Sutarties dėl Europos Sąjungos veikimo (SESV) 16 straipsnio 1 dalyje, kuri įtraukta Lisabonos sutartimi, nustatytas principas, kad kiekvienas asmuo turi teisę į savo asmens duomenų apsaugą. Be to, SESV 16 straipsnio 2 dalyje Lisabonos sutartimi numatytas specialus asmens duomenų apsaugos taisyklių priėmimo teisinis pagrindas. Europos Sąjungos pagrindinių teisių chartijos 8 straipsnyje asmens duomenų apsauga įtvirtinta kaip pagrindinė teisė.

Šis pasiūlymas visų pirma turės poveikį Sąjungos institucijoms, įstaigoms, tarnyboms ir agentūroms. Tai buvo patvirtinta surinkus informaciją iš EDAPP, kitų Sąjungos institucijų, įstaigų, tarnybų ir agentūrų, Komisijos generalinių direktoratų ir išorės rangovo. Be to, iš Reglamento (EB) 2016/679, su kuriuo numatoma suderinti šį reglamentą, kylančių įpareigojimų poveikis buvo įvertintas atsižvelgiant į šio reglamento parengiamuosius darbus. Todėl nėra būtina atlikti konkretaus šio reglamento poveikio vertinimo.

Vertintojas internetu surengė apklausą 64 Sąjungos institucijose, įstaigose, tarnybose ir agentūrose. Į apklausos klausimus atsakė 42 atsakingieji duomenų valdytojų pareigūnai, 73 DAP, 118 DAK ir 109 IT respondentai. Vertintojas taip pat surengė keletą pokalbių su suinteresuotosiomis šalimis. 2015 m. kovo 26 d. Komisijos vertintojas surengė baigiamąjį praktinį seminarą, kuriame dalyvavo nemažai duomenų valdytojų, DAP, DAK, IT respondentų ir EDAPP atstovų.

Šis tyrimas taip pat parodė, kad esamos Reglamento (EB) Nr. 45/2001 IV skyriaus taisyklės dėl telekomunikacijų sektoriaus yra pasenusios ir kad šį skyrių reikia suderinti su E. privatumo direktyva. Vadovaujantis vertinamuoju tyrimu, taip pat reikia patikslinti kai kurių svarbiausių Reglamento (EB) Nr. 45/2001 sąvokų apibrėžtis. Be kita ko, reikia nustatyti duomenų valdytojus Sąjungos institucijose, įstaigose, tarnybose ir agentūrose, apibrėžti gavėjų sąvoką, o konfidencialumo pareigą taikyti ir išorės duomenų tvarkytojams.

Reglamentas laikomas tinkama teisine priemone siekiant apibrėžti asmenų apsaugos sistemą Sąjungos institucijoms, įstaigoms, tarnyboms ir agentūroms tvarkant asmens duomenis ir laisvą šių duomenų judėjimą. Jame fiziniams asmenims numatytos teisės, kurių įgyvendinimą galima teisiškai užtikrinti, ir nustatytos Sąjungos institucijų, įstaigų, tarnybų ir agentūrų duomenų valdytojų pareigos, susijusios su duomenų tvarkymu. Be to, jame numatyta nepriklausoma priežiūros institucija – Europos duomenų apsaugos priežiūros pareigūnas. Jo pareiga bus stebėti, kaip Sąjungos institucijos, įstaigos, tarnybos ir agentūros tvarko asmens duomenis.

Pagal proporcingumo principą, norint pasiekti pagrindinius tikslus užtikrinti lygiavertį fizinių asmenų apsaugos lygį tvarkant asmens duomenis ir laisvą asmens duomenų judėjimą Sąjungoje, būtina ir tinkama nustatyti Sąjungos institucijų, įstaigų, tarnybų ir agentūrų atliekamo asmens duomenų tvarkymo taisykles. Pagal Europos Sąjungos sutarties 5 straipsnio 4 dalį šiuo reglamentu neviršijama to, kas būtina nurodytiems tikslams pasiekti.

3 straipsnyje pateiktos reglamente vartojamų sąvokų apibrėžtys. Be sąvokų „Sąjungos institucijos ir įstaigos“, „duomenų valdytojas“, „naudotojas“ ir „sąrašas“ apibrėžčių, kurios yra apibrėžtos šiame reglamente, jame taip pat vartojamos sąvokos, apibrėžtos Reglamente (ES) 2016/679, Reglamente (ES) 0000/00 [naujasis E. privatumo reglamentas], Direktyvoje 00/000/ES [Direktyva, kuria nustatomas Europos elektroninių ryšių kodeksas] ir Komisijos direktyvoje 2008/63/EB.

Remiantis Reglamento (ES) 2016/679 12 straipsniu, 14 straipsnyje duomenų valdytojams nustatoma pareiga pateikti skaidrią, lengvai prieinamą ir suprantamą informaciją, taip pat duomenų subjekto teisių įgyvendinimo procedūros ir mechanizmas, įskaitant galimybes tam tikrais atvejais teikti elektroninius prašymus, reikalavimą per nustatytą terminą atsakyti į duomenų subjekto prašymą ir motyvuoti neigiamus atsakymus. Kadangi Sąjungos institucijos ir įstaigos jokiomis aplinkybėmis negali taikyti mokesčių, susijusių su administracinėmis informacijos teikimo išlaidomis, ši Reglamente (ES) 2016/679 numatyta galimybė šiame reglamente nenumatyta.

31 straipsnis grindžiamas Reglamento (ES) 2016/679 30 straipsniu ir juo nustatoma duomenų valdytojų ir tvarkytojų pareiga saugoti duomenų tvarkymo operacijų dokumentus, už kuriuos jie yra atsakingi, užuot teikus išankstinį pranešimą EDAPP, kaip to reikalaujama pagal Reglamento (EB) Nr. 45/2001 25 straipsnį, ir DAP registrui. Priešingai nei Reglamente (ES) 2016/679, šioje nuostatoje nenurodomi atstovai, nes atstovų Sąjungos institucijos neturės, bet jos visada turės duomenų apsaugos pareigūnų. Nuorodos į duomenų perdavimą tam tikrais atvejais remiantis nukrypti leidžiančiomis nuostatomis, kaip Reglamente (ES) 2016/679, nepateiktos, nes šiame reglamente šio pobūdžio duomenų perdavimo nenumatyta. Pareiga registruoti duomenų tvarkymo veiklą gali būti centralizuota Sąjungos institucijos ar įstaigos lygmeniu. Tokiu atveju Sąjungos institucijos ir įstaigos gali saugoti registruotą savo duomenų tvarkymo veiklos informaciją viešai prieinamame registre.

