LT Europos Sąjungos oficialusis leidinys C 164/2

EDAPP nuomonės dėl Reglamento dėl asmenų apsaugos Sąjungos institucijoms, įstaigoms, tarnyboms ir agentūroms tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo, kuriuo panaikinamas Reglamentas (EB) Nr. 45/2001 ir Sprendimas Nr. 1247/2002/EB, pasiūlymo santrauka

(Visą šios nuomonės tekstą anglų, prancūzų ir vokiečių kalbomis galima rasti EDAPP interneto svetainėje www.edps.europa.eu)

(2017/C 164/02)

Europos Sąjunga skelbia naujos kartos duomenų apsaugos standartus. Beveik prieš metus priimtas Bendrasis duomenų apsaugos reglamentas (BDAR) ir Direktyva dėl policijos ir teisingumo sektorių įkūnija iki šiol ambicingiausias ES teisės aktų leidėjo pastangas užtikrinti pagrindines asmens teises skaitmeniniame amžiuje. ES institucijoms atėjo metas pačioms rodyti pavyzdį taisyklėmis, kuriomis jos vadovaujasi kaip duomenų valdytojai ir duomenų tvarkytojai. Per pastaruosius 18 mėnesių EDAPP užmezgė aukščiausio lygmens dialogą su ES institucijomis, kad parengtų jas naujiems iššūkiams atitikties duomenų apsaugos reikalavimams srityje, ir akcentavo naują duomenų tvarkymo būdų atskaitomybės principą. Šia nuomone EDAPP siekia pasidalyti dvylikos metų nepriklausomos priežiūros, konsultacijų dėl politinių klausimų ir gynimo patirtimi ir pasiūlyti Reglamento dėl ES institucijų ir įstaigų tvarkomų asmens duomenų apsaugos patobulinimų.

Reglamentas (EB) Nr. 45/2001 buvo etalonas, kuriame nustatytos tiesiogiai taikomos duomenų valdytojų, duomenų subjektų ir visiškai nepriklausomos priežiūros institucijos pareigos. Dabar ES privalo užtikrinti BDAR laikymąsi, akcentuodama atskaitomybę ir saugiklius, taikomus ne procedūroms, o asmenims. Šiokie tokie ES institucijoms taikomų duomenų tvarkymo skirtumai yra pateisinami, kaip ir BDAR numatytos išimtys viešajam sektoriui, tačiau jie turi būti kaip įmanoma mažesni.

Šiaip ar taip, asmens atžvilgiu ypač svarbu, kad bendrieji ES duomenų apsaugos sistemos principai būtų taikomi nuosekliai, nepriklausomai nuo to, kas yra duomenų valdytojas. Be to, labai svarbu, kad visa sistema įsigaliotų tuo pačiu metu, tai yra 2018 m. gegužės mėn., kai turi visiškai įsigalioti BDAR.

Komisija konsultavosi su EDAPP dėl pasiūlymo projekto pagal seniai sudarytą šių institucijų tarpusavio susitarimą. Manome, kad Komisijai pavyko pasiekti gerą bendrą įvairių interesų balansą. Šioje nuomonėje nurodome, kaip pasiūlymą būtų galima dar patobulinti tam tikrose srityse. Teigiame, kad siūlomą reglamentą reikia tobulinti visų pirma klausimais, susijusiais su duomenų subjekto teisių apribojimu ir nuostata dėl ES institucijų tam tikromis aplinkybėmis naudotinų sertifikavimo mechanizmų. Kalbant apie mūsų, kaip nepriklausomos institucijos, užduotis ir įgaliojimus, atrodo, kad pasiūlyme užtikrinta pagrįsta pusiausvyra ir atsispindi įprastos nepriklausomos duomenų apsaugos institucijos, kaip teisės taikymo, skundų nagrinėjimo institucijos ir teisės aktų leidėjo patarėjos dėl asmens duomenų apsaugos ir privatumo politikos, funkcijos, numatytos Pagrindinių teisių chartijoje ir patvirtintos naujausioje Teisingumo Teismo praktikoje.

Raginame ES teisės aktų leidėją kuo greičiau susitarti dėl pasiūlymo, kad ES institucijos galėtų pasinaudoti pagrįstu pereinamuoju laikotarpiu prieš naujojo reglamento įsigaliojimą.

