P7_TA(2014)0212

Fizisku personu aizsardzība attiecībā uz personas datu apstrādi ***I

Eiropas Parlamenta 2014. gada 12. marta normatīvā rezolūcija par priekšlikumu Eiropas Parlamenta un Padomes regulai par fizisku personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti (Vispārīgā datu aizsardzības regula) (COM(2012)0011 – C7-0025/2012 – 2012/0011(COD))

(Parastā likumdošanas procedūra: pirmais lasījums)

(2017/C 378/55)

Eiropas Parlaments,

(1) OV C 229, 31.7.2012., 90. lpp.

(2) OV C 192, 30.6.2012., 7. lpp.

P7_TC1-COD(2012)0011

Eiropas Parlamenta nostāja, pieņemta pirmajā lasījumā 2014. gada 12. martā, lai pieņemtu Eiropas Parlamenta un Padomes Regulu (ES) Nr. …/2014 par fizisku personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti (Vispārīgā datu aizsardzības regula)

(Dokuments attiecas uz EEZ)

EIROPAS PARLAMENTS UN EIROPAS SAVIENĪBAS PADOME,

ņemot vērā Līgumu par Eiropas Savienības darbību un jo īpaši tā 16. panta 2. punktu un 114. panta 1. punktu,

ņemot vērā Eiropas Komisijas priekšlikumu,

pēc leģislatīvā akta projekta nosūtīšanas valstu parlamentiem,

ņemot vērā Eiropas Ekonomikas un sociālo lietu komitejas atzinumu (1),

pēc apspriešanās ar Reģionu komiteju,

ņemot vērā Eiropas Datu aizsardzības uzraudzītāja atzinumu (2),

saskaņā ar parasto likumdošanas procedūru (3),

tā kā:

(1) Fizisku personu aizsardzība attiecībā uz personas datu aizsardzību ir pamattiesības. Eiropas Savienības Pamattiesību hartas (Harta) 8. panta 1. punkts un Līguma 16. panta 1. punkts paredz, ka ikvienai personai ir tiesības uz savu personas datu aizsardzību.

(2) Personas datu apstrādes mērķis ir kalpot cilvēkam; noteikumiem par fizisku personu aizsardzību attiecībā uz personas datu apstrādi un tās principiem neatkarīgi no fiziskās personas valstspiederības vai dzīvesvietas būtu jāievēro pamattiesības un brīvības un jo īpaši tiesības uz personas datu aizsardzību. Tai ir jāveicina brīvības, drošības un tiesiskuma telpas un ekonomikas savienības izveide, jāatbalsta ekonomikas un sociālais progress, iekšējā tirgus ekonomiku izaugsme un konverģence un iedzīvotāju labklājība.

(3) Eiropas Parlamenta un Padomes Direktīvas 95/46/EK (4) nolūks ir tuvināt fizisku personu pamattiesību un brīvību aizsardzību attiecībā uz apstrādes darbībām un garantēt personas datu brīvu apriti starp dalībvalstīm.

(4) Ekonomikas un sociālā integrācija, kas izriet no iekšējā tirgus darbības, ir novedusi pie pārrobežu plūsmu ievērojama pieauguma. Datu apmaiņa starp uzņēmējdarbības vides un sociālā, valsts un privātā sektora pārstāvjiem visā Savienībā ir palielinājusies. Savienības tiesības aicina dalībvalstu iestādes sadarboties un apmainīties ar personas datiem, lai varētu pildīt savus pienākumus un veikt uzdevumus kādas iestādes vārdā citā dalībvalstī.

(5) Ātrā tehnoloģiju izaugsme un globalizācija ir radījusi jaunas problēmas personas datu aizsardzības jomā. Datu apmaiņas un vākšanas apjoms ir dramatiski pieaudzis. Jaunākās tehnoloģijas ļauj gan privātām sabiedrībām, gan valsts iestādēm vēl nepieredzētā apjomā savas darbības mērķiem izmantot personas datus. Fiziskas personas aizvien biežāk personiska rakstura informāciju padara publiski un globāli pieejamu. Tehnika ir pārveidojusi ne tikai ekonomiku, bet arī sociālo dzīvi, un ir nepieciešams arī turpmāk uzlabot datu brīvu apriti Savienībā un nosūtīšanu uz trešām valstīm un starptautiskām organizācijām, vienlaikus nodrošinot personas datu augsta līmeņa aizsardzību.

(6) Šī notikumu gaita nozīmē, ka jāveido spēcīgāks un saskaņotāks datu aizsardzības regulējums Savienībā, ko stiprina pienācīga izpilde, ņemot vērā to, cik nozīmīgi ir veidot uzticību, kas ļaus iekšējā tirgū uzplaukt digitālajai ekonomikai. Personām būtu jāspēj kontrolēt savi personas dati un būtu jāstiprina tiesiskā un praktiskā noteiktība fizisku personu, uzņēmēju un valsts iestāžu labā.

(7) Direktīvas 95/46/EK mērķi un principi joprojām ir spēkā, taču tā nav spējusi novērst datu aizsardzības īstenošanas veidu sadrumstalotību Savienībā, tiesisko nenoteiktību un uzskata izplatīšanos sabiedrībā, ka jo īpaši tiešsaistes aktivitātes ir saistītas ar ievērojamu risku fizisku personu aizsardzībai. Personu tiesību un brīvību aizsardzības līmeņa atšķirības, jo īpaši fizisku personu aizsardzības līmeņa atšķirības dalībvalstīs attiecībā uz personas datu apstrādi, var kavēt personas datu brīvu apriti Savienībā. Šīs atšķirības tādēļ var kavēt iesaistīšanos virknē ekonomisku darbību Savienības līmenī, var radīt konkurences traucējumus un kavēt iestādes to pienākumu izpildē, kas paredzēti Savienības tiesību aktos. Šīs aizsardzības līmeņa atšķirības ir radušās tāpēc, ka Direktīva 95/46/EK tiek īstenota un piemērota dažādi.

(8) Lai nodrošinātu konsekventu un augsta līmeņa aizsardzību fiziskām personām un novērstu šķēršļus personu datu apritei, personas tiesību un brīvību aizsardzības līmenim attiecībā uz šādu datu apstrādi visās dalībvalstīs jābūt vienādam. Visā Savienībā būtu jānodrošina noteikumu par fiziskas personas pamattiesību un brīvību aizsardzību attiecībā uz personas datu apstrādi vienveidīga piemērošana.

(9) Lai personas datu aizsardzība visā Savienībā būtu efektīva, nepieciešams stiprināt un precizēt datu subjektu tiesības un to personu pienākumus, kas apstrādā personas datus un nosaka to apstrādi, turklāt nepieciešams piešķirt arī atbilstošas pilnvaras uzraudzīt un nodrošināt personas datu aizsardzības noteikumu ievērošanu un noteikt atbilstošas sankcijas pārkāpējiem dalībvalstīs.

(10) Līguma 16. panta 2. punktā Eiropas Parlaments un Padome pilnvaroti paredzēt noteikumus par fizisko personu aizsardzību attiecībā uz personas datu apstrādi un noteikumus par šādu datu brīvu apriti.

(11) Lai nodrošinātu fizisku personu konsekventu aizsardzību visā Savienībā un novērstu atšķirības, kas traucē datu brīvu apriti iekšējā tirgū, ir nepieciešama regula, lai sniegtu tiesisko noteiktību un pārskatāmību uzņēmējiem, tostarp mikrouzņēmumiem, maziem un vidējiem uzņēmumiem, nodrošinātu fiziskām personām visās dalībvalstīs vienādas juridiski īstenojamas tiesības un pienākumus un pārziņu un apstrādātāju atbildību, nodrošinātu konsekventu personas datu apstrādes uzraudzību un atbilstošas sankcijas visās dalībvalstīs, kā arī efektīvu uzraudzības iestāžu sadarbību dažādās dalībvalstīs. Lai ņemtu vērā mikrouzņēmumu, mazo un vidējo uzņēmumu īpašo situāciju, šajā regulā ietvertas vairākas atkāpes. Turklāt Savienības iestādes un struktūras, dalībvalstis un to uzraudzības iestādes tiek rosinātas, piemērojot šo regulu, ņemt vērā mikrouzņēmumu, mazo un vidējo uzņēmumu īpašās vajadzības. Mikrouzņēmumu, mazo un vidējo uzņēmumu jēdziens būtu jābalsta uz Komisijas ieteikumā 2003/361/EK (5).

(12) Šajā regulā noteiktā aizsardzība attiecībā uz personas datu apstrādi paredzēta fiziskām personām neatkarīgi no to valstspiederības vai dzīvesvietas. Šajā regulā noteiktā aizsardzība nebūtu jāattiecina uz juridisku personu datu apstrādi, jo īpaši attiecībā uz uzņēmumiem, kam ir juridiskas personas statuss, ietverot juridiskās personas nosaukumu, uzņēmējdarbības formu un kontaktinformāciju. Tas pats attiecas arī uz gadījumiem, kad juridiskas personas nosaukums ietver vienas vai vairāku fizisku personu vārdus vai uzvārdus.

(13) Fizisku personu aizsardzībai būtu jābūt tehnoloģiski neitrālai un neatkarīgai no izmantotajiem paņēmieniem, jo pretējā gadījumā tas radītu nopietnu likuma apiešanas risku. Fizisku personu aizsardzībai būtu jāattiecas gan uz personas datu apstrādi ar automatizētiem līdzekļiem, gan uz datu manuālu apstrādi, ja dati ir ietverti vai tos paredzēts ietvert kartotēkā. Šīs regulas piemērošanas jomā neietilpst datnes vai datņu kopumi, kā arī to ievadlapas, kuras nav sakārtotas atbilstoši speciāliem kritērijiem.

(14) Šī regula neattiecas uz jautājumiem par pamattiesību un brīvību aizsardzību vai tādu datu brīvu apriti, kas saistīti ar darbībām, kas neietilpst Savienības tiesību piemērošanas jomāpar fizisku personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti. , tāpat tā neattiecas uz personas datu apstrādi Savienības iestādēs, struktūrās, birojos un aģentūrās, kas ietilpst Regulas Eiropas Parlamenta un Padomes Regula (EK) Nr. 45/2001 (6) piemērošanas jomā, un neattiecas arī uz personas datu apstrādi, ko veic dalībvalstis, rīkojoties saistībā ar Eiropas Savienības Kopējo ārpolitiku un drošības politiku būtu jāsaskaņo ar šo regulu un jāpiemēro saskaņā ar šo regulu . [Gr. 1]

(15) Šī regula nebūtu jāpiemēro fiziskas personas īstenotai personas datu apstrādei, ja šie dati ir tikai personiska , ģimenes vai sadzīviska rakstura, kā piemēram, korespondence un adrešu saraksti vai informācija par atsevišķu privātu pārdošanu , un apstrādei nav nekāda peļņas gūšanas nolūka, un tā apstrāde nav nekādi nav saistīta ar profesionālu vai komerciālu darbību. Izņēmums nebūtu Tomēr šī regula būtu jāpiemēro arī pārziņiem vai apstrādātājiem, kas nodrošina personas datu apstrādes līdzekļus šādām personiska vai sadzīviska rakstura darbībām. [Gr. 2]

(16) Fizisku personu aizsardzība attiecībā uz personas datu apstrādi, ko veic kompetentas iestādes, lai novērstu, izmeklētu, atklātu noziedzīgus nodarījumus, sauktu pie atbildības par tiem vai izpildītu kriminālsodus, un par šādu datu brīvu apriti ir cita speciāla Savienības līmeņa tiesību akta priekšmets. Tāpēc šī regula nebūtu jāpiemēro apstrādes darbībām, kas veiktas minētajos nolūkos. Taču datu apstrādi, ko saskaņā ar šo regulu veic valsts iestādes, ja to izmanto noziedzīgu nodarījumu novēršanai, izmeklēšanai un atklāšanai, lai sauktu pie atbildības par tiem vai izpildītu kriminālsodus, būtu jāregulē speciālam Savienības līmeņa tiesību aktam (Eiropas Parlamenta un Padomes Direktīva 2014/…/ES par pesonu aizsardzību attiecībā uz personas datu apstrādi, ko veic kompetentās iestādes, lai novērstu, izmeklētu, atklātu noziedzīgus nodarījmus vai izvirzītu apsūdzības par tiem, vai kriminalsodu izpildi, un par šādu datu brīvu apriti).

(17) Šai regulai nebūtu jāskar Eiropas Parlamenta un Padomes Direktīvas 2000/31/EK (7) piemērošana, jo īpaši attiecībā uz direktīvas 12. un 15. panta noteikumiem par pakalpojumu sniegšanas starpnieku atbildību.

(18) Šī regula atļauj ņemt vērā principu par publisku piekļuvi oficiāliem dokumentiem, piemērojot regulā paredzētos noteikumus. Ja personas datus dokumentos glabā publiskā iestāde vai struktūra, tā tos drīkst atklāt saskaņā ar Savienības vai dalībvalsts tiesību aktiem, kuri attiecas uz publisku piekļuvi oficiāliem dokumentiem un kuri līdzsvaro tiesības uz datu aizsardzību ar tiesībām uz publisku piekļuvi oficiāliem dokumentiem, kā arī nodrošina taisnīgu līdzsvaru starp dažādajām ieinteresētajām personām. [Gr. 3]

(19) Personas datu apstrādei, kas notiek saistībā ar darbībām, ko veic pārziņa vai apstrādātāja institūcija Savienībā, būtu jānotiek saskaņā ar šo regulu neatkarīgi no tā, vai pati apstrāde notiek Savienībā. Institūcija nozīmē efektīvu un faktisku darbību, ko veic pastāvīga vienība. Šādas vienības juridiskā forma, vienalga, vai tā būtu filiāle vai meitasuzņēmums ar juridiskas personas statusu, šajā sakarā nav noteicošais faktors.

(20) Lai nodrošinātu, ka fiziskām personām netiek liegta aizsardzība, kas tām pienākas saskaņā ar šo regulu, Savienībā dzīvojošu datu subjektu personas datu apstrāde, ko veic pārzinis, kas neatrodas neveic uzņēmējdarbību Savienībā, būtu jāveic saskaņā ar šo regulu, ja apstrādes darbības ir saistītas ar preču vai pakalpojumu , neatkarīgi no tā, vai tas ir maksas vai bezmaksas, piedāvāšanu šādiem datu subjektiem vai ar šādu datu subjektu uzvedības novērošanu. Lai noteiktu, vai šāds pārzinis piedāvā preces vai pakalpojumus šādiem datu subjektiem Savienībā, būtu jāpārliecinās, vai ir acīmredzami tas, ka pārzinis iecerējis piedāvāt pakalpojumus datu subjektiem, kuri dzīvo vienā vai vairākās Savienības dalībvalstīs. [Gr. 4]

(21) Lai noteiktu, vai apstrādes darbību var uzskatīt par datu subjekta “uzvedības novērošanu”, būtu jāpārliecinās, vai fiziska persona tiek izsekota internetā ar neatkarīgi no datu avota vai arī tiek apkopoti citi dati par šo datu subjektu, tostarp no publiskiem reģistriem un paziņojumiem Savienībā, kuri ir pieejami, atrodoties ārpus Savienības, cita starpā lai izmantotu vai potenciāli vēlāk izmantotu datu apstrādes paņēmieniem paņēmienus , kas ietver “profila” piemērošanu fiziskai personai, jo īpaši, lai pieņemtu lēmumus saistībā ar datu subjektu vai analizētu vai iepriekšparedzētu viņa personīgās vēlmes, uzvedību un attieksmi. [Gr. 5]

(22) Ja, ievērojot starptautisko publisko tiesību normas, ir piemērojamas dalībvalsts tiesības, arī šai regulai vajadzētu būt piemērojamai pārzinim, kas neatrodas Savienībā, piemēram, pārzinim dalībvalsts diplomātiskajā pārstāvniecībā vai konsulātā.

