KOMISJA EUROPEJSKA Bruksela, dnia 10.1.2017 COM(2017) 8 final 2017/0002(COD) Wniosek ROZPORZĄDZENIE PARLAMENTU EUROPEJSKIEGO I RADY dotyczący ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez unijne instytucje, organy i jednostki organizacyjne oraz swobodnego przepływu takich danych i uchylający rozporządzenie (WE) nr 45/2001 i decyzję nr 1247/2002/WE



UZASADNIENIE 1.KONTEKST WNIOSKU •Przyczyny i cele wniosku W art. 16 ust. 1 Traktatu o funkcjonowaniu Unii Europejskiej (TFUE) wprowadzonym Traktatem z Lizbony ustanawia się zasadę, zgodnie z którą każda osoba ma prawo do ochrony danych osobowych, które jej dotyczą. Ponadto w art. 16 ust. 2 TFUE Traktatem z Lizbony wprowadzono szczególną podstawę prawną przyjęcia zasad dotyczących ochrony danych osobowych. W art. 8 Karty praw podstawowych Unii Europejskiej zapisano ochronę danych osobowych jako jedno z praw podstawowych. Prawo do ochrony danych osobowych ma również zastosowanie do przetwarzania danych osobowych przez instytucje, organy i jednostki organizacyjne UE. Rozporządzenie (WE) nr 45/2001 – podstawowy dokument ustanawiający obowiązujące unijne przepisy o ochronie danych osobowych – zostało przyjęte w 2001 r. z myślą o realizacji dwóch celów: ochrony prawa podstawowego do ochrony danych oraz zagwarantowania swobodnego przepływu danych osobowych na całym terytorium Unii. Rozporządzenie zostało uzupełnione decyzją nr 1247/2002/WE. W dniu 27 kwietnia 2016 r. Parlament Europejski i Rada przyjęły ogólne rozporządzenie o ochronie danych (rozporządzenie (UE) 2016/679), które zacznie obowiązywać w dniu 25 maja 2018 r. W niniejszym rozporządzeniu wezwano do dostosowania rozporządzenia (WE) nr 45/2001 do zasad i przepisów ustanowionych w rozporządzeniu (UE) 2016/679, aby zapewnić solidne i spójne ramy ochrony danych w Unii i umożliwić stosowanie obu instrumentów równocześnie. Dostosowanie, na ile to możliwe, przepisów o ochronie danych skierowanych do instytucji, organów i jednostek organizacyjnych UE do przepisów o ochronie danych przyjętych w odniesieniu do państw członkowskich jest zgodne ze spójnym podejściem do ochrony danych osobowych w całej Unii. W każdym przypadku, w którym przepisy niniejszego wniosku opierają się na tej samej koncepcji co przepisy rozporządzenia (UE) 2016/679, oba przepisy należy interpretować tak samo, w szczególności ze względu na fakt, że systematyka wniosku powinna być rozumiana jako równoważna systematyce rozporządzenia (UE) 2016/679. W przeglądzie rozporządzenia (WE) nr 45/2001 uwzględnia się również wyniki zapytań i konsultacji z zainteresowanymi stronami, a także badanie oceniające stosowanie rozporządzenia na przestrzeni ostatnich 15 lat. Nie jest to inicjatywa w ramach programu sprawności i wydajności regulacyjnej (REFIT). •Spójność z przepisami obowiązującymi w tej dziedzinie polityki Celem wniosku jest dostosowanie przepisów rozporządzenia (WE) nr 45/2001 do zasad i przepisów ustanowionych w rozporządzeniu (UE) 2016/679, aby zapewnić solidne i spójne ramy ochrony danych w Unii. Do wniosku włączono również odpowiednie zasady ustanowione w rozporządzeniu (WE) XXXX/XX [rozporządzenie o prywatności elektronicznej] w odniesieniu do ochrony końcowych urządzeń telekomunikacyjnych użytkowników końcowych. •Spójność z pozostałymi obszarami polityki Unii Nie dotyczy 2.PODSTAWA PRAWNA, ZASADA POMOCNICZOŚCI I ZASADA PROPORCJONALNOŚCI •Podstawa prawna Ochrona osób fizycznych w związku z przetwarzania ich danych osobowych jest jednym z praw podstawowych określonym w art. 8 ust. 1 Karty praw podstawowych Unii Europejskiej. Niniejszy wniosek oparty jest na art. 16 TFUE będącym podstawą prawną przyjmowania przepisów o ochronie danych. Artykuł ten umożliwia przyjmowanie przepisów dotyczących ochrony osób fizycznych w związku z przetwarzania danych osobowych przez instytucje, organy i jednostki organizacyjne Unii w wykonywaniu działań wchodzących w zakres zastosowania prawa Unii. Umożliwia on także przyjmowanie przepisów dotyczących swobodnego przepływu danych osobowych, w tym danych osobowych przetwarzanych przez tego rodzaju instytucje, organy i jednostki organizacyjne. •Pomocniczość (w przypadku kompetencji niewyłącznych) Przedmiot niniejszego rozporządzenia stanowi kompetencję wyłączną Unii, ponieważ tylko Unia może przyjmować przepisy regulujące przetwarzanie danych osobowych przez instytucje unijne.

•Proporcjonalność Zgodnie z zasadą proporcjonalności do osiągnięcia podstawowego celu polegającego na zapewnieniu jednakowego stopnia ochrony osób fizycznych w związku z przetwarzaniem danych osobowych oraz swobodnego przepływu danych osobowych w całej Unii niezbędne i właściwe jest ustanowienie przepisów dotyczących przetwarzania danych osobowych przez unijne instytucje, organy i jednostki organizacyjne. Niniejsze rozporządzenie nie wykracza poza to, co jest konieczne do osiągnięcia przedmiotowych celów zgodnie z art. 5 ust. 4 Traktatu o Unii Europejskiej. •Wybór instrumentu Rozporządzenie uznaje się za odpowiedni instrument prawny do celów określenia ram dotyczących ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez unijne instytucje, organy i jednostki organizacyjne oraz swobodnego przepływu takich danych. W rozporządzeniu zapewnia się osobom fizycznym prawa możliwe do wyegzekwowania na drodze prawnej i określa się obowiązki administratorów w zakresie przetwarzania danych w unijnych instytucjach, organach i jednostkach organizacyjnych. W rozporządzeniu przewiduje się również obowiązek niezależnego organu nadzorczego, jakim jest Europejski Inspektor Ochrony Danych, polegający na monitorowaniu przetwarzania danych osobowych przez unijne instytucje, organy i jednostki organizacyjne. 3.WYNIKI OCEN EX POST, KONSULTACJI Z ZAINTERESOWANYMI STRONAMI I OCEN SKUTKÓW Komisja przeprowadziła konsultacje z zainteresowanymi stronami w latach 2010 i 2011 oraz sporządziła ocenę skutków w związku z pracami nad pakietem dotyczącym reformy ochrony danych, zawierającym informacje na temat proponowanych zmian w rozporządzeniu (WE) nr 45/2001. W tym kontekście Komisja przeprowadziła również badanie wśród koordynatorów ds. ochrony danych działających w ramach Komisji. Jeżeli chodzi o praktyczne stosowanie rozporządzenia (WE) nr 45/2001 przez unijne instytucje, organy i jednostki organizacyjne, zgromadzone informacje pochodziły od Europejskiego Inspektora Ochrony Danych (EIOD), innych unijnych instytucji, organów i jednostek organizacyjnych, innych dyrekcji generalnych Komisji i jednego wykonawcy zewnętrznego. Kwestionariusz przesłano do sieci inspektorów ochrony danych. Inspektorzy ochrony danych z szeregu unijnych instytucji, organów i jednostek organizacyjnych przeprowadzili warsztaty poświęcone reformie rozporządzenia nr 45/2001, które odbyły się w dniach 9 lipca 2015 r., 22 października 2015 r., 19 stycznia 2016 r. i 15 marca 2016 r. W 2013 r. Komisja podjęła decyzję o przeprowadzeniu badania oceniającego dotychczasowe stosowanie rozporządzenia (WE) nr 45/2001, które zleciła zewnętrznemu wykonawcy. W dniu 8 czerwca 2015 r. Komisja otrzymała końcowe wyniki badania oceniającego (sprawozdanie końcowe, pięć studiów przypadków i analizę poszczególnych artykułów). Ocena wykazała skuteczność systemu zarządzania, w którego centrum znajdują się inspektorzy ochrony danych i EIOD. W wyniku oceny ustalono, że podział uprawnień między inspektorów ochrony danych a EIOD jest przejrzysty i odpowiednio wyważony, a oba organy dysponują odpowiednim zakresem uprawnień. Mogą jednak pojawić się trudności wynikające z braku uprawnień ze względu na niewystarczające wsparcie inspektorów ochrony danych ze strony ich kierownictwa. W badaniu oceniającym wskazano, że rozporządzenie (WE) nr 45/2001 można by lepiej egzekwować dzięki stosowaniu sankcji przez EIOD. Lepsze wdrażanie przepisów o ochronie danych można by osiągnąć dzięki większemu wykorzystaniu uprawnień organu nadzorczego nadanych EIOD. Ustalono również, że, aby lepiej wdrażać wymogi dotyczące zatrzymywania danych i ich bezpieczeństwa, administratorzy danych powinni przyjąć zasady zarządzania ryzykiem i przeprowadzać oceny ryzyka przed przystąpieniem do operacji przetwarzania. Z badania wynika również, że obowiązujące przepisy zawarte w rozdziale IV rozporządzenia (WE) nr 45/2001, dotyczące sektora telekomunikacyjnego, są nieaktualne i konieczne jest dostosowanie tego rozdziału do dyrektywy o prywatności elektronicznej. Zgodnie z badaniem oceniającym istnieje również potrzeba doprecyzowania niektórych kluczowych definicji zawartych w rozporządzeniu (WE) nr 45/2001. Dotyczy to identyfikacji administratorów danych w unijnych instytucjach, organach i jednostkach organizacyjnych, definicji odbiorcy i objęcia obowiązkiem zachowania poufności również zewnętrzne podmioty przetwarzające. W badaniu oceniającym zwrócono również uwagę na potrzebę uproszczenia systemu zgłoszeń i kontroli wstępnych w celu zwiększenia efektywności i ograniczenia obciążenia administracyjnego. Podmiot oceniający przeprowadził ankietę internetową w 64 unijnych instytucjach, organach i jednostkach organizacyjnych. Na pytania zadane w ankiecie odpowiedzi udzieliło 422 odpowiedzialnych urzędników z podmiotów działających jako administratorzy danych, 73 inspektorów ochrony danych, 118 koordynatorów ds. ochrony danych i 109 respondentów z sektora informatycznego. Podmiot oceniający przeprowadził również szereg wywiadów z zainteresowanymi stronami. W dniu 26 marca 2015 r. podmiot oceniający wraz z Komisją zorganizowały końcowe warsztaty, w których udział wzięło wielu administratorów danych, inspektorów ochrony danych, koordynatorów ds. ochrony danych, respondentów z sektora informatycznego i przedstawicieli EIOD. •Gromadzenie i wykorzystanie wiedzy specjalistycznej Zob. odniesienie do badania oceniającego w poprzednim punkcie. •Ocena skutków Skutki niniejszego wniosku odczują głównie unijne instytucje, organy i jednostki organizacyjne. Zostało to potwierdzone na podstawie zgromadzonych informacji pochodzących od EIOD, innych unijnych instytucji, organów i jednostek organizacyjnych, dyrekcji generalnych Komisji i wykonawcy zewnętrznego. Ponadto skutki nowych obowiązków wynikających z rozporządzenia (UE) 2016/679, do którego mają zostać dostosowane przepisy niniejszego rozporządzenia, poddano ocenie w kontekście prac przygotowawczych nad niniejszym rozporządzeniem. Tym samym nie ma potrzeby przeprowadzenia szczególnej oceny skutków niniejszego rozporządzenia. •Sprawność regulacyjna i uproszczenie Nie dotyczy

•Prawa podstawowe Prawo do ochrony danych osobowych określono w art. 8 Karty praw podstawowych Unii Europejskiej (karta), w art. 16 TFUE i art. 8 europejskiej konwencji praw człowieka. Jak podkreślił Trybunał Sprawiedliwości Unii Europejskiej, prawo do ochrony danych osobowych nie jest prawem absolutnym i powinno być oceniane w świetle jego funkcji społecznej. Ochrona danych jest ściśle powiązana z poszanowaniem życia prywatnego i rodzinnego chronionego na podstawie art. 7 karty. W niniejszym wniosku określa się przepisy dotyczące ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez unijne instytucje, organy i jednostki organizacyjne oraz swobodnego przepływu takich danych. Inne prawa podstawowe zapisane w karcie, na które wniosek może potencjalnie mieć wpływ, to: wolność wypowiedzi (art. 11); prawo własności, a w szczególności ochrona praw własności intelektualnej (art. 17 ust. 2); zakaz dyskryminacji innych osób ze względu na takie czynniki jak: rasa, pochodzenie etniczne, cechy genetyczne, religię lub przekonania, poglądy polityczne lub wszelkie inne poglądy, niepełnosprawność lub orientację seksualną (art. 21); prawa dziecka (art. 24); prawo do wysokiego poziomu ochrony zdrowia ludzkiego (art. 35); prawo dostępu do dokumentów (art. 42); prawo do skutecznego środka prawnego i dostępu do bezstronnego sądu (art. 47). 4.WPŁYW NA BUDŻET Zob. załączona ocena skutków finansowych. 5.INNE ELEMENTY •Plany wdrożenia i monitorowanie, ocena i sprawozdania Nie dotyczy •Dokumenty wyjaśniające (w przypadku dyrektyw) Nie dotyczy ROZDZIAŁ I – PRZEPISY OGÓLNE W art. 1 definiuje się zakres przedmiotowy rozporządzenia oraz, tak jak w art. 1 rozporządzenia (WE) nr 45/2001, określa się dwa cele rozporządzenia. Są to: ochrona prawa podstawowego do ochrony danych oraz zagwarantowanie swobodnego przepływu danych osobowych na terytorium Unii. W artykule tym przewiduje się również główne zadania Europejskiego Inspektora Ochrony Danych. W art. 2 określa się zakres stosowania rozporządzenia: rozporządzenie ma zastosowanie do przetwarzania danych osobowych w sposób zautomatyzowany lub w inny sposób przez wszystkie unijne instytucje i organy, o ile takie przetwarzanie jest prowadzone podczas wykonywania czynności całkowicie lub częściowo podlegających prawu Unii. Materialny zakres stosowania tego rozporządzenia jest neutralny pod względem technologicznym. Ochrona danych osobowych ma zastosowanie do zautomatyzowanego przetwarzania danych osobowych oraz do przetwarzania ręcznego, jeżeli dane osobowe znajdują się lub mają się znaleźć w zbiorze danych. Art. 3 zawiera definicje terminów używanych w rozporządzeniu. Z wyjątkiem definicji terminów: „instytucje i organy unijne”, „administrator”, „użytkownik” i „spis”, które są właściwe dla niniejszego rozporządzenia, terminy stosowane w tym rozporządzeniu zdefiniowano w rozporządzeniu (UE) 2016/679, rozporządzeniu (UE) 0000/00 [nowe rozporządzenie o prywatności elektronicznej], dyrektywie 00/0000/UE [dyrektywa ustanawiająca europejski kodeks łączności elektronicznej] oraz dyrektywie Komisji 2008/63/WE. ROZDZIAŁ II – ZASADY W art. 4 określa się zasady dotyczące przetwarzania danych osobowych, które odpowiadają zasadom wskazanym w art. 5 rozporządzenia (UE) 2016/679. W porównaniu z rozporządzeniem (WE) nr 45/2001 w rozporządzeniu dodaje się nowe zasady dotyczące przejrzystości, integralności i poufności. Art. 5 opiera się na art. 6 rozporządzenia (UE) 2016/679 i zawiera kryteria dotyczące zgodności przetwarzania z prawem, przy czym jedyny wyjątek stanowi kryterium prawnie uzasadnionego interesu realizowanego przez administratora, które nie ma zastosowania do sektora publicznego i tym samym nie może być stosowane wobec instytucji i organów unijnych. W art. 5 zachowuje się kryteria już określone w art. 5 rozporządzenia (WE) nr 45/2001. W art. 6 wyjaśnia się warunki przetwarzania w innym celu zgodnym z przepisami zgodnie z art. 6 ust. 4 rozporządzenia (UE) 2016/679. W porównaniu z art. 6 rozporządzenia (WE) nr 45/2001 we wspomnianym nowym przepisie zapewnia się większą elastyczność i pewność prawa w zakresie dalszego przetwarzania do celów zgodnych z przepisami. W art. 7 wyjaśnia się – zgodnie z art. 7 rozporządzenia (UE) 2016/679 – warunki, aby zgoda stanowiła ważną podstawę prawną w odniesieniu do zgodności przetwarzania z prawem.

