KOMISIJOS ĮGYVENDINIMO REGLAMENTAS (ES) 2021/1772

2021 m. birželio 28 d.

pagal Europos Parlamento ir Tarybos reglamentą (ES) 2016/679 dėl tinkamos asmens duomenų apsaugos Jungtinėje Karalystėje

(pranešta dokumentu Nr. C(2021) 4800)

(Tekstas svarbus EEE)

EUROPOS KOMISIJA,

atsižvelgdama į Sutartį dėl Europos Sąjungos veikimo,

atsižvelgdama į 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamentą (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (toliau – Bendrasis duomenų apsaugos reglamentas) (1), ypač į jo 45 straipsnio 3 dalį,

kadangi:

1. ĮVADAS

(1) Reglamente (ES) 2016/679 nustatytos asmens duomenų perdavimo iš Europos Sąjungoje įsikūrusių duomenų valdytojų arba duomenų tvarkytojų į trečiąsias valstybes ir tarptautinėms organizacijoms taisyklės, susijusios su tomis duomenų perdavimo operacijomis, kurioms taikomas minėtas reglamentas. Tarptautinio duomenų perdavimo taisyklės yra nustatytos to reglamento V skyriuje, t. y. 44–50 straipsniuose. Nors asmens duomenų srautas į Europos Sąjungai nepriklausančias valstybes ir iš jų yra labai svarbus siekiant plėsti tarptautinį bendradarbiavimą ir tarpvalstybinę prekybą, Europos Sąjungoje užtikrinamas asmens duomenų apsaugos lygis negali sumažėti perduodant duomenis į trečiąsias valstybes (2).

(2) Pagal Reglamento (ES) 2016/679 45 straipsnio 3 dalį Komisija, priimdama įgyvendinimo aktą, gali nuspręsti, kad trečioji valstybė, teritorija arba vienas ar daugiau nurodytų sektorių toje trečiojoje valstybėje, arba tarptautinė organizacija užtikrina tinkamo lygio apsaugą. Tokiu atveju asmens duomenys į trečiąją valstybę gali būti perduodami nereikalaujant jokio papildomo leidimo, kaip nustatyta to reglamento 45 straipsnio 1 dalyje ir 103 konstatuojamojoje dalyje.

(3) Kaip nurodyta Reglamento (ES) 2016/679 45 straipsnio 2 dalyje, priimant sprendimą dėl tinkamumo, turi būti remiamasi išsamia trečiosios valstybės teisinės sistemos analize, susijusia ir su duomenų importuotojams taikomomis taisyklėmis, ir su apribojimais bei apsaugos priemonėmis, taikomomis valdžios institucijoms gaunant prieigą prie asmens duomenų. Savo vertinime Komisija privalo nustatyti, ar atitinkama valstybė garantuoja tokio lygio apsaugą, kuri yra „iš esmės lygiavertė“ Europos Sąjungoje užtikrinamai apsaugai (Reglamento (ES) 2016/679104 konstatuojamoji dalis). Standartai, kuriais remiantis vertinamas „esminis lygiavertiškumas“, yra nustatyti Europos Sąjungos teisės aktuose, visų pirma Reglamente (ES) 2016/679, taip pat Europos Sąjungos Teisingumo Teismo jurisprudencijoje (3). Šiuo atžvilgiu taip pat svarbią reikšmę turi Europos duomenų apsaugos valdybos (EDAV) tinkamumo pavyzdžiai (4).

(4) Kaip išaiškino Europos Sąjungos Teisingumo Teismas, šia nuostata nėra reikalaujama prieiti prie išvados, kad apsauga būtų identiško lygio (5). Visų pirma, priemonės, kurių gali imtis atitinkama trečioji valstybė, siekdama apsaugoti asmens duomenis, gali skirtis nuo Europos Sąjungoje taikomų priemonių, jeigu šios priemonės padeda veiksmingai užtikrinti praktinę tinkamo lygio apsaugą (6). Todėl tinkamumo standartu nereikalaujama papunkčiui atkartoti ES taisykles. Veikiau turi būti patikrinama, ar visoje užsienio sistemoje užtikrinamas reikiamas apsaugos lygis – teisių į duomenų apsaugą esmė, veiksmingas jų įgyvendinimas, priežiūra ir įgyvendinimo užtikrinimas (7).

(5) Komisija atidžiai išanalizavo Jungtinės Karalystės teisę ir praktiką. Remdamasi (8)–(270) konstatuojamosiose dalyse išplėtotomis išvadomis, Komisija daro išvadą, kad Jungtinė Karalystė užtikrina tinkamą asmens duomenų, pagal Reglamentą (ES) 2016/679 perduotų iš Europos Sąjungos į Jungtinę Karalystę, apsaugos lygį.

(6) Ši išvada nesusijusi su asmens duomenimis, perduotais Jungtinės Karalystės imigracijos kontrolės tikslais arba kitaip patenkančiais į tam tikrų duomenų subjektų teisių išimties taikymo sritį siekiant išlaikyti veiksmingą imigracijos kontrolę (imigracijos išimtis) pagal Jungtinės Karalystės duomenų apsaugos akto 2 priedo 4 straipsnio 1 dalį. Po 2021 m. gegužės 26 d. Anglijos ir Velso apeliacinio teismo sprendimo Jungtinės Karalystės teisėje nebuvo sureguliuotas imigracijos išimties galiojimas ir aiškinimas. Nors apeliacinis teismas pripažino, kad duomenų subjektų teisės iš esmės gali būti ribojamos imigracijos kontrolės tikslais, nes tai „svarbus viešojo intereso aspektas“, jis nustatė, kad dabartinė imigracijos išimtis yra nesuderinama su Jungtinės Karalystės teise, nes teisės akte nėra konkrečių nuostatų, kuriomis būtų nustatytos Jungtinės Karalystės Bendrojo duomenų apsaugos reglamento (JK BDAR) 23 straipsnio 2 dalyje išvardytos apsaugos priemonės (8). Tokiomis aplinkybėmis asmens duomenų perdavimas iš Sąjungos į Jungtinę Karalystę, jei jam gali būti pritaikyta imigracijos išimtis, turėtų nebūti įtrauktas į šio sprendimo taikymo sritį (9). Kai tik nesuderinamumas su Jungtinės Karalystės teise bus pašalintas, reikėtų iš naujo įvertinti imigracijos išimtį ir tai, ar reikia išlaikyti šio sprendimo taikymo srities apribojimą.

(7) Šis sprendimas neturėtų daryti poveikio tiesioginiam Reglamento (ES) 2016/679 taikymui Jungtinėje Karalystėje įsisteigusioms organizacijoms, jeigu įvykdomos to reglamento 3 straipsnyje nustatytos jo teritorinės taikymo srities sąlygos.

2. ASMENS DUOMENŲ TVARKYMUI TAIKOMOS TAISYKLĖS

2.1. Konstitucinė sistema

(8) Jungtinė Karalystė yra parlamentinė demokratija, kurios konstitucinis suverenas yra valstybės vadovas. Joje veikia suverenus parlamentas, kuris yra viršiausias tarp visų vyriausybės institucijų, įstatymų vykdomoji valdžia, kuri renkama iš parlamento narių ir yra jam atskaitinga, ir nepriklausoma teisminė valdžia. Įstatymų vykdomosios valdžios įgaliojimai kildinami iš to, kad ji pelnė išrinktų Bendruomenių Rūmų pasitikėjimą, ir ji yra atskaitinga abiem parlamento rūmams, kurie privalo prižiūrėti vyriausybės veiklą ir diskutuoti dėl įstatymų bei juos priimti.

(9) Jungtinės Karalystės Parlamentas atsakomybę priimti teisės aktus Škotijos, Velso ir Šiaurės Airijos vidaus klausimais perdavė Škotijos Parlamentui, Velso Parlamentui (Senedd Cymru) ir Šiaurės Airijos Asamblėjai, ir šios atsakomybės Jungtinės Karalystės Parlamentas sau nepasiliko. Nors duomenų apsauga yra išimtinis klausimas, t. y. tas pats teisės aktas taikomas visoje šalyje, kitos politikos sritys, susijusios su šiuo sprendimu, yra deleguotos. Pavyzdžiui, Škotijos ir Šiaurės Airijos baudžiamosios teisėsaugos sistemų, įskaitant policijos veiklą, klausimai yra perduoti atitinkamai Škotijos Parlamentui ir Šiaurės Airijos Asamblėjai. Jungtinė Karalystė neturi kodifikuotos konstitucijos, kuri būtų įtvirtinta konstituciniame dokumente. Konstituciniai principai vystėsi ilgą laiką, yra kildinami iš teismų praktikos, ypač papročių. Teismai pripažino konstitucinę tam tikrų statutų, pvz., Magna Carta, 1689 m. Teisių bilio ir 1998 m. Žmogaus teisių akto, svarbą. Pagrindinės asmenų teisės, kurios yra sudedamoji konstitucijos dalis, išplėtotos bendrojoje teisėje, minėtuose statutuose ir tarptautinėse sutartyse, visų pirma Europos žmogaus teisių konvencijoje, kurią Jungtinė Karalystė ratifikavo 1951 m. 1987 m. Jungtinė Karalystė taip pat ratifikavo Tarybos konvenciją dėl asmenų apsaugos ryšium su asmens duomenų automatizuotu tvarkymu (108-oji konvencija) (10).

(10) 1998 m. Žmogaus teisių aktu Europos žmogaus teisių konvencijoje nustatytos teisės perkeltos į Jungtinės Karalystės teisę. Žmogaus teisių aktu bet kuriam asmeniui suteikiamos Europos žmogaus teisių konvencijos 2–12 ir 14 straipsniuose, jos Pirmojo protokolo 1, 2 ir 3 straipsniuose ir jos Tryliktojo protokolo 1 straipsnyje (skaitant juos kartu su tos Konvencijos 16, 17 ir 18 straipsniais) nustatytos pagrindinės teisės ir laisvės. Šioms teisėms ir laisvėms taip pat priklauso teisė į privatų ir šeimos gyvenimą (ir teisė į duomenų apsaugą, kaip tos teisės sudedamoji dalis), taip pat teisė į teisingą bylos nagrinėjimą (11). Visų pirma pagal tos konvencijos 8 straipsnį valdžios institucija teisę į privatumą pagal įstatymą gali apriboti, kai tai būtina demokratinėje visuomenėje atsižvelgiant į valstybės saugumo, visuomenės apsaugos ar šalies ekonominės gerovės interesus, siekiant užkirsti kelią viešosios tvarkos pažeidimams ar nusikaltimams, taip pat apsaugoti žmonių sveikatą ar moralę arba kitų asmenų teises ir laisves.

(11) Pagal 1998 m. Žmogaus teisių aktą bet koks valdžios institucijų veiksmas turi derėti su Konvencijoje įtvirtinta teise (12). Be to, pirminiai teisės aktai ir poįstatyminiai teisės aktai turi būti skaitomi ir jie turi būti įgyvendinami su Konvencijoje nustatytomis teisėmis suderinamu būdu (13).

2.2. Jungtinės Karalystės duomenų apsaugos sistema

(12) 2020 m. sausio 31 d. Jungtinė Karalystė išstojo iš Europos Sąjungos. Pagal Susitarimą dėl Jungtinės Didžiosios Britanijos ir Šiaurės Airijos Karalystės išstojimo iš Europos Sąjungos ir Europos atominės energijos bendrijos (14), Sąjungos teisė toliau taikoma Jungtinei Karalystei pereinamuoju laikotarpiu iki 2020 m. gruodžio 31 d. Iki išstojimo ir pereinamuoju laikotarpiu asmens duomenų apsaugos teisės aktų sistemą Jungtinėje Karalystėje sudarė atitinkami ES teisės aktai (visų pirma Europos Parlamento ir Tarybos reglamentas (ES) 2016/679 ir Direktyva (ES) 2016/680 (15)) ir nacionalinės teisės aktai, visų pirma 2018 m. Duomenų apsaugos aktas (toliau – 2018 m. DAA) (16), kuriame Reglamente (ES) 2016/679 leistinais atvejais nustatytos nacionalinės taisyklės, kuriose nurodytos konkrečios Reglamento (ES) 2016/679 taikymo ir jo ribojimo taisyklės ir kuriomis į nacionalinę teisę buvo perkelta Direktyva (ES) 2016/680.

(13) Siekdama pasirengti išstojimui iš ES, Jungtinės Karalystės vyriausybė priėmė 2018 m. (išstojimo iš) Europos Sąjungos aktą (17), kuriuo į Jungtinės Karalystės teisę tiesiogiai perkeliami taikytini Sąjungos teisės aktai (18). Ši vadinamoji palikta galioti ES teisė apima visą Reglamentą (ES) 2016/679 (įskaitant jo konstatuojamąsias dalis) (19). Pagal tą aktą nepakeistą paliktą galioti ES teisę Jungtinės Karalystės teismai privalo aiškinti paisydami atitinkamos Europos Teisingumo Teismo jurisprudencijos ir bendrųjų Sąjungos teisės principų, nes jie galiojo prieš pat pereinamojo laikotarpio pabaigą (atitinkamai vadinama palikta galioti ES teise ir paliktais galioti bendraisiais ES teisės principais) (20).

(14) Pagal 2018 m. (išstojimo iš) Europos Sąjungos aktą Jungtinės Karalystės ministrai turi įgaliojimus įstatymų nustatytomis priemonėmis priimti antrinės teisės aktus, kad, atsižvelgdami į Jungtinės Karalystės išstojimo iš Europos Sąjungos pasekmes, atliktų būtinus paliktos galioti Europos Sąjungos teisės pakeitimus. Šiais įgaliojimais naudojamasi remiantis 2019 m. Duomenų apsaugos, privatumo ir elektroninių ryšių (su pakeitimais) (išstojimo iš ES) taisyklėmis (toliau – DAPER taisyklės) (21). Tomis taisyklėmis iš dalies keičiamas į Jungtinės Karalystės teisę pagal 2018 m. (išstojimo iš) Europos Sąjungos aktą, 2018 m. DAA ir kitus duomenų apsaugos teisės aktus perkeltas Reglamentas (ES) 2016/679, siekiant užtikrinti jo atitiktį vidaus aplinkybėms (22).

(15) Todėl asmens duomenų apsaugos teisinę sistemą Jungtinėje Karalystėje pasibaigus pereinamajam laikotarpiui sudaro: — Jungtinės Karalystės BDAR, įtrauktas į 2018 m. (išstojimo iš) Europos Sąjungos aktą, iš dalies pakeistas DAPER taisyklėmis (23), ir — 2018 m. DAA (24), iš dalies pakeistas DAPER taisyklėmis.

(16) Kadangi Jungtinės Karalystės BDAR yra grindžiamas ES teisės aktais, Jungtinės Karalystės duomenų apsaugos taisyklės daugeliu aspektų beveik sutampa su Europos Sąjungoje taikomomis atitinkamomis taisyklėmis.

(17) Be valstybės sekretoriaus įgaliojimų, kurie jam suteikti pagal 2018 m. (išstojimo iš) Europos Sąjungos aktą, keliose 2018 m. DAA nuostatose valstybės sekretoriui suteikti įgaliojimai priimti antrinės teisės aktus, kuriais iš dalies keičiamos tam tikros akto nuostatos arba nustatomos papildomos taisyklės (25). Valstybės sekretorius iki šiol pasinaudojo tik 2018 m. DAA 137 straipsniu suteiktais įgaliojimais priimti 2019 m. Duomenų apsaugos (mokesčiai ir informacija) (iš dalies pakeistas) taisykles, kuriose išdėstytos aplinkybės, kuriomis duomenų valdytojai privalo mokėti metinį mokestį nepriklausomai Jungtinės Karalystės duomenų apsaugos institucijai, t. y. informacijos komisarui.