30 straipsnis susijęs su atvejais, kai duomenis tvarko duomenų valdytojui ar duomenų tvarkytojui pavaldūs asmenys, ir yra grindžiamas Reglamento (ES) 2016/679 29 straipsniu, kuriame nustatomas draudimas duomenų tvarkytojui ar bet kuriam duomenų valdytojui ar tvarkytojui pavaldžiam asmeniui, turinčiam galimybę susipažinti su asmens duomenimis, tvarkyti šiuos duomenis ne pagal duomenų valdytojo nurodymus, nebent to reikalaujama pagal Sąjungos ar valstybių narių teisę.

29 straipsnyje, remiantis Reglamento (ES) 2016/679 28 straipsniu ir papildomai išplėtojant Reglamento (EB) Nr. 45/2001 23 straipsnį, paaiškinama duomenų tvarkytojų padėtis ir pareigos, be to, nustatoma, kad duomenų tvarkytojas, kuris, nustatydamas duomenų tvarkymo tikslus ir priemones, pažeidžia reglamentą, šio duomenų tvarkymo atžvilgiu turi būti laikomas duomenų tvarkytoju.

43 straipsnyje nustatyta duomenų valdytojų ir duomenų tvarkytojų pareiga reaguoti į įtarimus po to, kai EDAPP nusprendžia perduoti jiems nagrinėti tam tikrą klausimą.

42 straipsnyje numatyta Komisijos pareiga konsultuotis su EDAPP priėmus teisėkūros procedūra priimto akto pasiūlymus ir rekomendacijas ar pasiūlymus Tarybai pagal SESV 218 straipsnį, taip pat rengiant deleguotuosius ar įgyvendinimo aktus, turinčius poveikį asmenų teisių ir laisvių apsaugai tvarkant asmens duomenis. Jei šie aktai yra ypač svarbūs asmenų teisių ir laisvių apsaugai tvarkant asmens duomenis, Komisija taip pat gali konsultuotis su Europos duomenų apsaugos valdyba. Tokiais atvejais abu subjektai turėtų koordinuoti savo darbą siekdami pateikti bendrą nuomonę. Konsultacijoms minėtais atvejais nustatomas 8 savaičių laikotarpis, tačiau skubiais atvejais ir kitais atvejais, kai to reikia, nuo šio reikalavimo galima nukrypti, pavyzdžiui, kai Komisija rengia deleguotuosius ir įgyvendinimo aktus.

65 straipsnyje nustatoma teisė į turtinės ir neturtinės žalos atlyginimą taikant tam tikras Sutartyse numatytas sąlygas, susijusias, be kita ko, su atsakomybe.

63 straipsnyje, grindžiamame Reglamento (ES) 2016/679 77 straipsniu ir Reglamento (EB) Nr. 45/2001 32 straipsniu, numatyta bet kurio duomenų subjekto teisė pateikti skundą EDAPP. Jame taip pat nustatyta EDAPP pareiga informuoti duomenų subjektą apie skundo nagrinėjimo eigą ir rezultatą per tris mėnesius, o praėjus šiam laikotarpiui skundas laikomas atmestu.

62 straipsnyje numatyti EDAPP įpareigojimai, jei koordinuotos priežiūros kartu su nacionalinėmis priežiūros institucijomis srityje nuoroda į šį straipsnį daroma kituose Sąjungos aktuose. Juo siekiama įdiegti vieną bendrą koordinuotos priežiūros modelį. Šis modelis galėtų būti naudojamas koordinuotai didelių IT sistemų, pavyzdžiui, sistemos EURODAC, antrosios kartos Šengeno informacinės sistemos, Vizų informacinės sistemos, Muitinės informacinės sistemos ar Vidaus rinkos informacinės sistemos priežiūrai, taip pat kai kurių Sąjungos agentūrų priežiūrai, kai nustatomas specialusis EDAPP ir nacionalinių valdžios institucijų bendradarbiavimo modelis, pvz., Europolas. Europos duomenų apsaugos valdyba turėtų veikti kaip vienas bendras forumas, kuriuo valdyboje būtų užtikrinama veiksminga koordinuota priežiūra.

26)tvarkant asmens duomenis archyvavimo tikslais viešojo intereso labui, mokslinių ar istorinių tyrimų tikslais arba statistiniais tikslais, turėtų būti taikomos tinkamos duomenų subjektų teisių ir laisvių apsaugos priemonės pagal šį reglamentą. Tomis apsaugos priemonėmis turėtų būti užtikrinama, kad būtų įgyvendintos techninės ir organizacinės priemonės siekiant užtikrinti visų pirma duomenų kiekio mažinimo principą. Asmens duomenys archyvavimo tikslais viešojo intereso labui, mokslinių ar istorinių tyrimų tikslais arba statistiniais tikslais turi būti toliau tvarkomi po to, kai asmens duomenų valdytojas įvertina galimybes pasiekti šiuos tikslus tvarkant duomenis, kai negalima arba nebegalima nustatyti duomenų subjektų, su sąlyga, kad galioja tinkamos apsaugos priemonės (tokios, kaip pavyzdžiui pseudonimų suteikimas asmens duomenims). Sąjungos institucijos ir įstaigos turėtų numatyti tinkamas apsaugos priemones Sąjungos teisėje, taikomas tvarkant asmens duomenis archyvavimo tikslais viešojo intereso labui, mokslinių ar istorinių tyrimų tikslais, arba statistiniais tikslais, ir jos gali apimti vidaus taisykles.

