EUROPOS KOMISIJA Briuselis, 2019 05 29 COM(2019) 250 final KOMISIJOS KOMUNIKATAS EUROPOS PARLAMENTUI IR TARYBAI EMPTY Gairės dėl Reglamento dėl laisvo ne asmens duomenų judėjimo Europos Sąjungoje pagrindų



Turinys 1. Įvadas Šių gairių paskirtis 2. Laisvo ne asmens duomenų judėjimo reglamento ir Bendrojo duomenų apsaugos reglamento sąveika: mišrūs duomenų rinkiniai 2.1. Ne asmens duomenų sąvoka Laisvo ne asmens duomenų judėjimo reglamente Asmens duomenys Ne asmens duomenys 2.2. Mišrūs duomenų rinkiniai 3. Laisvas duomenų judėjimas ir duomenų vietos reikalavimų panaikinimas 3.1. Laisvas ne asmens duomenų judėjimas 3.2. Laisvas asmens duomenų judėjimas 3.3 Laisvo ne asmens duomenų judėjimo reglamento taikymo sritis 3.4 Veikla, susijusi su valstybių narių vidaus organizavimu 4 Laisvą duomenų judėjimą skatinantys savitvarkos metodai 4.1 Duomenų perkėlimas ir debesijos paslaugų teikėjų keitimas Perkeliamumo sąvoka ir sąveika su Bendruoju duomenų apsaugos reglamentu 4.2 Asmens duomenų apsaugos elgesio taisyklių sąvadai ir sertifikavimo schemos 4.3 Pasitikėjimo tarptautiniu duomenų tvarkymu skatinimas. Saugumo sertifikavimas Baigiamosios pastabos

Šį dokumentą Europos Komisija pateikia tik informavimo tikslais. Jis nelaikytinas nei oficialiu 2018 m. lapkričio 14 d. Europos Parlamento ir Tarybos reglamento (ES) 2018/1807 dėl laisvo ne asmens duomenų judėjimo Europos Sąjungoje pagrindų išaiškinimu, nei Europos Komisijos sprendimu ar pozicija. Juo nedaromas poveikis jokiam tokiam Europos Komisijos sprendimui ar pozicijai, taip pat Europos Sąjungos Teisingumo Teismo įgaliojimams aiškinti reglamentą vadovaujantis ES sutartimis.



1. Įvadas Ekonomika vis labiau grindžiama duomenimis, todėl duomenų srautai yra labai svarbus bet kokio dydžio ir bet kurio sektoriaus įmonių verslo procesų elementas. Naujos skaitmeninės technologijos atveria naujų galimybių Europos Sąjungos (toliau – ES) plačiajai visuomenei, įmonėms ir viešojo administravimo institucijoms. Kad būtų toliau skatinamas tarpvalstybinis keitimasis duomenimis ir duomenų ekonomikos augimas, Europos Parlamentas ir Taryba, remdamiesi Europos Komisijos (toliau – Komisija) pasiūlymu, 2018 m. lapkričio mėn. priėmė Reglamentą (ES) 2018/1807 dėl laisvo ne asmens duomenų judėjimo Europos Sąjungoje pagrindų (toliau – Laisvo ne asmens duomenų judėjimo reglamentas). Šis reglamentas taikomas nuo 2019 m. gegužės 28 d. Laisvo asmens duomenų judėjimo principas jau yra nustatytas Reglamente (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo, kuriuo panaikinama Direktyva 95/46/EB (toliau – Bendrasis duomenų apsaugos reglamentas). Todėl jau padėti visapusiški Europos bendros duomenų erdvės ir laisvo visų duomenų judėjimo Europos Sąjungoje pagrindai. Laisvo ne asmens duomenų judėjimo reglamentas suteikia teisinio tikrumo įmonėms – pagal jį jos gali tvarkyti duomenis bet kurioje norimoje ES vietoje, be to, jis padeda didinti pasitikėjimą duomenų tvarkymo paslaugomis ir kovoti su susaistymo su pardavėju praktika. Tai suteiks klientams daugiau pasirinkimo galimybių, padės didinti efektyvumą ir skatins diegti debesijos technologijas – dėl to ES įmonės sutaupys daug lėšų. Vieno tyrimo duomenimis, prie debesijos kompiuterijos perėjusių ES įmonių IT išlaidos gali sumažėti 20–50 proc. Šiais dviem reglamentais užtikrinamas laisvas duomenų judėjimas tarp valstybių narių – tai suteikia duomenų tvarkymo paslaugų naudotojams galimybę naudoti skirtingose ES rinkose surinktus duomenis savo produktyvumui ir konkurencingumui didinti. Todėl naudotojai gali visapusiškai pasinaudoti didelės ES rinkos teikiamais masto ekonomijos pranašumais ir taip didinti savo konkurencingumą pasaulyje bei stiprinti vidinius Europos duomenų ekonomikos ryšius. Trys svarbūs Laisvo ne asmens duomenų judėjimo reglamento aspektai: ·juo valstybėms narėms iš esmės draudžiama nustatyti duomenų vietos reikalavimus. Šios taisyklės išimtys gali būti pateisinamos tik visuomenės saugumo priežastimis, laikantis proporcingumo principo; ·jame nustatomas bendradarbiavimo mechanizmas, kad kompetentingos institucijos ir toliau galėtų naudotis turimomis teisėmis susipažinti su kitoje valstybėje narėje tvarkomais duomenimis; ·juo įmonėms suteikiama paskatų padedant Komisijai parengti savitvarkos elgesio taisyklių, susijusių su paslaugų teikėjų keitimu ir duomenų perkėlimu, sąvadus. Šių gairių paskirtis Šiomis gairėmis įgyvendinama Laisvo ne asmens duomenų judėjimo reglamento 8 straipsnio 3 dalis, kurioje reikalaujama, kad Komisija paskelbtų gaires dėl to reglamento ir Bendrojo duomenų apsaugos reglamento sąveikos, „visų pirma kiek tai susiję su duomenų rinkiniais, kuriuos sudaro ir asmens, ir ne asmens duomenys“. Šių gairių paskirtis – padėti naudotojams, ypač mažosioms ir