(18) Galiausiai informacijos komisaro priimtuose praktikos kodeksuose ir kitose gairėse pateikiamos tolesnės rekomendacijos dėl Jungtinės Karalystės duomenų apsaugos teisės aktų. Nors šios rekomendacijos teisiškai neprivalomos, jos turi įtakos aiškinant nuostatas ir jose aptariama, kaip komisaras praktiškai taiko duomenų apsaugos teisės aktus ir užtikrina jų vykdymą. Visų pirma 2018 m. DAA 121–125 straipsniuose reikalaujama, kad komisaras parengtų dalijimosi duomenimis, tiesioginės rinkodaros, prie amžiaus pritaikyto dizaino ir duomenų apsaugos bei žurnalistikos praktikos kodeksus.

(19) Todėl Jungtinės Karalystės teisės sistema, kuri taikoma pagal šį sprendimą perduotiems duomenims, savo struktūra ir pagrindinėmis sudedamosiomis dalimis yra labai panaši į Europos Sąjungoje taikomą teisinę sistemą. Taip pat pažymėtina, kad šią teisinę sistemą sudaro ne tik pagal ES teisę suformuotos vidaus teisės normos, bet ir tarptautinėje teisėje nustatyti įpareigojimai, kurių Jungtinė Karalystė laikosi, visų pirma, pagal EŽTK ir 108-ąją konvenciją bei paklusdama Europos Žmogaus Teisių Teismo jurisdikcijai. Todėl šie įpareigojimai, kylantys iš teisiškai privalomų tarptautinių dokumentų, visų pirma susijusių su asmens duomenų apsauga, yra ypač svarbus šiame sprendime vertinamos teisinės sistemos aspektas.

2.3. Materialinė ir teritorinė taikymo sritis

(20) Panašiai kaip ir Reglamentas (ES) 2016/679, Jungtinės Karalystės BDAR taikomas visiškai arba iš dalies automatizuotomis priemonėmis arba kitaip tvarkomiems asmens duomenims, jeigu asmens duomenys yra duomenų rinkinio sudedamoji dalis (26). Jungtinės Karalystės BDAR vartojamų sąvokų „asmens duomenys“, „duomenų subjektas“ ir „duomenų tvarkymas“ apibrėžtys yra tapačios Reglamente (ES) 2016/679 pateiktoms analogiškų sąvokų apibrėžtims (27). Be to, Jungtinės Karalystės BDAR taikomas rankiniam nestruktūrizuotų asmens duomenų tvarkymui (28), kai šiuos duomenis laiko tam tikros Jungtinės Karalystės valdžios institucijos (29), nors Jungtinės Karalystės BDAR principai ir teisės, kurie nėra susiję su tokiais asmens duomenimis, netaikomi pagal 2018 m. DAA 24 ir 25 straipsnius. Panašiai, kaip numatyta Reglamente (ES) 2016/679, Jungtinės Karalystės BDAR netaikomas tais atvejais, kai asmens duomenis pavienis asmuo tvarko vykdydamas išimtinai asmeninę arba namų ūkio veiklą (30).

(21) Jungtinės Karalystės BDAR taip pat taikomas duomenų tvarkymui vykdant bet kokią veiklą, kuriai prieš pat pereinamojo laikotarpio pabaigą nebuvo taikoma Europos Sąjungos teisė (pvz., nacionalinis saugumas) (31), arba jai buvo taikomas Europos Sąjungos sutarties 5 antraštinės dalies 2 skyrius (Veikla bendros užsienio ir saugumo politikos srityje) (32). Kaip ir Europos Sąjungos sistemoje, Jungtinės Karalystės BDAR netaikomas asmens duomenų tvarkymui, kai tai daro kompetentinga institucija baudžiamųjų veikų prevencijos, tyrimo, nustatymo ar patraukimo baudžiamojon atsakomybėn už jas arba bausmių vykdymo tikslais, įskaitant apsaugą nuo grėsmių visuomenės saugumui ir tokių grėsmių prevenciją (tai vadinama teisėsaugos tikslais), – tokiu atveju duomenų tvarkymas reglamentuojamas pagal 2018 m. DAA 3 dalį arba pagal Direktyvą (ES) 2016/680 Europos Sąjungos teisėje, – arba asmens duomenų tvarkymui, kai tai daro žvalgybos tarnybos (Saugumo tarnyba, Slaptoji žvalgybos tarnyba ir Vyriausybės ryšių būstinė), – šiuo atveju taikoma 2018 m. DAA 4 dalis (33).

(22) Jungtinės Karalystės BDAR teritorinė taikymo sritis aprašyta jo 3 straipsnyje (34): ji apima asmens duomenų tvarkymą (nepaisant to, kur jis vyksta), duomenų valdytojo arba duomenų tvarkytojo buveinei vykdant veiklą Jungtinėje Karalystėje, taip pat Jungtinėje Karalystėje esančių duomenų subjektų asmens duomenų tvarkymą, kai duomenų tvarkymo veikla yra susijusi su prekių arba paslaugų siūlymu tokiems duomenų subjektams arba jų elgesio stebėsena (35). Tai atitinka Reglamento (ES) 2016/679 3 straipsnyje nustatytą požiūrį.

2.4. Asmens duomenų apibrėžtys ir duomenų valdytojo ir duomenų tvarkytojo sąvokos

(23) Asmens duomenų, duomenų tvarkymo, duomenų valdytojo, duomenų tvarkytojo, taip pat pseudoniminimo sąvokų apibrėžtys, kurios nustatytos Reglamente (ES) 2016/679, be esminių pakeitimų išlaikytos Jungtinės Karalystės BDAR (36). Be to, Jungtinės Karalystės BDAR 9 straipsnio 1 dalyje specialių kategorijų duomenys apibrėžiami taip pat kaip ir Reglamente (ES) 2016/679 („atskleidžian[tys] rasinę ar etninę kilmę, politines pažiūras, religinius ar filosofinius įsitikinimus ar narystę profesinėse sąjungose, taip pat tvarkyti genetinius duomenis, biometrinius duomenis, siekiant konkrečiai nustatyti fizinio asmens tapatybę, sveikatos duomenis arba duomenis apie fizinio asmens lytinį gyvenimą ir lytinę orientaciją“). 2018 m. DAA 205 straipsnyje nustatytos sąvokų „biometriniai duomenys (37)“, „sveikatos duomenys“ (38) ir „genetiniai duomenys“ (39) apibrėžtys.

2.5. Apsaugos priemonės, teisės ir prievolės

2.5.1. Duomenų tvarkymo teisėtumas ir sąžiningumas

(24) Asmens duomenys turėtų būti tvarkomi teisėtai ir sąžiningai.

(25) Teisėtumo, sąžiningumo ir skaidrumo principai ir teisėto duomenų tvarkymo pagrindai Jungtinės Karalystės teisėje garantuojami pagal Jungtinės Karalystės BDAR 5 straipsnio 1 dalies a punktą ir 6 straipsnio 1 dalį, kurie yra tapatūs atitinkamoms Reglamento (ES) 2016/679 nuostatoms (40). 2018 m. DAA 8 straipsnis papildo 6 straipsnio 1 dalies e punktą jame numatant, kad asmens duomenų tvarkymas pagal Jungtinės Karalystės 6 straipsnio 1 dalies e punktą (būtinas užduočiai, susijusiai su viešuoju interesu, atlikti arba duomenų valdytojui vykdant savo oficialius įgaliojimus) taip pat apima asmens duomenų tvarkymą, kai tai yra būtina teisingumui vykdyti, kurių nors parlamento rūmų funkcijai įvykdyti, asmeniui pagal priimtą įstatymą arba teisinės valstybės principą suteiktai funkcijai įvykdyti, Karalienės, Karalienės ministro arba vyriausybės departamento funkcijai įvykdyti, arba veiklai, kuria remiamas arba skatinamas demokratinis dalyvavimas, vykdyti.

(26) Dėl sutikimo (t. y. vieno iš teisėto duomenų tvarkymo pagrindų) pažymėtina, kad Jungtinės Karalystės BDAR taip pat išlaikytos nepakeistos Reglamento (ES) 2016/679 7 straipsnyje nustatytos sąlygos, t. y. duomenų valdytojas privalo sugebėti įrodyti, kad duomenų subjektas sutiko, rašytinis sutikimas turi būti pateiktas aiškia ir paprasta kalba, duomenų subjektas turi turėti teisę bet kuriuo metu atsisakyti savo sutikimo, o vertinant, ar sutikimas buvo duotas laisvai, reikėtų atsižvelgti į tai, kad sutarties įvykdymas priklauso nuo sutikimo tvarkyti asmens duomenis, kurie nėra būtini tai sutarčiai vykdyti. Be to, pagal Jungtinės Karalystės BDAR 8 straipsnį teikiant informacinės visuomenės paslaugas vaiko sutikimas yra teisėtas tik jeigu vaikas yra ne jaunesnis nei 13 metų. Tai atitinka Reglamento (ES) 2016/679 8 straipsnyje nustatytas amžiaus ribas.

2.5.2. Specialių kategorijų asmens duomenų tvarkymas

(27) Tais atvejais, kai tvarkomi „specialių kategorijų“ duomenys, turėtų būti taikomos konkrečios apsaugos priemonės.

(28) Jungtinės Karalystės BDAR ir 2018 m. DAA nustatytos konkrečios taisyklės dėl specialių kategorijų asmens duomenų tvarkymo, kurios Jungtinės Karalystės BDAR 9 straipsnio 1 dalyje apibrėžiamos taip pat kaip ir Reglamente (ES) 2016/679 (žr. (23) above konstatuojamąją dalį). Pagal Jungtinės Karalystės BDAR 9 straipsnį specialių kategorijų asmens duomenų tvarkymas iš esmės draudžiamas, išskyrus konkrečias taikomas išimtis.

(29) Šios išimtys (išvardytos Jungtinės Karalystės BDAR 9 straipsnio 2 ir 3 dalyse) iš esmės nesiskiria nuo Reglamento (ES) 2016/679 9 straipsnio 2 ir 3 dalyse nustatytų išimčių. Išskyrus atvejus, kai duomenų subjektas duoda aiškų sutikimą, kad jo asmens duomenys būtų tvarkomi, specialių kategorijų asmens duomenis tvarkyti leidžiama tik konkrečiomis ir ribotomis aplinkybėmis. Dažniausiai neskelbtinus duomenis turi būti būtina tvarkyti konkrečiu atitinkamoje nuostatoje nurodytu tikslu (žr. 9 straipsnio 2 dalies b, c, f, g, h, i ir j punktus).

(30) Be to, jeigu pagal Jungtinės Karalystės BDAR 9 straipsnio 2 dalyje nustatytą išimtį reikalaujama pagal įstatymą išduoto leidimo arba toje išimtyje pateikiama nuoroda į viešąjį interesą, 2018 m. DAA 10 straipsnyje kartu su 2018 m. DAA 1 priedu išsamiau apibūdinamos sąlygos, kurios turi būti įvykdytos norint remtis išimtimis. Pavyzdžiui, jeigu tvarkomi neskelbtini duomenys, siekiant apsaugoti „visuomenės sveikatą“ (Jungtinės Karalystės BDAR 9 straipsnio 2 dalies i punktas), pagal 1 priedo 1 dalies 3 straipsnio b punktą reikalaujama, kad, be būtinumo patikrinimo, tokius duomenis tvarkytų „sveikatos priežiūros specialistas arba jis už tai būtų atsakingas“ arba „kitas asmuo, kuriam taikoma konfidencialumo pareiga pagal priimtą įstatymą arba teisinės valstybės principą“, įskaitant nusistovėjusioje bendrojoje teisėje galiojančią konfidencialumo pareigą.

(31) Jeigu neskelbtini duomenys tvarkomi dėl esminio viešojo intereso (Jungtinės Karalystės BDAR 9 straipsnio 2 dalies g punktas, 2018 m. DAA 1 priedo 2 dalyje pateikiamas išsamus sąrašas tikslų, kurie gali būti laikomi esminiu viešuoju interesu, ir dėl kiekvieno iš šių tikslų nustatomos konkrečios papildomos sąlygos. Pavyzdžiui, rasinės ir etninės įvairovės tarp aukštesnio lygmens organizacijų vadovų skatinimas pripažįstamas esminiu viešuoju interesu. Neskelbtini duomenys šiuo konkrečiu tikslu tvarkomi laikantis išsamių reikalavimų, įskaitant tai, kad duomenys tvarkomi nustatant asmenis, kurie turi eiti vyresniųjų vadovų pareigas, juos tvarkyti būtina siekiant skatinti rasinę ir etninę įvairovę, ir mažai tikėtina, kad jie padarys didelę žalą arba sukels didelių nepatogumų duomenų subjektui.

(32) 2018 m. DAA 11 straipsnio 1 dalyje nustatytos sąlygos, kuriomis asmens duomenys turi būti tvarkomi atsižvelgiant į Jungtinės Karalystės BDAR 9 straipsnio 3 dalyje aprašytas aplinkybes, susijusias su profesine paslaptimi. Tai yra aplinkybės, kuriomis duomenis tvarko sveikatos priežiūros specialistas arba socialinis darbuotojas, arba kitas asmuo, kuris, atsižvelgiant į aplinkybes, privalo laikytis konfidencialumo pareigos pagal priimtą įstatymą arba teisinės valstybės principą, arba duomenys tvarkomi šių asmenų vardu.

(33) Be to, dauguma išimčių, išvardytų Jungtinės Karalystės BDAR 9 straipsnio 2 dalyje, gali būti taikomos tik nustačius tinkamas ir konkrečias apsaugos priemones. Priklausomai nuo duomenų tvarkymo pobūdžio ir duomenų subjektų teisėms ir laisvėms kylančio rizikos lygio, 2018 m. DAA 1 priede nustatytose duomenų tvarkymo sąlygose įtvirtintos skirtingos apsaugos priemonės. 1 priede paeiliui išvardijamos duomenų tvarkymo kiekvienu atveju sąlygos.

(34) Kai kuriais atvejais 2018 m. DAA reglamentuojama ir ribojama neskelbtinų duomenų, kuriuos galima tvarkyti remiantis konkrečiu teisiniu pagrindu, kurio privalu paisyti, rūšis. Pavyzdžiui, pagal 1 priedo 8 dalį neskelbtinus duomenis tvarkyti leidžiama siekiant skatinti vienodas galimybes arba elgesį. Ši duomenų tvarkymo sąlyga gali būti taikoma tik jeigu duomenys atspindi rasinę arba etninę kilmę, religinius arba filosofinius įsitikinimus, seksualinę orientaciją arba jeigu tai yra sveikatos duomenys.

(35) Kai kuriais atvejais pagal 2018 m. DAA apribojimai taikomi duomenų valdytojui, kuris gali naudotis duomenų tvarkymo sąlyga. Pavyzdžiui, 1 priedo 23 dalyje numatyta galimybė tvarkyti neskelbtinus duomenis, susijusius su išrinktų atstovų atsakymais visuomenei. Ši duomenų tvarkymo sąlyga gali būti taikoma tik jeigu duomenų valdytojas yra išrinktas atstovas arba veikia remdamasis jo įgaliojimais.

(36) Kai kuriais kitais atvejais pagal 2018 m. DAA apribojimai nustatomi toms duomenų kategorijoms, kurių tvarkymui turi būti taikoma tam tikra sąlyga. Pavyzdžiui, 1 priedo 21 dalyje reglamentuojamas neskelbtinų duomenų, susijusių su profesinėmis pensijų sistemomis, tvarkymas. Ši sąlyga gali būti taikoma tik jeigu atitinkamas duomenų subjektas yra sistemos dalyvio brolis (sesuo), tėvas (motina), senelis (senelė) arba prosenelis (prosenelė).