W art. 8 określa się – zgodnie z art. 8 rozporządzenia (UE) 2016/679 – dalsze warunki zgodności z prawem przetwarzania danych osobowych dzieci w odniesieniu do usług społeczeństwa informacyjnego oferowanych im bezpośrednio. W artykule określa się, że, aby zgoda była ważna, dziecko musi mieć ukończone co najmniej 13 lat. W art. 9 określa się – zgodnie z art. 8 rozporządzenia (WE) nr 45/2001 – zasady ustanawiające specjalny stopień ochrony w odniesieniu do przekazywania danych osobowych odbiorcom innym niż instytucje i organy unijne posiadającym jednostkę organizacyjną w Unii i podlegającym rozporządzeniu (UE) 2016/679 lub dyrektywie (UE) 2016/680. W artykule wyjaśnia się, że jeżeli przekazywanie danych odbywa się z inicjatywy administratora, musi on wykazać, że jest to działanie konieczne i proporcjonalne. W art. 10 określono ogólny zakaz przetwarzania szczególnych kategorii danych osobowych oraz wyjątki od tej zasady ogólnej na podstawie art. 9 rozporządzenia (UE) 2016/679 i rozwinięcia art. 10 rozporządzenia (WE) nr 45/2001. W art. 11 określa się – zgodnie z art. 10 rozporządzenia (UE) 2016/679 i art. 10 ust. 5 rozporządzenia (WE) nr 45/2001 – warunki przetwarzania danych osobowych dotyczących wyroków skazujących i naruszeń prawa. Art. 12 zawiera wyjaśnienie obowiązków informacyjnych administratora wobec osoby, której dane dotyczą – zgodnie z art. 11 rozporządzenia (UE) 2016/679 – i stanowi, że jeżeli dane osobowe przetwarzane przez administratora nie pozwalają mu zidentyfikować osoby fizycznej, nie powinien on mieć obowiązku uzyskania dodatkowych informacji w celu zidentyfikowania osoby, której dane dotyczą, wyłącznie po to, by zastosować się do przepisów niniejszego rozporządzenia. Administrator nie powinien jednak odmawiać przyjęcia dodatkowych informacji od osoby, której dane dotyczą, by ułatwić jej wykonywanie jej praw. W art. 13 określa się – na podstawie art. 89 ust. 1 rozporządzenia (UE) 2016/679 – zasady dotyczące zabezpieczeń mających zastosowanie do przetwarzania do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych. ROZDZIAŁ III – PRAWA OSOBY, KTÓREJ DANE DOTYCZĄ Sekcja 1 – Przejrzystość oraz tryby korzystania z praw W art. 14 wprowadza się – na podstawie art. 12 rozporządzenia (UE) 2016/679 – obowiązek administratora polegający na zapewnieniu przejrzystych, łatwo dostępnych i zrozumiałych informacji, procedur i mechanizmów ułatwiających osobie, której dane dotyczą, wykonywanie przysługujących jej praw, co w stosownych przypadkach obejmuje zapewnienie sposobów umożliwiających składanie wniosków drogą elektroniczną, wymóg udzielenia odpowiedzi na wniosek osoby, której dane dotyczą, w określonym terminie oraz przedstawienia uzasadnienia odmowy udzielenia odpowiedzi. Ponieważ od instytucji i organów unijnych w żadnych okolicznościach nie oczekuje się pobierania opłat w związku z kosztami administracyjnymi ponoszonymi z tytułu udzielania informacji, w niniejszym akcie nie uwzględniono tej możliwości, przewidzianej w rozporządzeniu (UE) 2016/679. Sekcja 2 – Informacje i dostęp do danych W art. 15 określa się obowiązki informacyjne administratora wobec osoby, której dane dotyczą, w przypadku zbierania danych osobowych od tej osoby – na podstawie art. 13 rozporządzenia (UE) 2016/679 i rozwinięcia art. 11 rozporządzenia (WE) nr 45/2001 – polegające na udzielaniu informacji takiej osobie, w tym informacji na temat okresu przechowywania i prawa do wniesienia skargi oraz w odniesieniu do międzynarodowego przekazywania danych. W art. 16 doprecyzowuje się – na podstawie art. 14 rozporządzenia (UE) 2016/679 i rozwinięcia art. 12 rozporządzenia (WE) nr 45/2001 – obowiązki informacyjne administratora wobec osoby, której dane dotyczą, w sytuacji, w której dane osobowe jej dotyczące uzyskano z innego źródła, polegające na udzielaniu informacji na temat źródła pochodzenia danych. W artykule tym utrzymuje się ponadto możliwe odstępstwa przewidziane w rozporządzeniu (UE) 2016/679, np. obowiązek taki nie wystąpi, jeżeli osoba, której dane dotyczą, dysponuje już tymi informacjami, udzielenie takich informacji okazuje się niemożliwe lub wymagałoby niewspółmiernie dużego wysiłku ze strony administratora, dane osobowe muszą pozostać poufne zgodnie z obowiązkiem zachowania tajemnicy zawodowej przewidzianym w prawie Unii lub też utrwalenie lub ujawnienie danych są wyraźnie przewidziane prawem. Mogłoby to na przykład dotyczyć postępowań prowadzonych przez służby odpowiedzialne za sprawy zabezpieczenia społecznego lub zdrowia publicznego. W art. 17 przewiduje się – zgodnie z art. 15 rozporządzenia (UE) 2016/679 i dalszym uzupełnieniem art. 13 rozporządzenia (WE) nr 45/2001 – prawo dostępu osoby, której dane dotyczą, do jej danych osobowych i dodaje się nowe elementy, takie jak obowiązek informowania osób, których dane dotyczą, o okresie przechowywania, prawach do sprostowania i usuwania danych oraz wniesienia skargi. Sekcja 3 – Sprostowanie i usuwanie W art. 18 określa się prawo osoby, której dane dotyczą, do poprawiania danych na podstawie art. 16 rozporządzenia (UE) 2016/679 i dalszego rozwinięcia art. 14 rozporządzenia (WE) nr 45/2001. W art. 19 określa się prawo osoby, której dane dotyczą, do bycia zapomnianym i do usunięcia danych zgodnie z art. 17 rozporządzenia (UE) 2016/679 i rozwinięciem art. 16 rozporządzenia (WE) nr 45/2001. W artykule określa się warunki wykonywania prawa do bycia zapomnianym, w tym obowiązek administratora, który podał dane osobowe do wiadomości publicznej, polegający na poinformowaniu osób trzecich, że osoba, której dane dotyczą, żąda, usunięcia wszelkich łączy do tych danych osobowych, ich kopii lub replikacji. W art. 20 wprowadza się prawo do ograniczenia przetwarzania w niektórych przypadkach, unikając w ten sposób niejednoznacznego terminu „blokowanie” zastosowanego w rozporządzeniu (WE) nr 45/2001 i zapewniając spójność z nową terminologią użytą w art. 18 rozporządzenia (UE) 2016/679. W art. 21 przewiduje się – zgodnie z art. 19 rozporządzenia (UE) 2016/679 i rozwinięciem art. 17 rozporządzenia (WE) nr 45/2001 – obowiązek administratora polegający na poinformowaniu odbiorców, którym ujawniono dane osobowe, o każdym przypadku sprostowania lub usunięcia danych osobowych lub o ograniczeniu przetwarzania, chyba że okaże się to niemożliwe lub będzie wymagać niewspółmiernie dużego wysiłku. Ponadto administrator informuje osobę, której dane dotyczą, o tych odbiorcach, jeżeli osoba, której dane dotyczą, tego zażąda. W art. 22 wprowadza się – zgodnie z art. 20 rozporządzenia (UE) 2016/679 – prawo osoby, której dane dotyczą, do przenoszenia danych, tj. prawo do uzyskania dotyczących jej danych osobowych, które podała administratorowi, lub do tego, aby tego rodzaju dane zostały przekazane bezpośrednio innemu administratorowi, jeżeli jest to możliwe z technicznego punktu widzenia. W artykule tym przewidziano jako warunek konieczny, a także w celu dalszej poprawy dostępu osób fizycznych do ich danych osobowych, prawo do uzyskania od administratora tych danych w ustrukturyzowanym, powszechnie używanym formacie nadającym się do odczytu maszynowego. Prawo to ma zastosowanie jedynie wówczas, gdy przetwarzanie opiera się na zgodzie osoby, której dane dotyczą, lub na zawartej przez tę osobę umowie. Sekcja 4 – Prawo sprzeciwu oraz podejmowanie zautomatyzowanej decyzji indywidualnej

W art. 23 przewidziano prawo sprzeciwu przysługujące osobie, której dane dotyczą, na podstawie art. 21 rozporządzenia (UE) 2016/679 i rozwinięcia art. 18 rozporządzenia (WE) nr 45/2001. Artykuł 24 dotyczy prawa osoby, której dane dotyczą, do tego, by nie podlegała ona środkowi, który opiera się wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu zgodnie z art. 22 rozporządzenia (UE) 2016/679 i rozwinięciem art. 19 rozporządzenia (WE) nr 45/2001. Sekcja 5 – Ograniczenia W art. 25 dopuszcza się ograniczenia praw osoby, której dane dotyczą, określonych w art. 14–22 i w art. 34 i 38 oraz zasad określonych w art. 4 (o ile jego przepisy odpowiadają prawom i obowiązkom przewidzianym w art. 14–22). Tego rodzaju ograniczenia należy określać w aktach prawnych przyjmowanych na podstawie Traktatów lub wewnętrznych przepisów instytucji i organów unijnych. Jeżeli w aktach prawnych przyjętych na podstawie Traktatów lub wewnętrznych przepisów instytucji i organów unijnych nie przewidziano możliwości tego rodzaju ograniczenia, instytucje i organy unijne mogą narzucić ograniczenie doraźne, jeżeli nie narusza ono istoty podstawowych praw i wolności w odniesieniu do danej operacji przetwarzania i stanowi w demokratycznym społeczeństwie niezbędny i proporcjonalny środek, który zapewnia osiągnięcie co najmniej jednego celu dopuszczającego ograniczenie praw osoby, której dane dotyczą. Podejście to jest zgodne z art. 23 rozporządzenia (UE) 2016/679. W przeciwieństwie jednak do art. 23 rozporządzenia (UE) 2016/679 oraz zgodnie z art. 20 rozporządzenia (WE) nr 45/2001 w przepisie tym nie przewiduje się możliwości ograniczenia prawa do sprzeciwu ani prawa do niepodlegania decyzjom opartym wyłącznie na zautomatyzowanym przetwarzaniu. Wymogi dotyczące ograniczeń są dostosowane do Karty praw podstawowych Unii Europejskiej i europejskiej konwencji praw człowieka, w myśl wykładni odpowiednio Trybunału Sprawiedliwości Unii Europejskiej i Europejskiego Trybunału Praw Człowieka. ROZDZIAŁ IV – ADMINISTRATOR I PODMIOT PRZETWARZAJĄCY Sekcja 1 – Obowiązki ogólne W art. 26 oparto się na art. 24 rozporządzenia (UE) 2016/679 i wprowadzono „zasadę rozliczalności”, opisując obowiązek przestrzegania przez administratora przepisów niniejszego rozporządzenia oraz wykazywania takiej zgodności, w tym w drodze przyjmowania odpowiednich środków technicznych i organizacyjnych oraz, w stosownych przypadkach, wewnętrznych polityk i mechanizmów. W przepisie tym nie zachowano przepisu art. 24 ust. 3 rozporządzenia (UE) 2016/679, ponieważ instytucje i organy unijne nie powinny stosować się do kodeksów postępowania czy mechanizmów certyfikacji. W art. 27 określa się – zgodnie z art. 25 rozporządzenia (UE) 2016/679 – obowiązki administratora wynikające z zasady uwzględniania ochrony danych w fazie projektowania oraz zasady domyślnej ochrony danych. Artykuł 28 dotyczący współadministratorów opiera się na art. 26 rozporządzenia (UE) 2016/679, co ma na celu wyjaśnienie obowiązków współadministratorów – niezależnie, czy są to instytucje lub organy unijnych czy też nie – jeżeli chodzi o ich stosunki wewnętrzne oraz wobec osoby, której dane dotyczą. Przepis ten reguluje sytuację, w której wszyscy współadministratorzy podlegają temu samemu systemowi prawnemu (niniejszemu rozporządzeniu), oraz sytuację, w której niektórzy z nich podlegają niniejszemu rozporządzeniu a niektórzy – innemu instrumentowi prawnemu (rozporządzeniu (UE) 2016/679, dyrektywie (UE) 