24)visuomenės sveikatos srityje gali reikėti specialių kategorijų asmens duomenis dėl viešojo intereso priežasčių tvarkyti be duomenų subjekto sutikimo. Tokie duomenys turėtų būti tvarkomi taikant tinkamas ir specialias priemones, kad būtų apsaugotos fizinių asmenų teisės ir laisvės. Todėl sąvoka „visuomenės sveikata“ turėtų būti aiškinama, kaip apibrėžta Europos Parlamento ir Tarybos reglamente (EB) Nr. 1338/2008 , ir reikšti visus elementus, susijusius su sveikata, t. y. sveikatos būklę, įskaitant sergamumą ir neįgalumą, veiksnius, darančius poveikį tai sveikatos būklei, sveikatos priežiūros poreikius, sveikatos priežiūrai skirtus išteklius, sveikatos priežiūros paslaugų teikimą ir jų visuotinį prieinamumą, taip pat sveikatos priežiūros išlaidos ir finansavimą, taip pat mirtingumo priežastis. Dėl to, kad sveikatos duomenys tvarkomi dėl viešojo intereso priežasčių, trečiosios šalys, pavyzdžiui, darbdaviai ar draudimo bendrovės ir bankai, neturėtų tvarkyti asmens duomenų kitais tikslais;

22)kai Sąjungoje įsteigti gavėjai, kuriems taikomas Reglamentas (ES) 2016/679 ar Direktyva (ES) 2016/680, norėtų, kad Sąjungos institucijos ar įstaigos perduotų jiems asmens duomenis, šie gavėjai turėtų įrodyti, kad asmens duomenis būtina perduoti, kad būtų pasiektas jų numatytas tikslas, kad šis duomenų perdavimas yra proporcingas ir neviršija to, kas yra būtina šiam tikslui pasiekti. Laikydamosi skaidrumo principo, Sąjungos institucijos ir įstaigos turėtų įrodyti šią būtinybę, jei pačios inicijuoja duomenų perdavimą;

19)asmens duomenų tvarkymas kitais tikslais nei tais, kuriais iš pradžių buvo rinkti asmens duomenys, turėtų būti leidžiamas tik tuomet, kai duomenų tvarkymas suderinamas su tikslais, kuriais iš pradžių buvo rinkti asmens duomenys. Tokiu atveju nereikalaujama atskiro teisinio pagrindo, užtenka to pagrindo, kuriuo remiantis leidžiama rinkti asmens duomenis. Jeigu duomenų tvarkytojui tvarkyti duomenis būtina siekiant atlikti užduotį, vykdomą dėl viešojo intereso arba vykdant viešosios valdžios funkcijas, Sąjungos teisėje galima apibrėžti ir sukonkretinti užduotis ir tikslus, kuriais tolesnis duomenų tvarkymas turėtų būti laikomas suderinamu ir teisėtu; Tolesnis duomenų tvarkymas archyvavimo tikslais viešojo intereso labui, mokslinių ar istorinių tyrimų tikslais arba statistiniais tikslais turėtų būti laikomas suderinamomis teisėtomis duomenų tvarkymo operacijomis. Sąjungos ar valstybės narės teisėje numatytas asmens duomenų tvarkymo teisinis pagrindas taip pat gali būti tolesnio duomenų tvarkymo teisinis pagrindas. Tam, kad įsitikintų, ar tolesnio duomenų tvarkymo tikslas suderinamas su tikslu, kuriuo iš pradžių duomenys buvo rinkti, duomenų valdytojas po to, kai įvykdo visus reikalavimus dėl pradinio asmens duomenų tvarkymo teisėtumo, turėtų atsižvelgti, inter alia, į: sąsajas tarp tų tikslų ir numatomo tolesnio asmens duomenų tvarkymo tikslų; aplinkybes, kuriomis asmens duomenys buvo surinkti, visų pirma pagrįstus duomenų subjektų lūkesčius dėl tolesnio duomenų naudojimo, pagrįstus jų santykiais su duomenų valdytoju; asmens duomenų pobūdį; numatomo tolesnio duomenų tvarkymo pasekmes duomenų subjektams; tinkamų apsaugos priemonių buvimą tiek pradinėse, tiek numatomose tolesnėse duomenų tvarkymo operacijose;

17)kad asmens duomenys būtų tvarkomi teisėtai, jie turėtų būti tvarkomi remiantis Sąjungos institucijų ar įstaigų būtinybe atlikti užduotį, kurią jos atlieka siekdamos viešojo intereso arba įgyvendinamos viešosios valdžios įgaliojimus, būtinybe laikytis duomenų valdytojui taikomos teisinės prievolės ar kurio nors kito šiame reglamente nurodyto teisėto pagrindo, įskaitant atitinkamo duomenų subjekto sutikimą ar būtinybę įvykdyti sutartį, kurios šalis yra duomenų subjektas, arba siekiant imtis veiksmų duomenų subjekto prašymu prieš sudarant sutartį. Visuomenės labui atliekamas Sąjungos institucijų ir įstaigų asmens duomenų tvarkymas apima asmens duomenų, būtinų šioms institucijoms ir įstaigoms valdyti bei joms dirbti, tvarkymą. asmens duomenų tvarkymas taip pat turėtų būti laikomas teisėtu, kai jis būtinas norint apsaugoti gyvybinį duomenų subjekto ar kito fizinio asmens interesą. Asmens duomenys remiantis kito fizinio asmens gyvybiniu interesu turėtų būti tvarkomi tik iš esmės kai duomenų tvarkymas negali būti akivaizdžiai grindžiamas kitu teisiniu pagrindu. Kai kurių rūšių duomenų tvarkymas gali būti reikalingas tiek dėl svarbių viešojo intereso priežasčių, tiek dėl duomenų subjekto gyvybinių interesų, pavyzdžiui, kai duomenis būtina tvarkyti humanitariniais tikslais, be kita ko, siekiant stebėti epidemiją ir jos paplitimą arba susidarius ekstremaliajai humanitarinei situacijai, visų pirma, gaivalinių ir žmogaus sukeltų nelaimių atvejais;