(23) Datu aizsardzības principi būtu jāattiecina uz jebkādu informāciju par identificētu vai identificējamu fizisku personu. Lai noteiktu, vai persona ir identificējama, būtu jāņem vērā visi līdzekļi, ko pārzinis vai kāda cita persona pamatoti visticamāk varētu izmantot, lai tieši vai netieši identificētu vai noteiktu fizisku personu. Lai pārliecinātos, vai šos līdzekļus visticamāk varētu izmantot fiziskas personas identificēšanai, būtu jāņem vērā visi objektīvie faktori, piemēram, identificēšanai nepieciešamās izmaksas un laiks, kā arī apstrādes laikā pieejamā tehnoloģija un tās attīstība. Datu aizsardzības principus tādēļ nebūtu jāpiemēro anonīmiem datiem, ko sniedz anonīmi — tā, ka kas ir informācija, kura neattiecas uz identificētu vai identificējamu fizisku personu. Tādēļ šī regula neattiecas uz šādu anonīmu datu subjekts vairs nav identificējams apstrādi, tostarp statistikas un izpētes nolūkos . [Gr. 6]

(24) Izmantojot tiešsaistes pakalpojumus, fiziskām personām var piešķirt tiešsaistes Šī regula būtu jāattiecina uz apstrādi, kurā izmanto identifikatorus, ko savukārt izmanto viņu ierīces, lietojumprogrammas, rīki un protokoli, kā ierīcēs, lietojumprogrammās, rīkos un protokolos, piemēram, interneta protokola adreses adresēs vai sīkdatņu identifikatoros un radiofrekvenciālās identifikācijas marķējumos, ja vien šie identifikatori. Tādējādi iespējams tiek atstātas pēdas, ko savienojumā ar unikāliem identifikatoriem vai citu informāciju, ko saņem serveri, var izmantot, lai veidotu neattiecas uz identificētu vai identificējamu fizisku personu. profilus un tos identificētu. No tā var secināt, ka identifikācijas numurus, atrašanās vietas datus, tiešsaistes identifikatorus vai citus īpašus faktorus pašus par sevi ne vienmēr vajag uzskatīt par personas datiem. [Gr. 7]

(25) Piekrišana ir būtu jādod nepārprotami, izmantojot jebkādu piemērotu metodi, kas ļauj sniegt brīvu, konkrētu un apzinātu norādi par datu subjekta vēlmēm, vai nu ar paziņojumu, vai skaidri apstiprinošu datu subjekta darbību, kas ir izvēles rezultāts, nodrošinot, ka persona apzinās, ka tā sniedz piekrišanu personas datu apstrādei. , tas ietver Skaidri apstiprinoša darbība varētu ietvert laukuma atzīmēšanu ar ķeksīti interneta tīmekļa vietnē un jebkuru citu paziņojumu vai rīcību, kas konkrētajos apstākļos šajā gadījumā skaidri norāda, ka datu subjekts piekrīt piedāvātajai savu personas datu apstrādei. Klusēšanai Klusēšana, pakalpojuma izmantošana pati par sevi vai atturēšanās no darbības tādējādi nebūtu jāuzskata par piekrišanu. Piekrišanai būtu jāattiecas uz visām apstrādes darbībām, ko veic vienā un tajā pašā nolūkā vai nolūkos. Ja datu subjekta piekrišana ir jādod pēc elektroniska pieprasījuma saņemšanas, pieprasījumam jābūt skaidram, kodolīgam un tam nav nevajadzīgi jāpārtrauc tā pakalpojuma izmantošana, par ko tas tiek sniegts. [Gr. 8]

(26) Personas datiem par veselību būtu jo īpaši jāaptver visi dati, kas norāda uz datu subjekta veselības stāvokli; informāciju par personas reģistrāciju ar veselību saistītu pakalpojumu saņemšanai; informāciju par maksājumiem vai tiesībām saņemt veselības aprūpi; numuru, simbolu vai zīmi, kas piešķirta personai, lai to viennozīmīgi identificētu veselības aprūpes nolūkos; jebkuru informāciju par personu, ko vāc ar veselības aprūpi saistītu pakalpojumu sniegšanas laikā; informāciju, kas iegūta, pārbaudot vai izmeklējot kādu ķermeņa daļu vai no tā iegūtu materiālu, tai skaitā bioloģiskus paraugus; informāciju, kas identificē kādu personu kā veselības aprūpes pakalpojumu sniedzēju personai; vai citu informāciju par, piemēram, slimību, traucējumiem, slimības risku, slimības vēsturi, klīnisko aprūpi vai par aktuālo datu subjekta fizisko vai biomedicīnisko stāvokli, neatkarīgi no tās avota, piemēram, ārsta vai cita veselības aprūpes nozares pārstāvja, slimnīcas, medicīniskas ierīces vai in vitro diagnostikas testa.

(27) Pārziņa galvenās institūcijas atrašanās vieta Savienībā būtu jānosaka, izmantojot objektīvus kritērijus, un tam būtu jānozīmē efektīvas un faktiskas pārvaldes darbības, pieņemot galvenos lēmumus par apstrādes nolūkiem, nosacījumiem un līdzekļiem, ko veic pastāvīga vienība. Šim kritērijam nav jābūt atkarīgam no tā, vai personas datu apstrāde faktiski tiek veikta šajā vietā; personas datu apstrādei vai apstrādes darbībām nepieciešamo tehnisko līdzekļu un tehnoloģiju esība un izmantošana pati par sevi nenozīmē šādas galvenās institūcijas atrašanās vietas esību un nav noteicošie kritēriji galvenās institūcijas atrašanās vietas noteikšanai. Apstrādātāja galvenās institūcijas atrašanās vietai būtu jābūt galvenās pārvaldes institūcijas atrašanās vietai Savienībā.

(28) Uzņēmumu grupai būtu jāietver kontrolējošais uzņēmums un tā kontrolētie uzņēmumi, turklāt par kontrolējošu uzņēmumu būtu jāuzskata uzņēmums, kam var būt dominējoša ietekme uz citu uzņēmumu, piemēram, īpašumtiesību, finanšu līdzdalības vai reglamentējošu noteikumu dēļ, vai pilnvaras panākt personas datu aizsardzības noteikumu īstenošanu.

(29) Bērni ir pelnījuši īpašu savu personas datu aizsardzību, jo tie var pietiekami neapzināties riskus, sekas, aizsardzības pasākumus un savas tiesības saistībā ar personas datu apstrādi. Lai noteiktu, kad persona ir uzskatāma par bērnu, šajā regulā būtu jāpārņem ANO Konvencijas par bērna tiesībām definīcija. Ja datu apstrādei ir vajadzīga datu subjekta piekrišana attiecībā uz preču vai pakalpojumu tiešu sniegšanu bērnam, kas nav sasniedzis 13 gadu vecumu, piekrišana būtu jādod vai jāapstiprina vienam no bērna vecākiem vai likumīgajam aizbildnim. Ja mērķauditorija ir bērni, būtu jāizmanto viņu vecumam atbilstoša valoda. Būtu jāturpina izmantot tādus citus likumīgas apstrādes pamatojumus kā sabiedriskās intereses, piemēram, datu apstrādē saistībā ar preventīviem vai konsultāciju pakalpojumiem, ko tiešā veidā piedāvā bērnam. [Gr. 9]

(30) Jebkurai personas datu apstrādei būtu jābūt likumīgai, godprātīgai un caurskatāmai attiecīgajām personām. Jo īpaši konkrētajiem datu apstrādes nolūkiem būtu jābūt nepārprotamiem un likumīgiem un noteiktiem jau datu vākšanas laikā. Datiem būtu jābūt adekvātiem, atbilstīgiem un jāaprobežojas ar minimumu, kas nepieciešams nolūkiem, kādiem šie dati tiek apstrādāti; tas jo īpaši prasa nodrošināt, ka vākto datu apjoms nav pārmērīgs un to glabāšanas termiņš ir ierobežots līdz stingram minimumam. Personas dati būtu jāapstrādā tikai tad, ja apstrādes nolūku nav iespējams sasniegt citiem līdzekļiem. Ir jāveic visi pamatoti pasākumi, lai nodrošinātu, ka neprecīzi personas dati tiek laboti vai dzēsti. Lai nodrošinātu, ka datus neglabā ilgāk, nekā tas ir nepieciešams, pārzinim būtu jānosaka termiņi, kad dati ir jādzēš vai periodiski jāpārskata.

(31) Lai apstrāde būtu likumīga, personas datus dati būtu jāapstrādā, pamatojoties uz attiecīgās personas piekrišanu vai citu šajā regulā vai citā Savienības vai dalībvalsts likumā noteiktu leģitīmu pamatu un saskaņā ar šo regulu. Attiecībā uz bērniem vai tiesībnespējīgām personām attiecīgos Savienības vai dalībvalsts tiesību aktos būtu jāparedz nosacījumi, saskaņā ar kuriem šāda persona sniedz piekrišanu vai atļauju. [Gr. 10]

(32) Ja apstrāde pamatojas uz datu subjekta piekrišanu, pārzinim būtu jāuzliek pienākums pierādīt, ka datu subjekts ir devis piekrišanu apstrādes darbībai. Jo īpaši saistībā ar rakstisku deklarāciju kādā citā jautājumā aizsardzības pasākumiem būtu jānodrošina, ka datu subjekts apzinās, ka viņš sniedz piekrišanu un kādā apmērā viņš to dara. Lai nodrošinātu atbilstību datu minimizēšanas principam, ar pierādīšanu saistīto slogu nevajadzētu uzskatīt par prasību konkrēti identificēt datu subjektus, ja vien tas nav vajadzīgs. Līdzīgi civiltiesību terminiem (piemēram, Padomes Direktīva 93/13/EEK (8) ) datu aizsardzības politikai vajadzētu būt pēc iespējas skaidrai un pārredzamai. Tajā nevajadzētu iekļaut slēptus vai neizdevīgus nosacījumus. Piekrišanu nevar sniegt par trešo personu datu apstrādi. [Gr. 11]

(33) Lai nodrošinātu, ka piekrišana ir brīva, būtu jāprecizē, ka piekrišana nav derīgs juridiskais pamats, ja personai nav īstas un brīvas izvēles un viņš viņa pēcāk bez zaudējumiem nevar atteikties vai atsaukt savu izvēli. Tas īpaši attiecas uz gadījumu, kad pārzinis ir publiska iestāde, kas var uzlikt pienākumu, pamatojoties uz attiecīgajām publiskas iestādes pilnvarām, un piekrišanu nevar uzskatīt par brīvu. Noklusējuma funkcijas izmantošana, kas datu subjektam ir jāmaina, lai iebilstu pret apstrādi, piemēram, iepriekš atzīmēti lodziņi, nav brīva piekrišana. Pakalpojuma izmantošanai nebūtu vajadzīga piekrišana par tādu papildu personas datu apstrādi, kas nav nepieciešami pakalpojuma sniegšanai. Ja piekrišana tiek atsaukta, tas dod tiesības pārtraukt vai nepildīt pakalpojumu, kas ir atkarīgs no attiecīgajiem datiem. Ja paredzētā nolūka sasniegšana ir neskaidra, pārzinim būtu regulāri jāinformē datu subjekts par apstrādi un jālūdz atkārtoti sniegt piekrišanas apstiprinājumu. [Gr. 12]

(34) Piekrišanai nebūtu jābūt par derīgu personas datu apstrādes juridisko pamatu arī tad, ja ir skaidri saskatāma nevienlīdzība datu subjekta un pārziņa attiecībās. Tas jo īpaši ir gadījumos, kad datu subjekts ir atkarīgs no pārziņa, cita starpā, ja personas datu apstrāde izpaužas kā darbinieka personas datu apstrāde, ko veic darba devējs darba attiecību kontekstā. Ja pārzinis ir valsts iestāde nevienlīdzība būtu saskatāma tikai īpašās datu apstrādes darbībās, kad valsts iestāde var uzlikt pienākumu, pamatojoties uz savām valsts iestādes pilnvarām, un piekrišanu nevar uzskatīt par brīvu, ņemot vērā datu subjekta intereses. [Gr. 13]

(35) Apstrādei būtu jābūt likumīgai, ja tas ir nepieciešams saistībā ar līgumu vai saistībā ar nolūku noslēgt līgumu.

(36) Ja apstrādi veic, izpildot pārziņa juridiskās saistības vai ja apstrāde ir nepieciešama, lai veiktu uzdevumu sabiedrības interesēs vai, īstenojot valsts varu, apstrādes pamatam būtu jābūt vajadzētu būt noteiktam Savienības tiesībās vai dalībvalsts tiesībās, ievērojot Eiropas Savienības Pamattiesību hartas prasības attiecībā uz tiesību un brīvību ierobežojumiem. Tam būtu jāattiecas arī uz koplīgumiem, ko valsts tiesību aktos varētu noteikt par vispārēji piemērojamiem. Turklāt Savienības vai valstu tiesību aktiem aktos ir jānosaka arī tas, vai pārzinim, kurš veic uzdevumu sabiedrības interesēs vai īstenojot valsts varu, jābūt valsts pārvaldes iestādei vai citai fiziskai vai juridiskai personai, kas ir publisko tiesību subjekts vai privāttiesību subjekts, kā piemēram, profesionāla apvienība. [Gr. 14]

(37) Personas datu apstrāde tāpat būtu jāuzskata par likumīgu, ja tā nepieciešama, lai aizsargātu kādas intereses, kas būtiski svarīgas datu subjekta dzīvei.