2016/680, dyrektywie (UE) 2016/681 i innym szczególnym systemom ochrony danych dotyczącym instytucji lub organów unijnych). Art. 29 opiera się na art. 28 rozporządzenia (UE) 2016/679 i zawiera rozwinięcie art. 23 rozporządzenia (WE) nr 45/2001 w celu wyjaśnienia pozycji i obowiązków podmiotów przetwarzających, w tym zawiera stwierdzenie, że podmiot przetwarzający, który narusza postanowienia niniejszego rozporządzenia przy określaniu celów i sposobów przetwarzania, uznaje się za administratora w odniesieniu do tego przetwarzania. W art. 30 dotyczącym przetwarzania z upoważnienia administratora lub podmiotu przetwarzającego, który opiera się na art. 29 rozporządzenia (UE) 2016/679, ustanawia się zakaz przetwarzania takich danych w stosunku do podmiotu przetwarzającego i każdej osoby działającej z upoważnienia administratora lub podmiotu przetwarzającego i mającej dostęp do danych osobowych z wyjątkiem sytuacji, w których tego rodzaju podmiot lub osoba przetwarzają je wyłącznie na polecenie administratora, chyba że wymaga tego prawo Unii lub prawo państwa członkowskiego. W art. 31, opierającym się na art. 30 rozporządzenia (UE) 2016/679, wprowadza się obowiązek administratorów i podmiotów przetwarzających polegający na prowadzeniu dokumentacji dotyczącej operacji przetwarzania, za które odpowiadają, zamiast wcześniejszego powiadamiania Europejskiego Inspektora Ochrony Danych zgodnie z wymogami art. 25 rozporządzenia (WE) nr 45/2001 oraz rejestru prowadzonego przez inspektorów ochrony danych. W przeciwieństwie do rozporządzenia (UE) 2016/679 przepis ten nie zawiera odniesienia do przedstawicieli, ponieważ instytucje unijne nie będą miały przedstawicieli, a zawsze będą miały inspektorów ochrony danych. Nie zachowano odniesień do przekazywania danych na podstawie wyjątków mających zastosowanie w szczególnych sytuacjach, jak to przewidziano w rozporządzeniu (UE) 2016/679, ponieważ w niniejszym rozporządzeniu nie przewiduje się tego rodzaju przekazywania danych. Obowiązek prowadzenia rejestru czynności przetwarzania może mieć charakter scentralizowany na szczeblu instytucji unijnej lub organu unijnego. W takim przypadku instytucje i organy unijne mogą prowadzić swoje rejestry czynności przetwarzania w formie publicznie dostępnego rejestru. W art. 32 wyjaśnia się na podstawie art. 31 rozporządzenia (UE) 2016/679 obowiązki instytucji i organów unijnych dotyczące współpracy z EIOD. Sekcja 2 – Bezpieczeństwo danych osobowych i poufność łączności elektronicznej W art. 33 zobowiązuje się administratora – zgodnie z art. 32 rozporządzenia (UE) 2016/679 i rozwinięciem art. 22 rozporządzenia (WE) nr 45/2001 – do wprowadzenia odpowiednich środków mających na celu zapewnienie bezpieczeństwa przetwarzania, rozszerzając ten obowiązek na podmioty przetwarzające, niezależnie od warunków umowy zawartej z administratorem. W art. 34, który opiera się na art. 36 rozporządzenia (WE) nr 45/2001, zapewnia się poufność łączności elektronicznej w obrębie instytucji i organów unijnych. Artykuł 35 opiera się na obowiązującej praktyce instytucji i organów unijnych i obejmuje ochroną informacje mające związek z końcowymi urządzeniami telekomunikacyjnymi użytkowników końcowych, którzy łączą się z dostępnymi publicznie stronami internetowymi i aplikacjami mobilnymi udostępnianymi przez instytucje i organy unijne zgodnie z rozporządzeniem (UE) XXXX/XX [nowe rozporządzenie o prywatności elektronicznej], a w szczególności z jego art. 8. W art. 36, który opiera się na art. 38 rozporządzenia (WE) nr 45/2001, przewidziano ochronę danych osobowych zawartych w publicznych i prywatnych spisach prowadzonych przez instytucje i organy unijne. W art. 37 i 38 wprowadza się obowiązek zgłaszania naruszenia ochrony danych osobowych zgodnie z art. 33 i 34 rozporządzenia (UE) 2016/679. Sekcja 3 – Ocena skutków dla ochrony danych i uprzednie konsultacje

W art. 39, który opiera się na art. 35 rozporządzenia (UE) 2016/679, wprowadza się obowiązek sporządzania przez administratorów i podmioty przetwarzające oceny skutków w zakresie ochrony danych przed podjęciem operacji przetwarzania, z którymi wedle wszelkiego prawdopodobieństwa wiąże się wysokie ryzyko naruszenia praw i wolności osób fizycznych. Obowiązek ten będzie miał zastosowanie w szczególności w przypadku systematycznej, kompleksowej oceny czynników osobowych odnoszących się do osób fizycznych, która opiera się na zautomatyzowanym przetwarzaniu, w tym profilowaniu, przetwarzaniu na dużą skalę szczególnych kategorii danych lub systematycznym monitorowaniu na dużą skalę miejsc dostępnych publicznie. Artykuł 40 opiera się na art. 36 rozporządzenia (UE) 2016/679 i dotyczy przypadków, w których zezwolenie EIOD oraz konsultacje z nim są obowiązkowe przed przystąpieniem do przetwarzania. W art. 40 ust. 1 przytacza się jednak motyw 94 rozporządzenia (UE) 2016/679 w celu wyjaśnienie zakresu stosowania obowiązku przeprowadzenia konsultacji. Sekcja 4 – Informacje i dostęp do danych W art. 41 nałożono na instytucje i organy unijne obowiązek informowania EIOD o wdrażanych przez nie środkach administracyjnych i wewnętrznych przepisach odnoszących się do przetwarzania danych osobowych. Artykuł 42 stanowi, że Komisja ma obowiązek konsultować się z EIOD po przyjęciu wniosków w sprawie aktów ustawodawczych oraz zaleceń lub wniosków przedłożonych Radzie zgodnie z art. 218 TFUE oraz podczas opracowywania aktów delegowanych lub aktów wykonawczych, które mają wpływ na ochronę praw i wolności osób fizycznych w związku z przetwarzaniem danych osobowych. Jeżeli tego rodzaju akty mają szczególne znaczenie dla ochrony praw i wolności osób fizycznych w związku z przetwarzaniem danych osobowych, Komisja może również skonsultować się z Europejską Radą Ochrony Danych. W takich przypadkach oba organy powinny koordynować swoje prace w celu wydania wspólnej opinii. Na wydanie zalecenia w wyżej wymienionych przypadkach ustanawia się termin 8 tygodni, od którego możliwe są odstępstwa w sprawach pilnych, a jeżeli sprawa nie ma charakteru pilnego – w stosownych przypadkach, na przykład, gdy Komisja opracowuje akty delegowane i wykonawcze. Sekcja 5 – Obowiązek reagowania na zarzuty W art. 43 nałożono na administratorów i podmiot przetwarzający obowiązek reagowania na zarzuty po przekazywaniu im sprawy do rozpatrzenia w wyniku decyzji EIOD. Sekcja 6 – Inspektor ochrony danych Na podstawie art. 37 ust. 1 lit. a) rozporządzenia (UE) 2016/679 i art. 24 rozporządzenia (WE) nr 45/2001 do art. 44 wprowadzano obowiązkowe powołanie inspektora ochrony danych w instytucjach i organach unijnych. Na podstawie art. 38 rozporządzenia (UE) 2016/679 i art. 24 rozporządzenia (WE) nr 45/2001 w art. 45 określa się status inspektora ochrony danych. Na podstawie art. 39 rozporządzenia (UE) 2016/679 i art. 24 rozporządzenia (WE) nr 45/2001 oraz pkt 2 i 3 załącznika do rozporządzenia (WE) nr 45/2001 w art. 46 określa się główne zadania inspektora ochrony danych. ROZDZIAŁ V – PRZEKAZYWANIE DANYCH OSOBOWYCH DO PAŃSTW TRZECICH LUB ORGANIZACJI MIĘDZYNARODOWYCH Ponadto na podstawie art. 9 rozporządzenia (WE) nr 45/2001 art. 47 zawiera ogólną zasadę, zgodnie z art. 44 rozporządzenia (UE) 2016/679, w myśl której przestrzeganie pozostałych przepisów niniejszego rozporządzenia i warunków określonych w rozdziale V jest warunkiem jakiegokolwiek przekazania danych osobowych do państw trzecich lub organizacji międzynarodowych, w tym dalszego przekazania danych z państwa trzeciego lub przez organizację międzynarodową do innego państwa trzeciego lub innej organizacji międzynarodowej. Art. 48 stanowi, że przekazanie danych osobowych do państwa trzeciego lub organizacji międzynarodowej może nastąpić, gdy Komisja stwierdzi na podstawie art. 45 ust. 3 rozporządzenia (UE) 2016/679, że dane państwo trzecie, terytorium lub określony sektor lub określone sektory w tym państwie trzecim lub dana organizacja międzynarodowa zapewniają odpowiedni stopień ochrony, a dane osobowe są przekazywane tylko po to, aby umożliwić wykonywanie zadań wchodzących w zakres kompetencji administratora. Ust. 2 i 3 przedmiotowego artykułu zostały przejęte z art. 9 rozporządzenia (WE) nr 45/2001, ponieważ stanowią przydatne elementy monitorowania stopnia ochrony w państwach trzecich i organizacjach międzynarodowych. W art. 49 opartym na art. 46 rozporządzenia (UE) 2016/679 wymaga się, aby w przypadku przekazywania danych do państw trzecich, gdy Komisja nie wydała decyzji stwierdzającej odpowiedni stopień ochrony, wprowadzono odpowiednie zabezpieczenia, w szczególności standardowe klauzule ochrony danych oraz klauzule umowne. Zgodnie z rozporządzeniem (UE) 2016/679 podmioty przetwarzające inne niż instytucje i organy unijne mogą stosować wiążące reguły korporacyjne, kodeksy postępowania i mechanizmy certyfikacji. Ust. 4 przedmiotowego artykułu dotyczący obowiązku instytucji i organów unijnych polegającego na informowaniu EIOD o kategoriach przypadków, w których zastosowały ten artykuł, odpowiada art. 9 ust. 8 rozporządzenia (WE) nr 45/2001 i zostaje zachowany ze względu na swoją specyfikę. Ust. 5 opiera się na zasadzie praw nabytych, obejmującej obowiązujące zezwolenia, określonej w art. 46 ust. 5 rozporządzenia (UE) 2016/679. W art. 50 doprecyzowuje się zgodnie z art. 48 rozporządzenia (UE) 2016/679, że wyroki sądów lub decyzje organów administracyjnych państw trzecich wymagające przekazania lub ujawnienia danych osobowych mogą zostać uznane lub być wykonywane wyłącznie, gdy opierają się na umowie międzynarodowej, takiej jak umowa o wzajemnej pomocy prawnej, obowiązującej między wzywającym państwem trzecim a Unią, bez uszczerbku dla innych podstaw przekazania na podstawie niniejszego rozdziału. W art. 51, opierającym się na art. 49 rozporządzenia (UE) 2016/679, przedstawiono i doprecyzowano odstępstwa dotyczące przekazywania danych. Dotyczy to w szczególności przekazywania danych wymaganego i niezbędnego do ochrony istotnego interesu publicznego, na przykład w sytuacji międzynarodowego przekazywania danych, w którym biorą udział organy ds. konkurencji, organy podatkowe lub organy celne, bądź też między służbami odpowiedzialnymi za zabezpieczenie społeczne lub zarządzanie rybołówstwem. Ust. 5 dotyczący obowiązku informowania EIOD o kategoriach przypadków, w których zastosowano odstępstwo w odniesieniu do przekazania danych, odpowiada obowiązującemu obecnie art. 9 ust. 8 rozporządzenia (WE) nr 45/2001. W art. 52 bazującym na art. 50 rozporządzenia (UE) 2016/679 wyraźnie przewidziano mechanizmy współpracy międzynarodowej na rzecz ochrony danych osobowych między EIOD we współpracy z Komisją i Europejską Radą Ochrony Danych a organami nadzorczymi państw trzecich. ROZDZIAŁ VI – EUROPEJSKI INSPEKTOR OCHRONY DANYCH Artykuł 53 opiera się na art. 41 rozporządzenia (WE) nr 45/2001 i dotyczy ustanowienia EIOD.

