Pasiūlymas EUROPOS PARLAMENTO IR TARYBOS REGLAMENTAS dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo (Bendrasis duomenų apsaugos reglamentas) /* COM/2012/011 final - 2012/011 (COD) */





AIŠKINAMASIS MEMORANDUMAS 1. PASIŪLYMO APLINKYBĖS Šiame aiškinamajame memorandume išsamiai išdėstytas pasiūlymas dėl naujojo asmens duomenų apsaugos ES teisinio reglamentavimo pagrindų, kaip nurodyta Komunikate COM(2012) 9 final[1]. Siūlomus naujojo teisinio reglamentavimo pagrindus sudaro du teisės aktų pasiūlymai: – Europos Parlamento ir Tarybos reglamento dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo (Bendrasis duomenų apsaugos reglamentas) ir – Europos Parlamento ir Tarybos direktyvos dėl fizinių asmenų apsaugos kompetentingoms institucijoms tvarkant asmens duomenis nusikalstamų veikų prevencijos, tyrimo, nustatymo ar traukimo baudžiamojon atsakomybėn už jas arba baudžiamųjų sankcijų vykdymo tikslais ir dėl laisvo tokių duomenų judėjimo[2]. Šis dokumentas – pasiūlymo dėl Bendrojo duomenų apsaugos reglamento aiškinamasis memorandumas. Svarbiausias galiojantis asmens duomenų apsaugą reglamentuojantis ES teisės aktas, Direktyva 95/46/EB[3], buvo priimta 1995 m. siekiant dviejų tikslų: apsaugoti pagrindinę teisę į duomenų apsaugą ir užtikrinti laisvą asmens duomenų judėjimą tarp valstybių narių. Jis buvo papildytas Pamatiniu sprendimu 2008/977/TVR – pagrindine Sąjungos asmens duomenų apsaugos priemone policijos bendradarbiavimo ir teisminio bendradarbiavimo baudžiamosiose bylose srityje[4]. Dėl sparčios technologinės plėtros kilo naujų asmens duomenų apsaugos sunkumų. Stipriai išaugo keitimosi duomenimis ir jų rinkimo mastas. Technologijos leidžia privačioms įmonėms ir valdžios institucijoms vykdant savo veiklą precedento neturinčiu mastu naudotis asmens duomenimis. Asmenys vis dažniau viešina ir asmeninę informaciją, su kuria galima susipažinti pasauliniame tinkle. Technologijos pakeitė ekonominį ir socialinį gyvenimą. Pasitikėjimo internetine aplinka stiprinimas yra ekonomikos augimo pagrindas. Nepasitikintys vartotojai vengia pirkti internetu ir naudotis naujomis paslaugomis. Dėl to galėtų sulėtėti inovatyvaus naudojimosi naujomis technologijomis tendencijos. Todėl Europos skaitmeninėje darbotvarkėje[5], o bendrais bruožais – strategijoje „Europa 2020“[6] pagrindinis vaidmuo skiriamas asmens duomenų apsaugai. Sutarties dėl Europos Sąjungos veikimo (SESV) 16 straipsnio 1 dalyje, kuri įtraukta Lisabonos sutartimi, nustatytas principas, kad kiekvienas asmuo turi teisę į savo asmens duomenų apsaugą. Be to, Lisabonos sutartimi SESV 16 straipsnio 2 dalyje numatytas specialus asmens duomenų apsaugos taisyklių priėmimo teisinis pagrindas. ES pagrindinių teisių chartijos 8 straipsnyje asmens duomenų apsauga įtvirtinta kaip pagrindinė teisė. Europos Vadovų Taryba paprašė Komisijos įvertinti duomenų apsaugą reglamentuojančių ES priemonių veikimą ir pateikti, jei būtina, papildomų teisėkūros ir kitų iniciatyvų[7]. Savo rezoliucijoje dėl Stokholmo programos Europos Parlamentas[8] palankiai įvertino išsamią duomenų apsaugos sistemą ES ir, be kitų dalykų, paragino persvarstyti Tarybos pamatinį sprendimą. Stokholmo programos įgyvendinimo veiksmų plane[9] Komisija pabrėžė poreikį užtikrinti, kad pagrindinė teisė į duomenų apsaugą būtų nuosekliai taikoma įgyvendinant visų sričių ES politiką. Komunikate „Visapusiškas požiūris į asmens duomenų apsaugą Europos Sąjungoje“[10] Komisija padarė išvadą, kad ES reikia visapusiškesnės ir nuoseklesnės politikos užtikrinant pagrindinę teisę į asmens duomenų apsaugą. Dabartinių reglamentavimo pagrindų tikslai ir principai tebegalioja, tačiau jie neužkirto kelio skirtingam asmens duomenų apsaugos įgyvendinimui Sąjungoje, teisiniam netikrumui ir plačiai paplitusiai viešajai nuomonei, kad ypač internete duomenų apsaugai kyla rimtų grėsmių[11]. Todėl atėjo laikas parengti tvirtesnius ir nuoseklesnius ES asmens duomenų apsaugos reglamentavimo pagrindus, kurie būtų griežtai įgyvendinami ir skaitmeninei ekonomikai padėtų įsitvirtinti vidaus rinkoje, asmenims leistų kontroliuoti savo asmens duomenis ir teisiniu bei praktiniu požiūriu sustiprintų ūkinės veiklos vykdytojų ir valdžios institucijų pasitikėjimą. 2. KONSULTACIJŲ SU SUINTERESUOTOSIOMIS ŠALIMIS IR POVEIKIO VERTINIMO REZULTATAI Ši iniciatyva teikiama po išsamių konsultacijų su visomis pagrindinėmis suinteresuotosiomis šalimis dėl galiojančių teisinio asmens duomenų apsaugos reglamentavimo pagrindų peržiūros, kurios truko ilgiau nei dvejus metus. 2009 m. gegužės mėn. vykstant konsultacijoms surengta aukšto lygio konferencija[12]. Viešosios konsultacijos vyko dviem etapais: – Nuo 2009 m. liepos 9 d. iki gruodžio 31 d. vyko konsultacijos dėl pagrindinės teisės į asmens duomenų apsaugą teisinio reglamentavimo pagrindų. Komisija gavo 168 atsakymus: 127 iš fizinių asmenų, verslo organizacijų ir asociacijų ir 12 iš valdžios institucijų[13]. – Nuo 2010 m. lapkričio 4 d. iki 2011 m. sausio 15 d. vyko konsultacijos dėl Komisijos visapusiško požiūrio į asmens duomenų apsaugą Europos Sąjungoje. Komisija gavo 305 atsakymus: 54 iš piliečių, 31 iš valdžios institucijų ir 220 iš privačių organizacijų, visų pirma verslo asociacijų ir nevyriausybinių organizacijų[14]. Be to, vyko tikslinės konsultacijos su pagrindinėmis suinteresuotosiomis šalimis, 2010 m. birželio ir liepos mėn. buvo surengti susitikimai su valstybių narių institucijomis ir privačiojo sektoriaus suinteresuotosiomis šalimis, taip pat privatumo, duomenų apsaugos ir vartotojų teisių apsaugos organizacijomis[15]. 2010 m. lapkričio mėn. Europos Komisijos pirmininko pavaduotoja V. Reding surengė apskritojo stalo diskusiją apie duomenų apsaugos reformą. 2011 m. sausio 28 d. (Duomenų apsaugos diena) Europos Komisija ir Europos Vadovų Taryba kartu surengė aukšto lygio konferenciją, kurioje aptarė su ES teisinio reglamentavimo pagrindų reforma susijusius klausimus ir būtinybę parengti bendrus pasaulinius duomenų apsaugos standartus[16]. Tarybai pirmininkavusios Vengrija ir Lenkija atitinkamai 2011 m. birželio 16–17 d. ir 2011 m. rugsėjo 21 d. surengė dvi konferencijas duomenų apsaugos klausimais. 2011 m. vyko konkretiems klausimams skirti praktiniai užsiėmimai ir seminarai. Sausio mėn. ENISA[17] surengė praktinį seminarą, skirtą pranešimams apie duomenų saugumo pažeidimus Europoje[18]. Vasario mėn. Komisijos iniciatyva įvyko praktinis seminaras su valstybių narių institucijomis, kuriame aptarti duomenų apsaugos klausimai policijos bendradarbiavimo ir teisminio bendradarbiavimo baudžiamosiose bylose ir pamatinio sprendimo įgyvendinimo klausimai, o Pagrindinių teisių agentūra surengė konsultacinį susitikimą su suinteresuotosiomis šalimis „Duomenų apsauga ir privatumas“. 2011 m. liepos 13 d. įvyko nacionalinių duomenų apsaugos institucijų diskusija pagrindiniais reformos klausimais. 2010 m. lapkričio-gruodžio mėn. surengus Eurobarometro apklausą konsultuotasi su ES piliečiais[19]. Be to, parengta keletas tyrimų[20]. 29 straipsnio darbo grupė[21] pateikė kelias nuomones ir naudingos informacijos Komisijai[22]. Europos duomenų apsaugos priežiūros pareigūnas taip pat parengė išsamią nuomonę 2010 m. lapkričio mėn. Komisijos komunikate iškeltais klausimais[23]. 2011 m. liepos 6 d. rezoliucija Europos Parlamentas patvirtino pranešimą, kuriame pritarta Komisijos nuostatai pertvarkyti duomenų apsaugos reglamentavimo pagrindus[24]. 2011 m. vasario 24 d. Europos Sąjungos Taryba priėmė išvadas, kuriose aiškiai pritarė Komisijos ketinimui pertvarkyti duomenų apsaugos reglamentavimo pagrindus ir sutiko su daugeliu Komisijos nuomonės aspektų. Europos ekonomikos ir socialinių reikalų komitetas taip pat pritarė Komisijos siekiui užtikrinti nuoseklesnį ES duomenų apsaugos taisyklių taikymą[25] visose valstybėse narėse ir tuo tikslu tinkamai peržiūrėti Direktyvą 95/46/EB[26]. Per konsultacijas dėl bendros koncepcijos didžioji dauguma suinteresuotųjų šalių sutiko, kad bendrieji principai tebegalioja, tačiau reikia keisti dabartinio reglamentavimo pagrindus, kad jie padėtų geriau reaguoti į sparčios naujųjų technologijų (ypač interneto) plėtros keliamus sunkumus ir augančią globalizaciją, kartu išlaikant teisinio reglamentavimo pagrindų neutralumą technologijų atžvilgiu. Visų pirma ūkinės veiklos vykdytojai, reikalaujantys sustiprinti teisinį tikrumą ir suderinti asmens duomenų apsaugos taisykles, stipriai kritikavo šiuo metu skirtingai Sąjungoje užtikrinamą asmens duomenų apsaugą. Jų nuomone, sudėtingos tarptautinio asmens duomenų perdavimo taisyklės yra didelė jų veiklos kliūtis, nes jiems nuolat tenka asmens duomenis perduoti iš ES į kitas pasaulio šalis. Laikydamasi geresnio reglamentavimo politikos, Komisija atliko politikos alternatyvų poveikio vertinimą. Poveikio vertinimas grįstas trimis politikos tikslais – gerinti duomenų apsaugos vidaus rinkos aspektą, skatinti asmenis veiksmingiau naudotis teisėmis į duomenų apsaugą ir sukurti visapusiškus ir nuoseklius reglamentavimo pagrindus visoms Sąjungos kompetencijos sritims, įskaitant policijos bendradarbiavimą ir teisminį bendradarbiavimą baudžiamosiose bylose. Vertintos trys politikos galimybės, reikalaujančios skirtingo veiksmų masto: pirmoji galimybė – minimaliai keisti teisės aktus ir vadovautis aiškinamaisiais pranešimais, taip pat taikyti politikos rėmimo priemones, kaip antai finansavimo programas ir technines priemones; antroji galimybė – priimti kiekvieną analizėje iškeltą klausimą reglamentuojančias teisės nuostatas, o trečioji galimybė – centralizuoti duomenų apsaugą ES priimant tikslias ir išsamias taisykles visiems sektoriams ir įsteigti ES agentūrą, atsakingą už šių nuostatų priežiūrą ir vykdymą. Pagal nusistovėjusią Komisijos metodologiją kartu su priežiūros grupe, sudaryta iš įvairių tarnybų atstovų, vertinta, kiek kiekviena politikos galimybe bus veiksmingai pasiekti politikos tikslai, taip pat koks jos ekonominis poveikis suinteresuotosioms šalims (ir ES institucijų biudžetui), socialinis poveikis ir poveikis pagrindinėms teisėms. Poveikis aplinkai nenustatytas. Išnagrinėjus bendrą poveikį išrinkta tinkamiausia politikos galimybė, kuri grindžiama antrąja galimybe ir kai kuriais kitų abiejų galimybių elementais. Ji sudaro šio pasiūlymo pagrindą. Remiantis poveikio vertinimu, įgyvendinus šią galimybę, be kita ko, labai sustiprėtų duomenų valdytojų ir piliečių teisinis tikrumas, sumažėtų administracinė našta, Sąjungoje būtų nuosekliai taikomi duomenų apsaugos teisės aktai, gyventojams būtų užtikrinta veiksminga galimybė ES naudotis teisėmis į asmens duomenų apsaugą ir būtų garantuota veiksminga duomenų apsaugos priežiūra ir įgyvendinimas. Be to, tikimasi, kad įgyvendinus tinkamiausią politikos galimybę bus lengviau pasiekti Komisijos tikslą supaprastinti administracines procedūras ir sumažinti administracinę naštą, taip pat Europos skaitmeninės darbotvarkės, Stokholmo veiksmų plano ir strategijos „Europa 2020“ tikslus. Poveikio vertinimo valdybos nuomonė dėl poveikio vertinimo projekto priimta 2011 m. rugsėjo 9 d. Remiantis valdybos nuomone padarytos tokios poveikio vertinimo pataisos: – patikslinti dabartinio teisinio reglamentavimo pagrindų tikslai (kiek jie pasiekti ir kiek nepasiekti) ir numatomos pertvarkos tikslai; – skirsnis „Problemos apibūdinimas“ papildytas įrodymais ir išsamesniais paaiškinimais (patikslinimais); – įtrauktas skirsnis „Proporcingumas“; – iš esmės peržiūrėti ir pataisyti visi skaičiavimai ir apytikriai įverčiai, susiję su administracine našta pasirinkus pagrindinį scenarijų ir tinkamiausią galimybę, taip pat patikslintas pranešimo sąnaudų ir bendrų skirtingo reglamentavimo sąnaudų santykis (įskaitant 10 priedą); – tiksliau apibrėžtas poveikis labai mažoms, mažosioms ir vidutinėms įmonėms, ypač kiek tai susiję su duomenų apsaugos pareigūnais ir duomenų apsaugos poveikio vertinimu. Poveikio vertinimas ir jo santrauka skelbiami kartu su pasiūlymais. 3. TEISINIAI PASIŪLYMO ASPEKTAI 3.1. Teisinis pagrindas Šis pasiūlymas grindžiamas SESV 16 straipsniu – nauju Lisabonos sutartimi sukurtu teisiniu pagrindu, kuriuo remiamasi priimant duomenų apsaugos taisykles. Vadovaujantis šia nuostata galima priimti taisykles, kuriomis užtikrinama asmenų apsauga valstybėms narėms tvarkant asmens duomenis, kai atliekama Sąjungos teisės reglamentuojama veikla. Be to, pagal šią nuostatą galima priimti taisykles, kuriomis reglamentuojamas laisvas asmens duomenų judėjimas, įskaitant valstybių narių arba privačių subjektų tvarkomus asmens duomenis. Reglamentas laikomas tinkamiausia teisine asmens duomenų apsaugos Sąjungoje reglamentavimo priemone. Kaip nustatyta SESV 288 straipsnyje, reglamentas taikomas tiesiogiai, todėl jis padės suvienodinti teisės taikymą ir sustiprins teisinį tikrumą, nes bus numatytos suderintos pagrindinės taisyklės, sustiprinta asmenų pagrindinių teisių apsauga ir pagerintas vidaus rinkos veikimas. Iš dalies keičiant Direktyvą 2002/58/EB, SESV 114 straipsnio 1 dalimi būtina remtis tik ta apimtimi, kuria toje direktyvoje nustatyta abonentų, kurie yra juridiniai asmenys, teisėtų interesų apsauga. 