vidutinėms įmonėms, suprasti Laisvo ne asmens duomenų judėjimo reglamento ir Bendrojo duomenų apsaugos reglamento sąveiką. Todėl šiose gairėse visų pirma nagrinėjami šie aspektai: i) ne asmens ir asmens duomenų sąvokos; ii) abiejuose reglamentuose nustatyti laisvo duomenų judėjimo principai ir draudimai taikyti duomenų vietos reikalavimus; iii) duomenų perkeliamumo sąvoka pagal Laisvo ne asmens duomenų judėjimo reglamentą. Jose aptariami ir abiejuose reglamentuose nustatyti savitvarkos reikalavimai. Laisvo ne asmens duomenų judėjimo reglamentas taikomas tik duomenims, kurie nėra Bendrajame duomenų apsaugos reglamente apibrėžti asmens duomenys. Bendruoju duomenų apsaugos reglamentu reglamentuojamas asmens duomenų tvarkymas – tai labai svarbus ES duomenų apsaugos sistemos elementas. Šis reglamentas valstybėse narėse įsigaliojo 2018 m. gegužės 25 d. Jame nustatomos suderintos taisyklės dėl ES ir EEE gyventojų apsaugos tvarkant jų asmens duomenis ir dėl laisvo tokių duomenų judėjimo. Bendrajame duomenų apsaugos reglamente, be kita ko, i) nurodoma, kokia informacija yra asmens duomenys, ii) nustatomi teisiniai jų tvarkymo pagrindai ir iii) nustatomos teisės ir pareigos, kurių reikia paisyti ir kurias reikia vykdyti tvarkant šiuos duomenis. Dėl laisvo asmens duomenų judėjimo principo Bendrojo duomenų apsaugos reglamento 1 straipsnio 3 dalyje nustatyta, kad „[l]aisvas asmens duomenų judėjimas Sąjungoje nėra nei ribojamas, nei draudžiamas dėl su fizinių asmenų apsauga tvarkant jų asmens duomenis susijusių priežasčių“. Realybėje duomenų rinkinius daugeliu atvejų greičiausiai sudaro ir asmens, ir ne asmens duomenys. Tokie rinkiniai dažnai vadinami mišriais duomenų rinkiniais. 2.2 skirsnyje smulkiau paaiškinama Laisvo ne asmens duomenų judėjimo reglamento ir Bendrojo duomenų apsaugos reglamento sąveika, susijusi su mišriais duomenų rinkiniais. Siekiant aiškumo, Bendrajame duomenų apsaugos reglamente ir Laisvo ne asmenų duomenų judėjimo reglamente nėra nustatyta prieštaringų įpareigojimų. 2. Laisvo ne asmens duomenų judėjimo reglamento ir Bendrojo duomenų apsaugos reglamento sąveika: mišrūs duomenų rinkiniai 2.1. Ne asmens duomenų sąvoka Laisvo ne asmens duomenų judėjimo reglamente

Laisvo ne asmens duomenų judėjimo reglamentu siekiama užtikrinti laisvą duomenų, išskyrus asmens duomenis, judėjimą. Visame reglamento tekste vartojama sąvoka „duomenys“ turėtų būti suprantama kaip duomenys, išskyrus Reglamento (ES) 2016/679 [Bendrojo duomenų apsaugos reglamento] 4 straipsnio 1 punkte apibrėžtus asmens duomenis. Tokie duomenys, kurie šiame dokumente dar vadinami ne asmens duomenimis, apibrėžiami kaip Bendrajame duomenų apsaugos reglamente nurodytų asmens duomenų priešprieša (a contrario). Asmens duomenys Bendrajame duomenų apsaugos reglamente nurodoma: „asmens duomenys – bet kokia informacija apie fizinį asmenį, kurio tapatybė nustatyta arba kurio tapatybę galima nustatyti (duomenų subjektas); fizinis asmuo, kurio tapatybę galima nustatyti, yra asmuo, kurio tapatybę tiesiogiai arba netiesiogiai galima nustatyti, visų pirma pagal identifikatorių, kaip antai vardą ir pavardę, asmens identifikavimo numerį, buvimo vietos duomenis ir interneto identifikatorių arba pagal vieną ar kelis to fizinio asmens fizinės, fiziologinės, genetinės, psichinės, ekonominės, kultūrinės ar socialinės tapatybės požymius.“ Asmens duomenų apibrėžtis tikslingai plati ir Bendrajame duomenų apsaugos reglamente yra iš esmės nepakeista, palyginti su ankstesniu teisės aktu. Įvairūs asmens duomenų apibrėžties elementai, pavyzdžiui, „bet kokia informacija“, „apie“, „kurio tapatybė nustatyta arba kurio tapatybę galima nustatyti“, jau išnagrinėti 2007 m. birželio 20 d. 29 straipsnio darbo grupės nuomonėje 4/2007 (WP 136) dėl asmens duomenų sąvokos. Tokiose srityse kaip moksliniai tyrimai įprasta asmens duomenims suteikti pseudonimus, kad nebūtų atskleista asmens tapatybė. Pseudonimų suteikimas yra asmens duomenų tvarkymas taip, kad nesinaudojant papildoma informacija jų nebūtų įmanoma susieti su konkrečiu asmeniu. Ši papildoma informacija saugoma atskirai ir yra apsaugota organizacinėmis arba techninėmis (pavyzdžiui, šifravimo) priemonėmis,. Nepaisant to, duomenys, kuriems suteikti pseudonimai, yra tebelaikomi informacija apie asmenį, kurio tapatybę galima nustatyti, jei naudojantis papildoma informacija juos įmanoma susieti su tuo asmeniu. Tokie duomenys pagal Bendrąjį duomenų apsaugos reglamentą laikomi asmens duomenimis. Ne asmens duomenys Jei duomenys nėra Bendrajame duomenų apsaugos reglamente apibrėžti asmens duomenys, jie laikomi ne asmens duomenimis. Pagal kilmę galima išskirti šias ne asmens duomenų grupes: ·pirma, duomenys, kurie nuo pat pradžių nėra susiję su fiziniu asmeniu, kurio tapatybė nustatyta