LV Eiropas Savienības Oficiālais Vēstnesis C 164/2

Eiropas Datu aizsardzības uzraudzītāja atzinuma kopsavilkums par priekšlikumu Eiropas Parlamenta un Padomes regulai par personu aizsardzību attiecībā uz personas datu apstrādi Savienības iestādēs, struktūrās, birojos un aģentūrās un šādu datu brīvu apriti un ar ko atceļ Regulu (EK) Nr. 45/2001 un Lēmumu Nr. 1247/2002/EK

(Pilns šā atzinuma teksts angļu, franču un vācu valodā ir pieejams EDAU tīmekļa vietnē www.edps.europa.eu)

(2017/C 164/02)

Eiropas Savienība izsludina jaunas paaudzes datu aizsardzības standartus. Vispārīgās datu aizsardzības regulas un Direktīvas par datu aizsardzību policijas un tiesu iestādēs pieņemšana gandrīz pirms gada atspoguļoja līdz šim vērienīgākos ES likumdevēju centienus nodrošināt personu pamattiesības digitālajā laikmetā. Tagad ir pienācis brīdis, kad ES iestādēm pašām ir jāsniedz piemērs saistībā ar noteikumiem, ko tās sev piemēro kā datu pārzines un datu apstrādātājas. Aizvadīto 18 mēnešu laikā EDAU ir sākusi augstākā līmeņa dialogu ar ES iestādēm, lai tās sagatavotu jauniem uzdevumiem saistībā ar atbilstības nodrošināšanu datu aizsardzības prasībām, uzsverot jauno pārskatatbildības principu attiecībā uz datu apstrādi. EDAU šajā atzinumā vēlas izmantot 12 gadus ilgo pieredzi, ko tas ir guvis, īstenojot neatkarīgu uzraudzību, sniedzot ieteikumus par īstenojamo politiku un veicot izskaidrošanas darbu, lai ieteiktu uzlabojumus ierosinātajā regulā par datu apstrādi, ko veic ES iestādes un struktūras.

Regula (EK) Nr. 45/2001 ir bijusi kā etalons, kas nosaka pārziņiem tieši piemērojamus pienākumus, tiesības datu subjektiem, kā arī nepārprotami neatkarīgu uzraudzības struktūru. ES tagad ir jānodrošina konsekvence ar Vispārīgo datu aizsardzības regulu, uzsverot pārskatatbildību un garantijas personām, nevis procedūrām. Zināmas atšķirības noteikumos, kas ir piemērojami ES iestāžu veiktai datu apstrādei, ir pamatotas tāpat, kā Vispārīgajā datu aizsardzības regulā iekļautie izņēmumi attiecībā uz publisko sektoru, bet šādām atšķirībām ir jābūt minimālām.

Tomēr no personas viedokļa ir svarīgi, lai visā ES datu aizsardzības satvarā tiktu konsekventi piemēroti kopīgi principi neatkarīgi no tā, kas ir datu pārzinis. Ir būtiski arī tas, lai viss satvars tiktu piemērots vienā laikā, tas ir, 2018. gada maijā, kas ir termiņš, kad Vispārīgajai datu aizsardzības regulai ir jākļūst pilnībā piemērojamai.

Komisija apspriedās ar EDAU par priekšlikuma projektu saskaņā ar vienošanos, kas jau sen pastāv starp mūsu iestādēm. Mēs uzskatām, ka Komisija kopumā ir panākusi labu līdzsvaru starp dažādajām iesaistītajām interesēm. Šajā atzinumā ir norādītas vairākas jomas, kurās priekšlikumu varētu uzlabot. Mēs esam par uzlabojumu veikšanu ierosinātajā regulā, jo īpaši saistībā ar datu subjekta tiesību ierobežojumiem un noteikumiem, kas paredz, ka ES iestādēm zināmās situācijās ir jāizmanto sertifikācijas mehānismi. Šķiet, ka attiecībā uz mūsu kā neatkarīgas struktūras pienākumiem un pilnvarām priekšlikumā ir panākts pienācīgs līdzsvars un atspoguļotas neatkarīgas datu aizsardzības iestādes gan kā izpildes nodrošinātājas, sūdzību izskatītājas, gan kā likumdevēja konsultantes politikas jautājumos, kas ietekmē datu aizsardzību un privātumu, parastās funkcijas saskaņā ar Pamattiesību hartu un atbilstīgi atkārtotam apstiprinājumam jaunākajā Tiesas judikatūrā.

