Wniosek ROZPORZĄDZENIE PARLAMENTU EUROPEJSKIEGO I RADY w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i swobodnym przepływem takich danych (ogólne rozporządzenie o ochronie danych) /* COM/2012/011 final - 2012/0011 (COD) */





UZASADNIENIE 1. KONTEKST WNIOSKU Niniejsze uzasadnienie uszczegóławia proponowane nowe ramy prawne ochrony danych osobowych w UE, nakreślone w komunikacie COM (2012) 9 wersja ostateczna[1]. Na proponowane nowe ramy prawne składają się dwa wnioski ustawodawcze: – wniosek dotyczący rozporządzenia Parlamentu Europejskiego i Rady w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i swobodnym przepływem takich danych (ogólne rozporządzenie o ochronie danych), oraz – wniosek dotyczący dyrektywy Parlamentu Europejskiego i Rady w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez właściwe organy na potrzeby zapobiegania przestępstwom, prowadzenia dochodzeń w ich sprawie, wykrywania ich i ścigania albo wykonywania kar kryminalnych oraz swobodnego przepływu takich danych[2]. Niniejsze uzasadnienie dotyczy wniosku ustawodawczego w sprawie ogólnego rozporządzenia o ochronie danych. Podstawowy dokument ustanawiający obowiązujące unijne przepisy o ochronie danych osobowych, dyrektywa 95/46/WE[3], został przyjęty w 1995 r. z myślą o realizacji dwóch celów: ochrony podstawowego prawa do ochrony danych oraz zagwarantowania swobodnego przepływu danych między państwami członkowskimi. Powyższa dyrektywa została uzupełniona przez decyzję ramową 2008/977/WSiSW jako instrument ogólny na szczeblu Unii w zakresie ochrony danych osobowych w obszarze współpracy policyjnej i współpracy wymiarów sprawiedliwości w sprawach karnych[4]. Szybki rozwój technologiczny przyniósł nowe wyzwania w zakresie ochrony danych osobowych. Niezwykle wzrosła skala wymiany i zbierania danych. Technologia umożliwia zarówno przedsiębiorstwom prywatnym, jak i organom publicznym, wykorzystywanie danych osobowych do wykonywania powierzonych im zadań na niespotykaną dotąd skalę. Osoby fizyczne coraz części udostępniają informacje osobowe publicznie i globalnie. Technologia całkowicie zmieniła zarówno gospodarkę, jak i życie społeczne. Budowanie zaufania do internetu jest kluczowym elementem rozwoju gospodarczego. Brak zaufania sprawia, że konsumenci nie są pewni, czy kupować w internecie i korzystać z nowych usług. Zagrożenia te spowalniają rozwój innowacyjnego wykorzystania nowych technologii. Ochrona danych odgrywa zatem kluczową rolę w Europejskiej agendzie cyfrowej[5] i szerzej w strategii „Europa 2020”[6]. Artykuł 16 ust. 1 Traktatu o funkcjonowaniu Unii Europejskiej (TFUE), który został wprowadzony traktatem lizbońskim, ustanawia zasadę, zgodnie z którą każda osoba ma prawo do ochrony danych osobowych jej dotyczących. Ponadto w art. 16 ust. 2 TFUE traktat lizboński wprowadził szczególną podstawę prawną dla przyjęcia przepisów dotyczących ochrony danych osobowych. W art. 8 Karty praw podstawowych UE zapisano ochronę danych osobowych jako jedno z praw podstawowych. Rada Europejska wezwała Komisję do oceny funkcjonowania unijnych instrumentów o ochronie danych oraz przedstawienia, w razie potrzeby, dalszych inicjatyw ustawodawczych lub nieustawodawczych[7]. W rezolucji w sprawie programu sztokholmskiego[8] Parlament Europejski poparł koncepcję kompleksowego systemu ochrony danych w UE, wzywając między innymi do rewizji decyzji ramowej. Komisja podkreśliła w swoim planie działania służącym realizacji programu sztokholmskiego[9] potrzebę zagwarantowania spójnego stosowania podstawowego prawa do ochrony danych osobowych w kontekście wszystkich polityk UE. W komunikacie w sprawie „Całościowego podejścia do kwestii ochrony danych osobowych w Unii Europejskiej”[10] Komisja stwierdziła, że UE potrzebuje bardziej całościowej i spójnej polityki w zakresie podstawowego prawa do ochrony danych osobowych. Obecnie obowiązujące ramy nie zmieniły się, jeśli chodzi o ich cele i zasady, jednak nie zapobiegły one rozdrobnieniu sposobów realizacji ochrony danych osobowych w całej Unii, ugruntowaniu niepewności prawnej oraz upowszechnieniu istniejącego w społeczeństwie poglądu, zgodnie z którym z działalnością prowadzoną w internecie wiążą się istotne ryzyka[11]. Dlatego właśnie nadszedł czas, by stworzyć silniejsze i bardziej spójne ramy ochrony danych w UE, poparte zdecydowanym egzekwowaniem, które umożliwią rozwój gospodarki cyfrowej na rynku wewnętrznym, zapewnią osobom fizycznym kontrolę nad ich własnymi danymi oraz wzmocnią pewność prawną i praktyczną dla operatorów gospodarczych i organów publicznych. 2. WYNIKI KONSULTACJI Z ZAINTERESOWANYMI STRONAMI ORAZ OCENY SKUTKÓW Niniejsza inicjatywa jest rezultatem szeroko zakrojonych konsultacji ze wszystkimi głównymi zainteresowanymi stronami w sprawie przeglądu obowiązujących ram prawnych ochrony danych osobowych, które trwały ponad dwa lata i objęły konferencję na wysokim szczeblu zorganizowaną w maju 2009 r.[12] oraz dwie fazy konsultacji społecznych: – od 9 lipca do 31 grudnia 2009 r. Konsultacje w sprawie ram prawnych w zakresie podstawowego prawa do ochrony danych osobowych. Komisja otrzymała 168 odpowiedzi, 127 od osób fizycznych, organizacji i zrzeszeń biznesowych oraz 12 od organów publicznych[13]; – od 4 listopada 2010 r. do 15 stycznia 2011 r. Konsultacje w sprawie kompleksowego podejścia Komisji do ochrony danych osobowych w Unii Europejskiej. Komisja otrzymała 305 odpowiedzi, z czego 54 od obywateli, 31 od organów publicznych oraz 220 od organizacji prywatnych, w szczególności zrzeszeń biznesowych i organizacji pozarządowych[14]. Przeprowadzono również specjalne konsultacje z najważniejszymi zainteresowanymi stronami. W czerwcu i lipcu 2010 r. zorganizowano specjalne spotkania z organami państw członkowskich oraz z zainteresowanymi stronami z sektora prywatnego, a także organizacjami zajmującymi się prywatnością, ochroną danych oraz organizacjami konsumenckimi[15]. W listopadzie 2010 r. Viviane Reding, wiceprzewodnicząca Komisji Europejskiej, zorganizowała wspólną debatę na temat reformy ochrony danych. W dniu 28 stycznia 2011 r. (Dzień Ochrony Danych) Komisja Europejska i Rada Europy zorganizowały konferencję wysokiego szczebla w celu omówienia kwestii związanych z reformą ram prawnych UE, a także z potrzebą wypracowania wspólnych standardów ochrony danych na całym świecie[16]. Węgierska i polska prezydencja Rady były gospodarzami dwóch konferencji na temat ochrony danych, które odbyły się, odpowiednio, w dniach 16-17 czerwca 2011 r. i 21 września 2011 r. Przez cały rok 2011 odbywały się specjalne warsztaty i seminaria. W styczniu ENISA[17] zorganizowała warsztaty na temat zawiadamiania o naruszeniach ochrony danych osobowych w Europie[18]. W lutym Komisja zorganizowała warsztaty z organami państw członkowskich, aby omówić kwestie ochrony danych w obszarze współpracy policyjnej i współpracy wymiarów sprawiedliwości w sprawach karnych, w tym wdrożenia decyzji ramowej, zaś Agencja Praw Podstawowych przeprowadziła konsultacje z zainteresowanymi stronami na temat „Ochrony danych i prywatności”. W dniu 13 lipca 2011 r. odbyła się dyskusja na temat kluczowych aspektów reformy z krajowymi organami ds. ochrony danych. Konsultacje z obywatelami UE przeprowadzono za pośrednictwem kwestionariusza Eurobarometru w listopadzie-grudniu 2010 r.[19]. Zainicjowano również szereg analiz[20]. „Grupa Robocza Art. 29”[21] przedstawiła wiele opinii i wniosła cenny wkład w prace Komisji[22]. Również Europejski Inspektor Ochrony Danych wydał kompleksową opinię na temat zagadnień poruszonych w komunikacie Komisji z listopada 2010 r.[23]. Parlament Europejski zatwierdził swoją rezolucją z dnia 6 lipca 2011 r. sprawozdanie, w którym poparł podejście Komisji do reformy ram ochrony danych[24]. Rada Unii Europejskiej przyjęła w dniu 24 lutego 2011 r. konkluzje, w których wyraziła ogólne poparcie dla zamiaru zreformowania przez Komisję ram ochrony danych oraz zgodziła się na wiele elementów składających się na podejście Komisji. Również Europejski Komitet Ekonomiczno-Społeczny poparł cel Komisji, by zagwarantować spójniejsze stosowanie unijnych przepisów dotyczących ochrony danych[25] we wszystkich państwach członkowskich oraz odpowiednią rewizję dyrektywy 95/46/WE[26]. W czasie konsultacji w sprawie kompleksowego podejścia znaczna większość zainteresowanych stron zgodziła się, że ogólne zasady zachowują ważność, lecz istnieje potrzeba dostosowania obecnych ram, by móc lepiej reagować na wyzwania stawiane przez szybki rozwój nowych technologii (zwłaszcza internetu) i postępującą globalizację, przy jednoczesnym zachowaniu technologicznej neutralności ram prawnych. Ostre słowa krytyki na temat obecnego rozdrobnienia ochrony danych osobowych w Unii padły w szczególności ze strony zainteresowanych podmiotów gospodarczych, które apelowały o większą pewność prawną i ujednolicenie przepisów na temat ochrony danych osobowych. Złożoność przepisów dotyczących międzynarodowego przekazywania danych osobowych jest uważaną za istotną przeszkodę w prowadzonej przez te podmioty działalności, gdyż muszą one systematycznie przekazywać dane osobowe z UE do innych części świata. Zgodnie ze swoją polityką dążenia do lepszych uregulowań prawnych Komisja przeprowadziła ocenę skutków innych możliwych wariantów politycznych. Ocena skutków została oparta na trzech celach polityki zakładających poprawę wymiaru ochrony danych związanego z rynkiem wewnętrznym, zapewnienie osobom fizycznym możliwości skuteczniejszego egzekwowania prawa do ochrony danych oraz stworzenie całościowych, spójnych ram obejmujących wszystkie obszary właściwości Unii, w tym współpracę policyjną i współpracę wymiarów sprawiedliwości w sprawach karnych. Oceniono trzy warianty polityki wiążące się z różnym stopniem interwencji: wariant pierwszy polegał na minimalnych zmianach legislacyjnych i korzystaniu z komunikatów zawierających wykładnię oraz środków wsparcia realizacji polityki, takich jak programy finansowania i narzędzia techniczne; wariant drugi obejmował szereg przepisów legislacyjnych dotyczących każdej z kwestii zidentyfikowanej w trakcie analizy, zaś wariant trzeci zakładał centralizację ochrony danych na szczeblu UE poprzez precyzyjne i szczegółowe przepisy dla wszystkich sektorów oraz ustanowienie agencji UE ds. monitorowania i egzekwowania wykonania przepisów. Zgodnie z ustaloną metodologią Komisji i przy pomocy grupy sterującej złożonej z przedstawicieli różnych służb oceniono każdy wariant polityki pod kątem skuteczności w realizacji celów polityki, jego oddziaływania na zainteresowane podmioty (w tym na budżet instytucji UE), jego oddziaływania społecznego i wpływu na prawa podstawowe. Nie ustalono żadnego wpływu na środowisko naturalne. Analiza ogólnego wpływu doprowadziła do opracowania preferowanego wariantu polityki, który opiera się na drugim wariancie z pewnymi elementami pochodzącymi z dwóch pozostałych wariantów i który został włączony do obecnego wniosku. Zgodnie z oceną skutków jego wdrażanie doprowadzi między innymi do znacznej poprawy, jeżeli chodzi o pewność prawa dla administratorów i obywateli, zmniejszenie ciężaru administracyjnego, spójność egzekwowania ochrony danych w Unii, faktyczną możliwość skuteczniejszego egzekwowania prawa do ochrony danych osobowych na terytorium UE przez osoby fizyczne oraz skuteczny nadzór nad ochroną danych i egzekwowanie stosownych przepisów. Wdrożenie preferowanych wariantów polityki ma także przyczynić się do realizacji celu Komisji polegającego na uproszczeniu i zmniejszeniu obciążenia administracyjnego oraz celów Europejskiej agendy cyfrowej, planu działania służącego realizacji programu sztokholmskiego oraz strategii „Europa 2020”. Rada ds. Ocen Skutków przedstawiła opinię na temat projektu oceny skutków w dniu 9 września 2011 r. Po wydaniu opinii przez Radę w ocenie skutków wprowadzono w szczególności następujące zmiany: – wyjaśniono cele obecnych ram prawnych (w jakim zakresie zostały one osiągnięte, a w jakim nie), jak również cele zamierzonej reformy; – dodano więcej argumentów i dodatkowe wyjaśnienia do części opisującej problemy; – dodano sekcję dotyczącą proporcjonalności; – dokonano całościowego przeglądu i rewizji wszystkich obliczeń i szacunków dotyczących obciążenia administracyjnego w scenariuszu bazowym i w wariancie preferowanym oraz wyjaśniono relację między kosztami zawiadomień a całkowitymi kosztami rozdrobnienia (w tym załącznika 10); – doprecyzowano wpływ na mikroprzedsiębiorców oraz małych i średnich przedsiębiorców, zwłaszcza wpływ obowiązku wyznaczania inspektorów ochrony danych oraz przeprowadzania ocen skutków ochrony danych. Razem z wnioskami publikuje się sprawozdanie z oceny skutków oraz streszczenie. 