(38) Pārziņa likumīgās intereses vai izpaušanas gadījumā tās trešās puses likumīgās intereses, kam dati tiek izpausti, var būt apstrādes juridiskais pamats, ja tās atbilst datu subjekta saprātīgām gaidām, pamatojoties uz viņa attiecībām ar pārzini, un datu subjekta intereses vai pamattiesības un brīvības nav svarīgākas. To būs nepieciešams rūpīgi izvērtēt, jo īpaši, ja datu subjekts ir bērns, ņemot vērā, ka bērniem ir nepieciešama īpaša aizsardzība. Ja datu subjekta intereses vai pamattiesības un brīvības nav svarīgākas, apstrāde, kurā izmanto tikai pseidonīmdatus, būtu jāuzskata par tādu, kas atbilst datu subjekta saprātīgām gaidām, pamatojoties uz viņa attiecībām ar pārzini. Datu subjektam būtu jābūt vajadzētu būt tiesībām iebilst pret apstrādi, pamatojoties uz to īpašo stāvokli un bez maksas. Lai nodrošinātu pārskatāmību, pārzinim būtu jāuzliek pienākums skaidri informēt datu subjektu par pārziņa likumīgajām interesēm un datu subjekta tiesībām iebilst, turklāt būtu jāparedz pienākums dokumentēt šīs likumīgās intereses. Datu subjekta intereses un pamattiesības varētu būt svarīgākas par datu pārziņa interesēm gadījumos, kad personas datus apstrādā apstākļos, kuros datu subjektiem nav saprātīgu gaidu, ka apstrāde turpināsies. Ņemot vērā, ka datu apstrādes juridisko pamatu valsts juridiskais pamats publiskām iestādēm ar likumu ir jānosaka likumdevējam, šis juridiskais pamats nebūtu piemērojams apstrādei, ko veic valsts publiskas iestādes, pildot savus uzdevumus. [Gr. 15]

(39) Datu apstrāde tikai tādā apjomā, kas vajadzīgs un piemērots tīkla un informācijas drošībai, piemēram, lai nodrošinātu tīkla vai informācijas sistēmu spēju zināmā uzticamības līmenī pretoties nejaušiem gadījumiem vai nelikumīgām un ļaunprātīgām darbībām, kas apdraudētu uzglabāto un nosūtīto datu pieejamību, autentiskumu, integritāti un konfidencialitāti, kā arī saistīto pakalpojumu drošību, kurus piedāvā šie tīkli vai sistēmas, vai caur kurām tie ir pieejami, ja to veic valsts iestādes, Datorapdraudējumu reaģēšanas vienības (CERT), Datordrošības incidentu reaģēšanas vienības (CSIRT), elektronisko sakaru tīklu un pakalpojumu nodrošinātāji un drošības tehnoloģiju un pakalpojumu sniedzēji, ir datu pārziņa likumīgas intereses. Tas varētu, piemēram, palīdzēt novērst neatļautu piekļuvi elektronisko komunikāciju tīkliem un ļaunprātīgu kodu izplatīšanu, kā arī apturēt uzbrukumus pakalpojumiem un novērst datoru un elektronisko komunikāciju sistēmu bojājumus. Šis princips attiecas arī uz personas datu apstrādi, ar ko ierobežo ļaunprātīgu piekļuvi publiski pieejamam tīklam vai informācijas sistēmām, piemēram, uz iekļaušanu elektronisko identifikatoru melnajā sarakstā. [Gr. 16]

(39a) Ja datu subjekta intereses vai pamattiesības un brīvības nav svarīgākas, prevencija vai kaitējuma ierobežošana attiecībā uz pārzini būtu jāuzskata par veiktu pārziņa likumīgajās interesēs vai izpaušanas gadījumā tās trešās puses interesēs, kurai dati ir izpausti, un par atbilstošu datu subjekta saprātīgām gaidām, pamatojoties uz viņa attiecībām ar pārzini. Tas pats princips attiecas arī uz likumīgo prasību izpildi pret datu subjektu, piemēram, uz parāda iekasēšanu vai civilprasības un tiesiskās aizsardzības līdzekļu piemērošanu. [Gr. 17]

(39b) Ja datu subjekta intereses vai pamattiesības un brīvības nav svarīgākas, personas datu apstrāde paša vai līdzīgu produktu vai pakalpojumu tiešai tirgvedībai vai tiešai tirgvedībai pa pastu būtu jāuzskata par veiktu pārziņa likumīgajās interesēs vai izpaušanas gadījumā tās trešās puses interesēs, kurai dati ir izpausti, un par atbilstošu datu subjekta saprātīgām gaidām, pamatojoties uz viņa attiecībām ar pārzini, ja tiek sniegta ļoti labi pamanāma informācija par tiesībām iebilst un par personas datu avotu. Uzņēmējdarbības kontaktinformācijas datu apstrāde parasti būtu jāuzskata par veiktu pārziņa likumīgajās interesēs vai izpaušanas gadījumā tās trešās puses interesēs, kurai dati ir izpausti, un par atbilstošu datu subjekta saprātīgām gaidām, pamatojoties uz viņa attiecībām ar pārzini. Tas pats attiecas uz tādu personas datu apstrādi, ko ir atklāti publiskojis pats datu subjekts. [Gr. 18]

(40) Personas datu apstrāde citos nolūkos būtu jāatļauj tikai tad, ja apstrāde notiek, saskaņā ar tiem nolūkiem, kuriem dati sākotnēji vākti, jo īpaši, ja apstrāde ir nepieciešama vēstures, statistikas vai zinātniskās izpētes nolūkos. Ja cits nolūks nav savienojams ar sākotnējo nolūku, kuram dati tika vākti, pārzinim būtu jāsaņem datu subjekta piekrišana šim citam nolūkam vai jārod apstrādei cits leģitīms pamats, lai tā būtu likumīga, jo īpaši saskaņā ar Savienības tiesībām vai dalībvalsts tiesībām, kas ir piemērojamas pārzinim. Jebkurā gadījumā būtu jānodrošina, ka tiek ievēroti šajā regulā noteiktie principi un jo īpaši datu subjekta tiesības uz informāciju par citiem apstrādes nolūkiem. [Gr. 19]

(41) Personas dati, kas pēc savas būtības ir īpaši sensitīvi un neaizsargāti saistībā ar pamattiesībām vai privātumu, ir īpaši jāaizsargā. Šādus datus nebūtu jāapstrādā, izņemot, ja datu subjekts tam nepārprotami piekrīt. Tomēr attiecībā uz īpašām vajadzībām būtu skaidri jāparedz atkāpes no šā aizlieguma, jo īpaši, ja apstrādi veic konkrētas asociācijas vai nodibinājumi savu likumīgo darbību ietvaros, kuru nolūks ir atļaut izmantot pamatbrīvības. [Gr. 20]

(42) Atkāpes no sensitīvu datu kategoriju apstrādes aizlieguma būtu jāpieļauj arī tad, ja tās paredzētas likumā un tām paredzēti atbilstoši personas datu un citu pamattiesību aizsardzības pasākumi, ja to attaisno sabiedrības intereses un jo īpaši ar veselību saistītos nolūkos, ietverot sabiedrības veselību un sociālo aizsardzību un veselības aprūpes pakalpojumu pārvaldi, jo īpaši lai nodrošinātu kvalitāti un rentabilitāti procedūrām, ko izmanto, lai izskatītu pakalpojumu un citu priekšrocību pieprasījumus veselības apdrošināšanas sistēmā, vai vēstures, statistikas un zinātniskās izpētes nolūkos vai arhīva pakalpojumiem . [Gr. 21]

(43) Turklāt valsts iestāžu veiktā oficiāli atzītu reliģisku apvienību personu datu apstrāde, lai sasniegtu konstitucionālajās tiesībās vai starptautiskajās publiskajās tiesībās paredzētos mērķus, tiek veikta, pamatojoties uz sabiedrības interesēm.

(44) Dažās dalībvalstīs vēlēšanu pasākumu laikā demokrātiskās sistēmas darbība prasa, lai politiskās partijas vāktu datus par cilvēku politiskajiem uzskatiem, šādu datu apstrādi var pieļaut, pamatojoties uz sabiedrības interesēm, ar noteikumu, ka ir noteikti atbilstoši aizsardzības pasākumi.

(45) Ja pārziņa apstrādātie dati neļauj pārzinim identificēt fizisku personu, datu pārzinim nebūtu jāuzliek pienākums iegūt papildu informāciju, lai identificētu datu subjektu, ja ieguves vienīgais nolūks ir kāda šīs regulas noteikuma ievērošana. Ja ir izteikts pieprasījums piekļūt datiem, datu pārzinim būtu jāpiešķir tiesības prasīt datu subjektam papildu informāciju, kas ļautu datu pārzinim noteikt personas datus, kurus šī persona meklē. Ja datu subjektam ir iespējams sniegt šādus datus, būtu jānovērš iespēja, ka pārziņi atsaucas uz informācijas neesamību, lai atteiktu piekļuves pieprasījumu. [Gr. 22]

(46) Caurskatāmības principa pamatā ir prasība, ka visai informācijai, kas adresēta sabiedrībai vai datu subjektam, vajadzētu būt viegli pieejamai un viegli saprotamai un ir jāizmanto skaidra un vienkārša valoda. Tas ir jo īpaši svarīgi tādās situācijās, kā piemēram, tiešsaistes reklāma, kad iesaistīto personu skaits un praksē izmantoto tehnoloģiju sarežģītība, apgrūtina datu subjekta iespējas zināt un saprast, vai tiek vākti viņa personas dati, kas to dara un kādam nolūkam. Ņemot vērā, ka bērni ir īpaši jāaizsargā, ja apstrāde īpaši attiecas uz bērnu, informācija būtu jāsniedz un saziņa jāveic tik skaidrā un vienkāršā valodā, ka bērns to viegli var saprast.

(47) Būtu jāparedz kārtība, kas atvieglotu datu subjektam šajā regula regulā paredzēto tiesību izmantošanu, tai skaitā mehānismi, kā bez maksas pieprasīt iegūt piekļuvi datiem, to labošanu tos labot un dzēšanu dzēst un kā izmantot tiesības iebilst. Pārzinim būtu jāuzliek pienākums atbildēt uz datu subjekta pieprasījumiem noteiktā saprātīgā termiņā un minēt iemeslus, kāpēc datu subjekta pieprasījums nav izpildāms. [Gr. 23]

(48) Godprātīgas un caurskatāmas pārredzamas apstrādes principi nozīmē, ka datu subjektam būtu jābūt vajadzētu būt informētam jo īpaši par apstrādes darbībām un to nolūkiem, cik ilgi datus visticamāk glabās katram attiecīgajam nolūkam , vai datus nodos trešām personām vai valstīm, par pasākumiem, kas dod iespēju iebilst, par piekļuves, labošanas vai dzēšanas tiesībām un par tiesībām iesniegt sūdzību. Ja datus vāc no datu subjekta, datu subjekts būtu jāinformē, vai viņam ir pienākums sniegt datus un kāds kādas būs sekas, ja viņš šos datus nesniegs. Šī informācija būtu jāsniedz, kas var arī nozīmēt “jādara viegli pieejama”, datu subjektam pēc tam, kad ir sniegta vienkāršota informācija standartizētu ikonu veidā. Tam vajadzētu arī nozīmēt to, ka personas dati ir apstrādāti tā, lai efektīvi ļautu datu subjektam īstenot savas tiesības. [Gr. 24]

(49) Informācija par datu subjekta personas datu apstrādi būtu tam jāsniedz datu ieguves brīdī vai, ja datus neiegūst no datu subjekta, saprātīgā termiņā atkarībā no lietas apstākļiem. Ja datus var likumīgi atklāt citam saņēmējam, datu subjekts būtu jāinformē, kad dati pirmo reizi tiek izpausti saņēmējam.

(50) Tomēr šo pienākumu nav vajadzīgs noteikt gadījumos, kad šī informācija jau ir datu subjekta rīcībā datu subjekts jau zina šo informāciju vai ja datu reģistrācija un vai izpaušana ir skaidri paredzēta likumā, vai ja informācijas sniegšana datu subjektam nav iespējama vai prasītu nesamērīgas pūles. Pēdējais varētu jo īpaši attiekties uz gadījumiem, kad apstrādi veic vēsturiskiem, statistikas vai zinātniskās izpētes nolūkos; šajā sakarībā var ņemt vērā datu subjektu skaitu, datu vecumu un paredzētos kompensējošos pasākumus. [Gr. 25]

(51) Jebkurai personai būtu jābūt vajadzētu būt tiesībām piekļūt datiem, kas par viņu savākti, un jāvar viegli izmantot šīs tiesības, lai apzinātu un pārbaudītu apstrādes likumību. Katram datu subjektam tāpēc būtu jābūt vajadzētu būt tiesībām zināt un saņemt paziņojumu jo īpaši par to, kādos nolūkos datus apstrādā, cik ilgi kāds ir plānotais apstrādes ilgums , kas saņem datus, kāda ir datu vispārīgā apstrādes loģika un kādas varētu būt, vismaz ja apstrāde pamatojas uz profilēšanu, šādas apstrādes sekas. Šīm tiesībām nevajadzētu nelabvēlīgi ietekmēt citu personu tiesības un brīvības, ietverot tirdzniecības noslēpumus vai intelektuālā īpašuma tiesības, un jo īpaši autortiesības piemēram, attiecībā uz autortiesībām , ar ko aizsargāta programmatūra. Tomēr šādu apsvērumu rezultāts nedrīkstētu būt tāds, ka datu subjektam tiek liegta jebkāda informācija. [Gr. 26]

(52) Pārzinim būtu jāizmanto visi saprātīgi pasākumi, lai pārbaudītu datu subjekta, kas izdara pieprasījumu, identitāti, jo īpaši saistībā ar tiešsaistes pakalpojumiem un tiešsaistes identifikatoriem. Pārzinim nebūtu jāglabā personas dati, ja vienīgais šādas glabāšanas nolūks ir būt spējīgam reaģēt uz iespējamiem pieprasījumiem.

(53) Personai būtu jābūt vajadzētu būt tiesībām uz viņa personas datus labošanu un “tiesībām tikt aizmirstam uz datu dzēšanu ”, ja šādu datu glabāšana nav paredzēta šajā regulā. Jo īpaši datu subjektiem būtu jābūt vajadzētu būt tiesībām uz viņu personas datu dzēšanu un apstrādes neturpināšanu, ja dati vairs nav nepieciešami saistībā ar nolūkiem, kuriem tie iegūti vai citādi apstrādāti, ja datu subjekts ir atsaucis piekrišanu apstrādei, vai ja datu subjekts iebilst pret savu personas datu apstrādi, vai ja viņu personas datu apstrāde citā veidā ir pretrunā ar šo regulu. Šīs tiesības ir īpaši svarīgas, ja datu subjekts ir devis piekrišanu kā bērns, pilnībā neapzinoties ar apstrādi saistītos riskus un vēlāk vēlas izņemt šādus personas datus jo īpaši no interneta. Tomēr datu turpmāka saglabāšana būtu jāatļauj, ja tas ir nepieciešams vēstures, statistikas un zinātniskās izpētes nolūkos, pamatojoties uz sabiedrības interesēm sabiedrības veselības aizsardzības jomā, lai izmantotu tiesības uz vārda un informācijas brīvību, kad to paredz likums, vai ja pastāv iemesls dzēšanas vietā ierobežot datu apstrādi. Tāpat tiesības uz dzēšanu nebūtu jāpiemēro, ja personas datu saglabāšana nepieciešama, lai izpildītu līgumu, kas noslēgts ar datu subjektu, vai ja ir juridiskas saistības šos datus saglabāt. [Gr. 27]

(54) Lai stiprinātu “tiesības tikt aizmirstam uz datu dzēšanu ” tiešsaistes vidē, tiesības uz datu dzēšanu būtu paplašināti jāpiemēro tā, lai pārzinim, kas ir publicējis personas datus bez likumīga pamatojuma , būtu pienākums informēt trešās personas, kas apstrādā šādus datus, ka datu subjekts ir pieprasījis dzēst visas saites uz šiem personas datiem, to kopijas vai atveidojumus. Lai nodrošinātu šo informāciju, pārzinim būtu jāveic visi saprātīgi pasākumi, ietverot arī tehniskos īstenot visus vajadzīgos pasākumus, saistībā ar datiem, par kuru publicēšanu pārzinis ir atbildīgs. Saistībā ar personas datu publicēšanu, ko veikusi trešā puse, pārzinis būtu jāuzskata par atbildīgu par šo publicēšanu, ja pārzinis ir atļāvis trešai pusei publicēt datus. lai dati tiktu dzēsti, tostarp lai tos dzēstu arī trešās puses, neskarot datu subjekta tiesības pieprasīt kompensāciju. [Gr. 28]

(54a) Ja datu subjekts apstrīd datus un nav iespējams noteikt to precizitāti vai neprecizitāti, dati būtu jābloķē līdz brīdim, kad šis jautājums ir atrisināts. [Gr. 29]

(55) Lai vēl vairāk stiprinātu kontroli pār saviem datiem un piekļuves tiesības, datu subjektam gadījumos, kad personas datus apstrādā elektroniskiem līdzekļiem un strukturētā un plaši izmantotā formātā, vajadzētu būt tiesībām iegūt savu datu kopiju plaši izmantotā elektroniskā formātā. Datu subjektam būtu jāatļauj arī nosūtīt datus, ko viņš ir sniedzis, no vienas automatizētas lietotnes, piemēram, sociālā tīkla, uz citu. Datu pārziņi būtu jāaicina izstrādāt savstarpēji izmantojamus formātus, kas nodrošina datu pārnešanu. Tas būtu piemērojams, ja datu subjekts sniedza datus automatizētas apstrādes sistēmai, pamatojoties uz piekrišanu vai izpildot līgumu. Informācijas sabiedrības pakalpojumu sniedzējiem nevajadzētu padarīt šo datu pārsūtīšanu par obligātu noteikumu savu pakalpojumu sniegšanai. [Gr. 30]