1. ĮVADAS IR PAGRINDINĖ INFORMACIJA

1.1. Aplinkybės

1. 2017 m. sausio 10 d. Europos Komisija priėmė Europos Parlamento ir Tarybos reglamento dėl asmenų apsaugos Sąjungos institucijoms, įstaigoms, tarnyboms ir agentūroms tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo, kuriuo panaikinamas Reglamentas (EB) Nr. 45/2001 ir Sprendimas Nr. 1247/2002/EB (1), pasiūlymą (toliau – pasiūlymas).

2. Pagrindinė teisė į duomenų apsaugą yra įtvirtinta Europos Sąjungos pagrindinių teisių chartijos (toliau – Chartija) 8 straipsnyje ir Sutarties dėl Europos Sąjungos veikimo (toliau – SESV) 16 straipsnyje.

3. Europos duomenų apsaugos priežiūros pareigūnas (toliau – EDAPP) yra nepriklausoma priežiūros institucija, privalanti užtikrinti, kad Europos institucijos, įstaigos, tarnybos ir agentūros (toliau – ES institucijos) asmens duomenis tvarkytų pagal duomenų apsaugą reglamentuojančių teisės aktų reikalavimus (2). Reikalavimas užtikrinti nepriklausomą kontrolę ES duomenų apsaugos sistemoje įtvirtintas pirminėje teisėje, SESV 16 straipsnio 2 dalyje ir Chartijos 8 straipsnio 3 dalyje. Teisingumo Teismas visada nuosekliai pabrėžia, kad nepriklausomos institucijos atliekama kontrolė yra esminė teisės į duomenų apsaugą dalis, ir yra nustatęs kriterijus, pagal kuriuos vertinamas šis nepriklausomumas (3). Visų pirma priežiūros institucija turi veikti visiškai nepriklausomai, o tai reiškia kompetenciją priimti sprendimus, kai priežiūros institucijai nedaroma jokia, tiesioginė ar netiesioginė, išorinė įtaka (4) ir bet kokių įtarimų dėl šališkumo nebuvimą (5).

4. Pagrindinis teisinis dokumentas, kurį ES institucijos taiko asmens duomenų tvarkymui, yra Reglamentas (EB) Nr. 45/2001 (6) (toliau – Reglamentas 45/2001), kurį papildo Sprendimas Nr. 1247/2002/EB (7).

5. 2016 m. balandžio 27 d. pasibaigus užsitęsusioms deryboms dėl naujosios ES duomenų apsaugos sistemos – Bendrojo duomenų apsaugos reglamento (toliau – BDAR) ir Direktyvos dėl policijos ir teisingumo sektorių – šis pasiūlymas (kartu su Reglamentu dėl privatumo ir elektroninių ryšių (toliau – E. privatumo reglamentas (8))) žymi ES duomenų apsaugos sistemos užbaigimo proceso esminio etapo pradžią. Jame siekiama suderinti Reglamento 45/2001 nuostatas su BDAR numatytomis taisyklėmis, kad Sąjungoje būtų sukurta patvaresnė ir darnesnė duomenų apsaugos sistema ir kad būtų galima tuo pačiu metu taikyti abu dokumentus (9). Be to, į pasiūlymą įtrauktos naujos galutinių naudotojų galinės įrangos apsaugos taisyklės, Komisijos numatytos naujojo E. privatumo reglamento pasiūlyme.

6. 2015–2019 m. strategijoje EDAPP įsipareigojo bendradarbiauti su Europos Parlamentu, Taryba ir Komisija, siekiant užtikrinti, kad esamos taisyklės, numatytos Reglamente 45/2001, būtų suderintos su BDAR, ir kad peržiūrėta sistema įsigaliotų ne vėliau kaip 2018 m. pradžioje. EDAPP palankiai vertina tai, kad Komisija, prieš priimdama pasiūlymą, su juo neoficialiai konsultavosi, ir, atrodo, pasiūlyme atsižvelgta į daug iki šiol neoficialiai aptartų elementų. Kalbant apie tai, ar pasiūlymas kaip galima labiau suderintas su BDAR, EDAPP jį vertina geriau nei patenkinamai, nebent būtina kitaip dėl siaurai apibrėžtos ES viešojo sektoriaus specifikos, ir ypač vertina, kad Komisija jame užtikrino įvairių interesų pusiausvyrą.

7. Nors šioje nuomonėje nurodyta nemažai sričių, kuriose pasiūlymą dar galima tobulinti, EDAPP ragina ES teisės aktų leidėją kuo greičiau susitarti dėl pasiūlymo, kad ES institucijos galėtų pasinaudoti pagrįstu pereinamuoju laikotarpiu prieš naujojo reglamento įsigaliojimą.