3. ASPEKTY PRAWNE WNIOSKU 3.1. Podstawa prawna Niniejszy wniosek oparty jest na art. 16 TFUE będącym nową podstawą prawną przyjmowania przepisów o ochronie danych, wprowadzoną traktatem lizbońskim. Postanowienie to umożliwia przyjmowanie przepisów dotyczących ochrony osób fizycznych w zakresie przetwarzania danych osobowych przez państwa członkowskie w wykonywaniu działań wchodzących w zakres zastosowania prawa Unii. Umożliwia ono także przyjmowanie przepisów dotyczących swobodnego przepływu danych osobowych, w tym danych osobowych przetwarzanych przez państwa członkowskie lub podmioty prywatne. Rozporządzenie uważa się za najbardziej odpowiedni instrument prawny służący do zdefiniowania ram ochrony danych osobowych w Unii. Bezpośrednie stosowanie rozporządzenia zgodnie z art. 288 TFUE zmniejszy rozdrobnienie prawne i zapewni większą pewność prawa poprzez wprowadzenie ujednoliconego zestawu podstawowych przepisów, zwiększając w ten sposób ochronę praw podstawowych osób fizycznych i przyczyniając się do funkcjonowania rynku wewnętrznego. Odesłanie do art. 114 ust. 1 TFUE jest niezbędne wyłącznie ze względu na zmianę dyrektywy 2002/58/WE w zakresie, w jakim dyrektywa ta również przewiduje ochronę słusznych interesów abonentów będących osobami prawnymi. 3.2. Pomocniczość i proporcjonalność Zgodnie z zasadą pomocniczości (art. 5 ust. 3 TFUE), Unia podejmuje działania tylko wówczas, gdy cele zamierzonego działania nie mogą zostać osiągnięte w sposób wystarczający przez państwa członkowskie i jeśli ze względu na rozmiary lub skutki proponowanego działania możliwe jest lepsze ich osiągnięcie na poziomie Unii. W świetle problemów zarysowanych powyżej, analiza pod kątem pomocniczości wskazuje na potrzebę działania na szczeblu UE na podstawie następujących przesłanek: – prawo do ochrony danych osobowych zapisane w art. 8 Karty praw podstawowych wymaga tego samego poziomu ochrony danych w całej Unii; brak wspólnych przepisów UE wiązałby się z ryzykiem istnienia różnych poziomów ochrony w państwach członkowskich oraz wystąpienia ograniczeń w transgranicznym przepływie danych osobowych między państwami członkowskimi mającymi różne standardy; – dane osobowe przekazywane są ponad granicami, zarówno wewnętrznymi, jak i zewnętrznymi, w coraz szybszym tempie; obok tego istnieją praktyczne wyzwania w zakresie egzekwowania przepisów o ochronie danych, zachodzi również konieczność współpracy między państwami członkowskimi i ich organami, którą należy zorganizować na szczeblu UE, by zagwarantować jednolite stosowanie prawa UE. UE jest również najlepiej predysponowana, by zagwarantować skutecznie i konsekwentnie ten sam poziom ochrony osób fizycznych w zakresie danych osobowych przekazywanych do państw trzecich; – państwa członkowskie nie mogą same ograniczyć problemów w obecnej sytuacji, zwłaszcza w obliczu rozdrobnienia w krajowych przepisach. Istnieje zatem szczególna potrzeba ustanowienia zharmonizowanych, spójnych ram umożliwiających sprawne przekazanie danych osobowych ponad granicami na terytorium UE, przy równoczesnym zagwarantowaniu skutecznej ochrony dla wszystkich osób fizycznych w całej UE; – proponowane działania legislacyjne UE będą bardziej skuteczne niż podobne działania na szczeblu państw członkowskich, ze względu na charakter i skalę problemów, które nie ograniczają się do szczebla jednego czy kilku państw członkowskich. Zasada proporcjonalności wymaga, by każda interwencja była ukierunkowana i nie wykraczała poza to, co jest konieczne dla osiągnięcia celów. Zasadą tą kierowano się opracowywaniu niniejszego wniosku, począwszy od określenia i oceny innych możliwych wariantów polityki, aż po sporządzenie wniosku ustawodawczego. 3.3. Podsumowanie zagadnień praw podstawowych Prawo do ochrony danych osobowych ustanowione jest art. 8 karty oraz art. 16 TFUE, jak również art. 8 EKPC. Jak podkreślił Trybunał Sprawiedliwości UE[27], prawo do ochrony danych osobowych nie jest prawem absolutnym i powinno być analizowane w kontekście funkcji, jaką pełni w społeczeństwie[28]. Ochrona danych jest ściśle powiązana z poszanowaniem życia prywatnego i rodzinnego chronionego na podstawie art. 7 karty. Znajduje to odzwierciedlenie w art. 1 ust. 1 dyrektywy 95/46/WE, który przewiduje, że państwa członkowskie chronią podstawowe prawa i wolności osób fizycznych, a w szczególności ich prawo do prywatności w kontekście przetwarzania danych osobowych. Inne prawa podstawowe zapisane w karcie, na które wniosek może potencjalnie mieć wpływ, to: wolność wypowiedzi (art. 11 karty); wolność działalności gospodarczej (art. 16); prawo własności, w szczególności ochrona własności przemysłowej (art. 17 ust. 2); zakaz dyskryminacji innych osób ze względu na takie czynniki jak: rasa, pochodzenie etniczne, cechy genetyczne, religia lub przekonania, poglądy polityczne lub wszelkie inne poglądy, niepełnosprawność lub orientacja seksualna (art. 21); prawa dziecka (art. 24); prawo do wysokiego poziomu ochrony zdrowia ludzkiego (art. 35), prawo dostępu do dokumentów (art. 42); prawo do skutecznego środka prawnego i dostępu do bezstronnego sądu (art. 47). 3.4. Szczegółowe wyjaśnienie wniosku 3.4.1. ROZDZIAŁ I – PRZEPISY OGÓLNE Artykuł 1 definiuje zakres przedmiotowy rozporządzenia oraz, jak wskazano w art. 1 dyrektywy 95/46/WE, określa dwa cele rozporządzenia. Artykuł 2 określa zakres materialny rozporządzenia. Artykuł 3 określa zakres terytorialny rozporządzenia. Artykuł 4 zawiera definicje terminów użytych w rozporządzeniu. Podczas gdy część definicji przejęto z dyrektywy 95/46/WE, inne zostały zmienione, uzupełnione o dodatkowe elementy lub na nowo wprowadzone („naruszenie ochrony danych osobowych” w oparciu o art. 2 lit. h) dyrektywy o e-prywatności 2002/58/WE[29] zmienionej dyrektywą 2009/136/WE[30], „dane genetyczne”, „dane biometryczne”, „dane dotyczące zdrowia”, „główna siedziba”, „przedstawiciel”, „przedsiębiorstwo”, „grupa przedsiębiorstw”, „wiążące reguły korporacyjne”, definicja „dziecka” w oparciu o Konwencję Organizacji Narodów Zjednoczonych o prawach dziecka[31] oraz „organu nadzorczego”). W definicji zgody dodano kryterium „wyraźna”, by uniknąć mylnego odniesienia do zgody „jednoznacznej” oraz by wprowadzić jednolitą i spójną definicję zgody, gwarantując w ten sposób, że podmiot danych będzie świadomy tego, że wyraża zgodę oraz na co wyraża zgodę. 3.4.2. ROZDZIAŁ II – ZASADY Artykuł 5 określa zasady dotyczące przetwarzania danych osobowych, które odpowiadają zasadom wskazanym w art. 6 dyrektywy 95/46/WE. Do nowych, dodatkowych elementów należą w szczególności zasada przejrzystości, wyjaśnienie zasady minimalizacji danych oraz ustalenie zasad ponoszenia całkowitej odpowiedzialności przez administratora. Artykuł 6 określa, na podstawie art. 7 dyrektywy 95/46/WE, kryteria zgodnego z prawem przetwarzania danych, które zostały doprecyzowane, jeśli chodzi o kryterium równowagi interesów, zgodność ze zobowiązaniami prawnymi oraz interes publiczny. Artykuł 7 wyjaśnia warunki, które muszą być spełnione, by zgoda stanowiła ważną podstawę prawną zgodnego z prawem przetwarzania danych. Artykuł 8 określa dalsze warunki zgodności z prawem przetwarzania danych osobowych dzieci w odniesieniu do usług społeczeństwa informacyjnego oferowanych im bezpośrednio. W art. 9 wyrażono ogólny zakaz przetwarzania szczególnych kategorii danych osobowych oraz przedstawiono wyjątki od tej zasady ogólnej w oparciu o art. 8 dyrektywy 95/46/EW. Artykuł 10 precyzuje, że administrator nie ma obowiązku uzyskania dodatkowych informacji w celu identyfikacji podmiotu danych jedynie po to, by zapewnić zgodność z przepisami niniejszego rozporządzenia. 3.4.3. ROZDZIAŁ III – PRAWA PODMIOTU DANYCH 3.4.3.1. Sekcja 1 – Przejrzystość oraz tryby wykonywania praw Artykuł 11 nakłada na administratorów obowiązek podawania przejrzystych oraz łatwo dostępnych i zrozumiałych informacji, zainspirowany w szczególności rezolucją madrycką w sprawie międzynarodowych standardów ochrony danych osobowych i prywatności[32]. Artykuł 12 zobowiązuje administratora do zapewnienia procedur i mechanizmów ułatwiających podmiotowi danych wykonywanie przysługujących mu praw, w tym sposobów umożliwiających składanie wniosków drogą elektroniczną i żądanie uzyskania odpowiedzi na wniosek podmiotu danych w określonym terminie, a także do uzasadnienia odmowy udzielenia odpowiedzi. Artykuł 13 przedstawia prawa przysługujące odbiorcom, opracowane na podstawie art. 12 lit. c) dyrektywy 95/46/WE, rozszerzone na wszystkich odbiorców, w tym współadministratorów i podmioty przetwarzające. 3.4.3.2. Sekcja 2 – Informacje i dostęp do danych Artykuł 14 doprecyzowuje obowiązki informacyjne administratora wobec podmiotu danych, na podstawie art. 10 i 11 dyrektywy 95/46/WE, obejmujące obowiązek przekazywania podmiotowi danych dodatkowych informacji, w tym na temat okresu przechowywania i prawa do składania skarg, w odniesieniu do międzynarodowego przekazywania danych oraz źródła pochodzenia danych. W artykule tym utrzymano ponadto możliwe odstępstwa przewidziane w dyrektywie 95/46/WE, np. obowiązek taki nie wystąpi wówczas, gdy rejestracja lub ujawnianie są wyraźnie przewidziane przez prawo. Mogłoby to na przykład dotyczyć postępowań prowadzonych przez organy ds. konkurencji, organy podatkowe lub administrację celną lub przez służby odpowiedzialne za sprawy ubezpieczeń społecznych. Artykuł 15 przedstawia prawo dostępu podmiotu danych do jego danych osobowych, w oparciu o art. 12 lit. a) dyrektywy 95/46/WE. Dodano do niego nowe elementy, takie jak informowanie podmiotów danych o okresie przechowywania, prawach do poprawiania i do usuwania danych oraz zgłaszania skarg. 3.4.3.3. Sekcja 3 – Poprawianie i usuwanie Artykuł 16 określa prawo podmiotu danych do poprawienia danych w oparciu o art. 12 lit. b) dyrektywy 95/46/WE. Artykuł 17 przedstawia prawo podmiotu danych do bycia zapomnianym i do usunięcia danych. Rozwija ponadto i doprecyzowuje prawo do usunięcia danych przewidziane w art. 12 lit. b) dyrektywy 95/46/WE oraz wymienia warunki wykonania prawa do bycia zapomnianym, w tym obowiązek administratora, który podał dane osobowe do wiadomości publicznej, poinformowania osób trzecich o wniosku podmiotu danych dotyczącym usunięcia wszelkich linków do danych, kopii lub replikacji tych danych osobowych. W artykule tym przewidziano także prawo do ograniczenia przetwarzania w niektórych przypadkach, unikając w ten sposób dwuznacznego terminu „blokowanie”. Artykuł 18 wprowadza prawo podmiotu danych do przenoszenia danych, tj. do przenoszenia ich z jednego elektronicznego systemu przetwarzania do innego, któremu administrator nie może zapobiec. Przepis ten przewiduje, jako warunek konieczny i w celu jeszcze większego ułatwienia osobom fizycznym dostępu do ich danych osobowych, prawo do uzyskania od administratora tych danych w zorganizowanym i powszechnie stosowanym formacie elektronicznym. 3.4.3.4. Sekcja 4 – Prawo wniesienia sprzeciwu i profilowanie Artykuł 19 przyznaje podmiotowi danych prawo wniesienia sprzeciwu. Opiera się on na art. 14 dyrektywy 95/46/WE, z pewnymi zmianami, w tym jeśli chodzi o ciężar dowodu i jego zastosowanie do marketingu bezpośredniego. Artykuł 20 dotyczy prawa podmiotu danych do niepodlegania środkowi opartemu na profilowaniu. Opiera się on, ze zmianami i dodatkowymi gwarancjami, na art. 15 ust. 1 dyrektywy 95/46/WE dotyczącym zautomatyzowanych decyzji indywidualnych, i uwzględnia zalecenie Rady Europy w sprawie profilowania[33]. 3.4.3.5. Sekcja 5 – Ograniczenia Artykuł 21 wyjaśnia upoważnienie Unii lub państw członkowskich do utrzymania lub wprowadzenia ograniczeń dotyczących zasad określonych w art. 5 oraz praw podmiotów danych, wymienionych w art. 11-20 oraz art. 32. Przepis ten opiera się na art. 13 dyrektywy 95/46/WE oraz na wymaganiach wynikających z Karty praw podstawowych oraz Europejskiej Konwencji o Ochronie Praw Człowieka i Podstawowych Wolności, zgodnie z wykładnią Trybunału Sprawiedliwości UE i Europejskiego Trybunału Praw Człowieka. 