15)bet kuris asmens duomenų tvarkymas turėtų būti teisėtas ir sąžiningas. Taikant skaidrumo principą, fiziniams asmenims turėtų būti aišku, kaip su jais susiję asmens duomenys yra renkami, naudojami, su jais susipažįstama arba jie yra kitaip tvarkomi, taip pat kokiu mastu tie asmens duomenys yra ar bus tvarkomi. Pagal skaidrumo principą informacija ir pranešimai, susiję su tų asmens duomenų tvarkymu, turi būti lengvai prieinami ir suprantami, pateikiami aiškia ir paprasta kalba. Tas principas visų pirma susijęs su duomenų subjektų informavimu apie duomenų valdytojo tapatybę ir duomenų tvarkymo tikslus, taip pat su tolesniu informavimu, kad būtų užtikrintas sąžiningas ir skaidrus duomenų tvarkymas atitinkamų fizinių asmenų atžvilgiu, jų teise gauti patvirtinimą dėl su jais susijusių asmens duomenų tvarkymo ir teise tuos duomenis gauti. Fiziniai asmenys turėtų būti informuoti apie su asmens duomenų tvarkymu susijusius pavojus, taisykles, apsaugos priemones bei teises ir apie tai, kaip naudotis savo teisėmis tokio asmens duomenų tvarkymo srityje. Visų pirma konkretūs tikslai, kuriais tvarkomi asmens duomenys, turėtų būti aiškūs, teisėti ir nustatyti duomenų rinkimo metu. Asmens duomenys turėtų būti tinkami, susiję su tikslais, kuriais jie tvarkomi, ir riboti pagal tai, kiek jų yra būtina turėti atsižvelgiant į tikslus, kuriais jie tvarkomi. Tam pirmiausia reikia užtikrinti, kad asmens duomenų saugojimo laikotarpis būtų tikrai minimalus. Asmens duomenys turėtų būti tvarkomi tik tuomet, jei asmens duomenų tvarkymo tikslo pagrįstai negalima pasiekti kitomis priemonėmis. Siekiant užtikrinti, kad duomenys nebūtų laikomi ilgiau nei būtina, duomenų valdytojas turėtų nustatyti duomenų ištrynimo arba periodinės peržiūros terminus. Reikėtų imtis visų pagrįstų priemonių, siekiant užtikrinti, kad netikslūs asmens duomenys būtų ištaisyti arba ištrinti. Asmens duomenys turėtų būti tvarkomi taip, kad būtų užtikrintas tinkamas asmens duomenų saugumas ir konfidencialumas, be kita ko, užkertant kelią neteisėtai prieigai prie asmens duomenų ir jų tvarkymui skirtos įrangos ar neteisėtam jų naudojimui;

27)turėtų būti sudarytos sąlygos palengvinti duomenų subjekto naudojimąsi savo teisėmis pagal šį reglamentą, įskaitant mechanizmus, kaip prašyti ir atitinkamais atvejais visų pirma nemokamai gauti galimybę susipažinti su asmens duomenimis ir juos ištaisyti ar ištrinti bei pasinaudoti teise nesutikti. Duomenų valdytojas taip pat turėtų sudaryti sąlygas pateikti prašymus elektroniniu būdu, ypač tais atvejais, kai asmens duomenys tvarkomi elektroniniu būdu. Duomenų valdytojas turėtų būti įpareigotas į duomenų subjekto prašymus atsakyti nepagrįstai nedelsdamas ir ne vėliau kaip per vieną mėnesį ir nurodyti priežastis, kai jis neketina patenkinti bet kurių tokių prašymų;

28)pagal sąžiningo ir skaidraus duomenų tvarkymo principus duomenų subjektui pranešama apie vykdomą duomenų tvarkymo operaciją ir jos tikslus. Duomenų valdytojas turėtų pateikti duomenų subjektui visą papildomą informaciją, kuri būtina tam, kad būtų užtikrintas sąžiningas ir skaidrus duomenų tvarkymas, atsižvelgiant į konkrečias asmens duomenų tvarkymo aplinkybes ir kontekstą. Be to, duomenų subjektas turėtų būti informuotas apie tai, kad vykdomas profiliavimas, ir apie tokio profiliavimo pasekmes. Kai asmens duomenys renkami iš duomenų subjekto, duomenų subjektas taip pat turėtų būti informuojamas, ar jis privalo pateikti asmens duomenis, taip pat apie tokių duomenų nepateikimo pasekmes. Ta informacija gali būti pateikiama kartu su standartizuotomis piktogramomis, siekiant lengvai matomai, suprantamai ir aiškiai įskaitomai pateikti prasmingą numatomo tvarkymo apžvalgą. Jei piktogramos pateikiamos elektronine forma, jos turėtų būti kompiuterio skaitomos;

29)informacija apie duomenų subjekto asmens duomenų tvarkymą turėtų būti jam suteikta duomenis renkant arba, kai asmens duomenys gaunami ne iš duomenų subjekto, o iš kito šaltinio, per pagrįstą laikotarpį, priklausomai nuo konkretaus atvejo aplinkybių. Kai asmens duomenis galima teisėtai atskleisti kitam duomenų gavėjui, duomenų subjektas apie tai turėtų būti informuojamas pirmo asmens duomenų atskleidimo jų gavėjui metu. Jeigu asmens duomenų valdytojas ketina tvarkyti duomenis kitu tikslu nei tikslas, kuriuo jie buvo renkami, prieš taip toliau tvarkydamas duomenis, duomenų valdytojas turėtų pateikti duomenų subjektui informaciją apie tą kitą tikslą ir kitą būtiną informaciją. Tais atvejais, kai asmens duomenų kilmė duomenų subjektui negali būti nurodyta dėl to, kad buvo naudoti įvairūs šaltiniai, turėtų būti pateikta bendro pobūdžio informacija;

