Priekšlikums EIROPAS PARLAMENTA UN PADOMES REGULA par fizisku personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti (Vispārīgā datu aizsardzības regula) /* COM/2012/011 final - 2012/0011 (COD) */





PASKAIDROJUMA RAKSTS 1. PRIEKŠLIKUMA KONTEKSTS Šajā paskaidrojuma rakstā sniegts ierosinātā ES jaunā personas datu aizsardzības tiesiskā regulējuma skaidrojums, kā tas izklāstīts Paziņojumā COM(2012)9 final[1]. Ierosinātais jaunais tiesiskais regulējums aptver divus tiesību aktu priekšlikumus: – priekšlikums Eiropas Parlamenta un Padomes regulai par fizisku personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti (Vispārīgā datu aizsardzības regula) un – priekšlikums Eiropas Parlamenta un Padomes direktīvai par fizisku personu aizsardzību attiecībā uz personas datu apstrādi, ko veic kompetentās iestādes, lai novērstu, izmeklētu, atklātu noziedzīgus nodarījumus, sauktu pie atbildības par tiem vai izpildītu kriminālsodus, un par šādu datu brīvu apriti[2]. Šis paskaidrojuma raksts attiecas uz Vispārīgās datu aizsardzības regulas priekšlikumu. Centrālais tiesību akts par personas datu aizsardzību pašreizējā ES tiesiskā regulējuma ietvaros ir Direktīva 95/46/EK[3], ko pieņēma 1995. gadā, vēloties sasniegt divus mērķus: aizsargāt pamattiesības uz datu aizsardzību un garantēt personas datu brīvu plūsmu starp dalībvalstīm. To papildināja Pamatlēmums 2008/977/TI – vispārīgs Savienības līmeņa tiesību akts par tādu personas datu aizsardzību, ko apstrādā policijas un tiesu iestādēm sadarbojoties krimināllietās[4]. Ātrā tehnoloģiju izaugsme ir radījusi jaunas problēmas personas datu aizsardzības jomā. Datu apmaiņas un vākšanas apjoms ir dramatiski pieaudzis. Jaunākās tehnoloģijas ļauj gan privātām sabiedrībām, gan valsts iestādēm vēl nepieredzētā apjomā savas darbības mērķiem izmantot personas datus. Personas aizvien biežāk personiska rakstura informāciju padara publiski un globāli pieejamu. Tehnika ir pārveidojusi ne tikai ekonomiku, bet arī sociālo dzīvi. Ļoti svarīgs ekonomikas izaugsmes faktors ir uzticība tiešsaistes videi. Uzticības trūkums liek patērētājiem vilcināties ar iepirkšanos tiešsaistē un jaunu pakalpojumu pieņemšanu. Tas palielina risku, ka palielināsies izaugsme jauno tehnoloģiju inovatīvas izmantošanas jomā. Personas datu aizsardzībai tādējādi ir ļoti svarīga loma Eiropas digitalizācijas programmā[5] un arī vispārīgi stratēģijas "Eiropa 2020"[6] ietvaros. Līguma par Eiropas Savienības darbību (LESD) 16. panta 1. punktā, kas izveidots ar Lisabonas līgumu, nostiprināts princips, ka ikvienai personai ir tiesības uz savu personas datu aizsardzību. Turklāt ar LESD 16. panta 2. punktu ir izveidots īpašs juridiskais pamats noteikumu par personas datu aizsardzību pieņemšanai. Personas datu aizsardzība ir ietverta ES Pamattiesību hartas 8. pantā, piešķirot tai pamattiesības statusu. Eiropadomes aicināja Komisiju izvērtēt, kā darbojas ES tiesību akti par datu aizsardzību, un nepieciešamības gadījumā iesniegt jaunus leģislatīvo vai neleģislatīvo aktu priekšlikumus[7]. Eiropas Parlaments Stokholmas programmas rezolūcijā[8] izteicās par labu vispusīgam ES datu aizsardzības regulējumam un cita starpā aicināja pārskatīt Pamatlēmumu. Komisija savā Stokholmas programmas īstenošanas rīcības plānā[9] norādīja, ka ir nepieciešams nodrošināt, lai pamattiesības uz personas datu aizsardzību konsekventi piemērotu visu ES politikas jomu kontekstā. Savā paziņojumā "Vispusīga pieeja personas datu aizsardzībai Eiropas Savienībai"[10], Komisija secināja, ka ES ir vajadzīga vispusīgāka un saskaņotāka politiskā nostāja par pamattiesībām uz personas datu aizsardzību. Pašreizējais regulējums joprojām ir labs attiecībā uz tā mērķiem un principiem, taču tas nav novērsis datu aizsardzības īstenošanas veidu sadrumstalotību Savienībā, tiesisko nenoteiktību un sabiedrībā izplatītu uzskatu, ka jo īpaši tiešsaistes aktivitātes ir saistītas ar ievērojamu risku[11]. Tāpēc ir pienācis laiks ES izveidot spēcīgāku un saskaņotāku datu aizsardzības regulējumu, ko papildinātu spēcīgs tiesībaizsardzības mehānisms, kas ļaus attīstīties digitālajai ekonomikai iekšējā tirgū, ļaus personām kontrolēt viņu datus un atjaunos tiesisko un praktisko noteiktību uzņēmējiem un valsts iestādēm. 2. APSPRIEŠANĀS AR IEINTERESĒTAJĀM PERSONĀM UN IETEKMES NOVĒRTĒJUMA REZULTĀTI Šis priekšlikums ir rezultāts, kas tapis pēc plašas apspriešanās ar ieinteresētajām personām par pastāvošā personas datu aizsardzības tiesiskā regulējuma pārskatīšanu, kas norisinājās vairāk nekā divu gadu garumā un ietvēra arī augsta līmeņa konferenci 2009. gada maijā[12] un divus sabiedriskās apspriešanas posmus: – no 2009. gada 9. jūlija līdz 31. decembrim Consultation on the legal framework for the fundamental right to the protection of personal data (Sabiedriskā apspriešana par pamattiesību uz personas datu aizsardzību tiesisko regulējumu). Komisija saņēma 168 atbildes, no tām 127 atbildes no fiziskām personām, komercsabiedrībām un asociācijām un 12 atbildes no valsts iestādēm[13]. – no 2011. gada 4. novembra līdz 15. janvārim Consultation on the Commission's comprehensive approach on personal data protection in the European Union (Sabiedriskā apspriešana par Komisijas vispusīgo pieeju personas datu aizsardzībai Eiropas Savienībā). Komisija saņēma 305 atbildes, no tām 54 atbildes no pilsoņiem, 31 atbildi no valsts iestādēm un 220 no privātām organizācijām, jo īpaši uzņēmumu asociācijām un nevalstiskām organizācijām[14]. Ar galvenajām ieinteresētajām personām norisinājās arī mērķorientētas konsultācijas, 2010. gada jūnijā un jūlijā tika rīkoti īpaši pasākumi dalībvalstu iestādēm un ieinteresētajām personām no privātā sektora, kā arī privātuma, datu aizsardzības un patērētāju organizācijām[15]. Eiropas Komisijas priekšsēdētāja vietniece Redinga 2010. gada novembrī rīkoja apaļā galda diskusiju par datu aizsardzības reformu. Eiropas Komisija un Eiropas Padome 2011. gada 28. janvārī (Datu aizsardzības dienā) kopīgi rīkoja augsta līmeņa konferenci, kurā sprieda par jautājumiem, kas saistīti ar ES tiesiskā regulējuma reformu, kā arī par nepieciešamību izveidot vienotus datu aizsardzības standartus pasaulē[16]. Ungārijas un Polijas Padomes prezidentūras laikā attiecīgi 2011. gada 16.-17. jūnijā un 2011. gada 21. septembrī norisinājās divas konferences par datu aizsardzību. Īpašiem jautājumiem veltīti praktiskie un teorētiskie semināri norisinājās viscaur 2011. gadā. Janvārī ENISA[17] rīkoja semināru par datu aizsardzības pārkāpumu paziņošanu Eiropā[18]. Februārī Komisija sapulcināja uz semināru dalībvalstu iestādes, lai diskutētu par datu aizsardzības jautājumiem, policijas un tiesu iestādēm sadarbojoties krimināllietās, tostarp arī par Pamatlēmuma īstenošanu, savukārt Pamattiesību aģentūra rīkoja tikšanos ar ieinteresētajām personām, lai apspriestos par tēmu "Datu aizsardzība un privātums". Diskusija par svarīgākajiem reformas jautājumiem ar valstu datu aizsardzības iestādēm norisinājās 2011. gada 13. jūlijā. ES pilsoņu viedoklis tika uzklausīts ar Eirobarometra aptaujas palīdzību, kas norisinājās 2010. gada novembrī un decembrī[19]. Tika veikti vairāki pētījumi[20]. No "29. panta darba grupas"[21] Komisija saņēma vairākus atzinumus un lietderīgus priekšlikumus[22]. Eiropas Datu aizsardzības uzraudzītājs arī sniedza vispusīgu atzinumu par jautājumiem, kas skarti Komisijas 2010.gada novembra paziņojumā[23]. Eiropas Parlaments 2011. gada 6. jūlijā savā rezolūcijā apstiprināja ziņojumu, kas atbalstīja Komisijas pieeju datu aizsardzības regulējuma reformai[24]. Eiropas Savienības Padome 2011. gada 24. februārī pieņēma secinājumus, kuros tā plaši atbalsta Komisijas nolūku reformēt datu aizsardzības regulējumu un piekrīt daudziem Komisijas pieejas elementiem. Eiropas Ekonomikas un sociālo lietu komiteja līdzīgi atbalstīja Komisijas mērķi nodrošināt konsekventāku ES datu aizsardzības noteikumu piemērošanu[25] visās dalībvalstīs un pienācīgi pārskatīt Direktīvu 95/46/EK[26]. Apspriežu par vispusīgo pieeju laikā, liels vairums ieinteresēto personu piekrita, ka vispārīgais princips joprojām ir derīgs, taču pašreizējo regulējumu nepieciešams pielāgot, lai labāk risinātu problēmas, ko izraisa jaunu tehnoloģiju (jo īpaši tiešsaistes) ātrā attīstība un aizvien pieaugošā globalizācija, taču tajā pašā laikā saglabājot tiesiskā regulējuma neitralitāti attiecībā uz tehnoloģijām. Īpaši tika kritizēta Savienības personas datu aizsardzības regulējuma sadrumstalotība, jo īpaši šādu kritiku izteica ieinteresētās personas no uzņēmēju vidus, kas pieprasīja lielāku tiesisko noteiktību un personas datu aizsardzības noteikumu tuvināšanos. Noteikumu par personas datu starptautisko nosūtīšanu sarežģītība tiek uzskatīta par ievērojamu šķērsli uzņēmēju darbībai, jo tiem regulāri vajag nosūtīt personas datus no ES uz citām pasaules malām. Saskaņā ar labāka regulējuma politiku Komisija veica iespējamo politikas alternatīvu ietekmes novērtējumu. Ietekmes novērtējuma pamatā bija trīs politikas mērķi, proti, uzlabot datu aizsardzību iekšējā tirgū, uzlabot to, cik efektīvi personas var izmantot savas tiesības uz datu aizsardzību, un izveidot vispusīgu un saskaņotu regulējumu, kas aptver visas Savienības kompetences jomas, tostarp arī policijas un tiesu iestāžu sadarbību krimināllietās. Tika novērtēti trīs politisko risinājumu varianti ar dažādu iejaukšanās pakāpi: pirmais risinājums aptvēra minimālus leģislatīvus grozījumus, interpretējošu paziņojumu izmantošanu un politiskā atbalsta pasākumus, kā finansējuma programmas un tehniskie līdzekļi, otrais risinājums aptvēra vairāku leģislatīvo noteikumu kopumu katra iepriekšējā izpētē konstatētā jautājuma risināšanai un trešais risinājums ietvēra datu aizsardzības centralizāciju ES līmenī ar precīzu un sīki izstrādātu noteikumu palīdzību visās nozarēs un ES aģentūras izveidi, kas uzraudzītu noteikumu īstenošanu un nodrošinātu to izpildi. Saskaņā ar Komisijas pieņemto metodoloģiju, katru politikas risinājuma variantu ar dienestu koordinācijas grupas palīdzību novērtēja attiecībā uz tā efektivitāti politikas mērķu sasniegšanai, tā ekonomisko ietekmi uz ieinteresētajām personām (ietverot arī ES iestāžu budžetu), tā sociālo ietekmi un ietekmi uz pamattiesībām. Ietekme uz vidi netika novērota. Analizējot ietekmi kopumā, tika izstrādāts ieteicamais politikas risinājuma variants, kas pamatojas uz otro risinājumu, ietverot arī dažus pārējo divu risinājumu elementus, un ir apkopots šajā priekšlikumā. Saskaņā ar ietekmes novērtējumu tā īstenošana cita starpā radīs ievērojamu tiesiskās noteiktības uzlabošanos par datu apstrādi atbildīgajām personām un pilsoņiem, administratīvā sloga samazināšanos, konsekventu datu aizsardzības noteikumu izpildi Savienībā, turklāt uzlabosies personu iespējas izmantot savas tiesības uz personas datu aizsardzību visā ES un pieaugs datu aizsardzības uzraudzības un izpildes efektivitāte. Sagaidāms, ka ieteicamā politiskā risinājuma īstenošana palīdzēs sasniegt Komisijas mērķi vienkāršot un samazināt administratīvo slogu un Eiropas digitalizācijas programmas, Stokholmas rīcības plāna un "Eiropas 2020" stratēģijas mērķus. Ietekmes novērtējuma padome sniedza atzinumu par ietekmes novērtējuma priekšlikumu 2011. gada 9. septembrī. Ņemot vērā Ietekmes novērtējuma padomes atzinumu, ietekmes novērtējuma tika veiktas šādas izmaiņas: – tika precizēti pašreizējā tiesiskā regulējuma mērķi (cik lielā mērā tie ir sasniegti un kas nav panākts) un iecerētās reformas mērķi; – vairāki pierādījumi un papildus skaidrojumi/precizējumi tika pievienoti iedaļā, kurā formulētas problēmas; – tika pievienota iedaļa par proporcionalitāti; – visi aprēķini un aplēses saistībā ar administratīvo slogu pamatscenārijā un ieteicamajā politikas risinājumā ir pilnībā pārskatīti un atjaunoti, un ir izskaidrota saikne starp paziņojumu izmaksām un vispārējām sadrumstalotības radītajām izmaksām (ietverot 10. pielikumu); – ietekme uz mikrouzņēmumiem, maziem un vidējiem uzņēmumiem, jo īpaši saistībā ar datu aizsardzības inspektoriem un datu aizsardzības ietekmes novērtējumiem, ir labāk izskaidrota. Reizē ar priekšlikumiem tiek publicēts arī ietekmes novērtējuma ziņojums un tā kopsavilkums. 