3.4.4. ROZDZIAŁ IV – ADMINISTRATOR I PODMIOT PRZETWARZAJĄCY 3.4.4.1. Sekcja 1 – Obowiązki ogólne Artykuł 22 uwzględnia wnioski z dyskusji na temat „zasady odpowiedzialności” i szczegółowo opisuje obowiązek przestrzegania przez administratora przepisów niniejszego rozporządzenia oraz wykazywania takiej zgodności, w tym poprzez przyjmowanie służących temu wewnętrznych polityk i mechanizmów. Artykuł 23 przedstawia obowiązki administratora wynikające z zasad uwzględnienia ochrony danych już w fazie projektowania oraz ochrony danych jako opcji domyślnej. Artykuł 24 w sprawie współadministratorów wyjaśnia kompetencje współadministratorów, jeśli chodzi o ich stosunki wewnętrzne oraz wobec podmiotu danych. Artykuł 25 zobowiązuje, pod pewnymi warunkami, administratorów niemających siedziby w Unii, o ile rozporządzenie dotyczy ich działalności w zakresie przetwarzania, do wyznaczenia przedstawiciela w Unii. Artykuł 26 wyjaśnia status i obowiązki podmiotów przetwarzających, częściowo na podstawie art. 17 ust. 2 dyrektywy 95/46/WE, dodając do niego nowe elementy, między innymi taki, że podmiot przetwarzający, który przetwarza dane w zakresie przekraczającym zalecenia administratora, należy uznać za współadministratora. Artykuł 27 dotyczący przetwarzania z upoważnienia administratora i podmiotu przetwarzającego opiera się na art. 16 dyrektywy 95/46/WE. Artykuł 28 wprowadza dla administratorów i podmiotów przetwarzających obowiązek prowadzenia dokumentacji dotyczącej operacji przetwarzania podlegających ich odpowiedzialności, zamiast ogólnego zawiadomienia przekazywanego organowi nadzorczemu, o którym mowa w art. 18 ust. 1 i art. 19 dyrektywy 95/46/WE. Artykuł 29 wyjaśnia obowiązki administratora i podmiotu przetwarzającego w zakresie współpracy z organem nadzorczym. 3.4.4.2. Sekcja 2 – Bezpieczeństwo danych Artykuł 30 zobowiązuje administratora i podmiot przetwarzający do wprowadzenia odpowiednich środków mających na celu zapewnienie bezpieczeństwa przetwarzania, na podstawie art. 17 ust. 1 dyrektywy 95/46/WE, rozszerzając ten obowiązek na podmioty przetwarzające, niezależnie od warunków umowy zawartej z administratorem. Artykuły 31 i 32 wprowadzają obowiązek zawiadomienia o naruszeniu ochrony danych osobowych, w oparciu o obowiązek zawiadomienia o naruszeniu danych osobowych przewidziany w art. 4 ust. 3 dyrektywy o e-prywatności 2002/58/WE. 3.4.4.3. Sekcja 3 – Ocena skutków w zakresie ochrony danych i uprzednie zezwolenie Artykuł 33 wprowadza obowiązek przeprowadzania przez administratorów i podmioty przetwarzające oceny skutków w zakresie ochrony danych przed podjęciem ryzykownych operacji przetwarzania. Artykuł 34 dotyczy przypadków, w których zezwolenie organu nadzorczego oraz zasięgnięcie jego opinii są obowiązkowe przed przystąpieniem do przetwarzania, w oparciu o koncepcję kontroli wstępnej, o której mowa w art. 20 dyrektywy 95/46/WE. 3.4.4.4. Sekcja 4 – Inspektor ochrony danych Artykuł 35 wprowadza obowiązek powołania inspektora ochrony danych dla sektora publicznego oraz, w sektorze prywatnym, dla dużych przedsiębiorstw lub tam, gdzie główna działalność administratora lub podmiotu przetwarzającego polega na operacjach przetwarzania, które wymagają regularnego i systematycznego monitorowania. Artykuł ten opiera się na art. 18 ust. 2 dyrektywy 95/46/WE, który przewidywał możliwość wprowadzenia przez państwo członkowskie takiego wymogu w ramach zastąpienia ogólnego obowiązku zawiadomienia. Artykuł 36 określa status inspektora ochrony danych. Artykuł 37 opisuje główne zadania inspektora ochrony danych. 3.4.4.5. Sekcja 5 – Kodeksy postępowania i certyfikacja Artykuł 38 dotyczy kodeksów postępowania, w oparciu o pojęcie wprowadzone w art. 27 ust. 1 dyrektywy 95/46/WE, i wyjaśnia treść tych kodeksów i procedur oraz przewiduje uprawnienie Komisji do podejmowania decyzji w sprawie ogólnego obowiązywania kodeksów postępowania. Artykuł 39 wprowadza możliwość ustanawiania mechanizmów certyfikacji oraz pieczęci i oznaczeń w zakresie ochrony danych. 3.4.5. ROZDZIAŁ V – PRZEKAZYWANIE DANYCH OSOBOWYCH DO PAŃSTW TRZECICH LUB ORGANIZACJI MIĘDZYNARODOWYCH Artykuł 40 ustanawia zasadę ogólną, według której zgodność z obowiązkami określonymi w tym rozdziale jest obligatoryjna w przypadku przekazywania danych osobowych do państw trzecich lub organizacji międzynarodowych, w tym wtórnego przekazywania danych. Artykuł 41 określa kryteria, warunki i procedury przyjmowania przez Komisję decyzji stwierdzającej odpowiedni poziom ochrony w oparciu o art. 25 dyrektywy 95/46/WE. Kryteria, które zostaną uwzględnione w ocenie odpowiedniego stopnia ochrony, w sposób wyraźny obejmują praworządność, sądowe środki ochrony prawnej oraz niezależny nadzór. Artykuł ten wyraźnie potwierdza możliwość dokonywania przez Komisję oceny poziomu ochrony zapewnianego na terytorium państwa trzeciego lub w określonym sektorze w tym państwie, w którym odbywa się przetwarzanie. Artykuł 42 wymaga, by w przypadku przekazywania danych do państw trzecich, gdy Komisja nie podjęła decyzji stwierdzającej odpowiedni poziom ochrony, wprowadzono odpowiednie gwarancje, w szczególności standardowe klauzule ochrony danych, wiążące reguły korporacyjne oraz klauzule umowne. Możliwość wykorzystania standardowych klauzul ochrony danych stosowanych przez Komisję opiera się na art. 26 ust. 4 dyrektywy 95/46/WE. Nowością jest, że takie standardowe klauzule ochrony danych mogą obecnie być przyjmowane także przez organ nadzorczy i uznawane przez Komisję za ogólnie obowiązujące. Wiążące reguły korporacyjne zostały obecnie wyraźnie wymienione w tekście prawnym. Wariant klauzul umownych daje administratorowi lub podmiotowi przetwarzającemu pewną elastyczność, lecz podlega obowiązkowi uzyskania uprzedniego zezwolenia organu nadzorczego. Artykuł 43 szczegółowo opisuje warunki przekazywania na podstawie wiążących reguł korporacyjnych, w oparciu o obecnie stosowane praktyki i wymogi organów nadzorczych. Artykuł 44 przedstawia i wyjaśnia odstępstwa dotyczące przekazywania danych, w oparciu o obowiązujące przepisy art. 26 dyrektywy 95/46/WE. Dotyczą one w szczególności przekazywania danych wymaganego i niezbędnego do ochrony istotnego interesu publicznego, na przykład w sytuacji międzynarodowego przekazywania danych między organami ds. konkurencji, władzami podatkowymi lub administracją celną bądź między służbami odpowiedzialnymi za sprawy ubezpieczeń społecznych lub zarządzanie rybołówstwem. Ponadto przekazywanie danych może, w niektórych okolicznościach, być usprawiedliwione ze względu na słuszny interes administratora lub podmiotu przetwarzającego, lecz wyłącznie po dokonaniu oceny i udokumentowaniu okoliczności takiej operacji przekazania. Artykuł 45 wyraźnie przewiduje mechanizmy współpracy międzynarodowej na rzecz ochrony danych osobowych między Komisją a organami nadzorczymi państw trzecich, w szczególności takimi, które uważane są za zapewniające odpowiedni poziom ochrony, z uwzględnieniem zalecenia Organizacji Współpracy Gospodarczej i Rozwoju (OECD) w sprawie transgranicznej współpracy w zakresie egzekwowania przepisów chroniących prawo do prywatności z dnia 12 czerwca 2007 r. 3.4.6. ROZDZIAŁ VI – NIEZALEŻNE ORGANY NADZORCZE 3.4.6.1. Sekcja 1 – Niezależny status Artykuł 46 zobowiązuje państwa członkowskie, na podstawie art. 28 ust. 1 dyrektywy 95/46/WE, do ustanowienia organów nadzorczych, rozszerzając zakres powierzonych im zadań o wzajemną współpracę i współpracę z Komisją. Artykuł 47 wyjaśnia warunki niezależności organów nadzorczych, co stanowi realizację orzeczeń Trybunału Sprawiedliwości Unii Europejskiej[34], i zostało także zainspirowane art. 44 rozporządzenia (WE) nr 45/2001[35]. Artykuł 48 określa ogólne warunki członkostwa w organie nadzorczym, co stanowi realizację odpowiednich orzeczeń[36], i zostało także zainspirowane art. 42 ust. 2-6 rozporządzenia (WE) 45/2001. Artykuł 49 podaje zasady dotyczące ustanowienia organu nadzorczego, które mają określać przepisy państw członkowskich. Artykuł 50 dotyczy tajemnicy służbowej obowiązującej członków i personel organu nadzorczego na podstawie art. 28 ust. 7 dyrektywy 95/46/WE. 3.4.6.2. Sekcja 2 – Obowiązki i uprawnienia Artykuł 51 określa kompetencje organów nadzorczych. Zasadę ogólną, opartą na art. 28 ust. 6 dyrektywy 95/46/WE (kompetencje na terytorium własnego państwa członkowskiego), uzupełnia nowa kompetencja organu głównego w przypadku, gdy administrator lub podmiot przetwarzający mają siedzibę w kilku państwach członkowskich, co ma zapewnić jednolitość stosowania („punkt kompleksowej obsługi”). Sądy, w zakresie sprawowanych funkcji sądowniczych, są zwolnione z kontroli organu nadzorczego, lecz nie są zwolnione ze stosowania materialnych przepisów dotyczących ochrony danych. Artykuł 52 określa obowiązki organu nadzorczego, w tym dotyczące rozpatrywania skarg i prowadzenia postępowań w ich sprawie oraz szerzenia w społeczeństwie wiedzy na temat ryzyka, przepisów, gwarancji i praw. Artykuł 53 określa uprawnienia organu nadzorczego, częściowo w oparciu o art. 28 ust. 3 dyrektywy 95/46/WE i art. 47 rozporządzenia (WE) 45/2001, dodając kilka nowych elementów, w tym uprawnienie do nakładania sankcji administracyjnych. Artykuł 54 nakłada na organy nadzorcze obowiązek sporządzania rocznych sprawozdań z działalności, na podstawie art. 28 ust. 5 dyrektywy 95/46/WE. 3.4.7. ROZDZIAŁ VII – WSPÓŁPRACA I ZGODNOŚĆ 3.4.7.1. Sekcja 1 – Współpraca Artykuł 55 wprowadza jasne przepisy dotyczące obowiązkowej wzajemnej pomocy, przedstawiając skutki braku zastosowania się do żądania innego organu nadzorczego, na podstawie art. 28 ust. 6 akapit drugi dyrektywy 95/46/WE. Artykuł 56 wprowadza przepisy dotyczące wspólnych operacji, co zostało zainspirowane art. 17 decyzji Rady 2008/615/WSiSW[37], w tym prawo organów nadzorczych do udziału w takich operacjach. 3.4.7.2. Sekcja 2 – Zgodność Artykuł 57 wprowadza mechanizm zgodności w celu zapewnienia jednolitości stosowania w odniesieniu do operacji przetwarzania, które mogą dotyczyć podmiotów danych w kilku państwach członkowskich. Artykuł 58 przedstawia procedury i warunki wydawania opinii przez Europejską Radę Ochrony Danych. Artykuł 59 dotyczy opinii Komisji w sprawach rozstrzyganych w ramach mechanizmu zgodności, które mogą popierać opinię Europejskiej Rady Ochrony Danych lub różnić się od takiej opinii, a także projektów środków organu nadzorczego. W przypadku podniesienia przez Europejską Radę Ochrony Danych dowolnej kwestii na mocy art. 58 ust. 3 można oczekiwać, że Komisja wykorzysta przysługujące jej uprawnienie i w razie konieczności wyda opinię. Artykuł 60 dotyczy decyzji Komisji zawierających żądanie, by właściwy organ zawiesił swój projekt środka, jeśli jest to konieczne do zapewnienia właściwego stosowania niniejszego rozporządzenia. Artykuł 61 przewiduje możliwość przyjęcia środków tymczasowych w trybie pilnym. Artykuł 62 określa wymogi w zakresie przyjmowania aktów wykonawczych przez Komisję w ramach mechanizmu zgodności. Artykuł 63 przewiduje obowiązek organu nadzorczego w zakresie egzekwowania środków we wszystkich zainteresowanych państwach członkowskich, a także stanowi, iż stosowanie mechanizmu zgodności jest warunkiem koniecznym ważności prawnej i egzekwowania danego środka. 3.4.7.3. Sekcja 3 – Europejska Rada Ochrony Danych Artykuł 64 ustanawia Europejską Radę Ochrony Danych, w której skład wchodzą szefowie organów nadzorczych wszystkich państw członkowskich oraz Europejski Inspektor Ochrony Danych. Europejska Rada Ochrony Danych zastępuje Grupę Roboczą ds. Ochrony Osób Fizycznych w zakresie Przetwarzania Danych Osobowych powołaną na mocy art. 29 dyrektywy 95/46/WE. Wyjaśnia się, że Komisja nie jest członkiem Europejskiej Rady Ochrony Danych, lecz ma prawo uczestniczyć w jej działaniach i być w niej reprezentowana. Artykuł 65 podkreśla i wyjaśnia niezależność Europejskiej Rady Ochrony Danych. Artykuł 66 opisuje zadania Europejskiej Rady Ochrony Danych na podstawie art. 30 ust. 1 dyrektywy 95/46/WE i przedstawia elementy dodatkowe, odzwierciedlając w ten sposób szerszy zakres działalności Europejskiej Rady Ochrony Danych w Unii i poza nią. Aby umożliwić lepsze reagowanie w pilnych sytuacjach, daje Komisji możliwość wnioskowania o wydanie opinii w określonym terminie. Artykuł 67 nakłada na Europejską Radę Ochrony Danych obowiązek sporządzania rocznych sprawozdań z działalności, na podstawie art. 30 ust. 6 dyrektywy 95/46/WE. Artykuł 68 ustanawia procedury podejmowania decyzji przez Europejską Radę Ochrony Danych, w tym obowiązek przyjęcia regulaminu, który powinien także objąć jej zasady funkcjonowania. Artykuł 69 zawiera przepisy dotyczące przewodniczącego i wiceprzewodniczących Europejskiej Rady Ochrony Danych. Artykuł 70 opisuje zadania przewodniczącego. Artykuł 71 stanowi, że obsługę sekretariatu Europejskiej Rady Ochrony Danych zapewnia Europejski Inspektor Ochrony Danych, a także precyzuje zadania sekretariatu. Artykuł 72 przedstawia przepisy dotyczące poufności. 