1.2. Pasiūlymo tikslai ir laikas

8. Praeityje EDAPP rekomendavo į (tuo metu) rengtą BDAR projektą įtraukti esmines taisykles ES institucijoms (10). ES teisės aktų leidėjas pasirinko kitą galimybę: parengti atskirą teisinį dokumentą, taikytiną ES institucijoms ir suderintą su BDAR bei galiojantį kartu su juo. EDAPP palaiko šį požiūrį: būtų nepriimtina, jei Europos Komisija ir kitos ES institucijos neprivalėtų laikytis taisyklių, lygiaverčių toms, kurios netrukus ims galioti valstybių narių lygmeniu. Be to, būtų nepageidaujama, jei EDAPP prižiūrėtų, kaip ES institucijos laikosi esminių taisyklių, kurios būtų prastesnės nei jo kolegų nacionaliniu lygmeniu prižiūrimos taisyklės, ypač atsižvelgiant į tai, kad EDAPP bus būsimos Europos duomenų apsaugos valdybos (toliau – EDAV) narys (11).

9. Todėl taisyklės, galiojančios ES institucijų vykdomam asmens duomenų tvarkymui, turi būti suderintos su BDAR nuostatomis, išskyrus aspektus, kuriuos pagrindžia siaurai aiškinama viešojo sektoriaus specifika. Šiuo atžvilgiu EDAPP palankiai vertina pasiūlymo 5 konstatuojamąją dalį, kurioje pabrėžta būtinybė kaip galima labiau suderinti nuostatas ir paaiškinta, jog [j]ei šio reglamento nuostatos grindžiamos tomis pačiomis sąvokomis kaip ir tos, kurios vartojamos [BDAR], abi nuostatas reikėtų aiškinti vienodai, visų pirma todėl, kad šio reglamento sistemą reikėtų laikyti lygiaverte [BDAR]sistemai.

10. Kita vertus, nuostatų negalima suderinti su BDAR visiškai arba automatiškai. BDAR numatyta daug straipsnių, kurie leidžia valstybėms narėms tam tikrose srityse turėti arba priimti specialius teisės aktus, įskaitant skirtus valdžios institucijoms (12). Tais atvejais, kai BDAR numatytos specialios taisyklės valdžios institucijoms (13) arba įgyvendinti BDAR nuostatas palikta valstybėms narėms, pasiūlymas atlieka vaidmenį, kurį galima palyginti su nacionalinės teisės aktais, kuriais „įgyvendinamas“ BDAR, kaip, pavyzdžiui, pasiūlymo 9 straipsnyje Asmens duomenų perdavimas Sąjungoje įsteigtiems gavėjams, kurie nėra Sąjungos institucijos ir įstaigos arba 66 straipsnyje Administracinės baudos (žr. 2.8.1 dalį). Be to, svarbu užtikrinti, kad būtų išlaikytas šiuo metu ES institucijoms taikomas aukštas apsaugos lygis. Taigi yra poreikis išlaikyti tam tikrą Reglamento 45/2001 specifiką, pavyzdžiui, kaip 25 straipsnyje Apribojimai (žr. 2.3.1 dalį) ir 44 straipsnyje Duomenų apsaugos pareigūno skyrimas (žr. 2.4.5.1 dalį).

11. Be esminio suderinimo su BDAR, labai svarbu, kad peržiūrėtos taisyklės visiškai įsigaliotų tuo pačiu metu kaip BDAR, t. y. 2018 m. gegužės 25 d. Veiksmingai dalytis informacija ir bendradarbiauti galima per esamą duomenų apsaugos pareigūnų tinklą (toliau – DAP). Taigi EDAPP yra įsitikinęs, kad atitiktį būtų galima užtikrinti per santykinai trumpą pereinamąjį laikotarpį, pvz., tris mėnesius.

12. Atskaitomybės principas, kuriuo pagrįstas BDAR, kaip, beje, ir šis pasiūlymas, reikalauja daugiau nei tiesiog laikytis taisyklių ir reiškia, kad reikėtų keisti kultūrą. Perėjimui palengvinti EDAPP pateikė „atskaitomybės projektą“. Šiomis aplinkybėmis EDAPP per 2016 ir 2017 m. susisiekė su septyniomis pagrindinėmis ES institucijomis ir įstaigomis, kad padėtų laiku parengti BDAR paraišką.

