Wniosek nie ma zastosowania do działań instytucji, organów i agencji Unii. Niemniej jednak zawarte w nim zasady i właściwe obowiązki związane z prawem do poszanowania życia prywatnego i komunikowania się w związku z przetwarzaniem danych pochodzących z łączności elektronicznej zostały włączone do wniosku w sprawie rozporządzenia uchylającego rozporządzenie (WE) nr 45/2001.

Dyrektywa 2014/53/UE w sprawie urządzeń radiowych („dyrektywa w sprawie urządzeń radiowych”) zapewnia jednolity rynek dla urządzeń radiowych. W szczególności zawiera wymóg, aby urządzenia radiowe przed ich wprowadzeniem do obrotu zostały wyposażone w zabezpieczenia w celu zapewnienia ochrony danych osobowych i prywatności użytkownika. Zgodnie z dyrektywą w sprawie urządzeń radiowych oraz rozporządzeniem (UE) 1025/2012 w sprawie normalizacji europejskiej Komisja jest upoważniona do przyjmowania środków. Niniejszy wniosek nie wpływa na dyrektywę w sprawie urządzeń radiowych.

Niniejszy wniosek stanowi lex specialis względem ogólnego rozporządzenia o ochronie danych, uszczegóławia je i uzupełnia w kwestii danych pochodzących z łączności elektronicznej, które można zakwalifikować jako dane osobowe. Wszystkie sprawy dotyczące przetwarzania danych osobowych, do których nie odwołano się bezpośrednio we wniosku, są objęte zakresem ogólnego rozporządzenia o ochronie danych. Dostosowanie do ogólnego rozporządzenia o ochronie danych doprowadziło do uchylenia pewnych przepisów, takich jak obowiązek zapewnienia bezpieczeństwa zawarty w art. 4 dyrektywy o prywatności i łączności elektronicznej.

Zgodnie z wymogami lepszego stanowienia prawa Komisja przeprowadziła ocenę ex post dyrektywy o prywatności i łączności elektronicznej w ramach programu sprawności i wydajności regulacyjnej („ocena REFIT”). Z oceny wynika, że cele i zasady obecnych ram są nadal rozsądne. Niemniej jednak od czasu ostatniego przeglądu dyrektywy o prywatności i łączności elektronicznej dokonanego w 2009 r. na rynku doszło do ważnych zmian technologicznych i gospodarczych. Konsumenci i przedsiębiorstwa w coraz większym stopniu zamiast na tradycyjnych usługach łączności polegają na nowych, opartych na internecie usługach umożliwiających komunikację międzyludzką, takich jak usługi telefonii internetowej (VoIP), komunikatory internetowe, usługi poczty elektronicznej przez internet. Takie usługi łączności OTT („usługi OTT”) zasadniczo nie są objęte obecnymi unijnymi ramami dotyczącymi łączności elektronicznej, w tym również dyrektywą o prywatności i łączności elektronicznej. Dyrektywa nie nadąża też za rozwojem technologicznym, co skutkuje brakiem ochrony komunikacji przekazywanej za pośrednictwem nowych usług.

Dyrektywa o prywatności i łączności elektronicznej zapewnia ochronę podstawowych praw i wolności, w szczególności poszanowania życia prywatnego, poufności komunikacji oraz ochrony danych osobowych w sektorze łączności elektronicznej. Gwarantuje ona również swobodny przepływ danych, sprzętu i usług związanych z łącznością elektroniczną w Unii. Stanowi ona wdrożenie do prawa wtórnego Unii prawa podstawowego, jakim jest poszanowanie życia prywatnego, w odniesieniu do komunikowania się, przewidzianego w art. 7 Karty praw podstawowych Unii Europejskiej („Karta praw podstawowych”).