Mēs mudinām ES likumdevēju pēc iespējas ātrāk panākt vienošanos, lai sniegtu ES iestādēm iespēju gūt labumu no saprātīga pārejas perioda pirms jaunā regula var stāties spēkā.

1. IEVADS UN PAMATINFORMĀCIJA

1.1. Konteksts

1. Eiropas Komisija 2017. gada 10. janvārī pieņēma priekšlikumu Eiropas Parlamenta un Padomes regulai par personu aizsardzību attiecībā uz personas datu apstrādi Savienības iestādēs, struktūrās, birojos un aģentūrās un šādu datu brīvu apriti un ar ko atceļ Regulu (EK) Nr. 45/2001 un Lēmumu Nr. 1247/2002/EK (1) (turpmāk tekstā – “Priekšlikums”).

2. Pamattiesības uz personas datu aizsardzību ir noteiktas Eiropas Savienības Pamattiesību hartas (turpmāk tekstā – “Harta”) 8. pantā un Līguma par Eiropas Savienības darbību (turpmāk tekstā – “LESD”) 16. pantā.

3. Eiropas Datu aizsardzības uzraudzītājs (turpmāk tekstā – “EDAU”) ir neatkarīga uzraudzības iestāde, kas ir atbildīga par to, lai nodrošinātu, ka Eiropas iestādes, struktūras, biroji un aģentūras (turpmāk tekstā – “ES iestādes”), veicot personas datu apstrādi, ievērotu datu aizsardzības tiesību aktus (2). Prasība nodrošināt neatkarīgu kontroli ES datu aizsardzības sistēmā ir paredzēta primārajās tiesībās – gan LESD 16. panta 2. punktā, gan Hartas 8. panta 3. punktā. Tiesa ir konsekventi uzsvērusi, ka neatkarīgas iestādes veikta kontrole ir būtisks tiesību uz datu aizsardzību elements, un tā ir paredzējusi kritērijus šādas neatkarības nodrošināšanai (3). Konkrētāk, uzraudzības iestādei ir jārīkojas pilnīgi neatkarīgi, kas nozīmē no jebkādas tiešas vai netiešas ārējas ietekmes neatkarīgas lēmumu pieņemšanas pilnvaras (4), kā arī jebkādu aizdomu par neobjektivitāti neesamību (5).

4. Galvenais juridiskais instruments, kas ir piemērojams ES iestāžu veiktai personas datu apstrādei, ir Regula (EK) Nr. 45/2001 (6) (turpmāk tekstā – “Regula (EK) Nr. 45/2001”), ko papildina Lēmums Nr. 1247/2002/EK (7).

5. Pēc ieilgušu sarunu par jauno ES datu aizsardzības satvaru – Vispārīgo datu aizsardzības regulu un direktīvu par policijas un tiesu iestādēm – noslēguma 2016. gada 27. aprīlī šis priekšlikums (kopā ar Komisijas priekšlikumu regulai par privātās dzīves aizsardzību un elektronisko komunikāciju (turpmāk tekstā – “E-privātuma regula” (8))) iezīmē būtiska posma sākumu ES datu aizsardzības satvara izstrādes pabeigšanā. Šā posma mērķis ir saskaņot Regulas (EK) Nr. 45/2001 noteikumus ar Vispārīgajā datu aizsardzības regulā paredzētajām prasībām, lai Savienībā izveidotu stingrāku un saskaņotāku datu aizsardzības satvaru, kā arī sniegtu iespēju piemērot abus tiesību aktus vienlaicīgi (9). Turklāt priekšlikumā ir arī iekļauti jauni noteikumi par galalietotāju termināliekārtu aizsardzību. Tie ir paredzēti Komisijas priekšlikumā jaunajai E-privātuma regulai.