3. PRIEKŠLIKUMA JURIDISKIE ASPEKTI 3.1. Juridiskais pamats Šā priekšlikuma pamatā ir LESD 16. pants, kas ir jaunais ar Lisabonas līgumu ieviestais juridiskais pamats datu aizsardzības noteikumu pieņemšanai. Ar šo pantu atļauts pieņemt noteikumus par fizisko personu aizsardzību attiecībā uz personas datu apstrādi, ko veic dalībvalstis saistībā ar Savienības tiesību aktu darbības jomu. Turklāt ir atļauts pieņemt noteikumus par personas datu brīvu apriti, ietverot dalībvalstu vai privātpersonu apstrādātus datus. Regula tiek uzskatīta par vispiemērotāko juridisko instrumentu personas datu aizsardzības regulējuma noteikšanai Savienībā. Regulas tiešā piemērojamība saskaņā ar LESD 288. pantu samazinās juridisko sadrumstalotību un sniegs lielāku tiesisko noteiktību, ieviešot tuvinātu galveno noteikumu kopumu, uzlabojot fizisku personu pamattiesību aizsardzību un veicinot iekšējā tirgus darbību. Atsauce uz LESD 114. panta 1. punktu ir nepieciešama tikai tāpēc, lai grozītu Direktīvu 2002/58/EK tādā apmērā, ka minētā direktīva paredz arī to abonentu likumīgo interešu aizsardzību, kas ir juridiskas personas. 3.2. Subsidiaritāte un proporcionalitāte Saskaņā ar proporcionalitātes principu (LES 5. panta 3. punkts) Savienība rīkojas tikai tad, ja dalībvalstis nevar pietiekami labi īstenot paredzētās darbības mērķus, bet ierosinātās darbības mēroga vai seku dēļ tie ir labāk sasniedzami Savienības līmenī. Ņemot vērā iepriekš aprakstītās problēmas, subsidiaritātes analīze rāda, ka ES līmeņa rīcība ir nepieciešama šādu iemeslu dēļ: – Pamattiesību hartas 8. pantā ietvertās tiesības uz personas datu aizsardzību nozīmē, ka ir nepieciešama vienāda līmeņa aizsardzība visā Savienībā. Vienotu ES noteikumu trūkums radītu risku, ka aizsardzības līmeņi dalībvalstīs atšķirtos, un tas radītu ierobežojumus personas datu pārrobežu apritei starp dalībvalstīm ar dažādiem standartiem; – aizvien ātrāk pieaug apjoms, kādā personas dati tiek nosūtīti no vienas valsts otru un pāri iekšējām un ārējām robežām. Turklāt pastāv praktiskas problēmas datu aizsardzības tiesību aktu izpildes jomā un ir nepieciešama dalībvalstu un to iestāžu sadarbība, kas jāorganizē ES līmenī, lai nodrošinātu, ka Savienības tiesības tiek piemērotas vienādi. ES atrodas labākā pozīcijā, lai efektīvi un konsekventi nodrošinātu vienāda līmeņa aizsardzību fiziskām personām, kad viņu dati tiek nosūtīti uz trešām valstīm; – dalībvalstis nevar vienas pašas mazināt šobrīd aktuālās problēmas, jo īpaši tās, kas radušās valstu tiesiskā regulējuma sadrumstalotības dēļ. Tādējādi ir īpaša vajadzība izveidot tuvinātu un saskaņotu regulējumu, kas nodrošina raitu personas datu nosūtīšanu pāri robežām ES iekšienē, vienlaikus garantējot efektīvu aizsardzību visām fiziskām personām visā ES; – problēmu būtība un mērogs ir tādi, ka viena vai pat vairākas dalībvalstis vienas pašas nevar tās ierobežot, tāpēc ierosinātā ES leģislatīvā rīcība būs efektīvāka nekā līdzīga rīcība dalībvalstu līmenī. Saskaņā ar proporcionalitātes principu jebkurai rīcībai ir jābūt mērķtiecīgai un samērīgai ar mērķu sasniegšanai nepieciešamo. Šis princips ir ņemts vērā visā šā priekšlikuma sagatavošanas gaitā, sākot ar alternatīvo politikas risinājumu noteikšanu un novērtēšanu līdz pat tiesību akta priekšlikuma projekta sagatavošanai. 3.3. Kopsavilkums par pamattiesību jautājumiem Tiesības uz personas datu aizsardzību ir noteiktas Hartas 8. pantā, LESD 16. pantā un Eiropas Cilvēktiesību konvencijas 8. pantā. Kā to ir uzsvērusi Eiropas Savienības Tiesa[27], tiesības uz personas datu aizsardzību nav absolūta prerogatīva, bet ir jāņem vērā saistībā ar tās funkciju sabiedrībā[28]. Datu aizsardzība ir cieši saistīta ar privātās un ģimenes dzīves neaizskaramību, ko sargā Hartas 7. pants. Tas ir atspoguļots Direktīvas 95/46/EK 1. panta 1. punktā, kas paredz, ka dalībvalstis aizsargā fizisku personu pamattiesības un brīvības, un jo īpaši viņu tiesības uz privāto dzīvi saistībā ar personas datu apstrādi. Iespējami aizskartas varētu būt arī citas Hartā iekļautas pamattiesības, proti, vārda un informācijas brīvība (Hartas 11. pants.), darījumdarbības brīvība (16. pants), tiesības uz īpašumu un jo īpaši intelektuālā īpašuma aizsardzība (17. panta 2. punkts), jebkāda veida diskriminācijas aizliegums cita starpā diskriminācijas aizliegums rases, etniskās izcelsmes, ģenētisko īpatnību, reliģijas vai pārliecības, politisko vai jebkuru citu uzskatu, invaliditātes vai dzimumorientācijas dēļ (21. pants), bērnu tiesības (24. pants), tiesības uz augstu cilvēku veselības aizsardzības līmeni (35. pants), tiesības piekļūt dokumentiem (42. pants), tiesības uz efektīvu tiesību aizsardzību un taisnīgu tiesu (47. pants). 3.4. Sīks priekšlikuma pārskats 3.4.1. I NODAĻA – VISPĀRĪGI NOTEIKUMI Regulas 1. pantā definēts regulas priekšmets un – tāpat kā Direktīvas 95/46/EK 1. pantā – noteikti abi regulas mērķi. Regulas 2. pantā ir noteikts tās materiālā piemērošanas joma. Regulas 3. pantā ir noteikta tās teritoriālā piemērošanas joma. Regulas 4. pantā ietvertas regulā izmantoto terminu definīcijas. Dažas definīcijas ir pārņemtas no Direktīvas 95/46/EK, citas ir grozītas, papildinātas vai izstrādātas no jauna (piemēram, "personas datu aizsardzības pārkāpuma" definīcijas pamatā ir 2. panta h) punkts e-privātuma Direktīvā 2002/58/EK[29], ar grozījumiem, kas izdarīti ar Direktīvu 2009/136/EK[30], "ģenētiskie dati", "biometriskie dati", "veselības stāvokļa dati", "galvenās institūcijas atrašanās vieta", "pārstāvis", "uzņēmums", "uzņēmumu grupa", "saistošie uzņēmuma noteikumi", savukārt "bērna" definīcijas pamatā ir Apvienoto Nāciju Konvencija par bērna tiesībām[31], un "uzraudzības iestāde"). Piekrišanas definīcijai ir pievienots kritērijs "nepārprotama", lai izvairītos no maldinošās līdzības ar "viennozīmīgu" piekrišanu un lai iegūtu vienu, konsekventu piekrišanas definīciju, kas nodrošina, ka datu subjekts apzinās, ka viņš dod savu piekrišanu un kam viņš tādējādi piekrīt. 3.4.2. II NODAĻA – PRINCIPI Regulas 5. pantā noteikti personas datu apstrādes principi, kas atbilst Direktīvā 95/46/EK minētajiem. Papildus jauni elementi ir, piemēram, caurskatāmības princips, datu minimizēšanas principa skaidrojums un vispusīgu pārziņa pienākumu un atbildības ieviešana. Pamatojoties uz Direktīvas 95/46/EK 7. pantu regulas 6. pantā noteikti likumīgas apstrādes kritēriji, kas sīkāk paskaidroti attiecībā uz līdzsvaru starp interešu kritēriju un juridisko saistību izpildi un sabiedrības interešu ievērošanu. Regulas 7. pantā paskaidroti nosacījumi, kas jāievēro, lai piekrišana būtu spēkā kā likumīgas apstrādes juridiskais pamats. Regulas 8. pantā paredzēti papildu nosacījumi bērnu personas datu apstrādes likumībai saistībā ar informācijas sabiedrības pakalpojumiem, ko tieši piedāvā bērniem. Regulas 9. pantā noteikts vispārīgs aizliegums apstrādāt īpašas personas datu kategorijas un izņēmumi no šā vispārīgā noteikuma, pamatojoties uz Direktīvas 95/46/EK 8. pantu. Regulas 10. pantā skaidrots, ka pārzinim nav pienākuma iegūt papildu informāciju, lai identificētu datu subjektu, ja ieguves vienīgais nolūks ir kāda šīs regulas noteikuma ievērošana. 3.4.3. III NODAĻA – DATU SUBJEKTA TIESĪBAS 3.4.3.1. 1. iedaļa – Caurskatāmība un tās kārtība Regulas 11. pantā paredzēts pārziņa pienākums sniegt caurskatāmu, viegli pieejamu un saprotamu informāciju, ko lielā mērā iedvesmoja Madrides rezolūcija par starptautiskajiem personas datu un privātuma aizsardzības standartiem[32]. Regulas 12. pantā paredzēts pārziņa pienākums nodrošināt procedūras un mehānismus, ar ko nodrošina, ka datu subjekts var izmantot savas tiesības, ietverot arī līdzekļus elektronisku pieprasījumu iesniegšanai un nosakot, ka atbilde uz datu subjekta pieprasījumu jāsniedz konkrētā termiņā un atteikuma gadījumā jānorāda tā iemesli. Regulas 13. pantā noteiktas tiesības saistībā ar saņēmējiem, to pamatā ir Direktīvas 95/46/EK 12. panta c) punkts, taču tās attiecinātas uz visiem saņēmējiem, ietverot apvienotos pārziņus un apstrādātājus. 3.4.3.2. 2. iedaļa – Informācija un piekļuve datiem Regulas 14. pants sīkāk precizē pārziņa pienākumu sniegt informāciju datu subjektam, papildinot Direktīvas 95/46/EK 10. un 11. panta ideju un paredzot papildu informāciju datu subjektam, ietverot informāciju par glabāšanas termiņu, par tiesībām iesniegt sūdzību, par starptautisku nosūtīšanu un par datu izcelsmes avotu. Direktīvā 95/46/EK paredzētie izņēmumi tiks saglabāti, piemēram, šāds pienākums nepastāvēs, ja datu reģistrēšana vai izpaušana ir īpaši paredzēta likumā. Tas varētu attiekties, piemēram, uz apstrādi, ko veic konkurences iestādes, nodokļu vai muitas pārvaldes vai dienesti, kas atbild par sociālā nodrošinājuma jautājumiem. Regulas 15. pantā paredzētas datu subjekta tiesības piekļūt viņa personas datiem, pamatojoties uz Direktīvas 95/46/EK 12. panta a) punktu un pievienojot jaunus elementus, piemēram, pienākumu informēt datu subjektu par glabāšanas termiņu, tiesībām uz labošanu, tiesībām uz dzēšanu un tiesībām iesniegt sūdzību. 3.4.3.3. 3. iedaļa – Labošana un dzēšana Regulas 16. pantā noteiktas datu subjekta tiesības uz datu labošanu, kas pamatojas uz Direktīvas 95/46/EK 12. panta b) punktu. Regulas 17. pantā paredzētas datu subjekta tiesības tikt aizmirstam un tiesības uz datu dzēšanu. Pantā sīkāk izstrādātas un precizētas Direktīvas 95/46/EK 12. panta b) punktā paredzētās tiesības uz datu dzēšanu un paredzēti tiesību tikt aizmirstam nosacījumi, ietverot pārziņa, kas publicējis personas datus, pienākumu informēt trešās puses par datu subjekta pieprasījumiem dzēst saites uz viņa personas datiem, to kopijām vai atveidojumiem. Tajā integrētas arī tiesības ierobežot apstrādi atsevišķos gadījumos, izvairoties no neviennozīmīgā "piekļuves liegšanas" termina. Regulas 18. pantā iestrādātas datu subjekta tiesības uz datu pārnešanu, tas ir, uz datu nosūtīšanu no vienas elektroniskās apstrādes sistēmas uz citu sistēmu, ko pārzinim nav tiesību aizkavēt. Kā priekšnosacījums un lai vēl vairāk uzlabotu piekļuves iespējas saviem personas datiem, pantā noteiktas tiesības saņemt šos datus no pārziņa strukturētā un plaši izmantotā elektroniskā formātā. 3.4.3.4. 4. iedaļa – Tiesības iebilst un profilēšana Regulas 19. pantā paredzētas datu subjekta tiesības iebilst. Tās pamatojas uz Direktīvas 95/46/EK 14. pantu ar dažiem grozījumiem, piemēram, attiecībā uz pierādīšanas pienākumu un tā piemērošanu tiešajai tirgvedībai. Regulas 20. pants attiecas uz datu subjekta tiesībām netikt pakļautam pasākumam, kas pamatojas uz profilēšanu. Tas pamatojas uz Direktīvas 95/46/EK 15. panta 1. punktu par automatizētiem individuāliem lēmumiem, taču ar grozījumiem un papildus aizsardzības pasākumiem, ņemot vērā Eiropas Padomes ieteikumu par profilēšanu[33]. 3.4.3.5. 5. iedaļa – Ierobežojumi Regulas 21. pantā skaidrotas Savienības vai dalībvalstu tiesības saglabāt vai ieviest 5. pantā minēto principu ierobežojumus un 11. līdz 20. pantā un 32. pantā minēto datu subjekta tiesību ierobežojumus. Šā noteikuma pamatā ir Direktīvas 95/46/EK 13. pants un prasības, kas izriet no Pamattiesību hartas un Eiropas Cilvēktiesību un pamatbrīvību aizsardzības konvencijas saskaņā ar ES Tiesas un Eiropas Cilvēktiesību tiesas sniegto interpretāciju. 3.4.4. IV NODAĻA – PĀRZINIS UN APSTRĀDĀTĀJS 3.4.4.1. 1. iedaļa – Vispārīgi pienākumi Regulas 22. pantā atspoguļota diskusija par "pārskatatbildības principu" un sīki aprakstīts datu pārziņa pienākums atbildēt par šīs regulas ievērošanu un uzskatāmi parādīt šo ievērošanu, piemēram, pieņemot iekšējas vadlīnijas un mehānismus šādas ievērošanas nodrošināšanai. Regulas 23. pantā minēti datu pārziņa pienākumi, kas izriet no tādiem principiem kā "integrēta datu aizsardzība" un "datu aizsardzība pēc noklusējuma". Regulas 24. pantā par kopīgajiem datu pārziņiem skaidroti kopīgo datu pārziņu pienākumi viņu iekšējās attiecībās un pret datu subjektu. Regulas 25. pantā noteikts, ka, ievērojot konkrētus nosacījumus, datu pārzinim, kas neatrodas Savienībā, ir pienākums norīkot pārstāvi Savienībā. Regulas 26. pantā skaidrots apstrādātāju stāvoklis un pienākumi, daļēji pamatojoties uz Direktīvas 95/46/EK 17. panta 2. punktu un pievienojot dažus jaunus elementus, piemēram, ka apstrādātāju, kas apstrādā datus plašāk, nekā to paredzējis datu pārzinis, uzskata par kopīgo pārzini. Regulas 27. pants par apstrādi datu pārziņa un apstrādātāja pakļautībā pamatojas uz Direktīvas 95/46/EK 16. pantu. Ar regulas 28. pantu ieviests datu pārziņa un apstrādātāja pienākums uzglabāt to apstrādes darbību dokumentāciju, par kurām tie ir atbildīgi, ar šo aizstāj Direktīvas 95/46/EK 18. panta 1. punktā un 19. pantā paredzēto vispārīgo paziņojumu uzraudzības iestādei. Regulas 29. pantā sīkāk skaidrots pārziņa un apstrādātāja pienākums sadarboties ar uzraudzības iestādi. 3.4.4.2. 