W art. 54, opierającym się na art. 42 rozporządzenia (WE) nr 45/2001 i na art. 3 decyzji 1247/2002/WE, określono zasady powoływania EIOD przez Parlament Europejski i Radę. Określono w nim również długość kadencji EIOD, która będzie trwać pięć lat. W art. 55, opierającym się na art. 43 rozporządzenia (WE) nr 45/2001 i na art. 1 decyzji 1247/2002/WE, określono regulacje i ogólne warunki dotyczące wypełnianie obowiązków przez EIOD i jego personel oraz dotyczące zasobów finansowych. W art. 56, opierającym się na art. 52 rozporządzenia (UE) 2016/679 i art. 44 rozporządzenia (WE) nr 45/2001, doprecyzowano warunki niezależności EIOD, uwzględniając orzecznictwo Trybunału Sprawiedliwości Unii Europejskiej. W art. 57, opierającym się na art. 45 rozporządzenia (WE) nr 45/2001, ustanowiono wobec EIOD obowiązek zachowania tajemnicy zawodowej w trakcie kadencji i po jej zakończeniu w odniesieniu do informacji poufnych, które EIOD uzyskał w toku wykonywania oficjalnych obowiązków. W art. 58, opierającym się na art. 57 rozporządzenia (UE) 2016/679 i art. 46 rozporządzenia (WE) nr 45/2001, określono obowiązki EIOD, w tym obowiązek rozpatrywania skarg i prowadzenia postępowań dotyczących tych skarg oraz upowszechniania w społeczeństwie wiedzy o ryzyku, przepisach, zabezpieczeniach i prawach. W art. 59, opierającym się na art. 58 rozporządzenia (UE) 2016/679 i art. 47 rozporządzenia (WE) nr 45/2001, określono uprawnienia EIOD. W art. 60 opierającym się na art. 59 rozporządzenia (UE) 2016/679 i art. 48 rozporządzenia (WE) nr 45/2001, określono obowiązek sporządzenia przez EIOD rocznego sprawozdania z działalności. ROZDZIAŁ VII – WSPÓŁPRACA I SPÓJNOŚĆ W art. 61, opierającym się na art. 61 rozporządzenia (UE) 2016/679 i art. 46 lit. f) rozporządzenia (WE) nr 45/2001, wprowadza się wyraźne zasady dotyczące współpracy EIOD z krajowymi organami nadzorczymi. W art. 62 ustanowiono obowiązki EIOD w ramach skoordynowanej współpracy z krajowymi organami nadzorczymi w sytuacjach, w których inne akty unijne odnoszą się do tego artykułu. Celem artykułu jest wdrożenie jednolitego modelu skoordynowanego nadzoru. Tego rodzaju model można by wykorzystać do celów skoordynowanego nadzoru nad dużymi systemami informatycznymi, takimi jak: Eurodac, System Informacyjny Schengen drugiej generacji (SIS II), wizowy system informacyjny, system informacji celnej lub system wymiany informacji na rynku wewnętrzny, a ponadto do celów nadzoru nad niektórymi agencjami unijnymi, takimi jak Europol, w przypadku których obowiązuje szczególny model współpracy między EIOD a organami krajowymi. Europejska Rada Ochrony Danych powinna funkcjonować jako jednolite forum na potrzeby zapewnienia skutecznego i skoordynowanego nadzoru w całej radzie. ROZDZIAŁ VIII – ŚRODKI OCHRONY PRAWNEJ, ODPOWIEDZIALNOŚĆ I SANKCJE W art. 63, opierającym się na art. 77 rozporządzenia (UE) 2016/679 i art. 32 rozporządzenia (WE) nr 45/2001, zapewniono prawo osoby, której dane dotyczą, do wniesienia skargi do EIOD. Artykuł ten stanowi, że EIOD ma obowiązek rozpatrzeć skargę i poinformować osobę, której dane dotyczą, o postępach i wynikach rozpatrywania skargi w terminie trzech miesięcy, po upływie którego skargę uznaje się za odrzuconą. W art. 64 zachowuje się art. 32 ust. 1 rozporządzenia (WE) nr 45/2001 stanowiący, że Trybunał Sprawiedliwości Unii Europejskiej jest właściwy do orzekania we wszystkich sporach odnoszących się do przepisów niniejszego rozporządzenia, włącznie z roszczeniami odszkodowawczymi. W art. 65 określa się prawo do odszkodowania zarówno w odniesieniu do szkód majątkowych, jak i szkód niemajątkowych, z zastrzeżeniem warunków, w tym warunków dotyczących odpowiedzialności, przewidzianych w Traktatach. W art. 66, opierającym się na art. 83 rozporządzenia (UE) 2016/679, przyznano EIOD uprawnienie do nakładania administracyjnych kar pieniężnych na instytucje i organy unijne jako ostateczną karę i wyłącznie wówczas, gdy instytucja unijna lub organ unijny nie zastosuje się do nakazu wydanego przez EIOD, o którym mowa wart. 59 ust. 2 lit. a)–h) i j). W artykule tym określa się również kryteria, na podstawie których ustalona zostaje kwota administracyjnej kary pieniężnej w każdym pojedynczym przypadku, przy czym maksymalne roczne pułapy zostały przyjęte na podstawie wysokości kar stosowanych w niektórych państwach członkowskich. W art. 67 dopuszcza się, zgodnie z art. 80 ust. 1 rozporządzenia (UE) 2016/679, możliwość wniesienia skargi w imieniu osoby, której dane dotyczą, przez określone organy, organizacje lub zrzeszenia. W art. 68, zgodnie z art. 33 rozporządzenia (WE) nr 45/2001, określa się szczegółowe zasady, których celem jest ochrona pracowników unijnych, którzy wnoszą skargę do EIOD, dotyczącą domniemanego naruszenia przepisów niniejszego rozporządzenia, bez użycia oficjalnych dróg. W art. 69, opierającym się na art. 49 rozporządzenia (WE) nr 45/2001, przewidziano kary stosowane w związku z niedopełnieniem obowiązków wynikających z niniejszego rozporządzenia przez urzędników lub innych funkcjonariuszy Unii Europejskiej. ROZDZIAŁ IX – AKTY WYKONAWCZE Artykuł 70 dotyczy procedury komitetowej niezbędnej do powierzenia Komisji uprawnień wykonawczych w przypadkach, w których zgodnie z art. 291 TFUE konieczne są jednolite warunki wykonywania prawnie wiążących aktów Unii. Zastosowanie ma procedura sprawdzająca.

ROZDZIAŁ X – PRZEPISY KOŃCOWE W art. 71 uchyla się rozporządzenie (WE) nr 45/2001 i decyzję nr 1247/2002/WE i stanowi się, że odesłania do tych dwóch instrumentów należy traktować jako odesłania do niniejszego rozporządzenia. W art. 72 wyjaśnia się, że niniejsze rozporządzenie nie wpływa na obecną kadencję Europejskiego Inspektora Ochrony Danych i zastępcy inspektora, a art. 54 ust. 4, 5 i 7 oraz art. 56 i 57 niniejszego rozporządzenia mają zastosowanie do obecnego zastępcy inspektora do końca jego kadencji, tj. do dnia 5 grudnia 2019 r. W art. 73 określa się dzień 25 maja 2018 r. jako datę wejścia w życie niniejszego rozporządzenia celem zapewnienia spójności z datą rozpoczęcia stosowania rozporządzenia (UE) 2016/679. 2017/0002 (COD) Wniosek ROZPORZĄDZENIE PARLAMENTU EUROPEJSKIEGO I RADY dotyczący ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez unijne instytucje, organy i jednostki organizacyjne oraz swobodnego przepływu takich danych i uchylający rozporządzenie (WE) nr 45/2001 i decyzję nr 1247/2002/WE PARLAMENT EUROPEJSKI I RADA UNII EUROPEJSKIEJ, uwzględniając Traktat o funkcjonowaniu Unii Europejskiej, w szczególności jego art. 16 ust. 2, uwzględniając wniosek Komisji Europejskiej, po przekazaniu projektu aktu ustawodawczego parlamentom narodowym, uwzględniając opinię Europejskiego Komitetu Ekonomiczno-Społecznego, stanowiąc zgodnie ze zwykłą procedurą ustawodawczą, a także mając na uwadze, co następuje: (1)Ochrona osób fizycznych w związku z przetwarzaniem danych osobowych jest jednym z praw podstawowych. Art. 8 ust. 1 Karty praw podstawowych Unii Europejskiej (zwanej dalej „Kartą praw podstawowych”) oraz art. 16 ust. 1 Traktatu o funkcjonowaniu Unii Europejskiej (TFUE) stanowią, że każda osoba ma prawo do ochrony danych osobowych jej dotyczących. (2)W rozporządzeniu (WE) nr 45/2001 Parlamentu Europejskiego i Rady zapewnia się osobom fizycznym prawa możliwe do wyegzekwowania na drodze prawnej, określa się zobowiązania administratorów w instytucjach i organach unijnych odnoszące się do przetwarzania danych osobowych oraz tworzy się niezależny organ nadzorczy – Europejskiego Inspektora Ochrony Danych – odpowiedzialny za monitorowanie przetwarzania danych osobowych przez instytucje i organy unijne. Rozporządzenie nie ma jednak zastosowania do przetwarzania danych osobowych w toku prowadzenia przez instytucje i organy unijne działalności nieobjętej zakresem stosowania prawa Unii. (3)W dniu 27 kwietnia 2016 r. przyjęto rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 i dyrektywę Parlamentu Europejskiego i Rady (UE) 2016/680. W powyższym rozporządzeniu określa się przepisy ogólne dotyczące ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i zapewnienia swobodnego przepływu danych osobowych w Unii, natomiast w powyższej dyrektywie określa się przepisy szczegółowe dotyczące ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i zapewnienia swobodnego przepływu danych osobowych w Unii w dziedzinach współpracy wymiarów sprawiedliwości w sprawach karnych i współpracy policyjnej. (4)W rozporządzeniu (UE) 2016/679 podkreślono, że aby zapewnić solidne i spójne ramy ochrony danych w Unii, należy dokonać koniecznych modyfikacji rozporządzenia (WE) nr 45/2001, tak by umożliwić jego stosowanie równocześnie z rozporządzeniem (UE) 2016/679. (5)W myśl spójnego podejścia do ochrony danych osobowych w całej Unii oraz swobodnego przepływu danych osobowych na terytorium Unii należy w miarę możliwości dostosować przepisy o ochronie danych dotyczące instytucji i organów unijnych z przepisami o ochronie danych przyjętymi w odniesieniu do sektora publicznego w państwach członkowskich. W każdym przypadku, w którym przepisy niniejszego rozporządzenia opierają się na tym samym założeniu, co przepisy rozporządzenia (UE) 2016/679, oba przepisy należy interpretować tak samo, w szczególności ze względu na fakt, że systematyka niniejszego rozporządzenia powinna być uznawana za tożsamą z systematyką rozporządzenia (UE) 2016/679.