3.2. Subsidiarumas ir proporcingumas Vadovaujantis subsidiarumo principu (SESV 5 straipsnis 3 dalis), veiksmų Sąjungos lygmeniu reikėtų imtis tik tuomet ir tiek, kiek numatytų tikslų valstybės narės negali deramai pasiekti ir todėl dėl pasiūlytų veiksmų masto ar poveikio jų geriau siekti Sąjungos lygiu. Atsižvelgiant į pirmiau išdėstytas problemas, subsidiarumo analizė patvirtina būtinybę imtis ES lygmens veiksmų dėl toliau nurodytų priežasčių: – Pagrindinių teisių chartijos 8 straipsnyje įtvirtinta teisė į asmens duomenų apsaugą, todėl reikia užtikrinti, kad duomenų apsauga būtų vienoda visoje Sąjungoje. Neturint bendrų ES taisyklių galėtų kilti pavojus, kad valstybėse narėse bus užtikrinama nevienoda apsauga ir dėl skirtingų standartų bus ribojamas asmens duomenų judėjimas tarp valstybių narių. – Sparčiai auga asmens duomenų perdavimo į kitas valstybes nares ir į trečiąsias šalis mastas. Be to, kyla praktinių sunkumų dėl duomenų apsaugos teisės aktų vykdymo ir poreikio valstybėms narėms bei jų institucijoms bendradarbiauti; juos reikia spręsti ES lygmeniu siekiant užtikrinti vienodą Sąjungos teisės taikymą. Todėl ES turi geriausias galimybes veiksmingai ir nuosekliai užtikrinti vienodą asmenų apsaugą, kai jų asmens duomenys perduodami į trečiąsias šalis. – Dabartinėmis aplinkybėmis vienos valstybės narės negali sumažinti problemų, visų pirma kylančių dėl nacionalinės teisės aktų skirtumų. Taigi, yra konkretus poreikis nustatyti suderintus ir nuoseklius reglamentavimo pagrindus, kurie leistų sklandžiai perduoti asmens duomenis tarp ES valstybių narių, kartu užtikrinant veiksmingą visų fizinių asmenų apsaugą visoje ES. – Dėl problemų, kurios būdingos ne vienai ar kelioms valstybėms narėms, pobūdžio ir masto siūlomi ES teisėkūros veiksmai bus veiksmingesni nei panašūs valstybių narių veiksmai. Vadovaujantis proporcingumo principu, visi veiksmai turi būti tikslingi ir neviršyti to, kas būtina siekiant užsibrėžtų tikslų. Šiuo principu vadovautasi rengiant šį pasiūlymą: tiek nustatant ir vertinant politikos galimybes, tiek rengiant pasiūlymo projektą. 3.3. Pagrindinių teisių aspektų santrauka Teisė į asmens duomenų apsaugą įtvirtinta Chartijos 8 straipsnyje, SESV 16 straipsnyje ir EŽTK 8 straipsnyje. Kaip pažymėjo ES Teisingumo Teismas[27], teisė į asmens duomenų apsaugą nėra absoliuti ir turi būti vertinama atsižvelgiant į jos visuomeninę paskirtį[28]. Duomenų apsauga glaudžiai susijusi su Chartijos 7 straipsniu saugoma teise į privatų ir šeimos gyvenimą. Tai atsispindi iš Direktyvos 95/46/EB 1 straipsnio 1 dalies, kurioje numatyta, kad valstybės narės užtikrina fizinių asmenų pagrindinių teisių ir laisvių, o ypač jų teisės į privatų gyvenimą, apsaugą tvarkant asmens duomenis. Galimas poveikis ir kitoms Chartijoje įtvirtintoms pagrindinėms teisėms, kaip antai saviraiškos laivei (Chartijos 11 straipsnis), laisvei užsiimti verslu (16 straipsnis), teisei į nuosavybę, o ypač intelektinės nuosavybės apsaugai (17 straipsnio 2 dalis), bet kokios diskriminacijos, be kita ko, dėl rasės, tautinės kilmės, genetinių bruožų, religijos ar tikėjimo, politinių ar kitokių pažiūrų, negalios ar seksualinės orientacijos draudimui (21 straipsnis), vaiko teisėms (24 straipsnis), teisei į aukštą sveikatos apsaugos lygį (35 straipsnis), teisei susipažinti su dokumentais (42 straipsnis) ir teisei į veiksmingą teisinę gynybą ir teisingą bylos nagrinėjimą (47 straipsnis). 3.4. Išsamus pasiūlymo paaiškinimas 3.4.1. 1 SKYRIUS. BENDROSIOS NUOSTATOS 1 straipsnyje apibrėžtas reglamento dalykas ir, taip pat kaip Direktyvos 95/46/EB 1 straipsnyje, nustatyti du jo tikslai. 2 straipsnyje nustatyta dalykinė reglamento taikymo sritis. 3 straipsnyje nustatyta teritorinė reglamento taikymo sritis. 4 straipsnyje pateiktos reglamento terminų apibrėžtys. Vienos apibrėžtys perimtos iš Direktyvos 95/46/EB, kitos – pakeistos, papildytos arba naujos („asmens duomenų saugumo pažeidimo“ apibrėžtis, kuri grindžiama E. privatumo direktyvos 2002/58/EB[29], iš dalies pakeistos Direktyva 2009/136/EB[30], 2 straipsnio h punktu, terminai „genetiniai duomenys“, „biometriniai duomenys“, „sveikatos duomenys“, „pagrindinė buveinė“, „atstovas“, „įmonė“, „įmonių grupė“, „įmonei privalomos taisyklės“, „vaikas“, kaip apibrėžta Jungtinių Tautų vaiko teisių konvencijoje[31], ir „priežiūros institucija“). Į sutikimo sąvokos apibrėžtį įtrauktas žodis „aiškus“, kad nebūtų painiojama su „vienareikšmiu“ sutikimu ir būtų vartojama viena pastovi sutikimo sąvokos apibrėžtis. Taip bus užtikrinta, kad duomenų subjektas žinos, kad jis duoda sutikimą ir su kuo jis sutinka. 3.4.2. II SKYRIUS. PRINCIPAI 5 straipsnyje nustatyti asmens duomenų tvarkymo principai, atitinkantys nustatytuosius Direktyvos 95/46/EB 6 straipsnyje. Papildomai įtraukti visų pirma tokie nauji principai: skaidrumo, duomenų kiekio mažinimo ir plačios duomenų valdytojo atsakomybės. 6 straipsnyje, kuris grindžiamas Direktyvos 95/46/EB 7 straipsniu, nustatyti teisėto tvarkymo kriterijai, kurie išdėstomi konkrečiau, kiek tai susiję su interesų suderinimo kriterijumi ir teisinių pareigų vykdymu bei viešuoju interesu. 7 straipsnyje apibrėžta, kokiomis sąlygomis sutikimas laikomas galiojančiu teisėto duomenų tvarkymo teisiniu pagrindu. 8 straipsnyje nustatytos kitos vaikų asmens duomenų tvarkymo teisėtumo sąlygos, kai vaikams tiesiogiai siūlomos informacinės visuomenės paslaugos. Remiantis Direktyvos 95/46/EB 8 straipsniu, 9 straipsnyje numatytas bendras draudimas tvarkyti tam tikrų kategorijų asmens duomenis ir šios bendrosios taisyklės išimtys. 10 straipsnyje nustatyta, kad duomenų valdytojas neprivalo gauti papildomos informacijos, kad nustatytų duomenų subjektą, vien siekdamas laikytis kurios nors šio reglamento nuostatos. 3.4.3. III SKYRIUS. DUOMENŲ SUBJEKTO TEISĖS 3.4.3.1. 1 skirsnis. Skaidrumas ir sąlygos 11 straipsnyje įtvirtinta duomenų valdytojų pareiga suteikti skaidrią ir lengvai prieinamą bei suprantamą informaciją, kaip numatyta visų pirma Madrido rezoliucijoje dėl asmens duomenų ir privatumo tarptautinių standartų[32]. 12 straipsniu duomenų valdytojas įpareigojamas numatyti duomenų subjekto teisių įgyvendinimo procedūras ir mechanizmą, įskaitant galimybes teikti elektroninius prašymus, reikalavimą per nustatytą terminą atsakyti į duomenų subjekto prašymus ir motyvuoti neigiamus atsakymus. 13 straipsnyje duomenų gavėjų teisės, grindžiamos Direktyvos 95/46/EB 12 straipsnio c punktu, numatomos visiems duomenų gavėjams, įskaitant bendrus duomenų valdytojus ir duomenų tvarkytojus. 3.4.3.2. 2 skirsnis. Informacija ir teisė susipažinti su duomenimis 14 straipsnyje išsamiai išdėstomos Direktyvos 95/46/EB 10 ir 11 straipsniais grindžiamos duomenų valdytojo pareigos informuoti duomenų subjektą ir suteikti duomenų subjektui papildomos informacijos, be kita ko, apie saugojimo laikotarpį, teisę pateikti skundą, duomenų perdavimą į užsienį ir duomenų šaltinį. Perimtos galimos Direktyvos 95/46/EB išimtys, pvz., tokia pareiga netaikoma, jei duomenų įrašymas arba atskleidimas aiškiai numatytas įstatyme. Tai galėtų būti taikoma, pavyzdžiui, konkurencijos, mokesčių ar muitų institucijų arba kompetentingų socialinės apsaugos tarnybų procedūroms. 15 straipsnyje numatyta Direktyvos 95/46/E 12 straipsnio a punktu grindžiama duomenų subjekto teisė susipažinti su savo asmens duomenimis, kuri papildyta naujais elementais, kaip antai duomenų subjekto teisė sužinoti saugojimo laikotarpį, teisė reikalauti ištaisyti ir ištrinti duomenis, taip pat teisė pateikti skundą. 3.4.3.3. 3 skirsnis. Duomenų ištaisymas ir ištrynimas 16 straipsnyje nustatyta Direktyvos 95/46/E 12 straipsnio b punktu grindžiama duomenų subjekto teisė reikalauti ištaisyti duomenis. 17 straipsnyje numatyta duomenų subjekto teisė būti pamirštam ir teisė reikalauti ištrinti duomenis. Jame plėtojama ir išsamiai išdėstoma Direktyvos 95/46/EB 12 straipsnio b punkte įtvirtinta teisė reikalauti ištrinti duomenis ir nustatomos teisės būti pamirštam sąlygos, įskaitant asmens duomenis viešai paskelbusio duomenų valdytojo pareigą informuoti trečiuosius asmenis apie duomenų subjekto prašymą ištrinti visas nuorodas į tuos duomenis, jų kopijas ar dublikatus. Be to, jame nustatyta teisė į duomenų tvarkymo apribojimą tam tikrais atvejais, taip išvengiama dviprasmiško termino „blokavimas“. 18 straipsnyje įtvirtinta duomenų subjekto teisė į duomenų perkeliamumą, t. y. teisė duomenis persiųsti iš vienos elektroninės tvarkymo sistemos į kitą, duomenų valdytojui netrukdant. Kaip šios teisės įgyvendinimo prielaida ir siekiant gerinti fizinių asmenų teisę susipažinti su savo asmens duomenimis, jame nustatyta teisė tuos duomenis iš duomenų valdytojo gauti susistemintu ir dažnai naudojamu elektroniniu formatu. 3.4.3.4. 4 skirsnis. Teisė nesutikti ir profiliavimas 19 straipsnyje nustatyta duomenų subjekto teisė nesutikti. Ji grindžiama Direktyvos 95/46/EB 14 straipsniu su tam tikrais pakeitimais, be kita ko susijusiais su įrodinėjimo našta ir jų taikymu tiesioginei rinkodarai. 20 straipsnyje reglamentuojama duomenų subjekto teisė į tai, kad nebūtų taikoma profiliavimu pagrįsta priemonė. Ji – su tam tikrais pakeitimais ir papildomomis apsaugos priemonėmis – grindžiama Direktyvos 95/46 15 straipsnio 1 dalimi, kurioje reglamentuojami automatizuoti individualūs sprendimai, be to, atsižvelgiama į Europos Tarybos rekomendaciją dėl profiliavimo[33]. 3.4.3.5. 5 skirsnis. Apribojimai 21 straipsnyje tiksliau apibrėžiama Sąjungos ar valstybių narių teisė išlaikyti arba numatyti 5 straipsnyje įtvirtintų principų ir 11–20 straipsniuose bei 32 straipsnyje nustatytų duomenų subjekto teisių apribojimus. Ši nuostata grindžiama Direktyvos 95/46/EB 13 straipsniu ir reikalavimais, kylančiais iš Pagrindinių teisių chartijos ir Europos žmogaus teisių ir pagrindinių laisvių apsaugos konvencijos, kaip jas aiškina ES Teisingumo Teismas ir Europos žmogaus teisių teismas. 3.4.4. IV SKYRIUS. DUOMENŲ VALDYTOJAS IR DUOMENŲ TVARKYTOJAS 3.4.4.1. 1 skirsnis. Bendrosios pareigos 22 straipsnyje atsižvelgiama į diskusiją apie atskaitomybės principą ir išsamiai apibrėžiama duomenų valdytojo pareiga laikytis šio reglamento ir tą įrodyti, be kita ko, tuo tikslu numatant atitinkamas vidaus nuostatas ir mechanizmus. 23 straipsnyje nustatytos duomenų valdytojo pareigos, kylančios iš pritaikytosios ir standartizuotosios duomenų apsaugos principų. 24 straipsnyje tiksliai apibrėžiama bendrų duomenų valdytojų atsakomybė, kiek tai susiję su jų vidaus santykiais, ir duomenų subjekto atžvilgiu. 25 straipsnyje nustatyta Sąjungos teritorijoje neįsisteigusių duomenų valdytojų pareiga esant tam tikroms sąlygoms paskirti atstovą Sąjungoje, kai jų duomenų tvarkymo veiklai taikomas reglamentas. 26 straipsnyje, kuris iš dalies grindžiamas Direktyvos 95/46/EB 17 straipsnio 2 dalimi, patikslintas duomenų tvarkytojo statusas ir jo pareigos, be to, numatyta naujų aspektų, pavyzdžiui, kad duomenų tvarkytojas, kuris duomenis tvarko viršydamas duomenų valdytojo nurodymus, laikytinas bendru duomenų valdytoju. 27 straipsnis, kuriuo reglamentuojamas duomenų valdytojui ir duomenų tvarkytojui pavaldžių asmenų atliekamas duomenų tvarkymas, grindžiamas Direktyvos 95/46/EB 16 straipsniu. 28 straipsnyje nustatyta duomenų valdytojų ir duomenų tvarkytojų pareiga saugoti duomenų tvarkymo operacijų, už kurias jie atsakingi, dokumentus, o ne bendra pareiga pranešti priežiūros institucijai, kaip reikalauta pagal Direktyvos 95/46/EB 18 straipsnio 1 dalį ir 19 straipsnį. 29 straipsnyje tiksliai apibrėžta duomenų valdytojo ir duomenų tvarkytojo pareiga bendradarbiauti su priežiūros institucija. 3.4.4.2. 2 skirsnis. Duomenų saugumas 30 straipsnyje nustatyta Direktyvos 95/46/EB 17 straipsnio 1 dalimi grindžiama duomenų valdytojo ir duomenų tvarkytojo pareiga įdiegti tinkamas duomenų tvarkymo saugumo priemones, kuri dabar taikoma ir duomenų tvarkytojams, neatsižvelgiant į tai, ar su duomenų valdytoju sudaryta sutartis. Remiantis E. privatumo direktyvos 2002/58/EB 4 straipsnio 3 dalimi, kurioje reglamentuojamas pranešimas apie asmens duomenų saugumo pažeidimus, 31 ir 32 straipsniuose įtvirtinta pareiga pranešti apie asmens duomenų saugumo pažeidimus. 