság, vagy pedig az európai adatvédelmi biztos, majd a Bizottság fogadja el. Az adatkezelésnek az adatkezelő nevében való elvégzését követően az adatfeldolgozó az adatkezelő választása szerint visszaszolgáltatja vagy törli a személyes adatokat, kivéve, ha az adatfeldolgozóra alkalmazandó uniós vagy tagállami jog előírja azok tárolását. (42)Az e rendeletnek való megfelelés bizonyítása érdekében az adatkezelőnek nyilvántartást kell vezetnie a felelősségi körébe tartozó feldolgozási tevékenységekről, az adatfeldolgozónak pedig nyilvántartást kell vezetnie a felelősségi körébe tartozó feldolgozási tevékenységek kategóriáiról. Az uniós intézmények és szervek kötelesek együttműködni az európai adatvédelmi biztossal, és nyilvántartásaikat utóbbi kérésére hozzáférhetővé kell tenniük a számára, az érintett adatkezelési műveletek ellenőrzése érdekében. Az uniós intézményeknek és szerveknek képesnek kell lenniük a feldolgozási tevékenységeik központi nyilvántartásának létrehozására. Az átláthatóság érdekében lehetővé kell tenni számukra az ilyen nyilvántartás nyilvánosságra hozatalát is. (43)A biztonság fenntartása és az e rendeletet sértő adatkezelés megelőzése érdekében az adatkezelő vagy az adatfeldolgozó értékeli az adatkezelés természetéből fakadó kockázatokat, és az e kockázatok csökkentését szolgáló intézkedéseket, például titkosítást alkalmaz. Ezek az intézkedések biztosítják a megfelelő szintű biztonságot – ideértve a bizalmas kezelést is –, figyelembe véve a tudomány és technológia állását, valamint a végrehajtás kockázatokkal és a védelmet igénylő személyes adatok jellegével összefüggő költségeit. Az adatbiztonsági kockázat felmérése során a személyes adatok kezelése jelentette olyan kockázatokat – mint például a továbbított, tárolt vagy más módon kezelt személyes adatok véletlen vagy jogellenes megsemmisítése, elvesztése, megváltoztatása, jogosulatlan közlése vagy az azokhoz való jogosulatlan hozzáférés – mérlegelni kell, amelyek különösen fizikai, vagyoni vagy nem vagyoni károkhoz vezethetnek. (44)Az uniós intézményeknek és szerveknek biztosítaniuk kell az elektronikus kommunikáció titkosságát, a Charta 7. cikkének rendelkezéseivel összhangban. Az uniós intézményeknek és szerveknek biztosítaniuk kell különösen az elektronikus hírközlő hálózataik biztonságát, a nyilvánosan elérhető weboldalakhoz és mobil alkalmazásokhoz való hozzáférést biztosító végfelhasználói végberendezésekkel kapcsolatos információk védelemét az (EU) XXXX/XX rendelet [az új elektronikus hírközlési adatvédelmi rendelet] szerint, valamint a felhasználók telefonkönyvekben szereplő személyes adatainak védelmét.

(45) Az adatvédelmi incidens megfelelő és kellő idejű intézkedés hiányában fizikai, vagyoni vagy nem vagyoni károkat okozhat a természetes személyeknek. Következésképpen, amint az adatkezelő tudomására jut az adatvédelmi incidens, azt indokolatlan késedelem nélkül, és lehetőleg a tudomásszerzéstől számított legkésőbb 72 órán belül köteles bejelenteni az az európai adatvédelmi biztosnál, kivéve, ha az elszámoltathatóság elvével összhangban bizonyítani tudja, hogy az adatvédelmi incidens valószínűsíthetően nem jár kockázattal a természetes személyek jogaira és szabadságaira nézve. Ha a bejelentés 72 órán belül nem tehető meg, hozzá kell fűzni a késedelem okát, az információkat pedig további indokolatlan késedelem nélkül részletekben is közölni lehet. Amennyiben a késedelem indokolt, az incidensre vonatkozó kevésbé érzékeny vagy kevésbé konkrét információkat a lehető leghamarabb közölni kell, ahelyett, hogy a bejelentést megelőzően teljes mértékben megoldják az alapul szolgáló eseményt. (46)Az érintettet az adatkezelő indokolatlan késedelem nélkül tájékoztatja, ha az adatvédelmi incidens valószínűsíthetően magas kockázattal jár a természetes személy jogaira és szabadságaira nézve, annak érdekében, hogy megtehesse a szükséges óvintézkedéseket. A tájékoztatásnak tartalmaznia kell annak leírását, hogy milyen jellegű az adatvédelmi incidens, valamint az érintett természetes személynek szóló, a lehetséges hátrányos hatások enyhítését célzó javaslatokat. Az érintettek tájékoztatásáról az észszerűség keretei között a lehető leghamarabb gondoskodni kell, szorosan együttműködve az európai adatvédelmi biztossal, és betartva az általa vagy más