(56) Gadījumos, kad personas datus var likumīgi apstrādāt, lai aizsargātu īpaši svarīgas datu subjekta intereses vai, pamatojoties uz sabiedrības interesēm, valsts varas īstenošanu vai pārziņa likumīgām interesēm, datu subjektam tomēr būtu jābūt vajadzētu būt tiesībām bez maksas un viegli izmantojamā un efektīvā veidā iebilst pret jebkādu uz viņu attiecināmu datu apstrādi. Pierādīšanas pienākums būtu jāuzliek pārzinim, proti, pierādīt, ka viņa likumīgās intereses ir svarīgākas par datu subjekta pamattiesībām un brīvībām. [Gr. 31]

(57) Ja personas datus apstrādā tiešās tirgvedības nolūkos, datu subjektam vajadzētu būt tiesībām viegli izmantojamā un efektīvā veidā bez maksas ir tiesības iebilst pret šādu apstrādi , pārzinim būtu nepārprotami šāda iespēja jāpiedāvā datu subjektam saprotamā veidā un formā, skaidrā un vienkāršā valodā un nošķirta no pārējās informācijas . [Gr. 32]

(58) Neskarot datu apstrādes likumību, katrai fiziskai personai vajadzētu būt tiesībām nebūt pakļautai pasākumam iebilst pret profilēšanu. Profilēšana , kas pamatojas uz profilēšanu ar automatizētas apstrādes līdzekļiem. Tomēr šādus pasākumus noved pie pasākumiem, kuri rada juridiskas sekas attiecībā uz datu subjektu vai līdzīgi ievērojami ietekmē attiecīgā datu subjekta intereses, tiesības vai brīvības, būtu jāatļauj vienīgi tad , ja tas tieši paredzēts likumā, veikts līguma noslēgšanas vai izpildes gaitā vai ja datu subjekts ir devis savu piekrišanu. Jebkurā gadījumā uz šādu apstrādi jāattiecina atbilstoši aizsardzības pasākumi, ietverot datu subjekta īpašu informēšanu un tiesības panākt saņemt cilvēka iejaukšanos veiktu novērtējumu , un šāda pasākuma neattiecināšanu uz bērnu. Šādiem pasākumiem nevajadzētu novest pie personu diskriminācijas rases vai etniskās piederības, politisko uzskatu, reliģiskās piederības vai ticības, dalības arodbiedrībā, dzimumorientācijas vai dzimumidentitātes dēļ. [Gr. 33]

(58a) Profilēšana, kas pamatojas vienīgi uz pseidonīmdatu apstrādi, būtu jāuzskata par tādu, kas nebūtiski ietekmē datu subjekta intereses, tiesības vai brīvības. Ja profilēšana, gan tā, kas ietver viena avota pseidonīmdatus, gan tā, kas ietver dažādu avotu pseidonīmdatu kopumu, ļauj pārzinim pseidonīmdatus saistīt ar konkrētu datu subjektu, apstrādātie dati vairs nebūtu jāuzskata par pseidonīmdatiem. [Gr. 34]

(59) Savienības vai dalībvalstu tiesībās var paredzēt ierobežojumus atsevišķiem principiem un tiesībām uz informāciju, piekļuvi, labošanu un dzēšanu vai tiesībām uz datu pārnešanu piekļuvi datiem un to iegūšanu, tiesībām iebilst, kā arī pasākumiem, kas pamatojas tiesībām uz profilēšanu, un tiesībām kā arī uz personas datu aizsardzības pārkāpumu paziņošanu datu subjektam un dažiem citiem ar to saistītiem pārziņa pienākumiem tādā apmērā, cik tas demokrātiskā sabiedrībā ir nepieciešami un samērīgi, lai garantētu sabiedrības drošību, ietverot cilvēka dzīvības aizsardzību, jo īpaši reaģējot uz dabas vai cilvēka izraisītu katastrofu, noziedzīgu nodarījumu un regulēto reglamentēto profesiju ētikas kodeksu pārkāpumu novēršanu, izmeklēšanu un saukšanu pie atbildības par tiem, un citas specifiskas un skaidri noteiktas Savienības vai dalībvalsts intereses, jo īpaši svarīgas Savienības vai dalībvalsts ekonomikas vai finanšu intereses, vai datu subjekta interešu un citu personu tiesību un brīvību aizsardzību. Šiem ierobežojumiem būtu jābūt vajadzētu būt saskaņā ar Eiropas Savienības Pamattiesību hartas un Eiropas Cilvēktiesību un pamatbrīvību aizsardzības konvencijas noteikumiem. [Gr. 35]

(60) Būtu jāparedz vispusīga pārziņa atbildība par personas datu apstrādi, ko veic pārzinis vai pārziņa vārdā , jo īpaši attiecībā uz dokumentāciju, datu drošību, ietekmes novērtējumiem, datu aizsardzības inspektoru un datu aizsardzības iestāžu pārraudzību . Jo īpaši pārzinim būtu jāuzliek pienākums nodrošināt jānodrošina un jāspēj uzskatāmi parādīt, ka katra apstrādes darbība notiek saskaņā ar šo regulu. Tas būtu jāpārbauda neatkarīgam iekšējam vai ārējam revidentam. [Gr. 36]

(61) Datu subjektu tiesību un brīvību aizsardzība attiecībā uz personas datu apstrādi prasa atbilstošus tehniskus un organizatoriskus pasākumus gan apstrādes sistēmas izveides laikā, gan pašas apstrādes laikā, lai nodrošinātu, ka tiek ievērotas šīs regulas prasības. Lai nodrošinātu un uzskatāmi parādītu, ka šī regula ir ievērota, pārzinim būtu jāpieņem iekšējas vadlīnijas un jāīsteno atbilstoši pasākumi, kas jo īpaši atbilst integrētas datu aizsardzības un datu aizsardzības pēc noklusējuma principiem. Integrētas datu aizsardzības princips paredz, lai datu aizsardzība tiktu ietverta visā tehnoloģijas pastāvēšanas ciklā, sākot no agrīnā izstrādes posma un ietverot tās izvietošanu, izmantošanu un atbrīvošanos no tās cikla beigās. Tam būtu arī jāparedz atbildība par produktiem un pakalpojumiem, ko izmanto pārzinis vai apstrādātājs. Datu aizsardzības pēc noklusējuma princips paredz, ka pakalpojumiem un produktiem ir jābūt privātuma iestatījumiem, kam pēc noklusējuma būtu jāatbilst datu aizsardzības vispārējiem principiem, piemēram, datu minimizēšanai un ierobežojumiem saistībā ar nolūku. [Gr. 37]

(62) Datu subjekta tiesību un brīvību aizsardzība un pārziņa un apstrādātāja pienākumi un atbildība, arī saistībā ar uzraudzības iestāžu uzraudzību un īstenotajiem pasākumiem, prasa skaidri sadalīt pienākumus saskaņā ar šo regulu, tostarp arī tajos gadījumos, kad pārzinis apstrādes nolūkus, nosacījumus un līdzekļus nosaka kopā ar citiem pārziņiem vai gadījumos, kad apstrādes darbības tiek veiktas pārziņa vārdā. Kopīgo pārziņu vienošanās dokumentā būtu jāatspoguļo kopīgo pārziņu faktiskie pienākumi un attiecības. Personas datu apstrādē, kas notiek saskaņā ar šo regulu, būtu jāiekļauj atļauja pārzinim nodot datus kopīgajam pārzinim vai apstrādātājam, lai viņa vārdā apstrādātu datus. [Gr. 38]

(63) Ja pārzinis, kas neatrodas neveic uzņēmējdarbību Savienībā, apstrādā Savienībā dzīvojošu datu subjektu personas datus un šīs apstrādes darbības ir saistītas ar preču vai pakalpojumu piedāvāšanu šiem datu subjektiem vai ar viņu uzvedības novērošanu Savienībā , pārzinim būtu jānorīko pārstāvis, izņemot, ja pārzinis atrodas uzņēmējdarbību veic trešā valstī, kas nodrošina pietiekamu aizsardzības līmeni, vai ja apstrāde attiecas uz mazāk nekā 5 000 datu subjektu personas datiem jebkurā secīgā 12 mēnešu periodā un neattiecas uz īpašu kategoriju personas datiem, vai pārzinis ir mazs vai vidējs uzņēmums vai publiska valsts iestāde, vai struktūra, vai ja arī pārzinis preces un pakalpojumus šādiem datu subjektiem piedāvā tikai palaikam. Pārstāvim būtu jārīkojas pārziņa vārdā un pie tā var vērsties jebkura uzraudzības iestāde. [Gr. 39]

(64) Lai noteiktu, vai pārzinis tikai palaikam piedāvā preces un pakalpojumus datu subjektiem, kuru dzīvesvieta ir Savienībā, būtu jāpārliecinās, vai no pārziņa vispārīgās darbības acīmredzami izriet, ka preču un pakalpojumu piedāvāšana šādiem datu subjektiem ir tikai palīgdarbība salīdzinājumā ar galveno darbību pamatdarbību . [Gr. 40]

(65) Lai pārzinis vai apstrādātājs spētu uzskatāmi parādītu parādīt , ka ir ievēroti šīs regulas noteikumi, pārzinim vai apstrādātājam tam būtu jādokumentē katra apstrādes darbība jāsaglabā nepieciešamā dokumentācija, lai izpildītu šīs regulas prasības . Katram pārzinim un apstrādātājam vajadzētu būt pienākumam sadarboties ar uzraudzības iestādi un pēc pieprasījuma darīt šo dokumentāciju pieejamu, lai tā varētu kalpot apstrādes darbību uzraudzības vajadzībām palīdzēt novērtēt atbilstību šai regulai . Tomēr tikpat liels uzsvars būtu jāliek uz labu praksi un atbilstību un tam jāpiešķir tikpat liela nozīme, nevis tikai jāpievēršas dokumentācijas pilnīgumam. [Gr. 41]

(66) Lai garantētu drošību un novērstu apstrādi, kas ir pretrunā ar šo regulu, pārzinim vai apstrādātājam būtu jānovērtē apstrādei raksturīgie riski un jāīsteno pasākumi šo risku mazināšanai. Šiem pasākumiem, ņemot vērā jaunākās tehniskās iespējas un to ieviešanas izmaksas, būtu jānodrošina attiecīga drošības pakāpe attiecībā uz apstrādei raksturīgajiem riskiem un aizsargājamo personas datu īpatnībām. Nosakot tehniskos standartus un organizatoriskos pasākumus, kas nodrošina apstrādes drošību, Komisijai būtu jāveicina tehnoloģiskā neitralitāte, savietojamība un inovācija un attiecīgos gadījumos jāsadarbojas jārosina sadarbība ar trešām valstīm. [Gr. 42]

(67) Ja uz personas datu aizsardzības pārkāpumiem nereaģē pienācīgi un savlaicīgi, tie var attiecīgajai personai radīt būtiskus ekonomiskos zaudējumus un sociālo kaitējumu, tostarp identitātes viltojumu. Tāpēc tiklīdz pārzinim ir kļuvis zināms, ka ir noticis šāds personas datu aizsardzības pārkāpums, pārzinim nekavējoties būtu jāpaziņo par pārkāpumu uzraudzības iestādei, ja iespējams, 24 stundu laikā. Ja to nevar paveikt 24 stundu laikā, domājams, ne vēlāk kā pēc 72 stundām. Attiecīgā gadījumā paziņojumam būtu jāpievieno paskaidrojums par kavēšanās iemesliem. Personas, kuru datus var negatīvi ietekmēt šis pārkāpums, būtu bez kavēšanās jāinformē, lai tie tās varētu veikt nepieciešamos piesardzības pasākumus. Pārkāpumu Pārkāpums būtu jāuzskata par tādu, kas var negatīvi ietekmēt datu subjekta personas datus vai privāto dzīvi, ja tā rezultātā iespējama, piemēram, identitātes zādzība vai viltošana, fizisks kaitējums, nopietns pazemojums vai reputācijas aizskārums. Paziņojumā būtu jāapraksta personas datu aizsardzības pārkāpuma būtīb un jāformulē ieteikumi, kā attiecīga attiecīgā persona varētu mīkstināt iespējamās negatīvās sekas. Paziņošana datu subjektam būtu jāveic cik vien iespējams ātri un ciešā sadarbībā ar uzraudzības iestādi, ievērojot tās vai citas attiecīgas iestādes (piemēram, tiesībaizsardzības iestādes) sniegtos norādījumus. Piemēram, lai datu subjektam dotu iespēju mīkstināt mazināt tūlītēju kaitējuma risku, būtu nepieciešams ātri sniegt attiecīgu paziņojumu datu subjektam, taču nepieciešamība īstenot piemērotus pasākumus, lai novērstu datu aizsardzības pārkāpuma turpināšanos vai līdzīgus pārkāpumus, var attaisnot kavēšanos. [Gr. 43]

(68) Lai noteiktu, vai personas datu aizsardzības pārkāpums ir paziņots uzraudzības iestādei un datu subjektam bez nepamatotas kavēšanās, būtu jāpārliecinās, vai pārzinis ir īstenojis un piemērojis attiecīgus tehniskos un organizatoriskos aizsardzības pasākumus, lai nekavējoties noteiktu, vai ir noticis personas datu aizsardzības pārkāpums, un atbilstoši informētu uzraudzības iestādi un datu subjektu pirms ir radies kaitējums personiskajām un ekonomiskajām interesēm, jo īpaši ņemot vērā personas datu aizsardzības pārkāpuma būtību un smagumu, kā arī sekas un nelabvēlīgo ietekmi uz datu subjektu.

(69) Nosakot sīki izstrādātus noteikumus par formātu un kārtību, kādā jāpaziņo par personas datu aizsardzības pārkāpumiem, būtu pienācīgi jāņem vērā apstākļi, kādos noticis pārkāpums, tostarp tas, vai personas dati ir bijuši aizsargāti ar piemērotiem tehniskiem aizsarglīdzekļiem, ar kuru palīdzību var efektīvi ierobežot identitātes viltošanas vai cita veida ļaunprātīgas izmantošanas iespējamību. Turklāt, izstrādājot šādus noteikumus un kārtību, būtu jāņem vērā tiesībaizsardzības iestāžu likumīgās intereses gadījumos, kad priekšlaicīga informācijas atklāšana varētu nevajadzīgi kavēt pārkāpuma apstākļu izmeklēšanu.

(70) Direktīvā 95/46/EK bija noteikts vispārīgs pienākums paziņot par personas datu apstrādi uzraudzības iestādei. Šis pienākums radīja administratīvu un finanšu slogu un ne vienmēr palīdzēja uzlabot personas datu aizsardzību. Tāpēc šāds nekritisks vispārīgs paziņošanas pienākums būtu jāatceļ un jāaizstāj ar efektīvām procedūrām un mehānismiem, kas pievēršas tām apstrādes darbībām, kas visdrīzāk īpaši apdraud datu subjekta tiesības un brīvības savas būtības, apmēra vai nolūku dēļ. Šādos gadījumos pārzinim vai apstrādātājam pirms apstrādes būtu jāveic datu aizsardzības ietekmes novērtējums, kurā jo īpaši būtu jāietver paredzētie pasākumi, aizsardzības līdzekļi un mehānismi, kas nodrošina personas datu aizsardzību un kas uzskatāmi parāda, ka ir ievēroti šīs regulas noteikumi.

(71) Tam jo īpaši būtu jāattiecas uz jaunizveidotām plaša mēroga kartotēkām, kuru mērķis ir ievērojama personas datu apjoma apstrāde reģionālā, valsts vai starpvalstu līmenī un kas var ietekmēt lielu datu subjektu skaitu.