6. Stratēģijā 2015.–2019. gadam EDAU apliecināja apņemšanos sadarboties ar Eiropas Parlamentu, Padomi un Komisiju, lai nodrošinātu Regulā (EK) Nr. 45/2001 paredzēto spēkā esošo noteikumu saskaņošanu ar Vispārīgo datu aizsardzības regulu, kā arī pārskatītā satvara stāšanos spēkā ne vēlāk kā 2018. gada sākumā. EDAU atzinīgi vērtē faktu, ka Komisija pirms priekšlikuma pieņemšanas ar to neoficiāli apspriedās un ka priekšlikumā šķiet ņemti vērā šajā neoficiālajā apspriešanā līdz šim aktualizētie jautājumi. Uzraudzītājs uzskata, ka spēkā esošais priekšlikums, raugoties no maksimālas saskaņošanas ar Vispārīgo datu aizsardzības regulu viedokļa, ir vairāk nekā apmierinošs, ja vien šauri definētas ES publiskā sektora īpatnības nesniedz pamatojumu rīkoties citādi, un jo īpaši atzinīgi novērtē Komisijas panākto dažādo iesaistīto interešu līdzsvaru.

7. Lai gan šajā atzinumā ir norādītas vairākas jomas, kurās priekšlikumu būtu iespējams uzlabot, EDAU iesaka ES likumdevējam pēc iespējas ātrāk panākt vienošanos par priekšlikumu, lai sniegtu ES iestādēm iespēju gūt labumu no saprātīga pārejas perioda, pirms jaunā regula var pilnībā stāties spēkā.

1.2. Priekšlikuma mērķi un termiņi

8. EDAU pagātnē ir ieteicis iekļaut ES iestādēm piemērojamos pamatnoteikumus Vispārīgās datu aizsardzības regulas (tā brīža) projektā (10). ES likumdevējs izvēlējās citu iespēju, proti, atsevišķu ES iestādēm piemērojamu juridisko instrumentu, kas ir saskaņots ar Vispārīgo datu aizsardzības regulu un piemērojams vienlaikus ar to. EDAU atbalsta šo pieeju: nebūtu pieņemami, ja uz Eiropas Komisiju un citām ES iestādēm neattiektos noteikumi, kas ir līdzvērtīgi prasībām, kuras drīzumā stāsies spēkā dalībvalstu līmenī. Turklāt EDAU būtu nevēlami pārraudzīt ES iestāžu atbilstību pamatnoteikumiem, kas būtu vājāki par noteikumiem, kurus valsts līmenī pārrauga EDAU partneri, jo īpaši ņemot vērā faktu, ka EDAU būs Eiropas Datu aizsardzības kolēģijas (turpmāk tekstā – “EDPB”) loceklis (11)

9. Tāpēc turpmākie noteikumi, kas būs piemērojami ES iestāžu veiktai datu apstrādei, būtu jāsaskaņo ar Vispārīgās datu aizsardzības regulas prasībām, ja vien šauri definētas ES publiskā sektora īpatnības nesniedz pamatojumu rīkoties citādi. Šajā kontekstā EDAU atzinīgi vērtē priekšlikuma 5. apsvērumu, kurā ir uzsvērta vajadzība nodrošināt pēc iespējas lielāku saskaņošanu un precizēts: “Ja šīs regulas noteikumi ir balstīti uz tās pašas koncepcijas, kas ir [Vispārīgās datu aizsardzības regulas] noteikumu pamatā, abus šos noteikumus ir jāinterpretē viendabīgi, jo īpaši tāpēc, ka šīs regulas sistēma ir ekvivalenta [Vispārīgās datu aizsardzības regulas] sistēmai.”