érintett, például bűnüldöző hatóságok által adott útmutatást. (47)A 45/2001/EK rendelet általános kötelezettséget ír elő az adatkezelő számára, hogy értesítse az adatvédelmi tisztviselőt a személyes adatok feldolgozásáról, aki pedig nyilvántartást vezet a bejelentett adatfeldolgozási műveletekről. Ez a kötelezettség igazgatási és pénzügyi terhekkel jár, azonban nem minden esetben járul hozzá a személyes adatok védelmének javításához. Ezért ezeket a megkülönböztetés nélküli általános jellegű értesítési kötelezettségeket meg kell szüntetni és olyan hatékony eljárásokkal és mechanizmusokkal kell felváltani, amelyek az adatkezelési műveletek azon típusaira összpontosítanak, amelyek a jellegüknél, hatókörüknél, körülményeiknél és céljaiknál fogva a természetes személyek jogaira és szabadságaira nézve valószínűsíthetően magas kockázattal járnak. Az adatkezelési műveletek említett típusai közé tartozhatnak különösen azok, amelyek új technológiákat alkalmaznak, illetve amelyek új fajtájúak, és amelyek esetében az adatkezelő még nem végezte el az adatvédelmi hatásvizsgálatot, vagy amelyek esetében az adatvédelmi hatásvizsgálat az első adatkezelés óta eltelt időre tekintettel vált szükségessé. A természetes személyek jogaira és szabadságaira nézve magas kockázattal járó ilyen esetekben az adatkezelő – annak érdekében, hogy az adatkezelés jellegét, hatókörét, körülményeit és céljait, valamint a kockázat forrásait figyelembe véve felmérje a magas kockázat különös valószínűségét és súlyosságát – az adatkezelés előtt adatvédelmi hatásvizsgálatot végez. Ez a hatásvizsgálat magában foglalja különösen az említett kockázat mérséklését, a személyes adatok védelmét, valamint az e rendeletnek való megfelelés bizonyítását célzó tervezett intézkedéseket, garanciákat és mechanizmusokat. (48)Ha az adatvédelmi hatásvizsgálat azt jelzi, hogy a kockázat mérséklését célzó garanciák, biztonsági intézkedések és mechanizmusok hiányában az adatkezelés magas kockázattal járna a természetes személyek jogaira és szabadságaira nézve, és az adatkezelő véleménye alapján a kockázat nem mérsékelhető a rendelkezésre álló technológiák és a végrehajtási költségek szempontjából észszerű módon, akkor az adatkezelési tevékenység megkezdése előtt konzultálni kell az európai adatvédelmi biztossal. Valószínűsíthetően ilyen magas kockázattal járnak a személyes adatok kezelésének bizonyos típusai és az adatkezelés bizonyos mértéke és gyakorisága, amelyek emellett kárt is okozhatnak, illetve hátrányosan érinthetik a természetes személy jogait és szabadságait. Az európai adatvédelmi biztos meghatározott határidőn belül választ ad a konzultáció iránti megkeresésre. Amennyiben azonban az európai adatvédelmi biztos az említett határidőn belül nem reagál, az nem érinti az európai adatvédelmi biztosnak az e rendeletben megállapított feladataival és hatásköreivel összhangban álló bármely beavatkozását, az adatkezelési műveletek megtiltására vonatkozó hatáskörét is beleértve. E konzultációs eljárás során lehetővé kell tenni, hogy a szóban forgó adatkezelés tekintetében végzett adatvédelmi hatásvizsgálat eredményét – és különösen a természetes személyek jogait és szabadságait veszélyeztető kockázat mérséklésére szolgáló intézkedések tervezetét – benyújtsák az európai adatvédelmi biztosnak. (49)Az európai adatvédelmi biztost tájékoztatni kell az uniós intézmények és szervek azon közigazgatási intézkedéseiről és belső szabályairól, amelyek biztosítják a személyes adatok feldolgozását, megállapítják az érintettek jogainak korlátozására vonatkozó feltételeket, illetve megfelelő biztosítékokat nyújtanak az érintettek jogaira vonatkozóan, annak biztosítása érdekében, hogy a tervezett adatfeldolgozás megfeleljen e rendeletnek, és különösen az érintett kockázatainak csökkentése céljából. (50)Az (EU) 2016/679 rendelet létrehozta az európai adatvédelmi testületet mint jogi személyiséggel rendelkező, független uniós szervet. A testületnek hozzá kell járulnia az (EU) 2016/679 rendelet és az (EU) 2016/680 irányelv következetes alkalmazásához az Unió egész területén, többek a Bizottságnak biztosított tanácsadás révén. Ugyanakkor az európai adatvédelmi biztosnak továbbra is gyakorolnia kell felügyeleti és tanácsadói feladatait valamennyi uniós intézmény és szerv tekintetében, ideértve