(37) Be to, jeigu duomenų valdytojas remiasi Jungtinės Karalystės BDAR 9 straipsnio 2 dalyje nustatytomis išimtimis, kurios išsamiau apibūdintos 2018 m. DAA 10 straipsnyje ir 2018 m. DAA 1 priede, jis dažniausiai privalo parengti „tinkamos politikos dokumentą“. Jame turi būti aprašytos duomenų valdytojo procedūros, kuriomis jis užtikrina atitiktį Jungtinės Karalystės BDAR 5 straipsnyje nustatytiems principams. Jis taip pat turi nustatyti duomenų saugojimo ir ištrynimo politiką ir nurodyti tikėtiną saugojimo laikotarpį. Duomenų valdytojai privalo, kai tinkama, peržiūrėti ir atnaujinti šį dokumentą. Duomenų valdytojas privalo laikyti politikos dokumentą šešis mėnesius po duomenų tvarkymo pabaigos ir privalo leisti su juo susipažinti informacijos komisarui, jei jis to prašo (41).

(38) Pagal 2018 m. DAA 1 priedo 41 straipsnį prie politikos dokumento visada turi būti pridedamas išsamus dokumentas apie duomenų tvarkymą. Šiame dokumente turi būti registruojama, kaip vykdomi politikos dokumente nustatyti įsipareigojimai, t. y. ar duomenys ištrinami ar saugomi pagal nustatytą politiką. Jeigu politika nebuvo vadovaujamasi, žurnale turi būti nurodomos to priežastys. Jame taip pat būtina aprašyti, kaip duomenų tvarkymas atitinka Jungtinės Karalystės BDAR 6 straipsnį (tvarkymo teisėtumas) ir 2018 m. DAA 1 priede nustatytą konkrečią sąlygą, kuria remiamasi.

(39) Galiausiai tiek Reglamente (ES) 2016/679, tiek Jungtinės Karalystės BDAR taip pat nustatytos bendrosios apsaugos priemonės, susijusios su tam tikromis specialių kategorijų duomenų tvarkymo operacijomis. Pagal Jungtinės Karalystės BDAR 35 straipsnį reikalaujama atlikti poveikio duomenų apsaugai vertinimą, jeigu dideliu mastu tvarkomi specialių kategorijų duomenys. Pagal Jungtinės Karalystės BDAR 37 straipsnį duomenų valdytojas arba duomenų tvarkytojas privalo paskirti duomenų apsaugos pareigūną, jeigu jo pagrindinė veikla yra susijusi su specialių kategorijų duomenų tvarkymu dideliu mastu.

(40) Dėl asmens duomenų, susijusių su apkaltinamaisiais nuosprendžiais ir nusikalstamomis veikomis, pažymėtina, kad Jungtinės Karalystės BDAR 10 straipsnis yra identiškas Reglamento (ES) 2016/679 10 straipsniui. Pagal jį asmens duomenis, susijusius su apkaltinamaisiais nuosprendžiais ir nusikalstamomis veikomis, leidžiama tvarkyti tik oficialiai institucijai kontroliuojant arba kai duomenis tvarkyti leidžiama pagal vidaus teisę, kurioje numatytos tinkamos duomenų subjektų teisių ir laisvių apsaugos priemonės.

(41) Jeigu duomenys, susiję su apkaltinamaisiais nuosprendžiais ir nusikalstamomis veikomis, tvarkomi oficialiai institucijai nevykdant kontrolės, 2018 m. DAA 10 straipsnio 5 dalyje numatyta, kad toks duomenų tvarkymas gali būti atliekamas tik konkrečiais tikslais / konkrečiomis aplinkybėmis, kaip nustatyta 2018 m. DAA 1 priedo 1, 2 ir 3 dalyse ir jeigu tokiam tvarkymui taikomi konkretūs reikalavimai, nustatyti dėl kiekvieno iš šių tikslų / aplinkybių. Pavyzdžiui, su apkaltinamaisiais nuosprendžiais susijusius duomenis gali tvarkyti ne pelno įstaigos, jeigu duomenis tvarko a) politinių, filosofinių, religinių ar profesinių sąjungų tikslų siekiantis fondas, asociacija ar kita pelno nesiekianti organizacija, vykdydami savo veiklą ir b) su sąlyga, kad taip tvarkomi tik i) tos organizacijos narių ar buvusių narių arba asmenų, kurie reguliariai palaiko ryšius su šia organizacija dėl jos siekiamų tikslų, duomenys ir ii) kad duomenys neperduodami už organizacijos ribų be duomenų subjektų sutikimo.

(42) Be to, 2018 m. DAA 1 priedo 3 dalyje nustatytos papildomos aplinkybės, kuriomis galima naudoti su apkaltinamaisiais nuosprendžiais susijusius duomenis ir kurios atitinka neskelbtinų duomenų tvarkymo teisėtus pagrindus pagal Reglamento (ES) 2016/679 9 straipsnio 2 dalį ir Jungtinės Karalystės BDAR (pvz., duomenų subjekto sutikimas, gyvybiškai svarbūs asmens interesai, jeigu duomenų subjektas teisiškai arba fiziškai negali duoti sutikimo, jeigu duomenų subjektas jau aiškiai paskelbė duomenis viešai, jeigu duomenis tvarkyti būtina siekiant pareikšti, vykdyti arba apginti teisinius reikalavimus ir pan.).

2.5.3. Tikslo apribojimo principas, tikslumas, duomenų kiekio mažinimas, saugojimo trukmės apribojimo principas ir duomenų saugumas

(43) Asmens duomenys turėtų būti tvarkomi konkrečiu tikslu ir vėliau naudojami tik tuo atveju, jei tai nėra nesuderinama su jų tvarkymo tikslu.

(44) Šis principas nustatytas Reglamento (ES) 2016/679 5 straipsnio 1 dalies b punkte ir be pakeitimų paliktas galioti Jungtinės Karalystės BDAR 5 straipsnio 1 dalies b punkte. Tolesnio suderinamo duomenų tvarkymo sąlygos pagal Reglamento (ES) 2016/679 6 straipsnio 4 dalį, neatlikus jokių esminių pakeitimų, taip pat išlaikytos Jungtinės Karalystės BDAR 6 straipsnio 4 dalies a–e punktuose.

(45) Be to, duomenys turėtų būti tikslūs ir prireikus atnaujinami. Duomenys taip pat turi būti tinkami, susiję ir nepertekliniai atsižvelgiant į tikslus, kuriais jie tvarkomi, ir iš esmės saugomi ne ilgiau nei tai būtina atsižvelgiant į tikslus, kuriais asmens duomenys tvarkomi.

(46) Šie duomenų kiekio mažinimo, tikslumo ir saugojimo trukmės apribojimo principai išdėstyti Reglamento (ES) 2016/679 5 straipsnio 1 dalies c–e punktuose ir be pakeitimų išlaikyti Jungtinės Karalystės BDAR 5 straipsnio 1 dalies c–e punktuose.

(47) Asmens duomenys taip pat turėtų būti tvarkomi taip, kad būtų užtikrintas jų saugumas, įskaitant apsaugą nuo neleistino ar neteisėto tvarkymo ir netyčinio praradimo, sunaikinimo ar sugadinimo. Todėl verslo subjektai turėtų imtis tinkamų techninių ir organizacinių priemonių, kad asmens duomenis apsaugotų nuo galimų grėsmių. Tokios priemonės turėtų būti įvertintos atsižvelgiant į techninių galimybių išsivystymo lygį ir susijusias sąnaudas.

(48) Duomenų saugumo reikalavimas Jungtinės Karalystės teisėje nustatytas atsižvelgiant į duomenų vientisumo ir konfidencialumo principą, kuris numatytas Jungtinės Karalystės BDAR 5 straipsnio 1 dalies f punkte ir Jungtinės Karalystės BDAR 32 straipsnyje dėl duomenų tvarkymo saugumo. Šios nuostatos yra tapačios atitinkamoms Reglamento (ES) 2016/679 nuostatoms. Be to, laikantis tų pačių sąlygų, kurios nustatytos Reglamento (ES) 2016/679 33 ir 34 straipsniuose, pagal Jungtinės Karalystės BDAR reikalaujama, kad apie asmens duomenų saugumo pažeidimą būtų pranešta priežiūros institucijai (Jungtinės Karalystės BDAR 33 straipsnis) ir kad pranešimas apie asmens duomenų saugumo pažeidimą taip pat būtų nusiųstas duomenų subjektui (Jungtinės Karalystės BDAR 34 straipsnis).

2.5.4. Skaidrumas

(49) Duomenų subjektai turėtų būti informuoti apie pagrindinius jų asmens duomenų tvarkymo aspektus.

(50) Tai užtikrinama pagal Jungtinės Karalystės BDAR 13 ir 14 straipsnius, kuriuose, be bendrojo skaidrumo principo, numatytos taisyklės dėl duomenų subjektams teikiamos informacijos (42). Jungtinės Karalystės BDAR nenustatyti jokie reikšmingi šių taisyklių pakeitimai, palyginti su atitinkamais Reglamento (ES) 2016/679 straipsniais. Vis dėlto, kitaip nei Reglamente (ES) 2016/679, šiuose straipsniuose nustatytiems skaidrumo reikalavimams taikomos kelios 2018 m. DAA nustatytos išimtys (žr. (55)–(72) konstatuojamąsias dalis).

2.5.5. Asmens teisės

(51) Duomenų subjektai turėtų turėti tam tikras teises, kurias būtų galima įgyvendinti duomenų valdytojo arba duomenų tvarkytojo atžvilgiu, visų pirma tai pasakytina apie teisę susipažinti su duomenimis, teisę nesutikti su duomenų tvarkymu ir teisę ištaisyti arba ištrinti duomenis. Be to, tokioms teisėms gali būti taikomi apribojimai, jeigu jie yra būtini ir proporcingi siekiant apsaugoti visuomenės saugumą arba siekiant kitų su bendruoju viešuoju interesu susijusių svarbių tikslų.

2.5.5.1. Esminės teisės

(52) Jungtinės Karalystės BDAR asmenims suteikiamos tokios pat įgyvendinamos teisės, kurios numatytos Reglamente (ES) 2016/679. Nuostatos, kuriose įtvirtintos asmenų teisės, Jungtinės Karalystės BDAR išlaikytos be jokių esminių pakeitimų.

(53) Tai yra duomenų subjekto teisė susipažinti su duomenimis (Jungtinės Karalystės BDAR 15 straipsnis), teisė reikalauti ištaisyti duomenis (Jungtinės Karalystės BDAR 16 straipsnis), teisė ištrinti duomenis (Jungtinės Karalystės BDAR 17 straipsnis), teisė apriboti duomenų tvarkymą (Jungtinės Karalystės BDAR 18 straipsnis), prievolė pranešti apie asmens duomenų ištaisymą ar ištrynimą arba duomenų tvarkymo apribojimą (Jungtinės Karalystės BDAR 19 straipsnis), teisė į duomenų perkeliamumą (Jungtinės Karalystės BDAR 20 straipsnis) ir teisė nesutikti (Jungtinės Karalystės BDAR 21 straipsnis) (43). Pastaroji teisė taip pat apima duomenų subjekto teisę nesutikti su asmens duomenų tvarkymu tiesioginės rinkodaros tikslais, kaip nustatyta Reglamento (ES) 2016/679 21 straipsnio 2 ir 3 dalyse. Be to, pagal 2018 m. DAA 122 straipsnį informacijos komisaras privalo parengti tiesioginės rinkodaros veiklos vykdymo pagal duomenų apsaugos teisės aktų (ir 2003 m. Privatumo ir elektroninių ryšių (EB direktyvos) taisykles) reikalavimus praktikos kodeksą ir kitas panašias gaires, kuriomis būtų skatinama geroji tiesioginės rinkodaros patirtis, kuri, komisaro manymu, yra tinkama. Informacijos komisaro biuras dabar rengia tiesioginės rinkodaros kodeksą (44).

(54) Duomenų subjekto teisė, kad jam nebūtų taikomas tik automatizuotu duomenų tvarkymu grindžiamas sprendimas, dėl kurio jam kyla teisinės pasekmės arba kuris jam panašiu būdu daro didelį poveikį, kaip nustatyta BDAR 22 straipsnyje, Jungtinės Karalystės BDAR taip pat palikta galioti be jokių esminių pakeitimų. Tačiau buvo įterpta nauja 3A dalis, kurioje nurodoma, kad 2018 m. DAA 14 straipsnyje išdėstytos duomenų subjektų teisių, laisvių ir teisėtų interesų, susijusių su duomenų tvarkymu pagal Jungtinės Karalystės BDAR 22 straipsnio 2 dalies b punktą, apsaugos priemonės. Ši taisyklė taikoma tik tais atvejais, kai tokio sprendimo pagrindas yra Jungtinės Karalystės teisėje nustatytas leidimas arba reikalavimas, ir ji negalioja, jeigu sprendimą būtina priimti pagal sutartį arba jis priimamas turint aiškų duomenų subjekto sutikimą. Jeigu taikomas 2018 m. DAA 14 straipsnis, duomenų valdytojas privalo kuo greičiau, kai tik tai pagrįstai įmanoma, raštu informuoti duomenų subjektą, kad buvo priimtas tik automatizuotu duomenų tvarkymu grindžiamas sprendimas. Duomenų subjektas turi teisę reikalauti, kad duomenų valdytojas per vieną mėnesį nuo pranešimo gavimo dienos persvarstytų sprendimą arba priimtų naują sprendimą, kuris nebūtų grindžiamas tik automatizuotu duomenų tvarkymu. Valstybės sekretorius turi įgaliojimus nustatyti papildomas apsaugos priemones, susijusias su automatizuotų sprendimų priėmimu. Šiais įgaliojimais dar nebuvo pasinaudota.

2.5.5.2. Asmens teisių apribojimai ir kitos nuostatos

(55) 2018 m. DAA nustatyta keletas pavienių teisių apribojimų, atitinkančių Jungtinės Karalystės BDAR 23 straipsnio sistemą. Pagal šią sistemą teisei nesutikti, kad duomenys būtų tvarkomi tiesioginės rinkodaros tikslais, kaip numatyta Jungtinės Karalystės BDAR 21 straipsnio 2 ir 3 dalyse, arba teisei, kad duomenų subjektui nebūtų taikomas automatizuotas sprendimų priėmimas, kaip numatyta Jungtinės Karalystės BDAR 22 straipsnyje, nenustatyti jokie apribojimai.

(56) Apribojimai išsamiai aprašyti 2018 m. DAA 2–4 prieduose. Jungtinės Karalystės institucijos paaiškino, kad jos taiko du principus: specifiškumo principą (laikomasi smulkmeniško požiūrio, apribojimus išskaidant į daugybę konkretesnių nuostatų) ir sąlygų taikymo principą (kiekvieną nuostatą papildo apsaugos priemonės, pagrįstos apribojimais arba sąlygomis, kuriomis siekiama užkirsti kelią piktnaudžiavimui) (45).

(57) Jungtinės Karalystės BDAR 23 straipsnio 1 dalyje aprašytų apribojimų paskirtis – užtikrinti, kad jie būtų taikomi tik konkrečiomis aplinkybėmis, kai tai yra būtina demokratinėje visuomenėje ir proporcinga jų siekiamam tikslui. Be to, pagal suformuotą jurisprudenciją dėl apribojimų aiškinimo duomenų apsaugos režimo išimtis bet kuriuo konkrečiu atveju gali būti taikoma, jeigu tai daryti yra būtina ir proporcinga (46). Reikalaujama, kad būtinumo patikrinimas būtų „griežtas, o bet koks subjekto teisių ribojimas turi būti proporcingas grėsmės viešajam interesui mastui. Todėl patikrinimo metu atliekama įprasta proporcingumo analizė (47)“.

(58) Tikslai, kurių siekiama šiais apribojimais, atitinka Reglamento (ES) 2016/679 23 straipsnyje išvardytus tikslus, išskyrus su nacionaliniu saugumu ir gynyba susijusius apribojimus, kurie vietoje to yra reglamentuojami 2018 m. DAA 26 straipsnyje, tačiau jiems taikomi tie patys būtinumo ir proporcingumo reikalavimai (žr. (63)–(66) konstatuojamąsias dalis).