3.4.4.3. 3 skirsnis. Duomenų apsaugos poveikio vertinimas ir išankstinis leidimas 33 straipsnyje nustatyta duomenų valdytojų ir duomenų tvarkytojų pareiga prieš pradedant rizikingas duomenų tvarkymo operacijas atlikti duomenų apsaugos poveikio vertinimą. 34 straipsnyje reglamentuojami atvejai, kai prieš pradedant tvarkyti duomenis privaloma gauti priežiūros institucijos leidimą ir su ja konsultuotis. Jis grindžiamas Direktyvos 95/46/EB 20 straipsnyje įtvirtintu išankstinės patikros principu. 3.4.4.4. 4 skirsnis. Duomenų apsaugos pareigūnas 35 straipsnyje nustatyta, kad viešajame sektoriuje privaloma paskirti duomenų apsaugos pareigūną, o privačiajame sektoriuje – didelėse įmonėse arba tais atvejais, kai pagrindinė duomenų valdytojo ar tvarkytojo veikla yra duomenų tvarkymo operacijos, kurias būtina reguliariai ir sistemingai stebėti. Ši nuostata grindžiama Direktyvos 95/46/EB 18 straipsnio 2 dalimi, kurioje numatyta, kad valstybės narės tokį reikalavimą gali nustatyti vietoj bendros pareigos pranešti. 36 straipsnyje apibrėžiamas duomenų apsaugos pareigūno statusas. 37 straipsnyje nustatytos pagrindinės duomenų apsaugos pareigūno užduotys. 3.4.4.5. 5 skirsnis. Elgesio kodeksas ir sertifikavimas Remiantis Direktyvos 95/46/EB 27 straipsnio 1 dalyje įtvirtinta koncepcija, 38 straipsnyje reglamentuojami elgesio kodeksai, tiksliai apibrėžiamas kodeksų turinys bei procedūros, o Komisijai suteikiami įgaliojimai spręsti dėl visuotino elgesio kodekso galiojimo. 39 straipsniu numatyta galimybė nustatyti sertifikavimo mechanizmus ir duomenų apsaugos ženklus bei žymenis. 3.4.5. V SKYRIUS. ASMENS DUOMENŲ PERDAVIMAS Į TREČIĄSIAS ŠALIS AR TARPTAUTINĖMS ORGANIZACIJOMS 40 straipsnyje nustatytas bendrasis principas, kad tame skyriuje įtvirtintas pareigas privaloma vykdyti, kai asmens duomenys perduodami į trečiąsias šalis arba tarptautinėms organizacijoms, įskaitant tolesnį perdavimą. 41 straipsnyje, kuris grindžiamas Direktyvos 95/46/EB 25 straipsniu, numatyti Komisijos sprendimo dėl tinkamumo priėmimo kriterijai, sąlygos ir tvarka. Vertindama apsaugos tinkamumo lygį, Komisija, be kita ko, atsižvelgia į tokius kriterijus kaip teisinės valstybės principas, teisminės teisių gynimo priemonės ir nepriklausoma priežiūra. Šiame straipsnyje dabar aiškiai patvirtinta Komisijos galimybė vertinti trečiosios šalies teritorijoje arba su duomenų tvarkymu susijusiame jos sektoriuje užtikrinamą apsaugos lygį. 42 straipsnyje nustatytas reikalavimas tais atvejais, kai duomenys į trečiąsias šalis perduodami Komisijai nepriėmus sprendimo dėl tinkamumo, numatyti tinkamas apsaugos priemones, visų pirma standartines duomenų apsaugos sąlygas, įmonei privalomas taisykles ir sutarties sąlygas. Galimybė remtis Komisijos standartinėmis duomenų apsaugos sąlygomis grindžiama Direktyvos 95/46/EB 26 straipsnio 4 dalimi. Nauja yra tai, kad tokias standartines duomenų apsaugos sąlygas dabar gali priimti priežiūros institucija, o Komisija – patvirtinti jų visuotiną galiojimą. Teisės akte dabar konkrečiai nurodomos įmonei privalomos taisyklės. Galimybė nustatyti sutarties sąlygas suteikia duomenų valdytojui arba tvarkytojui tam tikro lankstumo, tačiau jas turi patvirtinti priežiūros institucija. 43 straipsnyje, kuris grindžiamas dabartine praktika ir priežiūros institucijų reikalavimais, išsamiai išdėstytos duomenų perdavimo remiantis įmonei privalomomis taisyklėmis sąlygos. 44 straipsnyje, kuris grindžiamas galiojančiomis Direktyvos 95/46/EB 26 straipsnio nuostatomis, nustatytos ir patikslintos duomenų perdavimo išimtys. Jos visų pirma taikomos tais atvejais, kai duomenis reikalaujama ir būtina perduoti siekiant apsaugoti svarbų viešąjį interesą, pavyzdžiui, tarptautinio duomenų keitimosi tarp konkurencijos, mokesčių ar muitų institucijų arba kompetentingų socialinės apsaugos ar žuvininkystės tarnybų atvejais. Be to, tam tikromis siaurai apibrėžtomis sąlygomis duomenų perdavimas gali būti pateisinamas teisėtu duomenų valdytojo arba tvarkytojo interesu, tačiau tik prieš tai įvertinus ir dokumentavus tos duomenų perdavimo operacijos aplinkybes. 45 straipsnyje aiškiai nustatytas tarptautinio Komisijos ir trečiųjų šalių, ypač tų, kurių užtikrinamas apsaugos lygis laikomas tinkamu, priežiūros institucijų bendradarbiavimo asmens duomenų apsaugos tikslais mechanizmas, atsižvelgiant į 2007 m. birželio 12 d. Ekonominio bendradarbiavimo ir plėtros organizacijos (EBPO) rekomendaciją dėl tarptautinio bendradarbiavimo įgyvendinant privatumo apsaugos teisės aktus. 3.4.6. VI SKYRIUS. NEPRIKLAUSOMOS PRIEŽIŪROS INSTITUCIJOS 3.4.6.1. 1 skirsnis. Nepriklausomumas Remiantis Direktyvos 95/46/EB 28 straipsnio 1 dalimi, 46 straipsnyje nustatyta valstybių narių pareiga įsteigti priežiūros institucijas ir išplėstos priežiūros institucijų funkcijos įtraukiant bendradarbiavimą su kitomis priežiūros institucijomis ir Komisija. 47 straipsnyje tiksliai apibrėžtos priežiūros institucijų nepriklausomumo sąlygos, remiantis Europos Sąjungos Teisingumo Teismo praktika[34] ir atsižvelgiant į Reglamento (EB) Nr. 45/2001[35] 44 straipsnį. Remiantis atitinkama teismo praktika[36] ir atsižvelgiant į Reglamento (EB) Nr. 45/2001 42 straipsnio 2–6 dalis, 48 straipsnyje nustatyti bendrieji reikalavimai priežiūros institucijų nariams. 49 straipsnyje nustatyta, kokie priežiūros institucijos įsteigimo aspektai turi būti numatyti valstybių narių teisėje. 50 straipsnyje, kuris grindžiamas Direktyvos 95/46/EB 28 straipsnio 7 dalimi, reglamentuojama priežiūros institucijos narių ir darbuotojų profesinė paslaptis. 3.4.6.2. 2 skirsnis. Pareigos ir įgaliojimai 51 straipsnyje apibrėžta priežiūros institucijų kompetencija. Bendroji kompetencija priežiūros institucijos valstybės narės teritorijoje, grindžiama Direktyvos 95/46/EB 28 straipsnio 6 dalimi, papildyta nauja – atsakingos institucijos – kompetencija tais atvejais, kai duomenų valdytojas arba tvarkytojas įsisteigęs keliose valstybėse narėse; tuo siekiama užtikrinti vienodą taikymą (vieno langelio principas). Atlikdami teisingumo funkciją, teismai nėra stebimi priežiūros institucijos, tačiau jiems taikomos materialinės duomenų apsaugos teisės normos. 52 straipsnyje nustatytos priežiūros institucijos pareigos, be kita ko, nagrinėti ir tirti skundus, ir gerinti visuomenės informuotumą apie riziką, taisykles, apsaugos priemones ir teises. 53 straipsnyje, kuris iš dalies grindžiamas Direktyvos 95/46/EB 28 straipsnio 3 dalimi ir Reglamento (EB) Nr. 45/2001 47 straipsniu, numatyti ir išplėsti priežiūros institucijos įgaliojimai, įskaitant teisę už administracinius pažeidimus skirti sankcijas. Remiantis Direktyvos 95/46/EB 28 straipsnio 5 dalimi, 54 straipsnyje įtvirtinta priežiūros institucijos pareiga rengti metines veiklos ataskaitas. 3.4.7. VII SKYRIUS. BENDRADARBIAVIMAS IR NUOSEKLUMAS 3.4.7.1. 1 skirsnis. Bendradarbiavimas Remiantis Direktyvos 95/46/EB 28 straipsnio 6 dalies antra pastraipa, 55 straipsnyje aiškiai nustatytos privalomos savitarpio pagalbos taisyklės, įskaitant pasekmes, kylančias, kai nepaisoma kitos priežiūros institucijos prašymo. Remiantis Tarybos sprendimo 2008/615/TVR[37] 17 straipsniu, 56 straipsnyje numatytos bendrų operacijų taisyklės, įskaitant priežiūros institucijų teisę dalyvauti tokiose operacijose. 3.4.7.2. 2 skirsnis. Nuoseklumas 57 straipsnyje numatytas nuoseklumo užtikrinimo mechanizmas, kuriuo siekiama, kad duomenų tvarkymo operacijoms, į kurias gali būti įtraukti duomenų subjektai iš kelių valstybių narių, teisė būtų taikoma vienodai. 58 straipsnyje nustatyta Europos duomenų apsaugos valdybos nuomonės priėmimo tvarka ir sąlygos. 59 straipsniu reglamentuojamos Komisijos nuomonės su nuoseklumo užtikrinimo mechanizmu susijusiais klausimais, kurios gali patvirtinti Europos duomenų apsaugos valdybos nuomonę arba skirtis, ir priežiūros institucijos priemonės projektas. Kai klausimą pagal 58 straipsnio 3 dalį iškelia Europos duomenų apsaugos valdyba, tikėtina, kad Komisija pasinaudos diskrecijos teise ir prireikus pateiks savo nuomonę. 60 straipsniu reglamentuojami Komisijos sprendimai, kuriais reikalaujama, kad kompetentinga institucija sustabdytų priemonės projekto priėmimą, kai būtina užtikrinti tinkamą šio reglamento taikymą. 61 straipsnyje numatyta galimybė skubos tvarka taikyti laikinąsias priemones. 62 straipsnyje nustatyti reikalavimai Komisijos įgyvendinimo aktams, priimtiems pagal nuoseklumo užtikrinimo mechanizmą. 63 straipsnyje įtvirtinta pareiga priežiūros institucijos priemones vykdyti visose valstybėse narėse ir numatyta, kad atitinkama priemonė teisinę galią įgyja ir tampa vykdytina, tik jeigu taikomas nuoseklumo užtikrinimo mechanizmas. 3.4.7.3. 3 skirsnis. Europos duomenų apsaugos valdyba 64 straipsniu įsteigiama Europos duomenų apsaugos valdyba, kurią sudaro visų valstybių narių priežiūros institucijų vadovai ir Europos duomenų apsaugos priežiūros pareigūnas. Europos duomenų apsaugos valdyba pakeičia pagal Direktyvos 95/46/EB 29 straipsnį įsteigtą darbo grupę asmenų apsaugai tvarkant asmens duomenis. Šiame straipsnyje patikslinama, kad Komisija nėra Europos duomenų apsaugos valdybos narė, tačiau turi teisę dalyvauti jos veikloje ir dalyvauti jos posėdžiuose. 65 straipsnyje pabrėžiamas ir apibrėžiamas Europos duomenų apsaugos valdybos nepriklausomumas. Remiantis Direktyvos 95/46/EB 30 straipsnio 1 dalimi, 66 straipsnyje nustatytos ir papildytos Europos duomenų apsaugos valdybos užduotys, kurios atspindi išaugusį Europos duomenų apsaugos valdybos veiklos Sąjungoje ir už jos ribų mastą. Kad skubos atvejais būtų galima reaguoti, Komisijai suteikiama galimybė nustatyti terminą nuomonei pateikti. Remiantis Direktyvos 95/46/EB 30 straipsnio 6 dalimi, 67 straipsnyje nustatyta Europos duomenų apsaugos valdybos pareiga teikti metines veiklos ataskaitas. 68 straipsnyje nustatyta Europos duomenų apsaugos valdybos sprendimų priėmimo tvarka, taip pat pareiga priimti darbo tvarkos taisykles, kuriose, be kita ko, būtų nustatyta darbo tvarka. 69 straipsnyje įtvirtintos pirmininkavimo Europos duomenų apsaugos valdybai ir pirmininko pavadavimo nuostatos. 70 straipsnyje nustatytos pirmininko užduotys. 71 straipsnyje numatyta, kad Europos duomenų apsaugos valdybos sekretoriato paslaugas teikia Europos duomenų apsaugos priežiūros pareigūno tarnyba, ir apibrėžiamos sekretoriato užduotys. 72 straipsnyje nustatytos konfidencialumo taisyklės. 3.4.8. VIII SKYRIUS. TEISIŲ GYNIMO PRIEMONĖS, ATSAKOMYBĖ IR SANKCIJOS Remiantis Direktyvos 95/46/EB 28 straipsnio 4 dalimi, 73 straipsnyje įtvirtinta duomenų subjektų teisė pateikti skundą priežiūros institucijai. Be to, jame nurodytos įstaigos, organizacijos ar asociacijos, kurios duomenų subjekto vardu gali pateikti skundą arba – asmens duomenų saugumo pažeidimo atveju – net ir duomenų subjektui skundo nepateiktus. 74 straipsnyje reglamentuojama teisė imtis teisminių teisių gynimo priemonių prieš priežiūros instituciją. Šis straipsnis grindžiamas Direktyvos 95/46/EB 28 straipsnio 3 dalies bendrąja nuostata. Jame aiškiai nustatyta teisminė teisių gynimo priemonė, siekiant priežiūros instituciją priversti veikti, kai gautas skundas, ir nurodyta valstybės narės, kurioje priežiūros institucija įsisteigusi, teismų kompetencija. Be to, šiame straipsnyje numatyta, kad valstybės narės, kurioje duomenų subjektas gyvena, priežiūros institucija duomenų subjekto vardu gali kreiptis į kitos valstybės narės, kurioje įsisteigusi kompetentinga priežiūros institucija, teismus. Remiantis Direktyvos 95/46/EB 22 straipsniu, 75 straipsnyje reglamentuojama teisė imtis teisių gynimo priemonių prieš duomenų valdytoją arba tvarkytoją, ir numatyta galimybė pasirinktinai kreiptis arba į valstybės narės, kurioje įsisteigęs atsakovas, arba kurioje gyvena duomenų subjektas, teismą. Kai tas pats klausimas sprendžiamas pagal nuoseklumo užtikrinimo mechanizmą, teismas gali sustabdyti bylos nagrinėjimą, išskyrus skubos atvejais. 76 straipsnyje nustatytos bendros teismo proceso taisyklės, įskaitant įstaigų, organizacijų arba asociacijų teises atstovauti duomenų subjektams teisme, priežiūros institucijų teisę būti proceso šalimi, teismų informavimą apie kitoje valstybėje narėje tuo pačiu metu vykstančius procesus ir teismų galimybę tokiais atvejais sustabdyti bylos nagrinėjimą[38]. Valstybės narės įpareigotos užtikrinti spartų teismo procesą[39]. 