1.3. Taikymo sritis ir santykis su kitais teisiniais dokumentais

13. Praeityje EDAPP kelis kartus ragino Komisiją pasiūlyti patikimą ir išsamią sistemą, kuri būtų plačių užmojų ir padidintų duomenų apsaugos ES veiksmingumą ir darną, ir taip užtikrinti palankią aplinką tolesniam vystymuisi artimiausiais metais (14). Komisija pasirinko kitą būdą ir pasiūlė atskirą teisinį dokumentą duomenų apsaugai teisėsaugos srityje (15). Po to buvo išleisti keli teisės aktai, kuriais įdiegiamas atskiras „autonominis“ duomenų apsaugos režimas (16).

14. EDAPP pripažįsta, kad esama asmens duomenų apsaugos teisinė sistema, nors ir fragmentiška, yra geriausias rezultatas, kokį buvo galima pasiekti (17). EDAPP supranta, kad šis pasiūlymas ir toliau galiotų toms ES institucijoms, kurios šiuo metu patenka į Reglamento 45/2001 (18) taikymo sritį (iš esmės visos buvusio 1 ir 2 „ramsčių“ (19) institucijos ir įstaigos), bet pats savaime neturėtų įtakos esamai arba numatomai „autonominei“ tvarkai (20). Pasiūlymas turės šiai tvarkai įtakos tik atitinkamame teisiniame dokumente aiškiai numatytu atveju ir apimtimi. EDAPP pastebi šį požiūrį, tačiau siūlo jį aiškiau įvardyti pasiūlymo konstatuojamoje dalyje ir galbūt taip pat 2 straipsnyje Taikymo sritis. Kartu EDAPP norėtų pabrėžti, kad įvairių ES institucijų, veikiančių buvusiame pirmajame ir trečiajame ramsčiuose, vykdomą duomenų tvarkymą reglamentuojančių teisės aktų susiskaidymas ir vis didesnis sudėtingumas nėra visiškai tenkinantis rezultatas ir šią problemą ES teisės aktų leidėjui gali prireikti spręsti per vidutinės trukmės laikotarpį.

15. Reglamente 45/2001 numatytos priemonės, kuriomis siekiama apsaugoti ryšio privatumą ir konfidencialumą tais atvejais, kai ES institucijos kontroliuoja naudojamą ryšio infrastruktūrą. Šiuo tikslu į jį įtrauktos tam tikros nuostatos, kurios apima Direktyvos 2002/58/EB (E. privatumo direktyvos) (21) reguliavimo sritį, ir įtvirtintas principas, kad pagrindinių teisių apsaugos taisyklės turi būti nuosekliai ir suderintai taikomos visoje Sąjungoje, pateikiant nuorodas į atitinkamus dokumentus, pavyzdžiui, Direktyvą dėl privatumo ir elektroninių ryšių (22). Poreikis užtikrinti tokį patį ryšio privatumo ir konfidencialumo lygį ir ES institucijoms išlieka nepakitęs, todėl būtina išlaikyti nuoseklaus ir suderinto taikymo principą. Todėl EDAPP mano, jog pasiūlymu turi būti užtikrinta, kad atitinkamos BDAR ir būsimo E. privatumo reglamento taisyklės būtų taikomos ES institucijoms mutatis mutandis. Tai pasakytina ir apie konfidencialumo, ir privatumo išsaugojimą naudojantis ES institucijų kontroliuojamomis ryšio paslaugomis, taip pat apie kitų būsimame E. privatumo reglamente numatytų principų, pavyzdžiui, galinių įrenginių apsaugos, užtikrinimą ir kitas taisykles, pvz., dėl sekimo ir brukalo.

16. Galiausiai, kadangi ES duomenų apsaugą reglamentuojantys teisės aktai galioja ir EEE, o dalyvaujančios ELPA šalys privalo įsteigti nepriklausomas priežiūros institucijas pagal BDAR, ELPA institucijoms netaikomos specialios duomenų apsaugos taisyklės ir priežiūra, nors jos keičiasi asmens duomenimis su ES institucijomis. EDAPP nuomone, šis pasiūlymas galėtų būti galimybė išspręsti šį klausimą.