(6)Należy zapewnić ochronę wszystkim osobom, których dane osobowe są przetwarzane przez instytucje i organy unijne, niezależnie od powodu takiego przetwarzania, którym może być fakt zatrudnienia takich osób przez instytucje i organy unijne. Niniejszego rozporządzenia nie ma zastosowania do przetwarzania danych osobowych osób zmarłych. Niniejsze rozporządzenie nie dotyczy przetwarzania danych osobowych dotyczących osób prawnych, w szczególności przedsiębiorstw będących osobami prawnymi, w tym danych o firmie i formie prawnej oraz danych kontaktowych osoby prawnej. (7)Aby zapobiec poważnemu ryzyku obchodzenia prawa, ochrona osób fizycznych powinna być neutralna pod względem technicznym i nie powinna zależeć od stosowanych technik. Ochrona osób fizycznych powinna mieć zastosowanie do zautomatyzowanego przetwarzania danych osobowych oraz do przetwarzania ręcznego, jeżeli dane osobowe znajdują się lub mają się znaleźć w zbiorze danych. Zbiory lub zestawy zbiorów oraz ich strony tytułowe, które nie są uporządkowane według określonych kryteriów, nie powinny być objęte zakresem niniejszego rozporządzenia. (8)W deklaracji nr 21 w sprawie ochrony danych osobowych w dziedzinie współpracy wymiarów sprawiedliwości w sprawach karnych i współpracy policyjnej – załączonej do Aktu końcowego konferencji międzyrządowej, która przyjęła Traktat z Lizbony – konferencja uznała, że ze względu na szczególny charakter współpracy wymiarów sprawiedliwości w sprawach karnych i współpracy policyjnej konieczne może okazać się przyjęcie – na podstawie art. 16 TFUE – szczególnych przepisów o ochronie danych osobowych i swobodnym przepływie danych osobowych w tych dziedzinach. Niniejsze rozporządzenie powinno zatem mieć zastosowanie do agencji unijnych prowadzących działania w ramach współpracy wymiarów sprawiedliwości w sprawach karnych i współpracy policyjnej wyłącznie w zakresie, w jakim prawo Unii właściwe dla tego rodzaju agencji nie zawiera przepisów szczegółowych dotyczących przetwarzania danych osobowych. (9)Dyrektywa (UE) 2016/680 zawiera zharmonizowane zasady ochrony i swobodnego przepływu danych osobowych przetwarzanych do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych lub wykonywania kar, w tym do celów ochrony przed zagrożeniami dla bezpieczeństwa publicznego i zapobiegania takim zagrożeniom. Aby zapewnić identyczny stopień ochrony osób fizycznych w Unii za pomocą praw możliwych do wyegzekwowania na drodze prawnej, oraz zapobiegać rozbieżnościom utrudniającym wymianę danych osobowych między agencjami unijnymi prowadzącymi działania w ramach współpracy wymiarów sprawiedliwości w sprawach karnych i współpracy policyjnej a właściwymi organami w państwach członkowskich, przepisy dotyczące ochrony i swobodnego przepływu operacyjnych danych osobowych przetwarzanych przez tego rodzaju agencje unijne powinny opierać się na zasadach leżących u podstaw niniejszego rozporządzenia i powinny być spójne z dyrektywą (UE) 2016/680. (10)Jeżeli w akcie ustanawiającym agencję unijną prowadzącą działania wchodzące w zakres stosowania tytułu V rozdziały 4 i 5 Traktatu ustanawia się niezależny system ochrony danych do celów przetwarzania operacyjnych danych osobowych, niniejsze rozporządzenie nie powinno mieć wpływu na tego rodzaju systemy. Zgodnie z art. 62 dyrektywy (UE) 2016/680 Komisja powinna jednak do dnia 6 maja 2019 r. przeprowadzić przegląd aktów unijnych regulujących przetwarzanie danych przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych i wykonywania kar, w tym do celów ochrony przed zagrożeniami dla bezpieczeństwa publicznego i zapobiegania takim zagrożeniom, i w stosownych przypadkach przedstawić niezbędne wnioski dotyczące zmiany aktów w celu zapewnienia spójnego podejścia do ochrony danych osobowych w ramach współpracy wymiarów sprawiedliwości w sprawach karnych i współpracy policyjnej. (11)Zasady ochrony danych powinny mieć zastosowanie do wszelkich informacji o zidentyfikowanych lub możliwych do zidentyfikowania osobach fizycznych. Spseudonimizowane dane osobowe, które przy użyciu dodatkowych informacji można przypisać osobie fizycznej, należy uznać za informacje o możliwej do zidentyfikowania osobie fizycznej. Aby stwierdzić, czy dana osoba fizyczna jest możliwa do zidentyfikowania, należy wziąć pod uwagę wszelkie sposoby (w tym wyodrębnienie wpisów dotyczących tej samej osoby), w stosunku do których istnieje uzasadnione prawdopodobieństwo, iż zostaną wykorzystane przez administratora lub inną osobę w celu bezpośredniego lub pośredniego zidentyfikowania osoby fizycznej. Aby stwierdzić, czy dany sposób może być z uzasadnionym prawdopodobieństwem wykorzystany do zidentyfikowania danej osoby fizycznej, należy wziąć pod uwagę wszelkie obiektywne czynniki, takie jak koszt i czas potrzebne do jej zidentyfikowania, oraz uwzględnić technologię dostępną w momencie przetwarzania danych, jak i postęp technologiczny. Zasady ochrony danych nie powinny więc mieć zastosowania do informacji anonimowych, czyli informacji, które nie wiążą się ze zidentyfikowaną lub możliwą do zidentyfikowania osobą fizyczną, ani do danych osobowych zanonimizowanych w taki sposób, że osób, których dane dotyczą, w ogóle nie można zidentyfikować lub już nie można zidentyfikować. Niniejsze rozporządzenie nie dotyczy więc przetwarzania anonimowych informacji, w tym przetwarzania do celów statystycznych lub naukowych. (12)Pseudonimizacja danych osobowych może ograniczyć ryzyko dla osób, których dane dotyczą, oraz pomóc administratorom i podmiotom przetwarzającym wywiązać się z obowiązku ochrony danych. Bezpośrednie wprowadzenie pojęcia „pseudonimizacja” w niniejszym rozporządzeniu nie służy wykluczeniu innych środków ochrony danych. (13)Osobom fizycznym mogą zostać przypisane identyfikatory internetowe – takie jak adresy IP, identyfikatory plików cookie – generowane przez ich urządzenia, aplikacje, narzędzia i protokoły, czy też inne identyfikatory, generowane na przykład przez etykiety RFID. Może to skutkować zostawianiem śladów, które w szczególności w połączeniu z niepowtarzalnymi identyfikatorami i innymi informacjami uzyskiwanymi przez serwery mogą być wykorzystywane do tworzenia profili i do identyfikowania tych osób. (14)Zgoda powinna być wyrażona w drodze jednoznacznej, potwierdzającej czynności, która wyraża odnoszące się do określonej sytuacji dobrowolne, świadome i jednoznaczne przyzwolenie osoby, której dane dotyczą, na przetwarzanie dotyczących jej danych osobowych i która ma na przykład formę pisemnego (w tym elektronicznego) lub ustnego oświadczenia. Może to polegać na zaznaczeniu okienka wyboru podczas przeglądania strony internetowej, na wyborze ustawień technicznych do korzystania z usług społeczeństwa informacyjnego lub też na innym oświadczeniu bądź zachowaniu, które w danym kontekście jasno wskazuje, że osoba, której dane dotyczą, zaakceptowała proponowane przetwarzanie jej danych osobowych. Milczenie, okienka domyślnie zaznaczone lub niepodjęcie działania nie powinny zatem oznaczać zgody. Zgoda powinna dotyczyć wszystkich czynności przetwarzania dokonywanych w tym samym celu lub w tych samych celach. Jeżeli przetwarzanie służy różnym celom, potrzebna jest zgoda na wszystkie te cele. Jeżeli osoba, której dane dotyczą, ma wyrazić zgodę w odpowiedzi na elektroniczne zapytanie, zapytanie takie musi być jasne, zwięzłe i nie zakłócać niepotrzebnie korzystania z usługi, której dotyczy. (15)Wszelkie przetwarzanie danych osobowych powinno być zgodne z prawem i rzetelne. Dla osób fizycznych powinno być jasne, że dotyczące ich dane osobowe są zbierane, wykorzystywane, przeglądane lub w inny sposób przetwarzane oraz w jakim stopniu te dane osobowe są lub będą przetwarzane. Zasada przejrzystości wymaga, by wszelkie informacje i wszelkie komunikaty związane z przetwarzaniem tych danych osobowych były łatwo dostępne i zrozumiałe oraz sformułowane jasnym i prostym językiem. Zasada ta dotyczy w szczególności informowania osób, których dane dotyczą, o tożsamości administratora i celach przetwarzania oraz innych informacji mających zapewnić rzetelność i przejrzystość przetwarzania w stosunku do osób fizycznych, których sprawa dotyczy, a także prawa takich osób do uzyskania potwierdzenia i informacji o przetwarzanych danych osobowych ich dotyczących. Osobom fizycznym należy uświadomić ryzyka, zasady, zabezpieczenia i prawa związane z przetwarzaniem danych osobowych oraz sposoby wykonywania praw przysługujących im w związku z takim przetwarzaniem. W szczególności konkretne cele przetwarzania danych osobowych powinny być wyraźne, uzasadnione i określone w momencie ich zbierania. Dane osobowe powinny być adekwatne, stosowne i ograniczone do tego, co niezbędne do celów, dla których są one przetwarzane. Wymaga to w szczególności zapewnienia ograniczenia okresu przechowywania danych do ścisłego minimum. Dane osobowe powinny być przetwarzane tylko w przypadkach, gdy celu przetwarzania nie można w rozsądny sposób osiągnąć innymi sposobami. Aby zapobiec przechowywaniu danych osobowych przez okres dłuższy, niż jest to niezbędne, administrator powinien ustalić termin ich usuwania lub okresowego przeglądu. Należy podjąć wszelkie rozsądne działania zapewniające sprostowanie lub usunięcie danych osobowych, które są nieprawidłowe. Dane osobowe powinny być przetwarzane w sposób zapewniający im odpowiednie bezpieczeństwo i odpowiednią poufność, w tym ochronę przed nieuprawnionym dostępem do nich i do sprzętu służącego ich przetwarzaniu lub przed nieuprawnionym korzystaniem z tych danych i z tego sprzętu. (16)Zgodnie z zasadą rozliczalności, jeżeli instytucje i organy unijne przekazują dane osobowe w obrębie danej instytucji lub danego organu lub do innych instytucji i organów unijnych, powinny sprawdzić, czy tego rodzaju dane osobowe są niezbędne do zgodnego z prawem wykonywania zadań leżących w zakresie kompetencji odbiorcy, jeżeli odbiorca nie należy do struktur administratora. W szczególności po otrzymaniu wniosku od odbiorcy o przekazanie danych osobowych administrator powinien sprawdzić, czy istnieje odpowiednia podstawa do stwierdzenia zgodności z prawem przetwarzania przez niego danych osobowych, których dotyczy wniosek, oraz powinien sprawdzić uprawnienia odbiorcy i dokonać wstępnej oceny konieczności przekazania danych. Jeżeli powstają wątpliwości co do tej konieczności, administrator powinien żądać dalszych informacji od odbiorcy. Odbiorca powinien zapewnić możliwość zweryfikowania konieczności przekazania danych po jego dokonaniu. (17)Aby przetwarzanie danych osobowych było zgodne z prawem, musi ono być podyktowane koniecznością wykonania zadania realizowanego w interesie publicznym przez instytucje i organy unijne lub w ramach sprawowania przez nie władzy publicznej, koniecznością poszanowania obowiązku prawnego, któremu podlega administrator, lub inną uzasadnioną podstawą, o której mowa w niniejszym rozporządzeniu, w tym zgodą osoby, której dane dotyczą, lub koniecznością poszanowania umowy, której stroną jest osoba, której dane dotyczą, lub w celu podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy. Przetwarzanie danych osobowych w celu przeprowadzenia czynności wykonywanych w interesie ogólnym przez instytucje i organy unijne obejmuje przetwarzanie danych osobowych niezbędnych do zarządzania i funkcjonowania tych instytucji i organów. Przetwarzanie danych osobowych należy uznać za zgodne z prawem również w przypadkach, gdy jest niezbędne do ochrony interesu, który ma istotne znaczenie dla życia osoby, której dane dotyczą, lub innej osoby fizycznej. Żywotny interes innej osoby fizycznej powinien zasadniczo być podstawą przetwarzania danych osobowych wyłącznie w przypadkach, gdy ewidentnie przetwarzania tego nie da się oprzeć na innej podstawie prawnej. Niektóre rodzaje przetwarzania mogą służyć zarówno ważnemu interesowi publicznemu, jak i żywotnym interesom osoby, której dane dotyczą, na przykład gdy przetwarzanie jest niezbędne do celów humanitarnych, w tym monitorowania epidemii i ich rozprzestrzeniania się lub w nadzwyczajnych sytuacjach humanitarnych, w szczególności w przypadku klęsk żywiołowych i katastrof spowodowanych przez człowieka. (18)Prawo Unii obejmujące wewnętrzne przepisy, o których mowa w niniejszym rozporządzeniu, powinno być jasne i precyzyjne, a jego zastosowanie przewidywalne dla osób im podlegających – jak wymaga tego orzecznictwo Trybunału Sprawiedliwości Unii Europejskiej i Europejskiego Trybunału Praw Człowieka. (19)Przetwarzanie danych osobowych do celów innych niż cele, w których dane te zostały pierwotnie zebrane, powinno być dozwolone wyłącznie w przypadkach, gdy jest zgodne z celami, w których dane osobowe zostały pierwotnie zebrane. W takim przypadku nie jest wymagana odrębna podstawa prawna inna niż podstawa prawna, która umożliwiła zebranie danych osobowych. Jeżeli przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi, prawo Unii może określać i precyzować zadania i cele, dla których dalsze przetwarzanie powinno być uznawane za zgodne z prawem i z pierwotnymi celami. Dalsze przetwarzanie do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych powinny być uznawane za operacje przetwarzania zgodne z prawem i z pierwotnymi celami. Podstawa prawna przetwarzania danych osobowych przewidziana prawem Unii może być również podstawą prawną dalszego przetwarzania. Aby ustalić, czy cel dalszego przetwarzania danych osobowych jest zgodny z celem, w którym dane te zostały pierwotnie zebrane, administrator – po spełnieniu wszystkich wymogów warunkujących zgodność pierwotnego przetwarzania z prawem – powinien uwzględnić między innymi: wszelkie powiązania pomiędzy tymi celami a celami zamierzonego dalszego przetwarzania; kontekst, w którym dane osobowe zostały zebrane, w szczególności rozsądne przesłanki pozwalające osobom, których dane dotyczą, oczekiwać dalszego wykorzystania danych, oparte na rodzaju ich powiązania z administratorem; charakter danych osobowych; konsekwencje zamierzonego dalszego przetwarzania dla osób, których dane dotyczą; oraz istnienie odpowiednich zabezpieczeń zarówno podczas pierwotnej, jak i zamierzonej operacji dalszego przetwarzania (20)Jeśli przetwarzanie odbywa się na podstawie zgody osoby, której dane dotyczą, administrator powinien być w stanie wykazać, że