arba kurio tapatybę galima nustatyti, pavyzdžiui, ant vėjo jėgainių įrengtų jutiklių sugeneruoti duomenys apie oro sąlygas arba duomenys apie pramonės mašinų techninės priežiūros poreikius; ·antra, duomenys, kurie iš pradžių buvo asmens duomenys, bet vėliau tapo anoniminiai. Asmens duomenų anoniminimas nėra tas pat, kas pseudonimų suteikimas (žr. pirmiau), nes tinkamai anonimintų duomenų neįmanoma susieti su konkrečiu asmeniu net naudojantis papildomais duomenimis, todėl jie laikomi ne asmens duomenimis. Vertinant, ar duomenys anoniminti tinkamai, turi būti atsižvelgiama į konkrečias ir specifines kiekvieno atskiro atvejo aplinkybes. Keletas pakartotinio tapatybės nustatymo iš anoniminiais laikytų duomenų rinkinių pavyzdžių rodo, kad atlikti tokį vertinimą gali būti sudėtinga. Norint įvertinti, ar asmens tapatybė gali būti nustatyta, reikia atsižvelgti į visas pagrįstai tikėtinas asmens tapatybės tiesioginio ar netiesioginio nustatymo priemones, kurias gali panaudoti duomenų valdytojas ar kitas asmuo. Ne asmens duomenų pavyzdžiai ·Anoniminiais gali būti laikomi duomenys, apibendrinti taip, kad iš jų nebegalima nustatyti atskirų įvykių, pavyzdžiui, atskirų asmens kelionių į užsienį ar jo keliavimo modelių (šie duomenys gali būti laikomi asmens duomenimis). Anoniminiai duomenys naudojami, pavyzdžiui, rengiant statistiką arba pardavimo ataskaitas (pavyzdžiui, siekiant įvertinti tam tikro produkto ir jo savybių populiarumą). ·Kiti pavyzdžiai – didelio dažnio prekybos duomenys finansų sektoriuje arba tiksliojo ūkininkavimo duomenys, padedantys stebėti ir optimizuoti pesticidų, maisto medžiagų ir vandens naudojimą. Tačiau jei ne asmens duomenis galima kokiu nors būdu susieti su konkrečiu asmeniu ir taip sudaryti sąlygas tiesiogiai ar netiesiogiai nustatyti jo tapatybę, šie duomenys turi būti laikomi asmens duomenimis. Pavyzdžiui, jei gamybos linijos kokybės kontrolės ataskaitos duomenis galima susieti su konkrečiais gamyklos darbuotojais (pavyzdžiui, darbuotojais, kurie nustato gamybos parametrus), jie turi būti laikomi asmens duomenimis ir turi būti taikomas Bendrasis duomenų apsaugos reglamentas. Tokios pačios taisyklės taikomos, kai dėl technologijų ir duomenų analizės raidos tampa įmanoma anoniminius duomenis paversti asmens duomenimis. Kadangi asmens duomenų apibrėžtyje nurodomi fiziniai asmenys, juridinių asmenų pavadinimų ir kontaktinių duomenų rinkiniai iš principo yra ne asmens duomenys. Tačiau tam tikrais atvejais jie gali būti asmens duomenys. Taip gali būti, pavyzdžiui, jei juridinio asmens pavadinimas sutampa su fizinio asmens, kuriam jis priklauso, vardu ir pavarde arba jei ši informacija susijusi su fiziniu asmeniu, kurio tapatybė nustatyta arba kurio tapatybę galima nustatyti. 2.2. Mišrūs duomenų rinkiniai Laisvo duomenų judėjimo Europos Sąjungoje klausimas Laisvo ne asmens duomenų judėjimo reglamente ir Bendrajame duomenų apsaugos reglamente nagrinėjamas dviem skirtingais požiūriais.

Laisvo ne asmens duomenų judėjimo reglamente nustatomas bendras draudimas taikyti ne asmens duomenų vietos reikalavimus. Reglamento 4 straipsnio 1 dalimi draudžiama taikyti duomenų vietos reikalavimus, išskyrus atvejus, kai jie pateisinami visuomenės saugumo priežastimis, laikantis proporcingumo principo. Bendruoju duomenų apsaugos reglamentu užtikrinama ne tik aukšto lygio asmens duomenų apsauga, bet ir laisvas asmens duomenų judėjimas. Reglamento 1 straipsnio 3 dalyje nustatyta, kad laisvas asmens duomenų judėjimas „nėra nei ribojamas, nei draudžiamas dėl su fizinių asmenų apsauga tvarkant jų asmens duomenis susijusių priežasčių“. Kartu šiais dviem reglamentais numatomas laisvas visų duomenų judėjimas Europos Sąjungoje. Konkrečios nuostatos išsamiau nagrinėjamos 3.1 ir 3.2 skirsniuose. Mišrų duomenų rinkinį sudaro ir asmens, ir ne asmens duomenys. Mišrūs duomenų rinkiniai sudaro didžiąją duomenų ekonomikoje naudojamų duomenų rinkinių dalį ir yra įprasti dėl technologinių naujovių, pavyzdžiui, daiktų interneto (jį sudaro skaitmeniniu ryšiu susieti objektai), dirbtinio intelekto ir technologijų, sudarančių sąlygas didžiųjų duomenų analizei. Mišrių duomenų rinkinių pavyzdžiai: ·įmonės mokesčių apskaitos duomenys, kuriuose nurodytas įmonės valdančiojo direktoriaus vardas, pavardė ir telefono numeris; ·banko duomenų rinkiniai, visų pirma rinkiniai, apimantys informaciją apie klientą ir sandorių duomenis. Pavyzdžiai: mokėjimo (kredito ir debeto kortelėmis) paslaugos, ryšių su partneriais valdymo (PRM) sistemos, paskolų susitarimai ir dokumentai, kuriuose pateikiami ir su fiziniais, ir su juridiniais asmenimis susiję duomenys; ·mokslo tiriamosios institucijos turimi anoniminti statistiniai duomenys ir surinkti pradiniai neapdoroti duomenys, pavyzdžiui, atskirų