3. IŠVADOS

90. Apskritai, EDAPP nuomone, pasiūlyme ES institucijoms skirtos taisyklės yra sėkmingai suderintos su BDAR, atsižvelgiant į ES viešojo sektoriaus specifiką. Pasiūlyme bendrai išlaikytas aukštas ES institucijų vykdomo duomenų tvarkymo apsaugos lygis. EDAPP ypač vertina, kad Komisija pasiekė įvairių atitinkamų interesų pusiausvyrą.

91. EDAPP manymu, pasiūlymą reikia toliau tobulinti, visų pirma aspektus, susijusius su 25 straipsnyje numatytų apribojimų metodais. Siekiant užtikrinti pirmiau minėtus teisės aktų kokybės reikalavimus, reikėtų pakeisti pasiūlymo 25 straipsnio 1 dalį ir numatyti, kad pagrindinės teisės gali būti apribojamos tik remiantis Sutartimis priimtais teisės aktais, ir taip ES institucijoms būtų taikomi tokie patys standartai, kokie pagal BDAR galioja valstybėms narėms. Tiek, kiek svarstomi 34 straipsnio Elektroninių pranešimų konfidencialumas pakeitimai, EDAPP ragina ES teisės aktų leidėją užtikrinti, kad galimiems pagrindinės teisės į ES institucijų ryšių privatumą vykdant savo veiklą apribojimams galiotų tokie pat standartai, kokie numatyti Sąjungos teisėje ir kaip juos šioje srityje aiškina Teisingumo Teismas.

92. EDAPP palankiai vertina tai, kad pasiūlyme yra keli straipsniai dėl EDAPP, kaip ES institucijų konsultanto, vaidmens (pasiūlymo 42 straipsnis). Nepaisant to, jis yra sunerimęs, kad dėl formuluotės [p]riėmusi pasiūlymus (priešingai nei [p]riimdama siūlomą įstatymo projektą Reglamento 45/2001 28 straipsnio 2 dalyje) gali kilti klausimas dėl seniai prisiimto Europos Komisijos įsipareigojimo neoficialiai, paprastai tarpžinybinės konsultacijos etape, konsultuotis su EDAPP dėl pasiūlymų projektų. Atsižvelgiant į neoficialios konsultacijos svarbą, EDAPP palankiai vertintų konstatuojamąją dalį, kurioje Komisija pakartotų savo įsipareigojimą vykdyti šią seniai nusistovėjusią praktiką. Be to, jis pritartų, jei pasiūlyme būtų išlaikyta reglamento 45/2001 28 straipsnio 2 dalies formuluotė („priimdama“), kuri šiuo požiūriu suteikia daugiau laisvės. Jo manymu, siūloma 42 straipsnio formuluotė pakankamai paaiškina atitinkamus EDAPP ir EDAV uždavinius, kad ateityje jie be reikalo nesidubliuotų.

93. EDAPP mano, kad galimybė pavesti DAP funkcijas vykdyti samdytiems tretiesiems asmenims netinka ES institucijoms, atliekančioms valdžios institucijų funkcijas. Atitinkamai turi būti išbraukta antroji alternatyva, numatyta 44 straipsnio 4 dalyje (arba atlikti užduotis pagal paslaugų teikimo sutartį).

94. EDAPP palankiai vertina pasiūlymo 66 straipsnį, kuris suteiktų EDAPP teisę taikyti administracines baudas. Jis mano, kad iš ES priežiūros institucijos atėmus teisę reikiamais atvejais taikyti administracines baudas ES institucijoms būtų suteikta privilegijuota padėtis, palyginti su daugelio valstybių narių viešojo sektoriaus institucijomis.

95. EDAPP manymu, labai naudingos priemonės ES institucijoms gali būti sertifikavimo mechanizmai, beje, jie jau naudojami tam tikromis aplinkybėmis, pvz., sertifikuojant atitiktį visuotinai priimtiems standartams. Todėl 26 straipsnį Duomenų valdytojo atsakomybė, 27 straipsnį Pritaikytoji duomenų apsauga ir standartizuotoji duomenų apsauga ir 33 straipsnį Duomenų tvarkymo saugumas reikia papildyti nuoroda į sertifikavimo naudojimą (o ne į elgesio kodeksus).

96. Nors šioje nuomonėje nurodyta nemažai vietų, kuriose pasiūlymą galima dar patobulinti, EDAPP ragintų ES teisės aktų leidėją kuo greičiau susitarti dėl pasiūlymo, kad ES institucijos galėtų pasinaudoti pagrįstu pereinamuoju laikotarpiu prieš naujojo reglamento įsigaliojimą, ir jis galėtų įsigalioti tuo pačiu metu kaip BDAR, 2018 m. gegužės mėn.