3.4.8. ROZDZIAŁ VIII – ŚRODKI OCHRONY PRAWNEJ, ODPOWIEDZIALNOŚĆ I SANKCJE Artykuł 73 przewiduje prawo każdego podmiotu danych do złożenia skargi do organu nadzorczego, na podstawie art. 28 ust. 4 dyrektywy 95/46/WE. Wymienia on ponadto organy, organizacje lub zrzeszenia, które mogą składać skargi w imieniu podmiotu danych lub, w przypadku naruszenia ochrony danych osobowych, niezależnie od skargi podmiotu danych. Artykuł 74 dotyczy prawa do skorzystania z sądowego środka ochrony prawnej przeciwko organowi nadzorczemu. Opiera się on na przepisie ogólnym art. 28 ust. 3 dyrektywy 95/46/WE. Artykuł ten ustanawia w szczególności sądowy środek ochrony prawnej zobowiązujący organ nadzorczy do podjęcia działania w odpowiedzi na skargę oraz wyjaśnia kompetencje sądów państwa członkowskiego, w którym organ nadzorczy ma siedzibę. Przewiduje ponadto możliwość wszczęcia przez organ nadzorczy państwa członkowskiego, w którym podmiot danych ma miejsce zamieszkania, postępowania sądowego w imieniu podmiotu danych przed sądami innego państwa członkowskiego, w którym ma siedzibę właściwy organ nadzorczy. Artykuł 75 dotyczy prawa do sądowego środka ochrony prawnej przeciwko administratorowi lub podmiotowi przetwarzającemu, w oparciu o art. 22 dyrektywy 95/46/WE, i umożliwia skierowanie sprawy do sądu bądź w państwie członkowskim, w którym ma siedzibę pozwany, bądź w tym, w którym ma miejsce zamieszkania podmiot danych. Jeśli postępowanie w ten samej sprawie czeka na rozstrzygnięcie w ramach mechanizmu zgodności, sąd może zawiesić swoje postępowanie, z wyjątkiem sytuacji nadzwyczajnych. Artykuł 76 przedstawia wspólne zasady postępowań sądowych, w tym prawa organów, organizacji lub zrzeszeń do reprezentowania podmiotów danych przed sądami, prawo organu nadzorczego do udziału w postępowaniach prawnych oraz uzyskiwania przez sądy informacji na temat postępowań prowadzonych równolegle w innym państwie członkowskim, a także możliwość zawieszania przez sądy postępowań w takich przypadkach[38]. Na państwie członkowskim ciąży obowiązek zapewnienia sprawnego przebiegu postępowań sądowych[39]. Artykuł 77 ustanawia prawo do odszkodowania i zasady odpowiedzialności. Opiera się on na art. 23 dyrektywy 95/46/WE, rozszerza to prawo na szkody spowodowane przez podmioty przetwarzające i wyjaśnia zasady odpowiedzialności współadministratorów i podmiotów współprzetwarzających. Artykuł 78 zobowiązuje państwa członkowskie do ustanowienia przepisów dotyczących kar, nakładania kar za naruszenia rozporządzenia oraz zapewnienia wdrożenia jego przepisów. Artykuł 79 zobowiązuje każdy organ nadzorczy do nakładania sankcji administracyjnych wymienionych w katalogu zawartym w tym przepisie, w postaci grzywien do kwoty maksymalnej, z należytym uwzględnieniem każdego indywidualnego przypadku. 3.4.9. ROZDZIAŁ IX – PRZEPISY DOTYCZĄCE SZCZEGÓLNYCH SYTUACJI PRZETWARZANIA DANYCH Artykuł 80 zobowiązuje państwa członkowskie do stosowania wyłączeń i odstępstw od przepisów szczególnych rozporządzenia, o ile jest to konieczne w celu pogodzenia prawa do ochrony danych osobowych z prawem wolności wypowiedzi. Opiera się on na art. 9 dyrektywy 95/46/WE zgodnie z wykładnią Trybunału Sprawiedliwości UE[40]. Artykuł 81 zobowiązuje państwa członkowskie, z zastrzeżeniem warunków dla szczególnych kategorii danych, do zapewnienia konkretnych gwarancji przy przetwarzaniu na potrzeby świadczenia opieki zdrowotnej. Artykuł 82 przewiduje uprawnienie państw członkowskich do przyjmowania przepisów szczególnych dotyczących przetwarzania danych osobowych w kontekście zatrudnienia. Artykuł 83 określa szczególne warunki przetwarzania danych osobowych do celów dokumentacji, statystyki i badań naukowych. Artykuł 84 upoważnia państw członkowskie do przyjmowania przepisów szczególnych dotyczących dostępu organów nadzorczych do danych osobowych i pomieszczeń, w których administratorzy podlegają obowiązkowi zachowania tajemnicy. Artykuł 85 umożliwia, w świetle art. 17 Traktatu o funkcjonowaniu Unii Europejskiej, nieprzerwane stosowanie obowiązujących kompleksowych przepisów dotyczących ochrony danych kościołów, jeśli zostały one ujednolicone z przepisami rozporządzenia. 3.4.10. ROZDZIAŁ X – AKTY DELEGOWANE I AKTY WYKONAWCZE Artykuł 86 zawiera standardowe przepisy dotyczące wykonywania przekazanych uprawnień zgodnie z art. 290 TFUE. Dzięki temu prawodawca może przekazywać Komisji uprawnienia do przyjęcia aktów o charakterze nieustawodawczym o powszechnym zakresie stosowania, które uzupełniają lub zmieniają niektóre, inne niż zasadnicze, elementy aktu ustawodawczego (akty quasi-ustawodawcze). Artykuł 87 zawiera przepisy dotyczący procedury komitetowej niezbędnej do powierzenia Komisji uprawnień wykonawczych w przypadkach, gdy zgodnie z art. 291 TFUE konieczne są jednolite warunki wykonywania prawnie wiążących aktów Unii. Zastosowanie ma tu procedura sprawdzająca. 3.4.11. ROZDZIAŁ XI – PRZEPISY KOŃCOWE Artykuł 88 uchyla dyrektywę 95/46/WE. Artykuł 89 wyjaśnia stosunek niniejszego rozporządzenia do dyrektywy o e-prywatności 2002/58/WE i wprowadza do niej zmiany. Artykuł 90 zobowiązuje Komisję do dokonania oceny rozporządzenia i przedstawienia stosownych sprawozdań. Artykuł 91 określa datę wejścia w życie rozporządzenia oraz okres przejściowy przed datą rozpoczęcia jego stosowania. 4. WPŁYW NA BUDŻET Konkretny wpływ wniosku na budżet dotyczy zadań powierzonych Europejskiemu Inspektorowi Ochrony Danych, zgodnie z oceną skutków finansowych regulacji towarzyszącą niniejszemu wnioskowi. Wpływ ten wymaga przeprogramowania w ramach działu 5 perspektywy finansowej. Niniejszy wniosek nie ma wpływu na wydatki operacyjne. Ocena finansowych skutków regulacji towarzysząca wnioskowi dotyczącemu rozporządzenia obejmuje wpływ na budżet zarówno samego rozporządzenia, jak i dyrektywy o ochronie danych w obszarze policji i wymiaru sprawiedliwości. 2012/0011 (COD) Wniosek ROZPORZĄDZENIE PARLAMENTU EUROPEJSKIEGO I RADY w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i swobodnym przepływem takich danych (ogólne rozporządzenie o ochronie danych) (Tekst mający znaczenie dla EOG) PARLAMENT EUROPEJSKI I RADA UNII EUROPEJSKIEJ, uwzględniając Traktat o funkcjonowaniu Unii Europejskiej, w szczególności jego art. 16 ust. 2 i art. 114 ust. 1, uwzględniając wniosek Komisji Europejskiej, po przekazaniu projektu aktu ustawodawczego parlamentom narodowym, uwzględniając opinię Europejskiego Komitetu Ekonomiczno-Społecznego[41], po zasięgnięciu opinii Europejskiego Inspektora Ochrony Danych[42], stanowiąc zgodnie ze zwykłą procedurą ustawodawczą, a także mając na uwadze, co następuje: (1) Ochrona osób fizycznych w zakresie przetwarzania danych osobowych jest prawem podstawowym. Artykuł 8 ust. 1 Karty praw podstawowych i art. 16 ust. 1 Traktatu stanowią, iż każda osoba ma prawo do ochrony danych osobowych, które jej dotyczą. (2) Przetwarzanie danych osobowych ma służyć człowiekowi, zaś zasady i przepisy dotyczące ochrony osób fizycznych w odniesieniu do przetwarzania ich danych osobowych powinny, niezależnie od obywatelstwa czy miejsca stałego zamieszkania osób fizycznych, szanować ich podstawowe prawa i wolności, szczególnie prawo do ochrony danych osobowych. Powinno ono również przyczyniać się do stworzenia obszaru wolności, bezpieczeństwa i sprawiedliwości oraz unii gospodarczej, osiągnięcia postępu gospodarczego i społecznego, wzmocnienia i konwergencji gospodarek na rynku wewnętrznym, a także do poprawy zamożności ludzi. (3) Dyrektywa 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych[43] ma na celu harmonizację ochrony podstawowych praw i wolności osób fizycznych w zakresie przetwarzania danych oraz zagwarantowanie swobodnego przepływu danych osobowych między państwami członkowskimi. (4) Integracja gospodarcza i społeczna będąca wynikiem funkcjonowania rynku wewnętrznego doprowadziła do znacznego zwiększenia transgranicznego przepływu danych osobowych. Zwiększyła się także wymiana danych między podmiotami gospodarczymi i społecznymi oraz publicznymi i prywatnymi w całej Unii. Prawo Unii wymaga, by organy krajowe poszczególnych państw członkowskich współpracowały ze sobą i prowadziły wymianę danych osobowych w celu wykonywania swoich obowiązków lub realizacji zadań w imieniu organów innych państw członkowskich. (5) Szybki rozwój technologiczny i globalizacja przyniosły nowe wyzwania w zakresie ochrony danych osobowych. Niezwykle wzrosła skala wymiany i zbierania danych. Technologia umożliwia zarówno przedsiębiorcom prywatnym, jak i organom publicznym wykorzystywanie danych osobowych do wykonywania powierzonych im zadań na niespotykaną dotąd skalę. Osoby fizyczne coraz częściej udostępniają informacje osobowe publicznie i globalnie. Technologia całkowicie zmieniła zarówno gospodarkę, jak i życie społeczne, i wymaga dalszego ułatwienia swobodnego przepływu danych w Unii oraz przekazywania ich do państw trzecich i organizacji międzynarodowych, przy równoczesnym zagwarantowaniu wysokiego poziomu ochrony danych osobowych. (6) Przemiany te wymagają stworzenia stabilnych i bardziej spójnych ram ochrony danych w Unii, popartych zdecydowanym egzekwowaniem, uwzględniając wagę zbudowania zaufania, które umożliwi rozwój gospodarki cyfrowej na rynku wewnętrznym. Osoby fizyczne powinny mieć kontrolę nad własnymi danymi osobowymi. Należy ponadto wzmocnić poczucie pewności prawa i jego praktycznego stosowania u osób fizycznych, podmiotów gospodarczych i organów publicznych. (7) Cele i zasady dyrektywy 45/96/WE nie zmieniły się, co jednak nie zapobiegło rozdrobnieniu wdrażania przepisów dotyczących ochrony danych w Unii, ugruntowaniu niepewności prawnej oraz upowszechnieniu istniejącego w społeczeństwie poglądu, zgodnie z którym z ochroną osób fizycznych wiążą się istotne zagrożenia, dotyczące w szczególności działalności w internecie. Różnice w zakresie poziomu ochrony praw i wolności osób fizycznych, w szczególności prawa do ochrony danych osobowych, w zakresie przetwarzania danych osobowych, udzielanej w państwach członkowskich mogą uniemożliwić swobodny przepływ danych osobowych w całej Unii. Różnice te mogą zatem stanowić przeszkodę w prowadzeniu działalności gospodarczej na szczeblu Unii, zakłócać konkurencję i utrudniać organom wykonywanie ich obowiązków wynikających z przepisów prawa unijnego. Ta różnica w poziomie ochrony wynika z istnienia różnic we wdrażaniu i stosowaniu dyrektywy 95/46/WE. (8) Aby zapewnić spójny i wysoki poziom ochrony osób fizycznych oraz usunąć przeszkody w przepływie danych osobowych, należy zapewnić we wszystkich państwach członkowskich równorzędny poziom ochrony praw i wolności osób fizycznych w zakresie przetwarzania tych danych. Spójne i jednolite stosowanie przepisów dotyczących ochrony podstawowych praw i wolności osób fizycznych w zakresie przetwarzania danych osobowych powinno być zagwarantowane w całej Unii. (9) Skuteczna ochrona danych osobowych w całej Unii wymaga wzmocnienia i doprecyzowania praw podmiotów danych oraz obowiązków podmiotów, które przetwarzają dane osobowe i kierują tym procesem, lecz także równorzędnych uprawnień w zakresie monitorowania i zapewnienia zgodności z przepisami w zakresie ochrony danych osobowych oraz równorzędnych sankcji wobec osób naruszających te przepisy w państwach członkowskich. (10) Artykuł 16 ust. 2 Traktatu powierza Parlamentowi Europejskiemu i Radzie ustanowienie przepisów dotyczących ochrony osób fizycznych w zakresie przetwarzania danych osobowych oraz swobodnego przepływu takich danych. (11) W celu zapewnienia spójnego poziomu ochrony osób fizycznych w całej Unii oraz zapobiegania różnicom, które hamowałyby swobodny przepływ danych w ramach rynku wewnętrznego, należy przyjąć rozporządzenie, które zagwarantuje przedsiębiorcom, w tym mikroprzedsiębiorcom oraz małym i średnim przedsiębiorcom pewność prawną i przejrzystość i które zapewni ten sam poziom prawnie egzekwowalnych uprawnień i obowiązków administratorów i podmiotów przetwarzających osobom fizycznym we wszystkich państwach członkowskich, umożliwi spójne monitorowanie przetwarzania danych osobowych, stosowanie równoważnych sankcji we wszystkich państwach członkowskich oraz skuteczną współpracę organów nadzorczych różnych państw członkowskich. W związku ze szczególną sytuacją mikroprzedsiębiorców oraz małych i średnich przedsiębiorców niniejsze