77 straipsnyje nustatyta teisė reikalauti atlyginti žalą ir atsakomybė. Ši teisė, kuri grindžiama Direktyvos 65/46/EB 23 straipsniu, išplėsta numatant galimybę reikalauti duomenų tvarkytojo padarytos žalos atlyginimo. Be to, tiksliau apibrėžta bendrų duomenų valdytojų ir bendrų duomenų tvarkytojų atsakomybė. 78 straipsniu valstybės narės įpareigojamos nustatyti sankcijas už reglamento pažeidimus reglamentuojančias taisykles ir užtikrinti jų įgyvendinimą. 79 straipsnyje įtvirtinta priežiūros institucijų pareiga taikyti sankcijas už šioje nuostatoje išvardytus administracinius pažeidimus ir tinkamai išnagrinėjus kiekvieno atvejo aplinkybes skirti tam tikro nustatyto dydžio neviršijančias baudas. 3.4.9. IX SKYRIUS. NUOSTATOS, SUSIJUSIOS SU SPECIALIAIS DUOMENŲ TVARKYMO ATVEJAIS 80 straipsniu valstybės narės įpareigojamos nustatyti specialiųjų reglamento normų išimtis ir nukrypti leidžiančias nuostatas, kai būtina suderinti teisę į asmens duomenų apsaugą ir teisę į saviraiškos laisvę. Jis grindžiamas Direktyvos 95/46/EB 9 straipsniu, kaip jį aiškina ES Teisingumo Teismas[40]. 81 straipsniu valstybės narės įpareigojamos, be specialių kategorijų duomenų tvarkymo sąlygų, užtikrinti ir specialias duomenų tvarkymo sveikatos priežiūros tikslais apsaugos priemones. 82 straipsniu valstybėms narėms suteikta galimybė priimti specialius teisės aktus, kuriais reglamentuojamas asmens duomenų tvarkymas su darbo santykiais susijusiais tikslais. 83 straipsnyje nustatytos specialios asmens duomenų tvarkymo sąlygos istoriniais, statiniais ir mokslinių tyrimų tikslais. 84 straipsniu valstybėms narėms suteikta galimybė priimti specialias taisykles, kuriomis reglamentuojama priežiūros institucijų teisė gauti asmens duomenis ir patekti į patalpas, kai duomenų valdytojas įpareigotas saugoti paslaptį. 85 straipsniu leidžiama, atsižvelgiant į Sutarties dėl Europos Sąjungos veikimo 17 straipsnį, toliau taikyti galiojančias išsamias bažnyčių duomenų apsaugos taisykles, jeigu jos dera su šiuo reglamentu. 3.4.10. X SKYRIUS. DELEGUOTIEJI AKTAI IR ĮGYVENDINIMO AKTAI 86 straipsnyje numatytos standartinės įgaliojimų perdavimo pagal SESV 290 straipsnį nuostatos. Taip teisės aktų leidėjui suteikiama galimybė įgalioti Komisiją priimti visuotinai taikomus įstatymo galios neturinčius teisės aktus, kuriais papildomos ar iš dalies keičiamos neesminės įstatymo galią turinčio teisės akto nuostatos (kvaziteisėkūros aktai). 87 straipsnyje įtvirtinta nuostata dėl komiteto procedūros, pagal kurią Komisijai perduodami įgyvendinimo įgaliojimai, kai, remiantis SESV 291 straipsniu, teisiškai privalomi Sąjungos aktai turi būti įgyvendinti vienodomis sąlygomis. Taikoma nagrinėjimo procedūra. 3.4.11. XI SKYRIUS. BAIGIAMOSIOS NUOSTATOS 88 straipsniu panaikinama Direktyva 95/46/EB. 89 straipsnyje apibrėžiamas santykis su E. privatumo direktyva 2002/58/EB ir ji iš dalies keičiama. 90 straipsnyje nustatyta Komisijos pareiga vertinti reglamentą ir teikti atitinkamus pranešimus. 91 straipsnyje nustatyta reglamento įsigaliojimo data, o jo taikymo pradžiai – pereinamasis laikotarpis. 4. POVEIKIS BIUDŽETUI Konkretus pasiūlymo poveikis biudžetui susijęs su Europos duomenų apsaugos priežiūros pareigūnui paskirtomis užduotimis, išdėstytas prie šio pasiūlymo pridėtose finansinėse teisės aktų pasiūlymų pažymose. Todėl reikia perprogramuoti Finansinės perspektyvos 5 išlaidų kategoriją. Pasiūlymas neturi poveikio veiklos išlaidoms. Prie šio reglamento pasiūlymo pridėtose finansinėse teisės aktų pasiūlymų pažymose nurodytas tiek reglamento, tiek Direktyvos dėl policijos ir teismo duomenų apsaugos poveikis biudžetui. 2012/011 (COD) Pasiūlymas EUROPOS PARLAMENTO IR TARYBOS REGLAMENTAS dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo (Bendrasis duomenų apsaugos reglamentas) (Tekstas svarbus EEE) EUROPOS PARLAMENTAS IR EUROPOS SĄJUNGOS TARYBA, atsižvelgdama į Sutartį dėl Europos Sąjungos veikimo, ypač į jos 16 straipsnio 2 dalį ir 114 straipsnio 1 dalį, atsižvelgdami į Europos Komisijos pasiūlymą, teisės akto projektą perdavus nacionaliniams parlamentams, atsižvelgdami į Europos ekonomikos ir socialinių reikalų komiteto nuomonę[41], pasikonsultavę su Europos duomenų apsaugos priežiūros pareigūnu[42], taikydami įprastą teisėkūros procedūrą, kadangi: (1) fizinių asmenų apsauga tvarkant asmens duomenis yra pagrindinė teisė. Europos Sąjungos pagrindinių teisių chartijos 8 straipsnio 1 dalyje ir Sutarties 16 straipsnio 1 dalyje nustatyta, kad kiekvienas asmuo turi teisę į savo asmens duomenų apsaugą; (2) duomenų tvarkymo paskirtis – tarnauti žmogui; asmenų apsaugos principais ir taisyklėmis, taikomais tvarkant jų asmens duomenis, turėtų būti paisoma fizinių asmenų pagrindinių teisių ir laisvių, visų pirma teisės į asmens duomenų apsaugą, neatsižvelgiant į jų pilietybę ar gyvenamąją vietą. Tai turėtų padėti užbaigti kurti laisvės, saugumo ir teisingumo erdvę ir ekonominę sąjungą, skatinti ekonominę ir socialinę pažangą, stiprinti valstybių narių ekonomiką, siekti jų integracijos vidaus rinkoje ir žmonių gerovės; (3) 1995 m. spalio 24 d. Europos Parlamento ir Tarybos direktyva 95/46/EB dėl asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo[43] siekiama suderinti fizinių asmenų pagrindinių teisių ir laisvių apsaugą atliekant duomenų tvarkymo operacijas ir užtikrinti laisvą asmens duomenų judėjimą tarp valstybių narių; (4) dėl ekonominės ir socialinės integracijos, kuri yra vidaus rinkos veikimo rezultatas, labai išaugo judėjimas tarp valstybių narių. Sąjungoje padidėjo keitimosi duomenimis tarp ūkio ir socialinio sektoriaus, taip pat viešojo ir privačiojo sektoriaus subjektų mastas. Sąjungos teisė įpareigoja valstybių narių institucijas bendradarbiauti ir keistis asmens duomenimis, kad šios galėtų vykdyti savo pareigas arba kitos valstybės narės institucijos prašymu atlikti užduotis; (5) dėl sparčios technologinės plėtros ir globalizacijos kyla naujų asmens duomenų apsaugos sunkumų. Stipriai išaugo keitimosi duomenimis ir jų rinkimo mastas. Technologijos leidžia privačioms įmonėms ir valdžios institucijoms vykdant savo veiklą precedento neturinčiu mastu naudotis asmens duomenimis. Asmenys vis dažniau viešina asmeninę informaciją, su kuria galima susipažinti pasauliniame tinkle. Technologijos pakeitė ekonominį ir socialinį gyvenimą todėl reikia palengvinti laisvą duomenų judėjimą Sąjungoje ir jų perdavimą į trečiąsias šalis bei tarptautinėms organizacijoms, kartu užtikrinant aukštą asmens duomenų apsaugos lygį; (6) dėl šių pokyčių Sąjungoje reikia nustatyti tvirtus ir nuoseklesnius duomenų apsaugos reglamentavimo pagrindus, kurie būtų griežtai įgyvendinami, kad išaugtų pasitikėjimas, kuris skaitmeninei ekonomikai padėtų įsitvirtinti vidaus rinkoje. Asmenims turėtų būti suteikta galimybė kontroliuoti savo asmens duomenis, be to, teisiniu ir praktiniu požiūriu turėtų būti sustiprintas ūkinės veiklos vykdytojų ir valdžios institucijų pasitikėjimas; (7) Direktyvos 95/46/EB tikslai ir principai tebegalioja, tačiau ji neužkirto kelio skirtingam asmens duomenų apsaugos įgyvendinimui Sąjungoje, teisiniam netikrumui ir plačiai paplitusiai viešajai nuomonei, kad ypač internete asmenų apsaugai kyla rimtų grėsmių. Dėl skirtingo asmenų teisių ir laisvių, visų pirma teisės į asmens duomenų apsaugą tvarkant asmens duomenis, apsaugos lygio valstybėse narėse gali būti trikdomas laisvas asmens duomenų judėjimas Sąjungoje. Todėl šie skirtumai gali kliudyti užsiimti ekonomine veikla Sąjungoje, iškreipti konkurenciją ar trukdyti valdžios institucijoms vykdyti savo pareigas pagal Sąjungos teisę. Skirtingo lygio apsaugą lėmė nevienodas Direktyvos 95/46/EB įgyvendinimas ir taikymas; (8) siekiant užtikrinti vienodą aukšto lygio asmenų apsaugą ir pašalinti asmens duomenų judėjimo kliūtis, visose valstybėse narėse turėtų būti suteikiama lygiavertė asmenų teisių ir laisvių apsauga tvarkant tokius duomenis. Visoje Sąjungoje turėtų būti užtikrintas nuoseklus ir vienodas taisyklių, reglamentuojančių fizinių asmenų pagrindinių teisių ir laisvių apsaugą tvarkant asmens duomenis, taikymas; (9) siekiant veiksmingos asmens duomenų apsaugos visoje Sąjungoje, reikia ne tik sustiprinti ir patikslinti duomenų subjektų teises ir asmens duomenis tvarkančių ir su jų tvarkymu susijusius sprendimus priimančių subjektų pareigas, bet ir nustatyti lygiaverčius priežiūros įgaliojimus valstybėse narėse ir užtikrinti, kad būtų laikomasi asmens duomenų apsaugos taisyklių, o pažeidėjams taikomos lygiavertės sankcijos; (10) Sutarties 16 straipsnio 2 dalimi Europos Parlamentas ir Taryba įgaliojami nustatyti asmenų apsaugos tvarkant asmens duomenis ir laisvo asmens duomenų judėjimo taisykles; (11) siekiant užtikrinti vienodą asmenų apsaugą visoje Sąjungoje ir pašalinti skirtumus, kurie kliudo asmens duomenų judėjimui vidaus rinkoje, būtina priimti reglamentą, kuris ūkinės veiklos vykdytojams, įskaitant labai mažas, mažąsias ir vidutines įmones, suteiktų teisinio tikrumo ir skaidrumo, asmenims – visose valstybėse narėse vienodas teisiškai įgyvendinamas teises, duomenų valdytojams ir duomenų tvarkytojams – nustatytų vienodas pareigas bei atsakomybę, užtikrintų nuoseklią asmens duomenų tvarkymo priežiūrą ir visose valstybėse narėse lygiavertes sankcijas, taip pat veiksmingą atskirų valstybių narių priežiūros institucijų bendradarbiavimą. Kad būtų atsižvelgta į ypatingą labai mažų, mažųjų ir vidutinių įmonių padėtį, šiame reglamente numatyta tam tikrų nukrypti leidžiančių nuostatų. Be to, Sąjungos institucijos ir įstaigos, valstybės narės ir jų priežiūros institucijos raginamos taikant šį reglamentą atsižvelgti į specialius labai mažų, mažųjų ir vidutinių įmonių poreikius. Labai mažų, mažųjų ir vidutinių įmonių apibrėžtis turėtų būti grindžiama 2003 m. gegužės 6 d. Komisijos rekomendacija dėl labai mažų, mažųjų ir vidutinių įmonių sampratos; (12) šiuo reglamentu fiziniams asmenims užtikrinama apsauga tvarkant jų asmens duomenis, neatsižvelgiant į jų pilietybę ar gyvenamąją vietą. Kiek tai susiję su juridinių asmenų ir ypač juridinio asmens statusą turinčių įmonių duomenų, įskaitant juridinio asmens pavadinimą, teisinę formą ir kontaktinius duomenis, tvarkymu, teisė remtis šiuo reglamentu nesuteikiama. Tai taikytina ir tais atvejais, kai juridinio asmens pavadinime yra vieno ar daugiau fizinių asmenų vardai; (13) asmenų apsauga turėtų būti neutrali technologijų atžvilgiu ir nepriklausyti nuo taikomų metodų; priešingu atveju iškiltų rimta teisės aktų apėjimo grėsmė. Asmenų apsauga turėtų būti taikoma asmens duomenis tvarkant tiek automatizuotomis priemonėmis, tiek rankiniu būdu, jeigu duomenys laikomi arba juos ketinama laikyti susistemintame rinkinyje. Šis reglamentas neturėtų būti taikomas pagal specialius kriterijus nesusistemintiems rinkiniams ar jų grupėms, taip pat jų tituliniams lapams; (14) šiuo reglamentu nereguliuojami nei pagrindinių teisių ir laisvių apsaugos ar laisvo duomenų, susijusių su Sąjungos teisės nereglamentuojama veikla, judėjimo klausimai, nei asmens duomenų tvarkymas, kai duomenis tvarko Sąjungos institucijos, įstaigos, organai ir agentūros, kurioms taikomas Reglamentas (EB) Nr. 45/2001[44], arba valstybės narės, atlikdamos su Sąjungos bendra užsienio ir saugumo politika susijusią veiklą; (15) šis reglamentas neturėtų būti taikomas tais atvejais, kai asmens duomenis fizinis asmuo tvarko išimtinai asmeniniais arba šeiminiais tikslais, pavyzdžiui, korespondencijai ir adresų saugojimui, ir nesiekdamas pelno, t. y. nesusiedamas su profesine ar komercine veikla. Išimtis neturėtų būti taikoma duomenų valdytojams ar tvarkytojams, kurie tokiai su asmeniniais ar šeiminiais tikslais susijusiai veiklai teikia asmens duomenų tvarkymo priemones; (16) fizinių asmenų apsauga kompetentingoms institucijoms tvarkant asmens duomenis nusikalstamų veikų prevencijos, tyrimo, nustatymo ar traukimo baudžiamojon atsakomybėn už jas arba baudžiamųjų sankcijų vykdymo tikslais ir laisvas tokių duomenų judėjimas reglamentuojami specialiu Sąjungos teisės aktu. Todėl šis reglamentas neturėtų būti taikomas duomenų tvarkymui tokiais tikslais. Tačiau kai asmens duomenys, kuriuos valdžios institucijos tvarko pagal šį reglamentą, naudojami nusikalstamų veikų prevencijos, tyrimo, nustatymo ar traukimo baudžiamojon atsakomybėn už jas arba baudžiamųjų sankcijų vykdymo tikslais, jų tvarkymas turėtų būti reglamentuojamas kitu specialiu Sąjungos teisės aktu (Direktyva XX/YYY); (17) šis reglamentas neturėtų daryti poveikio Direktyvos 2000/31/EB, visų pirma jos 12–15 straipsniuose įtvirtintų tarpininkavimo paslaugų teikėjų atsakomybės nuostatų, taikymui; (18) taikant