respondentų atsakymai į statistinio tyrimo klausimus; ·įmonės žinių apie IT problemas ir jų sprendimus duomenų bazė, pagrįsta atskirų IT incidentų ataskaitomis; ·su daiktų internetu susiję duomenys, apimantys duomenis, iš kurių galima daryti prielaidas apie asmenis, kurių tapatybę galima nustatyti (pavyzdžiui, prielaidas apie jų buvimą konkrečioje vietoje ir naudojimo įpročius); ·gamybos įrangos naudojimo žurnalo duomenų analizė gamybos pramonėje. Pavyzdys: ryšių su klientais valdymo paslaugos Kai kurie bankai naudojasi trečiųjų šalių teikiamomis ryšių su klientais valdymo (CRM) paslaugomis – tam CRM sistemoje turi būti pateikiami kliento duomenys. CRM sistemoje saugomi duomenys apima visą informaciją, kurios reikia norint veiksmingai valdyti bendravimą su klientu, kaip antai jo pašto ir e. pašto adresus, telefono numerį, informaciją apie perkamus produktus bei paslaugas ir pardavimo ataskaitas, įskaitant apibendrintus duomenis. Taigi šie duomenys gali apimti ir asmens, ir ne asmens duomenis apie klientą. Dėl mišrių duomenų rinkinių Laisvo ne asmens duomenų judėjimo reglamente nurodoma: „Tais atvejais, kai duomenų rinkinius sudaro ir asmens, ir ne asmens duomenys, šis reglamentas taikomas duomenų rinkinio daliai, kurią sudaro ne asmens duomenys. Kai asmens ir ne asmens duomenys duomenų rinkinyje yra neatsiejamai susiję, šiuo reglamentu nedaromas poveikis Reglamento (ES) 2016/679 taikymui.“ Tai reiškia, kad tuo atveju, kai duomenų rinkinį sudaro ir asmens, ir ne asmens duomenys: ·duomenų rinkinio daliai, kurią sudaro ne asmens duomenys, taikomas Laisvo ne asmens duomenų judėjimo reglamentas; ·duomenų rinkinio daliai, kurią sudaro asmens duomenys, taikoma Bendrojo duomenų apsaugos reglamento nuostata dėl laisvo duomenų judėjimo; ·jei ne asmens ir asmens duomenys rinkinyje yra neatsiejamai susiję, visam mišriam duomenų rinkiniui, net jei asmens duomenys sudaro tik nedidelę jo dalį, visapusiškai taikomos Bendrajame duomenų apsaugos reglamente nustatytos duomenų apsaugos teisės ir pareigos. Šis aiškinimas atitinka teisę į asmens duomenų apsaugą, kuri užtikrinama Europos Sąjungos pagrindinių teisių chartijoje ir Laisvo ne asmens duomenų judėjimo reglamento 8 konstatuojamojoje dalyje. Šio reglamento 8 konstatuojamojoje dalyje nustatyta, kad „šiuo reglamentu nedaromas poveikis teisiniam pagrindui dėl fizinių asmenų apsaugos tvarkant asmens duomenis <...> ir visų pirma [Bendrajam duomenų apsaugos reglamentui] ir <...> direktyvoms (ES) 2016/680 ir 2002/58/EB“.

Praktinis pavyzdys ES veiklą vykdanti bendrovė teikia paslaugas naudodamasi interneto platforma. Įmonės (klientai) kelia į platformą dokumentus, kurie apima mišrius duomenų rinkinius. Dokumentus į platformą kelianti įmonė, kaip duomenų valdytoja, turi užtikrinti, kad duomenys būtų tvarkomi laikantis Bendrojo duomenų apsaugos reglamento. Duomenų valdytojos vardu tvarkydama duomenų rinkinį, paslaugas teikianti bendrovė (toliau – duomenų tvarkytoja) duomenis turi saugoti ir tvarkyti laikydamasi Bendrojo duomenų apsaugos reglamento, pavyzdžiui, ji turi užtikrinti, kad, be kita ko, naudojant šifravimo priemones, būtų garantuotas tinkamas duomenų saugumo lygis. Sąvoka „neatsiejamai susiję“ neapibrėžta nė viename iš šių dviejų reglamentų. Praktiniais sumetimais ji gali apibūdinti situaciją, kai duomenų rinkinį sudaro ir asmens, ir ne asmens duomenys ir kai juos atskirti vienus nuo kitų būtų arba neįmanoma, arba, duomenų valdytojo požiūriu, ekonomiškai neefektyvu ar techniškai neįgyvendinama. Pavyzdžiui, pirkdama ryšių su klientais valdymo (CRM) ir pardavimo ataskaitų rengimo sistemas, įmonė turėtų išleisti programinei įrangai dvigubai daugiau, nes turėtų atskirai pirkti CRM (asmens duomenys) programinę įrangą ir pardavimo ataskaitų rengimo (apibendrinti ir (arba) ne asmens duomenys) remiantis CRM duomenimis programinę įrangą. Rinkinį sudarančių duomenų atskyrimas taip pat gali gerokai sumažinti duomenų rinkinio vertę. Be to, duomenų pobūdis kinta (žr. 2.1 skirsnį) ir dėl to dar sunkiau įžvelgti aiškius skirtumus tarp skirtingų kategorijų duomenų, taigi ir juos atskirti. Svarbu tai, kad nė viename iš šių dviejų reglamentų įmonės nėra įpareigojamos atskirti jų valdomus ar tvarkomus rinkinius sudarančių duomenų. Todėl tais atvejais, kai duomenų rinkinys yra mišrus, paprastai turi būti vykdomos Bendrajame duomenų apsaugos reglamente nustatytos duomenų valdytojų ir tvarkytojų pareigos ir paisoma jame nustatytų duomenų subjektų teisių. Asmens sveikatos duomenų tvarkymas Asmens sveikatos duomenys gali būti mišraus duomenų rinkinio dalis. Pavyzdžiai: elektroniniai sveikatos įrašai, klinikinių tyrimų duomenys arba įvairių mobiliųjų sveikatos ir gerovės (pavyzdžiui, sveikatos būklės vertinimo, priminimo išgerti vaistus arba