(71a) Ietekmes novērtējumi ir katras ilgtspējīgas datu aizsardzības sistēmas būtisks elements, kas nodrošina, ka uzņēmumi jau no paša sākuma apzinās to veikto datu apstrādes darbību visas iespējamās sekas. Ja ietekmes novērtējumi ir pilnīgi, var būtiski ierobežot jebkura datu aizsardzības pārkāpuma vai privātumu aizskarošas darbības iespējamību. Tādēļ datu aizsardzības ietekmes novērtējumos būtu jāņem vērā personas datu pārvaldība visā datu aprites ciklā no to savākšanas un apstrādes līdz dzēšanai, plaši aprakstot paredzētās apstrādes darbības, apdraudējumus datu subjektu tiesībām un brīvībām, paredzētos apdraudējumu novēršanas pasākumus, aizsardzības pasākumus, drošības pasākumus un mehānismus, lai nodrošinātu atbilstību šai regulai. [Gr. 44]

(71b) Pārziņiem būtu jāliek uzsvars uz personas datu aizsardzību visā datu aprites ciklā no to savākšanas un apstrādes līdz dzēšanai, jau no sākuma veicot ieguldījumus ilgtspējīgā datu pārvaldības sistēmā un uzraugot to ar visaptveroša atbilstības nodrošināšanas mehānisma palīdzību. [Gr. 45]

(72) Noteiktos apstākļos var būt saprātīgi un lietderīgi veikt plašāku datu aizsardzības ietekmes novērtējumu, kura priekšmets nav tikai viens projekts, piemēram, ja valsts iestādes vai struktūras vēlas izveidot vienotu lietotņu vai apstrādes platformu vai ja vairāki pārziņi plāno ieviest vienotu lietotņu vai apstrādes vidi kādā rūpniecības nozarē vai segmentā, vai kādai plaši lietotai horizontālai darbībai.

(73) Datu aizsardzības ietekmes novērtējumus būtu jāveic valsts iestādei vai valsts struktūrai, ja šāds novērtējums jau nav veikts, pieņemot likumu, uz kuru pamatojas valsts iestādes vai struktūras darbs un kas regulē attiecīgo konkrēto apstrādes darbību vai apstrādes darbību kopumu. [Gr. 46]

(74) Ja datu aizsardzības ietekmes novērtējums norāda, ka apstrādes darbības ir saistītas ar augstu īpaša apdraudējuma pakāpi datu subjekta tiesībām un brīvībām, kā piemēram, tiesību izmantošanas liegšana, vai saistībā ar īpašu, jaunu tehnoloģiju izmantošanu, pirms darbību uzsākšanas par riskanto apstrādi, kas varētu pārkāpt šīs regulas noteikumus, būtu jākonsultējas jāapspriežas ar datu aizsardzības inspektoru vai uzraudzības iestādi un jāiesniedz priekšlikumi, kā šo situāciju uzlabot. Šādām konsultācijām būtu vienlīdz jānotiek Būtu arī jāapspriežas ar uzraudzības iestādi vai nu valsts parlamenta akta sagatavošanas gaitā, vai tāda pasākuma sagatavošanas gaitā, kas pamatojas uz likumdevēja aktu, kurā noteikts apstrādes raksturs un paredzēti atbilstoši aizsardzības līdzekļi. [Gr. 47]

(74a) Ietekmes novērtējumi var būt noderīgi tikai tādā gadījumā, ja pārziņi nodrošina, ka tiek izpildīti ietekmes novērtējumos sākotnēji dotie solījumi. Tādēļ datu pārziņiem periodiski būtu jāveic datu aizsardzības atbilstības pārskatīšana, uzskatāmi parādot, ka izmantotie datu apstrādes mehānismi atbilst datu apstrādes ietekmes novērtējumos izteiktajiem apgalvojumiem. Turklāt būtu uzskatāmi jāparāda arī, ka datu pārzinis var nodrošināt iespēju datu subjektiem pastāvīgi izdarīt izvēli. Turklāt, ja pārskatīšanas laikā konstatē neatbilstību, tā būtu jāuzsver un jāsniedz ieteikumi, kā panākt pilnīgu atbilstību. [Gr. 48]

(75) Ja apstrādi veic publiskajā sektorā vai ja to privātajā sektorā veic liels uzņēmums apstrāde attiecas uz vairāk nekā 5 000 datu subjektiem 12 mēnešos , vai ja uzņēmuma galvenā darbība pamatdarbība neatkarīgi no tā izmēra lieluma ir sensitīvu datu apstrādes darbības vai apstrādes darbības , kurām nepieciešama regulāra un sistemātiska uzraudzība, kādai personai būtu jāpalīdz pārzinim vai apstrādātājam iekšēji uzraudzīt šīs regulas ievērošanu. Nosakot, vai tiek apstrādāti dati par lielu skaitu datu subjektu, nevajadzētu ņemt vērā arhivētus datus, kam ir ierobežota piekļuve, kuras dēļ uz tiem neattiecas parastā piekļuve datiem un pārziņa apstrādes darbības, un ko vairs nav iespējams mainīt. Šādiem datu aizsardzības inspektoriem neatkarīgi no tā, vai viņus nodarbina pārzinis, un no tā, vai viņi šo uzdevumu veic kā pilnas slodzes darbinieki, būtu jāspēj neatkarīgi veikt savus uzdevumus un pienākumus un jābūt īpaši aizsargātiem pret atcelšanu no amata . Galīgā atbildība būtu jāuzņemas organizācijas vadībai. Jo īpaši ar datu aizsardzības inspektoru būtu jāapspriežas pirms personas datu automatizētas apstrādes sistēmu izstrādes, iepirkuma, pilnveidošanas un ieviešanas, lai nodrošinātu integrētus privātuma principus un privātumu pēc noklusējuma. [Gr. 49]

(75a) Datu aizsardzības inspektoram vajadzētu būt vismaz šādai kvalifikācijai: plašām zināšanām par datu aizsardzības tiesību aktu būtību un piemērošanu, tostarp par tehniskajiem un organizatoriskajiem pasākumiem un procedūrām; labām zināšanām par tehniskajām prasībām attiecībā uz integrētu privātumu, privātumu pēc noklusējuma un datu drošību; zināšanām par konkrēto nozari atbilstīgi pārziņa vai apstrādātāja lielumam un apstrādājamo datu sensitivitātei; spējai veikt pārbaudes, sniegt konsultācijas, sagatavot dokumentus un veikt reģistra datņu analīzi, kā arī spējai sadarboties ar darbinieku pārstāvjiem. Pārzinim būtu jānodrošina, ka datu aizsardzības inspektors var piedalīties progresīvos mācību pasākumos, lai uzturētu specifiskās zināšanas, kas nepieciešamas pienākumu veikšanai. Iecelšana par datu aizsardzības inspektoru nenozīmē, ka šim darbiniekam obligāti jābūt nodarbinātam uz pilnu slodzi. [Gr. 50]

(76) Lai atvieglotu šīs regulas efektīvu piemērošanu, pārziņu asociācijas vai citas tos pārstāvošas apvienības pēc apspriešanās ar darbinieku pārstāvjiem būtu jāmudina izstrādāt profesionālās ētikas rīcības kodeksus, ievērojot šajā regulā paredzētos ierobežojumus un ņemot vērā apstrādes īpatnības konkrētās nozarēs. Šādiem kodeksiem būtu jāpalīdz nozarei nodrošināt atbilstību šai regulai. [Gr. 51]

(77) Lai uzlabotu caurskatāmību pārredzamību un šīs regulas ievērošanu, būtu jāiedrošina izstrādāt sertifikācijas mehānismus un datu aizsardzības zīmogus un standartizētus marķējumus, kas ļautu datu subjektam ātri , uzticami un pārbaudāmi novērtēt datu aizsardzības līmeni saistībā ar konkrētiem produktiem un pakalpojumiem. Eiropas datu aizsardzības zīmogs būtu jāizveido Eiropas līmenī, lai radītu uzticību starp datu subjektiem, tiesisko noteiktību pārziņiem un vienlaikus eksportētu Eiropas datu aizsardzības standartus, jo, izmantojot sertifikāciju, tiktu atvieglota trešo valstu uzņēmumu iekļūšana Eiropas tirgos. [Gr. 52]

(78) Personas datu pārrobežu aprite ir vajadzīga starptautiskās tirdzniecības un sadarbības paplašināšanai. Šīs aprites palielināšanās ir radījusi jaunas problēmas un bažas par personas datu aizsardzību. Taču personām garantētajam aizsardzības līmenim nebūtu jāsamazinās tikai tāpēc, ka personas dati tiek nosūtīti no Savienības uz citām trešām valstīm vai starptautiskām organizācijām. Jebkurā gadījumā nosūtīt datus uz trešām valstīm var tikai pilnībā ievērojot šīs regulas noteikumus.

(79) Šī regula neskar starptautiskos nolīgumus, kas noslēgti starp Savienību un trešām valstīm par personas datu nosūtīšanu un atbilstošiem aizsardzības pasākumiem datu subjektiem , nodrošinot iedzīvotāju pamattiesību pienācīgu aizsardzības līmeni . [Gr. 53]

(80) Komisija var nolemt attiecībā uz visu Savienību, ka konkrēta trešā valsts, trešās valsts teritorija vai apstrādes nozare vai starptautiska organizācija piedāvā pietiekamu datu aizsardzības līmeni, tādējādi nodrošinot tiesisko noteiktību un vienotību visā Savienībā attieksmē pret trešām valstīm vai starptautiskām organizācijām, par kurām uzskata, ka tās nodrošina šādu aizsardzības līmeni. Šādos gadījumos personas datus uz šīm valstīm var nosūtīt un nav jāsaņem nekāda cita atļauja. Komisija pēc paziņojuma sniegšanas un pilnvērtīga pamatojuma nosūtīšanas trešai valstij var arī nolemt atsaukt šādu lēmumu. [Gr. 54]

(81) Saskaņā ar pamatvērtībām, uz kurām balstās Savienība, un jo īpaši cilvēktiesību aizsardzību, Komisijai, novērtējot trešo valsti, būtu jāņem vērā, kā trešā valstī ir ievērots tiesiskums, tiesu pieejamība, kā arī starptautiskās cilvēktiesību normas un standarti.

(82) Komisija tāpat var atzīt, ka trešā valsts, trešās valsts teritorija vai apstrādes nozare vai starptautiska organizācija nepiedāvā pietiekamu aizsardzības līmeni. Tiesību akti, kas paredz ekstrateritoriālu piekļuvi personas datiem, kuri apstrādāti Savienībā bez atļaujas saņemšanas saskaņā ar Savienības vai dalībvalsts tiesību aktiem, būtu jāuzskata par norādi uz nepietiekamu atbilstību. Attiecīgi personas datu nosūtīšana uz šo trešo valsti būtu jāaizliedz. Šādā gadījumā būtu jāparedz noteikumi par apspriešanās procesu starp Komisiju un šādu trešo valsti vai starptautisku organizāciju. [Gr. 55]

(83) Kamēr lēmums par aizsardzības līmeņa pietiekamību nav pieņemts, pārzinim vai apstrādātājam būtu jāveic pasākumi, kas kompensētu datu aizsardzības trūkumus trešā valstī, veicot atbilstošus datu subjekta aizsardzības pasākumus. Šādi atbilstoši aizsardzības pasākumi varētu nozīmēt, ka tiek izmantoti saistošie uzņēmuma noteikumi, Komisijas pieņemtie tipveida datu aizsardzības noteikumi, uzraudzības iestādes pieņemtie tipveida datu aizsardzības noteikumi vai uzraudzības iestādes apstiprināti līguma noteikumi. vai citi piemēroti un samērīgi pasākumi, kuru izmantošanu attaisno Šādiem atbilstošiem aizsardzības pasākumiem būtu jāveicina datu subjektu tiesību ievērošana , kas līdzvērtīga aizsardzībai, ko piemēro Savienībā veiktai apstrādei, jo īpaši attiecībā uz nolūka ierobežošanu, piekļuves tiesībām, labošanu, dzēšanu un kompensācijas pieprasīšanu. Aizsardzības pasākumiem būtu īpaši jānodrošina personas datu nosūtīšanas darbības apstākļi vai apstrādes principu ievērošana, jāaizsargā datu nosūtīšanas darbību kopuma apstākļi un ja to ir atļāvusi uzraudzības iestāde subjekta tiesības un jānodrošina efektīvi tiesiskās aizsardzības mehānismi, integrēta un pēc noklusējuma datu aizsardzības principu ievērošana un jāgarantē datu aizsardzības inspektora pieejamība . [Gr. 56]

(84) Iespējai, ka pārzinis vai apstrādātājs var izmantot Komisijas vai uzraudzības iestādes pieņemtos tipveida datu aizsardzības noteikumus, nebūtu jāizslēdz, ka pārzinis vai apstrādātājs var iekļaut tipveida datu aizsardzības noteikumus plašākā līgumā vai pievienot citus noteikumus vai papildu aizsardzības pasākumus , ja vien tie tieši vai netieši nav pretrunā ar Komisijas vai uzraudzības iestādes pieņemtajiem tipveida datu aizsardzības noteikumiem vai neierobežo datu subjekta pamattiesības un brīvības. Komisijas pieņemtie tipveida datu aizsardzības noteikumi varētu attiekties uz dažādām situācijām, proti, uz nosūtīšanu no pārziņiem Savienībā pārziņiem ārpus Savienības un no pārziņiem Savienībā datu apstrādātājiem, tostarp apakšapstrādātājiem, ārpus Savienības. Pārziņi un apstrādātāji būtu jāmudina ieviest arvien stingrākus aizsardzības pasākumus, izmantojot līgumsaistības, kas papildina tipveida aizsardzības noteikumus. [Gr. 57]

(85) Uzņēmumu grupai būtu jābūt vajadzētu būt iespējai izmantot apstiprinātus saistošos uzņēmuma noteikumus datu starptautiskai nosūtīšanai ārpus Savienības uz organizācijām, kas pieder pie tās pašas uzņēmumu grupas, ja vien šādi saistošie uzņēmuma noteikumi ietver visus galvenos principus un īstenojamas tiesības, kas nodrošina atbilstošus aizsardzības pasākumus personas datu nosūtīšanai vai nosūtīšanas kategorijām. [Gr. 58]

(86) Būtu jāparedz noteikumi, kas ļauj nosūtīt datus atsevišķos apstākļos, ja datu subjekts ir devis piekrišanu, ja nosūtīšana ir nepieciešama saistībā ar līgumu vai tiesisku prasījumu, ja tas nepieciešams, pamatojoties uz Savienības vai dalībvalsts tiesībās noteiktām svarīgām sabiedrības interesēm, vai ja datus nosūta no reģistra, kas izveidots ar likumu un kas paredzēts, lai likumīgi ieinteresētas personas vai sabiedrība, varētu tajā ieskatīties. Pēdējā gadījumā nebūtu jānosūta pilnīgi visi reģistrā ietvertie dati vai veselas datu kategorijas, un ja reģistrs ir paredzēts, lai tajā varētu ieskatīties likumīgi ieinteresētas personas, datus dati būtu jānosūta tikai pēc šo personu pieprasījuma vai, ja šīs personas ir datu saņēmējas , pilnībā ņemot vērā datu subjekta intereses un pamattiesības . [Gr. 59]

(87) Šīs atkāpes jo īpaši būtu jāattiecina uz datu nosūtīšanu, ko pieprasa un kas ir vajadzīga, lai aizsargātu svarīgas sabiedrības intereses, piemēram, kad starptautiska datu nosūtīšana notiek starp konkurences iestādēm, nodokļu vai muitas pārvaldēm, finanšu uzraudzības iestādēm, dienestiem, kuru kompetencē ir sociālā nodrošinājuma vai sabiedrības veselības jautājumi, vai ja datus nosūta publiskām iestādēm, kuru kompetencē ir noziedzīgu nodarījumu novēršana, izmeklēšana, atklāšana un saukšana pie atbildības par tiem , tostarp nelikumīgi iegūtu naudas līdzekļu legalizācijas novēršana un terorisma finansēšanas apkarošana . Personas datu nosūtīšana tāpat būtu uzskatāma par likumīgu, ja tā ir nepieciešama, lai aizsargātu kādas intereses, kas ir būtiski svarīgas datu subjekta vai citas personas dzīvībai, ja pats datu subjekts nav spējīgs dot piekrišanu. Šādu svarīgu sabiedrības interešu dēļ personas dati būtu nosūtāmi tikai atsevišķos gadījumos. Ikvienā gadījumā būtu rūpīgi jāizvērtē visi nosūtīšanas apstākļi. [Gr. 60]