šio reglamento nuostatas galima atsižvelgti į visuomenės teisės susipažinti su oficialiais dokumentais principą; (19) bet koks asmens duomenų tvarkymas, atliekamas duomenų valdytojo ar tvarkytojo buveinei veikiant Sąjungoje, turėtų vykti pagal šio reglamento nuostatas, neatsižvelgiant į tai, ar pati tvarkymo operacija atliekama Sąjungos teritorijoje. Buveinė per stabilias struktūras turi vykdyti veiksmingą ir realią veiklą. Teisinė tokios struktūros forma, neatsižvelgiant į tai, ar tai filialas ar patronuojamoji bendrovė, turinti juridinio asmens statusą, šiuo požiūriu nėra svarbus veiksnys; (20) kad asmenims būtų užtikrinta apsauga, į kurią jie turi teisę pagal šį reglamentą, šis reglamentas turėtų būti taikomas Sąjungoje gyvenančių duomenų subjektų asmens duomenų, kuriuos tvarko Sąjungoje neįsisteigęs duomenų valdytojas, tvarkymui, kai duomenų tvarkymas susijęs su prekių ar paslaugų siūlymu tokiems duomenų subjektams arba tokių duomenų subjektų elgesio stebėjimu; (21) siekiant nustatyti, ar duomenų tvarkymas gali būti laikomas duomenų subjektų elgesio stebėjimu, reikėtų įvertinti, ar asmenys internete atsekti taikant duomenų tvarkymo metodus, kuriais asmeniui priskiriamas tam tikras profilis, ypač siekiant sužinoti jo sprendimus arba išnagrinėti ar prognozuoti jo asmeninius pomėgius, elgesį ir įpročius; (22) kai pagal viešąją tarptautinę teisę taikoma valstybės narės teisė, pavyzdžiui, valstybių narių diplomatinėse atstovybėse ar kosulinėse įstaigose, šis reglamentas taip pat turėtų būti taikomas Sąjungos teritorijoje neįsisteigusiems duomenų valdytojams; (23) apsaugos principai turėtų būti taikomi bet kokiai informacijai apie asmenį, kurio asmens tapatybė yra nustatyta arba gali būti nustatyta. Sprendžiant, ar galima nustatyti asmens tapatybę, reikėtų atsižvelgti į visas priemones, kurias asmens tapatybei nustatyti gali naudoti duomenų valdytojas ar bet kuris kitas asmuo. Apsaugos principai neturėtų būti taikomi duomenims, kurių anonimiškumas užtikrintas taip, kad duomenų subjekto tapatybė nebegali būti nustatyta; (24) naudodamiesi interneto paslaugomis, asmenys gali būti susieti su savo įrenginių, programų, priemonių ir protokolų interneto identifikatoriais, pavyzdžiui interneto protokolo adresais arba slapukų identifikatoriais. Taip gali likti pėdsakų, kurie kartu su unikaliu identifikatoriumi ir kita serverio gauta informacija gali būti panaudoti asmenų profiliams kurti ir jiems identifikuoti. Todėl asmens identifikavimo numeris, vietos nustatymo duomenys, interneto identifikatoriai ar kiti specifiniai požymiai patys savaime nebūtinai visomis aplinkybėmis turi būti laikomi asmens duomenimis; (25) sutikimas turi būti išreikštas aiškiai ir tinkamu būdu, leidžiančiu savanoriškai ir konkrečiai tinkamai informuotam duomenų subjektui išreikšti valią pareiškimu arba vienareikšmiais veiksmais, ir užtikrinančiu, kad asmenys suvokia sutinkantys, kad būtų tvarkomi jų asmens duomenys, pavyzdžiui, pažymėdami langelį interneto svetainėje arba kitaip pareikšdami ar atlikdami kitus veiksmus, šiomis aplinkybėmis aiškiai parodančius duomenų subjekto sutikimą su ketinimu tvarkyti jų asmens duomenis. Todėl tylėjimas arba neveikimas neturėtų būti laikomas sutikimu. Sutikimas turėtų apimti visas duomenų tvarkymo operacijas, atliekamas tuo pačiu tikslu ar tais pačiais tikslais. Jeigu duomenų subjekto sutikimo prašoma elektroniniu būdu, prašymas turi būti aiškus, glaustas ir bereikalingai nenutraukiantis naudojimosi paslauga, dėl kurios prašoma sutikimo; (26) prie asmens sveikatos duomenų turėtų būti priskirta visa informacija apie duomenų subjekto sveikatos būklę, informacija apie asmens registraciją sveikatos priežiūros paslaugoms gauti, informacija apie apmokėjimą ar asmens teisę į sveikatos priežiūrą, asmens numeris, simbolis ar žymė, pagal kurią būtų galima nustatyti asmens tapatybę sveikatos priežiūros tikslais, visa informacija apie asmenį, kuri buvo surinkta jam teikiant sveikatos priežiūros paslaugas, informacija, gauta atliekant kūno dalies ar medžiagos tyrimus, įskaitant biologinius ėminius, asmeniui sveikatos priežiūros paslaugas teikiančio paslaugų teikėjo tapatybė ar kita informacija, pavyzdžiui, apie ligą, negalią, riziką susirgti, sveikatos istoriją, klinikinį gydymą arba faktinę duomenų subjekto fiziologinę ar biomedicininę būklę, neatsižvelgiant į informacijos šaltinį, pvz., ar ji būtų gauta iš gydytojo, ar iš kito sveikatos priežiūros specialisto, ligoninės, medicinos prietaiso ar in vitro diagnostinio tyrimo; (27) pagrindinė duomenų valdytojo buveinė Sąjungos teritorijoje turėtų būti nustatoma pagal objektyvius kriterijus, be to, per stabilias struktūras ji turėtų vykdyti veiksmingą ir realią veiklą, priimdama sprendimus dėl duomenų tvarkymo tikslų, sąlygų ir būdų. Vertinant šį kriterijų nėra svarbu, ar asmens duomenys faktiškai buvo tvarkomi toje vietoje; asmens duomenų tvarkymo techninių priemonių ir technologijų buvimas ir naudojimas arba duomenų tvarkymo operacijos savaime nepagrindžia pagrindinės buveinės egzistavimo ir todėl nėra esminis pagrindinės buveinės nustatymo kriterijus. Duomenų tvarkytojo pagrindinė buveinė turėtų būti jo centrinės administracijos vieta Sąjungos teritorijoje; (28) įmonių grupę turėtų sudaryti kontroliuojančioji įmonė ir jos kontroliuojamos įmonės, o kontroliuojančioji įmonė turėtų būti įmonė, galinti daryti lemiamą poveikį kitoms įmonėms, pavyzdžiui, dėl nuosavybės santykių, finansinių įnašų, įmonės veiklą reglamentuojančių taisyklių arba įgaliojimo nustatyti asmens duomenų apsaugos taisykles; (29) vaikams turėtų būti užtikrinta ypatinga jų asmens duomenų apsauga, nes jie gali nepakankamai suvokti su asmens duomenų tvarkymu susijusią riziką, pasekmes, apsaugos priemones ir savo teises. Siekiant nustatyti, koks asmuo laikomas vaiku, šiame reglamente turėtų būti vadovaujamasi JT Vaiko teisių konvencijoje nustatytos apibrėžties; (30) asmens duomenys turėtų būti tvarkomi teisėtai, sąžiningai ir skaidriai suinteresuotųjų asmenų atžvilgiu. Visų pirma turėtų būti aiškūs, teisėti ir duomenų rinkimo metu nustatyti konkretūs tikslai, kuriais tvarkomi duomenys. Duomenys turėtų būti adekvatūs, susiję ir jų apimtis neviršyti tikslų, kuriais jie tvarkomi; tam pirmiausia reikia užtikrinti, kad būtų surinkta ne per daug duomenų, o duomenų saugojimo laikotarpis būtų tik minimalus. Asmens duomenys turėtų būti tvarkomi tik tuomet, jei duomenų tvarkymo tikslų negalima pasiekti kitomis priemonėmis. Reikėtų imtis visų pagrįstų priemonių, siekiant užtikrinti, kad netikslūs asmens duomenys būtų ištaisyti arba ištrinti. Kad duomenys nebūtų laikomi ilgiau nei būtina, duomenų valdytojas turėtų nustatyti duomenų ištrynimo arba periodinės peržiūros terminus; (31) kad duomenų tvarkymas būtų teisėtas, asmens duomenys turėtų būti tvarkomi gavus atitinkamo asmens sutikimą arba kitu teisėtu pagrindu, nustatytu šiame reglamente arba – kai šiame reglamente nurodoma – kitame Sąjungos ar valstybės narės teisės akte; (32) kai duomenys tvarkomi gavus duomenų subjekto sutikimą, pareiga įrodyti, kad duomenų subjektas sutiko su duomenų tvarkymo operacija, turėtų tekti duomenų valdytojui. Visų pirma kai rašytinis pareiškimas teikiamas kitu klausimu, apsaugos priemonėmis turėtų būti užtikrinta, kad duomenų subjektas suvokia, kad sutinka ir dėl ko; (33) siekiant užtikrinti, kad sutikimas būtų savanoriškas, reikėtų tiksliai apibrėžti, kad sutikimas nėra laikomas galiojančiu teisiniu pagrindu, kai asmuo faktiškai neturi laisvo pasirinkimo ir todėl negali atsisakyti sutikti arba sutikimo atšaukti, nepatirdamos žalos; (34) sutikimas neturėtų būti laikomas galiojančiu asmens duomenų tvarkymo teisiniu pagrindu, kai yra aiškus duomenų subjekto ir duomenų valdytojo padėties disbalansas. Tai yra visų pirma tuomet, kai duomenų subjektas yra priklausomas nuo duomenų valdytojo, pavyzdžiui, kai palaikant darbo santykius darbuotojo asmens duomenis tvarko darbdavys. Kai duomenų valdytojas yra valdžios institucija, disbalansas atsirastų tik atliekant tokias specialias tvarkymo operacijas, kurių atveju valdžios institucija, remdamasi savo viešaisiais įgaliojimais, gali nustatyti pareigą ir sutikimas negali būti laikomas savanorišku, atsižvelgiant į duomenų subjekto interesus; (35) duomenų tvarkymas turėtų būti teisėtas, kai juos būtina tvarkyti siekiant vykdyti sutartį arba ketinant ją sudaryti; (36) kai duomenų valdytojas duomenis tvarko vykdydamas jam tenkančią pareigą arba kai duomenis būtina tvarkyti viešojo intereso užduočiai įvykdyti ar vykdant valdžios įgaliojimus, duomenų tvarkymo teisinis pagrindas turėtų būti įtvirtintas Sąjungos arba valstybės narės teisėje ir atitikti Europos Sąjungos pagrindinių teisių chartijos reikalavimus, jei teisės arba laisvės suvaržomos. Be to, Sąjungos arba nacionalinėje teisėje turi būti nustatyta, ar duomenų valdytojas, vykdantis viešojo intereso užduotį arba valdžios įgaliojimus, turėtų būti viešojo administravimo institucija arba kitas viešosios teisės reglamentuojamas fizinis ar juridinis asmuo arba privatinės teisės reglamentuojamas fizinis ar juridinis asmuo, kaip antai profesinė asociacija; (37) asmens duomenų tvarkymas taip pat turėtų būti laikomas teisėtu, kai duomenis tvarkyti būtina norint apsaugoti gyvybinį duomenų subjekto interesą; (38) teisėti duomenų valdytojo interesai gali būti teisiniu duomenų tvarkymo pagrindu, jeigu duomenų subjekto interesai arba pagrindinės teisės ir laisvės nėra viršesni. Juos reikėtų kruopščiai pasverti visų pirma tuomet, kai duomenų subjektas yra vaikas, nes vaikams reikalinga ypatinga apsauga. Duomenų subjektui turėtų būti suteikta teisė dėl priežasčių, susijusių su jo konkrečia padėtimi, nesutikti, kad duomenys būtų tvarkomi, ir dėl to nepatirti išlaidų. Siekiant užtikrinti skaidrumą, duomenų valdytojas turėtų būti įpareigotas aiškiai informuoti duomenų subjektą apie teisėtus interesus, kurių siekia, ir jo teisę su tuo nesutikti, be to, jis turėtų būti įpareigotas šiuos teisėtus interesus dokumentuoti. Atsižvelgiant į tai, kad teisinį duomenų tvarkymo pagrindą valdžios institucijoms teisės aktu turi sukurti teisės aktų leidėjas, šis pateisinimo pagrindas neturėtų būti taikomas tais atvejais, kai valdžios institucijos duomenis tvarko vykdydamos savo funkcijas; (39) duomenų tvarkymas, atliekamas valstybės institucijų, kompiuterinių incidentų tarnybų (angl. Computer Emergency Response Teams, CERT), kompiuterių saugumo incidentų tyrimo tarnybų (angl. Computer Emergency Response Teams, CSIRT), elektroninių ryšių tinklų bei paslaugų teikėjų ir saugumo technologijų bei paslaugų teikėjų, laikomas teisėtu atitinkamo duomenų valdytojo interesu tiek, kiek to reikia siekiant užtikrinti tinklo ir informacijos saugumą, t. y. tinklo ar informacinės sistemos nustatyto patikimumo laipsnio atsparumą trikdžiams arba neteisėtiems ar tyčiniams veiksmams, kuriais pažeidžiamas saugomų ar perduodamų duomenų prieinamumas, autentiškumas, vientisumas ir konfidencialumas, ir susijusių paslaugų, kurias teikia arba kurios prieinamos per tuos tinklus ir sistemas, saugumą. Toks teisėtas interesas galėtų būti, pavyzdžiui, kelio užkirtimas neteisėtai prieigai prie elektroninių ryšių tinklų, kenkimo programų kodų platinimui, elektroninės paslaugų trikdymo atakoms (angl. denial of service) ir kompiuterių bei elektroninių ryšių sistemų sugadinimui; (40) asmens duomenų tvarkymas kitais tikslais turėtų būti leidžiamas tik tuomet, kai duomenų tvarkymas dera su tikslais, kuriais iš pradžių duomenys buvo rinkti, visų pirma, kai duomenis tvarkyti būtina istoriniais, statistiniais arba mokslinių tyrimų tikslais. Kai kitas tikslas su pradiniu duomenų rinkimo tikslu nedera, duomenų valdytojas turėtų gauti duomenų subjekto sutikimą duomenis tvarkyti tuo kitu tikslu arba duomenų tvarkymą pagrįsti kitu teisėtu pagrindu, visų pirma įtvirtintu Sąjungos teisėje arba duomenų valdytojui taikytinos valstybės narės teisėje. Visais atvejais turėtų būti užtikrinta, kad bus taikomi šiame reglamente nustatyti principai, visų pirma, kad duomenų subjektas bus informuotas apie tuos kitus duomenų tvarkymo tikslus; (41) reikia užtikrinti ypatingą asmens duomenų, visų pirma tų, kurie dėl savo pobūdžio yra neskelbtini ir dėl kurių gali būti pažeistos pagrindinės teisės arba privatumas, apsaugą; tokie duomenys neturėtų būti tvarkomi, nebent duomenų subjektas su tuo aiškiai sutiko. Tačiau būtinųjų poreikių atveju reikėtų aiškiai nustatyti šio draudimo išimtis, visų pirma, kai vykdydamos teisėtą veiklą duomenis tvarko tam tikros asociacijos ar