10. Tajā pašā laikā saskaņošana ar Vispārīgo datu aizsardzības regulu nevar būt ne pilnīga, ne automātiska. Vispārīgajā datu aizsardzības regulā ir iekļautas vairākas klauzulas, kas dalībvalstīm atsevišķās jomās ļauj paturēt spēkā vai pieņemt konkrētus tiesību aktus, tostarp attiecībā uz valsts iestādēm (12) Gadījumos, kad Vispārīgajā datu aizsardzības regulā ir noteiktas konkrētas prasības attiecībā uz valsts iestādēm (13) vai dalībvalstīm sniegta iespēja īstenot tās noteikumus, var uzskatīt, ka priekšlikums veic funkciju, kas ir salīdzināma ar valsts tiesisko regulējumu, ar ko īsteno Vispārīgo regulu par datu aizsardzību, piemēram, priekšlikuma 9. pantā “Personas datu nosūtīšana saņēmējiem, kas nav Savienības iestādes un struktūras” vai 66. pantā “Administratīvie naudas sodi” (skatīt 2.8.1. sadaļu turpmāk tekstā). Turklāt ir svarīgi nodrošināt, lai tiktu saglabāts augstais aizsardzības līmenis, kas pašlaik ir piemērojams ES iestādēm. No tā izriet vajadzība paturēt spēkā atsevišķas Regulas (EK) Nr. 45/2001 īpatnības, piemēram, 25. pantā “Ierobežojumi” (skatīt 2.3.1. sadaļu turpmāk tekstā) un 44. pantā “Datu aizsardzības speciālista iecelšana” (skatīt 2.4.5.1. sadaļu turpmāk tekstā).

11. Papildus būtiskai saskaņošanai ar Vispārīgo datu aizsardzības regulu ir svarīgi, lai pārskatītie noteikumi pilnībā stātos spēkā vienlaikus ar iepriekšminēto regulu, tas ir, 2018. gada 25. maijā. Pastāvošais datu aizsardzības speciālistu (turpmāk tekstā – “DAS”) tīkls nodrošina efektīvu informācijas apmaiņas un sadarbības kanālu. Tādējādi EDAU ir pārliecināts, ka pēc salīdzinoši īsa pārejas perioda, t. i., trim mēnešiem, būtu iespējams panākt atbilstību.

12. Vispārīgās regulas par datu aizsardzību, kā arī aplūkojamā priekšlikuma pamatā esošais pārskatatbildības princips neaprobežojas ar vienkāršu atbilstību noteikumiem un paredz izmaiņas kultūrā. Lai atvieglotu pāreju, EDAU uzsāka “pārskatatbildības projektu”. Šajā saistībā EDAU 2016. un 2017. gada laikā sazinājās ar vairākām būtiskām ES iestādēm un struktūrām, lai palīdzētu laikus sagatavoties Vispārīgās datu aizsardzības regulas piemērošanai.

1.3. Darbības joma un saistība ar citiem juridiskajiem instrumentiem

13. EDAU pagātnē vairākkārt ir aicinājis Komisiju ierosināt stabilu un visaptverošu sistēmu, kas būt vērienīga un stiprinātu datu aizsardzības efektivitāti un saskaņotību, lai tādējādi nodrošinātu stabilu vidi attīstībai turpmāko gadu laikā (14). Komisija izvēlējās atšķirību pieeju un ierosināja atsevišķu juridisko instrumentu datu aizsardzībai tiesībaizsardzības jomā (15). Pēc tam tika ierosināti vairāki tiesību aktu priekšlikumi par atsevišķu datu aizsardzības režīmu ieviešanu (16).

14. EDAU atzīst, ka spēkā esošais, lai arī sadrumstalotais tiesiskais regulējums attiecībā uz personas datu aizsardzību ir labākais pašlaik iespējamais rezultāts (17). EDAU saprot, ka aplūkojamais priekšlikums arī turpmāk attiektos uz tām ES iestādēm, kas pašlaik ietilpst Regulas (EK) Nr. 45/2001 darbības jomā (būtībā visas kādreizējās 1. un 2. pīlāra (18) (19) iestādes, struktūras, biroji un aģentūras), bet tādējādi neietekmētu spēkā esošos vai izskatāmos atsevišķos režīmus (20). Aplūkojamais priekšlikums šādus režīmus ietekmētu tikai tad, ja tas ir skaidri paredzēts attiecīgajā juridiskajā instrumentā, kā arī tikai tādā apmērā, kāds paredzēts attiecīgajā juridiskajā instrumentā. EDAU šo pieeju pieņem zināšanai, bet iesaka priekšlikuma preambulā, kā arī, iespējams, 2. pantā “Piemērošanas joma” to formulēt skaidrāk. Tajā pašā laikā EDAU uzsvērtu, ka dažādu agrākā pirmā un otrā pīlāra ietvaros aktīvo ES iestāžu veiktās datu apstrādes tiesiskā satvara sadrumstalotība un pieaugošā sarežģītība nav pilnībā apmierinošs rezultāts un ka vidējā termiņā šis jautājums ES likumdevējam, iespējams, būs jārisina.