2. iedaļa – Datu drošība Regulas 30. pantā paredzēts datu pārziņa un apstrādātāja pienākums īstenot atbilstīgus apstrādes drošības pasākumus, pamatojoties uz Direktīvas 95/46/EK 17. panta 1. punktu un attiecinot šo pienākumu arī uz apstrādātāju, neatkarīgi no līguma ar datu pārzini. Regulas 31. un 32. pantā ieviests pienākums paziņot par personas datu aizsardzības pārkāpumiem, par pamatu ņemot e-privātuma Direktīvas 2002/58/EK 4. panta 3. punktu par personas datu aizsardzības pārkāpumu paziņojumiem. 3.4.4.3. 3. iedaļa – Datu aizsardzības ietekmes novērtējums un iepriekšēja atļauja Regulas 33. pantā ieviests datu pārziņa un apstrādātāja pienākums veikt datu aizsardzības ietekmes novērtējumu pirms riskantu apstrādes darbību veikšanas. Regulas 34. pants attiecas uz gadījumiem, kad pirms apstrādes obligāti jāapspriežas ar uzraudzības iestādi un jāsaņem tās atļauja, papildinot Direktīvas 95/46/EK 20. pantā paredzēto iepriekšējas kontroles koncepciju. 3.4.4.4. 4. iedaļa – Datu aizsardzības inspektors Regulas 35. panta ieviesta prasība obligāti iecelt datu aizsardzības inspektoru publiskajā sektorā un privātajā sektorā – attiecībā uz lieliem uzņēmumiem vai gadījumos, kad datu pārziņa vai apstrādātāja pamatdarbība sastāv no darbībām, kurām nepieciešama regulāra un sistemātiska uzraudzība. Ar šo tiek papildināts Direktīvas 1995/46/EK 18. panta 2. punkts, kas paredzēja dalībvalstīm iespēju ieviest šādu prasību kā vispārīgās paziņošanas prasības surogātu. Regulas 36. pantā noteikts datu aizsardzības inspektora statuss. Regulas 37. pantā noteikti datu aizsardzības inspektora pamatuzdevumi. 3.4.4.5. 5. iedaļa – Profesionālās ētikas kodeksi un sertifikācija Regulas 38. pants attiecas uz profesionālās ētikas kodeksiem, pamatojoties uz Direktīvas 95/46/EK 27. panta 1. punktu, un tajā sīkāk skaidrots kodeksu saturs un procedūras, kā arī paredzētas Komisijas pilnvaras lemt par profesionālās ētikas kodeksu vispārējo piemērojamību. Regulas 39. pantā ieviesta iespēja izveidot sertifikācijas mehānismus un datu aizsardzības zīmogus un marķējumus. 3.4.5. V NODAĻA – PERSONAS DATU NOSŪTĪŠANA UZ TREŠĀM VALSTĪM VAI STARPTAUTISKĀM ORGANIZĀCIJĀM Regulas 40. pantā nostiprināts vispārīgs princips, ka šajā nodaļā minēto pienākumu ievērošana ir obligāta jebkādas personas datu nosūtīšanas uz trešām valstīm vai starptautiskām organizācijām gadījumā, ietverot arī tālāku nosūtīšanu. Regulas 41. pantā, pamatojoties uz Direktīvas 95/46/EK 25. pantu noteikti kritēriji, nosacījumi un procedūras, kas Komisijai jāievēro, pieņemot lēmumu par aizsardzības līmeņa pietiekamību. Kritērijos, kas Komisijai jāņem vērā, novērtējot, vai aizsardzības līmenis ir pietiekams, skaidri ietverti tiesiskums, tiesiskā aizsardzība un neatkarīga uzraudzība. Pantā nepārprotami apstiprināts, ka Komisija var novērtēt aizsardzības līmeni, ko nodrošina kāda teritorija vai apstrādes nozare trešajā valstī. Regulas 42. pantā paredzēts, ka, nosūtot datus uz trešām valstīm, par kurām Komisija nav pieņēmusi aizsardzības līmeņa pietiekamības lēmumu, nepieciešami atbilstoši aizsardzības pasākumi, jo īpaši tipveida datu aizsardzības noteikumi, saistošie uzņēmuma noteikumi un līguma noteikumi. Iespēja izmantot Komisijas izstrādātos tipveida datu aizsardzības noteikumus pamatojas uz Direktīvas 95/46/EK 26. panta 4. punktu. Jaunums ir tas, ka šādus tipveida datu aizsardzības noteikumus tagad var pieņemt arī uzraudzības iestāde un Komisija tos var pasludināt par vispārēji derīgiem. Saistošie uzņēmuma noteikumi tagad ir īpaši minēti tiesību akta tekstā. Iespēja izmantot arī līguma noteikumus sniedz datu pārzinim vai apstrādātājam zināmu izvēles brīvību, taču šādos gadījumos ir jāievēro priekšnosacījums, proti, jāsaņem uzraudzības iestādes iepriekšēja atļauja. Regulas 43. pantā sīkāk aprakstīti nosacījumi nosūtīšanai, kas pamatojas uz saistošiem uzņēmuma noteikumiem, par pamatu ņemot pašreizējo praksi un uzraudzības iestāžu prasības. Regulas 44. pantā uzskaitītas un izskaidrotas atkāpes attiecībā uz datu nosūtīšanu, pamatojoties uz Direktīvas 95/46/EK 26. pantu. Jo īpaši tas attiecas uz datu nosūtīšanu, ko pieprasa un kas ir vajadzīga, lai aizsargātu svarīgas sabiedrības intereses, piemēram, kad starptautiska datu nosūtīšana notiek starp konkurences iestādēm, nodokļu vai muitas iestādēm vai dienestiem, kuru kompetencē ir sociālā nodrošinājuma jautājumi vai zivsaimniecības pārvaldība. Turklāt datu nosūtīšanu, ierobežotos apstākļos, var attaisnot ar datu pārziņa vai apstrādātāja likumīgām interesēm, taču tikai tad, kad ir novērtēti un dokumentēti konkrētās nosūtīšanas apstākļi. Regulas 45. pantā skaidri noteikti personas datu aizsardzības starptautiskās sadarbības mehānismi starp Komisiju un trešo valstu uzraudzības iestādēm, jo īpaši ar tām valstīm, par kurām uzskata, ka tās nodrošina pietiekamu aizsardzības līmeni, ņemot vērā Ekonomiskās sadarbības un attīstības organizācijas (ESAO) 2007. gada 12. jūnija ieteikumu par pārrobežu sadarbību, piemērojot likumus par privātuma aizsardzību. 3.4.6. IV NODAĻA – NEATKARĪGAS UZRAUDZĪBAS IESTĀDES 3.4.6.1. 1. iedaļa – Neatkarība Regulas 46. pants uzliek pienākumu dalībvalstīm izveidot uzraudzības iestādes, pamatojoties uz Direktīvas 95/46/EK 28. panta 1. punktu un paplašinot uzraudzības iestādes uzdevumu spektru, ietverot uzdevumu sadarboties gan savstarpēji, gan ar Komisiju. Regulas 47. pantā skaidroti nosacījumi, kas izvirzīti uzraudzības iestādes neatkarībai, īstenojot Eiropas Savienības Tiesas judikatūru[34] un vadoties no Regulas (EK) Nr. 45/2001 44. panta[35]. Regulas 48. pantā paredzēti vispārīgi noteikumi par uzraudzības iestādes locekļiem, ar šiem noteikumiem īstenota aktuālā tiesu prakse[36], par paraugu ņemot Regulas (EK) 45/2001 42. panta 2. punktu. Regulas 49. pantā ietverti uzraudzības iestādes izveides noteikumi, kas dalībvalstīm jānosaka ar likumu. Regulas 50.pantā noteikts uzraudzības iestādēs locekļu un darbinieku dienesta noslēpuma glabāšanas pienākums un tā pamatā ir Direktīvas 95/46/EK 28. panta 7. punkts. 3.4.6.2. 2. iedaļa – Pienākumi un pilnvaras Regulas 51. pantā noteikta uzraudzības iestādes kompetence. Vispārīgais noteikums, pamatojoties uz Direktīvas 95/46/EK 28. panta 6. punktu (kompetence savas dalībvalsts teritorijā), ir papildināts, piešķirot kompetenci būt par vadošo iestādi gadījumos, kad datu pārzinim vai apstrādātājam ir institūcijas vairākās dalībvalstīs, lai nodrošinātu piemērošanas vienotību ("vienas pieturas aģentūra"). Tiesas, kad tās pilda tiesas spriešanas funkciju, izņēmuma kārtā ir atbrīvotas no uzraudzības iestādes uzraudzības, taču tām ir jāpiemēro datu aizsardzības tiesību materiālie noteikumi. Regulas 52. pantā noteikti uzraudzības iestādes pienākumi, ietverot sūdzību uzklausīšanu un izmeklēšanu un sabiedrības informētības uzlabošanu par riskiem, noteikumiem, aizsardzības pasākumiem un tiesībām. Regulas 53. pantā noteiktas uzraudzības iestādes pilnvaras, daļēji pamatojoties uz Direktīvas 95/46/EK 28. panta 3.punkta un Regulas (EK) 45/2001 47. panta noteikumiem, taču pievienojot arī dažus jaunus elementus, piemēram, pilnvaras sodīt par administratīviem pārkāpumiem. Regulas 54. pantā noteikts uzraudzības iestādes pienākums sagatavot gada ziņojumu par savu darbību, pamatojoties uz Direktīvas 95/46/EK 28. panta 5. punktu. 3.4.7. VII NODAĻA – SADARBĪBA UN KONSEKVENCE 3.4.7.1. 1. iedaļa – Sadarbība Regulas 55. pantā paredzēti skaidri noteikumi par obligātu savstarpēju palīdzību, ietverot arī sekas, kas iestājas, ja netiek ievērots citas uzraudzības iestādes pieprasījums, papildinot Direktīvas 95/46/EK 28. panta 6. punkta otro daļu. Regulas 56. pantā ietverti noteikumi par kopējām operācijām, iedvesmu smeļoties no Padomes Lēmuma 2008/615/TI[37] 17. panta noteikumiem, ietverot uzraudzības iestāžu tiesības piedalīties šādās operācijās. 3.4.7.2. 2. iedaļa – Konsekvence Regulas 57. pantā ieviests konsekvences mehānisms, lai nodrošinātu noteikumu vienādu piemērošanu saistībā ar apstrādes darbībām, kas varētu attiekties uz datu subjektiem vairākās dalībvalstīs. Regulas 58. pantā noteiktas procedūras un nosacījumi Eiropas Datu aizsardzības kolēģijas atzinuma sniegšanai. Regulas 59. pats attiecas uz Komisijas atzinumiem par konsekvences mehānisma jautājumiem, ar kuriem var vai nu atbalstīt Eiropas Datu aizsardzības kolēģijas atzinumu vai arī izteikt atšķirīgu viedokli, un uzraudzības iestādes pasākuma projektu. Ja jautājumu saskaņā ar regulas 58. panta 3. punktu izskata Eiropas Datu aizsardzības kolēģija, var sagaidīt, ka Komisija izmantos savu rīcības brīvību un nepieciešamības gadījumā sniegs atzinumu. Regulas 60. pants attiecas uz Komisijas lēmumiem, kuros kompetentajai iestādei pieprasa apturēt pagaidu pasākumu, kad tas ir nepieciešams, lai nodrošinātu pareizu šīs regulas piemērošanu. Regulas 61. pantā paredzēta iespēja pieņemt pagaidu pasākumus steidzamības kārtībā. Regulas 62. pantā noteiktas prasības Komisijas īstenošanas aktiem saskaņā ar konsekvences mehānismu. Regulas 63. pantā paredzēts pienākums izpildīt uzraudzības iestādes pasākumus visās attiecīgajās dalībvalstīs, un noteikts, ka konsekvences mehānisma piemērošana ir priekšnosacījums attiecīgā pasākuma juridiskajai spēkā esamībai un izpildei. 3.4.7.3. 3. iedaļa – Eiropas Datu aizsardzības kolēģija Ar regulas 64. pantu ir izveidota Eiropas Datu aizsardzības kolēģija, kas sastāv no katras dalībvalsts uzraudzības iestāžu vadītājiem un Eiropas Datu aizsardzības uzraudzītāja. Eiropas Datu aizsardzības kolēģija aizstāj Darba grupa personu aizsardzībai attiecībā uz personas datu apstrādi, kas izveidota saskaņā ar Direktīvas 95/46/EK 29. pantu. Ir paskaidrots, ka Komisija neietilpst Eiropas Datu aizsardzības kolēģijas sastāvā, bet tai ir tiesības piedalīties tās pasākumos un būt pārstāvētai. Regulas 65. pantā uzsvērta un skaidrota Eiropas Datu aizsardzības kolēģijas neatkarība. Regulas 66. pantā aprakstīti Eiropas Datu aizsardzības kolēģijas uzdevumi, pamatojoties uz Direktīvas 95/46/EK 30. panta 1. punktu, un paredzēti vēl papildu elementi, ņemot vērā Eiropas Datu aizsardzības kolēģijas paplašināto darbības jomu Savienībā un ārpus tās. Lai varētu reaģēt steidzamās situācijās, Komisijai dota iespēja lūgt atzinumu konkrētā termiņā. Regulas 67. pantā, pamatojoties uz Direktīvas 95/46/EK 30. panta 6. punktu, paredzēts, ka Eiropas Datu aizsardzības kolēģija katru gadu sagatavo ziņojumu par savu darbību. Regulas 68. pantā noteikta Eiropas Datu aizsardzības kolēģijas lēmumu pieņemšanas procedūra, ietverot pienākumu pieņemt reglamentu, kam jāattiecas arī uz darbības kārtību. Regulas 69. pantā ietverti noteikumi par Eiropas Datu aizsardzības kolēģijas priekšsēdētāju un priekšsēdētāja vietniekiem. Regulas 70. pantā noteikti priekšsēdētāja uzdevumi. Regulas 71. pantā noteikts, ka Eiropas Datu aizsardzības kolēģijas sekretariātu nodrošina Eiropas Datu aizsardzības uzraudzītājs, kā arī noteikti sekretariāta pienākumi. Regulas 72. pantā paredzēti konfidencialitātes noteikumi. 3.4.8. VII NODAĻA – TIESĪBU AIZSARDZĪBAS LĪDZEKĻI, ATBILDĪBA UN SANKCIJAS Regulas 73. pantā, pamatojoties uz Direktīvas 95/46/EK 28. panta 4. punktu, paredzēts, ka datu subjektam ir tiesības iesniegt sūdzību uzraudzības iestādē. Tajā konkrēti norādīts, kādas apvienības, organizācijas vai asociācijas var iesniegt sūdzību datu subjekta vārdā vai personas datu aizsardzības pārkāpuma gadījumā – neatkarīgi no datu subjekta sūdzības. Regulas 74. pantā paredzētas tiesību aizsardzības iespējas pret uzraudzības iestādi. Panta pamatā ir Direktīvas 95/46/EK 28. panta 3. panta vispārīgais noteikums. Paredzēts arī īpašs tiesību aizsardzības līdzeklis, uzliekot uzraudzības iestādei pienākumu reaģēt uz sūdzību, un skaidrota tās dalībvalsts tiesu kompetence, kurā atrodas uzraudzības iestāde. Tajā noteikts arī, ka uzraudzības iestāde datu subjekta dzīvesvietas dalībvalstī, var datu subjekta vārdā celt prasību tiesā tajā dalībvalstī, kurā atrodas kompetentā uzraudzības iestāde. Regulas 75. pants attiecas uz tiesību aizsardzības līdzekļiem pret pārzini un apstrādātāju, tā pamatā ir Direktīvas 95/46/EK 22. pants un tajā paredzētas tiesības izvēlēties tiesu dalībvalstī, kurā atrodas atbildētājs, vai datu subjekta dzīvesvietas dalībvalstī. Ja procedūra par vienu un to pašu jautājumu jau ir sākta konsekvences mehānisma ietvaros, tiesa var apturēt savu tiesvedību, izņemot steidzamos gadījumos. Regulas 76. pantā paredzēti vienoti tiesvedības noteikumi, ietverot apvienību, organizāciju vai asociāciju tiesības pārstāvēt datu subjektu tiesā, uzraudzības iestādes tiesības iesaistīties procesuālās darbībās, pienākumu informēt citas dalībvalsts tiesas par paralēlu tiesvedību un iespēju šādā gadījumā apturēt tiesvedību[38]. Ir paredzēts pienākums dalībvalstīm nodrošināt ātru tiesas rīcību[39]. Regulas 77. pantā noteiktas tiesības uz kompensāciju un risināts jautājums par atbildību. Tā pamatā ir Direktīvas 95/46/EK 23. pants, paplašinot tiesības uz apstrādātāja radīto zaudējumu atlīdzību un skaidrojot jautājumu par kopīgo pārziņu un kopīgo apstrādātāju atbildību. Regulas 78. pantā dalībvalstīm uzlikts pienākums paredzēt sodus par regulas pārkāpumiem un nodrošināt to īstenošanu. Regulas 79. pantā katrai uzraudzības iestādei noteikts pienākums sodīt par administratīviem pārkāpumiem, kas uzskaitīti šajā pantā iekļautajā sarakstā, uzliekot naudas sodus līdz to maksimālajam apmēram atkarībā no katras lietas individuālajiem apstākļiem. 