rozporządzenia przewiduje szereg odstępstw. Ponadto zachęca się instytucje i organy Unii, państwa członkowskie i ich organy nadzorcze, by wzięły pod uwagę szczególne potrzeby mikroprzedsiębiorców oraz małych i średnich przedsiębiorców, jeśli chodzi o zastosowanie niniejszego rozporządzenia. Pojęcie mikroprzedsiębiorców oraz małych i średnich przedsiębiorców powinno opierać się na zaleceniu Komisji 2003/361/WE z dnia 6 maja 2003 r. dotyczącym przedsiębiorstw mikro, małych i średnich. (12) Ochrona zapewniona na mocy niniejszego rozporządzenia dotyczy osób fizycznych, niezależnie od ich obywatelstwa lub miejsca zamieszkania, w zakresie przetwarzania danych osobowych. Jeśli chodzi o przetwarzanie danych, które dotyczą osób prawnych, w szczególności przedsiębiorstw będących osobami prawnymi, w tym danych dotyczących firmy, formy prawnej i danych kontaktowych osoby prawnej, nie podlegają one ochronie udzielanej na mocy niniejszego rozporządzenia. Przepis ten powinien mieć także zastosowanie wtedy, gdy firma osoby prawnej obejmuje nazwisko jednej lub większej liczby osób fizycznych. (13) Ochrona osób fizycznych powinna być technologicznie neutralna i nie powinna zależeć od stosowanych technik, ponieważ w przeciwnym razie wystąpiłoby poważne ryzyko obchodzenia prawa. Ochrona osób fizycznych powinna mieć zastosowanie do przetwarzania danych osobowych w sposób zautomatyzowany, jak również ręcznego przetwarzania, jeśli dane znajdują się lub mają znajdować się w zbiorze danych. Zbiory lub zestawy zbiorów oraz ich strony tytułowe, które nie są zorganizowane według określonych kryteriów, nie powinny wchodzić w zakres niniejszego rozporządzenia. (14) Rozporządzenie nie odnosi się do kwestii ochrony podstawowych praw i wolności lub swobodnego przepływu danych dotyczących działalności, która nie wchodzi w zakres prawa unijnego, ani też nie obejmuje przetwarzania danych osobowych przez instytucje, organy i jednostki administracyjne Unii, które podlegają przepisom rozporządzenia (WE) nr 45/2001[44] lub przetwarzania danych osobowych przez państwa członkowskie podczas prowadzenia działalności związanej ze wspólną polityką zagraniczną i bezpieczeństwa Unii. (15) Niniejsze rozporządzenie nie powinno mieć zastosowania do przetwarzania przez osobę fizyczną danych osobowych o charakterze wyłącznie osobistym lub domowym, takich jak korespondencja i przechowywanie adresów, które są przetwarzane w celach niezarobkowych, zatem bez związku z działalnością zawodową lub handlową. Wyjątek ten nie powinien mieć także zastosowania do administratorów lub podmiotów przetwarzających, którzy zapewniają środki na przetwarzanie danych osobowych w celach osobistych lub domowych. (16) Ochrona osób fizycznych w związku z przetwarzaniem danych osobowych przez właściwe organy w celu zapobiegania przestępstwom, ich ścigania, wykrywania lub karania albo w celu wykonywania kar kryminalnych oraz swobodnym przepływem takich danych podlegają szczególnemu instrumentowi prawnemu na szczeblu Unii. Z tego względu niniejsze rozporządzenie nie powinno mieć zastosowania do przetwarzania do wyżej wspomnianych celów. Jednak dane przetwarzane przez organy publiczne na mocy niniejszego rozporządzenia, wykorzystywane w celu zapobiegania przestępstwom, ich ścigania, wykrywania lub karania albo w celu wykonywania kar kryminalnych, powinny podlegać bardziej szczegółowemu instrumentowi prawnemu na szczeblu Unii (dyrektywa XX/YYY). (17) Przepisy niniejszego rozporządzenia pozostają bez uszczerbku dla stosowania dyrektywy 2000/31/WE, w szczególności zasad odpowiedzialności usługodawców będących pośrednikami, o których mowa w art. 12-15 tej dyrektywy. (18) Niniejsze rozporządzenie pozwala na uwzględnienie zasady publicznego dostępu do dokumentów urzędowych przy stosowaniu przepisów tego rozporządzenia. (19) Każde przetwarzanie danych osobowych w kontekście działalności prowadzonej w siedzibie administratora lub podmiotu przetwarzającego w Unii powinno odbywać się zgodnie z niniejszym rozporządzeniem, niezależnie od tego, czy samo przetwarzanie ma miejsce w Unii czy poza nią. Siedziba zakłada skuteczne i faktycznie prowadzenie działalności poprzez stabilne rozwiązania. Forma prawna takich rozwiązań, niezależnie od tego, czy chodzi o oddział czy spółkę zależną posiadającą osobowość prawną, nie jest w tym względzie czynnikiem decydującym. (20) By nie dopuścić do pozbawienia osób fizycznych ochrony, która przysługuje im na mocy niniejszego rozporządzenia, przetwarzanie danych osobowych podmiotów danych, które mają miejsce zamieszkania w Unii, przez administratora niemającego siedziby w Unii, powinno podlegać niniejszemu rozporządzeniu, w przypadku gdy przetwarzanie wiąże się z oferowaniem towarów lub usług podmiotom danych lub monitorowaniem zachowania tych osób. (21) Aby stwierdzić, czy przetwarzanie można uznać za „monitorowanie zachowania” podmiotów danych, należy upewnić się, czy osoby fizyczne można wyszukać w internecie, korzystając z technik przetwarzania danych, które polegają na przypisaniu „profilu” danej osobie fizycznej, w szczególności w celu podejmowania decyzji dotyczących tej osoby, analizowania jej preferencji osobistych, zachowań i postaw lub ich przewidywania. (22) W miejscu, w którym na mocy prawa międzynarodowego publicznego stosuje się prawo krajowe państwa członkowskiego, na przykład na terenie misji dyplomatycznej lub placówki konsularnej, niniejsze rozporządzenie powinno także mieć zastosowanie do administratora niemającego siedziby w Unii. (23) Zasady ochrony należy stosować do wszelkich informacji dotyczących zidentyfikowanych lub możliwych do zidentyfikowania osób. Aby ustalić, czy można zidentyfikować daną osobę fizyczną, należy wziąć pod uwagę wszystkie sposoby, jakimi mogą posłużyć się administrator lub inna osoba w celu zidentyfikowania tej osoby. Zasady ochrony nie powinny być stosowane do danych zanonimizowanych w taki sposób, że podmiot danych nie może być już zidentyfikowany. (24) Osoby fizyczne korzystające z usług internetowych można identyfikować na podstawie identyfikatorów internetowych, które znajdują się w urządzeniach, aplikacjach, narzędziach i protokołach, takich jak adresy IP lub identyfikatory plików cookie. Mogą one zostawiać ślady, które, w połączeniu z unikatowymi identyfikatorami i innymi informacjami uzyskanymi przez serwery, mogą być wykorzystywane do tworzenia profili poszczególnych osób i ich identyfikacji. W wyniku tego numery identyfikacyjne, dane dotyczące lokalizacji, identyfikatory internetowe lub inne szczególne czynniki jako takie niekonieczne muszą być uważane za dane osobowe w każdych okolicznościach. (25) Zgoda powinna być wyraźnie wyrażona w dowolny właściwy sposób umożliwiający swobodne i świadome wyrażenie woli przez podmiot danych bądź w formie oświadczenia, bądź w drodze wyraźnego działania potwierdzającego podmiotu danych, przy jednoczesnym zagwarantowaniu, że osoby fizyczne są świadome, iż wyrażają zgodę na przetwarzanie danych osobowych, w tym poprzez zaznaczenie okna wyboru podczas przeglądania strony internetowej lub też inne oświadczenie bądź zachowanie, które w tym kontekście wyraźnie oznacza akceptację przez podmiot danych proponowanego przetwarzania jego danych osobowych. Milczenie lub bezczynność nie powinny zatem stanowić zgody. Zgoda powinna obejmować całość przetwarzania dokonanego w tym samym celu lub w tych samych celach. Jeśli zgoda podmiotu danych ma być wyrażona w następstwie elektronicznego wniosku, wniosek taki musi być jasny, zwięzły i nie powodować niepotrzebnego przerwania świadczenia usługi, której dotyczy. (26) Dane osobowe dotyczące zdrowia powinny w szczególności obejmować wszelkie dane dotyczące stanu zdrowia podmiotu danych, informacje na temat rejestracji osoby fizycznej w celu świadczenia usług zdrowotnych; informacje o płatnościach danej osoby fizycznej za opiekę zdrowotną lub kwalifikowaniu się danej osoby do korzystania z opieki zdrowotnej; numer, symbol lub oznaczenie przypisane danej osobie wyłącznie w celu identyfikowania jej dla potrzeb świadczenia opieki zdrowotnej; wszelkie informacje na temat tej osoby zebrane w okresie świadczenia opieki zdrowotnej na jej rzecz; informacje pochodzące z badań laboratoryjnych lub lekarskich dotyczących części ciała lub płynów ustrojowych, w tym próbek biologicznych; informacje umożliwiające identyfikację osoby świadczącej usługi opieki zdrowotnej na rzecz danego pacjenta oraz wszelkie informacje np. na temat choroby, niepełnosprawności, ryzyka choroby, historii medycznej, leczenia klinicznego lub aktualnego stanu fizjologicznego lub biomedycznego podmiotu danych, niezależnie od ich źródła, którym może być np. lekarz lub inny pracownik służby zdrowia, szpital, urządzenie medyczne, badanie diagnostyczne in vitro. (27) Siedzibę administratora w Unii należy ustalić na podstawie obiektywnych kryteriów. Powinna ona zakładać skuteczne i faktycznie zarządzanie, polegające na podejmowaniu najważniejszych decyzji dotyczących celów, warunków i środków przetwarzania w drodze stabilnych rozwiązań. Takie kryterium nie powinno zależeć od tego, czy przetwarzanie danych osobowych jest faktycznie dokonywane w tej lokalizacji; obecność i wykorzystanie środków technicznych i technologii do celów przetwarzania danych osobowych lub działalności w zakresie przetwarzania nie stanowią, same w sobie, takiej siedziby, nie są więc kryteriami wyznaczającymi siedzibę. Siedzibą podmiotu przetwarzającego powinno być miejsce jego zarządu w Unii. (28) Grupa przedsiębiorstw powinna obejmować przedsiębiorstwo sprawujące kontrolę oraz przedsiębiorstwa kontrolowane, przy czym przedsiębiorstwo sprawujące kontrolę powinno być przedsiębiorstwem, które wywiera dominujący wpływ na inne przedsiębiorstwa ze względu, między innymi, na strukturę właścicielską, udział finansowy lub przepisy regulujące jego działalność lub też uprawnienia do wdrożenia przepisów dotyczących ochrony danych osobowych. (29) Na szczególną ochronę danych osobowych zasługują dzieci, które mogą być w mniejszym stopniu świadome zagrożeń, konsekwencji, gwarancji i swoich praw związanych z przetwarzaniem danych osobowych. Aby stwierdzić, czy dana osoba jest dzieckiem, w niniejszym rozporządzeniu należy przyjąć definicję określoną w Konwencji Narodów Zjednoczonych o prawach dziecka. (30) Wszelkie operacje przetwarzania danych osobowych powinny być zgodne z prawem, prowadzone rzetelnie i uczciwie wobec zainteresowanych osób. W szczególności konkretne cele przetwarzania danych powinny być jednoznaczne, zgodne z prawem i określone w momencie zbierania danych. Dane powinny być ścisłe, właściwe i ograniczone do minimum niezbędnego do celów, dla których dane są przetwarzane, co wymaga w szczególności dopilnowania, by zebrane dane nie wykraczały poza określony zakres i by okres przechowywania danych był ograniczony do ścisłego minimum. Dane osobowe powinny być przetwarzane tylko wówczas, gdy celu przetwarzania nie można osiągnąć innymi środkami. Należy podjąć wszelkie stosowne kroki gwarantujące poprawienie lub usunięcie nieścisłych danych osobowych. Aby uniknąć przechowywania danych przez czas dłuższy niż jest to konieczne, administrator powinien ustalić termin usuwania danych lub okresowego przeglądu. (31) Aby przetwarzanie danych osobowych było zgodne z prawem, powinno odbywać się na podstawie zgody osoby zainteresowanej lub na innej uzasadnionej podstawie przewidzianej przez prawo: czy to przepisów niniejszego rozporządzenia czy to innych przepisów prawa Unii lub państw członkowskich, o których mowa w tym rozporządzeniu. (32) Jeśli przetwarzanie odbywa się na podstawie zgody podmiotu danych, ciężar udowodnienia, że podmiot danych wyraził zgodę na operację przetwarzania, spoczywa na administratorze. W szczególności w przypadku pisemnego oświadczenia złożonego w innej sprawie odpowiednie gwarancje powinny zapewniać, iż podmiot danych jest świadomy wyrażenia zgody oraz jej zakresu. (33) W celu zapewnienia dobrowolnej zgody należy wyjaśnić, że zgoda nie stanowi ważnej podstawy prawnej, jeśli dana osoba nie może dokonać rzeczywistego i wolnego wyboru, a następnie nie może odmówić ani odwołać zgody bez poniesienia szkody. (34) Zgoda nie powinna stanowić ważnej podstawy prawnej przetwarzania danych osobowych w sytuacji wyraźnego braku równowagi między podmiotem danych a administratorem. Dotyczy to w szczególności przypadku, gdy między podmiotem danych a administratorem istnieje stosunek zależności, między innymi wtedy, gdy dane osobowe pracowników