kūno rengybos pažangos sekimo) programėlių renkami duomenys. Dėl technologijų raidos tiksliai atskirti šiuos duomenų rinkinius sudarančius asmens ir ne asmens duomenis vienus nuo kitų tampa vis sunkiau. Todėl tokie duomenų rinkiniai turi būti tvarkomi laikantis Bendrojo duomenų apsaugos reglamento, ypač (atsižvelgiant į tai, kad asmens sveikatos duomenys pagal tą reglamentą laikomi specialios kategorijos duomenimis) jo 9 straipsnio, kuriame nustatytas bendras draudimas tvarkyti specialių kategorijų duomenis ir šio draudimo išimtys. Asmens sveikatos duomenis apimančių mišrių rinkinių duomenys gali būti vertingas informacijos šaltinis, pavyzdžiui, atliekant tolesnius medicinos mokslinius tyrimus, vertinant šalutinį receptinio vaisto poveikį, rengiant ligų statistiką ar kuriant naujas sveikatos priežiūros paslaugas ar gydymo būdus. Tačiau atliekant pirminio ir tolesnio duomenų tvarkymo veiksmus turi būti laikomasi Bendrojo duomenų apsaugos reglamento. Todėl toks asmens sveikatos duomenų tvarkymas turi turėti tinkamą teisinį pagrindą ir deramą pagrindimą, būti saugus ir atliekamas numačius pakankamas apsaugos priemones. Galiausiai svarbu suteikti asmenims ir įmonėms teisinį tikrumą ir užtikrinti jų pasitikėjimą duomenų tvarkymu. Tai labai svarbu ir duomenų ekonomikai. Šiais dviem reglamentais įgyvendinamas šis tikslas ir kartu jais abiem siekiama netrikdyti laisvo duomenų judėjimo. 3. Laisvas duomenų judėjimas ir duomenų vietos reikalavimų panaikinimas Šiame skirsnyje išsamiau paaiškinama Laisvo ne asmens duomenų judėjimo reglamente vartojama duomenų vietos reikalavimų sąvoka ir Bendrajame duomenų apsaugos reglamente vartojama laisvo judėjimo principo sąvoka. Nors šios nuostatos skirtos valstybėms narėms, įmonėms gali būti naudinga susidaryti tikslesnį vaizdą apie tai, kaip šie du reglamentai padeda užtikrinti laisvą visų duomenų judėjimą Europos Sąjungoje. 3.1. Laisvas ne asmens duomenų judėjimas Laisvo ne asmens duomenų judėjimo reglamente nustatyta, kad „[d]uomenų vietos reikalavimai yra draudžiami, išskyrus atvejus, kai jie pateisinami visuomenės saugumo priežastimis laikantis proporcingumo principo“. Duomenų vietos reikalavimas yra apibrėžtas kaip „valstybės narės įstatymuose ar kituose teisės aktuose numatyta arba dėl bendrosios ir nuoseklios valstybių narių ir viešosios teisės reglamentuojamų subjektų administracinės praktikos, įskaitant praktiką viešųjų pirkimų srityje, nedarant poveikio Direktyvos 2014/24/ES taikymui, kylanti pareiga, draudimas, sąlyga, apribojimas arba kitoks reikalavimas, pagal kurį duomenys turi būti tvarkomi konkrečios valstybės narės teritorijoje arba kuris trukdo duomenis tvarkyti bet kurioje kitoje valstybėje narėje“. Iš šios apibrėžties matyti, kad priemonės, kuriomis ribojamas laisvas duomenų judėjimas Europos Sąjungoje, gali būti įvairių formų. Jos gali būti nustatytos įstatymuose ar kituose teisės aktuose arba net būti taikomos remiantis bendrąja ir nuoseklia administracine praktika. Be to, draudimas taikyti duomenų vietos reikalavimus taikomas ir tiesioginėms, ir netiesioginėms priemonėms, kuriomis būtų apribotas laisvas ne asmens duomenų judėjimas. Tiesioginis duomenų vietos reikalavimas gali būti, pavyzdžiui, įpareigojimas saugoti duomenis konkrečioje geografinėje vietovėje (pavyzdžiui, serveriai turėtų būti tam tikroje valstybėje narėje) arba įpareigojimas laikytis specifinių nacionalinių techninių reikalavimų (pavyzdžiui, turėtų būti naudojami konkretūs nacionaliniai duomenų formatai). Netiesioginiai duomenų vietos reikalavimai, kurie trukdo tvarkyti ne asmens duomenis bet kurioje kitoje valstybėje narėje, gali būti įvairių formų. Tai gali būti reikalavimas naudoti konkrečioje valstybėje narėje sertifikuotas arba patvirtintas technines priemones arba kiti reikalavimai, dėl kurių tampa sunkiau duomenis tvarkyti už konkrečios Europos Sąjungos geografinės vietovės arba teritorijos ribų,. Vertinant, ar konkreti priemonė laikytina netiesioginiu duomenų vietos reikalavimu, turi būti atsižvelgiama į konkrečias kiekvieno atvejo aplinkybes. Laisvo ne asmens duomenų judėjimo reglamente vartojama sąvoka „visuomenės saugumas“ yra apibrėžta Europos Sąjungos Teisingumo Teismo praktikoje. Visuomenės saugumas apima valstybės narės vidaus ir išorės saugumą, taip pat viešojo saugumo klausimus, visų pirma siekiant palengvinti nusikalstamų veikų tyrimą, atskleidimą ir baudžiamąjį persekiojimą už jas. Ši sąvoka grindžiama prielaida, kad yra reali ir pakankamai didelė grėsmė vienam iš pagrindinių visuomenės interesų, pavyzdžiui, grėsmė institucijų veikimui, esminių viešųjų paslaugų teikimui ir gyventojų išlikimui, taip pat pavojus, kad bus rimtai sutrikdyti išorės santykiai arba taikus tautų sambūvis, arba grėsmė kariniams interesams.