(59) Kai kurie apribojimai, pvz., susiję su nusikaltimų prevencija arba nustatymu, nusikaltėlių sulaikymu ar baudžiamuoju persekiojimu, ir mokesčio arba rinkliavos dydžio nustatymu arba surinkimu (48), gali būti taikomi visoms asmenų teisėms ir skaidrumo įsipareigojimams (išskyrus 21 straipsnio 2 dalyje ir 22 straipsnyje nustatytas teises). Kiti apribojimai taikomi tik skaidrumo įsipareigojimams ir teisėms susipažinti su duomenimis, pvz., advokato teisei neatskleisti profesinės paslapties (49), teisei netaikyti reikalavimo pateikti informaciją, dėl kurios būtų duodami parodymai prieš save (50), ir įmonėms finansams, visų pirma prekybos pasinaudojant viešai neatskleista informacija prevencijai (51). Pagal keletą apribojimų leidžiama apriboti duomenų valdytojo pareigą pranešti duomenų subjektui apie duomenų apsaugos pažeidimą, taip pat tikslo apribojimo ir duomenų tvarkymo teisėtumo, sąžiningumo ir skaidrumo principus (52).

(60) Kai kurie apribojimai „visa apimtimi“ automatiškai taikomi tam tikros rūšies asmens duomenų tvarkymui (pvz., išimtis taikoma skaidrumo įsipareigojimams ir asmenų teisėms, jeigu asmens duomenys tvarkomi siekiant įvertinti, ar asmuo yra tinkamas eiti teisėjo pareigas, arba asmens duomenis tvarko bendrosios kompetencijos ar specializuotas teismas, arba asmuo, kuris veikia kaip teisėjas).

(61) Tačiau daugeliu atvejų 2018 m. DAA 2 priedo atitinkamoje dalyje konkrečiai nurodyta, kad apribojimas taikomas tik kai (ir tiek, kiek) nuostatų taikymas „galėtų pakenkti“ teisėtam tikslui, kurio siekiama tuo apribojimu: pvz., išvardytos Jungtinės Karalystės BDAR nuostatos netaikomos asmens duomenims, kurie tvarkomi nusikaltimų prevencijos ar nustatymo, nusikaltėlių sulaikymo ar baudžiamojo persekiojimo tikslais aura siekiant nustatyti mokesčio arba rinkliavos dydį ir ją surinkti „tiek, kiek tų nuostatų taikymas galėtų pakenkti“ bet kuriam iš šių tikslų (53).

(62) Sąvoką „galėtų pakenkti“, kuria nustatomas standartas, Jungtinės Karalystės teismai nuosekliai aiškino kaip reiškiančią „labai reikšmingą ir svarią galimybę pažeisti nustatytą viešąjį interesą“ (54). Todėl apribojimas vadovaujantis žalos kriterijumi gali būti pritaikytas tik tada ir tik tiek, kiek yra didelė ir reali tikimybė, kad tam tikros teisės suteikimas pakenktų viešajam interesui. Duomenų valdytojas yra atsakingas už tai, kad kiekvienu konkrečiu atveju būtų įvertinta, ar šios sąlygos yra tenkinamos (55).

(63) Be 2018 m. DAA 2 priede nustatytų apribojimų, 2018 m. DAA 26 straipsnyje numatyta išimtis, kurią galima taikyti tam tikroms Jungtinės Karalystės BDAR ir 2018 m. DAA nuostatoms, jeigu tą išimtį taikyti reikalinga nacionalinio saugumo arba gynybos tikslais. Ši išimtis taikoma duomenų apsaugos principams (išskyrus teisėtumo principą), skaidrumo įsipareigojimams, duomenų subjekto teisėms, prievolei pranešti apie duomenų saugumo pažeidimą, tarptautinio duomenų perdavimo taisyklėms, kai kurioms informacijos komisaro pareigoms ir įgaliojimams, taip pat taisyklėms dėl teisių gynimo priemonių, atsakomybės ir baudų, išskyrus nuostatą dėl administracinių baudų skyrimo bendrųjų sąlygų, kaip nustatyta Jungtinės Karalystės BDAR 83 straipsnyje, ir nuostatą dėl baudų, nustatytų Jungtinės Karalystės BDAR 84 straipsnyje. Be to, 2018 m. 28 straipsniu pakeičiamas 9 straipsnio 1 dalies taikymas, kad būtų sudarytos sąlygos tvarkyti Jungtinės Karalystės BDAR 9 straipsnio 1 dalyje nustatytų specialių kategorijų duomenis ir tai daryti tiek, kiek duomenys tvarkomi nacionalinio saugumo arba gynybos užtikrinimo tikslais ir nustatant tinkamas duomenų subjektų teisių ir laisvių apsaugos priemones (56).

(64) Išimtis gali būti taikoma tik tiek, kiek tai yra reikalinga nacionalinio saugumo arba gynybos užtikrinimo tikslais. Kadangi tą patį galima pasakyti apie kitas 2018 m. DAA nustatytas išimtis, duomenų valdytojas jas taikyti ir jomis remtis gali kiekvienu konkrečiu atveju. Be to, bet koks išimties taikymas turi atitikti žmogaus teisių standartus (grindžiamus 1998 m. Žmogaus teisių aktu), pagal kuriuos bet koks privatumo teisių ribojimas demokratinėje visuomenėje turėtų būti būtinas ir proporcingas (57).

(65) Tokį išimties aiškinimą patvirtino ir Informacijos komisaras, pateikęs išsamias gaires dėl nacionalinio saugumo ir gynybos išimties taikymo, kuriose aiškiai nurodyta, kad duomenų valdytojas turi įvertinti išimties taikymo poreikį kiekvienu konkrečiu atveju (58). Visų pirma gairėse pabrėžiama, kad „tai nėra bendra išimtis“ ir kad norint ja remtis, „nepakanka nurodyti, kad duomenys būtų tvarkomi nacionalinio saugumo tikslais“. Kita vertus, duomenų valdytojas, kuris išimtimi remiasi, privalo „įrodyti, kad yra reali neigiamo poveikio nacionaliniam saugumui galimybė“ ir, jei reikia, „turėtų pateikti [Informacijos komisarui] įrodymų, kodėl buvo pasinaudota šia išimtimi“. Gairėse pateikiamas kontrolinis sąrašas ir keletas pavyzdžių, kuriais siekiama išsamiau paaiškinti sąlygas, kuriomis galima taikyti šią išimtį.

(66) Todėl faktinė aplinkybė, kad duomenys tvarkomi nacionalinio saugumo arba gynybos tikslais, pati savaime nėra pakankama tam, kad būtų galima taikyti išimtį. Jei duomenų valdytojas turėjo laikytis konkrečios su duomenų apsauga susijusios nuostatos, jis privalo išnagrinėti faktines pasekmes nacionaliniam saugumui. Išimtis gali būti taikoma tik toms konkrečioms nuostatoms, kurios, kaip nustatyta, kelia riziką, ir jas būtina taikyti kuo griežčiau (59).

(67) Šį požiūrį patvirtino Informacijos specializuotas teismas (60). Sprendime Baker prieš Secretary of State for the Home Department (toliau – Sprendimas Baker prieš Secretary of State) jis nustatė, kad nacionalinio saugumo išimties, kaip bendros išimties, taikymas buvo neteisėtas. Vietoje to, išimtis turėjo būti taikoma kiekvienu konkrečiu atveju išnagrinėjant kiekvieną prašymą iš esmės ir atsižvelgiant į asmenų teisę į jų privataus gyvenimo gerbimą (61).

2.5.6. Žurnalistikos, akademiniais, meniniais ir literatūriniais, taip pat archyvavimo ir mokslinių tyrimų tikslais tvarkomų asmens duomenų apribojimai

(68) Pagal Jungtinės Karalystės BDAR 85 straipsnio 2 dalį leidžiama numatyti atvejus, susijusius su asmens duomenų tvarkymu žurnalistikos, akademiniais, meniniais ir literatūriniais tikslais, kuriems netaikomos kelios Jungtinės Karalystės BDAR nuostatos. 2018 m. DAA 2 priedo 5 dalyje nustatytos duomenų tvarkymo šiais tikslais išimtys. Joje numatytos duomenų apsaugos principų (išskyrus vientisumo ir konfidencialumo principą) išimtys, duomenų tvarkymo teisiniai pagrindai (įskaitant specialias duomenų kategorijas ir su apkaltinamaisiais nuosprendžiais susijusius duomenis ir pan.), sutikimo sąlygos, skaidrumo įpareigojimai, duomenų subjektų teisės, pareiga pranešti apie duomenų saugumo pažeidimus, reikalavimas konsultuotis su informacijos komisaru prieš pradedant tvarkyti su ypač didele rizika susijusius duomenis ir taisyklės dėl tarptautinio duomenų perdavimo (62). Šiuo atžvilgiu Jungtinės Karalystės BDAR iš esmės nenukrypstama nuo Reglamento (ES) 2016/679, kurio 85 straipsnyje taip pat numatyta galimybė žurnalistiniais tikslais arba akademinės, meninės ar literatūrinės saviraiškos tikslais tvarkomiems duomenims netaikyti kelių Reglamento (ES) 2016/679 reikalavimų. 2018 m. DAA nuostatos, ypač 2 priedo 5 dalis, yra suderinamos su Junginės Karalystės BDAR.

(69) Pagrindinė pusiausvyros nustatymo užduotis, kuri turi būti atlikta pagal Jungtinės Karalystės BDAR 85 straipsnį, yra susijusi su tuo, ar (68) konstatuojamojoje dalyje paminėtos duomenų apsaugos taisyklės yra „būtinos, kad teisė į asmens duomenų apsaugą būtų suderinta su saviraiškos ir informacijos laisve“ (63). Pagal 2018 m. DAA 2 priedo 26 straipsnio 2 ir 3 dalis Jungtinė Karalystė, siekdama nustatyti šią pusiausvyrą, taiko „pagrįsto įsitikinimo“ kriterijų. Kad išimtis būtų pateisinama, duomenų valdytojas privalo pagrįstai įsitikinti, kad i) paskelbimas atitinka viešąjį interesą ir ii) atitinkamos BDAR nuostatos taikymas būtų nesuderinamas su žurnalistiniais, akademiniais, meniniais arba literatūriniais tikslais. Kaip nustatyta teismų praktikoje (64), „pagrįsto įsitikinimo“ patikrinimas yra grindžiamas subjektyviu ir objektyviu aspektais: duomenų valdytojui nepakanka įrodyti, kad, jo manymu, nuostatos laikymasis buvo nesuderinamas. Jo įsitikinimas turi būti pagrįstas, t. y. taip galėtų manyti protingas asmuo, žinantis susijusias aplinkybes. Todėl duomenų valdytojas, formuodamas savo įsitikinimą, turėtų atlikti deramą patikrinimą ir taip įrodyti protingumą. Remiantis Jungtinės Karalystės institucijų pateiktais paaiškinimais, „pagrįsto įsitikinimo“ patikrinimas turi būti atliekamas dėl kiekvienos išimties (65). Jeigu sąlygos tenkinamos, laikoma, kad išimtis yra būtina ir proporcinga pagal Jungtinės Karalystės teisę.

(70) Pagal 2018 m. DAA 124 straipsnį informacijos komisaras privalo parengti Duomenų apsaugos ir žurnalistikos praktikos kodeksą. Šis kodeksas dabar rengiamas. Šiuo klausimu pagal 1998 m. Duomenų apsaugos aktą buvo paskelbtos gairės, kuriose visų pirma pažymima, kad, remiantis šia išimtimi, paprasčiausiai pakanka nurodyti, kad dėl nuostatos laikymosi kiltų nepatogumų žurnalistinei veiklai, tačiau šiuo atveju turi būti aiškus argumentas, kad atitinkama nuostata tampa kliuviniu atsakingai žurnalistikai (66). Jungtinės Karalystės telekomunikacijų reguliavimo institucija OFCOM ir BBC savo redakcinėse gairėse taip pat paskelbė viešojo intereso patikrinimo taikymo ir viešojo intereso suderinimo su asmeniniu privatumo interesu gaires (67). Gairėse visų pirma pateikiama informacijos, kuri gali būti laikoma atitinkanti viešąjį interesą, pavyzdžių ir paaiškinamas poreikis sugebėti įrodyti, kad viešasis interesas konkrečiomis bylos aplinkybėmis yra viršesnis už privatumo teises.

(71) Panašiai, kaip nurodyta BDAR 89 straipsnyje, archyvavimo tikslais, atsižvelgiant į viešąjį interesą, taip pat mokslinių arba istorinių tyrimų arba statistiniais tikslais tvarkomiems asmens duomenims taip pat gali būti taikomos įvairios Jungtinės Karalystės BDAR išvardytų nuostatų išimtys (68). Dėl mokslinių tyrimų ir statistinių duomenų pažymėtina, kad išimtis galima taikyti Jungtinės Karalystės BDAR nuostatoms, susijusioms su duomenų tvarkymo patvirtinimu, susipažinimu su duomenimis ir apsaugos priemonėmis, taikomomis duomenis perduodant į trečiąsias valstybes; teise reikalauti ištaisyti duomenis; duomenų tvarkymo apribojimu ir nesutikimu su duomenų tvarkymu. Dėl archyvavimo viešojo intereso labui pažymėtina, kad išimtis taip pat galima taikyti pareigai pranešti apie asmens duomenų ištaisymą arba ištrynimą, arba duomenų tvarkymo apribojimui ir teisei į duomenų perkeliamumą.

(72) Kaip nurodyta 2018 m. DAA 2 priedo 27 straipsnio 1 dalyje ir 28 straipsnio 1 dalyje, Jungtinės Karalystės BDAR išvardytų nuostatų išimtys yra pateisinamos, jeigu taikant nuostatas „būtų užkirstas kelias arba iš esmės pakenkta“ atitinkamo tikslo pasiekimui (69).

(73) Kadangi šių išimčių reikšmė užtikrinant veiksmingą asmens teisių įgyvendinimą yra didelė, vykdant nuolatinę šio sprendimo stebėseną bus deramai atsižvelgiama į visus svarbius pokyčius, susijusius su pirmiau minėtų išimčių (šalia išimties, susijusios su veiksmingos imigracijos kontrolės palaikymu, kaip paaiškinta 6 konstatuojamojoje dalyje) aiškinimu ir taikymu praktikoje , įskaitant bet kokius tolesnius teismų praktikos ir Informacijos komisaro gairių bei vykdymo užtikrinimo veiksmų pokyčius (70).

2.5.7. Tolesnio duomenų perdavimo ribojimas

(74) Asmens duomenims, perduodamiems iš Europos Sąjungos Jungtinės Karalystės duomenų valdytojams arba duomenų tvarkytojams, užtikrinamas apsaugos lygis neturėtų sumažėti tokius duomenis toliau perduodant gavėjams trečiojoje valstybėje. Toks „tolesnis perdavimas“, kuris Jungtinės Karalystės duomenų valdytojų arba duomenų tvarkytojų požiūriu laikomas tarptautiniu perdavimu iš Jungtinės Karalystės, turėtų būti leidžiamas tik tada, kai tolesniam gavėjui, esančiam už Jungtinės Karalystės ribų, taikomos taisyklės, kuriomis užtikrinama panašaus lygio apsauga kaip Jungtinės Karalystės teisinėje sistemoje. Dėl šios priežasties Jungtinės Karalystės BDAR ir 2018 m. DAA taisyklių dėl tarptautinio duomenų perdavimo taikymas yra svarbus veiksnys, siekiant užtikrinti apsaugos tęstinumą tuo atveju, kai asmens duomenys pagal šį sprendimą perduodami iš Europos Sąjungos į Jungtinę Karalystę.