(88) Nosūtīšana, ko nevar kvalificēt kā biežu vai masveida, varētu būtu iespējama arī pamatojoties uz pārziņa vai apstrādātāja likumīgām interesēm, pēc tam, kad viņi ir novērtējuši visus ar datu nosūtīšanu saistītos apstākļus. Apstrādājot datus vēstures, statistikas un zinātniskās izpētes nolūkos, būtu jāņem vērā, ka sabiedrībai ir leģitīmas tiesības sagaidīt zināšanu pieaugumu. [Gr. 61]

(89) Jebkurā gadījumā, ja Komisija nav pieņēmusi lēmumu par datu aizsardzības līmeņa pietiekamību trešā valstī, pārzinim un apstrādātājam būtu jāizmanto risinājumi, kas juridiski saistošā veidā garantē datu subjektam, ka tie tas joprojām varēs baudīt izmantot savas pamattiesības un aizsardzības pasākumus attiecībā uz viņu viņa datu apstrādi Savienībā arī pēc tam, kad dati būs nosūtīti , ja apstrāde nav masveida, neatkārtojas un nav strukturāla . Šādai garantijai būtu jāietver finansiāla kompensācija zaudējumu vai datu neatļautas piekļuves vai apstrādes gadījumā, kā arī neatkarīgi no valsts tiesību aktiem tai būtu jāietver pienākums sniegt pilnīgu informāciju par visiem datu piekļuves gadījumiem, ko īstenojušas valsts sektora iestādes trešā valstī. [Gr. 62]

(90) Dažas trešās valstis ievieš likumus, noteikumus un citus tiesību aktus, kuru mērķis ir tieši regulēt datu apstrādes darbības, ko fiziskas un juridiskas personas veic dalībvalstu jurisdikcijā. Šādu likumu, noteikumu vai citu tiesību aktu ekstra teritoriāla ekstrateritoriāla piemērošana var būt pretrunā ar starptautiskām tiesībām un var kavēt šīs regulas garantētās aizsardzības nodrošināšanu fiziskām personām. Nosūtīšana būtu jāatļauj tikai tad, ja šīs regulas nosacījumi nosūtīšanai uz trešo valsti ir izpildīti. Tas cita starpā varētu būt gadījumos, ja izpaušana ir nepieciešama, pamatojoties uz svarīgām Savienības tiesībās vai dalībvalstu tiesībās, kuru subjekts ir pārzinis, atzītām sabiedrības interesēm. Nosacījumi, saskaņā ar kuriem konstatē, ka pastāv svarīgas sabiedrības intereses, būtu jāprecizē deleģētā Komisijas tiesību aktā. Ja pārziņi vai apstrādātāji saskaras ar pretrunīgām atbilstības prasībām, proti, Savienības jurisdikciju, no vienas puses, un trešās valsts jurisdikciju, no otras puses, Komisijai būtu jānodrošina, ka Savienības tiesību akti vienmēr prevalē. Komisijai būtu jāsniedz norādījumi un palīdzība pārzinim un apstrādātājam un jācenšas atrisināt jurisdikcijas konfliktu ar attiecīgo trešo valsti. [Gr. 63]

(91) Personas datu pārvietošanās pāri robežām var ievērojami ietekmēt personu spējas izmantot tiesības uz datu aizsardzību, jo īpaši, aizsargāt sevi pret nelikumīgu izmantošanu vai informācijas atklāšanu. Vienlaikus uzraudzības iestādes var saskarties ar situāciju, ka tās nevar reaģēt uz sūdzībām vai veikt izmeklēšanu saistībā ar darbībām, kas norisinās robežu otrā pusē. Viņu pūliņus kopīgi strādāt pārrobežu kontekstā var sarežģīt arī nepietiekamās pilnvaras prevencijas un tiesībaizsardzības jomā, tiesisko regulējumu atšķirības un tādi praktiskie šķēršļi kā, piemēram, ierobežoti līdzekļi. Tāpēc ir nepieciešams veicināt ciešāku datu aizsardzības uzraudzības iestāžu sadarbību, lai palīdzētu tām apmainīties ar informāciju un veikt izmeklēšanas kopā ar kolēģiem citās valstīs.

(92) Uzraudzības iestāžu, kuras pilda savas funkcijas pilnīgi neatkarīgi, izveide dalībvalstīs ir būtiska sastāvdaļa personu aizsardzībā attiecībā uz personas datu apstrādi. Dalībvalstis var izveidot vairāk nekā vienu uzraudzības iestādi atbilstoši valsts konstitucionālajai, organizatoriskajai vai administratīvajai uzbūvei. Iestādes rīcībā ir pietiekami finanšu resursi un cilvēkresursi, lai pilnībā īstenotu savu uzdevumu, ņemot vērā iedzīvotāju skaitu un personas datu apstrādes apjomu. [Gr. 64]

(93) Ja dalībvalsts izveido vairākas uzraudzības iestādes, tai būtu ar likumu jāizveido mehānisms, kas nodrošina efektīvu šo uzraudzības iestāžu dalību konsekvences mehānismā. Dalībvalstij būtu jo īpaši jānorīko tā uzraudzības iestāde, kas būs vienotais kontaktpunkts efektīvai šo iestāžu dalībai mehānismā, lai nodrošinātu ātru un raitu sadarbību ar citām uzraudzības iestādēm, Eiropas Datu aizsardzības kolēģiju un Komisiju.

(94) Katrai uzraudzības iestādei būtu jāpiešķir atbilstoši finanšu un cilvēkresursi, īpašu uzmanību pievēršot darbinieku pietiekamu tehnisko un juridisko zināšanu nodrošināšanai, kā arī būtu jāpiešķir telpas un infrastruktūra, kas nepieciešama efektīvai uzdevumu izpildei, tostarp arī to uzdevumu izpildei, kas saistīti ar savstarpējo palīdzību un sadarbību ar citām uzraudzības iestādēm visā Savienībā. [Gr. 65]

(95) Nosacījumi, lai kļūtu par uzraudzības iestādes locekli, katrā dalībvalstī būtu jānosaka ar likumu un jo īpaši būtu jānodrošina, ka šos locekļus amatā ieceļ vai nu dalībvalsts parlaments vai valdība, pienācīgi cenšoties pēc iespējas mazināt politiskās ietekmes iespējamību, turklāt būtu jāiekļauj noteikumi par locekļu kvalifikāciju , izvairīšanos no interešu konflikta un statusu. [Gr. 66]

(96) Uzraudzības iestādēm būtu jāuzrauga šīs regulas noteikumu īstenošanu un jāveicina tās saskanīga piemērošana visā Savienībā, lai aizsargātu fiziskas personas attiecībā uz viņu personas datu apstrādi un atvieglotu personas datu brīvu apriti iekšējā tirgū. Šajā nolūkā uzraudzības iestādēm būtu jāsadarbojas vienai ar otru un ar Komisiju.

(97) Ja personas datu apstrāde saistībā ar darbībām, ko veic pārziņa vai apstrādātāja institūcija Savienībā, notiek vairāk nekā vienā dalībvalstī, vienai uzraudzības iestādei būtu jādarbojas kā vienotam kontaktpunktam un vadošajai iestādei, kas atbild par šā pārziņa vai apstrādātāja darbību uzraudzību un attiecīgu lēmumu pieņemšanu visā Savienībā , un būtu jāatbild tikai vienai uzraudzības iestādei jāpieņem attiecīgi lēmumi , lai nodrošinātu konsekventu piemērošanu, tiesisko noteiktību un samazinātu administratīvo slogu šādiem pārziņiem un apstrādātājiem. [Gr. 67]

(98) Kompetentajai Vadošajai iestādei, kas pilda šādas vienas pieturas aģentūras pienākumus, būtu jābūt vajadzētu būt tās dalībvalsts uzraudzības iestādei, kurā atrodas pārziņa vai apstrādātāja galvenā institūcija uzņēmējdarbības vieta vai tās pārstāvis . Eiropas Datu aizsardzības kolēģija konkrētos gadījumos pēc kompetentās iestādes pieprasījuma, izmantojot konsekvences mehānismu, var izraudzīties vadošo iestādi. [Gr. 68]

(98a) Datu subjektiem, kuru personas datus apstrādā pārzinis vai apstrādātājs citā dalībvalstī, vajadzētu būt tiesīgiem iesniegt sūdzību brīvi izvēlētā uzraudzības iestādē. Vadošajai datu aizsardzības iestādei būtu jāsaskaņo darbs ar citām iesaistītajām iestādēm. [Gr. 69]

(99) Kaut arī šī regula ir piemērojama arī valsts tiesu darbībai, ja tiesa personas datus apstrādā veicot tiesas spriešanas funkciju, šāda apstrāde nebūtu jāiekļauj uzraudzības iestādes kompetencē, lai saglabātu tiesnešu neatkarību, pildot savus tiesneša uzdevumus. Tomēr šo izņēmumu būtu jāpiemēro ierobežoti un jāattiecina tikai uz tiesas spriešanas darbībām tiesas lietā, tas nebūtu jāattiecina uz citām tiesnešu aktivitātēm, kurās tie varētu būt iesaistīti saskaņā ar valsts tiesībām.

(100) Lai nodrošinātu konsekventu šīs regulas piemērošanas uzraudzību un izpildi visā Savienībā, uzraudzības iestādēm katrā dalībvalstī būtu jābūt vieniem un tiem pašiem uzdevumiem un efektīvām pilnvarām, ietverot pilnvaras izmeklēt, juridiski saistošas pilnvaras iejaukties, tiesības pieņemt lēmumus un lemt par sankcijām, jo īpaši personu sūdzību gadījumos, un tiesības iesaistīties procesuālās darbībās. Uzraudzības iestādes pilnvaras veikt izmeklēšanu attiecībā uz piekļuvi telpām būtu jāīsteno saskaņā ar Savienības un valsts tiesībām. Tas jo īpaši attiecas uz prasību saņemt iepriekšēju tiesas atļauju.

(101) Katrai uzraudzības iestādei būtu jābūt vajadzētu būt tiesīgai uzklausīt jebkura datu subjekta vai asociācijas, kas rīkojas sabiedrības interesēs, sūdzību un izmeklēt to. Uz sūdzības pamata sākta izmeklēšana būtu jāveic tādā apjomā, kāds ir nepieciešams konkrētajā lietā, pakļaujot to tiesas kontrolei. Uzraudzības iestādei saprātīgā termiņā būtu jāinformē datu subjekts vai asociācija par sūdzības virzību un iznākumu. Ja lietā ir nepieciešama papildus papildu izmeklēšana vai koordinācija ar citu uzraudzības iestādi, datu subjektam būtu jāsniedz starpposma informācija. [Gr. 70]

(102) Uzraudzības iestāžu rīkotie izpratnes paaugstināšanas pasākumi, kuru mērķauditorija ir sabiedrība, ietver arī īpašus pasākumus, kas adresēti pārziņiem un apstrādātājiem, tostarp mikrouzņēmumiem, maziem un vidējiem uzņēmumiem, kā arī datu subjektiem.

(103) Uzraudzības iestādēm būtu vienai otra jāatbalsta viņu pienākumu veikšanā un jāsniedz savstarpēja palīdzība, lai nodrošinātu šīs regulas konsekventu piemērošanu un izpildi iekšējā tirgū.

(104) Katrai uzraudzības iestādei būtu jābūt tiesībām piedalīties kopīgās uzraudzības iestāžu operācijās. Uzraudzības iestādei, kurai izteikts pieprasījums, būtu pienākums atbildēt uz pieprasījumu konkrētā termiņā.

(105) Lai nodrošinātu šīs regulas konsekventu piemērošanu visā Savienībā, būtu jāizveido konsekvences mehānisms sadarbībai starp pašām uzraudzības iestādēm un ar Komisiju. Šo mehānismu Šis mehānisms jo īpaši būtu jāpiemēro, ja uzraudzības iestāde gatavojas īstenot pasākumu attiecībā uz datu apstrādes darbībām, kas ir saistītas ar preču un pakalpojumu piedāvāšanu datu subjektiem vairākās dalībvalstīs, vai ar šādu datu subjektu novērošanu, vai ja tas varētu būtiski ietekmēt personas datu brīvu apriti. Tas būtu jāpiemēro arī gadījumos, kad uzraudzības iestāde vai Komisija pieprasa kāda jautājuma izskatīšanu konsekvences mehānisma ietvaros. Turklāt datu subjektiem vajadzētu būt tiesībām uz konsekvenci, ja viņi uzskata, ka kādas dalībvalsts datu aizsardzības iestādes pasākums neatbilst šim kritērijam. Šim mehānismam nebūtu jāskar pasākumus pasākumi , ko Komisija varētu rīkot veikt , īstenojot savas pilnvaras saskaņā ar Līgumiem. [Gr. 71]

(106) Piemērojot konsekvences mehānismu Eiropas Datu aizsardzības kolēģijai būtu noteiktā termiņā jāsniedz atzinums, ja tā nolemj kolēģijas locekļu vienkāršs vairākums vai ja to pieprasa uzraudzības iestāde vai Komisija.

(106a) Lai nodrošinātu šīs regulas konsekventu piemērošanu, Eiropas Datu aizsardzības kolēģija atsevišķos gadījumos var pieņemt lēmumu, kas ir saistošs kompetentajām uzraudzības iestādēm. [Gr. 72]

(107) Lai nodrošinātu šīs regulas ievērošanu, Komisija var pieņemt atzinumu par šo jautājumu vai lēmumu, kurā pieprasa uzraudzības iestādei apturēt tās pasākuma projektu. [Gr. 73]

(108) Ir iespējama situācija, kurā ir steidzami nepieciešams rīkoties, lai aizsargātu datu subjektu intereses, jo īpaši, ja pastāv draudi, ka var būt ievērojami traucēta datu subjekta tiesību izmantošana. Tāpēc uzraudzības iestādei būtu jābūt tiesībām, piemērojot konsekvences mehānismu, pieņemt pagaidu pasākumus ar ierobežotu termiņu.

(109) Šā mehānisma piemērošanai jābūt par priekšnosacījumu attiecīgā uzraudzības iestādes lēmuma juridiskajai spēkā esamībai un izpildei. Citās lietās, kas ir svarīgas pārrobežu kontekstā, uzraudzības iestāžu savstarpējo palīdzību un kopīgas izmeklēšanas varētu rīkot, pamatojoties uz to divpusējām vai daudzpusējām attiecībām, neiedarbinot konsekvences mehānismu.