osoba, której dane dotyczą, wyraziła zgodę na operację przetwarzania. W szczególności w przypadku pisemnego oświadczenia składanego w innej sprawie powinny istnieć gwarancje, że osoba, której dane dotyczą, jest świadoma wyrażenia zgody oraz jej zakresu. Zgodnie z dyrektywą Rady 93/13/EWG oświadczenie o wyrażeniu zgody przygotowane przez administratora powinno mieć zrozumiałą i łatwo dostępną formę, być sformułowane jasnym i prostym językiem i nie powinno zawierać nieuczciwych warunków. Aby wyrażenie zgody było świadome, osoba, której dane dotyczą, powinna znać przynajmniej tożsamość administratora oraz zamierzone cele przetwarzania danych osobowych. Wyrażenia zgody nie należy uznawać za dobrowolne, jeżeli osoba, której dane dotyczą, nie ma rzeczywistego lub wolnego wyboru oraz nie może odmówić ani wycofać zgody bez niekorzystnych konsekwencji. (21)Szczególnej ochrony danych osobowych wymagają dzieci, gdyż mogą one być mniej świadome ryzyka, konsekwencji, zabezpieczeń i praw przysługujących im w związku z przetwarzaniem danych osobowych. Taka szczególna ochrona powinna mieć zastosowanie przede wszystkim do tworzenia profili osobowych i do zbierania danych osobowych dotyczących dzieci, gdy korzystają one z kierowanych bezpośrednio do nich usług, które są oferowane na stronach internetowych instytucji i organów unijnych, na przykład z usług komunikacji interpersonalnej lub internetowej sprzedaży biletów, oraz gdy przetwarzanie danych osobowych odbywa się za zgodą. (22)Jeżeli odbiorcy posiadający jednostki organizacyjne w Unii i podlegający rozporządzeniu (UE) 2016/679 lub dyrektywie (UE) 2016/680 pragną, aby instytucje i organy unijne przekazywały im dane osobowe, powinni oni wykazać, że takie przekazywanie jest konieczne do osiągnięcia celu tych odbiorców oraz że jest proporcjonalne i nie wykracza poza zakres konieczny do osiągnięcia tego celu. Instytucje i organy unijne powinny wykazać taką konieczność, jeżeli same inicjują przekazywanie, zgodnie z zasadą przejrzystości. (23)Dane osobowe, które z racji swego charakteru są szczególnie wrażliwe w świetle podstawowych praw i wolności, wymagają szczególnej ochrony, gdyż kontekst ich przetwarzania może powodować poważne ryzyko dla podstawowych praw i wolności. Do takich danych osobowych powinny zaliczać się dane osobowe ujawniające pochodzenie rasowe lub etniczne, przy czym użycie w niniejszym rozporządzeniu terminu „pochodzenie rasowe” nie oznacza, że Unia akceptuje teorie sugerujące istnienie odrębnych ras ludzkich. Przetwarzanie fotografii nie powinno zawsze stanowić przetwarzania szczególnych kategorii danych osobowych, gdyż fotografie są objęte definicją „danych biometrycznych” tylko w przypadkach, gdy są przetwarzane specjalnymi metodami technicznymi, umożliwiającymi jednoznaczną identyfikację osoby fizycznej lub potwierdzenie jej tożsamości. Oprócz wymogów szczegółowych mających zastosowanie do przetwarzania danych wrażliwych zastosowanie powinny mieć zasady ogólne i inne przepisy niniejszego rozporządzenia, w szczególności jeżeli chodzi o warunki zgodności przetwarzania z prawem. Należy wyraźnie przewidzieć wyjątki od ogólnego zakazu przetwarzania takich szczególnych kategorii danych osobowych, m.in. w razie wyraźnej zgody osoby, której dane dotyczą, lub ze względu na szczególne potrzeby, w szczególności gdy przetwarzanie danych odbywa się w ramach uzasadnionych działań niektórych zrzeszeń lub fundacji, których celem jest umożliwienie korzystania z podstawowych wolności. (24)Niezbędne z uwagi na względy interesu publicznego w dziedzinie zdrowia publicznego może być przetwarzanie szczególnych kategorii danych osobowych bez zgody osoby, której dane dotyczą. Przetwarzanie takie powinno podlegać konkretnym, odpowiednim środkom chroniącym prawa i wolności osób fizycznych. W tym kontekście „zdrowie publiczne” należy interpretować zgodnie z definicją z rozporządzenia Parlamentu Europejskiego i Rady (WE) nr 1338/2008, czyli jako wszystkie elementy związane ze zdrowiem, mianowicie stan zdrowia, w tym zachorowalność i niepełnosprawność, czynniki warunkujące stan zdrowia, potrzeby w zakresie opieki zdrowotnej, zasoby opieki zdrowotnej, oferowane usługi opieki zdrowotnej i powszechny dostęp do nich, wydatki na opiekę zdrowotną i sposób jej finansowania oraz przyczyny zgonów. Przetwarzanie danych dotyczących zdrowia z uwagi na względy interesu publicznego nie powinno skutkować przetwarzaniem danych osobowych do innych celów przez osoby trzecie. (25)Jeżeli dane osobowe przetwarzane przez administratora nie pozwalają mu zidentyfikować osoby fizycznej, nie powinien on mieć obowiązku uzyskania dodatkowych informacji w celu zidentyfikowania osoby, której dane dotyczą, wyłącznie po to, by zastosować się do przepisów niniejszego rozporządzenia. Administrator nie powinien jednak odmawiać przyjęcia dodatkowych informacji od osoby, której dane dotyczą, by ułatwić jej wykonywanie praw. Weryfikacja tożsamości powinna obejmować cyfrową identyfikację osoby, której dane dotyczą, na przykład poprzez mechanizm uwierzytelniania, taki jak te same dane uwierzytelniające, których osoba, której dane dotyczą, używa, by zalogować się do usług internetowych oferowanych przez administratora danych.

(26)Przetwarzanie danych osobowych do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych powinno podlegać odpowiednim zabezpieczeniom praw i wolności osoby, której dane dotyczą, zgodnie z niniejszym rozporządzeniem. Zabezpieczenia te powinny polegać na wdrożeniu środków technicznych i organizacyjnych zapewniających w szczególności poszanowanie zasady minimalizacji danych. Dalsze przetwarzanie danych osobowych do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych można prowadzić, jeżeli administrator ocenił, czy celów tych nie można osiągnąć przetwarzaniem danych osobowych, które albo od początku albo już dłużej nie pozwalają identyfikować osób, których dane dotyczą, pod warunkiem że istnieją odpowiednie zabezpieczenia (takie jak pseudonimizacja danych osobowych). Instytucje i organy unijne powinny ustanowić odpowiednie zabezpieczenia w odniesieniu do przetwarzania danych osobowych do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych przewidzianych w prawie Unii, które może obejmować wewnętrzne przepisy. (27)Należy przewidzieć procedury ułatwiające osobie, której dane dotyczą, wykonywanie praw przysługujących jej na mocy niniejszego rozporządzenia, w tym mechanizmy żądania – i gdy ma to zastosowanie bezpłatnego uzyskiwania – w szczególności dostępu do danych osobowych i ich sprostowania lub usunięcia oraz możliwości wykonywania prawa do sprzeciwu. Administrator powinien zapewnić możliwość wnoszenia odnośnych żądań także drogą elektroniczną, w szczególności gdy dane osobowe są przetwarzane drogą elektroniczną. Administrator powinien być zobowiązany udzielić odpowiedzi na żądania osób, których dane dotyczą, bez zbędnej zwłoki – najpóźniej w terminie miesiąca, a jeżeli nie zamierza spełnić takiego żądania – podać tego przyczyny. (28)Zasady rzetelnego i przejrzystego przetwarzania wymagają, by osoba, której dane dotyczą, była informowana o prowadzeniu operacji przetwarzania i o jej celach. Administrator powinien podać osobie, której dane dotyczą, wszelkie inne informacje niezbędne do zapewnienia rzetelności i przejrzystości przetwarzania, uwzględniając konkretne okoliczności i konkretny kontekst przetwarzania danych osobowych. Ponadto należy poinformować osobę, której dane dotyczą, o fakcie profilowania oraz o konsekwencjach takiego profilowania. Jeżeli gromadzi się dane osobowe od osoby, której dane dotyczą, należy ją też poinformować, czy ma ona obowiązek je podać, oraz o konsekwencjach ich niepodania. Informacje te można przekazać w połączeniu ze standardowymi znakami graficznymi, które w widoczny, zrozumiały i czytelny sposób przedstawią sens zamierzonego przetwarzania. Jeżeli znaki te są przedstawione elektronicznie, powinny nadawać się do odczytu maszynowego. (29)Informacje o przetwarzaniu danych osobowych dotyczących osoby, której dane dotyczą, należy przekazać tej osobie w momencie zbierania danych, a jeżeli danych nie uzyskuje się od osoby, której dane dotyczą, lecz z innego źródła – w rozsądnym terminie, zależnie od okoliczności. Jeżeli dane osobowe można zgodnie z prawem ujawnić innemu odbiorcy, należy poinformować o tym osobę, której dane dotyczą, w momencie pierwszorazowego ujawnienia danych temu odbiorcy. Jeżeli administrator planuje przetwarzać dane osobowe w celu innym niż cel, w których dane osobowe zostały zebrane, powinien on przed takim dalszym przetwarzaniem poinformować osobę, której dane dotyczą, o tym innym celu oraz dostarczyć jej innych niezbędnych informacji. Jeżeli osobie, której dane dotyczą, nie można podać pochodzenia danych osobowych, ponieważ korzystano z różnych źródeł, informacje należy przedstawić w sposób ogólny. (30)Każda osoba fizyczna powinna mieć prawo dostępu do zebranych danych jej dotyczących oraz powinna mieć możliwość łatwego wykonywania tego prawa w rozsądnych odstępach czasu, by mieć świadomość przetwarzania i móc zweryfikować zgodność przetwarzania z prawem. Obejmuje to prawo dostępu osób, których dane dotyczą, do danych dotyczących ich zdrowia, na przykład do danych w dokumentacji medycznej zawierającej takie informacje, jak diagnoza, wyniki badań, oceny dokonywane przez lekarzy prowadzących, stosowane terapie czy przeprowadzone zabiegi. Dlatego też każda osoba, której dane dotyczą, powinna mieć prawo do wiedzy i informacji, w szczególności w zakresie celów, w jakich dane osobowe są przetwarzane, w miarę możliwości okresu, przez jaki dane osobowe są przetwarzane, odbiorców danych osobowych, założeń ewentualnego zautomatyzowanego przetwarzania danych osobowych oraz, przynajmniej w przypadku profilowania, konsekwencji takiego przetwarzania. Prawo to nie powinno negatywnie wpływać na prawa lub wolności innych osób, w tym tajemnice handlowe lub własność intelektualną, w szczególności na prawa autorskie chroniące oprogramowanie. Względy te nie powinny jednak skutkować odmową udzielenia osobie, której dane dotyczą, jakichkolwiek informacji. Jeżeli administrator przetwarza duże ilości informacji o osobie, której dane dotyczą, powinien on mieć możliwość zażądania, przed podaniem informacji, by osoba, której dane dotyczą, sprecyzowała informacje lub czynności przetwarzania, których dotyczy jej żądanie. (31)Każda osoba fizyczna powinna mieć prawo do sprostowania danych osobowych jej dotyczących oraz prawo do „bycia zapomnianym”, jeżeli zatrzymywanie takich danych narusza niniejsze rozporządzenie lub prawo Unii, któremu podlega administrator. Osoba, której dane dotyczą, powinna mieć prawo do tego, by jej dane osobowe zostały usunięte i przestały być przetwarzane, jeżeli dane te nie są już niezbędne do celów, w których były zbierane lub w inny sposób przetwarzane, jeżeli osoba, której dane dotyczą, cofnęła zgodę lub jeżeli wniosła sprzeciw wobec przetwarzania danych osobowych jej dotyczących, lub jeżeli przetwarzanie jej danych osobowych nie jest z innego powodu zgodne z niniejszym rozporządzeniem. Prawo to ma znaczenie w przypadkach, gdy osoba, której dane dotyczą, wyraziła zgodę jako dziecko, gdy nie była w pełni świadoma ryzyka związanego z przetwarzaniem, a w późniejszym czasie chce usunąć takie dane osobowe, w szczególności z internetu. Osoba, której dane dotyczą, powinna móc wykonywać to prawo, mimo że już nie jest dzieckiem. Dalsze zatrzymywanie danych osobowych powinno być jednak uznane za zgodne z prawem, jeżeli jest niezbędne do korzystania z wolności wypowiedzi i informacji, do wywiązania się z obowiązku prawnego, do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi, z uwagi na względy interesu publicznego w dziedzinie zdrowia publicznego, do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych lub do ustalenia, dochodzenia lub obrony roszczeń. (32)Aby wzmocnić prawo do „bycia zapomnianym” w internecie, należy rozszerzyć prawo do usunięcia danych poprzez zobowiązanie administratora, który upublicznił te dane osobowe, do poinformowania administratorów, którzy przetwarzają takie dane osobowe o tym, że należy usunąć wszelkie łącza do tych danych, kopie tych danych osobowych lub ich replikacje. Spełniając ten obowiązek administrator powinien podjąć racjonalne działania z uwzględnieniem dostępnych technologii i dostępnych mu środków, w tym dostępnych środków technicznych, w celu poinformowania administratorów, którzy przetwarzają dane osobowe, o żądaniu osoby, której dane dotyczą. (33)Wśród metod pozwalających ograniczyć przetwarzanie danych osobowych mogą się znaleźć między innymi: czasowe przeniesienie wybranych danych osobowych do innego systemu przetwarzania, uniemożliwienie użytkownikom dostępu do wybranych danych, lub czasowe usunięcie opublikowanych danych ze strony internetowej. W zautomatyzowanych zbiorach danych przetwarzanie należy zasadniczo ograniczyć środkami technicznymi w taki sposób, by dane osobowe nie podlegały dalszemu przetwarzaniu ani nie mogły być zmieniane. Fakt ograniczenia przetwarzania danych osobowych należy wyraźnie zaznaczyć w systemie. (34)Aby zyskać większą kontrolę nad swoimi danymi w ramach zautomatyzowanego przetwarzania danych osobowych, osoba, której dane dotyczą, powinna także mieć możliwość otrzymywania dotyczących jej danych osobowych, których dostarczyła administratorowi, w ustrukturyzowanym, powszechnie używanym, nadającym się do odczytu maszynowego i interoperacyjnym formacie oraz przesyłania ich innemu administratorowi. Administratorów danych należy zachęcać do opracowywania interoperacyjnych formatów, które umożliwiają przenoszenie danych. Prawo to powinno mieć zastosowanie w przypadkach, gdy osoba, której dane dotyczą, przekazała dane osobowe na podstawie własnej zgody lub gdy przetwarzanie jest niezbędne do wykonania umowy. Dlatego nie powinno ono mieć zastosowania w przypadkach, gdy przetwarzanie danych osobowych jest niezbędne do wywiązania się z obowiązku prawnego, któremu podlega administrator, lub do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi. Przysługujące osobie, której dane dotyczą, prawo do przesłania lub otrzymania swoich danych osobowych nie powinno nakładać na administratorów obowiązku prowadzenia lub wprowadzenia kompatybilnych technicznie systemów