Be to, bet kokie visuomenės saugumo priežastimis pateisinami duomenų vietos reikalavimai turi būti proporcingi. Vadovaujantis Europos Sąjungos Teisingumo Teismo praktika, patvirtintos priemonės pagal proporcingumo principą turi būti tinkamos siekiamam tikslui įgyvendinti ir neviršyti to, kas būtina tam tikslui pasiekti. Aiškumo sumetimais draudimas taikyti duomenų vietos reikalavimus nedaro poveikio jau galiojantiems ES teisėje nustatytiems apribojimams. Be to, Laisvo ne asmens duomenų judėjimo reglamentu įmonėms nenustatoma jokių įpareigojimų ir neapribojama jų laisvė sudaryti sutartis ir pačioms spręsti, kur bus tvarkomi jų duomenys. Valstybės narės turi per savo nacionalinius bendruosius informacijos elektroninėmis priemonėmis centrus (nacionalinėse interneto svetainėse) viešai skelbti informaciją apie jų teritorijoje taikomus duomenų vietos reikalavimus. Jos turi nuolat ją atnaujinti arba pateikti atnaujintą informaciją centriniam informacijos punktui, įsteigtam pagal kitą ES teisės aktą. Kad įmonėms būtų patogiau ir kad jos galėtų lengvai rasti reikiamą informaciją visoje ES, Komisija portale „Jūsų Europa“ skelbs nuorodas į šiuos informacijos punktus. 3.2. Laisvas asmens duomenų judėjimas Bendrajame duomenų apsaugos reglamente nustatyta, kad laisvas asmens duomenų judėjimas Sąjungoje negali būti nei ribojamas, nei draudžiamas dėl su fizinių asmenų apsauga tvarkant jų asmens duomenis susijusių priežasčių. Jei valstybė narė nustato asmens duomenų vietos reikalavimus dėl kitų priežasčių nei asmens duomenų apsauga, jie turi būti įvertinti atsižvelgiant į Sutarties dėl Europos Sąjungos veikimo, ir atitinkamų ES teisės aktų, kaip antai Paslaugų direktyvos ir E. komercijos direktyvos, nuostatas dėl pagrindinių laisvių ir į priežastis, dėl kurių leidžiama nukrypti nuo nuostatų dėl tų laisvių. Pavyzdys Nacionalinėje teisėje yra nustatytas reikalavimas darbo užmokesčio ataskaitas laikyti konkrečioje valstybėje narėje dėl priežasčių, susijusių su teisės aktais nustatyta kontrole, kurią vykdo, pavyzdžiui, nacionalinis mokesčių administratorius. Tokia nacionalinė nuostata nepatektų į Bendrojo duomenų apsaugos reglamento 1 straipsnio 3 dalies taikymo sritį, nes joje nurodytos kitos priežastys nei asmens duomenų apsauga. Vietoj to šis reikalavimas turėtų būti įvertintas atsižvelgiant į Sutarties dėl Europos Sąjungos veikimo nuostatas dėl pagrindinių laisvių ir į priežastis, dėl kurių leidžiama nukrypti nuo nuostatų dėl tų laisvių. Bendrajame duomenų apsaugos reglamente pripažįstama, kad valstybės narės gali nustatyti sąlygas, be kita ko, apribojimus, susijusius su genetinių, biometrinių arba asmens sveikatos duomenų tvarkymu. Tačiau, kaip nurodyta 53 konstatuojamojoje dalyje, šias sąlygas taikant tarpvalstybiniam tokių duomenų tvarkymui tokie nacionaliniai apribojimai neturėtų trikdyti laisvo asmens duomenų judėjimo Europos Sąjungoje. Tai atitinka Sutarties dėl Europos Sąjungos veikimo 16 straipsnį, kuriame nustatytas teisinis pagrindas, kuriuo remiantis galima priimti su teise į asmens duomenų apsaugą ir su laisvu tokių duomenų judėjimu susijusias taisykles. 3.3 Laisvo ne asmens duomenų judėjimo reglamento taikymo sritis Kaip jau minėta, Laisvo ne asmens duomenų judėjimo reglamentu siekiama užtikrinti laisvą ne asmens duomenų judėjimą Sąjungoje. Todėl jis netaikomas už ES ribų vykdomoms duomenų tvarkymo operacijoms ir su tokiu duomenų tvarkymu susijusiems duomenų vietos reikalavimams,. Todėl pagal 2 straipsnio 1 dalį reglamentas taikomas elektroninių ne asmens duomenų tvarkymui ES, kurį: (a)ES gyvenantiems arba įsisteigusiems naudotojams teikia paslaugų teikėjas, neatsižvelgiant į tai, ar paslaugų teikėjas yra įsisteigęs Sąjungoje, ar ne, arba (b)ES gyvenantis fizinis asmuo arba joje įsisteigęs juridinis asmuo vykdo savo reikmėms. Pavyzdžiai: Laisvo ne asmens duomenų judėjimo reglamento 2 straipsnio 1 dalies a punktas: ·JAV įsisteigęs debesijos paslaugų teikėjas teikia duomenų tvarkymo paslaugas ES gyvenantiems arba įsisteigusiems klientams. Debesijos paslaugų teikėjas administruoja savo veiklą per ES teritorijoje, kur saugomi arba kitaip tvarkomi jo Europos klientų duomenys, esančius serverius. Debesijos paslaugų teikėjas neturi turėti ES infrastruktūros, jis taip pat gali, pavyzdžiui, vietą ES serveryje nuomotis. Tokiam duomenų tvarkymui Laisvo ne asmens duomenų judėjimo reglamentas taikomas. ·Japonijoje įsisteigęs debesijos paslaugų teikėjas siūlo savo paslaugas Europos klientams. Paslaugų teikėjo duomenų tvarkymo pajėgumai yra Japonijoje ir ten vykdoma visa tvarkymo veikla. Šiuo atveju, jei visa duomenų tvarkymo veikla vykdoma už ES ribų, Laisvo ne asmens duomenų judėjimo reglamentas netaikomas.