30)duomenų subjektas turėtų turėti teisę susipažinti su apie jį surinktais asmens duomenimis ir galimybę ta teise lengvai ir pagrįstais laiko tarpais pasinaudoti, kad žinotų apie duomenų tvarkymą ir galėtų patikrinti jo teisėtumą. Tai apima duomenų subjektų teisę susipažinti su duomenimis apie savo sveikatą, pavyzdžiui, su medicinos kortelės duomenimis, kuriuose pateikta tokia informacija kaip diagnozė, tyrimų rezultatai, gydančių gydytojų išvados ir paskirtas gydymas ar intervencijos. Todėl kiekvienas duomenų subjektas turėtų turėti teisę žinoti ir būti informuotas visų pirma apie tai, kokiais tikslais asmens duomenys tvarkomi, jei įmanoma – kokiu laikotarpiu jie tvarkomi, kas yra duomenų gavėjai, pagal kokią logiką asmens duomenys tvarkomi automatiškai ir kokios galėtų būti tokio asmens duomenų tvarkymo pasekmės bent jau tais atvejais, kai duomenų tvarkymas grindžiamas profiliavimu. Ta teisė neturėtų turėti neigiamo poveikio kitų asmenų teisėms ar laisvėms, įskaitant komercines paslaptis arba intelektinės nuosavybės teises, ypač autorių teises, kuriomis saugoma programinė įranga. Tačiau tai neturėtų lemti, kad duomenų subjektui būtų atsisakyta suteikti visą informaciją. Tais atvejais, kai duomenų valdytojas tvarko didelį informacijos, susijusios su duomenų subjektu, kiekį, jis turėtų galėti prieš teikdamas informaciją paprašyti duomenų subjekto nurodyti, dėl kokios informacijos ar duomenų tvarkymo veiklos pateiktas prašymas;

31)duomenų subjektas turėtų turėti teisę reikalauti ištaisyti jo asmens duomenis ir teisę būti pamirštam, kai tokių duomenų saugojimas pažeidžia šį reglamentą arba Sąjungos teisę, kuri taikoma duomenų valdytojui. Duomenų subjektas turėtų turėti teisę reikalauti, kad jo asmens duomenys būtų ištrinti ir toliau nebetvarkomi, kai asmens duomenų nebereikia tiems tikslams, kuriais jie buvo renkami ar kitaip tvarkomi, kai duomenų subjektas atšaukė savo sutikimą ar nesutinka, kad jo asmens duomenys būtų tvarkomi, arba kai jo asmens duomenų tvarkymas dėl kitų priežasčių neatitinka šio reglamento. Ta teisė ypač svarbi tais atvejais, kai duomenų subjektas savo sutikimą išreiškė būdamas vaikas ir nevisiškai suvokdamas su duomenų tvarkymu susijusius pavojus, o vėliau nori, kad tokie – ypač internete saugomi – asmens duomenys būtų pašalinti. Duomenų subjektas turėtų galėti naudotis ta teise, nepaisant to, kad jis nebėra vaikas. Tačiau turėtų būti teisėta toliau saugoti asmens duomenis, jei tai būtina naudojimosi teise į saviraiškos ir informacijos laisvę, siekiant įvykdyti teisinę prievolę, atlikti užduotį, vykdomą dėl viešojo intereso arba vykdant duomenų valdytojui pavestas viešosios valdžios funkcijas, dėl viešojo intereso priežasčių visuomenės sveikatos srityje, archyvavimo tikslais viešojo intereso labui, mokslinių ar istorinių tyrimų tikslais arba statistiniais tikslais, arba siekiant pareikšti, vykdyti arba apginti teisinius reikalavimus;

32)siekiant sustiprinti teisę būti pamirštam internetinėje aplinkoje, teisė prašyti ištrinti duomenis turėtų būti išplėsta taip, kad duomenų valdytojas, kuris asmens duomenis paskelbė viešai, būtų įpareigotas informuoti tokius asmens duomenis, tvarkančius duomenų valdytojus, kad jie ištrintų visus saitus į tuos asmens duomenis, jų kopijas ar dublikatus. Tai darydamas, duomenų valdytojas, atsižvelgdamas į turimas technologijas ir jam prieinamas priemones, įskaitant technines priemones, turėtų imtis pagrįstų veiksmų, kad apie duomenų subjekto prašymą informuotų duomenis tvarkančius asmens duomenų valdytojus;

33)būdai, kuriais ribojamas asmens duomenų tvarkymas, galėtų, inter alia, būti tokie: laikinai perkelti atrinktus duomenis į kitą tvarkymo sistemą, padaryti atrinktus asmens duomenis neprieinamus naudotojams arba laikinai išimti paskelbtus duomenis iš interneto svetainės. Automatiniuose susistemintuose rinkiniuose duomenų tvarkymo ribojimas iš esmės turėtų būti užtikrinamas techninėmis priemonėmis taip, kad asmens duomenys nebūtų toliau tvarkomi ir jų nebebūtų galima pakeisti. Tai, kad asmens duomenų tvarkymas yra apribotas, sistemoje turėtų būti aiškiai nurodyta;

34)kad duomenų subjektai galėtų geriau kontroliuoti savo duomenis, tais atvejais, kai asmens duomenys tvarkomi automatizuotomis priemonėmis, duomenų subjektui taip pat turėtų būti leidžiama gauti su juo susijusius asmens duomenis, kuriuos jis pateikė duomenų valdytojui, susistemintu, paprastai naudojamu, kompiuterio skaitomu ir sąveikiu formatu ir persiųsti juos kitam duomenų valdytojui. Reikėtų skatinti duomenų valdytojus kurti sąveikius formatus, kad būtų užtikrinamas duomenų perkeliamumas. Ta teisė turėtų būti taikoma tais atvejais, kai duomenų subjektas asmens duomenis pateikė savo sutikimu arba tvarkyti asmens duomenis reikia vykdant sutartį. Todėl ši teisė neturėtų būti taikoma tais atvejais, kai asmens duomenų tvarkymas yra būtinas duomenų valdytojui siekiant laikytis jam nustatytos teisinės prievolės arba siekiant atlikti užduotį, vykdomą dėl viešojo intereso arba vykdant duomenų valdytojui pavestas viešosios valdžios funkcijas. Duomenų subjekto teisė persiųsti arba gauti savo asmens duomenis neturėtų sukurti duomenų valdytojams prievolės nustatyti ar išlaikyti duomenų tvarkymo sistemas, kurios yra techniškai suderinamos. Jei su tam tikru asmens duomenų rinkiniu yra susijęs daugiau nei vienas duomenų subjektas, teise gauti asmens duomenis neturėtų būti daromas poveikis kitų duomenų subjektų teisėms ir laisvėms pagal šį reglamentą. Be to, ta teise neturėtų būti daromas poveikis duomenų subjekto teisei pasiekti, kad asmens duomenys būtų ištrinti, ir tos teisės apribojimams, kaip nustatyta šiame reglamente; visų pirma tai neturėtų reikšti, kad gali būti ištrinti su duomenų subjektu susiję asmens duomenys, kuriuos jis pateikė sutarties vykdymo tikslu, jeigu tie duomenys būtini tai sutarčiai vykdyti ir tol, kol tie asmens duomenys tam yra būtini. Kai techniškai įmanoma, duomenų subjektas turėtų turėti teisę pasiekti, kad vienas duomenų valdytojas asmens duomenis tiesiogiai persiųstų kitam duomenų valdytojui;