fondai, kovojantys už pagrindinių laisvių įgyvendinimą; (42) be to, netaikyti draudimo tvarkyti ypatingų kategorijų duomenis turėtų būti leidžiama, jei tai numatyta įstatyme ir taikomos tinkamos asmens duomenų ir kitų pagrindinių teisių apsaugos priemonės, kai galima pateisinti viešojo intereso pagrindais, visų pirma kai tai susiję su sveikatos klausimais, įskaitant visuomenės sveikatos ir socialinės apsaugos užtikrinimą ir sveikatos priežiūros paslaugų administravimą, ypač siekiant, kad sveikatos draudimo sistemoje taikomos prašymų dėl išmokų ir paslaugų nagrinėjimo procedūros būtų kokybiškos ir nereikalautų daug sąnaudų, arba kai duomenys tvarkomi istoriniais, statistiniais ir mokslinių tyrimų tikslais; (43) be to, siekiant oficialiai pripažintų religinių bendruomenių tikslų, išdėstytų konstitucinėje teisėje arba tarptautinėje viešojoje teisėje, valdžios institucijos asmens duomenis tvarko viešojo intereso pagrindais; (44) tais atvejais, kai, vykstant rinkimams, demokratinės sistemos veikimui tam tikroje valstybėje narėje užtikrinti būtina, kad politinės partijos surinktų duomenis apie asmenų politines pažiūras, gali būti leista tvarkyti tokius duomenis ginant viešąjį interesą su sąlyga, kad yra nustatytos tinkamos apsaugos priemonės; (45) jeigu duomenų valdytojas pagal tvarkomus duomenis negali nustatyti fizinio asmens tapatybės, jis neturėtų būti įpareigojamas gauti papildomos informacijos duomenų subjektui nustatyti vien tam, kam būtų laikomasi kurios nors šio reglamento nuostatos. Kai pateikiamas prašymas susipažinti su duomenimis, duomenų valdytojas turėtų turėti teisę pareikalauti iš duomenų subjekto papildomos informacijos, kuri jam padėtų rasti prašomus asmens duomenis; (46) skaidrumo principas reiškia, kad visa visuomenei arba duomenų subjektui skirta informacija turėtų būti lengvai prieinama ir suprantama, t. y. suformuluota aiškiai ir paprastai. Tai ypač svarbu tokiais atvejais, kaip antai interneto reklama, kai dėl dalyvių gausos ir naudojamų technologijų sudėtingumo duomenų subjektui sunku suvokti ir pastebėti, ar jo asmens duomenys renkami, kas juos renka ir kokiu tikslu. Kai duomenų tvarkymas orientuotas būtent į vaikus, dėl būtinybės vaikams užtikrinti ypatingą apsaugą visa informacija ir pranešimai turi būti suformuluoti vaikui lengvai suprantama, aiškia ir paprasta kalba; (47) siekiant palengvinti duomenų subjekto naudojimąsi savo teisėmis pagal šį reglamentą, turėtų būti nustatytos naudojimosi jomis sąlygos, įskaitant visų pirma prašymo nemokamai suteikti teisę susipažinti su duomenimis, reikalauti juos ištaisyti ir ištrinti, taip pat naudojimosi teise nesutikti tvarką. Duomenų valdytojas turėtų būti įpareigotas į duomenų subjekto prašymus atsakyti per nustatytą terminą ir, jei duomenų subjekto prašymo netenkina, nurodyti priežastis; (48) pagal sąžiningo ir skaidraus duomenų tvarkymo principus duomenų subjektui turėtų būti pranešta visų pirma apie vykdomą duomenų tvarkymo operaciją ir jos tikslus, kaip ilgai bus saugomi duomenys, apie teisę susipažinti su duomenimis, reikalauti juos ištaisyti ar ištrinti ir apie teisę pateikti skundą. Kai duomenys renkami iš duomenų subjekto, duomenų subjektas taip pat turėtų būti informuotas, ar jis privalo pateikti duomenis, taip pat apie tokių duomenų nepateikimo pasekmes; (49) informacija apie duomenų subjekto asmens duomenų tvarkymą turėtų būti suteikta duomenis renkant arba – kai duomenys renkami ne iš duomenų subjekto – per pagrįstą laikotarpį, priklausomai nuo konkretaus atvejo aplinkybių. Kai duomenis galima teisėtai atskleisti kitam duomenų gavėjui, duomenų subjektas apie tai turėtų būti informuojamas pirmo duomenų atskleidimo jų gavėjui metu; (50) tačiau šią pareigą nebūtina nustatyti tais atvejais, kai duomenų subjektas jau buvo informuotas arba kai duomenų įrašymas ar atskleidimas įtvirtintas įstatyme, arba kai pateikti informaciją duomenų subjektui neįmanoma arba reikalautų neproporcingai didelių pastangų. Pastarasis atvejis būtų, pavyzdžiui, duomenis tvarkant istoriniais, statistiniais arba mokslinių tyrimų tikslais; tokioje situacijoje galima atsižvelgti į duomenų subjektų skaičių, duomenų senumą ir bet kurias priimtas kompensacines priemones; (51) bet kuris asmuo turėtų turėti teisę susipažinti su apie jį surinktais duomenimis ir galimybę šia teise lengvai pasinaudoti, kad žinotų apie duomenų tvarkymą ir galėtų patikrinti jo teisėtumą. Todėl kiekvienas duomenų subjektas turėtų turėti teisę žinoti ir būti informuotas, pavyzdžiui, apie tai, kokiais tikslais duomenys tvarkomi, kaip ilgai jie bus laikomi, kas yra duomenų gavėjas, pagal kokią logiką duomenys tvarkomi ir kokios galėtų būti tokio duomenų tvarkymo pasekmės bent jau tais atvejais, kai duomenų tvarkymas grindžiamas profiliavimu. Ši teisė neturėtų varžyti kitų asmenų teisių ir laisvių, įskaitant komercines paslaptis arba intelektinės nuosavybės teises, ypač autorių teises, kuriomis saugoma programinė įranga. Tačiau tai neturėtų lemti, kad duomenų subjektui būtų atsisakyta suteikti visą informaciją; (52) duomenų valdytojas turėtų naudotis visomis pagrįstomis priemonėmis, kad patikrintų prašančio leisti susipažinti su duomenimis duomenų subjekto tapatybę, ypač kai tai susiję su interneto paslaugomis ir interneto identifikatoriais. Duomenų valdytojas neturėtų saugoti asmens duomenų vien tam, kad galėtų atsakyti į galimus prašymus; (53) kiekvienas asmuo turėtų turėti teisę reikalauti ištaisyti jo asmens duomenis ir teisę būti užmirštam, kai tokių duomenų saugojimas neatitinka šio reglamento reikalavimų. Pirmiausia, duomenų subjektai turėtų turėti teisę reikalauti, kad jų duomenys būtų ištrinti ir toliau nebetvarkomi, kai duomenų nebereikia tiems tikslams, kuriais jie buvo renkami ar kitaip tvarkomi, kai duomenų subjektai atšaukė savo sutikimą dėl duomenų tvarkymo ar nesutinka, kad jų asmens duomenys būtų tvarkomi, arba kai jų asmens duomenų tvarkymas dėl kitų priežasčių neatitinka šio reglamento nuostatų. Ši teisė ypatingai svarbi tais atvejais, kai duomenų subjektas savo sutikimą išreiškė būdamas vaikas, nevisiškai suvokdamas su duomenų tvarkymu susijusią riziką, o vėliau panoro, kad tokie – ypač internete saugomi – asmens duomenys būtų pašalinti. Tačiau turėtų būti leidžiama toliau saugoti duomenis, jei to reikia istoriniais, statistiniais ir mokslinių tyrimų tikslais, siekiant apginti viešąjį interesą visuomenės sveikatos srityje ar norint pasinaudoti teise į saviraiškos laisvę, kai tai numatyta pagal įstatymą arba yra pagrindas duomenų tvarkymą riboti, o ne juos ištrinti; (54) siekiant sustiprinti teisę būti užmirštam internetinėje aplinkoje, teisė reikalauti ištrinti duomenis turėtų būti išplėsta taip, kad duomenų valdytojas, kuris asmens duomenis paskelbė viešai, būtų įpareigotas informuoti tokius duomenis tvarkančius trečiuosius asmenis apie duomenų subjekto prašymą ištrinti visas nuorodas į tuos duomenis, jų kopijas ar dublikatus. Dėl duomenų, už kurių paskelbimą duomenų valdytojas yra atsakingas, jis turėtų imtis visų pagrįstų veiksmų, įskaitant technines priemones, kad tokią informaciją perduotų tretiesiems asmenims. Kai asmens duomenis paskelbė tretieji asmenys, duomenų valdytojas turėtų būti laikomas atsakingu už jų paskelbimą, jei jis davė tokį leidimą; (55) kai asmens duomenys tvarkomi elektroninėmis priemonėmis ir susistemintu bei dažnai naudojamu elektroniniu formatu, duomenų subjektai turėtų turėti teisę savo duomenų kopiją gauti taip pat dažnai naudojamu elektroniniu formatu, kad galėtų geriau kontroliuoti savo asmens duomenis ir pasinaudoti savo teise su jais susipažinti. Be to, duomenų subjektui taip pat turėtų būti leidžiama savo pateiktus duomenis persiųsti iš vienos automatizuotos programos, pavyzdžiui, socialinio tinklo, į kitą. Tai turėtų būti taikoma tais atvejais, kai duomenų subjektas duomenis automatizuotai duomenų tvarkymo sistemai pateikė savo sutikimu arba vykdydamas sutartį; (56) kai asmens duomenys gali būti teisėtai tvarkomi, kad būtų apsaugoti gyvybiniai duomenų subjekto interesai arba ginant viešąjį interesą, vykdant valdžios įgaliojimus ar užtikrinant teisėtus duomenų valdytojo interesus, kiekvienas duomenų subjektas vis tiek turėtų turėti teisę nesutikti su bet kokių jo duomenų tvarkymu. Pareiga įrodyti, kad teisėti duomenų valdytojo interesai viršesni už duomenų subjekto interesus arba pagrindines teises ir laisves, turėtų tekti duomenų valdytojui; (57) jeigu asmens duomenys tvarkomi tiesioginės rinkodaros tikslais, duomenų subjektas turėtų galėti nemokamai, paprastai ir veiksmingai pasinaudoti teise nesutikti su tokiu duomenų tvarkymu; (58) kiekvienas fizinis asmuo turėtų turėti teisę, kad jam nebūtų taikoma priemonė, pagrįsta profiliavimu duomenis tvarkant automatizuotai. Tačiau tokia priemonė turėtų būti leidžiama, kai ji aiškiai numatyta įstatyme, įgyvendinta sudarant arba vykdant sutartį arba kai buvo gautas duomenų subjekto sutikimas. Bet kuriuo atveju tokiam duomenų tvarkymui turėtų būti taikomos tinkamos apsaugos priemonės, pavyzdžiui, duomenų subjekto informavimas arba teisė reikalauti žmogaus įsikišimo, o tokia priemonė neturėtų būti taikoma vaikui; (59) Sąjungos arba valstybės narės teisėje gali būti nustatyti ribojimai, kuriais suvaržomi konkretūs principai ir teisė gauti informaciją, susipažinti su duomenimis, teisė reikalauti ištaisyti ir ištrinti duomenis ar teisė į duomenų perkeliamumą, profiliavimu grindžiamos priemonės, taip pat duomenų subjekto informavimas apie asmens duomenų saugumo pažeidimą ir kai kurios susijusios duomenų valdytojų pareigos, jeigu toks ribojimas reikalingas ir proporcingas demokratinėje visuomenėje siekiant užtikrinti visuomenės saugumą, įskaitant žmonių gyvybių apsaugą reaguojant į gaivalines ar žmogaus sukeltas nelaimes, nusikalstamos veikos arba reglamentuojamų profesijų etikos taisyklių pažeidimų prevenciją, tyrimą ir traukimą baudžiamojon atsakomybėn už juos, taip pat siekiant apginti kitus Sąjungos ar valstybių narių viešuosius interesus, visų pirma, svarbius ekonominius arba finansinius Sąjungos ar valstybių narių interesus, arba užtikrinti duomenų subjekto arba kitų asmenų teisių ir laisvių apsaugą. Šie apribojimai turėtų atitikti Europos Sąjungos pagrindinių teisių chartijos ir Europos žmogaus teisių ir pagrindinių laisvių apsaugos konvencijos reikalavimus; (60) turėtų būti nustatyta visapusiška duomenų valdytojo atsakomybė už bet kokį duomenų valdytojo arba jo pavedimu vykdomą asmens duomenų tvarkymą. Visų pirma, duomenų valdytojas turėtų užtikrinti, kad kiekviena duomenų tvarkymo operacija atitinka šį reglamentą, ir privalėti tą įrodyti; (61) dėl duomenų subjektų teisių ir laisvių apsaugos tvarkant asmens duomenis reikia imtis tinkamų techninių ir organizacinių priemonių siekiant užtikrinti, kad ir kuriant duomenų tvarkymo sistemas, ir duomenis tvarkant, būtų laikomasi reglamento reikalavimų. Siekdamas užtikrinti ir įrodyti šio reglamento nuostatų laikymąsi, duomenų valdytojas turėtų priimti vidaus nuostatas ir įdiegti tinkamas priemones, kuriomis visų pirma paisoma pritaikytosios ir standartizuotosios duomenų apsaugos principų; (62) siekiant užtikrinti duomenų subjektų teises ir laisves ir nustatyti duomenų valdytojų ir duomenų tvarkytojų atsakomybę, šiame reglamente reikia aiškiai paskirstyti atsakomybę – taip pat ir priežiūros institucijų stebėjimo ir priemonių atžvilgiu – be kita ko, tais atvejais, kai duomenų valdytojas kartu su kitais duomenų valdytojais nustato duomenų tvarkymo tikslus, sąlygas ir būdus arba kai duomenų tvarkymo operacija atlikta duomenų valdytojo pavedimu; (63) kai Sąjungoje gyvenančių duomenų subjektų asmens duomenis tvarko Sąjungoje neįsisteigęs duomenų kontrolierius, kurio duomenų tvarkymo veikla susijusi su prekių ir paslaugų siūlymu tokiems duomenų subjektams arba jų elgesio stebėjimu, duomenų valdytojas turėtų paskirti atstovą, nebent duomenų valdytojas yra įsikūręs trečiojoje šalyje, kuri užtikrina tinkamą apsaugos lygį, arba duomenų valdytojas yra mažoji ar vidutinė įmonė, valdžios institucija ar įstaiga, arba duomenų valdytojas prekes ir paslaugas tokiems duomenų subjektams siūlo tik retkarčiais. Atstovas turėtų veikti duomenų valdytojo vardu, o į jį galėtų kreiptis priežiūros institucijos; (64) siekiant nustatyti, ar duomenų valdytojas prekes ir paslaugas Sąjungoje gyvenantiems duomenų subjektams siūlo tik retkarčiais, reikėtų įvertinti, ar iš visos duomenų valdytojo veiklos matyti, kad prekių ir paslaugų siūlymas tokiems duomenų subjektams tik papildo pagrindinę jo veiklą; (65) kad įrodytų, jog