są przetwarzane przez pracodawcę w kontekście zatrudnienia Jeśli administrator jest organem publicznym, brak równowagi wystąpiłby wyłącznie w przypadku operacji przetwarzania szczególnych danych, gdy organ publiczny może nałożyć obowiązek na mocy odpowiednich uprawnień publicznych a zgody nie można uznać za wyrażoną dobrowolnie, uwzględniając interes podmiotu danych. (35) Przetwarzanie powinno być zgodne z prawem tam, gdzie jest konieczne w kontekście umowy lub zamiaru zawarcia umowy. (36) Jeśli przetwarzanie odbywa się w ramach wypełnienia przez administratora ciążącego na nim obowiązku prawnego lub jeśli przetwarzanie jest konieczne w celu wykonania zadania realizowanego w interesie publicznym lub wykonania władzy publicznej, podstawę prawną przetwarzania powinny stanowić przepisy prawa Unii lub państwa członkowskiego, które spełniają wymagania Karty praw podstawowych Unii Europejskiej w zakresie ograniczeń praw i wolności. Prawo Unii lub prawo krajowe powinno określić, czy administratorem wykonującym zadanie realizowane w interesie publicznym lub w celu wykonania władzy publicznej powinien być organ administracji publicznej czy inna osoba fizyczna lub prawna podlegająca prawu publicznemu lub prawu prywatnemu, jak np. zrzeszenie zawodowe. (37) Przetwarzanie danych osobowych powinno być również uznawane za zgodne z prawem, jeśli jest konieczne w celu ochrony interesu, który ma istotne znaczenie dla życia podmiotu danych. (38) Słuszny interes administratora może stanowić podstawę prawną przetwarzania, pod warunkiem że interesy lub podstawowe prawa i wolności podmiotu danych, nie mają charakteru nadrzędnego. Wymagałoby to przeprowadzenia rzetelnej oceny, w szczególności w sytuacji, gdy podmiotem danych jest dziecko, zważywszy że dzieci wymagają szczególnej ochrony. Podmiot danych powinien mieć prawo wniesienia sprzeciwu wobec przetwarzania ze względu na swoją szczególną sytuacją i w sposób wolny od opłat. Aby zapewnić przejrzystość, administrator powinien być zobowiązany do wyraźnego poinformowania podmiotu danych o słusznych interesach realizowanych przez administratora, oraz o prawie wniesienia sprzeciwu, a także powinien być zobowiązany do udokumentowania tych słusznych interesów. Zważywszy, że ustawodawca określa w przepisach podstawę prawną przetwarzania danych przez organy publiczne, ta podstawa prawa nie powinna mieć zastosowania do przetwarzania danych przez organy publiczne w ramach wykonywania powierzonych im zadań. (39) Przetwarzanie danych w zakresie bezwzględnie koniecznym do celów zapewnienia bezpieczeństwa sieci i informacji, tj. zapewnienia odporności sieci lub systemu informacyjnego, na danym poziomie ufności, na zdarzenia przypadkowe lub działania niezgodne z prawem albo podstępne, naruszające dostępność, autentyczność, integralność i poufność przechowywanych lub przesyłanych danych oraz związanych z nimi usług oferowanych lub dostępnych poprzez te sieci i systemy, przez organy publiczne, zespoły reagowania na incydenty komputerowe (CERT), zespoły reagowania na komputerowe incydenty naruszające bezpieczeństwo (CSIRT), dostawców sieci i usług łączności elektronicznej oraz dostawców technologii i usług w zakresie bezpieczeństwa, stanowi słuszny interes danego administratora. Mogłoby to na przykład obejmować zapobieganie nieupoważnionemu dostępowi do sieci łączności elektronicznej oraz rozprowadzaniu złośliwych kodów oraz przerywanie ataków wywołujących „blokadę usługi”, a także przeciwdziałanie uszkodzeniu systemów komputerowych i łączności elektronicznej. (40) Przetwarzanie danych osobowych do innych celów powinno być dozwolone jedynie wtedy, gdy jest ono zgodne z celami, dla których dane zostały pierwotnie zebrane, w szczególności jeśli przetwarzanie jest niezbędne do celów badań historycznych, statystycznych lub naukowych. Jeśli ten inny cel nie jest zgodny z celem pierwotnym, w którym dane zostały zebrane, administrator powinien uzyskać zgodę podmiotu danych na realizację tego celu lub powinien oprzeć przetwarzanie na innej uzasadnionej podstawie zgodnego z prawem przetwarzania, w szczególności przewidzianej przez prawo Unii lub prawo państwa członkowskiego, któremu podlega administrator. W każdym przypadku należy zapewnić stosowanie zasad wskazanych w niniejszym rozporządzeniu, w szczególności w zakresie poinformowania podmiotu danych o tych innych celach. (41) Dane osobowe, które z racji swego charakteru są szczególnie wrażliwe i narażone na ryzyko w kontekście podstawowych praw lub prywatność, zasługują na szczególną ochronę. Dane te nie powinny być przetwarzane, chyba że podmiot danych wyraźnie wyrazi na to zgodę. Należy jednak wyraźnie wskazać odstępstwa od tego zakazu ze względu na szczególne potrzeby, zwłaszcza wtedy gdy przetwarzanie danych odbywa się w ramach zgodnych z prawem działań niektórych zrzeszeń lub fundacji, których celem jest umożliwienie realizacji podstawowych wolności. (42) Należy także zezwolić na odstępstwa od zakazu przetwarzania wrażliwych kategorii danych, jeśli odbywa się ono na podstawie przepisów prawa i z zastrzeżeniem odpowiednich gwarancji, w celu ochrony danych osobowych i innych podstawowych praw, jeśli jest to uzasadnione interesem publicznym, w szczególności w celach związanych z opieką zdrowotną, w tym zdrowiem publicznym i ochroną socjalną oraz zarządzaniem usługami opieki zdrowotnej, zwłaszcza by zapewnić odpowiednią jakość i zasadność ekonomiczną procedur stosowanych do rozstrzygania roszczeń w sprawie świadczeń i usług w ramach systemu ubezpieczeń zdrowotnych, lub w celach badań historycznych, statystycznych i naukowych. (43) Ponadto przetwarzanie danych osobowych przez organy publiczne dla osiągnięcia przez oficjalnie uznane związki religijne celów określonych w prawie konstytucyjnym lub prawie międzynarodowym publicznym, odbywa się ze względu na interes publiczny. (44) W przypadku gdy w trakcie działań wyborczych funkcjonowanie systemu demokratycznego w niektórych państwach członkowskich wymaga zbierania przez partie polityczne danych na temat opinii politycznych obywateli, przetwarzanie tych danych może być dozwolone ze względu na interes publiczny, pod warunkiem ustanowienia odpowiednich gwarancji. (45) Jeśli dane przetwarzane przez administratora nie pozwalają mu na zidentyfikowanie osoby fizycznej, nie ma on obowiązku uzyskania dodatkowych informacji w celu identyfikacji podmiotu danych wyłącznie ze względu na konieczność przestrzegania przepisu niniejszego rozporządzenia. W przypadku wniosku o dostęp, administrator powinien być upoważniony do zwracania się do podmiotu danych o udzielenie dalszych informacji, które umożliwią mu znalezienie danych osobowych, o które zwraca się wnioskodawca (46) Zasada przejrzystości wymaga, by wszelkie informacje przekazywane zarówno opinii publicznej, jak i podmiotowi danych, były łatwo dostępne i zrozumiałe, oraz by napisano je jasnym i prostym językiem. Dotyczy to w szczególności takich sytuacji jak np. reklama w internecie, w których duża liczba podmiotów i złożoność technologiczna praktyki utrudnia podmiotowi danych uzyskanie wiadomości o tym, że dane osobowe go dotyczące są zbierane, kto je zbiera oraz w jakich celach, oraz zrozumienie tego. Zważywszy, że dzieci zasługują na szczególną ochronę, wszelkie informacje i komunikaty, których przetwarzanie jest adresowane konkretnie do dziecka, powinny być tworzone w jasnym i prostym języku, który jest zrozumiały dla dziecka. (47) Należy opracować sposoby ułatwienia podmiotowi danych korzystania z praw przysługujących mu na mocy niniejszego rozporządzenia, włączając mechanizmy składania wniosków, wolnych od opłat, dotyczących w szczególności dostępu do danych, poprawiania ich, usuwania oraz wykonywania prawa wniesienia sprzeciwu. Administrator powinien być zobowiązany do udzielania odpowiedzi na wnioski podmiotów danych w określonym terminie oraz podania przyczyn ewentualnego braku zastosowania się do wniosku danego podmiotu danych. (48) Zasady rzetelnego i przejrzystego przetwarzania wymagają, by podmiot danych był informowany w szczególności o prowadzeniu operacji przetwarzania i jej celach, okresie przechowywania danych, przysługującym mu prawie dostępu, poprawienia lub usunięcia danych oraz prawie do złożenia skargi. W przypadku konieczności uzyskania danych od podmiotu danych, należy go także poinformować o tym, że ma on obowiązek przekazać dane oraz o konsekwencjach braku przekazania takich danych (49) Informacje dotyczące przetwarzania danych osobowych odnoszących się do podmiotu danych powinny być mu przekazane w momencie zbierania danych lub, jeśli dane nie są uzyskiwane od tego podmiotu, w rozsądnym terminie, zależnie od okoliczności sprawy. Jeśli dane można zgodnie z prawem ujawnić innemu odbiorcy, w momencie pierwszorazowego ujawnienia danych temu odbiorcy należy przekazać stosowne informacje podmiotowi danych. (50) Nakładanie tego obowiązku nie jest jednak konieczne, jeśli podmiot danych dysponuje już tymi informacjami lub jeśli rejestracja bądź ujawnienie danych są wyraźnie przewidziane przez przepisy prawa, lub jeśli przekazanie informacji podmiotowi danych okazuje się niemożliwe lub wiąże się z niewspółmiernie dużym wysiłkiem. Ten ostatni wariant dotyczy sytuacji, w której przetwarzanie odbywa się w celach związanych z dokumentacją, statystyką lub w celach badań naukowych – w takim przypadku można wziąć pod uwagę liczbę podmiotów danych, wiek danych oraz przyjęte środki wyrównawcze. (51) Każdej osobie powinno przysługiwać prawo dostępu do danych zebranych na jej temat, a wykonanie tego prawa powinno być na tyle łatwe, by każda osoba była świadoma przetwarzania i mogła zweryfikować jego zgodność z prawem. Dlatego też każdy podmiot danych powinien mieć prawo do wiedzy i uzyskania wiadomości w szczególności o celach, dla których dane są przetwarzane, przez jaki okres, jacy odbiorcy otrzymują dane, o zasadach przetwarzania danych oraz ewentualnych skutkach tego przetwarzania, nawet tylko na podstawie profilowania. Prawo to nie powinno negatywnie wpływać na prawa i wolności innych osób, w tym tajemnice handlowe lub własność intelektualną, w szczególności na prawa autorskie chroniące oprogramowanie. Powyżej omówione względy nie powinny jednak powodować odmowy udzielenia podmiotowi danych wszystkich informacji. (52) Administrator powinien skorzystać ze wszystkich uzasadnionych środków w celu weryfikacji tożsamości podmiotu danych, który żąda dostępu, w szczególności w kontekście usług internetowych i identyfikatorów internetowych. Administrator nie powinien zatrzymywać danych osobowych wyłącznie po to, by móc odpowiadać na potencjalne wnioski. (53) Każda osoba powinna mieć prawo do poprawienia dotyczących jej danych osobowych oraz „prawo do bycia zapomnianym”, jeśli przechowywanie tych danych nie jest zgodne z niniejszym rozporządzeniem. W szczególności podmioty danych powinny mieć prawo do tego, by ich dane osobowe zostały usunięte i nie były dalej przetwarzane, jeśli dane te nie są już konieczne do celów, dla których dane są zbierane lub przetwarzane w inny sposób, jeśli podmioty danych odwołały zgodę na przetwarzanie lub jeśli wnoszą sprzeciw wobec przetwarzania danych osobowych ich dotyczących, lub jeśli przetwarzanie ich danych osobowych nie jest zgodne z niniejszym rozporządzeniem z innego powodu. Prawo to ma szczególne znaczenie wtedy, gdy podmiot danych wyraził zgodę jako dziecko, nie będąc w pełni świadomy ryzyk związanych z przetwarzaniem, a w późniejszym czasie chce usunąć takie dane osobowe, zwłaszcza z internetu. Dalsze przechowywanie danych powinno być jednak dopuszczalne, jeśli jest ono niezbędne do celów dokumentacji, statystyki i badań naukowych, realizacji interesu publicznego w dziedzinie zdrowia publicznego, wykonania prawa wolności wypowiedzi, jeśli wymagają tego przepisy prawa lub jeśli są powody ograniczenia przetwarzania danych zamiast ich usunięcia. (54) Aby wzmocnić „prawo do bycia zapomnianym” w internecie, prawo do usunięcia danych powinno być także rozszerzone w taki sposób, by administrator, który upublicznił dane, miał obowiązek poinformować osoby trzecie, które przetwarzają te dane, że podmiot przetwarzający dane złożył wniosek o usunięcie wszelkich linków do danych, kopii lub replikacji tych danych osobowych. Aby zapewnić przekazanie tych informacji, administrator powinien podjąć wszelkie racjonalne kroki, w tym środki techniczne, dotyczące danych, za których publikację odpowiada administrator. Jeśli chodzi o publikowanie danych osobowych przez