3.4.9. IX NODAĻA – NOTEIKUMI PAR ĪPAŠĀM DATU APSTRĀDES SITUĀCIJĀM Regulas 80. pantā paredzēts dalībvalstu pienākums pieņemt izņēmumus un atkāpes no regulas īpašajiem noteikumiem, ja tas nepieciešams, lai nodrošinātu līdzsvaru starp personas datu aizsardzību un vārda un informācijas brīvību. Panta pamatā ir Direktīvas 95/46/EK 9. pants saskaņā ar ES Tiesas sniegto interpretāciju[40]. Regulas 81. pantā paredzēts dalībvalstu pienākums papildus nosacījumiem īpašām datu kategorijām nodrošināt īpašus aizsardzības pasākumus apstrādei saistībā ar veselības stāvokli. Regulas 82. pantā dalībvalstis pilnvarotas pieņemt īpašus likumus par personas datu apstrādi saistībā ar nodarbinātību. Regulas 83. pantā paredzēti īpaši nosacījumi personas datu apstrādei vēstures, statistikas un zinātniskās izpētes nolūkos. Regulas 84. pantā dalībvalstis tiek pilnvarotas pieņemt īpašus noteikumus par uzraudzības iestāžu piekļuves tiesībām personas datiem un telpām gadījumos, kad pārzinis ir pakļauts dienesta noslēpuma glabāšanas pienākumam. Regulas 85. pantā, ņemot vērā Līguma par Eiropas Savienības darbību 17. pantu, atļauts turpināt piemērot pastāvošos baznīcu personas datu aizsardzības noteikumus, ja tie ir saskaņā ar šo regulu. 3.4.10. X NODAĻA – DELEĢĒTIE AKTI UN ĪSTENOŠANAS AKTI Regulas 86. pantā ietverti standarta noteikumi par deleģēšanu saskaņā ar LESD 290. pantu. Tādējādi likumdevējs var deleģēt Komisijai pilnvaras pieņemt vispārēji piemērojamus neleģislatīvus aktus, lai papildinātu vai grozītu dažus nebūtiskus leģislatīvu aktu elementus. Regulas 87. pantā ietverts noteikums par komiteju procedūru, kas nepieciešama, lai piešķirtu Komisijai īstenošanas pilnvaras gadījumos, kad saskaņā ar LESD 291. pantu ir nepieciešami vienādi nosacījumi juridiski saistošo Savienības aktu īstenošanai. Piemēro pārbaudes procedūru. 3.4.11. XI NODAĻA – NOBEIGUMA NOTEIKUMI Ar regulas 88. pantu atceļ Direktīvu 95/46/EK. Regulas 89. pantā skaidrota saistība ar e-privātuma Direktīvu 2002/58/EK un grozīti tās noteikumi. Regulas 90. pantā Komisijai uzlikts pienākums novērtēt regulas darbību un iesniegt attiecīgus ziņojumus. Regulas 91. pantā noteikts regulas spēkā stāšanās termiņš un pārejas periods attiecībā uz piemērošanas dienu. 4. IETEKME UZ BUDŽETU Priekšlikuma ietekme uz budžetu īpaši saistīta ar Eiropas Datu aizsardzības uzraudzītāja uzdevumiem un tā sīkāk raksturota priekšlikuma finanšu pārskatā, kas pievienots šim priekšlikumam. Minētās ietekmes dēļ nepieciešams pārskatīt finanšu plāna 5. pozīciju. Priekšlikums neietekmē darbības izdevumus. Tiesību akta priekšlikuma finanšu pārskatā, kas pievienots šīs regulas priekšlikumam, apskatīta ietekme uz budžetu attiecībā uz šo regulu un direktīvu par datu aizsardzību policijas un tiesu iestādēs. 2012/0011 (COD) Priekšlikums EIROPAS PARLAMENTA UN PADOMES REGULA par fizisku personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti (Vispārīgā datu aizsardzības regula) (Dokuments attiecas uz EEZ) EIROPAS PARLAMENTS UN EIROPAS SAVIENĪBAS PADOME, ņemot vērā Līgumu par Eiropas Savienības darbību un jo īpaši tā 16. panta 2. punktu un 114. panta 1. punktu, ņemot vērā Eiropas Komisijas priekšlikumu, pēc leģislatīvā akta projekta nosūtīšanas valstu parlamentiem, ņemot vērā Eiropas Ekonomikas un sociālo lietu komitejas atzinumu[41], pēc apspriešanās ar Eiropas Datu aizsardzības uzraudzītāju[42], saskaņā ar parasto likumdošanas procedūru, tā kā: (1) Fizisku personu aizsardzība attiecībā uz personas datu aizsardzību ir pamattiesības. Eiropas Savienības Pamattiesību hartas 8. panta 1. punkts un Līguma 16. panta 1. punkts paredz, ka ikvienai personai ir tiesības uz savu personas datu aizsardzību. (2) Personas datu apstrādes mērķis ir kalpot cilvēkam; noteikumiem par fizisku personu aizsardzību attiecībā uz personas datu apstrādi un tās principiem neatkarīgi no fiziskās personas valstspiederības vai dzīvesvietas būtu jāievēro pamattiesības un brīvības un jo īpaši tiesības uz personas datu aizsardzību. Tai ir jāveicina brīvības, drošības un tiesiskuma telpas un ekonomikas savienības izveide, jāatbalsta ekonomikas un sociālais progress, iekšējā tirgus ekonomiku izaugsme un konverģence un iedzīvotāju labklājība. (3) Eiropas Parlamenta un Padomes 1995. gada 24. oktobra Direktīvas 95/46/EK par fizisku personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti[43] nolūks ir tuvināt fizisku personu pamattiesību un brīvību aizsardzību attiecībā uz apstrādes darbībām un garantēt personas datu brīvu apriti starp dalībvalstīm. (4) Ekonomikas un sociālā integrācija, kas izriet no iekšējā tirgus darbības, ir novedusi pie pārrobežu plūsmu ievērojama pieauguma. Datu apmaiņa starp uzņēmējdarbības vides un sociālā, valsts un privātā sektora pārstāvjiem visā Savienībā ir palielinājusies. Savienības tiesības aicina dalībvalstu iestādes sadarboties un apmainīties ar personas datiem, lai varētu pildīt savus pienākumus un veikt uzdevumus kādas iestādes vārdā citā dalībvalstī. (5) Ātrā tehnoloģiju izaugsme un globalizācija ir radījusi jaunas problēmas personas datu aizsardzības jomā. Datu apmaiņas un vākšanas apjoms ir dramatiski pieaudzis. Jaunākās tehnoloģijas ļauj gan privātām sabiedrībām, gan valsts iestādēm vēl nepieredzētā apjomā savas darbības mērķiem izmantot personas datus. Fiziskas personas aizvien biežāk personiska rakstura informāciju padara publiski un globāli pieejamu. Tehnika ir pārveidojusi ne tikai ekonomiku, bet arī sociālo dzīvi, un ir nepieciešams arī turpmāk uzlabot datu brīvu apriti Savienībā un nosūtīšanu uz trešām valstīm un starptautiskām organizācijām, vienlaikus nodrošinot personas datu augsta līmeņa aizsardzību. (6) Šī notikumu gaita nozīmē, ka jāveido spēcīgāks un saskaņotāks datu aizsardzības regulējums Savienībā, ko stiprina pienācīga izpilde, ņemot vērā to, cik nozīmīgi ir veidot uzticību, kas ļaus iekšējā tirgū uzplaukt digitālajai ekonomikai. Personām būtu jāspēj kontrolēt savi personas dati un būtu jāstiprina tiesiskā un praktiskā noteiktība fizisku personu, uzņēmēju un valsts iestāžu labā. (7) Direktīvas 95/46/EK mērķi un principi joprojām ir spēkā, taču tā nav spējusi novērst datu aizsardzības īstenošanas veidu sadrumstalotību Savienībā, tiesisko nenoteiktību un uzskata izplatīšanos sabiedrībā, ka jo īpaši tiešsaistes aktivitātes ir saistītas ar ievērojamu risku fizisku personu aizsardzībai. Personu tiesību un brīvību aizsardzības līmeņa atšķirības, jo īpaši fizisku personu aizsardzības līmeņa atšķirības dalībvalstīs attiecībā uz personas datu apstrādi, var kavēt personas datu brīvu apriti Savienībā. Šīs atšķirības tādēļ var kavēt iesaistīšanos virknē ekonomisku darbību Savienības līmenī, var radīt konkurences traucējumus un kavēt iestādes to pienākumu izpildē, kas paredzēti Savienības tiesību aktos. Šīs aizsardzības līmeņa atšķirības ir radušās tāpēc, ka Direktīva 95/46/EK tiek īstenota un piemērota dažādi. (8) Lai nodrošinātu konsekventu un augsta līmeņa aizsardzību fiziskām personām un novērstu šķēršļus personu datu apritei, personas tiesību un brīvību aizsardzības līmenim attiecībā uz šādu datu apstrādi visās dalībvalstīs jābūt vienādam. Visā Savienībā būtu jānodrošina noteikumu par fiziskas personas pamattiesību un brīvību aizsardzību attiecībā uz personas datu apstrādi vienveidīga piemērošana. (9) Lai personas datu aizsardzība visā Savienībā būtu efektīva, nepieciešams stiprināt un precizēt datu subjektu tiesības un to personu pienākumus, kas apstrādā personas datus un nosaka to apstrādi, turklāt nepieciešams piešķirt arī atbilstošas pilnvaras uzraudzīt un nodrošināt personas datu aizsardzības noteikumu ievērošanu un noteikt atbilstošas sankcijas pārkāpējiem dalībvalstīs. (10) Līguma 16. panta 2. punktā Eiropas Parlaments un Padome pilnvaroti paredzēt noteikumus par fizisko personu aizsardzību attiecībā uz personas datu apstrādi un noteikumus par šādu datu brīvu apriti. (11) Lai nodrošinātu fizisku personu konsekventu aizsardzību visā Savienībā un novērstu atšķirības, kas traucē datu brīvu apriti iekšējā tirgū, ir nepieciešama regula, lai sniegtu tiesisko noteiktību un pārskatāmību uzņēmējiem, tostarp mikrouzņēmumiem, maziem un vidējiem uzņēmumiem, nodrošinātu fiziskām personām visās dalībvalstīs vienādas juridiski īstenojamas tiesības un pienākumus un pārziņu un apstrādātāju atbildību, nodrošinātu konsekventu personas datu apstrādes uzraudzību un atbilstošas sankcijas visās dalībvalstīs, kā arī efektīvu uzraudzības iestāžu sadarbību dažādās dalībvalstīs. Lai ņemtu vērā mikrouzņēmumu, mazo un vidējo uzņēmumu īpašo situāciju, šajā regulā ietvertas vairākas atkāpes. Turklāt Savienības iestādes un struktūras, dalībvalstis un to uzraudzības iestādes tiek rosinātas, piemērojot šo regulu, ņemt vērā mikrouzņēmumu, mazo un vidējo uzņēmumu īpašās vajadzības. Mikrouzņēmumu, mazo un vidējo uzņēmumu jēdziens būtu jābalsta uz Komisijas 2003. gada 6. maija ieteikumā 2003/361/EK sniegto mikrouzņēmumu, mazo un vidējo uzņēmumu definīciju. (12) Šajā regulā noteiktā aizsardzība attiecībā uz personas datu apstrādi paredzēta fiziskām personām neatkarīgi no to valstspiederības vai dzīvesvietas. Šajā regulā noteiktā aizsardzība nebūtu jāattiecina uz juridisku personu datu apstrādi, jo īpaši attiecībā uz uzņēmumiem, kam ir juridiskas personas statuss, ietverot juridiskās personas nosaukumu, uzņēmējdarbības formu un kontaktinformāciju. Tas pats attiecas arī uz gadījumiem, kad juridiskas personas nosaukums ietver vienas vai vairāku fizisku personu vārdus vai uzvārdus. (13) Fizisku personu aizsardzībai būtu jābūt tehnoloģiski neitrālai un neatkarīgai no izmantotajiem paņēmieniem, jo pretējā gadījumā tas radītu nopietnu likuma apiešanas risku. Fizisku personu aizsardzībai būtu jāattiecas gan uz personas datu apstrādi ar automatizētiem līdzekļiem, gan uz datu manuālu apstrādi, ja dati ir ietverti vai tos paredzēts ietvert kartotēkā. Šīs regulas piemērošanas jomā neietilpst datnes vai datņu kopumi, kā arī to ievadlapas, kuras nav sakārtotas atbilstoši speciāliem kritērijiem. (14) Šī regula neattiecas uz jautājumiem par pamattiesību un brīvību aizsardzību vai tādu datu brīvu apriti, kas saistīti ar darbībām, kas neietilpst Savienības tiesību piemērošanas jomā, tāpat tā neattiecas uz personas datu apstrādi Savienības iestādēs, struktūrās, birojos un aģentūrās, kas ietilpst Regulas (EK) Nr. 45/2001[44] piemērošanas jomā, un neattiecas arī uz personas datu apstrādi, ko veic dalībvalstis, rīkojoties saistībā ar Eiropas Savienības Kopējo ārpolitiku un drošības politiku. (15) Šī regula nebūtu jāpiemēro fiziskas personas īstenotai personas datu apstrādei, ja šie dati ir tikai personiska vai sadzīviska rakstura, kā piemēram, korespondence un adrešu saraksti, un apstrādei nav nekāda peļņas gūšanas nolūka, un tā nekādi nav saistīta ar profesionālu vai komerciālu darbību. Izņēmums nebūtu jāpiemēro arī pārziņiem vai apstrādātājiem, kas nodrošina personas datu apstrādes līdzekļus šādām personiska vai sadzīviska rakstura darbībām. (16) Fizisku personu aizsardzība attiecībā uz personas datu apstrādi, ko veic kompetentas iestādes, lai novērstu, izmeklētu, atklātu noziedzīgus nodarījumus, sauktu pie atbildības par tiem vai izpildītu kriminālsodus, un par šādu datu brīvu apriti ir cita speciāla Savienības līmeņa tiesību akta priekšmets. Tāpēc šī regula nebūtu jāpiemēro apstrādes darbībām, kas veiktas minētajos nolūkos. Taču datu apstrādi, ko saskaņā ar šo regulu veic valsts iestādes, ja to izmanto noziedzīgu nodarījumu novēršanai, izmeklēšanai un atklāšanai, lai sauktu pie atbildības par tiem vai izpildītu kriminālsodus, būtu jāregulē speciālam Savienības līmeņa tiesību aktam (Direktīva XX/YYY). (17) Šai regulai nebūtu jāskar Direktīvas 2000/31/EK piemērošana, jo īpaši attiecībā uz direktīvas 12. un 15. panta noteikumiem par pakalpojumu