35)kai asmens duomenys galėtų būti teisėtai tvarkomi, kadangi duomenis tvarkyti būtina siekiant atlikti užduotį, vykdomą dėl viešojo intereso arba vykdant duomenų valdytojui pavestas viešosios valdžios funkcijas, duomenų subjektas vis tiek turėtų turėti teisę nesutikti su bet kokių su jo konkrečiu atveju susijusių asmens duomenų tvarkymu. Pareiga įrodyti, kad įtikinamas teisėtas duomenų valdytojo interesas yra viršesnis už duomenų subjekto interesus arba pagrindines teises ir laisves, turėtų tekti duomenų valdytojui;

36)duomenų subjektas turėtų turėti teisę į tai, kad jam nebūtų taikomas sprendimas, kuriame gali būti numatyta priemonė, kuria vertinami su juo susiję asmeniniai aspektai, kuri grindžiama tik automatizuotu duomenų tvarkymu, ir kuri jo atžvilgiu turi teisinių pasekmių arba jam daro panašų didelį poveikį, tokį kaip elektroninio įdarbinimo praktika be žmogaus įsikišimo. Toks duomenų tvarkymas apima „profiliavimą“, kurį sudaro bet kokios formos automatizuotas asmens duomenų tvarkymas, kurį vykdant vertinami su fiziniu asmeniu susiję asmeniniai aspektai, visų pirma siekiant analizuoti arba numatyti aspektus, susijusius su duomenų subjekto darbo rezultatais, ekonomine padėtimi, sveikatos būkle, asmeniniais pomėgiais ar interesais, patikimumu arba elgesiu, vieta arba judėjimu, kai tai jo atžvilgiu sukelia teisinių pasekmių arba jam daro panašų didelį poveikį. Tačiau tokiu duomenų tvarkymu, įskaitant profiliavimą, grindžiamas sprendimų priėmimas turėtų būti leidžiamas, kai jis yra aiškiai leidžiamas Sąjungos teisėje. Bet kuriuo atveju tokiam duomenų tvarkymui turėtų būti taikomos tinkamos apsaugos priemonės, įskaitant konkrečios informacijos duomenų subjektui suteikimą ir teisę reikalauti žmogaus įsikišimo, pareikšti savo požiūrį, gauti sprendimo, priimto atlikus šį vertinimą, paaiškinimą ir teisę ginčyti tą sprendimą. Tokia priemonė negali būti susijusi su vaiku. Tam, kad būtų užtikrintas sąžiningas ir skaidrus su duomenų subjektu susijusių duomenų tvarkymas, atsižvelgiant į konkrečias aplinkybes ir kontekstą, kuriame tvarkomi asmens duomenys, duomenų valdytojas profiliavimui turėtų naudoti tinkamas matematines ar statistines procedūras, įgyvendinti technines ir organizacines priemones, tinkamas visų pirma užtikrinti, kad veiksniai, dėl kurių atsiranda asmens duomenų netikslumų, būtų ištaisyti, o klaidų rizika būtų kuo labiau sumažinta, apsaugoti asmens duomenis taip, kad būtų atsižvelgiama į galimus pavojus, kylančius duomenų subjekto interesams ir teisėms, ir būtų išvengta, inter alia, diskriminacinio poveikio fiziniams asmenims dėl rasės ar etninės kilmės, politinių pažiūrų, religijos ar tikėjimo, priklausymo profesinei sąjungai, genetinės arba sveikatos būklės ar seksualinės orientacijos arba tokį poveikį turinčių priemonių atsiradimo. Automatizuotas sprendimų priėmimas ir tam tikromis asmens duomenų kategorijomis grindžiamas profiliavimas turėtų būti leidžiamas tik konkrečiomis sąlygomis;

37)teisės aktuose, priimtuose remiantis Sutartimis, arba Sąjungos institucijų ir įstaigų vidaus taisyklėse gali būti nustatyti apribojimai, kuriais suvaržomi konkretūs principai ir teisė gauti informaciją, teisė susipažinti su duomenimis ir teisė reikalauti ištaisyti ar ištrinti asmens duomenis, teisė į duomenų perkeliamumą, elektroninių pranešimų konfidencialumas ir duomenų subjekto informavimas apie asmens duomenų saugumo pažeidimą ir kai kurios susijusios duomenų valdytojų prievolės, jeigu toks ribojimas būtinas ir proporcingas demokratinėje visuomenėje siekiant užtikrinti visuomenės saugumą, nusikalstamų veikų prevencijos, tyrimo, atskleidimo ar baudžiamojo persekiojimo už jas arba bausmių vykdymo tikslais, taip pat apsaugą nuo grėsmių visuomenės saugumui ir šių grėsmių prevenciją, įskaitant žmonių gyvybių apsaugą, ypač reaguojant į gaivalines ar žmogaus sukeltas nelaimes, Sąjungos institucijų ir įstaigų vidaus saugumą, kitus Sąjungos arba valstybės narės svarbius bendruoju viešuoju interesu grindžiamus tikslus, visų pirma svarbų Sąjungos arba valstybės narės ekonominį arba finansinį interesą, teisę turėti viešus registrus bendrojo viešojo intereso tikslais arba duomenų apsaugą paisant kitų asmenų teisių ir laisvių, įskaitant socialinę apsaugą, visuomenės sveikatą ir humanitarinius tikslus. Jei apribojimas nėra numatytas teisės aktuose, priimtuose remiantis Sutartimis, arba Sąjungos institucijų ir įstaigų vidaus taisyklėse, Sąjungos institucijos ar įstaigos konkrečiu atveju gali nustatyti ad hoc apribojimą, susijusį su konkrečiais principais ir duomenų subjekto teisėmis, jei šiuo apribojimu nepažeidžiama pagrindinių teisių ir laisvių esmė, o kalbant apie konkrečią duomenų tvarkymo operaciją, šis apribojimas yra būtinas ir proporcingas demokratinėje visuomenėje siekiant apsaugoti vieną ar kelis 1 dalyje nurodytus tikslus. Apie apribojimą reikėtų pranešti duomenų apsaugos pareigūnui. Visi apribojimai turėtų atitikti Chartijoje ir Europos žmogaus teisių ir pagrindinių laisvių apsaugos konvencijoje nustatytus reikalavimus;