(110) Savienības līmenī būtu jāizveido Eiropas Datu aizsardzības kolēģija. Ar to būtu jāaizstāj Darba grupa par personu aizsardzību attiecībā uz personas datu apstrādi, kas izveidota ar Direktīvu 95/46/EK. Tai būtu jāsastāv no katras dalībvalsts uzraudzības iestādes vadītāja un Eiropas Datu aizsardzības uzraudzītāja. Komisijai būtu jāpiedalās kolēģijas darbā. Eiropas Datu aizsardzības kolēģijai būtu jāpalīdz nodrošināt šīs regulas konsekventu piemērošanu visā Savienībā, tostarp jāsniedz padomi Komisijai Savienības iestādēm un jāveicina uzraudzības iestāžu sadarbība visā Savienībā , kā arī kopīgu darbību koordinācija . Eiropas Datu aizsardzības kolēģijai, pildot savus uzdevumus, būtu jārīkojas neatkarīgi. Eiropas Datu aizsardzības kolēģijai būtu jāstiprina dialogs ar tādām attiecīgām ieinteresētām personām kā datu subjektu asociācijas, patērētāju organizācijas, pārziņi un ar citām attiecīgām ieinteresētām personām un ekspertiem. [Gr. 74]

(111) Datu subjektiem vajadzētu būt tiesībām iesniegt sūdzību jebkuras dalībvalsts uzraudzības iestādē un uz tiesību efektīvu aizsardzību tiesā saskaņā ar Pamattiesību hartas 47. pantu , ja datu subjekts uzskata, ka viņa tiesības saskaņā ar šo regulu ir pārkāptas, vai ja uzraudzības iestāde nereaģē uz sūdzību vai nerīkojas, kad šāda rīcība ir nepieciešama, lai aizsargātu datu subjekta tiesības. [Gr. 75]

(112) Jebkurai vienībai, organizācijai vai asociācijai, kuras mērķis ir datu subjekta tiesību un interešu aizsardzība attiecībā uz viņu datu aizsardzību un kas kas rīkojas sabiedrības interesēs un ir izveidota saskaņā ar dalībvalsts tiesībām, būtu jābūt tiesībām vajadzētu būt tiesīgai iesniegt sūdzību uzraudzības iestādē datu subjektu vārdā un ar viņu piekrišanu vai tiesībām datu subjekta pilnvarotai iesniegt prasību tiesā datu subjekta vārdā vai iesniegt savu sūdzību neatkarīgi no datu subjekta sūdzības, ja tā uzskata, ka ir noticis personas datu aizsardzības šīs regulas pārkāpums. [Gr. 76]

(113) Katrai fiziskai vai juridiskai personai būtu jābūt tiesībām uz tiesas aizsardzību pret uzraudzības iestādes lēmumiem, kas to skar. Tiesvedībai pret uzraudzības iestādi būtu jānotiek tās dalībvalsts tiesā, kurā atrodas uzraudzības iestāde.

(114) Lai stiprinātu datu subjektu tiesību aizsardzību tiesā situācijās, kad kompetentā uzraudzības iestāde atrodas citā dalībvalstī, kas nav datu subjekta dzīvesvietas dalībvalsts, datu subjekts var lūgt jebkurai vienībai, organizācijai vai asociācijai, kuras mērķis ir datu subjektu tiesību un interešu aizsardzība saistībā ar viņu datu aizsardzību, pilnvarot jebkuru vienību , organizāciju vai asociāciju, kas rīkojas sabiedrības interesēs, iesniegt datu subjekta vārdā kompetentajā citas dalībvalsts tiesā prasību pret uzraudzības iestādi. [Gr. 77]

(115) Gadījumos, kad uzraudzības iestāde, kas atrodas citā dalībvalstī, nerīkojas vai ir īstenojusi nepietiekamus pasākumus saistībā ar sūdzību, datu subjekts var lūgt uzraudzības iestādi savas pastāvīgās dzīvesvietas dalībvalstī iesniegt kompetentajā citas dalībvalsts tiesā prasību pret attiecīgo uzraudzības iestādi. Tas neattiecas uz trešo valstu iedzīvotājiem. Uzraudzības iestāde, kurai izteikts šāds pieprasījums, var lemt, vai ir pamats izpildīt šādu pieprasījumu ar noteikumu, ka šo lēmumu var pārsūdzēt tiesā. [Gr. 78]

(116) Tiesvedībā pret pārzini vai apstrādātāju, prasītājam būtu jābūt vajadzētu būt izvēles tiesībām vērsties tās dalībvalsts tiesā, kurā atrodas pārziņa vai apstrādātāja institūcija vai kurā atrodas uzņēmējdarbības veikšanas dalībvalsts tiesā vai, ja dzīvesvieta ir ES, datu subjekta dzīvesvieta dzīvesvietā , izņemot, ja pārzinis ir Savienības vai dalībvalsts valsts sektora iestāde, kas rīkojas, pildot savas valsts sektora iestādes pilnvaras. [Gr. 79]

(117) Ja ir norādes, ka dažādu dalībvalstu tiesās norisinās paralēla tiesvedība, tiesām būtu jābūt pienākumam sazināties vienai ar otru. Tiesām būtu jābūt iespējai apturēt lietas izskatīšanu, ja citā dalībvalstī norisinās paralēla tiesvedība. Dalībvalstīm būtu jānodrošina, ka tiesa var efektīvi rīkoties un var ātri pieņemt pasākumus, kas izlīdzina vai novērš šīs regulas pārkāpumu.

(118) Jebkurus zaudējumus Jebkuri zaudējumi, gan finansiāli, gan citāda veida, kurus persona var ciest nelikumīgas apstrādes rezultātā, būtu jākompensē pārzinim vai apstrādātājam, kuru var atbrīvot no atbildības tikai tad , ja tas pierāda, ka nav atbildīgs par zaudējumiem, īpaši gadījumos, kad tas konstatē datu subjekta vainu vai force majeure gadījumā. [Gr. 80]

(119) Būtu jāpiemēro sankcijas jebkurai personai – privāto vai publisko tiesību subjektam, kura neievēro šo regulu. Dalībvalstīm būtu jānodrošina, ka sankcijas ir efektīvas, samērīgas un atturošas un tām būtu jāveic visi pasākumi sankciju īstenošanai. Uz noteikumiem par sankcijām būtu jāattiecina pienācīgi procesuāli aizsargpasākumi saskaņā ar vispārīgajiem principiem Savienības tiesībās un Pamattiesību hartā, tostarp tiem, kas attiecas uz tiesībām uz efektīvu tiesisko aizsardzību, pienācīgu tiesas procesu un principu ne bis in idem. [Gr. 81]

(119a) Piemērojot sankcijas, dalībvalstīm būtu pilnībā jāievēro pienācīgi procesuāli aizsargpasākumi, tostarp tiesības uz efektīvu tiesisko aizsardzību, pienācīgu tiesas procesu un principu ne bis in idem. [Gr. 82]

(120) Lai stiprinātu un tuvinātu administratīvās sankcijas par regulas pārkāpumiem, katrai uzraudzības iestādei būtu jāpiešķir pilnvaras sodīt par administratīviem pārkāpumiem. Šajā regulā būtu jāuzskaita šie pārkāpumi un jānosaka maksimālais attiecīgā administratīvā naudas soda apmērs, savukārt, soda apmēru katrā atsevišķā gadījumā būtu jānosaka samērīgi konkrētajai situācijai, pienācīgi ņemot vērā jo īpaši pārkāpuma būtību, smagumu un ilgumu. Konsekvences mehānismu arī varētu izmantot, lai aptvertu tos gadījumus, kad ir novērojamas atšķirības administratīvo sankciju piemērošanā.

(121) Nepieciešamības gadījumā vajadzētu nodrošināt izņēmumus vai atkāpes no konkrētiem šīs regulas noteikumiem par personas datu apstrāde tikai un vienīgi žurnālistikas vajadzībām vai mākslinieciskās vai literārās izpausmes vajadzībām būtu jākvalificē kā izņēmums, uz kuru neattiecas atsevišķas regulas prasības apstrādi , lai panāktu līdzsvaru starp tiesībām uz personas datu aizsardzību un tiesībām uz vārda un informācijas brīvību un jo īpaši tiesībām saņemt un sniegt informāciju, kā tas garantēts Eiropas Savienības Pamattiesību hartas 11. pantā. Tas būtu jo īpaši jāpiemēro personas datu apstrādei audiovizuālajā jomā un ziņu arhīvos, un preses bibliotēkās. Tāpēc dalībvalstīm būtu jāpieņem leģislatīvi akti, kuros būtu noteikti izņēmumi un atkāpes, kas ir nepieciešamas šo pamattiesību līdzsvara nodrošināšanai. Šie izņēmumi un atkāpes dalībvalstīm būtu jāpieņem par vispārīgajiem principiem, datu subjektu tiesībām, par pārziņiem un apstrādātājiem, par datu nosūtīšanu uz trešām valstīm vai starptautiskām organizācijām, par neatkarīgām uzraudzības iestādēm, un sadarbību un konsekvenci un specifiskām datu apstrādes situācijām . Tam tomēr nevajadzētu nozīmēt, ka dalībvalstis nosaka izņēmumus no citiem šīs regulas noteikumiem. Lai vārda un izteiksmes brīvības īpaši svarīgā loma katrā demokrātiskā sabiedrībā būtu pietiekami ņemta vērā, jēdzienus jēdzieni , kas saistīti ar šo brīvību, piemēram, jēdzienu žurnālistika, ir jāinterpretē plaši , lai iekļautu visas Tāpēc šajā regulā paredzēto izņēmumu un atkāpju piemērošanas vajadzībām dalībvalstīm darbība būtu jāklasificē kā “žurnālistika”, ja šādas darbības, objekts kuru mērķis ir informācijas, viedokļu vai ideju atklāšana sabiedrībai neatkarīgi no plašsaziņas līdzekļa, kas izmantots, lai tos pārraidītu , un ņemot vērā arī tehnoloģiju attīstību . Tiem nebūtu jāaprobežojas ar plašsaziņas līdzekļu uzņēmumiem un pārraide var būt veikta gan peļņas gūšanas, gan bezpeļņas nolūkos. [Gr. 83]

(122) Personas veselības datu apstrāde, kas ir īpašas kategorijas dati un kas ir īpaši jāaizsargā, bieži vien var būt attaisnota vairāku leģitīmu iemeslu dēļ personas un visas sabiedrības labā, jo īpaši saistībā ar pārrobežu veselības aprūpes nepārtrauktības nodrošināšanu. Tāpēc šai regulai būtu jānodrošina tuvināti nosacījumi personas veselības datu apstrādei, ievērojot īpašus un atbilstošus aizsardzības pasākumus, lai aizsargātu pamattiesības un personas datus. Tas ietver arī fizisku personu tiesības piekļūt saviem personas veselības datiem, piemēram, datiem par slimības vēsturi, kas aptver tādu informāciju kā diagnoze, analīžu rezultāti, ārstējošā terapeita vērtējums un ārstēšanas vai medicīniskās iejaukšanās pasākumi.

(122a) Personai, kas atbilstoši profesionālajiem pienākumiem apstrādā personas datus attiecībā uz veselību, ja iespējams, vajadzētu saņemt anonimizētus datus vai pseidonīmdatus tā, lai identitāte būtu zināma tikai ģimenes ārstam vai speciālistam, kas pieprasījis šādu datu apstrādi. [Gr. 84]

(123) Personas veselības datu apstrāde bez datu subjekta piekrišanas var būt nepieciešama sabiedrības interešu vārdā ar sabiedrības veselību saistītās jomās. Minētajā kontekstā “sabiedrības veselība” būtu jāinterpretē saskaņā ar definīciju Eiropas Parlamenta un Padomes 2008. gada 16. decembra Regulā (EK) Nr. 1338/2008 (9) attiecībā uz Kopienas statistiku par sabiedrības veselību un veselības aizsardzību un drošību darbā, proti, kā visi elementi, kas saistīti ar veselību, proti, veselības stāvoklis, tostarp saslimstība un invaliditāte, faktori, kas ietekmē veselības stāvokli, veselības aprūpes vajadzības, veselības aprūpei piešķirtie resursi, veselības aprūpes nodrošināšana un vispārēja piekļuve tai, kā arī veselības aprūpes izdevumi un finansējums, un nāves cēloņi. Šādai personas veselības datu apstrādei sabiedrības interešu vārdā nebūtu jānoved pie tā, ka trešās personas, piemēram, darba devēji, apdrošināšanas sabiedrības un kredītiestādes apstrādā personas datus citos nolūkos. [Gr. 85]

(123a) Personas veselības datu apstrāde, kas ir īpašas kategorijas datu apstrāde, var būt nepieciešama vēstures, statistikas vai zinātniskās izpētes nolūkiem. Tādēļ šajā regulā ir paredzēta atkāpe no prasības par piekrišanu izpētes gadījumos, kuri kalpo sabiedrības interesēm. [Gr. 86]

(124) Principi fizisku personu aizsardzībai attiecībā uz personas datu apstrādi būtu jāpiemēro arī nodarbinātības un sociālā nodrošinājuma kontekstā. Tāpēc, lai regulētu Dalībvalstīm būtu jāspēj regulēt darbinieku personas datu apstrādi nodarbinātības kontekstā, dalībvalstīm, ņemot vērā šajā regulā noteiktos ierobežojumus, būtu ar likumu jāpieņem īpaši noteikumi par jomā un personas datu apstrādi nodarbinātības jomā sociālā nodrošinājuma kontekstā saskaņā ar šīs regulas noteikumiem un minimālajiem standartiem . Ja attiecīgajā dalībvalstī pastāv tiesiskais pamats regulēt darba attiecību jautājumus ar līgumu starp darbinieku pārstāvjiem un uzņēmuma vadību vai uzņēmumu grupas vadošo uzņēmumu (koplīgums) vai saskaņā ar Eiropas Parlamenta un Padomes Direktīvu 2009/38/EK (10) , personas datu apstrādi darba attiecību kontekstā var reglamentēt arī ar šādu līgumu. [Gr. 87]

(125) Lai personas datu apstrāde vēstures, statistikas vai zinātniskās izpētes nolūkos būtu likumīga, tai jānotiek ievērojot citus piemērojamos tiesību aktus, piemēram, par klīniskajiem pētījumiem.

(125a) Personas datus vēlāk var apstrādāt arī arhīvi, kuru galvenais vai obligātais uzdevums ir vākt un glabāt datus, sniegt informāciju par šiem datiem, kā arī izmantot un izplatīt arhīvu informāciju sabiedrības interesēs. Dalībvalstu tiesību aktos būtu jāsaskaņo tiesības uz personas datu aizsardzību ar arhīvu noteikumiem un noteikumiem par publisku piekļuvi administratīvai informācijai. Dalībvalstīm būtu jāmudina, jo īpaši Eiropas Arhīvu grupa, lai tiktu izstrādāti noteikumi, kas nodrošinātu datu konfidencialitāti attiecībā uz trešām personām un datu autentiskumu, integritāti un pienācīgu glabāšanu. [Gr. 88]

(126) Zinātniskās izpētes jēdzienā šajā regulā būtu jāiekļauj fundamentālie pētījumi, lietišķie pētījumi un privāti finansēti pētījumi, turklāt būtu jāņem vērā Savienības mērķis izveidot Eiropas zinātniskās izpētes telpu saskaņā ar Līguma par Eiropas Savienības darbību 179. panta 1. punktu. Personas datu apstrādei vēstures, statistikas un zinātniskās izpētes nolūkos nevajadzētu izvērsties tā, ka personas dati tiek apstrādāti citiem nolūkiem, ja vien datu subjekts nav devis piekrišanu vai šāda apstrāde nav paredzēta Savienības vai dalībvalsts tiesību aktos. [Gr. 89]

(127) Attiecībā uz uzraudzības iestādes pilnvarām panākt no pārziņa vai apstrādātāja piekļuvi personas datiem un piekļuvi tā telpām, dalībvalstis var, ievērojot šajā regulā noteiktos ierobežojumus, ar likumu pieņemt īpašus noteikumus, kas aizsargātu dienesta vai cita līdzvērtīga noslēpuma glabāšanas pienākumu, ciktāl tas nepieciešams, lai saglabātu līdzsvaru starp tiesībām uz personas datu aizsardzību un dienesta noslēpuma glabāšanas pienākumu.