sniegšanas starpnieku atbildību. (18) Šī regula atļauj ņemt vērā principu par publisku piekļuvi oficiāliem dokumentiem, piemērojot regulā paredzētos noteikumus. (19) Personas datu apstrādei, kas notiek saistībā ar darbībām, ko veic pārziņa vai apstrādātāja institūcija Savienībā, būtu jānotiek saskaņā ar šo regulu neatkarīgi no tā, vai pati apstrāde notiek Savienībā. Institūcija nozīmē efektīvu un faktisku darbību, ko veic pastāvīga vienība. Šādas vienības juridiskā forma, vienalga, vai tā būtu filiāle vai meitasuzņēmums ar juridiskas personas statusu, šajā sakarā nav noteicošais faktors. (20) Lai nodrošinātu, ka fiziskām personām netiek liegta aizsardzība, kas tām pienākas saskaņā ar šo regulu, Savienībā dzīvojošu datu subjektu personas datu apstrāde, ko veic pārzinis, kas neatrodas Savienībā, būtu jāveic saskaņā ar šo regulu, ja apstrādes darbības ir saistītas ar preču vai pakalpojumu piedāvāšanu šādiem datu subjektiem vai ar šādu datu subjektu uzvedības novērošanu. (21) Lai noteiktu, vai apstrādes darbību var uzskatīt par datu subjekta "uzvedības novērošanu", būtu jāpārliecinās, vai fiziska persona tiek izsekota internetā ar datu apstrādes paņēmieniem, kas ietver "profila" piemērošanu fiziskai personai, jo īpaši, lai pieņemtu lēmumus saistībā ar datu subjektu vai analizētu vai iepriekšparedzētu viņa personīgās vēlmes, uzvedību un attieksmi. (22) Ja, ievērojot starptautisko publisko tiesību normas, ir piemērojamas dalībvalsts tiesības, arī šai regulai vajadzētu būt piemērojamai pārzinim, kas neatrodas Savienībā, piemēram, pārzinim dalībvalsts diplomātiskajā pārstāvniecībā vai konsulātā. (23) Aizsardzības principi būtu jāattiecina uz jebkādu informāciju par identificētu vai identificējamu personu. Lai noteiktu, vai persona ir identificējama, būtu jāņem vērā visi līdzekļi, ko pārzinis vai kāda cita persona pamatoti varētu izmantot, lai identificētu fizisku personu. Aizsardzības principus nebūtu jāpiemēro datiem, ko sniedz anonīmi — tā, ka datu subjekts vairs nav identificējams. (24) Izmantojot tiešsaistes pakalpojumus, fiziskām personām var piešķirt tiešsaistes identifikatorus, ko izmanto viņu ierīces, lietojumprogrammas, rīki un protokoli, kā piemēram interneta protokola adreses vai sīkdatņu identifikatori. Tādējādi iespējams tiek atstātas pēdas, ko savienojumā ar unikāliem identifikatoriem vai citu informāciju, ko saņem serveri, var izmantot, lai veidotu fizisku personu profilus un tos identificētu. No tā var secināt, ka identifikācijas numurus, atrašanās vietas datus, tiešsaistes identifikatorus vai citus īpašus faktorus pašus par sevi ne vienmēr vajag uzskatīt par personas datiem. (25) Piekrišana ir jādod nepārprotami, izmantojot jebkādu piemērotu metodi, kas ļauj sniegt brīvu, konkrētu un apzinātu norādi par datu subjekta vēlmēm, vai nu ar paziņojumu, vai skaidri apstiprinošu datu subjekta darbību, nodrošinot, ka persona apzinās, ka tā sniedz piekrišanu personas datu apstrādei, tas ietver laukuma atzīmēšanu ar ķeksīti interneta tīmekļa vietnē un jebkuru citu paziņojumu vai rīcību, kas konkrētajos apstākļos skaidri norāda, ka datu subjekts piekrīt piedāvātajai personas datu apstrādei. Klusēšanai vai atturēšanās no darbības tādējādi nebūtu jāuzskata par piekrišanu. Piekrišanai būtu jāattiecas uz visām apstrādes darbībām, ko veic vienā un tajā pašā nolūkā vai nolūkos. Ja datu subjekta piekrišana ir jādod pēc elektroniska pieprasījuma saņemšanas, pieprasījumam jābūt skaidram, kodolīgam un tam nav nevajadzīgi jāpārtrauc tā pakalpojuma izmantošana, par ko tas tiek sniegts. (26) Personas datiem par veselību būtu jo īpaši jāaptver visi dati, kas norāda uz datu subjekta veselības stāvokli; informāciju par personas reģistrāciju ar veselību saistītu pakalpojumu saņemšanai; informāciju par maksājumiem vai tiesībām saņemt veselības aprūpi; numuru, simbolu vai zīmi, kas piešķirta personai, lai to viennozīmīgi identificētu veselības aprūpes nolūkos; jebkuru informāciju par personu, ko vāc ar veselības aprūpi saistītu pakalpojumu sniegšanas laikā; informāciju, kas iegūta, pārbaudot vai izmeklējot kādu ķermeņa daļu vai no tā iegūtu materiālu, tai skaitā bioloģiskus paraugus; informāciju, kas identificē kādu personu kā veselības aprūpes pakalpojumu sniedzēju personai; vai citu informāciju par, piemēram, slimību, traucējumiem, slimības risku, slimības vēsturi, klīnisko aprūpi vai par aktuālo datu subjekta fizisko vai biomedicīnisko stāvokli, neatkarīgi no tās avota, piemēram, ārsta vai cita veselības aprūpes nozares pārstāvja, slimnīcas, medicīniskas ierīces vai in vitro diagnostikas testa. (27) Pārziņa galvenās institūcijas atrašanās vieta Savienībā būtu jānosaka, izmantojot objektīvus kritērijus, un tam būtu jānozīmē efektīvas un faktiskas pārvaldes darbības, pieņemot galvenos lēmumus par apstrādes nolūkiem, nosacījumiem un līdzekļiem, ko veic pastāvīga vienība. Šim kritērijam nav jābūt atkarīgam no tā, vai personas datu apstrāde faktiski tiek veikta šajā vietā; personas datu apstrādei vai apstrādes darbībām nepieciešamo tehnisko līdzekļu un tehnoloģiju esība un izmantošana pati par sevi nenozīmē šādas galvenās institūcijas atrašanās vietas esību un nav noteicošie kritēriji galvenās institūcijas atrašanās vietas noteikšanai. Apstrādātāja galvenās institūcijas atrašanās vietai būtu jābūt galvenās pārvaldes institūcijas atrašanās vietai Savienībā. (28) Uzņēmumu grupai būtu jāietver kontrolējošais uzņēmums un tā kontrolētie uzņēmumi, turklāt par kontrolējošu uzņēmumu būtu jāuzskata uzņēmums, kam var būt dominējoša ietekme uz citu uzņēmumu, piemēram, īpašumtiesību, finanšu līdzdalības vai reglamentējošu noteikumu dēļ, vai pilnvaras panākt personas datu aizsardzības noteikumu īstenošanu. (29) Bērni ir pelnījuši īpašu savu personas datu aizsardzību, jo tie var pietiekami neapzināties riskus, sekas, aizsardzības pasākumus un savas tiesības saistībā ar personas datu apstrādi. Lai noteiktu, kad persona ir uzskatāma par bērnu, šajā regulā būtu jāpārņem ANO Konvencijas par bērna tiesībām definīcija. (30) Jebkurai personas datu apstrādei būtu jābūt likumīgai, godprātīgai un caurskatāmai attiecīgajām personām. Jo īpaši konkrētajiem datu apstrādes nolūkiem būtu jābūt nepārprotamiem un likumīgiem un noteiktiem jau datu vākšanas laikā. Datiem būtu jābūt adekvātiem, atbilstīgiem un jāaprobežojas ar minimumu, kas nepieciešams nolūkiem, kādiem šie dati tiek apstrādāti; tas jo īpaši prasa nodrošināt, ka vākto datu apjoms nav pārmērīgs un to glabāšanas termiņš ir ierobežots līdz stingram minimumam. Personas dati būtu jāapstrādā tikai tad, ja apstrādes nolūku nav iespējams sasniegt citiem līdzekļiem. Ir jāveic visi pamatoti pasākumi, lai nodrošinātu, ka neprecīzi personas dati tiek laboti vai dzēsti. Lai nodrošinātu, ka datus neglabā ilgāk, nekā tas ir nepieciešams, pārzinim būtu jānosaka termiņi, kad dati ir jādzēš vai periodiski jāpārskata. (31) Lai apstrāde būtu likumīga, personas datus būtu jāapstrādā, pamatojoties uz attiecīgās personas piekrišanu vai citu šajā regulā vai citā Savienības vai dalībvalsts likumā noteiktu leģitīmu pamatu un saskaņā ar šo regulu. (32) Ja apstrāde pamatojas uz datu subjekta piekrišanu, pārzinim būtu jāuzliek pienākums pierādīt, ka datu subjekts ir devis piekrišanu apstrādes darbībai. Jo īpaši saistībā ar rakstisku deklarāciju kādā citā jautājumā aizsardzības pasākumiem būtu jānodrošina, ka datu subjekts apzinās, ka viņš sniedz piekrišanu un kādā apmērā viņš to dara. (33) Lai nodrošinātu, ka piekrišana ir brīva, būtu jāprecizē, ka piekrišana nav derīgs juridiskais pamats, ja personai nav īstas un brīvas izvēles un viņš pēcāk bez zaudējumiem nevar atteikties vai atsaukt savu izvēli. (34) Piekrišanai nebūtu jābūt par derīgu personas datu apstrādes juridisko pamatu arī tad, ja ir skaidri saskatāma nevienlīdzība datu subjekta un pārziņa attiecībās. Tas jo īpaši ir gadījumos, kad datu subjekts ir atkarīgs no pārziņa, cita starpā, ja personas datu apstrāde izpaužas kā darbinieka personas datu apstrāde, ko veic darba devējs darba attiecību kontekstā. Ja pārzinis ir valsts iestāde nevienlīdzība būtu saskatāma tikai īpašās datu apstrādes darbībās, kad valsts iestāde var uzlikt pienākumu, pamatojoties uz savām valsts iestādes pilnvarām, un piekrišanu nevar uzskatīt par brīvu, ņemot vērā datu subjekta intereses. (35) Apstrādei būtu jābūt likumīgai, ja tas ir nepieciešams saistībā ar līgumu vai saistībā ar nolūku noslēgt līgumu. (36) Ja apstrādi veic, izpildot pārziņa juridiskās saistības vai ja apstrāde ir nepieciešama, lai veiktu uzdevumu sabiedrības interesēs vai, īstenojot valsts varu, apstrādes pamatam būtu jābūt noteiktam Savienības tiesībās vai dalībvalsts tiesībās, ievērojot Eiropas Savienības Pamattiesību hartas prasības attiecībā uz tiesību un brīvību ierobežojumiem. Turklāt Savienības vai valstu tiesību aktiem ir jānosaka arī tas, vai pārzinim, kurš veic uzdevumu sabiedrības interesēs vai īstenojot valsts varu, jābūt valsts pārvaldes iestādei vai citai fiziskai vai juridiskai personai, kas ir publisko tiesību subjekts vai privāttiesību subjekts, kā piemēram, profesionāla apvienība. (37) Personas datu apstrāde tāpat būtu jāuzskata par likumīgu, ja tā nepieciešama, lai aizsargātu kādas intereses, kas būtiski svarīgas datu subjekta dzīvei. (38) Pārziņa likumīgās intereses var būt apstrādes juridiskais pamats, ja datu subjekta intereses vai pamattiesības un brīvības nav svarīgākas. To būs nepieciešams rūpīgi izvērtēt, jo īpaši, ja datu subjekts ir bērns, ņemot vērā, ka bērniem ir nepieciešama īpaša aizsardzība. Datu subjektam būtu jābūt tiesībām iebilst pret apstrādi, pamatojoties uz to īpašo stāvokli un bez maksas. Lai nodrošinātu pārskatāmību pārzinim būtu jāuzliek pienākums skaidri informēt datu subjektu par pārziņa likumīgajām interesēm un datu subjekta tiesībām iebilst, turklāt būtu jāparedz pienākums dokumentēt šīs likumīgās intereses. Ņemot vērā, ka datu apstrādes juridisko pamatu valsts iestādēm ar likumu ir jānosaka likumdevējam, šis juridiskais pamats nebūtu piemērojams apstrādei, ko veic valsts iestādes, pildot savus uzdevumus. (39) Datu apstrāde tikai tādā apjomā, kas vajadzīgs tīkla un informācijas drošībai, piemēram, lai nodrošinātu tīkla vai informācijas sistēmu spēju zināmā uzticamības līmenī pretoties nejaušiem gadījumiem vai nelikumīgām un ļaunprātīgām darbībām, kas apdraudētu uzglabāto un nosūtīto datu pieejamību, autentiskumu, integritāti un konfidencialitāti, kā arī saistīto pakalpojumu drošību, kurus piedāvā šie tīkli vai sistēmas, vai caur kurām tie ir pieejami, ja to veic valsts iestādes, Datorapdraudējumu reaģēšanas vienības (CERT), Datordrošības incidentu reaģēšanas vienības (CSIRT), elektronisko sakaru tīklu un pakalpojumu nodrošinātāji un drošības tehnoloģiju un pakalpojumu sniedzēji, ir datu pārziņa likumīgas intereses. Tas varētu, piemēram, palīdzēt novērst neatļautu piekļuvi elektronisko komunikāciju tīkliem un ļaunprātīgu kodu izplatīšanu, kā arī apturēt uzbrukumus pakalpojumiem un novērst datoru un elektronisko komunikāciju sistēmu bojājumus. (40) Personas datu apstrāde citos nolūkos būtu jāatļauj tikai tad, ja apstrāde notiek, saskaņā ar tiem nolūkiem, kuriem dati sākotnēji vākti, jo īpaši, ja apstrāde ir nepieciešama vēstures, statistikas vai zinātniskās izpētes nolūkos. Ja cits nolūks nav savienojams ar sākotnējo nolūku, kuram dati tika vākti, pārzinim būtu jāsaņem datu subjekta piekrišana šim citam nolūkam vai jārod apstrādei cits leģitīms pamats, lai tā būtu likumīga, jo īpaši saskaņā ar Savienības tiesībām vai dalībvalsts tiesībām, kas ir piemērojamas pārzinim. Jebkurā gadījumā būtu jānodrošina, ka tiek ievēroti šajā regulā noteiktie principi un jo īpaši datu subjekta tiesības uz informāciju par citiem apstrādes nolūkiem. (41) Personas dati, kas pēc savas būtības ir īpaši sensitīvi un neaizsargāti saistībā ar pamattiesībām vai privātumu, ir īpaši jāaizsargā. Šādus datus nebūtu jāapstrādā, izņemot, ja datu subjekts tam nepārprotami piekrīt. Tomēr attiecībā uz īpašām vajadzībām būtu skaidri jāparedz atkāpes no šā aizlieguma, jo īpaši, ja apstrādi veic konkrētas asociācijas vai nodibinājumi savu likumīgo darbību ietvaros, kuru nolūks ir atļaut izmantot pamatbrīvības. (42) Atkāpes no sensitīvu datu kategoriju apstrādes aizlieguma būtu jāpieļauj arī tad, ja tās paredzētas likumā un tām paredzēti atbilstoši aizsardzības pasākumi, lai aizsargātu personas datus un citas pamattiesības, ja to attaisno sabiedrības intereses un jo īpaši ar veselību saistītos nolūkos, ietverot, sabiedrības veselību un sociālo aizsardzību un veselības