laikosi šio reglamento, duomenų valdytojas arba tvarkytojas turėtų dokumentuoti kiekvieną duomenų tvarkymo operaciją. Kiekvienas duomenų valdytojas ir duomenų tvarkytojas turėtų būti įpareigotas bendradarbiauti su priežiūros institucija ir paprašius pateikti turimus dokumentus, kad pagal juos būtų galima patikrinti tvarkymo operacijas; (66) siekiant užtikrinti saugumą ir užkirsti kelią šio reglamento nuostatų neatitinkančiam duomenų tvarkymui, duomenų valdytojas arba tvarkytojas turėtų įvertinti su duomenų tvarkymu susijusią riziką ir įgyvendinti jas mažinančias priemones. Šiomis priemonėmis turėtų būti užtikrintas saugumo lygis, kuris atsižvelgiant į technologijų lygį ir jų įdiegimo išlaidas, turėtų būti adekvatus tvarkymo keliamai rizikai ir saugotinų asmens duomenų pobūdžiui. Nustatydama techninius standartus ir organizacines priemones duomenų tvarkymo saugumui užtikrinti, Komisija turėtų skatinti technologinį neutralumą, sąveikumą ir inovacijas, o prireikus bendradarbiauti su trečiosiomis šalimis; (67) dėl asmens duomenų saugumo pažeidimo, jei jis tinkamai ir laiku neišaiškintas, asmuo gali patirti didelių ekonominių nuostolių arba socialinę žalą, įskaitant tapatybės klastojimą. Todėl, kai tik duomenų valdytojas sužino, kad padarytas toks pažeidimas, jis apie pažeidimą turėtų nepagrįstai nedelsdamas, jei įmanoma, per 24 valandas pranešti priežiūros institucijai. Kai to neįmanoma padaryti per 24 valandas, pranešant reikėtų nurodyti vėlavimo priežastis. Fiziniai asmenys, kurių asmens duomenims ar privatumui pažeidimas galėjo turėti neigiamą poveikį, turėtų būti nepagrįstai nedelsiant informuojami, kad galėtų imtis būtinų atsargumo priemonių. Pažeidimas turėtų būti laikomas turinčiu neigiamą poveikį asmens duomenims ar duomenų subjekto privatumui, jeigu dėl jo, pavyzdžiui, galėtų būti pavogta ar suklastota tapatybė, padaryta fizinė žala, patirtas didelis pažeminimas ar pakenkta reputacijai. Pranešime turėtų būti aprašytas asmens duomenų saugumo pažeidimo pobūdis ir fiziniams asmenims nurodytos rekomendacijos, kaip sušvelninti galimą neigiamą poveikį. Duomenų subjektams apie tai turėtų būti pranešta kuo greičiau, glaudžiai bendradarbiaujant su priežiūros institucija ir laikantis jos ar kitos atitinkamos institucijos (pvz., teisėsaugos institucijų) pateiktų nurodymų. Kad duomenų subjektai galėtų sumažinti tiesioginį žalos pavojų, reikėtų, pavyzdžiui, jiems nedelsiant apie tai pranešti, o ilgesnį pranešimo terminą būtų galima pateisinti būtinybe įgyvendinti tinkamas priemones, nukreiptas prieš tęstinius arba panašius duomenų saugumo pažeidimus; (68) siekiant nustatyti, ar apie asmens duomenų saugumo pažeidimą priežiūros institucijai ir duomenų subjektui pranešta nepagrįstai nedelsiant, reikėtų patikrinti, ar duomenų valdytojas įgyvendino ir taikė tinkamas technologijų apsaugos ir organizacines priemones, kad galėtų iš karto nustatyti, ar buvo padarytas asmens duomenų saugumo pažeidimas, ir nedelsdamas iki žalos padarymo asmeniniams ir ekonominiams interesams apie tai informuoti priežiūros instituciją ir duomenų subjektą, kartu atsižvelgdamas visų pirma į asmens duomenų saugumo pažeidimo pobūdį ir sunkumą, jo pasekmes ir padarinius duomenų subjektui; (69) nustatant išsamias pranešimo apie asmens duomenų saugumo pažeidimą formos ir tvarkos taisykles, turėtų būti tinkamai atsižvelgiama į pažeidimo aplinkybes, įskaitant tai, ar asmens duomenys buvo apsaugoti tinkamomis techninėmis priemonėmis, veiksmingai ribojančiomis tapatybės klastojimo arba kitokio neteisėto naudojimo galimybę. Be to, nustatant tokias taisykles ir tvarką reikėtų atsižvelgti į teisėtus teisėsaugos institucijų interesus tais atvejais, kai ankstyvas informacijos apie incidentą paskelbimas galėtų bereikalingai sutrukdyti pažeidimo aplinkybių tyrimą; (70) Direktyvoje 95/46/EB nustatyta bendra pareiga priežiūros institucijoms pranešti apie asmens duomenų tvarkymą. Ši pareiga susijusi su administracine ir finansine našta, tačiau ji ne visada padėdavo gerinti asmens duomenų apsaugą. Todėl tokią bendrą visuotinę pareigą pranešti reikėtų panaikinti ir ją pakeisti veiksmingomis procedūromis ir mechanizmu, kurie būtų labiau orientuoti į duomenų tvarkymo operacijas, dėl kurių pobūdžio, apimties ir tikslų galėtų kilti konkretus pavojus duomenų subjektų teisėms ir laisvėms. Tokiais atvejais duomenų valdytojas ar tvarkytojas prieš pradėdamas tvarkyti duomenis turėtų atlikti duomenų apsaugos poveikio įvertinimą, kuris visų pirma apimtų numatomas priemones, apsaugos priemones ir mechanizmus, kuriais užtikrinama asmens duomenų apsauga ir įrodomas šio reglamento nuostatų laikymasis; (71) tai pirmiausia turėtų būti taikoma naujiems sukurtiems didelės apimties duomenų rinkiniams, kuriais siekiama regioniniu, nacionaliniu ar viršnacionaliniu lygmeniu tvarkyti didelį kiekį asmens duomenų ir kurie gali turėti poveikio dideliam skaičiui duomenų subjektų; (72) tam tikromis aplinkybėmis gali būti tikslinga ir ekonomiška atlikti platesnio masto duomenų apsaugos poveikio įvertinimą, o ne jį susieti su vienu konkrečiu projektu, pavyzdžiui, kai valdžios institucijos ar įstaigos siekia sukurti bendrą programą ar duomenų tvarkymo platformą arba kai keli duomenų valdytojai ketina tam tikroje pramonės šakoje, jos sektoriuje arba plačiai paplitusioje horizontalioje veikloje pradėti taikyti bendrą programą ar duomenų tvarkymo aplinką; (73) duomenų apsaugos poveikio įvertinimą turėtų atlikti valdžios institucija arba įstaiga, jei toks įvertinimas dar nebuvo atliktas priimant nacionalinį įstatymą, kurio pagrindu valdžios institucija ar įstaiga atlieka savo funkcijas ir kuriuo reglamentuojama konkreti duomenų tvarkymo operacija ar jų seka; (74) kai iš duomenų apsaugos poveikio įvertinimo paaiškėja, kad duomenų tvarkymo operacijos susijusios su didele konkrečia rizika duomenų subjektų teisėms ir laisvėms, kaip antai rizika, kad naudojant konkrečias naujas technologijas fiziniams asmenims bus užkirstas kelias pasinaudoti savo teisėmis, prieš pradedant operacijas reikėtų su priežiūros institucija konsultuotis dėl su rizika susijusio duomenų tvarkymo, kuris galėtų pažeisti šio reglamento reikalavimus, ir pateikti pasiūlymus, kaip tokią padėtį ištaisyti. Konsultuotis reikėtų ir rengiant nacionalinio parlamento teisėkūros priemonę arba ja pagrįstą priemonę, kuria apibrėžiamas duomenų tvarkymo pobūdis ir nustatomos tinkamos apsaugos priemonės; (75) Kai duomenys tvarkomi viešajame sektoriuje arba kai duomenis privačiajame sektoriuje tvarko didelė įmonė arba jos pagrindinė veikla, nepaisant įmonės dydžio, apima duomenų tvarkymo operacijas, kurias reikia reguliariai ir sistemingai stebėti, prižiūrėti, kaip įmonė laikosi šio reglamento, duomenų valdytojui ar tvarkytojui turėtų padėti dar vienas asmuo. Tokie duomenų apsaugos pareigūnai, nepriklausomai nuo to, ar jie yra duomenų valdytojo darbuotojai, savo pareigas ir užduotis turėtų atlikti visiškai nepriklausomai; (76) asociacijos ar kitos įstaigos, atstovaujančios tam tikrų kategorijų duomenų valdytojams, turėtų būti skatinamos pagal šio reglamento reikalavimus parengti elgesio kodeksus, kad palengvintų veiksmingą šio reglamento taikymą, atsižvelgiant į tam tikruose sektoriuose atliekamo duomenų tvarkymo ypatumus; (77) siekiant didesnio skaidrumo ir geresnio šio reglamento laikymosi, reikėtų skatinti įvesti sertifikavimo mechanizmus, duomenų apsaugos ženklus ir žymenis, kurie leistų duomenų subjektams greitai įvertinti konkretaus produkto ar paslaugos duomenų apsaugos lygį; (78) asmens duomenų judėjimas iš vienos valstybės į kitą reikalingas tarptautinės prekybos plėtrai ir tarptautiniam bendradarbiavimui. Šiems srautams padidėjus, kilo naujų sunkumų ir naujų reikalavimų asmens duomenų apsaugai. Tačiau kai asmens duomenys perduodami iš Sąjungos į trečiąsias šalis arba tarptautinėms organizacijoms, neturėtų sumažėti Sąjungoje šiuo reglamentu fiziniams asmenims garantuojamos apsaugos lygis. Bet kuriuo atveju duomenys trečiosioms šalims gali būti perduodami tik besąlygiškai laikantis šio reglamento nuostatų; (79) šis reglamentas nedaro poveikio Sąjungos ir trečiųjų šalių sudarytiems tarptautiniams susitarimams, kuriais reglamentuojamas asmens duomenų perdavimas, įskaitant tinkamas duomenų subjektų apsaugos priemones; (80) Komisija gali nuspręsti, sprendimui galiojant visoje Sąjungoje, kad tam tikros trečiosios šalys arba teritorija, arba su duomenų tvarkymu susijęs sektorius trečiojoje šalyje, arba tarptautinė organizacija užtikrina tinkamą duomenų apsaugos lygį, ir taip garantuoti teisinį tikrumą ir vienodą teisės taikymą visoje Sąjungoje, kiek tai susiję su trečiosiomis šalimis ir tarptautinėmis organizacijomis, kurios laikomos užtikrinančiomis tokį apsaugos lygį. Šiais atvejais asmens duomenys į šias šalis gali būti perduodami be papildomo leidimo; (81) paisydama pagrindinių vertybių, kuriomis grindžiama Sąjunga, visų pirma žmogaus teisių apsaugos, Komisija, vertindama trečiąją šalį, turėtų atsižvelgti į tai, kaip joje laikomasi teisinės valstybės principų, teisės kreiptis į teismą, taip pat tarptautinių žmogaus teisių normų ir standartų; (82) Komisija taip pat gali pripažinti, kad trečioji šalis arba teritorija, arba su duomenų tvarkymu susijęs sektorius trečiojoje šalyje, arba tarptautinė organizacija neužtikrina tinkamo duomenų apsaugos lygio. Todėl asmens duomenų perdavimas į tą trečiąją šalį turėtų būti draudžiamas. Tokiu atveju turėtų būti numatyta galimybė Komisijai konsultuotis su tokiomis trečiosiomis šalimis arba tarptautinėmis organizacijomis; (83) jei sprendimas dėl tinkamumo nepriimtas, duomenų valdytojas arba tvarkytojas turėtų duomenų subjektams numatyti tinkamas apsaugos priemones nepakankamai duomenų apsaugai trečiojoje šalyje kompensuoti. Tokios apsaugos priemonės galėtų būti rėmimasis įmonei privalomomis taisyklėmis, Komisijos priimtomis standartinėmis duomenų apsaugos sąlygomis, priežiūros institucijos priimtomis standartinėmis duomenų apsaugos sąlygomis, priežiūros institucijos patvirtintomis sutarties sąlygomis ar kitomis tinkamomis ir proporcingomis priemonėmis, pateisinamomis atsižvelgiant į visas duomenų perdavimo operacijos ar operacijų sekos aplinkybes ir patvirtintomis priežiūros institucijos; (84) galimybė duomenų valdytojui ar tvarkytojui remtis Komisijos ar priežiūros institucijos priimtomis standartinėmis duomenų apsaugos sąlygomis neturėtų užkirsti kelio duomenų valdytojams arba tvarkytojams standartines duomenų apsaugos sąlygas įtraukti į platesnes sutartis ar jas papildyti kitomis sąlygomis, jei jos tiesiogiai ar netiesiogiai neprieštarauja Komisijos ar priežiūros institucijos priimtoms standartinėms sutarčių sąlygoms ir nepažeidžia pagrindinių duomenų subjektų teisių ir laisvių; (85) įmonių grupė turėtų galėti remtis patvirtintomis įmonei privalomomis taisyklėmis, taikomomis tarptautiniam duomenų perdavimui iš Sąjungos tai pačiai įmonių grupei priklausančioms organizacijoms, jei tokiose įmonės taisyklėse įtvirtinti svarbiausi principai ir įgyvendinamos teisės, kuriomis užtikrinamos tinkamos asmens duomenų perdavimo ar perdavimo kategorijų apsaugos priemonės; (86) turėtų būti numatyta galimybė duomenis perduoti tam tikromis aplinkybėmis, kai duomenų subjektas yra davęs sutikimą, kai perduoti būtina dėl sutarties ar teismui pareikšto ieškinio, kai tai reikalinga dėl Sąjungos ar valstybės narės teisėje įtvirtintų viešojo intereso pagrindų, arba kai duomenys perduodami iš įstatymu įsteigto registro, kuris skirtas naudotis visuomenei ar teisėtų interesų turintiems asmenims. Pastaruoju atveju neturėtų būti perduodama registre sukauptų duomenų visuma arba ištisos jų kategorijos, o jeigu registras skirtas naudoti teisėtų interesų turintiems asmenims, duomenys turėtų būti perduodami tiktai tų asmenų prašymu arba jei jie yra duomenų gavėjai; (87) šios išimtys pirmiausia turėtų būti taikomos tais atvejais, kai duomenis reikalaujama ir būtina perduoti siekiant apsaugoti svarbų viešąjį interesą, pavyzdžiui, tarptautinio duomenų keitimosi tarp konkurencijos, mokesčių, muitų ar finansų priežiūros institucijų, tarp kompetentingų socialinės apsaugos tarnybų arba institucijų, atsakingų už nusikalstamų veikų prevenciją, tyrimą, nustatymą ir traukimą baudžiamojon atsakomybėn už jas, atvejais; (88) duomenų perdavimas, kurio negalima laikyti dažnu ar masiniu, taip pat turėtų būti galimas, kai duomenų valdytojas ar tvarkytojas siekia teisėtų interesų, jeigu jis įvertino visas su duomenų perdavimu susijusias aplinkybes. Duomenis tvarkant istoriniais, statistiniais ir