przetwarzania. Jeżeli określony zestaw danych osobowych odnosi się do więcej niż jednej osoby, której dane dotyczą, prawo do otrzymania danych osobowych nie powinno powodować uszczerbku dla praw i wolności innych osób, których dane dotyczą, na podstawie niniejszego rozporządzenia. Prawo to powinno ponadto pozostawać bez uszczerbku dla prawa osoby, której dane dotyczą, do spowodowania, by dane osobowe zostały usunięte, oraz bez uszczerbku dla ograniczeń tego prawa określonych w niniejszym rozporządzeniu i nie powinno w szczególności skutkować usunięciem danych osobowych dotyczących osoby, której dane dotyczą, które osoba ta przekazała do celów wykonania umowy, o ile i w takim zakresie, w jakim te dane osobowe są niezbędne do wykonania tej umowy. O ile jest to technicznie możliwe, osoba, której dane dotyczą, powinna mieć prawo do spowodowania, by dane osobowe zostały przesłane przez jednego administratora bezpośrednio innemu administratorowi. (35)Nawet jeżeli dane osobowe mogą być przetwarzane zgodnie z prawem, gdy przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi, każdej osobie, której dane dotyczą, powinno przysługiwać prawo sprzeciwu wobec przetwarzania danych osobowych dotyczących jej szczególnej sytuacji. Za wykazanie, że ważne prawnie uzasadnione interesy administratora mają nadrzędny charakter wobec interesów lub podstawowych praw i wolności osoby, której dane dotyczą, powinien odpowiadać administrator. (36)Osoba, której dane dotyczą, powinna mieć prawo do tego, by nie podlegać decyzji – mogącej obejmować określone środki – w której analizuje się cechy osobiste tej osoby i która to decyzja opiera się wyłącznie na przetwarzaniu zautomatyzowanym i wywołuje wobec osoby, której dane dotyczą, skutki prawne lub w podobny sposób znacząco na nią wpływa, jak na przykład elektroniczne metody rekrutacji bez interwencji ludzkiej. Do takiego przetwarzania zalicza się „profilowanie” – które polega na dowolnym zautomatyzowanym przetwarzaniu danych osobowych pozwalającym ocenić czynniki osobowe osoby fizycznej, a w szczególności analizować lub prognozować aspekty dotyczące efektów pracy, sytuacji ekonomicznej, zdrowia, osobistych preferencji lub zainteresowań, wiarygodności lub zachowania, lokalizacji lub przemieszczania się osoby, której dane dotyczą – o ile wywołuje skutki prawne względem tej osoby lub w podobny sposób znacząco na nią wpływa. Niemniej podejmowanie decyzji na podstawie takiego przetwarzania, w tym profilowania, powinno być dozwolone, w przypadku gdy jest to wyraźnie dopuszczone prawem Unii. Przetwarzanie takie powinno zawsze podlegać odpowiednim zabezpieczeniom, obejmującym informowanie osoby, której dane dotyczą, prawo do uzyskania interwencji człowieka, prawo do wyrażenia własnego stanowiska, prawo do uzyskania wyjaśnienia co do decyzji wynikłej z takiej oceny oraz prawo do zakwestionowania takiej decyzji. Takie przetwarzanie nie powinno dotyczyć dzieci. Aby zapewnić rzetelność i przejrzystość przetwarzania wobec osoby, której dane dotyczą, mając na uwadze konkretne okoliczności i kontekst przetwarzania danych osobowych, administrator powinien stosować odpowiednie matematyczne lub statystyczne procedury profilowania, wdrożyć środki techniczne i organizacyjne zapewniające w szczególności korektę czynników powodujących nieprawidłowości w danych osobowych i maksymalne zmniejszenie ryzyka błędów, zabezpieczyć dane osobowe w sposób uwzględniający potencjalne ryzyko dla interesów i praw osoby, której dane dotyczą, oraz zapobiegający m.in. skutkom w postaci dyskryminacji osób fizycznych z uwagi na pochodzenie rasowe lub etniczne, poglądy polityczne, wyznanie lub przekonania, przynależność do związków zawodowych, stan genetyczny lub zdrowotny, orientację seksualną lub skutkujący środkami mającymi taki efekt. Zautomatyzowane podejmowanie decyzji i profilowanie oparte na szczególnych kategoriach danych osobowych powinny być dozwolone wyłącznie przy zachowaniu szczególnych warunków. (37)W aktach prawnych przyjętych na podstawie Traktatów lub w wewnętrznych przepisach instytucji i organów unijnych można przewidzieć ograniczenia dotyczące określonych zasad oraz prawa do informacji, dostępu do danych osobowych i ich sprostowania lub usuwania, prawa do przenoszenia danych, poufności łączności elektronicznej, zawiadamiania osoby, której dane dotyczą, o naruszeniu ochrony danych osobowych oraz określonych powiązanych obowiązków administratorów, o ile jest to niezbędne i proporcjonalne w społeczeństwie demokratycznym, by zapewnić bezpieczeństwo publiczne, zapobieganie przestępczości, prowadzenie postępowań przygotowawczych, ściganie czynów zabronionych, lub wykonywanie kar, w tym ochronę przed zagrożeniami dla bezpieczeństwa publicznego, włączając ochronę życia ludzkiego – w szczególności w odpowiedzi na klęski żywiołowe lub katastrofy spowodowane przez człowieka – i zapobieganie takim zagrożeniom, bezpieczeństwo wewnętrzne instytucji i organów unijnych, ochronę innych ważnych celów leżących w ogólnym interesie publicznym Unii lub państwa członkowskiego, w szczególności ważnego interesu gospodarczego lub finansowego Unii lub państwa członkowskiego, prowadzenie rejestrów publicznych z uwagi na względy ogólnego interesu publicznego, ochronę osoby, której dane dotyczą, lub praw i wolności innych osób, w tym cele w dziedzinie ochrony socjalnej, zdrowia publicznego i cele humanitarne. Jeżeli w aktach prawnych przyjętych na podstawie Traktatów lub w wewnętrznych przepisach instytucji i organów unijnych nie przewidziano ograniczenia, instytucje i organy unijne mogą narzucić w danym przypadku ograniczenie doraźne dotyczące poszczególnych zasad i praw osoby, której dane dotyczą, jeżeli takie ograniczenie nie narusza istoty podstawowych praw i wolności oraz – w odniesieniu do danej operacji przetwarzania – stanowi w demokratycznym społeczeństwie niezbędny i proporcjonalny środek, który zapewnia realizację jednego bądź kilku celów wyszczególnionych w ust. 1. Takie ograniczenie należy zgłosić inspektorowi ochrony danych. Ograniczenia te powinny być zgodne z wymogami Karty praw podstawowych oraz Europejskiej konwencji o ochronie praw człowieka i podstawowych wolności. (38)Należy nałożyć na administratora obowiązki i ustanowić odpowiedzialność prawną administratora za przetwarzanie danych osobowych przez niego samego lub w jego imieniu. W szczególności administrator powinien mieć obowiązek wdrożenia odpowiednich i skutecznych środków oraz powinien być w stanie wykazać, że czynności przetwarzania są zgodne z niniejszym rozporządzeniem oraz że są skuteczne. Środki te powinny uwzględniać charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw i wolności osób fizycznych. Ryzyko naruszenia praw lub wolności osób, o różnym prawdopodobieństwie i wadze zagrożeń, może wynikać z przetwarzania danych osobowych mogącego prowadzić do uszczerbku fizycznego lub szkód majątkowych lub niemajątkowych, w szczególności: jeżeli przetwarzanie może poskutkować dyskryminacją, kradzieżą tożsamości lub oszustwem dotyczącym tożsamości, stratą finansową, naruszeniem dobrego imienia, naruszeniem poufności danych osobowych chronionych tajemnicą zawodową, nieuprawnionym odwróceniem pseudonimizacji lub wszelką inną znaczną szkodą gospodarczą lub społeczną; jeżeli osoby, których dane dotyczą, mogą zostać pozbawione przysługujących im praw i wolności lub możliwości sprawowania kontroli nad swoimi danymi osobowymi; jeżeli przetwarzane są dane osobowe ujawniające pochodzenie rasowe lub etniczne, poglądy polityczne, wyznanie lub przekonania światopoglądowe, lub przynależność do związków zawodowych oraz jeżeli przetwarzane są dane genetyczne, dane dotyczące zdrowia lub dane dotyczące seksualności lub wyroków skazujących i naruszeń prawa lub związanych z tym środków bezpieczeństwa; jeżeli oceniane są czynniki osobowe, w szczególności analizowane lub prognozowane aspekty dotyczące efektów pracy, sytuacji ekonomicznej, zdrowia, osobistych preferencji lub zainteresowań, wiarygodności lub zachowania, lokalizacji lub przemieszczania się – w celu tworzenia lub wykorzystywania profili osobistych; jeżeli przetwarzane są dane osobowe osób wymagających szczególnej opieki, w szczególności dzieci; lub jeżeli przetwarzanie dotyczy dużej ilości danych osobowych i wpływa na dużą liczbę osób, których dane dotyczą. Prawdopodobieństwo i powagę ryzyka naruszenia praw lub wolności osoby, której dane dotyczą, należy określić poprzez odniesienie się do charakteru, zakresu, kontekstu i celów przetwarzania danych. Ryzyko należy oszacować na podstawie obiektywnej oceny, w ramach której stwierdza się, czy z operacjami przetwarzania danych wiąże się ryzyko lub wysokie ryzyko. (39)Ochrona praw i wolności osób fizycznych w związku z przetwarzaniem danych osobowych wymaga wdrożenia odpowiednich środków technicznych i organizacyjnych, by zapewnić spełnienie wymogów niniejszego rozporządzenia. Aby móc wykazać przestrzeganie niniejszego rozporządzenia, administrator powinien przyjąć wewnętrzne polityki i wdrożyć środki, które są zgodne w szczególności z zasadą uwzględniania ochrony danych w fazie projektowania oraz z zasadą domyślnej ochrony danych. Takie środki mogą polegać m.in. na minimalizacji przetwarzania danych osobowych, jak najszybszej pseudonimizacji danych osobowych, przejrzystości co do funkcji i przetwarzania danych osobowych, umożliwieniu osobie, której dane dotyczą, monitorowania przetwarzania danych, umożliwieniu administratorowi tworzenia i doskonalenia zabezpieczeń. Zasadę uwzględniania ochrony danych w fazie projektowania i zasadę domyślnej ochrony danych należy też brać pod uwagę w przetargach publicznych. (40)Ochrona praw i wolności osób, których dane dotyczą, oraz obowiązki i odpowiedzialność prawna administratorów i podmiotów przetwarzających wymagają dokonania w ramach niniejszego rozporządzenia jasnego podziału obowiązków, także w sytuacji, gdy administrator określa cele i sposoby przetwarzania wspólnie z innymi administratorami lub gdy operacji przetwarzania dokonuje się w imieniu administratora. (41)Aby zapewnić przestrzeganie wymogów niniejszego rozporządzenia w przypadku przetwarzania, którego w imieniu administratora ma dokonać podmiot przetwarzający, administrator powinien, powierzając podmiotowi przetwarzającemu czynności przetwarzania, korzystać z usług wyłącznie podmiotów przetwarzających, które zapewniają wystarczające gwarancje – w szczególności jeżeli chodzi o wiedzę fachową, wiarygodność i zasoby – wdrożenia środków technicznych i organizacyjnych odpowiadających wymogom niniejszego rozporządzenia, w tym wymogom bezpieczeństwa przetwarzania. Stosowanie zatwierdzonego kodeksu postępowania lub zatwierdzonego mechanizmu certyfikacji przez podmioty przetwarzające inne niż instytucje i organy unijne może posłużyć za element wykazujący wywiązywanie się z obowiązków administratora. Przetwarzanie przez podmiot przetwarzający powinno być regulowane umową lub innym instrumentem prawnym, które podlegają prawu Unii lub prawu państwa członkowskiego, wiążą podmiot przetwarzający z administratorem, określają przedmiot i czas trwania przetwarzania, charakter i cele przetwarzania, rodzaj danych osobowych i kategorie osób, których dane dotyczą, oraz które powinny uwzględniać konkretne zadania i obowiązki podmiotu przetwarzającego w kontekście planowanego przetwarzania oraz ryzyko naruszenia praw lub wolności osoby, której dane dotyczą. Administrator i podmiot przetwarzający powinni mieć możliwość podjęcia decyzji o skorzystaniu z umowy indywidualnej lub ze standardowych klauzul umownych, które zostały przyjęte bezpośrednio przez Komisję albo które zostały przyjęte przez Europejskiego Inspektora Ochrony Danych, a następnie przyjęte przez Komisję. Po zakończeniu przetwarzania w imieniu administratora podmiot przetwarzający powinien – zgodnie z decyzją administratora – zwrócić lub usunąć dane osobowe, chyba że prawo Unii lub prawo państwa członkowskiego, któremu podlega podmiot przetwarzający, nakładają obowiązek przechowywania tych danych osobowych. (42)Dla zachowania zgodności z niniejszym rozporządzeniem, administratorzy powinni prowadzić rejestry czynności przetwarzania, za które są odpowiedzialni, a podmioty przetwarzające – rejestry kategorii czynności przetwarzania, za które są odpowiedzialne. Instytucje i organy unijne powinny być zobowiązane do współpracy z Europejskim Inspektorem Ochrony Danych i na jego żądanie powinny udostępniać mu swoje rejestry w celu monitorowania tych operacji przetwarzania. Instytucje i organy unijne powinny mieć możliwość ustanowienia centralnego rejestru prowadzonych przez nie czynności przetwarzania. Ze względu na przejrzystość powinny mieć również możliwość publicznego udostępnienia takiego rejestru. (43)W celu zachowania bezpieczeństwa i zapobiegania przetwarzaniu niezgodnemu z niniejszym rozporządzeniem administrator lub podmiot przetwarzający powinni oszacować ryzyko właściwe dla przetwarzania oraz wdrożyć środki – takie jak szyfrowanie – minimalizujące to ryzyko. Środki takie powinny zapewnić odpowiedni poziom bezpieczeństwa, w tym poufność, oraz uwzględniać stan wiedzy technicznej oraz koszty ich wdrożenia w stosunku do ryzyka i charakteru danych osobowych podlegających ochronie. Oceniając ryzyko w zakresie bezpieczeństwa danych, należy wziąć pod uwagę ryzyko związane z przetwarzaniem danych osobowych – takie jak przypadkowe lub niezgodne z prawem zniszczenie, utracenie, zmodyfikowanie, nieuprawnione ujawnienie lub nieuprawniony dostęp do danych osobowych przesyłanych, przechowywanych lub w inny sposób przetwarzanych – i mogące w szczególności prowadzić do uszczerbku fizycznego, szkód majątkowych lub niemajątkowych. (44)Instytucje i organy unijne powinny zapewniać poufność łączności elektronicznej zgodnie z art. 7 Karty. Instytucje i organy unijne powinny w szczególności zapewniać bezpieczeństwo swoich sieci łączności elektronicznej, chronić informacje mające związek z końcowymi urządzeniami telekomunikacyjnymi użytkowników końcowych łączącymi się z dostępnymi publicznie stronami internetowymi i aplikacjami mobilnymi tych instytucji i organów, zgodnie z rozporządzeniem (UE) XXXX/XX [nowe rozporządzenie o prywatności i łączności elektronicznej], a także chronić dane osobowe w spisach użytkowników.