aprūpes pakalpojumu pārvaldi jo īpaši, lai nodrošinātu kvalitāti un rentabilitāti procedūrām, ko izmanto, lai izskatītu pakalpojumu un citu priekšrocību pieprasījumus veselības apdrošināšanas sistēmā, vai vēstures, statistikas un zinātniskās izpētes nolūkos. (43) Turklāt valsts iestāžu veiktā oficiāli atzītu reliģisku apvienību personu datu apstrāde, lai sasniegtu konstitucionālajās tiesībās vai starptautiskajās publiskajās tiesībās paredzētos mērķus, tiek veikta, pamatojoties uz sabiedrības interesēm. (44) Dažās dalībvalstīs vēlēšanu pasākumu laikā demokrātiskās sistēmas darbība prasa, lai politiskās partijas vāktu datus par cilvēku politiskajiem uzskatiem, šādu datu apstrādi var pieļaut, pamatojoties uz sabiedrības interesēm, ar noteikumu, ka ir noteikti atbilstoši aizsardzības pasākumi. (45) Ja pārziņa apstrādātie dati neļauj pārzinim identificēt fizisku personu, datu pārzinim nebūtu jāuzliek pienākums iegūt papildu informāciju, lai identificētu datu subjektu, ja ieguves vienīgais nolūks ir kāda šīs regulas noteikuma ievērošana. Ja ir izteikts pieprasījums piekļūt datiem, datu pārzinim būtu jāpiešķir tiesības prasīt datu subjektam papildu informāciju, kas ļautu datu pārzinim noteikt personas datus, kurus šī persona meklē. (46) Caurskatāmības principa pamatā ir prasība, ka visai informācijai, kas adresēta sabiedrībai vai datu subjektam, vajadzētu būt viegli pieejamai un viegli saprotamai un ir jāizmanto skaidra un vienkārša valoda. Tas ir jo īpaši svarīgi tādās situācijās, kā piemēram, tiešsaistes reklāma, kad iesaistīto personu skaits un praksē izmantoto tehnoloģiju sarežģītība, apgrūtina datu subjekta iespējas zināt un saprast, vai tiek vākti viņa personas dati, kas to dara un kādam nolūkam. Ņemot vērā, ka bērni ir īpaši jāaizsargā, ja apstrāde īpaši attiecas uz bērnu, informācija būtu jāsniedz un saziņa jāveic tik skaidrā un vienkāršā valodā, ka bērns to viegli var saprast. (47) Būtu jāparedz kārtība, kas atvieglotu datu subjektam šajā regula paredzēto tiesību izmantošanu, tai skaitā mehānismi, kā bez maksas pieprasīt piekļuvi datiem, to labošanu un dzēšanu un kā izmantot tiesības iebilst. Pārzinim būtu jāuzliek pienākums atbildēt uz datu subjekta pieprasījumiem noteiktā termiņā un minēt iemeslus, kāpēc datu subjekta pieprasījums nav izpildāms. (48) Godprātīgas un caurskatāmas apstrādes principi nozīmē, ka datu subjektam būtu jābūt informētam jo īpaši par apstrādes darbībām un to nolūkiem, cik ilgi datus glabās, par piekļuves, labošanas vai dzēšanas tiesībām un par tiesībām iesniegt sūdzību. Ja datus vāc no datu subjekta, datu subjekts būtu jāinformē, vai viņam ir pienākums sniegt datus un kāds būs sekas, ja viņš šos datus nesniegs. (49) Informācija par datu subjekta personas datu apstrādi būtu tam jāsniedz datu ieguves brīdī vai, ja datus neiegūst no datu subjekta, saprātīgā termiņā atkarībā no lietas apstākļiem. Ja datus var likumīgi atklāt citam saņēmējam, datu subjekts būtu jāinformē, kad dati pirmo reizi tiek izpausti saņēmējam. (50) Tomēr šo pienākumu nav vajadzīgs noteikt gadījumos, kad šī informācija jau ir datu subjekta rīcībā vai ja datu reģistrācija un izpaušana ir skaidri paredzēta likumā, vai ja informācijas sniegšana datu subjektam nav iespējama vai prasītu nesamērīgas pūles. Pēdējais varētu jo īpaši attiekties uz gadījumiem, kad apstrādi veic vēsturiskiem, statistikas vai zinātniskās izpētes nolūkos; šajā sakarībā var ņemt vērā datu subjektu skaitu, datu vecumu un paredzētos kompensējošos pasākumus. (51) Jebkurai personai būtu jābūt tiesībām piekļūt datiem, kas par viņu savākti, un jāvar viegli izmantot šīs tiesības, lai apzinātu un pārbaudītu apstrādes likumību. Katram datu subjektam tāpēc būtu jābūt tiesībām zināt un saņemt paziņojumu jo īpaši par to, kādos nolūkos datus apstrādā, cik ilgi, kas saņem datus, kāda ir datu apstrādes loģika un kādas varētu būt, vismaz ja apstrāde pamatojas uz profilēšanu, šādas apstrādes sekas. Šīm tiesībām nevajadzētu nelabvēlīgi ietekmēt citu personu tiesības un brīvības, ietverot tirdzniecības noslēpumus vai intelektuālā īpašuma tiesības un jo īpaši autortiesības, ar ko aizsargāta programmatūra. Tomēr šādu apsvērumu rezultāts nedrīkstētu būt tāds, ka datu subjektam tiek liegta jebkāda informācija. (52) Pārzinim būtu jāizmanto visi saprātīgi pasākumi, lai pārbaudītu datu subjekta, kas izdara pieprasījumu, identitāti, jo īpaši saistībā ar tiešsaistes pakalpojumiem un tiešsaistes identifikatoriem. Pārzinim nebūtu jāglabā personas dati, ja vienīgais šādas glabāšanas nolūks ir būt spējīgam reaģēt uz iespējamiem pieprasījumiem. (53) Personai būtu jābūt tiesībām uz viņa personas datus labošanu un "tiesībām tikt aizmirstam", ja šādu datu glabāšana nav paredzēta šajā regulā. Jo īpaši datu subjektiem būtu jābūt tiesībām uz viņu personas datu dzēšanu un apstrādes neturpināšanu, ja dati vairs nav nepieciešami saistībā ar nolūkiem, kuriem tie iegūti vai citādi apstrādāti, ja datu subjekts ir atsaucis piekrišanu apstrādei, vai ja datu subjekts iebilst pret savu personas datu apstrādi, vai ja viņu personas datu apstrāde citā veidā ir pretrunā ar šo regulu. Šīs tiesības ir īpaši svarīgas, ja datu subjekts ir devis piekrišanu kā bērns, pilnībā neapzinoties ar apstrādi saistītos riskus un vēlāk vēlas izņemt šādus personas datus jo īpaši no interneta. Tomēr datu turpmāka saglabāšana būtu jāatļauj, ja tas ir nepieciešams vēstures, statistikas un zinātniskās izpētes nolūkos, pamatojoties uz sabiedrības interesēm sabiedrības veselības aizsardzības jomā, lai izmantotu tiesības uz vārda un informācijas brīvību, kad to paredz likums, vai ja pastāv iemesls dzēšanas vietā ierobežot datu apstrādi. (54) Lai stiprinātu "tiesības tikt aizmirstam" tiešsaistes vidē, tiesības uz datu dzēšanu būtu paplašināti jāpiemēro tā, lai pārzinim, kas ir publicējis personas datus, būtu pienākums informēt trešās personas, kas apstrādā šādus datus, ka datu subjekts ir pieprasījis dzēst visas saites uz šiem personas datiem, to kopijas vai atveidojumus. Lai nodrošinātu šo informāciju, pārzinim būtu jāveic visi saprātīgi pasākumi, ietverot arī tehniskos pasākumus, saistībā ar datiem, par kuru publicēšanu pārzinis ir atbildīgs. Saistībā ar personas datu publicēšanu, ko veikusi trešā puse, pārzinis būtu jāuzskata par atbildīgu par šo publicēšanu, ja pārzinis ir atļāvis trešai pusei publicēt datus. (55) Lai vēl vairāk stiprinātu kontroli pār saviem datiem un piekļuves tiesības, datu subjektam gadījumos, kad personas datus apstrādā elektroniskiem līdzekļiem un strukturētā un plaši izmantotā formātā, vajadzētu būt tiesībām iegūt savu datu kopiju plaši izmantotā elektroniskā formātā. Datu subjektam būtu jāatļauj arī nosūtīt datus, ko viņš ir sniedzis, no vienas automatizētas lietotnes, piemēram, sociālā tīkla, uz citu. Tas būtu piemērojams, ja datu subjekts sniedza datus automatizētas apstrādes sistēmai, pamatojoties uz piekrišanu vai izpildot līgumu. (56) Gadījumos, kad personas datus var likumīgi apstrādāt, lai aizsargātu īpaši svarīgas datu subjekta intereses vai, pamatojoties uz sabiedrības interesēm, valsts varas īstenošanu vai pārziņa likumīgām interesēm, datu subjektam tomēr būtu jābūt tiesībām iebilst pret jebkādu uz viņu attiecināmu datu apstrādi. Pierādīšanas pienākums būtu jāuzliek pārzinim, proti, pierādīt, ka viņa likumīgās intereses ir svarīgākas par datu subjekta pamattiesībām un brīvībām. (57) Ja personas datus apstrādā tiešās tirgvedības nolūkos, datu subjektam vajadzētu būt tiesībām viegli izmantojamā un efektīvā veidā bez maksas iebilst pret šādu apstrādi. (58) Katrai fiziskai personai vajadzētu būt tiesībām nebūt pakļautai pasākumam, kas pamatojas uz profilēšanu ar automatizētas apstrādes līdzekļiem. Tomēr šādus pasākumus būtu jāatļauj, ja tas tieši paredzēts likumā, veikts līguma noslēgšanas vai izpildes gaitā vai ja datu subjekts ir devis savu piekrišanu. Jebkurā gadījumā uz šādu apstrādi jāattiecina atbilstoši aizsardzības pasākumi, ietverot datu subjekta īpašu informēšanu un tiesības panākt cilvēka iejaukšanos, un šāda pasākuma neattiecināšanu uz bērnu. (59) Savienības vai dalībvalstu tiesībās var paredzēt ierobežojumus atsevišķiem principiem un tiesībām uz informāciju, piekļuvi, labošanu un dzēšanu vai tiesībām uz datu pārnešanu un tiesībām iebilst, kā arī pasākumiem, kas pamatojas uz profilēšanu, un tiesībām uz personas datu aizsardzības pārkāpumu paziņošanu datu subjektam un dažiem citiem ar to saistītiem pārziņa pienākumiem tādā apmērā, cik tas demokrātiskā sabiedrībā ir nepieciešami un samērīgi, lai garantētu sabiedrības drošību, ietverot cilvēka dzīvības aizsardzību, jo īpaši reaģējot uz dabas vai cilvēka izraisītu katastrofu, noziedzīgu nodarījumu un regulēto profesiju ētikas kodeksu pārkāpumu novēršanu, izmeklēšanu un saukšanu pie atbildības par tiem, un citas Savienības vai dalībvalsts intereses, jo īpaši svarīgas Savienības vai dalībvalsts ekonomikas vai finanšu intereses, vai datu subjekta interešu un citu personu tiesību un brīvību aizsardzību. Šiem ierobežojumiem būtu jābūt saskaņā ar Eiropas Savienības Pamattiesību hartas un Eiropas Cilvēktiesību un pamatbrīvību aizsardzības konvencijas noteikumiem. (60) Būtu jāparedz vispusīga pārziņa atbildība par personas datu apstrādi, ko veic pārzinis vai pārziņa vārdā. Jo īpaši pārzinim būtu jāuzliek pienākums nodrošināt un uzskatāmi parādīt, ka katra apstrādes darbība notiek saskaņā ar šo regulu. (61) Datu subjektu tiesību un brīvību aizsardzība attiecībā uz personas datu apstrādi prasa atbilstošus tehniskus un organizatoriskus pasākumus gan apstrādes sistēmas izveides laikā, gan pašas apstrādes laikā, lai nodrošinātu, ka tiek ievērotas šīs regulas prasības. Lai nodrošinātu un uzskatāmi parādītu, ka šī regula ir ievērota, pārzinim būtu jāpieņem iekšējas vadlīnijas un jāīsteno atbilstoši pasākumi, kas jo īpaši atbilst integrētas datu aizsardzības un datu aizsardzības pēc noklusējuma principiem. (62) Datu subjekta tiesību un brīvību aizsardzība un pārziņa un apstrādātāja pienākumi un atbildība, arī saistībā ar uzraudzības iestāžu uzraudzību un īstenotajiem pasākumiem, prasa skaidri sadalīt pienākumus saskaņā ar šo regulu, tostarp arī tajos gadījumos, kad pārzinis apstrādes nolūkus, nosacījumus un līdzekļus nosaka kopā ar citiem pārziņiem vai gadījumos, kad apstrādes darbības tiek veiktas pārziņa vārdā. (63) Ja pārzinis, kas neatrodas Savienībā, apstrādā Savienībā dzīvojošu datu subjektu personas datus un šīs apstrādes darbības ir saistītas ar preču vai pakalpojumu piedāvāšanu šiem datu subjektiem vai ar viņu uzvedības novērošanu, pārzinim būtu jānorīko pārstāvis, izņemot, ja pārzinis atrodas valstī, kas nodrošina pietiekamu aizsardzības līmeni, vai ja pārzinis ir mazs vai vidējs uzņēmums vai valsts iestāde, vai struktūra, vai ja pārzinis preces un pakalpojumus šādiem datu subjektiem piedāvā tikai palaikam. Pārstāvim būtu jārīkojas pārziņa vārdā un pie tā var vērsties jebkura uzraudzības iestāde. (64) Lai noteiktu, vai pārzinis tikai palaikam piedāvā preces un pakalpojumus datu subjektiem, kuru dzīvesvieta ir Savienībā, būtu jāpārliecinās, vai no pārziņa vispārīgās darbības acīmredzami izriet, ka preču un pakalpojumu piedāvāšana šādiem datu subjektiem ir tikai palīgdarbība salīdzinājumā ar galveno darbību. (65) Lai uzskatāmi parādītu, ka ir ievēroti šīs regulas noteikumi, pārzinim vai apstrādātājam būtu jādokumentē katra apstrādes darbība. Katram pārzinim un apstrādātājam vajadzētu būt pienākumam sadarboties ar uzraudzības iestādi un pēc pieprasījuma darīt šo dokumentāciju pieejamu, lai tā varētu kalpot apstrādes darbību uzraudzības vajadzībām. (66) Lai garantētu drošību un novērstu apstrādi, kas ir pretrunā ar šo regulu, pārzinim vai apstrādātājam būtu jānovērtē apstrādei raksturīgie riski un jāīsteno pasākumi šo risku mazināšanai. Šiem pasākumiem, ņemot vērā jaunākās tehniskās iespējas un to ieviešanas izmaksas, būtu jānodrošina attiecīga drošības pakāpe attiecībā uz apstrādei raksturīgajiem riskiem un aizsargājamo personas datu īpatnībām. Nosakot tehniskos standartus un organizatoriskos pasākumus, kas nodrošina apstrādes drošību, Komisijai būtu jāveicina tehnoloģiskā neitralitāte, savietojamība un inovācija un attiecīgos gadījumos jāsadarbojas ar trešām valstīm. (67) Ja uz personas datu aizsardzības pārkāpumiem nereaģē pienācīgi un savlaicīgi, tie var attiecīgajai personai radīt būtiskus ekonomiskos zaudējumus un sociālo kaitējumu, tostarp identitātes viltojumu. Tāpēc tiklīdz pārzinim ir kļuvis zināms, ka ir noticis šāds personas datu aizsardzības pārkāpums, pārzinim