mokslinių tyrimų tikslais, turėtų būti atsižvelgiama į teisėtus visuomenės lūkesčius dėl išaugusios žinių apimties; (89) visada, kai Komisija nėra priėmusi sprendimo dėl tinkamo duomenų apsaugos lygio trečiojoje šalyje, duomenų valdytojas arba tvarkytojas turėtų rinktis tokias galimybes, kuriomis duomenų subjektams užtikrinama, kad jie Sąjungoje ir toliau galės naudotis jų duomenų tvarkymui Sąjungoje taikomomis pagrindinėmis teisėmis ir apsaugos priemonėmis, kai tik tie duomenys bus perduoti; (90) kai kurios trečiosios šalys priėmė įstatymus ir kitus teisės aktus, kuriais tiesiogiai reguliuojama valstybių narių jurisdikcijai priklausančių fizinių ir juridinių asmenų veikla. Ekstrateritoriniu šių įstatymų ir kitų teisės aktų taikymu galėtų būti pažeista tarptautinė teisė ir trikdoma šiuo reglamentu Sąjungoje garantuojama fizinių asmenų apsauga.. Perduoti duomenis turėtų būti leidžiama tik jeigu įvykdytos duomenų perdavimui į trečiąsias šalis taikomos šio reglamento sąlygos. Taip gali būti, pavyzdžiui, jeigu atskleisti duomenis būtina ginant svarbų Sąjungos ar duomenų valdytojui taikytinos valstybės narės teisėje pripažintą viešąjį interesą. Svarbaus viešojo intereso buvimo sąlygas Komisija turėtų tiksliau nustatyti deleguotajame akte; (91) kai asmens duomenys perduodami į užsienį, fiziniams asmenims gali būti daug sunkiau pasinaudoti teisėmis į duomenų apsaugą, o visų pirma apsisaugoti nuo neteisėto tų duomenų naudojimo arba atskleidimo. Be to, priežiūros institucijos gali nesugebėti nagrinėti skundų ar vykdyti tyrimų, susijusių su veikla už jų valstybinių sienų. Jų pastangoms bendradarbiauti tarpvalstybiniu mastu taip pat gali kliudyti nepakankami įgaliojimai imtis prevencinių ar taisomųjų veiksmų, nenuoseklus teisinis reglamentavimas ir praktinės kliūtys, pavyzdžiui, riboti ištekliai. Todėl reikia skatinti glaudesnį duomenų apsaugos priežiūros institucijų bendradarbiavimą siekiant padėti joms keistis informacija su užsienio kolegomis ir kartu atlikti tyrimus; (92) visiškai nepriklausomai savo funkcijas vykdančių priežiūros institucijų įsteigimas valstybėse narėse yra esminė fizinių asmenų apsaugos tvarkant jų asmens duomenis dalis. Valstybės narės gali įsteigti daugiau nei vieną priežiūros instituciją atsižvelgdamos į savo konstitucinę, organizacinę ir administracinę sandarą; (93) jeigu valstybė narė įsteigia kelias priežiūros institucijas, ji įstatymu turėtų nustatyti tvarką, kuria būtų užtikrintas veiksmingas tų priežiūros institucijų dalyvavimas nuoseklumo užtikrinimo mechanizme. Pirmiausia, ta valstybė narė turėtų paskirti priežiūros instituciją, kuri atliktų vieno bendro informacinio punkto funkciją, kad tos institucijos veiksmingai dalyvautų mechanizme, būtų užtikrintas greitas ir sklandus bendradarbiavimas su kitomis priežiūros institucijomis, Europos duomenų apsaugos valdyba ir Komisija; (94) kiekvienai priežiūros institucijai turėtų būti suteikta pakankamai finansinių ir žmogiškųjų išteklių, taip pat patalpos ir infrastruktūra, kurie joms būtini siekiant veiksmingai vykdyti užduotis, įskaitant su savitarpio pagalba ir bendradarbiavimu su kitomis priežiūros institucijomis visoje Sąjungoje susijusias užduotis; (95) kiekvienoje valstybėje narėje teisės aktais turėtų būti nustatyti bendrieji reikalavimai priežiūros institucijos nariams, visų pirma turėtų būti numatyta, kad šiuos narius turėtų skirti valstybės narės parlamentas arba vyriausybė, taip pat turėtų būti įtrauktos taisyklės dėl narių tinkamumo ir šių narių statuso; (96) priežiūros institucijos turėtų stebėti, kaip taikomos šio reglamento nuostatos, ir padėti jas nuosekliai taikyti visoje Sąjungoje, kad būtų apsaugoti fiziniai asmenys tvarkant jų asmens duomenis ir palengvintas asmens duomenų judėjimas vidaus rinkoje. Siekdamos šio tikslo, priežiūros institucijos turėtų bendradarbiauti tarpusavyje ir su Komisija; (97) jeigu asmens duomenys tvarkomi daugiau nei vienoje valstybėje narėje, o duomenų valdytojo arba tvarkytojo buveinė vykdo veiklą Sąjungoje, viena priežiūros institucija turėtų būti kompetentinga stebėti duomenų valdytojo arba tvarkytojo veiklą visoje Sąjungoje ir priimti atitinkamus sprendimus, kad būtų vienodžiau taikoma teisė, būtų užtikrintas teisinis tikrumas ir tokiems duomenų valdytojams ir duomenų tvarkytojams sumažėtų administracinė našta; (98) kompetentinga institucija, atliekanti tokios centrinės institucijos funkciją, turėtų būti valstybės narės, kurioje yra pagrindinė duomenų valdytojo arba tvarkytojo buveinė, priežiūros institucija; (99) šis reglamentas taip pat taikomas nacionalinių teismų veiklai, tačiau priežiūros institucijų kompetencija neturėtų apimti asmens duomenų tvarkymo, kurį jie vykdo atlikdami teisingumo funkcijas, siekiant apsaugoti teisėjų nepriklausomumą jiems atliekant savo teismines užduotis. Vis dėlto ši išimtis turėtų būti griežtai taikoma tik faktinei teisminei veiklai teismo bylose ir netaikoma kitai veiklai, kurią teisėjai gali vykdyti pagal nacionalinę teisę; (100) siekiant užtikrinti nuoseklią šio reglamento taikymo stebėseną ir vykdymą visoje Sąjungoje, kiekvienos valstybės narės priežiūros institucijos turėtų atlikti tas pačias pareigas ir veiksmingai naudotis tais pačiais įgaliojimais, įskaitant įgaliojimus vykdyti tyrimą ir teisiškai privalomas intervencijas, priimti sprendimus ir skirti sankcijas, visų pirma tais atvejais, kai gaunami skundai iš fizinių asmenų, ir būti proceso šalimi. Priežiūros institucijų tyrimo įgaliojimai, kai reikia patekti į patalpas, turėtų būti įgyvendinami laikantis Sąjungos ir nacionalinės teisės nuostatų. Pirmiausia tai taikoma reikalavimui iš anksto gauti teismo leidimą; (101) kiekviena priežiūros institucija turėtų nagrinėti skundus, kuriuos pateikė bet kuris duomenų subjektas, ir juos tirti. Tyrimas gavus skundą turėtų būti vykdomas, paliekant galimybę jį peržiūrėti teismine tvarka, tiek, kiek tai tikslinga konkrečiu atveju. Priežiūros institucija per pagrįstą laikotarpį turėtų informuoti duomenų subjektą apie skundo tyrimo eigą ir rezultatą. Jeigu reikia papildo tyrimo arba jį koordinuoti su kita priežiūros institucija, duomenų subjektas taip pat turėtų būti apie tai informuojamas; (102) priežiūros institucijų vykdoma visuomenės informavimo veikla turėtų apimti specialias priemones duomenų valdytojams ir duomenų tvarkytojams, įskaitant labai mažas, mažąsias ir vidutines įmones, ir duomenų subjektams; (103) priežiūros institucijos turėtų viena kitai padėti atlikti savo pareigas ir teikti savitarpio pagalbą, kad šis reglamentas būtų nuosekliai taikomas ir vykdomas vidaus rinkoje; (104) kiekviena priežiūros institucija turėtų turėti teisę dalyvauti bendrose priežiūros institucijų operacijose. Prašomoji priežiūros institucija turėtų būti įpareigota į prašymą atsakyti per nustatytą terminą; (105) kad šis reglamentas būtų nuosekliai taikomas visoje Sąjungoje, reikėtų sukurti nuoseklumo užtikrinimo mechanizmą, pagal kurį priežiūros institucijos bendradarbiautų tarpusavyje ir su Komisija. Šis mechanizmas pirmiausia taikomas, kai priežiūros institucija ketina imtis tam tikros priemonės dėl duomenų tvarkymo operacijų, kurios yra susijusios su prekių ir paslaugų siūlymu duomenų subjektams keliose valstybėse narėse arba su tokių duomenų subjektų stebėjimu, arba kurios gali iš esmės paveikti laisvą asmens duomenų judėjimą. Be to, jis turėtų būti taikomas, kai kuri nors priežiūros institucija arba Komisija prašo tam tikrą klausimą nagrinėti pagal nuoseklumo užtikrinimo mechanizmą. Šis mechanizmas neturėtų prieštarauti priemonėms, kurių Komisija gali imtis vykdydama savo įgaliojimus pagal Sutartis; (106) taikant nuoseklumo užtikrinimo mechanizmą Europos duomenų apsaugos valdyba turėtų savo nuomonę pateikti per nustatytą terminą, jeigu taip nusprendė paprasta jos narių dauguma arba to prašo kita priežiūros institucija arba Komisija; (107) siekdama užtikrinti šio reglamento laikymąsi, Komisija gali šiuo klausimu priimti nuomonę arba sprendimą, kuriuo priežiūros institucija įpareigojama sustabdyti priemonės projekto priėmimą; (108) tam tikrais atvejais gali kilti būtinybė skubiai veikti, kad būtų apsaugoti duomenų subjektų interesai, ypač kai kyla pavojus, kad gali būti labai apsunkintos duomenų subjekto galimybės naudotis savo teise. Todėl taikydama nuoseklumo užtikrinimo mechanizmą priežiūros institucija turėtų galėti priimti nustatytą laikotarpį galiojančias laikinąsias priemones; (109) atitinkamas sprendimas įgyja teisinę galią ir gali būti vykdomas priežiūros institucijos, tik jeigu buvo taikytas šis mechanizmas. Kitais tarpvalstybinės svarbos atvejais atitinkamos priežiūros institucijos gali teikti tarpusavio pagalbą ir atlikti bendrus tyrimus dvišaliu arba daugiašaliu pagrindu, nesinaudodamos nuoseklumo užtikrinimo mechanizmu; (110) Sąjungos lygmeniu turėtų būti įsteigta Europos duomenų apsaugos valdyba. Ji turėtų pakeisti pagal Direktyvą 95/46/EB įsteigtą darbo grupę asmenų apsaugai tvarkant asmens duomenis. Ją turėtų sudaryti visų valstybių narių priežiūros institucijų vadovai ir Europos duomenų apsaugos priežiūros pareigūnas. Jos veikloje turėtų dalyvauti Komisija. Europos duomenų apsaugos valdyba turėtų padėti nuosekliai taikyti šį reglamentą visoje Sąjungoje, be kita ko, patarti Komisijai ir skatinti priežiūros institucijų bendradarbiavimą visoje Sąjungoje. Atlikdama savo užduotis Europos duomenų apsaugos valdyba turėtų veikti nepriklausomai; (111) kiekvienas duomenų subjektas turėtų turėti teisę pateikti skundą priežiūros institucijai bet kurioje valstybėje narėje ir turėti teisę imtis teisminių teisių gynimo priemonių, jeigu mano, kad jo teisės pagal šį reglamentą pažeistos arba jeigu priežiūros institucija nesiima veiksmų dėl skundo arba nesiima veiksmų, kai tai būtina duomenų subjekto teisėms apsaugoti; (112) bet kokia įstaiga, organizacija ar asociacija, kuri siekia apsaugoti duomenų subjektų teises ir interesus, susijusius su jų duomenų apsauga, ir kuri įsteigta pagal valstybės narės teisę, turėtų turėti teisę pateikti skundą priežiūros institucijai arba pasinaudoti teisminėmis teisių gynimo priemonėmis duomenų subjektų vardu, jeigu jų yra tinkamai įgaliota, arba pati pateikti skundą duomenų subjektui skundo nepateikus, jeigu mano, kad buvo pažeistas asmens duomenų saugumas; (113) kiekvienas fizinis arba juridinis asmuo turėtų turėti teisę imtis teisminių teisių gynimo priemonių prieš jų atžvilgiu priimtus priežiūros institucijos sprendimus. Ieškinys priežiūros institucijai turėtų būti pareiškiamas valstybės narės, kurioje priežiūros institucija įsisteigusi, teismuose; (114) siekiant sustiprinti duomenų subjekto teisminę apsaugą tais atvejais, kai kompetentinga priežiūros institucija įsisteigusi kitoje valstybėje narėje nei duomenų subjektas gyvena, duomenų subjektas gali prašyti bet kurios įstaigos, organizacijos ar asociacijos, siekiančios apginti duomenų subjektų teises ir interesus, susijusius su jų duomenų apsauga, ieškinį tai priežiūros institucijai jo vardu pareikšti kompetentingame kitos valstybės narės teisme; (115) tais atvejais, kai kitoje valstybėje narėje įsisteigusi kompetentinga priežiūros institucija nesiima veiksmų arba ėmėsi nepakankamų priemonių dėl skundo, duomenų subjektas gali prašyti valstybės narės, kurioje yra jo nuolatinė gyvenamoji vieta, priežiūros institucijos pareikšti ieškinį tai priežiūros institucijai kompetentingame kitos valstybės narės teisme. Prašomoji priežiūros institucija gali priimti sprendimą, kurį galima peržiūrėti teismine tvarka, ar tinkama šį prašymą tenkinti; (116) kai ieškinys pareiškiamas duomenų valdytojui ar tvarkytojui, ieškovas turėtų turėti galimybę kreiptis į valstybės narės, kurioje duomenų valdytojas ar tvarkytojas įsisteigęs arba kurioje duomenų subjektas gyvena, teismus, nebent duomenų valdytojas yra valdžios institucija, vykdanti savo viešuosius įgaliojimus; (117) kai yra požymių, kad vienu metu ta pati byla nagrinėjama skirtingų valstybių narių teismuose, teismai turėtų būti įpareigoti susiekti. Teismai turėtų turėti galimybę sustabdyti bylos nagrinėjimą, kai ta pati byla nagrinėjama kitoje valstybėje narėje. Valstybės narės turėtų užtikrinti veiksmingas galimybes pareikšti ieškinius, kurie leistų greitai imtis priemonių šio reglamento pažeidimui ištaisyti arba užkirsti jam kelią; (118) bet kokią žalą, kurią asmuo gali patirti dėl neteisėto duomenų tvarkymo, turėtų atlyginti duomenų valdytojas arba tvarkytojas, kurie gali būti atleisti nuo atsakomybės, jeigu įrodo, kad nėra atsakingi už žalą, visų pirma, kai nustatyta duomenų subjekto kalt