15. Regulā (EK) Nr. 45/2001 ir paredzēti pasākumi, kuru mērķis ir aizsargāt saziņas privātumu un konfidencialitāti gadījumos, kad ES iestādes kontrolē saziņā izmantoto infrastruktūru. Šajā nolūkā tajā ir ietvertas vairākas prasības, kas aptver Direktīvas 2002/58/EK (turpmāk tekstā – “E-privātuma regulējuma”) (21) regulējuma jomas daļas (22), un paredzēts princips, ka noteikumi pamattiesību aizsardzības nodrošināšanai būtu konsekventi un saskanīgi jāpiemēro visā Savienībā, atsaucoties uz attiecīgiem tiesību aktiem, piemēram, Direktīvu par privāto dzīvi un elektronisko komunikāciju. Vajadzība nodrošināt tāda paša līmeņa privātumu un konfidencialitāti attiecībā uz komunikāciju, kas ietver ES iestādes, paliek nemainīga, tāpēc būtu jāpatur spēkā saskaņotas un konsekventas piemērošanas princips. Tāpēc EDAU uzskata, ka priekšlikumam būtu jānodrošina, lai attiecīgie Vispārīgās datu aizsardzības regulas un plānotās E-privātuma regulas noteikumi attiektos uz ES iestādēm mutatis mutandis. Tam būtu jāietver gan konfidencialitātes un privātuma saglabāšana saistībā ar ES iestāžu kontrolētajiem komunikācijas pakalpojumiem, gan pārējie plānotās E-privātuma regulas principi, piemēram, termināliekārtu aizsardzība, un citi noteikumi, piemēram, attiecībā uz izsekošanu un surogātpastu.

16. Visbeidzot, lai gan ES datu aizsardzības tiesiskais regulējums attiecas arī uz Eiropas Ekonomikas zonu un iesaistītajām EBTA valstīm ir pienākums izveidot neatkarīgas uzraudzības iestādes atbilstīgi Vispārējai datu aizsardzības regulai, uz EBTA iestādēm neattiecas nekādi konkrēti datu aizsardzības noteikumi un uzraudzība, lai gan tās ar ES iestādēm veic apmaiņu ar personas datiem. EDAU uzskata, ka aplūkojamais priekšlikums varētu sniegt iespēju risināt šo jautājumu.

3. SECINĀJUMI

90. Kopumā EDAU uzskata, ka priekšlikums sekmīgi saskaņo ES iestādēm piemērojamos noteikumus ar Vispārīgo datu aizsardzības regulu, vienlaikus ņemot vērā ES publiskā sektora īpatnības. Priekšlikuma kopumā ir saglabāts ES iestāžu veiktajai datu apstrādei piemērojamais augstais aizsardzības līmenis. EDAU jo īpaši novērtē apstākli, ka Komisija ir panākusi dažādu iesaistīto interešu līdzsvaru.

91. EDAU uzskata, ka priekšlikumu būtu iespējams pilnveidot, jo īpaši saistībā ar 25. pantā paredzēto ierobežojumu nosacījumiem. Lai nodrošinātu atbilstību iepriekšminētajām tiesību aktu kvalitātes prasībām, priekšlikuma 25. panta 1. punktā būtu jāveic izmaiņas, lai noteiktu, ka pamattiesību ierobežojumus būtu jāspēj noteikt tikai tiesību aktos, kas ir pieņemti, pamatojoties uz Līgumiem, tādējādi piemērojot ES iestādēm tādus pašus standartus, kādi saskaņā ar Vispārīgo datu aizsardzības regulu attiektos uz dalībvalstīm. Attiecībā uz ierobežojumu piemērošanas apsvēršanu 34. pantam “Elektroniskās saziņas konfidencialitāte” EDAU aicina ES likumdevēju nodrošināt, lai iespējamie pamattiesību uz ES iestāžu īstenotās komunikācijas privātumu ierobežojumi šo iestāžu darbībās atspoguļotu tādus pašus standartus, kādi ir noteikti Savienības tiesībās, kā tās šajā jomā ir interpretējusi Tiesa.