(128) Šajā regulā tiek ievērots un nav skarts baznīcu un reliģisko apvienību vai kopienu statuss, kas tām saskaņā ar valstu tiesībām ir piešķirts dalībvalstīs, kā tas atzīts Līguma par Eiropas Savienības darbību 17. pantā. Tādējādi, ja baznīca kādā dalībvalstī šīs regulas spēkā stāšanās laikā piemēro vispusīgus atbilstošus noteikumus par fizisku personu aizsardzību attiecībā uz personas datu apstrādi, šos esošos noteikumus būtu jāturpina piemērot, ja tos saskaņo ar šo regulu Šādām baznīcām un reliģiskām apvienībām būtu jāpieprasa izveidot pilnīgi neatkarīgu uzraudzības iestādi. un atzīst par saskaņotiem . [Gr. 90]

(129) Lai sasniegtu šīs regulas mērķus, proti, aizsargātu fiziku fizisku personu pamattiesības un brīvības un, jo īpaši tiesības uz personas datu aizsardzību, un nodrošinātu personas datu brīvu apriti Savienībā, Komisijai būtu jādeleģē pilnvaras pieņemt tiesību aktus saskaņā ar Līguma par Eiropas Savienības darbību 290. pantu. Jo īpaši deleģētos aktus deleģētie akti būtu jāpieņem par apstrādes likumīgumu; precizējot kritērijus un nosacījumus saistībā ar bērna sniegtu piekrišanu; par īpašu kategoriju datu apstrādi; precizējot kritērijus un nosacījumus, kad prasības un maksa par datu subjektu tiesību izmantošanu ir acīmredzami pārmērīgas; nosakot kritērijus un prasības informācijai, kas jāsniedz datu subjektam, un saistībā ar piekļuves nosacījumiem uz ikonām balstītas informācijas sniegšanai; tiesībām; par tiesībām tikt aizmirstam un tiesībām uz dzēšanu; par pasākumiem, kas balstās uz profilēšanu; par kritērijiem un prasībām saistībā ar pārziņa atbildību un integrētu datu aizsardzību un datu aizsardzību pēc noklusējuma; par apstrādātāju; nosakot kritērijus un prasības apstrādes dokumentēšanai un drošībai; par kritērijiem un prasībām personas datu aizsardzības pārkāpuma konstatēšanai un paziņošanai uzraudzības iestādei un par apstākļiem, kādos personas datu aizsardzības pārkāpums var nelabvēlīgi ietekmēt datu subjektu; par kritērijiem un nosacījumiem apstrādes darbībām, kurām nepieciešams datu aizsardzības ietekmes novērtējums; par kritērijiem un prasībām, nosakot augsta līmeņa īpašo risku, kam nepieciešama iepriekšēja apspriešanās; par datu aizsardzības inspektora iecelšana un uzdevumiem; par profesionālās ētikas kodeksiem; paziņojot, ka rīcības kodeksi ir saskaņā ar šo regulu ; par kritērijiem un prasībām sertifikācijas mehānismiem; par atbilstošu aizsardzības līmeni, ko sniedz trešā valsts vai starptautiska organizācija; par kritērijiem un prasībām datu nosūtīšanai, izmantojot saistošos uzņēmuma noteikumus; par atkāpēm saistībā ar datu nosūtīšanu; par administratīvajām sankcijām; par apstrādi ar veselību saistītos nolūkos; par un apstrādi nodarbinātības kontekstā un apstrādi vēstures, statistikas un zinātniskās izpētes nolūkos. Ir ļoti svarīgi īpaši būtiski, lai Komisija, sagatavošanās darba ietvaros veicot sagatavošanas darbus, rīkotu atbilstošas atbilstīgas apspriešanās, tostarp arī ekspertu līmenī , jo īpaši ar Eiropas Datu aizsardzības kolēģiju . Komisijai, sagatavojot un izstrādājot deleģētos aktus, būtu jānodrošina, ka attiecīgie dokumenti vienlaicīgi, savlaicīgi un atbilstoši tiek nosūtīti vienlaicīga, savlaicīga un atbilstīga attiecīgo dokumentu nosūtīšana Eiropas Parlamentam un Padomei. [Gr. 91]

(130) Lai nodrošinātu vienādus nosacījumus šīs regulas īstenošanai, Komisijai būtu jāpiešķir īstenošanas pilnvaras šādās jomās: standarta formu noteikšana īpašām metodēm, kā iegūt pārbaudāmu piekrišanu saistībā ar bērnu personas datu apstrādi; standarta procedūras un formas datu subjekta subjektu informēšanai par viņu tiesību izmantošanai izmantošanu ; standarta formas datu subjekta informēšanai; standarta formas un procedūras saistībā ar piekļuvi datiem; tiesības uz datu pārnesamību; standarta formas saistībā ar pārziņa atbildību par integrētu datu aizsardzību, datu aizsardzību pēc noklusējuma un dokumentāciju; īpašas prasības apstrādes drošībai; piekļuves tiesībām, tostarp personas standarta formāts un procedūras personas forma datu aizsardzības pārkāpuma paziņošanai uzraudzības iestādei un personas datu aizsardzības pārkāpuma paziņošanai datu subjektam; standarti un procedūras datu aizsardzības ietekmes novērtējumam; dokumentēšanai ; iepriekšējas atļaujas un iepriekšējas apspriešanās apspriešanās un uzraudzības iestādes informēšanas formas. un procedūras; sertifikācijas tehniskie standarti un mehānismi; aizsardzības līmeņa pietiekamība trešā valstī vai tās teritorijā, vai apstrādes nozarē, vai starptautiskā organizācijā; Savienības tiesībās neatļauta izpaušana; savstarpējā palīdzība; kopīgās operācijas; lēmumi konsekvences mehānisma ietvaros. Šīs pilnvaras būtu jāizmanto saskaņā ar Eiropas Parlamenta un Padomes 2011. gada 16. februāris Regulu (ES) Nr. 182/2011 (11) , ar ko nosaka normas un vispārīgus principus par dalībvalstu kontroles mehānismiem, kuri attiecas uz Komisijas īstenošanas pilnvaru izmantošanu. Šajā sakarā Komisijai būtu jāapsver īpašus pasākumus īpaši pasākumi mikrouzņēmumiem, maziem un vidējiem uzņēmumiem. [Gr. 92]

(131) Pārbaudes procedūra būtu jāizmanto, pieņemot precizējošās standarta formas : īpašām metodēm, kuru piemērošanas rezultātā iegūst pārbaudāmu piekrišanu saistībā ar bērna piekrišanu bērnu personas datu apstrādi ; standarta procedūras un formas datu subjekta subjektu informēšanai par viņu tiesību izmantošanai izmantošanu ; standarta formas datu subjekta informēšanai; standarta formas un procedūras saistībā ar piekļuves tiesībām , tostarp personas uz piekļuvi un tiesībām uz datu pārnesamību paziņošanai datu subjektam ; standarta formas saistībā ar pārziņa atbildību par integrētu datu aizsardzību, datu aizsardzību pēc noklusējuma un dokumentāciju; īpašas prasības apstrādes drošībai; standarta formātu un procedūras personas dokumentāciju, kas jāglabā pārzinim un apstrādātājam ; datu aizsardzības pārkāpuma paziņošanai uzraudzības iestādei un personas datu aizsardzības pārkāpuma paziņošanai datu subjektam; standartus un procedūras datu aizsardzības ietekmes novērtējumam dokumentēšanai ; iepriekšējas atļaujas un iepriekšējas apspriešanās formas un procedūras; sertifikācijas tehniskos standartus un mehānismus; noteikumus par aizsardzības līmeņa pietiekamību trešā valstī vai tās teritorijā, vai apstrādes nozarē, vai starptautiskā organizācijā; noteikumus par Savienības tiesībās neatļautu izpaušanu; noteikumus par savstarpējo palīdzību; noteikumus par kopīgām operācijām; lēmumus saskaņā ar konsekvences mehānismu, ja tie apspriešanās un uzraudzības iestādes informēšanai, ņemot vērā, ka šie piemērojamie akti ir vispārīgi piemērojami akti. [Gr. 93]

(132) Komisijai būtu jāpieņem nekavējoties piemērojami īstenošanas akti, ja pilnīgi attaisnotos gadījumos saistībā ar trešo valsti vai kādu šīs valsts teritoriju vai apstrādes nozari vai starptautisku organizāciju, kas nenodrošina pietiekamu aizsardzības līmeni, un saistībā ar jautājumiem, ko paziņojušas uzraudzības iestādes saskaņā ar konsekvences mehānismu, tas ir nepieciešams nenovēršami steidzamu iemeslu dēļ. [Gr. 94]

(133) Ņemot vērā to, ka šīs regulas mērķus, proti, nodrošināt fiziskām personām vienādu aizsardzības līmeni un brīvu datu apriti visā Savienībā, nevar pietiekami labi sasniegt atsevišķās dalībvalstīs, bet minētās rīcības iedarbības vai mērogu dēļ tos var labāk sasniegt Savienības līmenī, Savienība var pieņemt pasākumus saskaņā Līguma par Eiropas Savienību 5. pantā noteikto subsidiaritātes principu. Saskaņā minētajā pantā noteikto proporcionalitātes principu šajā regulā paredz vienīgi tos pasākumus, kas ir vajadzīgi minēto mērķu sasniegšanai.

(134) Ar šo regulu būtu jāaizstāj Direktīva 95/46/EK. Tomēr saskaņā ar minēto direktīvu pieņemtajiem Komisijas lēmumiem un izsniegtajām uzraudzības iestāžu atļaujām būtu jāpaliek spēkā. Komisijas lēmumiem un uzraudzības iestāžu atļaujām, kas attiecas uz personas datu nosūtīšanu trešām valstīm saskaņā ar 41. panta 8. punktu, būtu jāpaliek spēkā uz piecu gadu pārejas posmu pēc šīs regulas stāšanās spēkā, ja vien Komisija to negroza, neaizstāj vai neatceļ pirms pārejas perioda beigām. [Gr. 95]

(135) Šo regulu būtu jāpiemēro visiem jautājumiem saistībā ar pamattiesību un brīvību aizsardzību attiecībā uz personas datu apstrādi, kuriem nav piemērojami īpašie pienākumi ar tādu pašu mērķi, kas noteikts Eiropas Parlamenta un Padomes Direktīvā 2002/58/EK (12), ietverot pārziņa pienākumus un fizisku personu tiesības. Lai precizētu šīs regulas un Direktīvas 2002/58/EK attiecības, minēto direktīvu būtu attiecīgi jāgroza.

(136) Attiecībā uz Islandi un Norvēģiju – saskaņā ar Nolīgumu, kas noslēgts starp Eiropas Savienības Padomi un Islandes Republiku un Norvēģijas Karalisti par šo valstu asociēšanu Šengenas acquis īstenošanā, piemērošanā un pilnveidošanā (13), šī regula ir Šengenas acquis noteikumu pilnveidošana tādā apmērā, ciktāl tā piemērojama personas datu apstrādei, ko veic iestādes, kas iesaistītas minētā aquis īstenošanā.

(137) Attiecībā uz Šveici – saskaņā ar Nolīgumu starp Eiropas Savienību, Eiropas Kopienu un Šveices Konfederāciju par Šveices Konfederācijas asociēšanu Šengenas acquis īstenošanā, piemērošanā un pilnveidošanā (14), šī regula ir Šengenas acquis noteikumu pilnveidošana tādā apmērā, ciktāl tā piemērojama personas datu apstrādei, ko veic iestādes, kas iesaistītas minētā aquis īstenošanā.

(138) Attiecībā uz Lihtenšteinu – ar Protokolu starp Eiropas Savienību, Eiropas Kopienu, Šveices Konfederāciju un Lihtenšteinas Firstisti par Lihtenšteinas Firstistes pievienošanos Nolīgumam starp Eiropas Savienību, Eiropas Kopienu un Šveices Konfederāciju par Šveices Konfederācijas asociēšanu Šengenas acquis īstenošanā, piemērošanā un pilnveidošanā (15), šī regula ir Šengenas acquis noteikumu pilnveidošana tādā apmērā, ciktāl tā piemērojama personas datu apstrādei, ko veic iestādes, kas iesaistītas minētā aquis īstenošanā.

(139) Kā ir uzsvērusi Eiropas Savienības Tiesa un ņemot vērā faktu, ka personas datu aizsardzība nav absolūta prerogatīva, bet ir jāņem vērā saistībā ar tās funkciju sabiedrībā un jālīdzsvaro ar citām pamattiesībām, saskaņā ar proporcionalitātes principu šī regula ievēro visas pamattiesības un principus, kas atzīti Eiropas Savienības Pamattiesību hartā un ietverti Līgumos, jo īpaši tiesības uz privāto un ģimenes dzīvi, mājokļa un saziņas neaizskaramību, tiesības uz personas datu aizsardzību, domu, pārliecības un ticības brīvību, vārda un informācijas brīvību, darījumdarbības brīvību, tiesības uz efektīvu tiesību aizsardzību un taisnīgu tiesu, kā arī tiesības uz kultūru, reliģiju un valodu daudzveidību,

IR PIEŅĒMUŠI ŠO REGULU.

I NODAĻA

VISPĀRĪGI NOTEIKUMI

1. pants

Priekšmets un mērķi

1. Šī regula paredz noteikumus fizisku personu aizsardzībai attiecībā uz personas datu apstrādi un noteikumus personas datu brīvai apritei.

2. Šī regula aizsargā fizisku personu pamattiesības un brīvības un jo īpaši to tiesības uz personas datu aizsardzību.

3. Personas datu brīvu apriti Savienībā neierobežo un neaizliedz, pamatojoties uz iemesliem, kas saistīti ar fizisku personu aizsardzību attiecībā uz personas datu apstrādi.

2. pants

Materiālā piemērošanas joma

1. Šo regulu piemēro personas datu apstrādei, kas pilnībā vai daļēji veikta ar automatizētiem līdzekļiem, neatkarīgi no apstrādes metodes, un tādu personas datu apstrādei, kuri veido daļu no kartotēkas vai ir paredzēti, lai veidotu daļu no kartotēkas, ja apstrādi neveic ar automatizētiem līdzekļiem.

2. Šo regulu nepiemēro personas datu apstrādei:

a) veicot darbību, kas neietilpst Savienības tiesību piemērošanas jomā, jo īpaši saistībā ar valsts drošību;

b) Savienības iestādēs, struktūrās, birojos un aģentūrās;

c) ko īsteno dalībvalstis, veicot darbības, kas ir Līguma par Eiropas Savienību V sadaļas 2. nodaļas piemērošanas jomā;

d) ko veic fiziska persona bez jebkāda peļņas gūšanas nolūka tikai sava vienīgi personiska vai sadzīviska mājsaimnieciska pasākuma gaitā . Šis izņēmums attiecas arī uz personas datu publicēšanu, ja, saprātīgi spriežot, var domāt, ka tiem piekļūs tikai ierobežots personu skaits ;

e) ko veic kompetentas publiskas iestādes, lai novērstu, izmeklētu, atklātu noziedzīgus nodarījumus, sauktu pie atbildības par tiem vai izpildītu kriminālsodus.

3. Šī regula neskar Direktīvas 2000/31/EK piemērošanu, jo īpaši attiecībā uz direktīvas 12. un 15. panta noteikumiem par pakalpojumu sniegšanas starpnieku atbildību. [Gr. 96]

3. pants

Teritoriālā piemērošanas joma

1. Šo regulu piemēro personas datu apstrādei gan Savienībā, gan ārpus tās saistībā ar darbībām, ko veic pārziņa vai apstrādātāja institūcija, kas atrodas Savienībā.

2. Šo regulu piemēro Savienībā dzīvojošu datu subjektu Savienībā personas datu apstrādei, ko veic pārzinis vai apstrādātājs , kas neatrodas kurš neveic uzņēmējdarbību Savienībā, ja apstrādes darbības ir saistītas ar:

a) preču vai pakalpojumu piedāvāšanu šādiem datu subjektiem Savienībā neat