osoby trzecie, administratora należy uznać za odpowiedzialnego za publikację tych danych, jeśli wyraził on zgodę na publikację tych danych przez osobę trzecią. (55) W celu dalszego wzmocnienia kontroli nad własnymi danymi oraz prawa dostępu, podmioty danych powinny mieć prawo, w przypadku gdy dane osobowe są przetwarzane w sposób elektroniczny oraz w zorganizowanym i powszechnie używanym formacie, do otrzymania kopii dotyczących ich danych także w takim powszechnie używanym formacie elektronicznym. Podmiot danych powinien także móc przekazywać dane, które dostarczył, ze zautomatyzowanej aplikacji, takiej jak sieć społeczna, do innej. Powinno to mieć zastosowanie wtedy, gdy podmiot danych dostarczył dane do automatycznego systemu przetwarzania na podstawie swojej zgody lub w związku z wykonaniem umowy. (56) W przypadkach, w których dane osobowe mogłyby być przetwarzane zgodnie z prawem w celu ochrony żywotnych interesów podmiotu danych lub gdy jest to uzasadnione interesem publicznym, wykonywaniem władzy publicznej lub słusznymi interesami administratora, każdemu podmiotowi danych powinno jednak przysługiwać prawo wniesienia sprzeciwu wobec przetwarzania danych go dotyczących. Ciężar dowodu w zakresie wykazania, że słuszne interesy administratora mogą mieć charakter nadrzędny wobec interesów lub podstawowych praw i wolności podmiotu danych, spoczywa na administratorze. (57) Jeśli dane osobowe przetwarzane są do celów marketingu bezpośredniego, podmiot danych powinien mieć prawo wniesienia sprzeciwu wobec takiego przetwarzania w prosty, skuteczny i wolny od opłat sposób. (58) Każda osoba fizyczna powinna mieć prawo niepodlegania środkowi opartemu na profilowaniu dokonywanym poprzez automatyczne przetwarzanie. Taki środek powinien być jednak dozwolony wtedy, gdy jest wyraźnie przewidziany przez przepisy prawa, stosowany w toku zawierania lub wykonywania umowy lub gdy podmiot danych wyraził na niego zgodę. W każdym przypadku takie przetwarzanie powinno stanowić przedmiot odpowiednich gwarancji, w tym konkretnych informacji podmiotu danych i prawa do interwencji ze strony człowieka, a środek ten nie powinien dotyczyć dzieci. (59) Ograniczenia dotyczące szczególnych zasad i praw do informacji, dostępu, poprawiania i usuwania lub prawa przenoszenia danych, prawa wniesienia sprzeciwu, środków opartych na profilowaniu, a także informowania podmiotu danych o naruszeniu ochrony danych osobowych oraz pewnych powiązanych obowiązków administratorów mogą być nałożone przez prawo Unii lub państwa członkowskiego, w zakresie w jakim jest to konieczne i proporcjonalne w demokratycznym społeczeństwie, by zagwarantować bezpieczeństwo publiczne, w tym ochronę życia ludzkiego, zwłaszcza w ramach reagowania na klęski żywiołowe lub katastrofy wywołane przez człowieka, możliwość zapobiegania przestępstwom lub naruszeniom zasad etyki w przypadku zawodów regulowanych, ich ścigania i karania, inne publiczne interesy Unii lub państwa członkowskiego, w szczególności ważny interes gospodarczy lub finansowy Unii lub państwa członkowskiego, ochronę podmiotu danych lub też prawa i wolności innych osób. Ograniczenia te powinny być zgodne z wymogami Karty praw podstawowych Unii Europejskiej oraz Europejskiej Konwencji o Ochronie Praw Człowieka i Podstawowych Wolności. (60) Należy obciążyć administratora całkowitą odpowiedzialnością za przetwarzanie danych osobowych prowadzone przez niego samego lub w jego imieniu. W szczególności administrator powinien zapewnić zgodność takiej operacji przetwarzania z niniejszym rozporządzeniem i mieć obowiązek wykazania tej zgodności. (61) Ochrona praw i wolności podmiotów danych w zakresie przetwarzania danych osobowych wymaga podjęcia odpowiednich środków technicznych i organizacyjnych, zarówno przy przygotowywaniu przetwarzania, jak i podczas samego przetwarzania, w celu zagwarantowania spełnienia wymogów niniejszego rozporządzenia. By zapewnić i wykazać zgodność z niniejszym rozporządzeniem, administrator powinien przyjąć wewnętrzne polityki i wdrożyć odpowiednie środki, które są w szczególności zgodne z zasadą uwzględnienia ochrony danych już w fazie projektowania oraz zasadą domyślnej ochrony danych. (62) Ochrona praw i wolności podmiotów danych, a także zobowiązania i odpowiedzialność administratorów i podmiotów przetwarzających, także w odniesieniu do monitorowania przez organy nadzorcze i środków przez nie stosowanych, wymaga dokonania w niniejszym rozporządzeniu jasnego przydziału obowiązków, w tym w przypadku gdy administrator określa cele, warunki i sposoby przetwarzania wspólnie z innymi administratorami oraz gdy operacja przetwarzania jest dokonywana w imieniu administratora. (63) Jeśli administrator niemający siedziby w Unii przetwarza dane osobowe podmiotów danych mających miejsce zamieszkania w Unii, a jego działalność w zakresie przetwarzania wiąże się z oferowaniem towarów lub usług tym podmiotom lub monitorowaniem ich zachowania, powinien on wyznaczyć przedstawiciela, chyba że administrator ma siedzibę w państwie trzecim zapewniającym odpowiedni poziom ochrony, jest małym lub średnim przedsiębiorcą, organem lub podmiotem publicznym, lub chyba że jedynie okazjonalnie oferuje towary lub usługi tym podmiotom. Przedstawiciel powinien działać w imieniu administratora, a organ nadzorczy może się do niego zwracać. (64) By stwierdzić, czy administrator jedynie okazjonalnie oferuje towary i usługi podmiotom danych mającym miejsce zamieszkania w Unii, należy się upewnić, czy z całości działalności administratora wynika, że oferowanie towarów i usług tym osobom, stanowi działalność dodatkową do działalności głównej. (65) By wykazać zgodność z niniejszym rozporządzeniem, administrator lub podmiot przetwarzający powinni dokumentować każdą operację przetwarzania. Każdy administrator i podmiot przetwarzający powinni być zobowiązani do współpracy z organem nadzorczym oraz do udostępniania mu, na żądanie, dokumentacji, tak by mogła ona służyć do monitorowania tych operacji przetwarzania. (66) W celu utrzymania bezpieczeństwa i zapobiegania naruszaniu przepisów niniejszego rozporządzenia administrator i podmiot przetwarzający powinni ocenić ryzyko związane z przetwarzaniem oraz wdrożyć środki mające na celu ograniczenie tego ryzyka. Środki te powinny zapewnić odpowiedni poziom bezpieczeństwa, uwzględniając stan wiedzy naukowej oraz koszty wdrożenia środków w odniesieniu do ryzyka oraz charakteru danych osobowych podlegających ochronie. Ustanawiając standardy techniczne i środki organizacyjne, by zapewnić bezpieczeństwo przetwarzania, Komisja powinna promować neutralność technologiczną, interoperacyjność i innowacyjność oraz, w razie potrzeby, współpracować z państwami trzecimi. (67) Naruszenie ochrony danych osobowych, w braku odpowiedniej i szybkiej reakcji, może prowadzić do znacznej straty ekonomicznej i szkód społecznych u danej osoby, w tym oszustwa dotyczącego tożsamości. Z tego względu administrator, niezwłocznie po powzięciu wiadomości o naruszeniu, jeśli to możliwe, w ciągu 24 godzin powinien zawiadomić organ nadzorczy o naruszeniu. Jeśli nie jest to możliwe w ciągu 24 godzin, do zawiadomienia należy dołączyć stosowne wyjaśnienie powodów opóźnienia. Osoby, których dane osobowe mogłyby ucierpieć wskutek takiego naruszenia, powinny być niezwłocznie zawiadamiane, aby umożliwić im podjęcie niezbędnych środków ostrożności. Naruszenie powinno być uznawane za wywierające niekorzystny wpływ na dane osobowe lub prywatność podmiotu danych, jeżeli jego skutkiem mogą być np. kradzież lub oszustwo dotyczące tożsamości, uszkodzenie ciała, poważne upokorzenie lub naruszenie dobrego imienia. Zawiadomienie powinno zawierać opis charakteru naruszenia ochrony danych osobowych oraz zalecenia dla osoby zainteresowanej dotyczące ograniczenia potencjalnych niekorzystnych skutków naruszenia. Zawiadomienia powinny być przekazywane podmiotom danych tak szybko jak to racjonalnie możliwe, w ścisłej współpracy z organem nadzorczym oraz z poszanowaniem wytycznych przekazanych przez ten organ lub inne właściwe organy (np. organy ścigania). Na przykład szansa ograniczenia przez podmioty danych bezpośredniego ryzyka szkody wymagałaby szybkiego zawiadomienia podmiotów danych, zaś potrzeba wdrożenia właściwych środków w przypadku powtarzających się lub podobnych naruszeń ochrony danych może usprawiedliwiać dłuższe opóźnienie. (68) By ustalić, czy organ nadzorczy i podmiot danych zostali niezwłocznie zawiadomieni o naruszeniu ochrony danych osobowych, należy sprawdzić, czy administrator wdrożył i zastosował odpowiednią ochronę technologiczną i środki organizacyjne pozwalające od razu stwierdzić, czy wystąpiło naruszenie ochrony danych osobowych, oraz niezwłocznie poinformować organ nadzorczy i podmiot danych, przed narażeniem na szwank interesu osobistego lub gospodarczego, uwzględniając zwłaszcza charakter i wagę naruszenia ochrony danych osobowych i jego konsekwencje oraz niekorzystne skutki dla podmiotu danych. (69) Przy określaniu szczegółowych przepisów dotyczących formy i procedur mających zastosowanie przy zawiadamianiu o naruszeniach ochrony danych osobowych należy odpowiednio uwzględnić okoliczności naruszenia, w tym zbadać, czy dane osobowe były zabezpieczone właściwymi technicznymi środkami ochrony, skutecznie ograniczającymi prawdopodobieństwo oszustwa dotyczącego tożsamości lub innych form nadużycia danych. W tych przepisach i procedurach należy ponadto uwzględnić słuszne interesy organów ścigania, w przypadkach gdy przedwczesne ujawnienie mogłoby niepotrzebnie utrudnić badanie okoliczności naruszenia. (70) Dyrektywa 95/46/WE przewidziała ogólny obowiązek zawiadamiania organów nadzorczych o przetwarzaniu danych osobowych. Obowiązek ten powoduje jednak obciążenia administracyjne i finansowe i nie w każdym przypadku przyczynia się do ochrony danych osobowych. Z tego względu należałoby znieść ten ogólny obowiązek zawiadomienia i zastąpić go skutecznymi procedurami i mechanizmami, które zamiast tego koncentrowałyby się na operacjach przetwarzania, które mogą stwarzać określone ryzyko dla praw i wolności podmiotów danych, ze względu na swój charakter, zakres lub cele. W takich przypadkach administrator lub podmiot przetwarzający powinni przeprowadzić ocenę skutków w zakresie ochrony danych przed przetwarzaniem, która powinna w szczególności obejmować przewidywane środki, gwarancje i mechanizmy mające na celu zapewnienie ochrony danych osobowych oraz wykazanie zgodności z niniejszym rozporządzeniem. (71) Powinno to w szczególności mieć zastosowanie do nowo ustanowionych wielkoskalowych zbiorów danych, które mają na celu przetwarzanie znacznej ilości danych osobowych na szczeblu regionalnym, krajowym lub ponadnarodowym i które mogłyby mieć wpływ na dużą liczbę podmiotów danych. (72) W niektórych okolicznościach może być rozsądne i korzystne, by temat oceny skutków w zakresie ochrony danych był szerszy niż tylko pojedynczy projekt, na przykład gdy organy lub podmioty publiczne zamierzają ustanowić wspólną aplikację lub platformę służącą do przetwarzania lub gdy kilku administratorów planuje wprowadzić wspólną aplikację lub środowisko przetwarzania obejmujące sektor lub segment przemysłu lub do celów powszechnie stosowanej działalności międzysektorowej. (73) Ocenę skutków w zakresie ochrony danych powinien przeprowadzić organ publiczny lub podmiot publiczny, o ile takiej oceny nie dokonano do tej pory w kontekście przyjęcia przepisów prawa krajowego, na których opiera się wykonanie zadań organu publicznego lub podmiotu publicznego i które regulują szczególną operację przetwarzania lub zestaw omawianych operacji. (74) Jeśli ocena skutków w zakresie ochrony danych wykaże, że operacje przetwarzania wiążą się z wysokim poziomem konkretnych ryzyk dla praw i wolności podmiotów danych, takich jak pozbawienie osób fizycznych przysługującego im prawa lub korzystanie z konkretnych nowych technologii, przed rozpoczęciem operacji należy zasięgnąć opinii organu nadzorczego na temat ryzykownego przetwarzania, które mogłoby być niezgodne z niniejszym rozporządzeniem oraz przedstawić propozycje naprawienia tej sytuacji. Opinii należy zasięgnąć również w trakcie przygotowywania środka ustawodawczego przez parlament narodowy lub środka opartego na takim środku prawnym, który określa charakter przetwarzania danych oraz daje odpowiednie gwarancje. (75) Jeśli przetwarzanie odbywa się w sektorze publicznym lub jeśli przetwarzanie w sektorze prywatnym prowadzi duże przedsiębiorstwo, lub