92. EDAU atzinīgi vērtē faktu, ka priekšlikumā ir paredzēts atsevišķs pants par EDAU kā ES iestāžu konsultanta nozīmi (priekšlikuma 42. pants). Tomēr EDAU pauž bažas par to, ka formulējums “pēc priekšlikumu pieņemšanas” (atšķirībā no formulējuma “ja tā pieņem normatīvā akta projektu” Regulas (EK) Nr. 45/2001 28. panta 2. punktā) var apdraudēt Eiropas Komisijas ilgtermiņa apņemšanos neoficiālā veidā (parasti dienestu savstarpējo konsultāciju posmā) apspriesties ar EDAU par priekšlikumu projektiem. Ņemot vērā neoficiālo konsultāciju nozīmi, EDAU atzinīgi novērtētu apsvērumu, kurā Komisija atkārtoti paustu savu apņemšanos turpināt šo ilgi pastāvošo praksi. EDAU arī atbalstītu to, lai priekšlikumā tiktu saglabāts Regulas (EK) Nr. 45/2001 28. panta 2. punktā izmantotais formulējums (“ja tā pieņem”), kas šajā ziņā sniedz lielāku rīcības brīvību. Tas uzskata, ka ierosinātais 42. pants nodrošina pietiekamu precizējumu attiecībā uz EDAU un Eiropas Datu aizsardzības kolēģijas attiecīgajiem uzdevumiem, lai nākotnē novērstu nevajadzīgu dublēšanos.

93. EDAU uzskata, ka DAS funkcijas nodošanas iespēja ārpakalpojuma sniedzējam nav piemērota ES iestādēm, kas īsteno valsts varu. Tādējādi 44. panta 4. punktā minētā alternatīva (“vai viņš var veikt uzdevumus, pamatojoties uz pakalpojumu līgumu”) būtu jādzēš.

94. EDAU atzinīgi vērtē priekšlikuma 66. pantu, kas EDAU piešķirtu pilnvaras piemērot administratīvus naudas sodus. Tas uzskata, ka, liedzot ES uzraudzības iestādēm attiecīgos gadījumos piemērot administratīvus naudas sodus, ES iestādes nonāktu privileģētā situācijā salīdzinājumā ar publiskā sektora iestādēm daudzās dalībvalstīs.

95. EDAU uzskata, ka sertifikācijas mehānismi ES iestādēm var būt ļoti noderīgi instrumenti, un atsevišķās situācijās tie jau tiek izmantoti, piemēram, sertificējot atbilstību vispārpieņemtiem standartiem. Tāpēc 26. pantā “Pārziņa atbildība”, 27. pantā “Integrēta datu aizsardzība un datu aizsardzība pēc noklusējuma”, kā arī 33. pantā “Drošība” būtu jāiekļauj atsauce uz sertifikācijas izmantošanu (nevis uz rīcības kodeksiem).

96. Lai gan šajā atzinumā ir norādītas vairākas jomas, kurās priekšlikumu būtu iespējams uzlabot, EDAU ieteiktu ES likumdevējam pēc iespējas ātrāk panākt vienošanos par priekšlikumu, lai sniegtu ES iestādēm iespēju gūt labumu no saprātīga pārejas perioda, pirms jaunās regulas spēkā stāšanās tajā pašā laikā, kad Vispārīgā datu aizsardzības regula, proti, 2018. gada maijā.

Briselē, 2017. gada 15. martā Eiropas Datu aizsardzības uzraudzītājs Giovanni BUTTARELLI

(1) COM(2017) 8 final; 2017/0002 (COD) (later, “the Proposal”).