nekavējoties būtu jāpaziņo par pārkāpumu uzraudzības iestādei, ja iespējams, 24 stundu laikā. Ja to nevar paveikt 24 stundu laikā, paziņojumam būtu jāpievieno paskaidrojums par kavēšanās iemesliem. Personas, kuru datus var negatīvi ietekmēt šis pārkāpums, būtu bez kavēšanās jāinformē, lai tie varētu veikt nepieciešamos piesardzības pasākumus. Pārkāpumu būtu jāuzskata par tādu, kas var negatīvi ietekmēt datu subjekta personas datus vai privāto dzīvi, ja tā rezultātā iespējama, piemēram, identitātes zādzība vai viltošana, fizisks kaitējums, nopietns pazemojums vai reputācijas aizskārums. Paziņojumā būtu jāapraksta personas datu aizsardzības pārkāpuma būtība, kā arī ieteikumi, kā attiecīga persona varētu mīkstināt iespējamās negatīvās sekas. Paziņošana datu subjektam būtu jāveic cik vien iespējams ātri un ciešā sadarbībā ar uzraudzības iestādi, ievērojot tās vai citas attiecīgas iestādes (piemēram, tiesībaizsardzības iestādes) sniegtos norādījumus. Piemēram, lai datu subjektam dotu iespēju mīkstināt tūlītēju kaitējuma risku, būtu nepieciešams ātri sniegt attiecīgu paziņojumu datu subjektam, taču nepieciešamība īstenot piemērotus pasākumus, lai novērstu datu aizsardzības pārkāpuma turpināšanos vai līdzīgus pārkāpumus, var attaisnot kavēšanos. (68) Lai noteiktu, vai personas datu aizsardzības pārkāpums ir paziņots uzraudzības iestādei un datu subjektam bez nepamatotas kavēšanās, būtu jāpārliecinās, vai pārzinis ir īstenojis un piemērojis attiecīgus tehniskos un organizatoriskos aizsardzības pasākumus, lai nekavējoties noteiktu, vai ir noticis personas datu aizsardzības pārkāpums, un atbilstoši informētu uzraudzības iestādi un datu subjektu pirms ir radies kaitējums personiskajām un ekonomiskajām interesēm, jo īpaši ņemot vērā personas datu aizsardzības pārkāpuma būtību un smagumu, kā arī sekas un nelabvēlīgo ietekmi uz datu subjektu. (69) Nosakot sīki izstrādātus noteikumus par formātu un kārtību, kādā jāpaziņo par personas datu aizsardzības pārkāpumiem, būtu pienācīgi jāņem vērā apstākļi, kādos noticis pārkāpums, tostarp tas, vai personas dati ir bijuši aizsargāti ar piemērotiem tehniskiem aizsarglīdzekļiem, ar kuru palīdzību var efektīvi ierobežot identitātes viltošanas vai cita veida ļaunprātīgas izmantošanas iespējamību. Turklāt, izstrādājot šādus noteikumus un kārtību, būtu jāņem vērā tiesībaizsardzības iestāžu likumīgās intereses gadījumos, kad priekšlaicīga informācijas atklāšana varētu nevajadzīgi kavēt pārkāpuma apstākļu izmeklēšanu. (70) Direktīvā 95/46/EK bija noteikts vispārīgs pienākums paziņot par personas datu apstrādi uzraudzības iestādei. Šis pienākums radīja administratīvu un finanšu slogu un ne vienmēr palīdzēja uzlabot personas datu aizsardzību. Tāpēc šāds nekritisks vispārīgs paziņošanas pienākums būtu jāatceļ un jāaizstāj ar efektīvām procedūrām un mehānismiem, kas pievēršas tām apstrādes darbībām, kas visdrīzāk īpaši apdraud datu subjekta tiesības un brīvības savas būtības, apmēra vai nolūku dēļ. Šādos gadījumos pārzinim vai apstrādātājam pirms apstrādes būtu jāveic datu aizsardzības ietekmes novērtējums, kurā jo īpaši būtu jāietver paredzētie pasākumi, aizsardzības līdzekļi un mehānismi, kas nodrošina personas datu aizsardzību un kas uzskatāmi parāda, ka ir ievēroti šīs regulas noteikumi. (71) Tam jo īpaši būtu jāattiecas uz jaunizveidotām plaša mēroga kartotēkām, kuru mērķis ir ievērojama personas datu apjoma apstrāde reģionālā, valsts vai starpvalstu līmenī un kas var ietekmēt lielu datu subjektu skaitu. (72) Noteiktos apstākļos var būt saprātīgi un lietderīgi veikt plašāku datu aizsardzības ietekmes novērtējumu, kura priekšmets nav tikai viens projekts, piemēram, ja valsts iestādes vai struktūras vēlas izveidot vienotu lietotņu vai apstrādes platformu vai ja vairāki pārziņi plāno ieviest vienotu lietotņu vai apstrādes vidi kādā rūpniecības nozarē vai segmentā, vai kādai plaši lietotai horizontālai darbībai. (73) Datu aizsardzības ietekmes novērtējumus būtu jāveic valsts iestādei vai valsts struktūrai, ja šāds novērtējums jau nav veikts, pieņemot likumu, uz kuru pamatojas valsts iestādes vai struktūras darbs un kas regulē attiecīgo konkrēto apstrādes darbību vai apstrādes darbību kopumu. (74) Ja datu aizsardzības ietekmes novērtējums norāda, ka apstrādes darbības ir saistītas ar augstu īpaša apdraudējuma pakāpi datu subjekta tiesībām un brīvībām, kā piemēram, tiesību izmantošanas liegšana, vai saistībā ar īpašu, jaunu tehnoloģiju izmantošanu, pirms darbību uzsākšanas par riskanto apstrādi, kas varētu pārkāpt šīs regulas noteikumus, būtu jākonsultējas ar uzraudzības iestādi un jāiesniedz priekšlikumi, kā šo situāciju uzlabot. Šādām konsultācijām būtu vienlīdz jānotiek vai nu valsts parlamenta akta sagatavošanas gaitā, vai tāda pasākuma sagatavošanas gaitā, kas pamatojas uz likumdevēja aktu, kurā noteikts apstrādes raksturs un paredzēti atbilstoši aizsardzības līdzekļi. (75) Ja apstrādi veic publiskajā sektorā vai ja to privātajā sektorā veic liels uzņēmums, vai ja uzņēmuma galvenā darbība neatkarīgi no tā izmēra ir apstrādes darbības, kurām nepieciešama regulāra un sistemātiska uzraudzība, kādai personai būtu jāpalīdz pārzinim vai apstrādātājam iekšēji uzraudzīt šīs regulas ievērošanu. Šādiem datu aizsardzības inspektoriem, neatkarīgi no tā, vai viņus nodarbina pārzinis, būtu jāspēj neatkarīgi veikt savus uzdevumus un pienākumus. (76) Lai atvieglotu šīs regulas efektīvu piemērošanu, pārziņu asociācijas vai citas tos pārstāvošas apvienības būtu jāmudina izstrādāt profesionālās ētikas kodeksus, ievērojot šajā regulā paredzētos ierobežojumus un ņemot vērā apstrādes īpatnības konkrētās nozarēs. (77) Lai uzlabotu caurskatāmību un šīs regulas ievērošanu, būtu jāiedrošina izstrādāt sertifikācijas mehānismus un datu aizsardzības zīmogus un marķējumus, kas ļautu datu subjektam ātri novērtēt datu aizsardzības līmeni saistībā ar konkrētiem produktiem un pakalpojumiem. (78) Personas datu pārrobežu aprite ir vajadzīga starptautiskās tirdzniecības un sadarbības paplašināšanai. Šīs aprites palielināšanās ir radījusi jaunas problēmas un bažas par personas datu aizsardzību. Taču personām garantētajam aizsardzības līmenim nebūtu jāsamazinās tikai tāpēc, ka personas dati tiek nosūtīti no Savienības uz citām trešām valstīm vai starptautiskām organizācijām. Jebkurā gadījumā nosūtīt datus uz trešām valstīm var tikai pilnībā ievērojot šīs regulas noteikumus. (79) Šī regula neskar starptautiskos nolīgumus, kas noslēgti starp Savienību un trešām valstīm par personas datu nosūtīšanu un atbilstošiem aizsardzības pasākumiem datu subjektiem. (80) Komisija var nolemt attiecībā uz visu Savienību, ka konkrēta trešā valsts, trešās valsts teritorija vai apstrādes nozare vai starptautiska organizācija piedāvā pietiekamu datu aizsardzības līmeni, tādējādi nodrošinot tiesisko noteiktību un vienotību visā Savienībā attieksmē pret trešām valstīm vai starptautiskām organizācijām, par kurām uzskata, ka tās nodrošina šādu aizsardzības līmeni. Šādos gadījumos personas datus uz šīm valstīm var nosūtīt un nav jāsaņem nekāda cita atļauja. (81) Saskaņā ar pamatvērtībām, uz kurām balstās Savienība, un jo īpaši cilvēktiesību aizsardzību, Komisijai, novērtējot trešo valsti, būtu jāņem vērā, kā trešā valstī ir ievērots tiesiskums, tiesu pieejamība, kā arī starptautiskās cilvēktiesību normas un standarti. (82) Komisija tāpat var atzīt, ka trešā valsts, trešās valsts teritorija vai apstrādes nozare, vai starptautiska organizācija nepiedāvā pietiekamu aizsardzības līmeni. Attiecīgi personas datu nosūtīšana uz šo trešo valsti būtu jāaizliedz. Šādā gadījumā būtu jāparedz noteikumi par apspriešanās procesu starp Komisiju un šādu trešo valsti vai starptautisku organizāciju. (83) Kamēr lēmums par aizsardzības līmeņa pietiekamību nav pieņemts, pārzinim vai apstrādātājam būtu jāveic pasākumi, kas kompensētu datu aizsardzības trūkumus trešā valstī, veicot atbilstošus datu subjekta aizsardzības pasākumus. Šādi atbilstoši aizsardzības pasākumi varētu nozīmēt, ka tiek izmantoti saistošie uzņēmuma noteikumi, Komisijas pieņemtie tipveida datu aizsardzības noteikumi, uzraudzības iestādes pieņemtie tipveida datu aizsardzības noteikumi vai uzraudzības iestādes apstiprināti līguma noteikumi, vai citi piemēroti un samērīgi pasākumi, kuru izmantošanu attaisno datu nosūtīšanas darbības apstākļi vai datu nosūtīšanas darbību kopuma apstākļi un ja to ir atļāvusi uzraudzības iestāde. (84) Iespējai, ka pārzinis vai apstrādātājs var izmantot Komisijas vai uzraudzības iestādes pieņemtos tipveida datu aizsardzības noteikumus, nebūtu jāizslēdz, ka pārzinis vai apstrādātājs var iekļaut tipveida datu aizsardzības noteikumus plašākā līgumā vai pievienot citus noteikumus, ja vien tie tieši vai netieši nav pretrunā ar Komisijas vai uzraudzības iestādes pieņemtajiem tipveida datu aizsardzības noteikumiem vai neierobežo datu subjekta pamattiesības un brīvības. (85) Uzņēmumu grupai būtu jābūt iespējai izmantot apstiprinātus saistošos uzņēmuma noteikumus datu starptautiskai nosūtīšanai ārpus Savienības uz organizācijām, kas pieder pie tās pašas uzņēmumu grupas, ja vien šādi saistošie uzņēmuma noteikumi ietver galvenos principus un īstenojamas tiesības, kas nodrošina atbilstošus aizsardzības pasākumus personas datu nosūtīšanai vai nosūtīšanas kategorijām. (86) Būtu jāparedz noteikumi, kas ļauj nosūtīt datus atsevišķos apstākļos, ja datu subjekts ir devis piekrišanu, ja nosūtīšana ir nepieciešama saistībā ar līgumu vai tiesisku prasījumu, ja tas nepieciešams, pamatojoties uz Savienības vai dalībvalsts tiesībās noteiktām svarīgām sabiedrības interesēm, vai ja datus nosūta no reģistra, kas izveidots ar likumu un kas paredzēts, lai likumīgi ieinteresētas personas vai sabiedrība, varētu tajā ieskatīties. Pēdējā gadījumā nebūtu jānosūta pilnīgi visi reģistrā ietvertie dati vai veselas datu kategorijas, un ja reģistrs ir paredzēts, lai tajā varētu ieskatīties likumīgi ieinteresētas personas, datus būtu jānosūta tikai pēc šo personu pieprasījuma vai ja šīs personas ir datu saņēmējas. (87) Šīs atkāpes jo īpaši būtu jāattiecina uz datu nosūtīšanu, ko pieprasa un kas ir vajadzīga, lai aizsargātu svarīgas sabiedrības intereses, piemēram, kad starptautiska datu nosūtīšana notiek starp konkurences iestādēm, nodokļu vai muitas pārvaldēm, finanšu uzraudzības iestādēm, dienestiem, kuru kompetencē ir sociālā nodrošinājuma jautājumi, vai ja datus nosūta iestādēm, kuru kompetencē ir noziedzīgu nodarījumu novēršana, izmeklēšana, atklāšana un saukšana pie atbildības par tiem. (88) Nosūtīšana, ko nevar kvalificēt kā biežu vai masveida, varētu būtu iespējama arī pamatojoties uz pārziņa vai apstrādātāja likumīgām interesēm, pēc tam, kad viņi ir novērtējuši visus ar datu nosūtīšanu saistītos apstākļus. Apstrādājot datus vēstures, statistikas un zinātniskās izpētes nolūkos, būtu jāņem vērā, ka sabiedrībai ir leģitīmas tiesības sagaidīt zināšanu pieaugumu. (89) Jebkurā gadījumā, ja Komisija nav pieņēmusi lēmumu par datu aizsardzības līmeņa pietiekamību trešā valstī, pārzinim un apstrādātājam būtu jāizmanto risinājumi, kas garantē datu subjektam, ka tie joprojām varēs baudīt savas pamattiesības un aizsardzības pasākumus attiecībā uz viņu datu apstrādi Savienībā arī pēc tam, kad dati būs nosūtīti. (90) Dažas trešās valstis ievieš likumus, noteikumus un citus tiesību aktus, kuru mērķis ir tieši regulēt datu apstrādes darbības, ko fiziskas un juridiskas personas veic dalībvalstu jurisdikcijā. Šādu likumu, noteikumu vai citu tiesību aktu ekstra teritoriāla piemērošana var būt pretrunā ar starptautiskām tiesībām un var kavēt šīs regulas garantētās aizsardzības nodrošināšanu fiziskām personām. Nosūtīšana būtu jāatļauj tikai tad, ja šīs regulas nosacījumi nosūtīšanai uz trešo valsti ir izpildīti. Tas cita starpā varētu būt gadījumos, ja izpaušana ir nepieciešama, pamatojoties uz svarīgām Savienības tiesībās vai dalībvalstu tiesībās, kuru subjekts ir pārzinis, atzītām sabiedrības interesēm. Nosacījumi, saskaņā ar kuriem konstatē, ka pastāv svarīgas sabiedrības intereses, būtu jāprecizē deleģētā Komisijas tiesību aktā. (91) Personas datu pārvietošanās pāri robežām var ievērojami ietekmēt personu spējas izmantot tiesības uz datu aizsardzību, jo īpaši, aizsargāt sevi pret nelikumīgu izmantošanu vai informācijas atklāšanu. Vienlaikus uzraudzības iestādes var saskarties ar situāciju, ka tās nevar reaģēt uz sūdzībām vai veikt izmeklēšanu saistībā ar darbībām, kas norisinās robežu otrā pusē. Viņu pūliņus kopīgi strādāt pārrobežu kontekstā var sarežģīt arī nepietiekamās