38)turėtų būti nustatyta duomenų valdytojo atsakomybė už bet kokį duomenų valdytojo arba jo vardu vykdomą asmens duomenų tvarkymą. Duomenų valdytojas visų pirma turėtų būti įpareigotas įgyvendinti tinkamas ir veiksmingas priemones ir galėti įrodyti, kad duomenų tvarkymo veikla atitinka šį reglamentą, įskaitant priemonių veiksmingumą. Tomis priemonėmis turėtų būti atsižvelgta į duomenų tvarkymo pobūdį, aprėptį, kontekstą ir tikslus, taip pat į pavojų fizinių asmenų teisėms ir laisvėms. Įvairios tikimybės ir rimtumo pavojus fizinių asmenų teisėms ir laisvėms gali kilti dėl tokio asmens duomenų tvarkymo, kurio metu galėtų būti padarytas kūno sužalojimas, materialinė ar nematerialinė žala, visų pirma: kai dėl tvarkymo gali kilti diskriminacija, būti pavogta ar suklastota tapatybė, būti padaryta finansinių nuostolių, pakenkta reputacijai, prarastas asmens duomenų, kurie saugomi profesine paslaptimi, konfidencialumas, neleistinai panaikinti pseudonimai arba padaryta kita didelė ekonominė ar socialinė žala; kai duomenų subjektai gali netekti galimybės naudotis savo teisėmis ir laisvėmis ar jiems užkertamas kelias kontroliuoti savo asmens duomenis; kai tvarkomi asmens duomenys, kurie atskleidžia rasinę arba etninę kilmę, politines pažiūras, religiją ar filosofinius įsitikinimus, priklausymą profesinėms sąjungoms, taip pat tvarkant genetinius duomenis, sveikatos duomenis ar duomenis apie lytinį gyvenimą, arba apkaltinamuosius nuosprendžius ir nusikalstamas veikas, arba susijusias saugumo priemones; kai siekiant sukurti arba naudoti asmens profilį vertinami asmeniniai aspektai, visų pirma nagrinėjami arba numatomi su asmens darbo rezultatais, ekonomine būkle, sveikatos būkle, asmeniniais pomėgiais ar interesais, patikimumu arba elgesiu, vieta arba judėjimu susiję aspektai; kai tvarkomi pažeidžiamų fizinių asmenų, visų pirma vaikų, asmens duomenys; arba kai duomenų tvarkymas apima didelį kiekį asmens duomenų ir daro poveikį daugeliui duomenų subjektų. Pavojaus duomenų subjekto teisėms ir laisvėms tikimybė ir rimtumas turėtų būti nustatomi atsižvelgiant į duomenų tvarkymo pobūdį, aprėptį, kontekstą ir tikslus. Pavojus turėtų būti vertinamas remiantis objektyviu įvertinimu, kurio metu nustatoma, ar duomenų tvarkymo operacijos yra susijusios su pavojumi arba dideliu pavojumi;

39)siekiant užtikrinti fizinių asmenų teisių ir laisvių apsaugą tvarkant asmens duomenis reikia imtis tinkamų techninių ir organizacinių priemonių, kad būtų laikomasi šio reglamento reikalavimų. Tam, kad galėtų įrodyti, jog laikosi šio reglamento, duomenų valdytojas turėtų priimti vidaus nuostatas ir įgyvendinti priemones, kuriomis visų pirma būtų paisoma pritaikytosios ir standartizuotosios duomenų apsaugos principų. Tokios priemonės galėtų apimti, inter alia, kuo mažesnės apimties asmens duomenų tvarkymą, kuo skubesnį pseudonimų suteikimą asmens duomenims, funkcijų ir asmens duomenų tvarkymo skaidrumą, galimybės stebėti duomenų tvarkymą suteikimą duomenų subjektui, galimybės kurti ir tobulinti apsaugos priemones suteikimą duomenų valdytojui. Vykdant viešuosius konkursus turėtų būti taip pat atsižvelgiama į pritaikytosios ir standartizuotosios duomenų apsaugos principus;

40)atsižvelgiant į duomenų subjektų teisių bei laisvių apsaugą ir duomenų valdytojų bei duomenų tvarkytojų atsakomybę, reikia aiškiai paskirstyti atsakomybę pagal šį reglamentą, be kita ko, tais atvejais, kai duomenų valdytojas kartu su kitais duomenų valdytojais nustato duomenų tvarkymo tikslus ir priemones arba kai duomenų tvarkymo operacija atliekama duomenų valdytojo vardu;