(2) Article 286 EC rendered the (then) Community rules on data protection applicable to EU institutions and bodies and mandated the creation of a dedicated independent supervisory authority (later, the EDPS).

(3) Case C-518/07 Commission v Germany, EU:C:2010:125; Case C-614/10 Commission v Austria, EU:C:2012:631; Case C-288/12 Commission v Hungary, EU:C:2014:237; Case C-362/14 Maximilian Schrems v Data Protection Commissioner, ECLI:EU:C:2015:650.

(4) Case C-518/07 Commission v Germany, supra para. 19.

(5) Case C-288/12 Commission v Hungary, supra para. 53.

(6) See supra note 3.

(7) Decision No 1247/2002/EC of the European Parliament, of the Council and of the Commission of 1 July 2002 on the regulations and general conditions governing the performance of the European Data Protection Supervisor’s duties (OV L 183, 12.7.2002., 1. lpp.).

(8) Proposal for a Regulation of the European Parliament and of the Council concerning the respect for private life and the protection of personal data in electronic communications and repealing Directive 2002/58/EC (Regulation on Privacy and Electronic Communications), COM(2017) 10 final, 2017/0003 (COD).

(9) See Article 98 and recital 17 of the GDPR.

(10) See e.g. the EDPS Opinion of 7 March 2012 on the data protection reform package (OV C 192, 30.6.2012., 7. lpp.)

(11) EDPS Opinion of 7 March 2012 on the data protection reform package, 6. lpp.

(12) See in particular Article 6(3) and recital 10 to the GDPR: “Regarding the processing of personal data for compliance with a legal obligation, for the performance of a task carried out in the public interest or in the exercise of official authority vested in the controller, Member States should be allowed to maintain or introduce national provisions to further specify the application of the rules of this Regulation. In conjunction with the general and horizontal law on data protection implementing Directive 95/46/EC, Member States have several sector-specific laws in areas that need more specific provisions. This Regulation also provides a margin of manoeuvre for Member States to specify its rules, including for the processing of special categories of personal data (‘sensitive data’). To that extent, this Regulation does not exclude Member State law that sets out the circumstances for specific processing situations, including determining more precisely the conditions under which the processing of personal data is lawful.”

(13) E.g. last sentence of Article 6(1), Article 20(5), Article 27, Article 37, Article 41 or Article 46(2)(a) of the GDPR.

(14) See in particular the EDPS Opinion of 14 January 2011 on the Communication “A comprehensive approach on personal data in the European Union” (OV L 181, 22.6.2011., 1. lpp.).

(15) See supra note 5.

(16) Proposal for a Regulation of the European Parliament and of the Council on the European Union Agency for Law Enforcement Cooperation and Training (Europol) and repealing Decisions 2009/371/JHA and 2005/681/JHA, COM(2013) 173 final, now adopted as Regulation (EC) 2016/794 and published in OV L 135, 24.5.2016., 53. lpp.; Proposal for a Council Regulation on the establishment of the European Public Prosecutor’s Office, COM(2013) 534 final. See also the Council General approach [First reading] on the Proposal for a Regulation on the European Union Agency for Criminal Justice Cooperation (Eurojust) available at: http://data.consilium.europa.eu/doc/document/ST-6643-2015-INIT/en/pdf

(17) EDPS Opinion 3/2015 “Europe’s big opportunity – EDPS recommendations on the EU’s options for data protection reform”, available at: https://secure.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/Consultation/Opinions/2015/15-10-09_GDPR_with_addendum_EN.pdf

(18) See the list of EU institutions and bodies available at: http://publications.europa.eu/code/en/en-390500.htm

(19) Regulation (EC) No 45/2001 already today applies to, inter alia, the European Defence Agency, European Union Institute for Security Studies, and the European Union Satellite Centre.

(20) Europol, Eurojust, EPPO, supra note 21.

(21) Directive 2002/58/EC of the European Parliament and of the Council of 12 July 2002 concerning the processing of personal data and the protection of privacy in the electronic communications sector (Directive on privacy and electronic communications (OV L 201, 31.7.2002., 37. lpp.), as amended (later, “the ePrivacy Directive”).

(22) Recitals 10-12 ePrivacy Directive.