2017 m. kovo 15 d., Briuselis Giovanni BUTTARELLI Europos duomenų apsaugos priežiūros pareigūnas

(1) COM(2017) 8 final; 2017/0002 (COD) (later, “the Proposal”).

(2) Article 286 EC rendered the (then) Community rules on data protection applicable to EU institutions and bodies and mandated the creation of a dedicated independent supervisory authority (later, the EDPS).

(3) Case C-518/07 Commission v Germany, EU:C:2010:125; Case C-614/10 Commission v Austria, EU:C:2012:631; Case C-288/12 Commission v Hungary, EU:C:2014:237; Case C-362/14 Maximilian Schrems v Data Protection Commissioner, ECLI:EU:C:2015:650.

(4) Case C-518/07 Commission v Germany, supra para. 19.

(5) Case C-288/12 Commission v Hungary, supra para. 53.

(6) See supra note 3.

(7) Decision No 1247/2002/EC of the European Parliament, of the Council and of the Commission of 1 July 2002 on the regulations and general conditions governing the performance of the European Data Protection Supervisor’s duties, OJ L 183, 12.7.2002, p. 1.

(8) Proposal for a Regulation of the European Parliament and of the Council concerning the respect for private life and the protection of personal data in electronic communications and repealing Directive 2002/58/EC (Regulation on Privacy and Electronic Communications), COM(2017) 10 final, 2017/0003 (COD).

(9) See Article 98 and recital 17 of the GDPR.

(10) See e.g. the EDPS Opinion of 7 March 2012 on the data protection reform package, OJ C 192, 30.6.2012, p. 7.

(11) EDPS Opinion of 7 March 2012 on the data protection reform package, p. 6.

(12) See in particular Article 6(3) and recital 10 to the GDPR: “Regarding the processing of personal data for compliance with a legal obligation, for the performance of a task carried out in the public interest or in the exercise of official authority vested in the controller, Member States should be allowed to maintain or introduce national provisions to further specify the application of the rules of this Regulation. In conjunction with the general and horizontal law on data protection implementing Directive 95/46/EC, Member States have several sector-specific laws in areas that need more specific provisions. This Regulation also provides a margin of manoeuvre for Member States to specify its rules, including for the processing of special categories of personal data (‘sensitive data’). To that extent, this Regulation does not exclude Member State law that sets out the circumstances for specific processing situations, including determining more precisely the conditions under which the processing of personal data is lawful.”

(13) E.g. last sentence of Article 6(1), Article 20(5), Article 27, Article 37, Article 41 or Article 46(2)(a) of the GDPR.

(14) See in particular the EDPS Opinion of 14 January 2011 on the Communication “A comprehensive approach on personal data in the European Union”, OJ L 181, 22.6.2011, p. 1.

(15) See supra note 5.

(16) Proposal for a Regulation of the European Parliament and of the Council on the European Union Agency for Law Enforcement Cooperation and Training (Europol) and repealing Decisions 2009/371/JHA and 2005/681/JHA, COM(2013) 173 final, now adopted as Regulation 2016/794 and published in OJ L 135 24.5.2016, p. 53; Proposal for a Council Regulation on the establishment of the European Public Prosecutor's Office, COM(2013) 534 final. See also the Council General approach [First reading] on the Proposal for a Regulation on the European Union Agency for Criminal Justice Cooperation (Eurojust) available at: http://data.consilium.europa.eu/doc/document/ST-6643-2015-INIT/en/pdf.

(17) EDPS Opinion 3/2015 “Europe’s big opportunity - EDPS recommendations on the EU’s options for data protection reform”, available at: https://secure.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/Consultation/Opinions/2015/15-10-09_GDPR_with_addendum_EN.pdf.

(18) See the list of EU institutions and bodies available at: http://publications.europa.eu/code/en/en-390500.htm.

(19) Regulation 45/2001 already today applies to, inter alia, the European Defence Agency, European Union Institute for Security Studies, and the European Union Satellite Centre.

(20) Europol, Eurojust, EPPO, supra note 21.

(21) Directive 2002/58/EC of the European Parliament and of the Council of 12 July 2002 concerning the processing of personal data and the protection of privacy in the electronic communications sector (Directive on privacy and electronic communications, OJ L 201, 31.7.2002, p. 37, as amended (later, “the ePrivacy Directive”).

(22) Recitals 10-12 ePrivacy Directive.