Laisvo ne asmens duomenų judėjimo reglamento 2 straipsnio 1 dalies b punktas: ·Mažas Europos startuolis iš A valstybės narės nusprendžia išplėsti savo verslą atidarydamas padalinį B valstybėje narėje. Siekdamas mažinti išlaidas, šis startuolis nusprendžia centralizuoti naujojo padalinio duomenų saugojimą ir tvarkymą savo serveryje, kuris yra A valstybėje narėje. Valstybės narės negali uždrausti tokių IT centralizavimo veiksmų, išskyrus atvejus, kai tai pateisinama visuomenės saugumo priežastimis, laikantis proporcingumo principo. Nors Laisvo ne asmens duomenų judėjimo reglamentas netaikomas, jei visa ne asmens duomenų tvarkymo veikla vykdoma už ES ribų, Bendrojo duomenų apsaugos reglamento nuostatų turi būti laikomasi, jei duomenų rinkinį sudaro asmens duomenys. Visų pirma turi būti laikomasi taisyklių dėl asmens duomenų perdavimo į trečiąsias valstybes arba tarptautinėms organizacijoms pagal Bendrąjį duomenų apsaugos reglamentą. 3.4 Veikla, susijusi su valstybių narių vidaus organizavimu Laisvo ne asmens duomenų judėjimo reglamentas neįpareigoja valstybių narių naudotis užsakomosiomis paslaugomis siekiant teikti paslaugas, susijusias su ne asmens duomenimis, kurias jos nori teikti pačios, arba paslaugų teikimą organizuoti kitu būdu nei sudarant viešąsias sutartis. Laisvo ne asmens duomenų judėjimo reglamento 2 straipsnio 3 dalies antroje pastraipoje nustatyta: „Šiuo reglamentu nedaromas poveikis įstatymams ir kitiems teisės aktams, kurie susiję su valstybių narių vidaus organizavimu ir pagal kuriuos valdžios institucijoms ir viešosios teisės reglamentuojamiems subjektams, apibrėžtiems Direktyvos 2014/24/ES 2 straipsnio 1 dalies 4 punkte, suteikiami duomenų tvarkymo įgaliojimai ir pareigos be privačių šalių atlygio pagal sutartį, taip pat valstybių narių įstatymams ir kitiems teisės aktams, kuriuose numatomas tų įgaliojimų ir pareigų įgyvendinimas“. Gali būti pagrįstų interesų, dėl kurių reikėtų rinktis tokį duomenų tvarkymo paslaugų teikimą sau, kaip antai naudojantis vidaus ištekliais arba pagal valdžios institucijų tarpusavio susitarimus. Tipiniai pavyzdžiai apima „valdžios debesijos“ naudojimą arba kai valdžios įstaiga paskiria centralizuotą IT agentūrą teikti duomenų tvarkymo paslaugas viešosioms institucijoms ir įstaigoms. Vis dėlto Laisvo ne asmens duomenų judėjimo reglamente valstybės narės skatinamos atsižvelgti į ekonominį efektyvumą ir kitą išorės paslaugų teikėjų teikiamą naudą,. Kai tik nacionalinės valdžios institucijos pradeda tvarkyti duomenis naudodamosi privačių šalių už sutartinį atlygį teikiamomis užsakomosiomis paslaugomis, o duomenų tvarkymas yra vykdomas ES, tokiam duomenų tvarkymui taikomas Laisvo ne asmens duomenų judėjimo reglamentas, o tai reiškia, kad laisvo ne asmens duomenų judėjimo principas taikomas nacionalinių valdžios institucijų bendrajai ir administracinei praktikai. Visų pirma jos neturi nustatyti duomenų vietos apribojimų, pavyzdžiui, viešųjų pirkimų konkursuose 4 Laisvą duomenų judėjimą skatinantys savitvarkos metodai Savitvarka skatina inovacijas ir rinkos dalyvių pasitikėjimą bei sudaro sąlygas labiau atsižvelgti į pokyčius rinkoje. Šiame skirsnyje apžvelgiamos savitvarkos iniciatyvos, susijusios tiek su asmens, tiek su ne asmens duomenų tvarkymu. 4.1 Duomenų perkėlimas ir debesijos paslaugų teikėjų keitimas Vienas iš Laisvo ne asmens duomenų judėjimo reglamento tikslų yra užkirsti kelią susaistymo su pardavėju praktikai. Ši praktika yra tada, kai naudotojai negali pakeisti paslaugų teikėjo, nes jų duomenys yra „užrakinti“ teikėjo sistemoje, pavyzdžiui, dėl specifinio duomenų formato ar sutartimi įformintų susitarimų, ir jie negali būti perduodami už pardavėjo IT sistemos ribų. Užtikrinti duomenų perkėlimą be kliūčių yra svarbu, kad naudotojai galėtų laisvai pasirinkti duomenų tvarkymo paslaugų teikėjus ir taip būtų užtikrinta veiksminga konkurencija rinkoje. Duomenų perkeliamumas tarp įmonių tampa vis svarbesnis įvairiuose skaitmeniniuose sektoriuose, įskaitant debesijos paslaugų sektorių. Pagal Laisvo ne asmens duomenų judėjimo reglamento 6 straipsnį Komisija turi skatinti ir padėti Sąjungos lygmeniu rengti savitvarkos elgesio taisyklių sąvadus (toliau – elgesio taisyklių sąvadai), kad prisidėtų prie konkurencingos duomenų ekonomikos. Tai suteikia pagrindą pramonei rengti savitvarkos elgesio taisyklių, susijusių su paslaugų teikėjų keitimu ir duomenų perkėlimu tarp skirtingų IT sistemų, sąvadus. Rengiant tokius duomenų perkėlimo elgesio taisyklių sąvadus reikėtų atsižvelgti į keletą aspektų, visų pirma: ·geriausią praktiką sudarant palankesnes sąlygas rinktis kitus paslaugų teikėjus ir perkelti duomenis naudojant struktūrinius, įprastai naudojamus ir automatinio nuskaitymo formatus; ·minimalios informacijos reikalavimus, siekiant užtikrinti, kad prieš sudarant sutartį profesionaliesiems naudotojams būtų pateikta pakankamai išsami ir aiški informacija apie procesus, techninius reikalavimus, terminus ir mokesčius, taikomus, kai profesionalusis naudotojas nori pakeisti paslaugų teikėją arba persikelti duomenis į nuosavas informacinių technologijų sistemas; ·sertifikavimo schemų metodus, kad būtų galima geriau palyginti debesijos paslaugas, ir ·komunikacijos veiksmų planus, siekiant didinti informuotumą apie elgesio taisyklių sąvadus.

Debesijos paslaugų rinkoje Komisija ėmėsi veiksmų siekdama palengvinti bendrosios skaitmeninės rinkos debesijos suinteresuotųjų šalių darbo grupių, vienijančių debesijos srities specialistus ir profesionaliuosius naudotojus, įskaitant mažąsias ir vidutines įmones, veiklą. Šiuo etapu vienas pogrupis (darbo grupė SWIPO) rengia duomenų perkėlimo ir debesijos paslaugų teikėjų keitimo savitvarkos elgesio taisyklių sąvadą, o kitas pogrupis (darbo grupė CSRPERT) siekia parengti debesijos saugumo sertifikavimo taisykles. Darbo grupė SWIPO rengia elgesio taisyklių sąvadus, susijusius su įvairiomis debesijos paslaugomis: paslaugine infrastruktūra (IaaS), paslaugine platforma (PaaS) ir paslaugine programine įranga (SaaS). Komisija tikisi, kad skirtingi elgesio taisyklių sąvadai bus papildyti pavyzdinėmis sutarčių sąlygomis. Jos leis užtikrinti pakankamą techninį ir teisinį specifiškumą, susijusį su praktiniu elgesio taisyklių sąvadų įgyvendinimu ir taikymu, o tai bus ypač svarbu mažosioms ir vidutinėms įmonėms. Rengti pavyzdines sutarčių