(75) Asmens duomenų tarptautinio perdavimo iš Jungtinės Karalystės tvarka yra nustatyta Jungtinės Karalystės BDAR 44–49 straipsniuose, kaip papildyta 2018 m. DAA, kuri iš esmės yra tokia pat kaip Reglamento (ES) 2016/679 V skyriuje nustatyta tvarka (71). Asmens duomenys į trečiąją valstybę arba tarptautinei organizacijai gali būti perduodami tik remiantis tinkamumo taisyklėmis (Jungtinės Karalystės atitikmuo sprendimui dėl tinkamumo pagal Reglamentą (ES) 2016/679), arba, jeigu tinkamumo taisyklių nėra, duomenų valdytojui arba duomenų tvarkytojui numačius tinkamas apsaugos priemones pagal Jungtinės Karalystės BDAR 46 straipsnį. Jeigu nėra tinkamumo taisyklių arba tinkamų apsaugos priemonių, duomenys gali būti perduodami tik remiantis Jungtinės Karalystės BDAR 49 straipsnyje nustatytomis nukrypti leidžiančiomis nuostatomis.

(76) Valstybės sekretoriaus priimtose tinkamumo taisyklėse gali būti nustatyta, kad trečiojoje valstybėje (arba trečiosios valstybės teritorijoje arba sektoriuje), tarptautinėje organizacijoje arba tos valstybės, teritorijos, sektoriaus arba organizacijos aprašyme (72) užtikrinama tinkama asmens duomenų apsauga. Vertindamas apsaugos lygio tinkamumą, valstybės sekretorius privalo atsižvelgti į lygiai tuos pačius aspektus, kuriuos Komisija privalo įvertinti pagal Reglamento (ES) 2016/679 45 straipsnio 2 dalies a–c punktus, atsižvelgiant į tai, kaip jis išaiškintas Reglamento (ES) 2016/679104 konstatuojamojoje dalyje ir paliktoje galioti ES teismų praktikoje. Tai reiškia, kad vertinant trečiosios valstybės apsaugos lygio tinkamumą, bus taikomas atitinkamas standartas, susiję su tuo, ar ta atitinkama trečioji valstybė užtikrina apsaugos lygį, kuris yra „iš esmės lygiavertis“ Jungtinėje Karalystėje garantuojamai apsaugai.

(77) Kalbant apie procedūrą pažymėtina, kad tinkamumo taisyklėms taikomi „bendrieji“ procedūriniai reikalavimai, nustatyti 2018 m. DAA 182 straipsnyje. Pagal šią procedūrą valstybės sekretorius privalo konsultuotis su informacijos komisaru tais atvejais, kai siūloma priimti Jungtinės Karalystės tinkamumo taisykles (73). Valstybės sekretoriaus priimtos taisyklės pateikiamos parlamentui ir joms taikoma „neigiamos rezoliucijos“ procedūra, pagal kurią abeji parlamento rūmai gali tikrinti taisykles ir turi galimybę per 40 dienų priimti pasiūlymą dėl taisyklių panaikinimo (74).

(78) Pagal 2018 m. DAA 17B straipsnio 1 dalį tinkamumo taisyklės turi būti peržiūrimos ne rečiau kaip kas ketverius metus ir valstybės sekretorius privalo nuolat stebėti pokyčius trečiosiose valstybėse ir tarptautinėse organizacijose, kurie galėtų daryti poveikį sprendimams nustatyti tinkamumo taisykles arba jas iš dalies pakeisti ar panaikinti. Jeigu valstybės sekretorius sužino, kad nurodyta arba organizacija nebeužtikrina tinkamo asmens duomenų apsaugos lygio, jis privalo, kiek tai įmanoma, iš dalies pakeisti arba panaikinti taisykles ir pradėti konsultacijas su atitinkama trečiąja valstybe arba tarptautine organizacija, kad ištaisytų tinkamos apsaugos lygio trūkumą. Šie procedūriniai aspektai taip pat atsispindi atitinkamuose Reglamento (ES) 2016/679 reikalavimuose.

(79) Jeigu tinkamumo taisyklių nėra, tarptautiniai perdavimai gali vykti tais atvejais, kai duomenų valdytojas arba duomenų tvarkytojas pateikė tinkamas apsaugos priemones pagal Jungtinės Karalystės BDAR 46 straipsnį. Šios apsaugos priemonės yra panašios į numatytąsias Reglamento (ES) 2016/679 46 straipsnyje. Jos apima valdžios institucijoms ar įstaigoms teisiškai privalomas ir įgyvendinamas priemones, įmonėms privalomas taisykles (75), standartines duomenų apsaugos sąlygas, patvirtintus elgesio kodeksus, patvirtintus sertifikavimo mechanizmus ir duomenų valdytojų (arba duomenų tvarkytojų) tarpusavio sutarčių sąlygas arba valdžios institucijų administracines taisykles, kurias leido nustatyti informacijos komisaras. Tačiau taisyklės buvo pakeistos procedūriniu požiūriu, kad jos veiktų Jungtinės Karalystės sistemoje, visų pirma kad valstybės sekretorius (17C straipsnis) arba informacijos komisaras (119A straipsnis) pagal 2018 m. DAA galėtų patvirtinti standartines duomenų apsaugos sąlygas.

(80) Jeigu nėra sprendimo dėl tinkamumo arba tinkamų apsaugos priemonių, duomenys gali būti perduodami tik remiantis Jungtinės Karalystės BDAR 49 straipsnyje nustatytomis nukrypti leidžiančiomis nuostatomis (76). Jungtinės Karalystės BDAR nenustatyti jokie reikšmingi šių nukrypti leidžiančių nuostatų pakeitimai, palyginti su atitinkamomis Reglamento (ES) 2016/679 taisyklėmis. Pagal Jungtinės Karalystės BDAR, kaip ir pagal Reglamentą (ES) 2016/679, tam tikromis nukrypti leidžiančiomis nuostatomis galima remtis tik jeigu duomenys perduodami retkarčiais (77). Be to, savo gairėse dėl tarptautinių perdavimų informacijos komisaras paaiškina, kad: „Šias nuostatas turėtumėte naudoti kaip tikras bendrosios taisyklės, pagal kurią neturėtumėte atlikti apriboto perdavimo, „išimtis“, išskyrus atvejus, kai tokiam perdavimui taikomas sprendimas dėl tinkamumo arba galioja nustatytos tinkamos apsaugos priemonės“ (78). Dėl perdavimų, kurie yra būtini atsižvelgiant į svarbias su viešuoju interesu susijusias priežastis (49 straipsnio 1 dalies d punktas), valstybės sekretorius gali priimti taisykles, kuriose nurodo konkrečias aplinkybes, kuriomis asmens duomenų į trečiąją valstybę arba tarptautinei organizacijai perduoti nebūtina dėl svarbių su viešuoju interesu susijusių priežasčių. Be to, valstybės sekretorius taisyklėmis gali riboti į trečiąją valstybę arba tarptautinei organizacijai perduodamų asmens duomenų kategoriją, jeigu perdavimo negalima atlikti remiantis tinkamumo taisyklėmis ir jeigu valstybės sekretorius mano, kad apribojimas yra būtinas atsižvelgiant į svarbias priežastis, susijusias su viešuoju interesu. Iki šiol tokios taisyklės dar nepriimtos.

(81) Ši tarptautinių perdavimų sistema pradėta taikyti pasibaigus pereinamajam laikotarpiui (79). Tačiau 2018 m. DAA 21 priedo 4 dalyje (nustatytoje DAPER taisyklėmis) numatyta, kad pereinamojo laikotarpio pabaigoje laikoma, kad tam tikri asmens duomenų perdavimai yra pagrįsti tinkamumo taisyklėmis. Tai yra perdavimai į EEE valstybę, Gibraltaro teritoriją, Sąjungos institucijai, įstaigai, biurui arba agentūrai, įsteigtai pagal ES sutartį arba ja remiantis, ir į trečiąsias valstybes, kurioms pereinamojo laikotarpio pabaigoje buvo taikomas ES sprendimas dėl tinkamumo. Todėl perdavimai į šias valstybes gali būti toliau atliekami tokia pat tvarka, kaip iki Jungtinės Karalystės išstojimo iš ES. Pasibaigus pereinamajam laikotarpiui, valstybės sekretorius privalo per ketverių metų terminą, t. y. iki 2024 m. gruodžio mėn. pabaigos, peržiūrėti šias išvadas dėl tinkamumo. Kaip nurodyta Jungtinės Karalystės institucijų pateiktame paaiškinime, nors valstybės sekretorius tokią peržiūrą turi atlikti iki 2024 m. gruodžio mėn. pabaigos, į pereinamojo laikotarpio nuostatas laikino galiojimo sąlyga neįtraukta, todėl, jeigu peržiūra iki 2024 m. gruodžio mėn. pabaigos nebus užbaigta, atitinkamos pereinamojo laikotarpio nuostatos savaime nenustos galioti.

(82) Galiausiai, kalbant apie būsimą Jungtinės Karalystės tarptautinio perdavimo režimo raidą – priimant naujas tinkamumo taisykles, sudarant tarptautinius susitarimus arba plėtojant kitus perdavimo mechanizmus – Komisija atidžiai stebės padėtį ir vertins, ar įvairūs perdavimo mechanizmai naudojami visais atvejais užtikrinant reikiamą apsaugą, ir, jei ji užtikrinama nenuosekliai, prireikus imsis atitinkamų priemonių galimam neigiamam poveikiui pašalinti (žr. (278)–(287) konstatuojamąsias dalis). Kadangi ES ir Jungtinė Karalystė taiko panašias tarptautinio duomenų perdavimo taisykles, manoma, kad problemų taip pat būtų galima išvengti bendradarbiaujant, keičiantis informacija ir dalijantis patirtimi, be kita ko, tarp Informacijos komisaro ir EDAV.

2.5.8. Atskaitomybė

(83) Pagal atskaitomybės principą duomenis tvarkantys subjektai privalo nustatyti tinkamas technines ir organizacines priemones, kad veiksmingai laikytųsi savo duomenų apsaugos prievolių ir galėtų įrodyti (visų pirma kompetentingai priežiūros institucijai), kad jų laikosi.

(84) Reglamente (ES) 2016/679 numatytas atskaitomybės principas buvo paliktas galioti Jungtinės Karalystės BDAR 5 straipsnio 2 dalyje be jokių esminių pakeitimų, be to, tas pats pasakytina apie 24 straipsnį dėl duomenų valdytojo atsakomybės, 25 straipsnį dėl pritaikytosios ir standartizuotosios duomenų apsaugos ir 30 straipsnį dėl duomenų tvarkymo veiklos įrašų. Taip pat palikti galioti 35 ir 36 straipsniai dėl poveikio duomenų apsaugai vertinimo ir išankstinių konsultacijų su priežiūros institucija. Reglamento (ES) 2016/679 37–39 straipsniai dėl duomenų apsaugos pareigūnų paskyrimo ir užduočių Jungtinės Karalystės BDAR palikti galioti be jokių esminių pakeitimų. Be to, Reglamento (ES) 2016/679 40 ir 42 straipsnių dėl elgesio kodeksų ir sertifikavimo nuostatos buvo paliktos galioti Jungtinės Karalystės BDAR (80).

2.6. Priežiūra ir vykdymo užtikrinimas

2.6.1. Nepriklausoma priežiūra

(85) Siekiant užtikrinti, kad tinkamas duomenų apsaugos lygis būtų užtikrinamas praktiškai, reikalinga nepriklausoma priežiūros institucija, kuriai suteikti įgaliojimai stebėti, kaip laikomasi duomenų apsaugos taisyklių, ir užtikrinti, kad jų būtų laikomasi. Atlikdama savo pareigas ir naudodamasi savo įgaliojimais ši institucija turėtų veikti visiškai nepriklausomai ir nešališkai.

(86) Jungtinėje Karalystėje informacijos komisaras atsako už Jungtinės Karalystės BDAR ir 2018 m. DAA priežiūrą ir vykdymo užtikrinimą. Informacijos komisaras yra vienasmenis subjektas – atskiras juridinis asmuo, kurį sudaro vienas fizinis asmuo. Informacijos komisarui dirbti padeda biuras. 2020 m. kovo 31 d. Informacijos komisaro biure dirbo 768 nuolatiniai darbuotojai (81). Informacijos komisarui padeda Skaitmeninių, kultūros, žiniasklaidos ir sporto reikalų departamentas (82).

(87) Komisaro nepriklausomumas aiškiai nustatytas Jungtinės Karalystės BDAR 52 straipsnyje, kuris, palyginti su BDAR 52 straipsnio 1–3 dalimis, iš esmės nepakeistas. Vykdydamas savo užduotis ir įgyvendindamas savo įgaliojimus pagal Jungtinės Karalystės BDAR, komisaras privalo veikti visiškai nepriklausomai, išlikti nepriklausomas nuo tiesioginės ar netiesioginės išorės įtakos, atsižvelgiant į tas užduotis ir įgaliojimus, taip pat neturėtų siekti gauti nurodymų iš kokių nors asmenų ar jais vadovautis. Komisaras taip pat privalo neatlikti jokių veiksmų, nesuderinamų su jo pareigomis, ir eidamas pareigas negali užsiimti jokia kita nesuderinama profesija, nepaisant to, ar už ją mokamas atlygis, ar ne.

(88) Informacijos komisaro skyrimo ir pašalinimo iš pareigų sąlygos nustatytos 2018 m. DAA 12 priede. Informacijos komisarą skiria Jos Didenybė, atsižvelgdama į vyriausybės rekomendaciją, ir paskelbdama sąžiningą ir atvirą konkursą. Kandidatas privalo turėti tinkamą kvalifikaciją, įgūdžius ir kompetenciją. Pagal Valstybės pareigūnų valdymo kodeksą (83) skiriamų kandidatų sąrašą sudaro patariamojo vertintojų kolegija. Prieš Skaitmeninių, kultūros, žiniasklaidos ir sporto reikalų departamentui priimant galutinį sprendimą, atitinkamas parlamento atskirasis komitetas privalo atlikti patikrinimą iki paskyrimo. Komiteto nuomonė skelbiama viešai (84).

(89) Informacijos komisaro kadencija trunka septynerius metus. Asmuo negali eiti informacijos komisaro pareigų dvi kadencijas iš eilės. Informacijos komisarą iš pareigų pašalinti gali Jos Didenybė, remdamasi abiejų parlamento rūmų prašymu (85). Nė vienam iš parlamento rūmų negalima pateikti prašymo atleisti iš pareigų informacijos komisarą, kol ministras nepateikė ataskaitos, kurioje nurodoma, kad jis yra įsitikinęs, jog informacijos komisaras yra kaltas dėl šiurkštaus nusižengimo ir (arba) komisaras nebeatitinka sąlygų, keliamų komisaro funkcijų vykdymui (86).

(90) Informacijos komisaro veikla finansuojama iš trijų šaltinių: i) duomenų valdytojų sumokamų duomenų apsaugos mokesčių, kurie nustatomi valstybės sekretoriaus taisyklėse (87) (2018 m. Duomenų apsaugos (mokesčiai ir informacija) taisyklės) ir sudaro 85–90 proc. metinio biuro biudžeto (88); ii) dotacijos forma vyriausybės informacijos komisarui sumokėtos pagalbos. Dotacijos forma sumokėta pagalba iš esmės naudojama informacijos komisaro veiklos išlaidoms, kurios patiriamos vykdant su duomenų apsauga nesusijusias užduotis, sumokėti (89), ir iii) už paslaugas sumokėtų mokesčių (90). Dabar tokie mokesčiai apskritai nerenkami.