pilnvaras prevencijas un tiesībaizsardzības jomā, tiesisko regulējumu atšķirības un tādi praktiskie šķēršļi kā, piemēram, ierobežoti līdzekļi. Tāpēc ir nepieciešams veicināt ciešāku datu aizsardzības uzraudzības iestāžu sadarbību, lai palīdzētu tām apmainīties ar informāciju un veikt izmeklēšanas kopā ar kolēģiem citās valstīs. (92) Uzraudzības iestāžu, kuras pilda savas funkcijas pilnīgi neatkarīgi, izveide dalībvalstīs ir būtiska sastāvdaļa personu aizsardzībā attiecībā uz personas datu apstrādi. Dalībvalstis var izveidot vairāk nekā vienu uzraudzības iestādi atbilstoši valsts konstitucionālajai, organizatoriskajai vai administratīvajai uzbūvei. (93) Ja dalībvalsts izveido vairākas uzraudzības iestādes, tai būtu ar likumu jāizveido mehānisms, kas nodrošina efektīvu šo uzraudzības iestāžu dalību konsekvences mehānismā. Dalībvalstij būtu jo īpaši jānorīko tā uzraudzības iestāde, kas būs vienotais kontaktpunkts efektīvai šo iestāžu dalībai mehānismā, lai nodrošinātu ātru un raitu sadarbību ar citām uzraudzības iestādēm, Eiropas Datu aizsardzības kolēģiju un Komisiju. (94) Katrai uzraudzības iestādei būtu jāpiešķir atbilstoši finanšu un cilvēkresursi, telpas un infrastruktūra, kas nepieciešama efektīvai uzdevumu izpildei, tostarp arī to uzdevumu izpildei, kas saistīti ar savstarpējo palīdzību un sadarbību ar citām uzraudzības iestādēm visā Savienībā. (95) Nosacījumi, lai kļūtu par uzraudzības iestādes locekli, katrā dalībvalstī būtu jānosaka ar likumu un jo īpaši būtu jānodrošina, ka šos locekļus amatā ieceļ vai nu dalībvalsts parlaments vai valdība, turklāt būtu jāiekļauj noteikumi par locekļu kvalifikāciju un statusu. (96) Uzraudzības iestādēm būtu jāuzrauga šīs regulas noteikumu īstenošanu un jāveicina tās saskanīga piemērošana visā Savienībā, lai aizsargātu fiziskas personas attiecībā uz viņu personas datu apstrādi un atvieglotu personas datu brīvu apriti iekšējā tirgū. Šajā nolūkā uzraudzības iestādēm būtu jāsadarbojas vienai ar otru un ar Komisiju. (97) Ja personas datu apstrāde saistībā ar darbībām, ko veic pārziņa vai apstrādātāja institūcija Savienībā, notiek vairāk nekā vienā dalībvalstī, par šā pārziņa vai apstrādātāja darbību uzraudzību un attiecīgu lēmumu pieņemšanu visā Savienībā būtu jāatbild tikai vienai uzraudzības iestādei, lai nodrošinātu konsekventu piemērošanu, tiesisko noteiktību un samazinātu administratīvo slogu šādiem pārziņiem un apstrādātājiem. (98) Kompetentajai iestādei, kas pilda šādas vienas pieturas aģentūras pienākumus, būtu jābūt tās dalībvalsts uzraudzības iestādei, kurā atrodas pārziņa vai apstrādātāja galvenā institūcija. (99) Kaut arī šī regula ir piemērojama arī valsts tiesu darbībai, ja tiesa personas datus apstrādā veicot tiesas spriešanas funkciju, šāda apstrāde nebūtu jāiekļauj uzraudzības iestādes kompetencē, lai saglabātu tiesnešu neatkarību, pildot savus tiesneša uzdevumus. Tomēr šo izņēmumu būtu jāpiemēro ierobežoti un jāattiecina tikai uz tiesas spriešanas darbībām tiesas lietā, tas nebūtu jāattiecina uz citām tiesnešu aktivitātēm, kurās tie varētu būt iesaistīti saskaņā ar valsts tiesībām. (100) Lai nodrošinātu konsekventu šīs regulas piemērošanas uzraudzību un izpildi visā Savienībā, uzraudzības iestādēm katrā dalībvalstī būtu jābūt vieniem un tiem pašiem uzdevumiem un efektīvām pilnvarām, ietverot pilnvaras izmeklēt, juridiski saistošas pilnvaras iejaukties, tiesības pieņemt lēmumus un lemt par sankcijām, jo īpaši personu sūdzību gadījumos, un tiesības iesaistīties procesuālās darbībās. Uzraudzības iestādes pilnvaras veikt izmeklēšanu attiecībā uz piekļuvi telpām būtu jāīsteno saskaņā ar Savienības un valsts tiesībām. Tas jo īpaši attiecas uz prasību saņemt iepriekšēju tiesas atļauju. (101) Katrai uzraudzības iestādei būtu jābūt tiesīgai uzklausīt jebkura datu subjekta sūdzību un izmeklēt to. Uz sūdzības pamata sākta izmeklēšana būtu jāveic tādā apjomā, kāds ir nepieciešams konkrētajā lietā, pakļaujot to tiesas kontrolei. Uzraudzības iestādei saprātīgā termiņā būtu jāinformē datu subjekts par sūdzības virzību un iznākumu. Ja lietā ir nepieciešama papildus izmeklēšana vai koordinācija ar citu uzraudzības iestādi, datu subjektam būtu jāsniedz starpposma informācija. (102) Uzraudzības iestāžu rīkotie izpratnes paaugstināšanas pasākumi, kuru mērķauditorija ir sabiedrība, ietver arī īpašus pasākumus, kas adresēti pārziņiem un apstrādātājiem, tostarp mikrouzņēmumiem, maziem un vidējiem uzņēmumiem, kā arī datu subjektiem. (103) Uzraudzības iestādēm būtu vienai otra jāatbalsta viņu pienākumu veikšanā un jāsniedz savstarpēja palīdzība, lai nodrošinātu šīs regulas konsekventu piemērošanu un izpildi iekšējā tirgū. (104) Katrai uzraudzības iestādei būtu jābūt tiesībām piedalīties kopīgās uzraudzības iestāžu operācijās. Uzraudzības iestādei, kurai izteikts pieprasījums, būtu pienākums atbildēt uz pieprasījumu konkrētā termiņā. (105) Lai nodrošinātu šīs regulas konsekventu piemērošanu visā Savienībā, būtu jāizveido konsekvences mehānisms sadarbībai starp uzraudzības iestādēm un ar Komisiju. Šo mehānismu jo īpaši būtu jāpiemēro, ja uzraudzības iestāde gatavojas īstenot pasākumu attiecībā uz datu apstrādes darbībām, kas ir saistītas ar preču un pakalpojumu piedāvāšanu datu subjektiem vairākās dalībvalstīs, vai ar šādu datu subjektu novērošanu, vai ja tas varētu būtiski ietekmēt personas datu brīvu apriti. Tas būtu jāpiemēro arī gadījumos, kad uzraudzības iestāde vai Komisija pieprasa kāda jautājuma izskatīšanu konsekvences mehānisma ietvaros. Šim mehānismam nebūtu jāskar pasākumus, ko Komisija varētu rīkot, īstenojot savas pilnvaras saskaņā ar Līgumiem. (106) Piemērojot konsekvences mehānismu Eiropas Datu aizsardzības kolēģijai būtu noteiktā termiņā jāsniedz atzinums, ja tā nolemj kolēģijas locekļu vienkāršs vairākums vai ja to pieprasa uzraudzības iestāde vai Komisija. (107) Lai nodrošinātu šīs regulas ievērošanu, Komisija var pieņemt atzinumu par šo jautājumu vai lēmumu, kurā pieprasa uzraudzības iestādei apturēt tās pasākuma projektu. (108) Ir iespējama situācija, kurā ir steidzami nepieciešams rīkoties, lai aizsargātu datu subjektu intereses, jo īpaši, ja pastāv draudi, ka var būt ievērojami traucēta datu subjekta tiesību izmantošana. Tāpēc uzraudzības iestādei būtu jābūt tiesībām, piemērojot konsekvences mehānismu, pieņemt pagaidu pasākumus ar ierobežotu termiņu. (109) Šā mehānisma piemērošanai jābūt par priekšnosacījumu attiecīgā uzraudzības iestādes lēmuma juridiskajai spēkā esamībai un izpildei. Citās lietās, kas ir svarīgas pārrobežu kontekstā, uzraudzības iestāžu savstarpējo palīdzību un kopīgas izmeklēšanas varētu rīkot, pamatojoties uz to divpusējām vai daudzpusējām attiecībām, neiedarbinot konsekvences mehānismu. (110) Savienības līmenī būtu jāizveido Eiropas Datu aizsardzības kolēģija. Ar to būtu jāaizstāj Darba grupa par personu aizsardzību attiecībā uz personas datu apstrādi, kas izveidota ar Direktīvu 95/46/EK. Tai būtu jāsastāv no katras dalībvalsts uzraudzības iestādes vadītāja un Eiropas Datu aizsardzības uzraudzītāja. Komisijai būtu jāpiedalās kolēģijas darbā. Eiropas Datu aizsardzības kolēģijai būtu jāpalīdz nodrošināt šīs regulas konsekventu piemērošanu visā Savienībā, tostarp jāsniedz padomi Komisijai un jāveicina uzraudzības iestāžu sadarbība visā Savienībā. Eiropas Datu aizsardzības kolēģijai, pildot savus uzdevumus, būtu jārīkojas neatkarīgi. (111) Katram datu subjektam būtu jābūt tiesībām iesniegt sūdzību jebkuras dalībvalsts uzraudzības iestādē un uz tiesību aizsardzību tiesā, ja datu subjekts uzskata, ka viņa tiesības saskaņā ar šo regulu ir pārkāptas vai ja uzraudzības iestāde nereaģē uz sūdzību vai nerīkojas, kad šāda rīcība ir nepieciešama, lai aizsargātu datu subjekta tiesības. (112) Jebkurai vienībai, organizācijai vai asociācijai, kuras mērķis ir datu subjekta tiesību un interešu aizsardzība attiecībā uz viņu datu aizsardzību un kas ir izveidota saskaņā ar dalībvalsts tiesībām, būtu jābūt tiesībām iesniegt sūdzību uzraudzības iestādē vai tiesībām iesniegt prasību tiesā datu subjekta vārdā vai iesniegt savu sūdzību neatkarīgi no datu subjekta sūdzības, ja tā uzskata, ka ir noticis personas datu aizsardzības pārkāpums. (113) Katrai fiziskai vai juridiskai personai būtu jābūt tiesībām uz tiesas aizsardzību pret uzraudzības iestādes lēmumiem, kas to skar. Tiesvedībai pret uzraudzības iestādi būtu jānotiek tās dalībvalsts tiesā, kurā atrodas uzraudzības iestāde. (114) Lai stiprinātu datu subjektu tiesību aizsardzību tiesā situācijās, kad kompetentā uzraudzības iestāde atrodas citā dalībvalstī, kas nav datu subjekta dzīvesvietas dalībvalsts, datu subjekts var lūgt jebkurai vienībai, organizācijai vai asociācijai, kuras mērķis ir datu subjektu tiesību un interešu aizsardzība saistībā ar viņu datu aizsardzību, iesniegt datu subjekta vārdā kompetentajā citas dalībvalsts tiesā prasību pret uzraudzības iestādi. (115) Gadījumos, kad uzraudzības iestāde, kas atrodas citā dalībvalstī nerīkojas vai ir īstenojusi nepietiekamus pasākumus saistībā ar sūdzību, datu subjekts var lūgt uzraudzības iestādi savas pastāvīgās dzīvesvietas dalībvalstī iesniegt kompetentajā citas dalībvalsts tiesā prasību pret attiecīgo uzraudzības iestādi. Uzraudzības iestāde, kurai izteikts šāds pieprasījums, var lemt, vai ir pamats izpildīt šādu pieprasījumu ar noteikumu, ka šo lēmumu var pārsūdzēt tiesā. (116) Tiesvedībā pret pārzini vai apstrādātāju, prasītājam būtu jābūt izvēles tiesībām vērsties tās dalībvalsts tiesā, kurā atrodas pārziņa vai apstrādātāja institūcija vai kurā atrodas datu subjekta dzīvesvieta, izņemot, ja pārzinis ir valsts iestāde, kas rīkojas, pildot savas valsts iestādes pilnvaras. (117) Ja ir norādes, ka dažādu dalībvalstu tiesās norisinās paralēla tiesvedība, tiesām būtu jābūt pienākumam sazināties vienai ar otru. Tiesām būtu jābūt iespējai apturēt lietas izskatīšanu, ja citā dalībvalstī norisinās paralēla tiesvedība. Dalībvalstīm būtu jānodrošina, ka tiesa var efektīvi rīkoties un var ātri pieņemt pasākumus, kas izlīdzina vai novērš šīs regulas pārkāpumu. (118) Jebkurus zaudējumus, kurus persona var ciest nelikumīgas apstrādes rezultātā, būtu jākompensē pārzinim vai apstrādātājam, kuru var atbrīvot no atbildības, ja tas pierāda, ka nav atbildīgs par zaudējumiem, īpaši gadījumos, kad tas konstatē datu subjekta vainu vai force majeure gadījumā. (119) Būtu jāpiemēro sankcijas jebkurai personai - privāto vai publisko tiesību subjektam, kura neievēro šo regulu. Dalībvalstīm būtu jānodrošina, ka sankcijas ir efektīvas, samērīgas un atturošas un tām būtu jāveic visi pasākumi sankciju īstenošanai. (120) Lai stiprinātu un tuvinātu administratīvās sankcijas par regulas pārkāpumiem, katrai uzraudzības iestādei būtu jāpiešķir pilnvaras sodīt par administratīviem pārkāpumiem. Šajā regulā būtu jāuzskaita šie pārkāpumi un jānosaka maksimālais attiecīgā administratīvā naudas soda apmērs, savukārt, soda apmēru katrā atsevišķā gadījumā būtu jānosaka samērīgi konkrētajai situācijai, pienācīgi ņemot vērā jo īpaši pārkāpuma būtību, smagumu un ilgumu. Konsekvences mehānismu arī varētu izmantot, lai aptvertu tos gadījumus, kad ir novērojamas atšķirības administratīvo sankciju piemērošanā. (121) Personas datu apstrāde tikai un vienīgi žurnālistikas vajadzībām vai mākslinieciskās vai literārās izpausmes vajadzībām būtu jākvalificē kā izņēmums, uz kuru neattiecas atsevišķas regulas prasības, lai panāktu līdzsvaru starp tiesībām uz personas datu aizsardzību un tiesībām uz vārda un informācijas brīvību un jo īpaši tiesībām saņemt un sniegt informāciju, kā tas garantēts Eiropas Savienības Pamattiesību hartas 11. pantā. Tas būtu jo īpaši jāpiemēro personas datu apstrādei audiovizuālajā jomā un ziņu arhīvos, un preses bibliotēkās. Tāpēc dalībvalstīm būtu jāpieņem leģislatīvi akti, kuros būtu noteikti izņēmumi un atkāpes, kas ir nepieciešamas šo pamattiesību līdzsvara nodrošināšanai. Šie izņēmumi un atkāpes dalībvalstīm būtu jāpieņem par vispārīgajiem principiem, datu subjektu tiesībām, par pārziņiem un apstrādātājiem, par datu nosūtīšanu uz trešām valstīm vai starptautiskām organizācijām, par neatkarīgām uzraudzības iestādēm un sadarbību un konsekvenci. Tam tomēr nevajadzētu nozīmēt, ka dalībvalstis nosaka izņēmumus no citiem šīs regulas noteikumiem. Lai vārda un izteiksmes brīvības īpaši svarīgā loma katrā demokrātiskā sabiedrībā būtu pietiekami ņemta vērā, jēdzienus, kas saistīti ar šo brīvību, piemēram, jēdzienu žurnālistika, ir jāinterpretē plaši. Tāpēc šajā regulā paredzēto izņēmumu un atkāpju piemērošanas vajadzībām dal