sąlygas planuojama parengus elgesio taisyklių sąvadus (jie turėtų būti parengti iki 2019 m. lapkričio 29 d.). Pagal Laisvo ne asmens duomenų judėjimo reglamento 8 straipsnį Komisija iki 2022 m. lapkričio 29 d. įvertins reglamento įgyvendinimą. Taip bus galima įvertinti: i) poveikį laisvam duomenų judėjimui Europoje; ii) reglamento taikymą, ypač mišriems duomenų rinkiniams; iii) kokiu mastu valstybės narės veiksmingai panaikino esamus nepagrįstus duomenų vietos apribojimus ir iv) elgesio taisyklių sąvadų, susijusių su duomenų perkėlimu ir debesijos paslaugų teikėjų keitimu, veiksmingumą rinkoje. Perkeliamumo sąvoka ir sąveika su Bendruoju duomenų apsaugos reglamentu Abu reglamentai susiję su duomenų perkeliamumu ir tikslu palengvinti duomenų perkėlimą iš vienos IT aplinkos į kitą, t. y. arba į kito teikėjo sistemas, arba į vidaus sistemas. Taip užkertamas kelias susaistymui su pardavėju ir skatinama paslaugų teikėjų tarpusavio konkurencija. Tačiau, kiek tai susiję su tikslinių interesų grupių ir nuostatų teisinio pobūdžio ryšiu, reglamentų požiūris į perkeliamumą skiriasi. Teisė į asmens duomenų perkeliamumą pagal Bendrojo duomenų apsaugos reglamento 20 straipsnį yra susijusi su duomenų subjekto ir duomenų valdytojo santykiu. Ji susijusi su duomenų subjekto teise gauti su juo susijusius asmens duomenis, kuriuos jis pateikė duomenų valdytojui, struktūriniu, įprastai naudojamu ir automatinio nuskaitymo formatu ir teise persiųsti tuos duomenis kitam duomenų valdytojui arba į savo paties duomenų saugojimo pajėgumus, duomenų valdytojui, kuriam asmens duomenys buvo pateikti, nesudarant tam kliūčių. Paprastai šiame santykyje duomenų subjektai yra įvairių internetinių paslaugų vartotojai, norintys vieną šių paslaugų teikėją pakeisti kitu. Laisvo ne asmens duomenų judėjimo reglamento 6 straipsnyje nenustatoma profesionaliųjų naudotojų teisė persikelti duomenis, tačiau numatomas savitvarkos metodas, pagal kurį pramonei taikomi savanoriški elgesio taisyklių sąvadai. Jame taip pat atsižvelgiama į atvejus, kai profesionalusis naudotojas duomenų tvarkymą perduoda duomenų tvarkymo paslaugas teikiančiai trečiajai šaliai.Pagal Laisvo ne asmens duomenų judėjimo reglamento 3 straipsnio 8 punktą profesionalusis naudotojas gali būti tiek fizinis, tiek juridinis asmuo, įskaitant valdžios institucijas ar viešosios teisės reglamentuojamus subjektus, kuris naudojasi duomenų tvarkymo paslauga arba prašo jam tokią paslaugą teikti, kad galėtų užsiimti prekyba, verslu, amatu, profesija arba kad galėtų atlikti savo užduotis. Praktiškai pagal Laisvo ne asmens duomenų judėjimo reglamento 6 straipsnį numatytas perkeliamumas yra susijęs su verslo subjektų sąveika tarp profesionaliojo naudotojo (kuris asmens duomenų tvarkymo atvejais pagal Bendrąjį duomenų apsaugos reglamentą gali būti laikomas duomenų valdytoju) ir paslaugų teikėjo (kuris panašiai kai kuriais atvejais gali būti laikomas duomenų tvarkytoju). Nepaisant skirtumų, gali būti su mišriais duomenų rinkiniais susijusių atvejų, kai duomenų perkėlimui būtų taikomas ir Laisvo ne asmens duomenų judėjimo reglamentas, ir Bendrasis duomenų apsaugos reglamentas. Pavyzdys Debesijos paslaugą naudojanti įmonė nusprendžia pakeisti debesijos paslaugų teikėją ir visus duomenis perkelti į naujo paslaugų teikėjo sistemas. Paslaugų teikėjo keitimas ir duomenų perkėlimas numatytas kliento ir debesijos paslaugų teikėjo sutartyje. Jei senasis debesijos paslaugų teikėjas laikosi pagal Laisvo ne asmens duomenų judėjimo reglamentą parengtų elgesio taisyklių sąvadų, duomenų perkėlimas turi būti vykdomas laikantis jame nustatytų reikalavimų. Jei perkeltų duomenų rinkinį taip pat sudaro asmens duomenys, perkėlimas turi atitikti visas susijusias Bendrojo duomenų apsaugos reglamento nuostatas, visų pirma užtikrinti, kad naujasis debesijos paslaugų teikėjas laikytųsi taikomų reikalavimų, kaip antai saugumo. Pavyzdys Jeigu bankas nusprendžia pakeisti savo ryšių su klientais valdymo (CRM) paslaugų teikėją, tikėtina, kad kai kurie (asmens ir ne asmens) duomenys iš senojo teikėjo sistemų turi būti perkelti į naujojo teikėjo sistemas. Šiems duomenims tuomet bus taikomi skirtingi reguliavimo reikalavimai – kai kurie iš Bendrojo duomenų apsaugos reglamento, kiti iš Laisvo ne asmens duomenų judėjimo reglamento. 4.2 Asmens duomenų apsaugos elgesio taisyklių sąvadai ir sertifikavimo schemos Siekiant įrodyti, kad laikomasi Bendrajame duomenų apsaugos reglamente nustatytų įpareigojimų, gali būti naudojami elgesio taisyklių sąvadai (elgesio kodeksai) ir sertifikavimo schemos (žr. 24 straipsnio 3 dalį ir 28 straipsnio 5 dalį). Pagal Bendrojo duomenų apsaugos reglamento 40 straipsnio 1 dalį ir 42 1 straipsnį valstybės narės, priežiūros institucijos, Europos duomenų apsaugos valdyba ir Komisija turėtų skatinti pramonę parengti elgesio taisyklių sąvadus ir nustatyti duomenų apsaugos sertifikavimo mechanizmus. Asociacijos ar kitos įstaigos, atstovaujančios konkrečios kategorijos duomenų valdytojams arba duomenų tvarkytojams, gali parengti elgesio taisyklių sąvadą konkrečiam sektoriui. Sąvado projektas turi būti pateiktas atitinkamai kompetentingai priežiūros institucijai tvirtinti. Jeigu elgesio taisyklių sąvado projektas yra susijęs su keliose valstybėse narėse vykdoma duomenų tvarkymo veikla, priežiūros institucija, prieš patvirtindama sąvado projektą, jį turi pateikti Europos duomenų apsaugos valdybai. Tada valdyba pateikia savo nuomonę dėl to, ar kodekso projektas atitinka Bendrąjį duomenų apsaugos reglamentą.