(91) Informacijos komisaro bendrosios funkcijos, susijusios su asmens duomenų, kuriems taikomas Jungtinės Karalystės BDAR, tvarkymu, nustatytos Jungtinės Karalystės BDAR 57 straipsnyje, kuris yra beveik identiškas atitinkamoms Reglamento (ES) 2016/679 taisyklėms. Tarp jo funkcijų – Jungtinės Karalystės BDAR stebėsena ir vykdymo užtikrinimas, visuomenės informavimo skatinimas, duomenų subjektų pateiktų skundų nagrinėjimas, tyrimų atlikimas ir pan. Be to, 2018 m. DAA 115 straipsnyje nustatytos kitos bendrosios komisaro funkcijos, tarp kurių – pareiga konsultuoti parlamentą, vyriausybę ir kitas institucijas bei įstaigas teisės aktų ir administracinių priemonių, susijusių su asmenų teisių ir laisvių apsauga tvarkant asmens duomenis, klausimais, ir įgaliojimai komisaro iniciatyva arba paprašius priimti parlamentui, vyriausybei ir kitoms institucijoms ir įstaigoms bei visuomenei skirtas nuomones bet kuriuo su asmens duomenų apsauga susijusiu klausimu. Siekiant išlaikyti teismų nepriklausomumą, informacijos komisarui neleidžiama vykdyti savo funkcijų tais atvejais, kai asmens duomenis tvarko teisminius įgaliojimus turintis fizinis asmuo arba teismines funkcijas vykdantis bendrosios kompetencijos arba specializuotas teismas. Tačiau teismų priežiūrą užtikrina specializuotos įstaigos (žr. (99)–(103) konstatuojamąsias dalis).

2.6.2. Vykdymo užtikrinimas, įskaitant sankcijas

(92) Informacijos komisaro įgaliojimai išdėstyti Jungtinės Karalystės BDAR 58 straipsnyje, kuriame nėra jokių esminių pakeitimų, palyginti su atitinkamu Reglamento (ES) 2016/679 straipsniu. 2018 m. DAA nustatytos papildomos taisyklės, kuriose apibūdinti šių įgaliojimų įgyvendinimo būdai. Komisaras turi įgaliojimus visų pirma: a) įpareigoti duomenų valdytoją ir duomenų tvarkytoją (ir tam tikrais atvejais bet kurį kitą asmenį) pateikti būtiną informaciją informacinio pranešimo forma („informacinis pranešimas“ (91); b) atlikti tyrimus ir auditus ir pateikti vertinimo pranešimą, kuriame gali reikalauti, kad duomenų valdytojas arba duomenų tvarkytojas leistų komisarui patekti į konkrečias patalpas, patikrinti arba išnagrinėti dokumentus arba patikrinti ir apžiūrėti įrangą, duomenų valdytojų vardu apklausti asmens duomenis tvarkančius asmenis („vertinimo pranešimas“) (92); c) kitais būdais gauti prieigą prie duomenų valdytojų ir duomenų tvarkytojų dokumentų ir patekti į jų patalpas pagal 2018 m. DAA 154 straipsnį („įgaliojimai patekti į patalpas ir atlikti patikrinimą“); d) įgyvendinti taisomuosius įgaliojimus, įskaitant įspėjimų arba papeikimų skyrimą, arba duoti nurodymus parengtame vykdymo pranešime, kuriame reikalaujama, kad duomenų valdytojai / duomenų tvarkytojai imtųsi konkrečių veiksmų arba jų nesiimtų, įskaitant nurodymą duomenų valdytojui arba duomenų tvarkytojui atlikti bet kurį Jungtinės Karalystės BDAR 58 straipsnio 2 dalies c–g ir j punktuose nurodytą veiksmą („vykdymo pranešimas“) (93), ir e) skirti administracines baudas paskelbdamas pranešimą apie nuobaudą („pranešimas apie nuobaudą“) (94). Šis dokumentas gali būti išduotas ir tuo atveju, jei valdžios institucija nesilaikė Jungtinės Karalystės BDAR nuostatų (95).

(93) Informacijos komisaro reguliavimo veiksmų plane aprašytos aplinkybės, kuriomis jis priima informacinį, vertinimo, vykdymo pranešimą arba pranešimą apie nuobaudą (96). Vykdymo pranešime, pateiktame reaguojant į duomenų valdytojo arba duomenų tvarkytojo klaidą, gali būti tik nustatyti reikalavimai, kurie, komisaro manymu, yra tinkami siekiant ištaisyti klaidą. Vykdymo pranešimas ir pranešimas apie nuobaudą gali būti priimami tik dėl duomenų valdytojo arba duomenų tvarkytojo padarytų Jungtinės Karalystės BDAR II skyriaus (duomenų tvarkymo principai), 12–22 straipsnių (duomenų subjekto teisės), 25–39 straipsnių (duomenų valdytojų ir duomenų tvarkytojų pareigos) ir 44–49 straipsnių (tarptautiniai duomenų perdavimai) pažeidimų. Vykdymo pranešimas taip pat gali būti teikiamas, jeigu duomenų valdytojas nesilaikė reikalavimo sumokėti mokesčio, nustatyto pagal 2018 m. DAA 137 straipsnį priimtose taisyklėse. Be to, vykdymo pranešimas gali būti pateikiamas stebėsenos įstaigai pagal 41 straipsnį arba sertifikavimo paslaugų teikėjui, jeigu jie nesilaiko savo pareigų pagal Jungtinės Karalystės BDAR. Pranešimas apie nuobaudą taip pat gali būti įteikiamas asmeniui, kuris nesilaikė informacinio pranešimo, vertinimo pranešimo arba vykdymo pranešimo.

(94) Pranešime apie nuobaudą reikalaujama, kad asmuo sumokėtų informacijos komisarui pranešime nurodytą sumą. Nuspręsdamas, ar asmeniui įteikti pranešimą apie nuobaudą, ir nustatydamas nuobaudos dydį, informacijos komisaras privalo atsižvelgti į Jungtinės Karalystės BDAR 83 straipsnio 1 ir 2 dalyse išvardytus aspektus, kurie yra identiški Reglamente (ES) 2016/679 nustatytoms atitinkamoms taisyklėms (97). Pagal 83 straipsnio 4 ir 5 dalis didžiausia administracinių baudų už tose nuostatose nurodytų pareigų nesilaikymą suma atitinkamai yra 8 700 000 arba 17 500 000 GBP. Jeigu pažeidimą padaro įmonė, informacijos komisaras, skirdamas baudas, taip pat gali nurodyti, kad jos dydis atitinka pasaulinės metinės apyvartos procentinę dalį, jei ji didesnė. Kaip ir lygiavertėse Reglamento (ES) 2016/679 nuostatose, šios sumos 83 straipsnio 4 ir 5 dalyse atitinkamai sudaro 2 proc. ir 4 proc. Jeigu nesilaikoma informacinio pranešimo, vertinimo pranešimo arba vykdymo pranešimo reikalavimų, didžiausia nuobaudos, kurią galima skirti įteikiant pranešimą apie nuobaudą, yra 17 500 000 GBP arba įmonės atveju – 4 proc. pasaulinės metinės apyvartos, priklausomai nuo to, kuri suma yra didesnė.

(95) Jungtinės Karalystės BDAR ir 2018 m. DAA taip pat sustiprinti kiti informacijos komisaro įgaliojimai. Pavyzdžiui, komisaras dabar gali atlikti privalomus visų duomenų valdytojų ir duomenų tvarkytojų auditus naudodamas vertinimo pranešimus, o pagal ankstesnius teisės aktus, t. y. 1998 m. Duomenų apsaugos aktą, komisarui šie įgaliojimai buvo suteikti tik dėl centrinės valdžios ir sveikatos organizacijų, o kiti subjektai turėjo duoti sutikimą būti audituojami.

(96) Nuo Reglamento (ES) 2016/679 įsigaliojimo informacijos komisaras kasmet išnagrinėja apytiksliai 40 000 duomenų subjektų skundų (98) ir, , be kita ko, atlieka apytiksliai 2 000ex officio tyrimų (99). Dauguma skundų yra susiję su teisėmis susipažinti ir duomenų atskleidimu. Atsižvelgdamas į savo tyrimus, komisaras įvairiuose sektoriuose imasi vykdymo priemonių. Konkrečiau, remiantis naujausia Informacijos komisaro (2019–2020 m.) metine ataskaita (100), ataskaitiniu laikotarpiu komisaras priėmė 54 informacijos pranešimus, 8 vertinimo pranešimus, 7 vykdymo pranešimus, 4 įspėjimus, 8 pranešimus dėl patraukimo atsakomybėn ir 15 pranešimų dėl baudų (101).

(97) Šiuo atveju taip pat skirtos kelios didelės baudos pagal Reglamentą (ES) 2016/679 ir 2018 m. DAA. Visų pirma 2020 m. spalio mėn. informacijos komisaras Didžiosios Britanijos oro bendrovei skyrė 20 mln. GBP baudą už duomenų apsaugos pažeidimą, nuo kurio nukentėjo daugiau nei 400 000 klientų. 2020 m. spalio pabaigoje tarptautiniam viešbučių tinklui skirta 18,4 mln. GBP bauda už tai, kad jis neužtikrino milijonų klientų asmens duomenų saugumo, o 2020 m. lapkričio mėn. Didžiosios Britanijos paslaugų teikėjui, internete parduodančiam bilietus į renginius, buvo skirta 1,25 mln. GBP bauda už tai, kad jis neapsaugojo klientų mokėjimų duomenų (102).

(98) Be informacijos komisarui suteiktų vykdymo įgaliojimų, kurie aprašyti (92) konstatuojamojoje dalyje, tam tikri duomenų apsaugos teisės aktų pažeidimai laikomi nusikalstamomis veikomis, todėl už jų padarymą gali būti skiriamos baudžiamosios sankcijos (2018 m. DAA 196 straipsnis). Tai taikoma, pvz., kai sąmoningai arba dėl neatsargumo gaunami arba atskleidžiami asmens duomenys be duomenų valdytojo sutikimo, sudaromos sąlygos be duomenų valdytojo sutikimo atskleisti asmens duomenis kitam asmeniui (103), iš naujo nustatoma informacija, kuri yra nuasmeninti asmens duomenys, be duomenų valdytojo, atsakingo už asmens duomenų nuasmeninimą, sutikimo (104), tyčia trukdoma komisarui įgyvendinti savo įgaliojimus, susijusius su asmens duomenų patikrinimu laikantis tarptautinių pareigų (105), pateikiami neteisingi pareiškimai atsakant į informacinį pranešimą arba sunaikinama su informaciniu pranešimu ir vertinimo pranešimu susijusi informacija (106).

2.6.3. Teismų vykdoma priežiūra

(99) Teismų ir teisminių institucijų vykdomo asmens duomenų tvarkymo priežiūra yra dvejopa. Jeigu teisėjo pareigas einantis asmuo arba teismas veikia neturėdamas teisminių įgaliojimų, priežiūrą vykdo informacijos komisaras. Jeigu duomenų valdytojas veikia turėdamas teisminius įgaliojimus, Informacijos komisaras negali vykdyti savo priežiūros funkcijų (107), o priežiūrą vykdo specialios įstaigos. Šis požiūris atsispindi Reglamente (ES) 2016/679 (55 straipsnio 3 dalis).

(100) Visų pirma pažymėtina, kad antruoju atveju Anglijos ir Velso teismų ir Anglijos ir Velso pirmosios ir aukštesnės instancijos specializuotų teismų priežiūrą atlieka Teisminė duomenų apsaugos kolegija (108). Be to, lordas vyriausiasis teisėjas ir vyresnysis specializuotų teismų pirmininkas paskelbtame pareiškime dėl privatumo (109) nurodo, kaip Anglijos ir Velso teismai tvarko asmens duomenis teisminių funkcijų vykdymo tikslais. Panašų pranešimą yra paskelbę Šiaurės Airijos (110) ir Škotijos teisėjai (111).

(101) Be to, Šiaurės Airijoje Šiaurės Airijos lordas vyriausiasis teisėjas paskyrė Aukštojo teismo teisėją eiti už duomenų priežiūrą atsakingo teisėjo pareigas (112). Jis taip pat paskelbė Šiaurės Airijos teisėjams skirtas gaires dėl veiksmų, kurių reikia imtis praradus duomenis arba tuo atveju, jeigu jie gali būti prarasti, ir gaires dėl to, kokia tvarka reikia spręsti visus su tuo susijusius klausimus (113).

(102) Škotijoje lordas pirmininkas paskyrė už duomenų priežiūrą atsakingą teisėją tirti bet kokius skundus, kurie teikiami remiantis su duomenų apsauga susijusiais pagrindais. Tai nustatyta teisminio skundų nagrinėjimo taisyklėse, kurios yra identiškos Anglijoje ir Velse nustatytoms taisyklėms (114).

(103) Galiausiai Aukščiausiajame Teisme vienam iš jo teisėjų pavedama duomenų apsaugos priežiūros funkcija.

2.6.4. Teisių gynimas

(104) Siekiant užtikrinti tinkamą apsaugą ir, visų pirma, individualių teisių įgyvendinimą, duomenų subjektui turėtų būti suteikta veiksmingų administracinių ir teisminių teisių gynimo priemonių, įskaitant kompensaciją už patirtą žalą.

(105) Pirma, duomenų subjektas turi teisę pateikti skundą informacijos komisarui, jeigu mano, kad, atsižvelgiant į jo asmens duomenis, buvo padarytas Jungtinės Karalystės BDAR pažeidimas (115). Jungtinės Karalystės BDAR paliktos galioti Reglamento (ES) 2016/679 77 straipsnio taisyklės dėl tos teisės neatliekant jokių esminių pakeitimų. Tą patį galima pasakyti apie 57 straipsnio 1 dalies f punkto ir 2 dalies nuostatas, kuriose nustatytos komisaro užduotys, susijusios su skundų nagrinėjimu. Kaip aprašyta (92)–(98) above konstatuojamosiose dalyse, informacijos komisaras turi įgaliojimus įvertinti, ar duomenų valdytojas ir duomenų tvarkytojas laikosi Jungtinės Karalystės BDAR ir 2018 m. DAA, reikalauti, kad jie imtųsi būtinų veiksmų arba nesiimtų tokių veiksmų reikalavimų nesilaikymo atveju, ir skirti baudas.

(106) Antra, Jungtinės Karalystės BDAR ir 2018 m. DAA nustatyta teisė į teisinę gynybą prieš informacijos komisarą. Pagal Jungtinės Karalystės BDAR 78 straipsnio 1 dalį fizinis asmuo turi teisę imtis veiksmingų teisminių teisių gynimo priemonių prieš su juo susijusį privalomą komisaro sprendimą. Teisminės peržiūros atveju teisėjas nagrinėja ieškinyje ginčijamą sprendimą ir ar informacijos komisaras veikė teisėtai. Be to, pagal Jungtinės Karalystės BDAR 78 straipsnio 2 dalį, jeigu komisaras nesugeba tinkamai išnagrinėti duomenų subjekto pateikto skundo (116), skundo pateikėjas turi teisę imtis teisminių teisių gynimo priemonių. Jis gali kreiptis į specializuotą pirmosios instancijos teismą, kad komisaras būtų įpareigotas imtis tinkamų veiksmų, susijusių su skundo nagrinėjimu, arba informuotų skundo pateikėją apie skundo nagrinėjimo eigą (117). Be to, bet kuris asmuo, kuriam komisaras įteikia vieną iš minėtų pranešimų (informacinį, vertinimo ar vykdymo pranešimą arba pranešimą dėl nuobaudos), gali skųstis specializuotam pirmosios instancijos teismui (118). Jeigu specializuotas teismas mano, kad komisaro sprendimas neatitinka įstatymo arba kad informacijos komisaras turėjo kitaip pasinaudoti savo diskrecija, specializuotas teismas privalo priimti skundą arba pakeisti kitą pranešimą arba sprendimą, kurį pateikė arba priėmė informacijos komisaras.

(107) Trečia, asmenys gali pasinaudoti teisminėmis teisių gynimo priemonėmis prieš duomenų valdytojus ir duomenų tvarkytojus tiesiogiai kreipdamiesi į teismus pagal Jungtinės Karalystės BDAR 79 straipsnį ir 2018 m. DAA 167 straipsnį. Jeigu, atsižvelgdamas į duomenų subjekto prašymą, teismas įsitikina, kad buvo pažeistos duomenų apsaugos teisės aktuose nustatytos duomenų subjekto teisės, teismas gali įpareigoti duomenų valdytoją arba jo vardu veikiantį duomenų tvarkytoją imtis nutartyje nurodytų veiksmų dėl duomenų tvarkymo arba nesiimti nutartyje nurodytų veiksmų.