jeśli główna działalność przedsiębiorstwa, niezależnie od jego wielkości, obejmuje operacje przetwarzania, które wymagają regularnego i systematycznego monitorowania, osoba trzecia powinna wspomagać administratora lub podmiot przetwarzający w monitorowaniu zgodności, na poziomie wewnętrznym, z niniejszym rozporządzeniem. Taki inspektor ochrony danych, który może być pracownikiem administratora, powinien być w stanie niezależnie wykonywać swoje obowiązki i zadania. (76) Zrzeszenia lub inne organy reprezentujące różne kategorie administratorów należy zachęcać do sporządzenia kodeksów postępowania, w granicach niniejszego rozporządzenia, by ułatwiać skuteczne stosowanie niniejszego rozporządzenia, uwzględniając szczególny charakter przetwarzania prowadzonego w niektórych sektorach. (77) By zwiększyć przejrzystość i zgodność z niniejszym rozporządzeniem, należy zachęcać do ustanowienia mechanizmów certyfikacji oraz wprowadzenia pieczęci i oznaczeń w zakresie ochrony danych, umożliwiając w ten sposób podmiotom danych szybką ocenę poziomu ochrony danych odnośnych produktów i usług. (78) Transgraniczny przepływ danych osobowych jest koniecznym warunkiem rozwoju handlu międzynarodowego i współpracy międzynarodowej. Zwiększenie tego przepływu wiąże się z nowymi wyzwaniami i problemami w zakresie ochrony danych osobowych. Przekazując dane osobowe z Unii do państw trzecich lub organizacji międzynarodowych, nie należy jednak zmniejszać poziomu ochrony osób fizycznych gwarantowanego w Unii na mocy niniejszego rozporządzenia. W każdym razie przekazywanie danych do państw trzecich może odbywać się jedynie w pełnej zgodności z niniejszym rozporządzeniem. (79) Niniejsze rozporządzenie nie narusza postanowień umów międzynarodowych zawartych między Unią a państwami trzecimi, regulujących przekazywanie danych osobowych, przewidujących odpowiednie gwarancje dla podmiotów danych. (80) Komisja może podjąć decyzję, która będzie obowiązywać w całej Unii, że niektóre państwa trzecie lub też jakieś terytorium lub sektor, w którym odbywa się przetwarzanie danych w państwie trzecim, bądź organizacja międzynarodowa oferują odpowiedni poziom ochrony danych, gwarantując tym samym pewność prawną i jednolitość w całej Unii, jeśli chodzi o państwa trzecie lub organizacje międzynarodowe uważane za zapewniające taki poziom ochrony. W takich przypadkach przekazywanie danych osobowych do tych państw może odbywać się bez potrzeby uzyskania dalszego zezwolenia. (81) Zgodnie z podstawowymi wartościami, na których opiera się Unia, w szczególności ochroną praw człowieka, w swej ocenie państwa trzeciego Komisja powinna wziąć pod uwagę sposób, w jaki dane państwo trzecie przestrzega zasad praworządności, dostępu do wymiaru sprawiedliwości, a także międzynarodowych norm i standardów ochrony praw człowieka. (82) Komisja może również uznać, że państwo trzecie lub terytorium bądź sektor, w którym odbywa się przetwarzanie danych w państwie trzecim, albo organizacja międzynarodowa nie oferują odpowiedniego poziomu ochrony danych. W związku z tym przekazywanie danych osobowych do tego państwa trzeciego powinno być zakazane. W takim przypadku należałoby przewidzieć możliwość odbywania konsultacji między Komisją a tymi państwami trzecimi lub organizacjami międzynarodowymi. (83) W braku decyzji stwierdzającej odpowiedni poziom ochrony administrator lub podmiot przetwarzający powinni podjąć środki mające na celu zrekompensowanie braku ochrony w państwie trzecim poprzez zaoferowanie podmiotowi danych odpowiednich gwarancji. Takie odpowiednie gwarancje mogą polegać na skorzystaniu z wiążących reguł korporacyjnych, standardowych klauzul ochrony danych przyjętych przez Komisję, standardowych klauzul ochrony danych przyjętych przez organ nadzorczy, klauzul umownych dopuszczonych przez organ nadzorczy lub innych właściwych i proporcjonalnych środków uzasadnionych w świetle wszystkich okoliczności związanych z jedną operacją przekazania danych lub zestawem takich operacji przekazania, o ile zezwoli na to organ nadzorczy. (84) Możliwość korzystania przez administratora lub podmiot przetwarzający ze standardowych klauzul ochrony danych przyjętych przez Komisję lub organ nadzorczy nie powinna uniemożliwiać włączenia przez nich standardowych klauzul ochrony danych do szerszej umowy ani dodania innych klauzul, pod warunkiem że nie są one sprzeczne, bezpośrednio lub pośrednio, ze standardowymi klauzulami umownymi przyjętymi przez Komisję lub organ nadzorczy lub też nie naruszają podstawowych praw lub wolności podmiotów danych. (85) Grupa korporacyjna powinna móc korzystać z zatwierdzonych wiążących reguł korporacyjnych do międzynarodowego przekazywania danych z Unii do organizacji w ramach tej samej korporacyjnej grupy przedsiębiorstw, o ile takie reguły korporacyjne obejmują istotne zasady i egzekwowalne prawa mające na celu zapewnienie odpowiednich standardów przekazywania lub kategorii przekazywania danych osobowych. (86) Należy przewidzieć możliwość przekazywania danych w niektórych okolicznościach, jeżeli podmiot danych wyraził na to zgodę, jeżeli przekazanie danych jest konieczne w związku z umową lub roszczeniem prawnym, jeżeli wymagać tego będzie ochrona ważnego interesu publicznego wskazanego przez Unię lub państwo członkowskie lub w przypadku przekazania danych z rejestru utworzonego na mocy przepisów prawa i przeznaczonego do wglądu dla ogółu społeczeństwa lub osób wykazujących słuszny interes. W tym ostatnim przypadku przekazanie nie powinno obejmować całości danych lub całych kategorii danych z rejestru oraz, jeżeli rejestr jest przeznaczony do wglądu dla osób wykazujących słuszny interes, przekazanie danych powinno nastąpić jedynie na wniosek tych osób lub wówczas, gdy osoby te mają być odbiorcami. (87) Odstępstwa te powinny mieć w szczególności zastosowanie do przekazywania danych wymaganego i niezbędnego do ochrony istotnego interesu publicznego, na przykład w przypadkach przesyłania danych za granicę między organami ds. konkurencji, organami podatkowymi lub administracją celną, finansowymi organami nadzorczymi, między służbami odpowiedzialnymi za sprawy ubezpieczeń społecznych lub do organów odpowiedzialnych za zapobieganie przestępstwom, ich ściganie, wykrywanie lub karanie. (88) Przekazywanie, którego nie można określić jako częste lub masowe, mogłoby także być możliwe ze względu na słuszne interesy administratora lub podmiotu przetwarzającego, przy założeniu, że dokonali oni oceny wszystkich okoliczności związanych z przekazaniem danych. W przypadku przetwarzania do celów dokumentacji, statystyki i badań naukowych należy wziąć pod uwagę słuszne oczekiwania społeczeństwa w zakresie zwiększenia wiedzy. (89) W każdym przypadku, jeśli Komicja nie podjęła decyzji stwierdzającej odpowiedni poziomu ochrony danych w państwie trzecim, administrator lub podmiot przetwarzający powinni skorzystać z rozwiązań, które dają podmiotom danych gwarancję, że będą one nadal podlegać podstawowym prawom i gwarancjom w zakresie przetwarzania ich danych w Unii, także po przekazaniu danych. (90) Niektóre państwa trzecie uchwalają ustawy, rozporządzenia i inne instrumenty prawne, które mają bezpośrednio regulować działalność w zakresie przetwarzania danych osób fizycznych i prawnych podlegających jurysdykcji państw członkowskich. Ekstraterytorialne stosowanie tych ustaw, rozporządzeń i innych instrumentów prawnych może naruszać prawo międzynarodowe i uniemożliwiać osiągnięcie celu ochrony osób fizycznych zagwarantowanej przez Unię w niniejszym rozporządzeniu. Przekazywanie nie powinno być dopuszczalne, jeśli nie są spełnione warunki przekazywania danych do państw trzecich wskazane w niniejszym rozporządzeniu. Może to może między innymi dotyczyć sytuacji, w której ujawnienie jest niezbędne ze względu na ważny interes publiczny uznany w prawie Unii lub prawie państwa członkowskiego, któremu podlega administrator. Warunki istnienia ważnego interesu publicznego powinny zostać następnie określone przez Komisję w akcie delegowanym. (91) Przenoszenie danych osobowych ponad granicami może wiązać się z jeszcze większym ryzykiem niemożności wykonywania przez osoby fizyczne praw do ochrony danych osobowych, w szczególności by chronić się przed niezgodnym z prawem wykorzystaniem lub ujawnieniem tych informacji. Organy nadzorcze mogą jednocześnie uznać, że nie są w stanie rozpatrywać skarg lub prowadzić dochodzeń związanych z działalnością, która ma miejsce poza granicami ich państwa. Ich wysiłki zmierzające do wspólnej pracy w kontekście transgranicznym mogą także być hamowane przez niewystarczające uprawnienia w zakresie zapobiegania powyżej opisanym zjawiskom lub zaradzenia im, niespójne systemy prawne oraz przeszkody praktyczne, takie jak ograniczone środki. Z tego względu należy promować ściślejszą współpracę między organami nadzorującymi ochronę danych, by pomagać im w wymianie informacji i prowadzeniu dochodzeń z ich międzynarodowymi odpowiednikami. (92) Utworzenie w państwach członkowskich organów nadzorczych, wykonujących swoje funkcje w sposób całkowicie niezależny, jest zasadniczym elementem ochrony osób fizycznych w zakresie przetwarzania danych osobowych. Państwa członkowskie mogą ustanowić więcej niż jeden organu nadzorczy, by odzwierciedlić swoją strukturę konstytucyjną, organizacyjną i administracyjną. (93) Jeśli państwo członkowskie ustanowi kilka organów nadzorczych, powinno także w swoich przepisach ustanowić mechanizmy zapewnienia skutecznego udziału tych organów nadzorczych w mechanizmie zgodności. Takie państwo członkowskie powinno w szczególności wskazać organ nadzorczy, który działa jako pojedynczy punkt kontaktowy do celów skutecznego udziału tych organów w omawianym mechanizmie, by zapewnić sprawną i płynną współpracę z innymi organami nadzorczymi, Europejską Radą Ochrony Danych i Komisją. (94) Każdy organ nadzorczy powinien zostać wyposażony w odpowiednie zasoby finansowe i ludzkie, pomieszczenia i infrastrukturę, niezbędne do skutecznego wykonywania swoich zadań, w tym zadań związanych ze wzajemną pomocą i współpracą z innymi organami nadzorczymi w całej Unii. (95) Warunki ogólne członkostwa w organie nadzorczym powinny być określone w przepisach prawa każdego państwa członkowskiego i powinny w szczególności przewidywać, iż członkowie tego organu powinni być wyznaczeni przez parlament albo przez rząd państwa członkowskiego oraz obejmować zasady dotyczące kwalifikacji i stanowiska tych członków. (96) Organy nadzorcze powinny monitorować stosowanie przepisów w sposób zgodny z niniejszym rozporządzeniem oraz przyczyniać się do jego spójnego stosowania w całej Unii, w celu ochrony osób fizycznych w zakresie przetwarzania ich danych osobowych oraz ułatwienia swobodnego przepływu danych osobowych w ramach rynku wewnętrznego. W tym celu organy nadzorcze powinny współpracować ze sobą oraz z Komisją. (97) Jeśli przetwarzanie danych osobowych w kontekście działalności prowadzonej w siedzibie administratora lub podmiotu przetwarzającego w Unii odbywa się w kilku państwach, jeden organ nadzorczy powinien być właściwy w zakresie monitorowania działalności administratora lub podmiotu przetwarzającego w całej Unii oraz podejmowania odnośnych decyzji, by zwiększyć spójne stosowanie, zagwarantować pewność prawną oraz ograniczyć obciążenie administracyjne administratorów i podmiotów przetwarzających. (98) Właściwym organem, zapewniającym taki punkt kompleksowej obsługi, powinien być organ nadzorczy państwa członkowskiego, w którym administrator lub podmiot przetwarzający ma siedzibę główną. (99) Niniejsze rozporządzenie ma zastosowanie także do działalności sądów krajowych, natomiast właściwość organów nadzorczych nie powinna obejmować przetwarzania danych osobowych wykorzystywanych przez sądy w ramach sprawowania wymiaru sprawiedliwości, by chronić niezawisłość sędziów podczas wykonywania przez nich zadań sądowych. Wyjątek ten powinien być jednak ściśle ograniczony do rzeczywistych działań sądowych w sprawach sądowych i nie powinien mieć zastosowania do innych działań, w których sędziowie mogą brać udział, zgodnie z prawem krajowym. (100) By zapewnić spójne monitorowanie i wykonanie niniejszego rozporządzenia w całej Unii, organy nadzorcze powinny mieć w każdym państwie członkowskim te same obowiązki i faktyczne uprawnienia, w tym uprawnienie do przeprowadzania dochodzenia i prawnie wiążącej interwencji, podejmowania decyzji i nakładania sankcji, w szczególności w sprawach skarg od osób fizycznych o