(45) Przy braku odpowiedniej i szybkiej reakcji naruszenie ochrony danych osobowych może skutkować powstaniem uszczerbku fizycznego, szkód majątkowych lub niemajątkowych u osób fizycznych. Dlatego natychmiast po stwierdzeniu naruszenia ochrony danych osobowych administrator powinien zgłosić je Europejskiemu Inspektorowi Ochrony Danych bez zbędnej zwłoki, jeżeli to wykonalne, nie później niż w terminie 72 godzin po stwierdzeniu naruszenia, chyba że administrator jest w stanie wykazać zgodnie z zasadą rozliczalności, że jest mało prawdopodobne, by naruszenie to mogło powodować ryzyko naruszenia praw lub wolności osób fizycznych. Jeżeli nie można dokonać zgłoszenia w terminie 72 godzin, zgłoszeniu powinno towarzyszyć wyjaśnienie przyczyn opóźnienia, a informacje mogą być przekazywane stopniowo, bez dalszej zbędnej zwłoki. Jeżeli taka zwłoka jest uzasadniona, należy udostępnić jak najwcześniej mniej wrażliwe lub mniej szczegółowe informacje, zamiast rozwiązywać do końca problem leżący u podstawy zdarzenia przed jego zgłoszeniem. (46)Administrator powinien bez zbędnej zwłoki poinformować osobę, której dane dotyczą, o naruszeniu ochrony danych osobowych, jeżeli może ono powodować wysokie ryzyko naruszenia praw lub wolności tej osoby, tak aby umożliwić tej sobie podjęcie niezbędnych działań zapobiegawczych. Informacja taka powinna zawierać opis charakteru naruszenia ochrony danych osobowych oraz zalecenia dla danej osoby fizycznej co do minimalizacji potencjalnych niekorzystnych skutków. Informacje należy przekazywać osobom, których dane dotyczą, tak szybko, jak jest to rozsądnie możliwe, w ścisłej współpracy z Europejskim Inspektorem Ochrony Danych, z poszanowaniem wskazówek przekazanych przez ten organ lub inne odpowiednie organy, takie jak organy ścigania. (47)W rozporządzeniu (WE) nr 45/2001 przewidziano, że ogólnym obowiązkiem administratora jest zgłaszanie przetwarzania danych osobowych inspektorowi ochrony danych, który z kolei ma prowadzić rejestr zgłaszanych operacji przetwarzania. Obowiązek ten powodując jednak obciążenia administracyjne i finansowe i nie zawsze przyczyniał się do poprawy ochrony danych osobowych. Dlatego należy znieść te powszechne, ogólne obowiązki zgłaszania i zastąpić je skutecznymi procedurami i mechanizmami koncentrującymi się w zamian na tych rodzajach operacji przetwarzania, które ze względu na swój charakter, zakres, kontekst i cele mogą powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych. Takie rodzaje operacji przetwarzania obejmują w szczególności operacje, które wiążą się w szczególności z użyciem nowych technologii lub które są nowe i nie zostały jeszcze poddane przez administratora ocenie skutków w zakresie ochrony danych lub stały się niezbędne z uwagi na upływ czasu od pierwotnego przetwarzania. W takim przypadku administrator powinien przed przetwarzaniem dokonać oceny skutków w zakresie ochrony danych, aby ocenić konkretne prawdopodobieństwo i powagę tego wysokiego ryzyka, uwzględniając charakter, zakres, kontekst i cele przetwarzania oraz źródła ryzyka. Ocena skutków powinna w szczególności obejmować planowane środki, zabezpieczenia i mechanizmy mające minimalizować to ryzyko, zapewniać ochronę danych osobowych oraz wykazać przestrzeganie niniejszego rozporządzenia. (48)Jeżeli ocena skutków w zakresie ochrony danych wykaże, że przy braku zabezpieczeń, środków bezpieczeństwa oraz mechanizmów minimalizujących ryzyko przetwarzanie powodowałoby wysokie ryzyko naruszenia praw lub wolności osób fizycznych, a administrator wyraża opinię, że ryzyka tego nie da się zminimalizować środkami rozsądnymi z punktu widzenia dostępnych technologii i kosztów wdrożenia, wtedy przed rozpoczęciem czynności przetwarzania należy skonsultować się z Europejskim Inspektorem Ochrony Danych. Takie wysokie ryzyko mogą powodować pewne rodzaje przetwarzania oraz zakres i częstotliwość przetwarzania, które mogą skutkować także szkodą lub ingerencją w prawa i wolności osoby fizycznej. Na wniosek o konsultacje Europejski Inspektor Ochrony Danych powinien odpowiedzieć w określonym terminie. Jednak brak reakcji ze strony Europejskiego Inspektora Ochrony Danych w tym terminie nie powinien wykluczać interwencji Europejskiego Inspektora Ochrony Danych zgodnie z jego zadaniami i uprawnieniami określonymi w niniejszym rozporządzeniu, w tym uprawnieniami do zakazania operacji przetwarzania. W ramach konsultacji powinna istnieć możliwość przedłożenia Europejskiemu Inspektorowi Ochrony Danych wyników oceny skutków w zakresie ochrony danych dokonanej w odniesieniu do danego przetwarzania, a w szczególności środków planowanych w celu zminimalizowania ryzyka naruszenia praw lub wolności osób fizycznych. (49)Europejski Inspektor Ochrony Danych powinien być informowany o środkach administracyjnych i wewnętrznych przepisach instytucji i organów unijnych, w których przewidziano przetwarzanie danych osobowych, określono warunki ograniczeń praw osób, których dane dotyczą, lub zapewniono właściwe zabezpieczenia praw osób, których dane dotyczą, aby zapewnić zgodność zamierzonego przetwarzania z niniejszym rozporządzeniem, a w szczególności zminimalizować ewentualne ryzyko dla osoby, której dane dotyczą. (50)Rozporządzeniem (UE) 2016/679 ustanowiono Europejską Radę Ochrony Danych jako niezależny organ Unii posiadający osobowość prawną. Europejska Rada Ochrony Danych powinna przyczyniać się do spójnego stosowania przepisów rozporządzenia (UE) 2016/679 i dyrektywy 2016/680 w całej Unii, m.in. poprzez doradzanie Komisji. Jednocześnie Europejski Inspektor Ochrony Danych powinien w dalszym ciągu wykonywać swoje funkcje nadzorcze i doradcze w odniesieniu do wszystkich instytucji i organów unijnych, w tym z inicjatywy własnej lub na wniosek. Aby zapewnić zgodność przepisów o ochronie danych w całej Unii, Komisja powinna mieć obowiązek przeprowadzania konsultacji po przyjęciu aktów ustawodawczych lub podczas opracowywania aktów delegowanych i aktów wykonawczych, o których mowa w art. 289, 290 i 291 TFUE, oraz po przyjęciu zaleceń i wniosków odnoszących się do umów z państwami trzecimi i organizacjami międzynarodowymi, o których mowa w art. 218 TFUE i które mają wpływ na prawo do ochrony danych osobowych. W takich przypadkach Komisja powinna mieć obowiązek skonsultowania się z Europejskim Inspektorem Ochrony Danych, z wyjątkiem przypadków, w odniesieniu do których w rozporządzeniu (UE) 2016/679 przewidziano obowiązek konsultacji z Europejską Radą Ochrony Danych, na przykład w przypadku decyzji stwierdzających odpowiedni stopień ochrony lub aktów delegowanych w sprawie standardowych znaków graficznych i wymogów dotyczących mechanizmów certyfikacji. Ponadto, jeżeli dany akt ma szczególne znaczenie dla ochrony praw i wolności osób fizycznych w zakresie przetwarzania danych osobowych, Komisja powinna mieć możliwość skonsultowania się z Europejską Radą Ochrony Danych. W takich przypadkach Europejski Inspektor Ochrony Danych jako członek Europejskiej Rady Ochrony Danych powinien skoordynować swoje prace z pracami rady w celu wydania wspólnej opinii. Europejski Inspektor Ochrony Danych i w stosownych przypadkach Europejska Rada Ochrony Danych powinni przedstawić pisemne zalecenie w terminie ośmiu tygodni. W razie przypadku niecierpiącego zwłoki lub w innym uzasadnionym przypadku te ramy czasowe należy skrócić, na przykład gdy Komisja jest w trakcie prac nad aktami delegowanymi i wykonawczymi. (51)W każdej instytucji unijnej lub organie unijnym inspektor ochrony danych powinien zapewnić stosowanie przepisów niniejszego rozporządzenia oraz doradzić administratorom i podmiotom przetwarzającym w kwestii wypełniania ich zobowiązań. Inspektor powinien być osobą posiadającą wiedzę fachową w zakresie przepisów i praktyk ochrony danych, której poziom należy ustalić w szczególności w świetle prowadzonych operacji przetwarzania danych oraz ochrony, której wymagają dane osobowe przetwarzane przez administratora lub podmiot przetwarzający. Tacy inspektorzy ochrony danych powinni być w stanie wykonywać swoje obowiązki i zadania w sposób niezależny. (52)Jeżeli instytucje i organy unijne przekazują dane osobowe administratorom, podmiotom przetwarzającym lub innym odbiorcom w państwach trzecich lub organizacjom międzynarodowym, nie należy obniżać stopnia ochrony osób fizycznych zapewnianego w Unii niniejszym rozporządzeniem, także w przypadkach dalszego przekazywania danych osobowych: z państwa trzeciego lub organizacji międzynarodowej administratorom lub pomiotom przetwarzającym w tym samym lub w innym państwie trzecim lub tej samej lub innej organizacji międzynarodowej. W każdym przypadku przekazywanie danych do państw trzecich i organizacji międzynarodowych może się odbywać wyłącznie w pełnej zgodzie z niniejszym rozporządzeniem. Przekazywanie może mieć miejsce wyłącznie w przypadkach, gdy administrator lub podmiot przetwarzający przestrzegają warunków określonych w przepisach niniejszego rozporządzenia dotyczących przekazywania danych osobowych państwom trzecim lub organizacjom międzynarodowym – z zastrzeżeniem pozostałych przepisów niniejszego rozporządzenia. (53)Zgodnie z art. 45 rozporządzenia (UE) 2016/679 Komisja może uznać, że państwo trzecie, terytorium lub określony sektor w państwie trzecim, lub organizacja międzynarodowa zapewnia odpowiedni stopień ochrony danych. W takich przypadkach przekazywanie danych osobowych do tego państwa trzeciego lub tej organizacji międzynarodowej przez instytucję unijną lub organ unijny może się odbywać bez potrzeby uzyskania dodatkowego zezwolenia. (54)W razie braku stwierdzenia odpowiedniego stopnia ochrony danych administrator lub podmiot przetwarzający powinni zastosować środki rekompensujące brak ochrony danych w państwie trzecim, zapewniając osobie, której dane dotyczą, odpowiednie zabezpieczenia. Takie odpowiednie zabezpieczenia mogą polegać na skorzystaniu ze standardowych klauzul ochrony danych przyjętych przez Komisję, standardowych klauzul ochrony danych przyjętych przez Europejskiego Inspektora Ochrony Danych lub klauzul umownych dopuszczonych przez Europejskiego Inspektora Ochrony Danych. Jeżeli podmiot przetwarzający nie jest instytucją unijną ani organem unijnym, na takie odpowiednie zabezpieczenia mogą również składać się wiążące reguły korporacyjne, kodeksy postępowania i mechanizmy certyfikacji stosowane na potrzeby międzynarodowego przekazywania danych zgodnie z rozporządzeniem (UE) 2016/679. Zabezpieczenia te powinny zapewniać, by przestrzegane były wymogi ochrony danych oraz prawa osób, których dane dotyczą, takie