(108) Be to, pagal Jungtinės Karalystės BDAR 82 straipsnį ir 2018 m. DAA 168 straipsnį bet kuris asmuo, kuris dėl Jungtinės Karalystės BDAR pažeidimo patyrė materialinę arba nematerialinę žalą, turi teisę iš duomenų valdytojo arba duomenų tvarkytojo gauti kompensaciją už patirtą žalą. Jungtinės Karalystės 82 straipsnio 1–5 dalyse nustatytos kompensacijos ir atsakomybės taisyklės yra identiškos Reglamento (ES) 2016/679 nustatytoms atitinkamoms taisyklėms. Pagal 2018 m. DAA 168 straipsnį nematerialinė žala taip pat reiškia stresą. Pagal Jungtinės Karalystės BDAR 80 straipsnį duomenų subjektas taip pat turi teisę įgalioti atstovaujančią įstaigą arba organizaciją jo vardu (pagal Jungtinės Karalystės BDAR 77 straipsnį) pateikti skundą komisarui ir jo vardu įgyvendinti Jungtinės Karalystės BDAR 78 straipsnyje (teisė imtis veiksmingų teisminių teisių gynimo priemonių prieš komisarą), 79 straipsnyje (teisė imtis veiksmingų teisminių teisių gynimo priemonių prieš duomenų valdytoją arba duomenų tvarkytoją) ir 82 straipsnyje (teisė į kompensaciją ir atsakomybę) nustatytas teises.

(109) Ketvirta, bet kuris asmuo, kuris mano, kad valdžios institucijos pažeidė jo teises, įskaitant teises į privatumą ir duomenų apsaugą, be pirmiau aprašytų numatytų teisių gynimo būdų, gali gintis Jungtinės Karalystės teismuose pagal 1998 m. Žmogaus teisių aktą (119). Asmuo, kuris teigia, kad valdžios institucija veikė (arba siūlo veikti) su Konvencijos teise nesuderinamu būdu, taip pažeidžiant 1998 m. Žmogaus teisių akto 6 straipsnio 1 dalį, atitinkamame bendrosios kompetencijos arba specializuotame teisme gali iškelti institucijai bylą arba bet kuriame teisminiame procese remtis atitinkamomis teisėmis, kai jis tapo (arba galėjo tapti) neteisėto veiksmo auka.

(110) Jeigu teismas nustato, kad kuris nors valdžios institucijos veiksmas yra neteisėtas, jis, atsižvelgdamas į savo įgaliojimus, gali nustatyti jo manymu teisingą ir tinkamą teisių gynimo priemonę arba priimti jo manymu teisingą ir tinkamą nutartį (120). Teismas taip pat gali pirminės teisės akto nuostatą paskelbti nesuderinama su Konvencijoje nustatyta teise.

(111) Galiausiai, išnaudojęs nacionalines teisių gynimo priemones, fizinis asmuo dėl Europos žmogaus teisių konvencijoje garantuojamų žmogaus teisių pažeidimų, susijusių su jo teisėmis, gali kreiptis į Europos Žmogaus Teisių Teismą.

3. JUNGTINĖS KARALYSTĖS VALDŽIOS INSTITUCIJŲ SUSIPAŽINIMAS SU ASMENS DUOMENIMIS, PERDUOTAIS IŠ EUROPOS SĄJUNGOS, IR JŲ NAUDOJIMAS

(112) Komisija taip pat įvertino Jungtinės Karalystės asmens duomenų, kuriuos Jungtinės Karalystės valdžios institucijos, atsižvelgdamos į viešąjį interesą, visų pirma baudžiamosios teisės vykdymą ir nacionalinio saugumo tikslus, perdavė Jungtinės Karalystės ekonominės veiklos vykdytojams, rinkimo ir paskesnio naudojimo teisinę sistemą (toliau – vyriausybės prieiga). Vertindama, ar sąlygos, kuriomis vyriausybė gauna prieigą prie duomenų, perduotų Jungtinei Karalystei pagal šį sprendimą, atitiktų „esminio lygiavertiškumo“ kriterijų pagal Reglamento (ES) 2016/679 45 straipsnio 1 dalį, kaip jį išaiškino Europos Sąjungos Teisingumo Teismas, atsižvelgdamas į Pagrindinių teisių chartija, Komisija visų pirma atsižvelgė į toliau išvardytus kriterijus.

(113) Pirma, bet koks teisės į duomenų apsaugą apribojimas turi būti numatytas įstatyme, o pačiame teisiniame pagrinde, kuriuo remiantis leidžiama apriboti tokią teisę, turi būti apibrėžta apribojimo taikymo atitinkamos teisės įgyvendinimui sritis (121).

(114) Antra, siekiant įvykdyti proporcingumo reikalavimą, pagal kurį nuo asmens duomenų apsaugos nukrypti leidžiančios nuostatos ir asmens duomenų apsaugos apribojimai turi būti taikomi tik tiek, kiek tai griežtai būtina demokratinėje visuomenėje siekiant konkrečių viešojo intereso tikslų, kurie yra lygiaverčiai Sąjungos pripažįstamiems tikslams, atitinkamos trečiosios valstybės, kurioje leidžiami apribojimai, teisės aktuose turi būti nustatytos aiškios ir tikslios taisyklės, kuriomis reglamentuojamas atitinkamų priemonių mastas ir taikymas, ir nustatomos būtinosios apsaugos priemonės, kad asmenys, kurių duomenys buvo perduoti, turėtų pakankamai garantijų ir galėtų veiksmingai apsaugoti savo asmens duomenis nuo piktnaudžiavimo rizikos (122). Teisės akte visų pirma turi būti nurodyta, kokiomis aplinkybėmis ir sąlygomis galima priimti priemonę, kurią įgyvendinant numatyta tvarkyti tokius duomenis (123), taip pat tokiai priemonei taikomi nepriklausomos priežiūros reikalavimai (124).

(115) Trečia, tas teisės aktas turi būti teisiškai įpareigojantis pagal vidaus teisę ir šie teisiniai reikalavimai turi būti privalomi ne tik institucijoms, bet ir įvykdomi teismuose atitinkamų trečiosios valstybės institucijų atžvilgiu (125). Visų pirma, duomenų subjektai privalo turėti galimybę pareikšti ieškinį nepriklausomame ir nešališkame teisme, kad galėtų susipažinti su asmens duomenimis arba kad jiems būtų suteikta teisė ištaisyti arba ištrinti tokius duomenis (126).

3.1. Bendroji teisinė sistema

(116) Vyriausybės prieiga prie duomenų Jungtinėje Karalystėje, atsižvelgiant į valdžios institucijos įgaliojimų įgyvendinimą, turi būti užtikrinama visapusiškai laikantis teisės aktų. Jungtinė Karalystė yra ratifikavusi Europos žmogaus teisių konvenciją (žr. (9) konstatuojamąją dalį) ir visos Jungtinės Karalystės valdžios institucijos privalo veikti laikydamosi Konvencijos (127). Konvencijos 8 straipsnyje nustatyta, kad bet koks privatumo apribojimas turi atitikti teisės aktus, derėti su vienu iš 8 straipsnio 2 dalyje nustatytų tikslų ir būti proporcingas atsižvelgiant į tą tikslą. Pagal 8 straipsnį taip pat reikalaujama, kad apribojimas būtų „prognozuojamas“, t. y. jo pagrindas turi būti aiškiai numatytas teisės akte, su kuriuo galima susipažinti, ir kad teisės akte būtų nustatytos tinkamos apsaugos nuo piktnaudžiavimo priemonės.

(117) Be to, savo jurisprudencijoje Europos Žmogaus Teisių Teismas konkrečiai nurodė, kad kiekvienam teisės į privatumą ir duomenų apsaugą apribojimui turėtų būti taikoma veiksminga, nepriklausoma ir nešališka priežiūros sistema, kurią turi įgyvendinti teismas arba kita nepriklausoma įstaiga (128) (pvz., administracinė institucija arba parlamento organas).

(118) Be to, asmenims turi būti suteiktos veiksmingos teisių gynimo priemonės, o Europos Žmogaus Teisių Teismas paaiškino, kad teisių gynimo priemones turi suteikti nepriklausoma ir nešališka įstaiga, kuri yra nustačiusi savo darbo tvarkos taisykles, kurią sudaro aukštas teisėjų pareigas einantys arba ėję nariai arba patyrę advokatai, ir kad siekiant jai pateikti skundą nebūtų nustatytos jokios prievolės įrodyti. Įsipareigodama nagrinėti asmenų skundus, nepriklausoma ir nešališka įstaiga turėtų turėti galimybę susipažinti su visa atitinkama informacija, įskaitant slaptą medžiagą. Galiausiai ji turėtų turėti įgaliojimus ištaisyti reikalavimo nesilaikymo atvejus (129).

(119) Jungtinė Karalystė taip pat ratifikavo Tarybos konvenciją dėl asmenų apsaugos ryšium su asmens duomenų automatizuotu tvarkymu (108-oji konvencija) ir 2018 m. pasirašė Protokolą, kuriuo iš dalies keičiama Konvencija dėl asmenų apsaugos ryšium su asmens duomenų automatizuotu tvarkymu (dar vadinama 108+ konvencija) (130). 108-osios konvencijos 9 straipsnyje nustatyta, kad nuo bendrųjų duomenų apsaugos principų (5 straipsnis, duomenų kokybė), taisyklių, kuriomis reglamentuojamos specialios duomenų kategorijos (6 straipsnis, specialių kategorijų duomenys) ir duomenų subjektų teisių (8 straipsnis, papildomos duomenų subjekto apsaugos priemonės) nukrypti leidžiančios nuostatos yra leistinos tik jeigu jos numatytos susitariančiosios šalies teisės aktuose ir yra būtina priemonė demokratinėje visuomenėje siekiant užtikrinti valstybės saugumą, visuomenės saugumą, valstybės piniginius interesus arba stabdyti nusikalstamas veikas arba apsaugoti duomenų subjektą arba kitų asmenų teises ir laisves (131).

(120) Todėl, dalyvaudama Europos Taryboje, laikydamasi Europos žmogaus teisių konvencijos ir pritardama Europos Žmogaus Teisių Teismo jurisdikcijai, Jungtinė Karalystė privalo laikytis įvairių įpareigojimų, nustatytų tarptautinėje teisėje, kurie sudaro Jungtinės Karalystės vyriausybės prieigos prie duomenų, remiantis principais, apsaugos priemonėmis ir asmenų teisėmis, panašiomis į tas, kurios garantuojamos pagal ES teisę ir yra taikomos valstybėms narėms, sistemą. Todėl, kaip pažymėta (19) konstatuojamojoje dalyje, tokių priemonių paisymas yra ypač svarbus šio sprendimo vertinimo pagrindą sudarantis aspektas.

(121) Be to, konkrečios duomenų apsaugos priemonės ir teisės garantuojamos pagal 2018 m. DAA tais atvejais, kai duomenis tvarko valdžios institucijos, įskaitant teisėsaugos ir nacionalinio saugumo įstaigas.

(122) Visų pirma asmens duomenų tvarkymo baudžiamosios teisėsaugos srityje tvarka aprašyta 2018 m. DAA 3 dalyje, kuri buvo patvirtinta siekiant į nacionalinę teisę perkelti Direktyvą (ES) 2016/680. 2018 m. DAA 3 dalis taikoma asmens duomenų tvarkymui, kurį vykdo kompetentingos institucijos nusikalstamų veikų prevencijos, tyrimo, nustatymo ar traukimo baudžiamojon atsakomybėn už jas arba baudžiamųjų sankcijų vykdymo tikslais, įskaitant apsaugą nuo grėsmių visuomenės saugumui ir jų prevenciją (132).

(123) Pagal DAA 30 straipsnyje pateiktą apibrėžtį „kompetentinga institucija“ yra laikomas 2018 m. DAA 7 priede nurodytas asmuo ir bet kuris kitas asmuo, kuris vykdo įstatymuose nustatytas funkcijas bet kuriuo iš teisėsaugos tikslų (133). Kaip paaiškinta toliau (žr. (139) konstatuojamąją dalį), kai kurios kompetentingos institucijos (pavyzdžiui, Nacionalinė nusikaltimų agentūra) tam tikromis sąlygomis gali naudotis 2016 m. Tyrimo aktu (2016 m. TĮA) suteiktais įgaliojimais. Tokiu atveju 2016 m. TĮA numatytos apsaugos priemonės bus taikomos kartu su apsaugos priemonėmis, numatytomis 2018 m. DAA 3 dalyje. Žvalgybos tarnybos (Slaptoji žvalgybos tarnyba, Saugumo tarnyba ir Vyriausybės komunikacijos centras) nelaikomos kompetentingomis institucijomis (134), kurioms taikoma 2018 m. DAA 3 dalis, todėl joje nustatytos taisyklės jokiai jų veiklai netaikomos. Speciali 2018 m. DAA dalis (4 dalis) skirta žvalgybos tarnybų vykdomam asmens duomenų tvarkymui (daugiau apie tai (125) konstatuojamojoje dalyje ).

(124) Panašiai, kaip ir Direktyvoje (ES) 2016/680, 2018 m. DAA 3 dalyje nustatyti teisėtumo ir sąžiningumo (135), tikslo apribojimo (136), duomenų kiekio mažinimo (137), tikslumo (138), saugojimo ribojimo (139) ir saugumo (140) principai. Teisės aktuose nustatyti konkretūs skaidrumo įpareigojimai (141) ir asmenims suteikiama teisė susipažinti su duomenimis (142), juos ištaisyti ir ištrinti (143), taip pat teisė nesutikti, kad dėl asmens nebūtų automatizuotai priimami sprendimai (144). Taip pat reikalaujama, kad kompetentingos institucijos įgyvendintų pritaikytąją ir standartizuotąją duomenų apsaugą, saugotų duomenų tvarkymo veiklos įrašus ir dėl tam tikrų tvarkymo operacijų atliktų poveikio duomenų apsaugai vertinimus ir iš anksto konsultuotųsi su Informacijos komisaru (145). Pagal 2018 m. DAA 56 straipsnį jos privalo įrodyti vidaus reikalavimų laikymąsi. Be to, kompetentingos institucijos privalo nustatyti tinkamas priemones, kad užtikrintų duomenų tvarkymo saugumą (146), ir joms galioja konkretūs įpareigojimai duomenų saugumo pažeidimo atveju, įskaitant informacijos komisaro ir duomenų subjektų informavimą apie tokius pažeidimus (147). Kaip ir Direktyvos (ES) 2016/680 atveju, duomenų valdytojas (išskyrus atvejus, kai duomenų valdytojas yra kita teisminė institucija, veikianti turėdama teisminius įgaliojimus) taip pat privalo paskirti duomenų apsaugos pareigūną (DAP) (148), kuris padeda duomenų valdytojui laikytis savo prievolių, taip pat stebėti, kaip šių prievolių laikomasi (149). Be to, teisės aktuose, siekiant užtikrinti apsaugos tęstinumą, nustatyti konkretūs tarptautinių asmens duomenų perdavimų reikalavimai, taikomi tais atvejais, kai duomenys į trečiąsias valstybes arba tarptautinėms organizacijoms perduodami teisėsaugos tikslais (150). Tą pačia dieną, kurią buvo priimtas šis sprendimas, Komisija, remdamasi Direktyvos (ES) 2016/680 36 straipsnio 3 dalimi, priėmė sprendimą dėl tinkamumo, kuriame padaryta išvada, kad Jungtinės Karalystės baudžiamosios teisėsaugos institucijų vykdomam duomenų tvarkymui taikoma tvarka užtikrinamas toks apsaugos lygis, kuris iš esmės yra lygiavertis Direktyva (ES) 2016/680 garantuojamam lygiui.