saját kezdeményezésére vagy kérésre történő fellépéseit is. Az adatvédelmi szabályok Unió-szerte való egységességének biztosítása érdekében kötelezővé kell tenni a Bizottsággal való konzultációt az EUMSZ 289., 290. és 291. cikkében meghatározott jogalkotási aktusok, felhatalmazáson alapuló jogi aktusok és végrehajtási aktusok elfogadását, valamint a harmadik országokkal és nemzetközi szervezetekkel kötendő megállapodásokra vonatkozó ajánlások és javaslatok az EUMSZ 218. cikke szerinti elfogadását követően, amelyek hatással vannak a személyes adatok védeleméhez való jogra. Ilyen esetekben a Bizottság köteles konzultálni az európai adatvédelmi biztossal, kivéve, ha az (EU) 2016/679 rendelet előírja az európai adatvédelmi testülettel folytatandó kötelező konzultációt, például a megfelelőségi határozatok vagy a szabványosított ikonokra vonatkozó felhatalmazáson alapuló jogi aktusok, valamint a tanúsítási mechanizmusokra vonatkozó követelmények esetében. Amennyiben a szóban forgó jogi aktus különös jelentőséggel bír az egyének jogainak és szabadságainak a személyes adatok feldolgozása tekintetében való védelme szempontjából, a Bizottságnak ezen túlmenően lehetőséget kell biztosítani az európai adatvédelmi testülettel való konzultációra. Ezek az esetekben az európai adatvédelmi biztosnak – az európai adatvédelmi testület tagjaként – össze kell hangolnia a munkáját az utóbbiéval azzal a céllal, hogy közös véleményt adjanak ki. Az európai adatvédelmi biztos és adott esetben az európai adatvédelmi testület nyolc héten belül benyújtja írásbeli tanácsát. Sürgős esetben vagy ha az egyéb okokból indokolt – például amikor a Bizottság felhatalmazáson alapuló jogi aktusokat és végrehajtási aktusokat készít – ezt az időkeretet le kell rövidíteni. (51)Minden egyes uniós intézménynél és szervnél adatvédelmi tisztviselőnek kell biztosítania e rendelet alkalmazását, valamint tanácsokkal kell ellátnia az adatkezelőket és adatfeldolgozókat a kötelezettségeik teljesítésével kapcsolatban. Ennek a tisztviselőnek olyan személynek kell lennie, aki szakértői ismeretekkel rendelkezik az adatvédelmi jog és gyakorlat terén, amelyek szintjét különösen az adatkezelő vagy az adatfeldolgozó által végzett adatkezelés, valamint az általuk kezelt személyes adatok tekintetében megkövetelt védelem alapján kell meghatározni. Az adatvédelmi tisztviselőnek függetlenül és hatékonyan kell ellátnia kötelezettségeit és feladatait. (52)A személyes adatoknak az uniós intézményektől vagy szervektől harmadik országbeli adatkezelőknek, adatfeldolgozóknak, egyéb címzetteknek vagy nemzetközi szervezetek részére történő továbbítása esetén nem sérülhet a természetes személyeknek az Unióban e rendelettel biztosított védelem szintje, és annak fenn kell maradnia az ilyen személyes adatoknak az adott harmadik országból vagy nemzetközi szervezettől ezt követően ugyanazon vagy másik harmadik országbeli adatkezelőnek, adatfeldolgozónak vagy nemzetközi szervezetnek történő újbóli továbbítása esetén is. A harmadik országokba és a nemzetközi szervezetekhez való továbbítás csak e rendelet teljes betartása mellett hajtható végre. A továbbításra akkor kerülhet csak sor, ha az adatkezelő vagy az adatfeldolgozó – e rendelet egyéb rendelkezéseire is figyelemmel – teljesíti az harmadik országok vagy nemzetközi szervezeteknek történő adattovábbításra vonatkozó, e rendeletben meghatározott feltételeket. (53)A Bizottság az (EU) 2016/679 rendelet 45. cikke értelmében eldöntheti, hogy valamely harmadik ország, a harmadik ország valamely területe vagy meghatározott ágazata, illetve valamely nemzetközi szervezet biztosítja-e a megfelelő szintű adatvédelmet. Amennyiben igen, az uniós intézmények és szervek minden további engedély beszerzése nélkül továbbíthatják a személyes adatokat az említett országokba vagy nemzetközi szervezetek részére. (54)Megfelelőségi határozat hiányában az adatkezelő vagy az adatfeldolgozó a megfelelő garanciák érintett számára való biztosítása útján gondoskodik az adatvédelem harmadik országbeli hiányosságainak ellensúlyozásáról. Ezek a megfelelő garanciák magukban foglalhatják a Bizottság által elfogadott általános adatvédelmi kikötések, az európai adatvédelmi biztos által elfogadott általános adatvédelmi kikötések vagy az európai adatvédelmi biztos által engedélye