41)siekiant užtikrinti, kad būtų laikomasi šio reglamento reikalavimų dėl duomenų tvarkymo, kurį duomenų tvarkytojas atlieka duomenų valdytojo vardu, duomenų valdytojas, patikėdamas duomenų tvarkytojui tvarkymo veiklą, turėtų pasitelkti tik tokius duomenų tvarkytojus, kurie suteikia pakankamų garantijų, susijusių visų pirma su ekspertinėmis žiniomis, patikimumu ir ištekliais, kad būtų įgyvendintos techninės ir organizacinės priemonės, kurios atitiks šio reglamento reikalavimus, įskaitant dėl tvarkymo saugumo. Tuo, kad duomenų tvarkytojai, išskyrus Sąjungos institucijas ir įstaigas, laikosi patvirtinto elgesio kodekso arba patvirtinto sertifikavimo mechanizmo, gali būti remiamasi kaip vienu iš aspektų siekiant įrodyti, kad duomenų valdytojas vykdo prievoles. Duomenų tvarkytojo atliekamas duomenų tvarkymas turėtų būti reglamentuojamas sutartimi ar kitu teisės aktu pagal Sąjungos arba valstybės narės teisę, kuriais nustatomi duomenų tvarkytojo įsipareigojimai duomenų valdytojui, duomenų tvarkymo dalykas bei trukmė, duomenų tvarkymo pobūdis ir tikslai, asmens duomenų rūšis ir duomenų subjektų kategorijos, ir atsižvelgiant į duomenų tvarkytojo konkrečias užduotis ir pareigas atliekant duomenų tvarkymą, taip pat į pavojų duomenų subjekto teisėms ir laisvėms. Duomenų valdytojas ir duomenų tvarkytojas turėtų galėti pasirinkti naudoti atskirą sutartį arba standartines sutarčių sąlygas, kurias patvirtina tiesiogiai Komisija arba Europos duomenų apsaugos priežiūros pareigūnas, o vėliau patvirtina Komisija. Užbaigęs duomenų tvarkymą duomenų valdytojo vardu, duomenų tvarkytojas turėtų pagal duomenų valdytojo sprendimą grąžinti arba ištrinti asmens duomenis, išskyrus atvejus, kai pagal Sąjungos arba valstybės narės teisę, kuri yra taikoma asmens duomenų tvarkytojui, yra nustatytas reikalavimas šiuos duomenis saugoti;

42)kad įrodytų, jog laikosi šio reglamento, duomenų valdytojai turėtų tvarkyti tvarkymo veiklos, už kurią yra atsakingi, įrašus, o duomenų tvarkytojai turėtų tvarkyti duomenų tvarkymo veiklos kategorijų, už kurias jie yra atsakingi, įrašus. Sąjungos institucijos ir įstaigos turėtų būti įpareigotos bendradarbiauti su Europos duomenų apsaugos priežiūros pareigūnu ir jo prašymu pateikti tuos įrašus, kad pagal juos būtų galima stebėti tas duomenų tvarkymo operacijas; Sąjungos institucijos ir įstaigos turėtų turėti galimybę sukurti centrinį jų duomenų tvarkymo veiklos įrašų registrą. Skaidrumo sumetimais jie turėtų turėti galimybę padaryti šį registrą viešą;

43)siekiant užtikrinti saugumą ir užkirsti kelią šį reglamentą pažeidžiančiam duomenų tvarkymui, duomenų valdytojas arba duomenų tvarkytojas turėtų įvertinti su duomenų tvarkymu susijusius pavojus ir įgyvendinti jo mažinimo priemones, pavyzdžiui, šifravimą. Šiomis priemonėmis turėtų būti užtikrintas tinkamo lygio saugumas, įskaitant konfidencialumą, atsižvelgiant į techninių galimybių išsivystymo lygį ir įgyvendinimo sąnaudas pavojų ir saugotinų asmens duomenų pobūdžio atžvilgiu. Vertinant pavojų duomenų saugumui, reikėtų atsižvelgti į pavojus, kurie kyla tvarkant asmens duomenis, pavyzdžiui, į tai, kad persiųsti, saugomi ar kitaip tvarkomi duomenys gali būti netyčia arba neteisėtai sunaikinti, prarasti, pakeisti, be leidimo atskleisti arba be leidimo prie jų gauta prieiga, ir dėl to visų pirma gali būti padarytas kūno sužalojimas, materialinė ar nematerialinė žala;

44)Sąjungos institucijos ir įstaigos turėtų užtikrinti elektroninių ryšių konfidencialumą, kaip numatyta Chartijos 7 straipsnyje. Visų pirma Sąjungos institucijos ir įstaigos turėtų užtikrinti savo elektroninių ryšių tinklų saugumą, apsaugoti informaciją, susijusią su galutinių naudotojų galiniais įrenginiais, kurie turi prieigą prie jų viešai prieinamų interneto svetainių ir mobiliųjų programėlių pagal Reglamentą (ES) XXXX/XX [naujasis E. privatumo reglamentas] ir apsaugoti naudotojų sąrašuose esančius asmens duomenis;

45)jei į asmens duomenų pažeidimą tinkamai ir laiku nesureaguojama, fiziniai asmenys gali patirti fizinę, turtinę arba neturtinę žalą. Todėl, vos sužinojęs, kad padarytas asmens duomenų saugumo pažeidimas, duomenų valdytojas turėtų pranešti kompetentingai priežiūros institucijai nepagrįstai nedelsdamas ir, jei įmanoma, nuo to laiko, kai apie tai buvo sužinota, praėjus ne daugiau kaip 72 valandoms, apie asmens duomenų saugumo pažeidimą, nebent duomenų valdytojas gali pagal atskaitomybės principą įrodyti, kad asmens duomenų saugumo pažeidimas neturėtų kelti pavojaus fizinių asmenų teisėms ir laisvėms. Kai to neįmanoma pranešti per 72 valandas, pranešant turėtų būti pateiktos vėlavimo priežastys ir informacija gali būti pateikiama etapais daugiau nepagrįstai nedelsiant. Jei vėluojama pranešti pagrįstai, mažiau konfidenciali ar mažiau specifinė informacija apie pažeidimą turėtų būti pateikta kuo anksčiau, užuot prieš pranešant išsamiai išnagrinėjus pagrindinį incidentą;

46)duomenų valdytojas nepagrįstai nedelsdamas turėtų pranešti duomenų subjektui apie asmens duomenų saugumo pažeidimą, kai dėl to asmens duomenų saugumo pažeidimo gali kilti didelis pavojus fizinio asmens teisėms ir laisvėms, kad jis galėtų imtis reikiamų priemonių užkirsti tam kelią. Pranešime turėtų būti aprašytas asmens duomenų saugumo pažeidimo pobūdis ir pateiktos atitinkamam fiziniam asmeniui skirtos rekomendacijos, kaip sumažinti galimą neigiamą poveikį. Tokie pranešimai duomenų subjektams turėtų būti pateikti kuo greičiau ir glaudžiai bendradarbiaujant su Europos duomenų apsaugos priežiūros pareigūnu, laikantis jo ar kitų atitinkamų valdžios institucijų, tokių kaip teisėsaugos institucijos, pateiktų nurodymų;