(125) 2018 m. DAA 4 dalis taikoma visam žvalgybos tarnybų arba jų vardu atliekamam duomenų tvarkymui. Visų pirma, joje nustatyti pagrindiniai duomenų apsaugos principai (teisėtumas, sąžiningumas ir skaidrumas (151), tikslo apribojimas (152), duomenų kiekio mažinimas (153), tikslumas (154), saugojimo ribojimas (155) ir saugumas (156), nustatytos specialių kategorijų asmens duomenų tvarkymo sąlygos (157), numatytos duomenų subjektų teisės (158), reikalaujama užtikrinti pritaikytąją duomenų apsaugą (159) ir reglamentuojami tarptautiniai asmens duomenų perdavimai (160). Informacijos komisaras neseniai paskelbė išsamias gaires dėl žvalgybos tarnybų vykdomo duomenų tvarkymo pagal 2018 m. DAA 4 dalį (161).

(126) Kartu 2018 m. DAA 110 straipsnyje nustatyta 2018 m. DAA 4 dalies numatytų nuostatų išimtis (162), kai tokia išimtis yra būtina siekiant užtikrinti nacionalinį saugumą. Šia išimtimi galima remtis kiekvienu atskiru atveju atlikus analizę (163). Kaip paaiškino Jungtinės Karalystės institucijos ir nustatyta jurisprudencijoje, „duomenų valdytojas privalo atsižvelgti į faktines pasekmes nacionaliniam saugumui arba gynybai, jeigu jis privalo laikytis konkrečios duomenų apsaugos nuostatos ir jeigu jis gali pagrįstai laikytis įprastos taisyklės nedarydamas poveikio nacionaliniam saugumui arba gynybai“ (164). Tai, ar išimtimi naudojamasi tinkamai, prižiūri informacijos komisaras (165).

(127) Be to, atsižvelgiant į galimybę „nacionalinio saugumo“ užtikrinimo tikslais apriboti pirmiau nurodytų konkrečių 2018 m. DAA 111 dalies nuostatų taikymą, duomenų valdytojas gali prašyti išduoti ministrų kabineto arba generalinio prokuroro pasirašytą sertifikatą, kuriuo patvirtinama, kad tokių teisių apribojimas yra būtina ir proporcinga priemonė nacionaliniam saugumui užtikrinti (166).

(128) Jungtinės Karalystės vyriausybė paskelbė gaires, kad padėtų duomenų valdytojams nuspręsti, ar prašyti išduoti saugumo sertifikatą pagal 2018 m. DAA, ir kuriose visų pirma atkreipiamas dėmesys į tai, kad bet kokie duomenų subjektų teisių apribojimai nacionalinio saugumo užtikrinimo tikslais turi būti proporcingi ir būtini (167). Visi nacionalinio saugumo sertifikatai turi būti skelbiami Informacijos komisaro interneto svetainėje (168).

(129) Sertifikato galiojimo trukmė turėtų būti konkreti ir neviršyti penkerių metų, kad įstatymų vykdomoji valdžia galėtų jį nuolat peržiūrėti (169). Sertifikate nurodomi asmens duomenys arba asmens duomenų kategorijos, kurioms taikoma išimtis, taip pat 2018 m. DAA nuostatos, kurioms taikoma išimtis (170).

(130) Svarbu pažymėti, kad nacionalinio saugumo sertifikatai nesuteikia papildomo pagrindo apriboti duomenų apsaugos teises nacionalinio saugumo sumetimais. Kitaip tariant, domenų valdytojas arba duomenų tvarkytojas sertifikatu gali remtis tik kai padaro išvadą, kad būtina taikyti nacionalinio saugumo išimtį, kuri, kaip paaiškinta, turi būti taikoma kiekvienu konkrečiu atveju (171). Net jei nacionalinio saugumo sertifikatas sprendžiant konkretų klausimą yra taikomas, informacijos komisaras gali tirti, ar konkrečiu atveju remtis nacionalinio saugumo išimtimi buvo pagrįsta (172).

(131) Bet kuris asmuo, kurį sertifikato išdavimas paveikė tiesiogiai, gali pateikti skundą aukštesniajam specializuotam teismui (173) dėl to sertifikato (174) arba, jeigu sertifikate duomenys nurodomi pateikiant bendrą aprašymą, ginčyti sertifikato taikymą konkretiems duomenims (175). Specializuotas teismas peržiūrės sprendimą išduoti sertifikatą ir nuspręs, ar buvo pagrįstų priežasčių jį išduoti (176). Jis gali nagrinėti įvairius klausimus, įskaitant būtinumą, proporcingumą ir teisėtumą, ir atsižvelgti į poveikį duomenų subjektų teisėms ir suderinti poreikį užtikrinti nacionalinį saugumą. Todėl specializuotas teismas gali nuspręsti, kad tam tikriems asmens duomenims, dėl kurių pateiktas skundas, sertifikatas netaikomas (177).

(132) Kitą galimų apribojimų grupę sudaro apribojimai, pagal 2018 m. DAA 11 straipsnį taikomi tam tikroms 2018 m. DAA 4 dalies nuostatoms (178), siekiant apsaugoti kitus su bendru viešuoju interesu arba saugomais interesais susijusius svarbius tikslus, pvz., Parlamento neliečiamumą, advokato teisę neatskleisti profesinės paslapties, teismo proceso vykdymą arba ginkluotųjų pajėgų kovinį veiksmingumą (179). Šių nuostatų taikymo išimtis yra taikoma tam tikrų kategorijų informacijai (pagrįsta pagal kategoriją) arba ta apimtimi, kuria šių nuostatų taikymas galėtų pakenkti saugomam interesui (pagrįsta pagal žalą) (180). Žalos prielaida pagrįstomis išimtimis galima remtis tik tiek, kiek išvardytų duomenų apsaugos nuostatų taikymas galėtų pakenkti konkrečiam interesui. Todėl išimtis visada turi būti pagrindžiama nurodant atitinkamą žalą, kuri galėtų atsirasti konkrečiu atveju. Grupinėmis išimtimis galima remtis tik dėl mokslinės, siauriai apibrėžtos kategorijos informacijos, kuriai leidžiama taikyti išimtį. Atsižvelgiant į tikslą ir poveikį, šios išimtys yra panašios į Jungtinės Karalystės BDAR nustatytas išimtis (pagal 2018 m. DAA 2 priedą), kurios savo ruožtu atspindi BDAR 23 straipsnyje numatytas išimtis.

(133) Iš to, kas išvardyta, galima daryti išvadą, kad pagal taikytinas Jungtinės Karalystės teisines nuostatas galioja apribojimai ir sąlygos, kaip tai, be kita ko, išaiškino teismai ir Informacijos komisija, kuriais siekiama užtikrinti, kad šios išimtys ir apribojimai neviršytų to, kas yra būtina ir proporcinga nacionaliniam saugumui užtikrinti.

3.2. Jungtinės Karalystės valdžios institucijų galimybė susipažinti su duomenimis ir jų naudojimas baudžiamosios teisėsaugos tikslais

(134) Jungtinės Karalystės teisėje nustatyti įvairūs galimybės susipažinti su asmens duomenimis ir juos naudoti teisėsaugos tikslais apribojimai, ir šioje srityje numatyti priežiūros ir teisių gynimo mechanizmai, kurie atitinka šio sprendimo (113)–(115) konstatuojamosiose dalyse nurodytus reikalavimus. Sąlygos, kuriomis tokia prieiga gali būti suteikta, ir šių įgaliojimų naudojimui taikomos apsaugos priemonės išsamiai įvertinamos kituose skirsniuose.

3.2.1. Teisiniai pagrindai ir taikomi apribojimai / apsaugos priemonės

(135) Pagal teisėtumo principą, kuris garantuojamas 2018 m. DAA 35 straipsnyje, asmens duomenų tvarkymas bet kuriuo teisėsaugos tikslu yra teisėtas tik jeigu jis grindžiamas įstatymu ir jeigu duomenų subjektas sutiko, kad jo duomenys būtų tvarkomi tuo tikslu (181), arba duomenis tvarkyti būtina siekiant, kad kompetentinga institucija atliktu tuo tikslu vykdomą užduotį.

3.2.1.1. Kratos orderiai ir įrodymų pateikimo orderiai

(136) Jungtinės Karalystės teisinėje sistemoje asmens duomenis iš ūkio subjektų, įskaitant ūkio subjektus, kurie iš ES perduotus duomenis tvarkytų pagal dabartinį sprendimą dėl tinkamumo, rinkti baudžiamosios teisėsaugos tikslais leidžiama remiantis kratos orderiais (182) ir įrodymų pateikimo orderiais (183).

(137) Kratos orderius paprastai išduoda teismas tyrimą atliekančio pareigūno prašymu. Pagal šiuos orderius pareigūnui leidžiama patekti į patalpas ieškant tyrimui svarbių įrodymų arba asmenų ir paimti bet kurį daiktą, dėl kurio leista atlikti kratą, įskaitant bet kuriuos susijusius dokumentus arba įrodymus, kuriuose yra asmens duomenų (184). Pagal įrodymų pateikimo orderį, kurį taip pat turi išduoti teismas, reikalaujama, kad jame nurodytas asmuo pateiktų arba leistų susipažinti su jo turimais arba disponuojamais įrodymais. Pareiškėjas privalo teismui įrodyti, kodėl būtinas orderis, taip pat dėl kokių priežasčių jis atitinka viešąjį interesą. Įstatymuose numatyta keletas įgaliojimų, pagal kuriuos leidžiama išduoti kratos orderius ir įrodymų pateikimo orderius. Kiekvieną nuostatą sudaro atskiros jai taikomos įstatyme nustatytos sąlygos, kurias turi atitikti išduotinas kratos orderis (185) arba įrodymų pateikimo orderis (186).

(138) Įrodymų pateikimo ir kratos orderius galima ginčyti prašant atlikti teisminę peržiūrą (187). Dėl apsaugos priemonių pažymėtina, kad visos baudžiamosios teisėsaugos institucijos, kurioms taikoma 2018 m. DAA 3 dalis, įskaitant policiją, gali susipažinti su asmens duomenimis, – o tai yra duomenų tvarkymo forma, – tik laikydamosi 2018 m. DAA nustatytų principų ir reikalavimų (žr. (122) ir (124) above konstatuojamąsias dalis). Todėl teisėsaugos institucijos pateiktas prašymas turėtų atitikti principą, pagal kurį nurodyti duomenų tvarkymo tikslai turi būti konkretūs, aiškūs ir teisėti (188), ir kad kompetentingos institucijos tvarkomi asmens duomenys turi derėti su tuo tikslu ir nebūti pertekliniai (189).

3.2.1.2. Teisėsaugos tikslais naudojami tyrimo įgaliojimai

(139) Siekdamos užkirsti kelią tik sunkiems nusikaltimams arba juos nustatyti (190), tam tikros teisėsaugos institucijos, pavyzdžiui, Nacionalinė nusikaltimų agentūra arba policijos vadovas (191), gali naudotis tiksliniais tyrimo įgaliojimais pagal 2016 m. TĮA. Tokiu atveju 2016 m. TĮA numatytos apsaugos priemonės bus taikomos kartu su apsaugos priemonėmis, numatytomis 2018 m. DAA 3 dalyje. Konkretūs tyrimo įgaliojimai, kuriais gali naudotis šios teisėsaugos institucijos, yra: tikslinis pasiklausymas (2016 m. TĮA 2 dalis), ryšio duomenų gavimas (2016 m. TĮA 3 dalis), ryšio duomenų saugojimas (2016 m. TĮA 4 dalis) ir tikslinis įrangos perėmimas (2016 m. TĮA 5 dalis). Perėmimas reiškia ryšio turinio įgijimą (192), o ryšio duomenų įgijimu ir saugojimu nesiekiama gauti ryšių turinio, bet veikiau sužinoti, „kas“, „kada“, „kur“ ir „kaip“ palaikė ryšį. Tai, pvz., yra ryšio laikas ir trukmė, ryšio iniciatoriaus ir adresato telefono numeris arba e. pašto adresas, o kartais prietaisų, iš kurių buvo palaikomas ryšys, buvimo vieta, telefono paslaugos abonentas arba detalizuota sąskaita (193). Įrangos perėmimas – tai metodų, naudojamų įvairiems duomenims iš įrangos, pvz., kompiuterių, planšetinių kompiuterių ir išmaniųjų telefonų, išgauti rinkinys, įskaitant kabelius, laidus ir saugojimo prietaisus (194).

(140) Tikslinio ryšių perėmimo įgaliojimai taip pat gali būti naudojami tais atvejais, kai tai „būtina siekiant taikyti ES savitarpio pagalbos priemones arba tarptautinio savitarpio pagalbos susitarimo nuostatas“ (vadinamasis savitarpio pagalbos orderis (195)). Savitarpio pagalbos orderiai išduodami tik dėl ryšių perėmimo, o ne ryšio duomenų gavimo arba įrangos perėmimo. Šie specialūs įgaliojimai reguliuojami 2016 m. Tyrimo įgaliojimų akte (2016 m. TĮA) (196), kuris kartu su Anglijos, Velso ir Šiaurės Airijos 2000 m. Tyrimo įgaliojimų akto reglamentu (RIPA) ir 2000 m. Škotijos Tyrimo įgaliojimų akto reglamentu (Škotija) (RIPSA) sudaro teisinį pagrindą ir kuriame nustatyti tokių įgaliojimų naudojimui taikomi apribojimai ir apsaugos priemonės. 2016 m. TĮA taip pat nustatyta didelės apimties tyrimo įgaliojimų naudojimo tvarka, tačiau teisėsaugos institucijos jais negali pasinaudoti (šiais įgaliojimais gali naudotis tik žvalgybos agentūros) (197).

(141) Kad galėtų pasinaudoti šiais įgaliojimais, institucijos privalo gauti orderį (198), kurį išduoda kompetentinga institucija (199) ir patvirtina nepriklausomas teismo komisaras (200) (vadinamoji dvigubo patikrinimo procedūra). Išduodant tokį orderį, atliekamas būtinumo ir proporcingumo patikrinimas (201). Kadangi šie 2016 m. TĮA numatyti tiksliniai tyrimo įgaliojimai yra tapatūs įgaliojimams, kuriais gali pasinaudoti nacionalinės saugumo agentūros, tokiems įgaliojimams taikomos sąlygos, apribojimai ir apsaugos priemonės išsamiai aptariami skirsnyje dėl Jungtinės Karalystės valdžios institucijų prieigos prie asmens duomenų ir jų naudojimo nacionalinio saugumo tikslais (žr. (177)ir tolesnes konstatuojamąsias dalis).

3.2.2. Tolesnis surinktos informacijos naudojimas

(142) Teisėsaugos institucijos vykdomas dalijimasis duomenimis su kita institucija kitais tikslais nei tie, dėl kurių jie iš pradžių buvo surinkti (vadinamasis tolesnis perdavimas) vykdomas laikantis tam tikrų sąlygų.

(143) Panašiai į tai, kas nustatyta Direktyvos (ES) 2016/680 4 straipsnio 2 dalyje, pagal 2018 m. DAA 36 straipsnio 3 dalį kompetentingos institucijos teisėsaugos tikslu surinktus asmens duomenis leidžiama tvarkyti toliau (tą gali daryti pradinis duomenų valdytojas arba kitas duomenų valdytojas) bet kuriuo kitu teisėsaugos tikslu, jeigu duomenų valdytojas pagal įstatymą turi įgaliojimus tvarkyti duomenis kitu tikslu ir duomenų tvarkymas yra būtinas ir proporcingas tam tikslui (202). Šiuo atveju gaunančiosios institucijos atliekamam duomenų tvarkymui taikomos visos 2018 m. DAA 3 dalyje numatytos apsaugos priemonės, kurios nurodytos (122) ir (124) konstatuojamosiose dalyse.

(144) Pagal Jungtinės Karalystės teisinę tvarką ir įvairiu