Jeżeli chodzi o skuteczność i wydajność, w ramach oceny REFIT ustalono, że dyrektywa nie prowadzi do realizowania w pełni przyświecających jej celów. Niejasne sformułowanie niektórych przepisów oraz niejednoznaczność instytucji prawnych zagraża harmonizacji, powodując tym samym wyzwania dla przedsiębiorstw w działaniu transgranicznym. Ocena pokazała również, że niektóre przepisy powodują zbędne obciążenie dla przedsiębiorstw i konsumentów. Przykładowo zasada wyrażenia zgody w celu ochrony poufności urządzenia końcowego nie prowadzi do realizacji przyświecających jej celów, ponieważ użytkownicy końcowi mają do czynienia z prośbami o zaakceptowanie trwałych plików cookie bez rozumienia ich działania, a w niektórych przypadkach są nawet narażeni na działanie takich plików bez wyrażenia zgody. Zasada wyrażenia zgody jest zbyt szeroka, ponieważ obejmuje ona również praktyki nienaruszające prywatności, a jednocześnie niedostatecznie szeroka, ponieważ nie obejmuje wprost pewnych technik śledzenia (np. pobierania odbitek linii papilarnych przez urządzenie), które niekoniecznie muszą wiązać się z dostępem/przechowywaniem w urządzeniu. Jej wdrożenie może być także kosztowne dla przedsiębiorstw.

Aby zapewnić skuteczną ochronę prawną poszanowania prywatności i komunikacji, konieczne jest rozszerzenie zakresu stosowania, aby obejmował również dostawców usług OTT. Chociaż kilku popularnych dostawców usług OTT postępuje już zgodnie lub częściowo zgodnie z zasadą poufności komunikacji, ochrony praw podstawowych nie można pozostawić samoregulacji branżowej. Ponadto znaczenie skutecznej ochrony prywatności urządzeń końcowych wzrasta, gdyż stają się one nieodzowne w życiu osobistym i zawodowym do celów przechowywania danych szczególnie chronionych. Wdrożenie dyrektywy o prywatności i łączności elektronicznej nie było skuteczne, aby wzmocnić pozycję użytkowników końcowych. Dlatego też dla osiągnięcia tego celu konieczne jest wdrożenie tej zasady przez centralizację zgody w oprogramowaniu i informowanie użytkowników o ustawieniach prywatności oprogramowania. Jeżeli chodzi o egzekwowanie niniejszego rozporządzenia, opiera się ono na organach nadzorczych i mechanizmie spójności przewidzianym ogólnym rozporządzeniem o ochronie danych. Ponadto wniosek umożliwia państwom członkowskim zastosowanie krajowych odstępstw w konkretnych prawnie uzasadnionych celach. Z tego względu wniosek nie wykracza poza to, co jest konieczne do realizacji celów i jest zgodny z zasadą proporcjonalności określoną w art. 5 Traktatu o Unii Europejskiej. Obowiązki nakładane na objęte nimi usługi są utrzymywane na możliwie minimalnym poziomie bez rzutowania na stosowne prawa podstawowe.

Poszanowanie komunikowania się jest prawem podstawowym uznanym w Karcie praw podstawowych. Zawartość komunikacji elektronicznej może ujawniać dane szczególnie chronione na temat użytkowników końcowych zaangażowanych w taką komunikację. Podobnie metadane pozyskane z łączności elektronicznej mogą także ujawniać dane szczególnie chronione i dane osobowe, co zostało wprost potwierdzone przez TSUE. Większość państw członkowskich uznaje również potrzebę ochrony komunikowania się jako odrębnego prawa konstytucyjnego. Chociaż państwa członkowskie mogą realizować politykę, która zapewni, aby prawo to nie było naruszane, nie osiągnięto by tego w sposób jednolity ze względu na brak zasad unijnych i powodowałoby to ograniczenia w transgranicznym przepływie danych osobowych i nieosobowych związanych z korzystaniem z usług łączności elektronicznej. Aby zachować spójność z ogólnym rozporządzeniem o ochronie danych, konieczne jest dokonanie przeglądu dyrektywy o prywatności i łączności elektronicznej oraz przyjęcie środków w celu zbliżenia do siebie dwóch instrumentów.

Wariant 3 w większości aspektów został wyróżniony jako wariant preferowany do realizacji celów przy uwzględnieniu jego wydajności i spójności. Główne korzyści to:

W odniesieniu do niniejszego wniosku przeprowadzono ocenę skutków, a w dniu 28 września 2016 r. Rada ds. Kontroli Regulacyjnej pozytywnie zaopiniowała wniosek. Aby odnieść się do zaleceń Rady, w ocenie skutków lepiej wyjaśniono zakres inicjatywy, jej spójność z innymi instrumentami prawnymi (ogólne rozporządzenie o ochronie danych, Europejski kodeks łączności elektronicznej, dyrektywa w sprawie urządzeń radiowych) oraz potrzebę odrębnego instrumentu. Scenariusz odniesienia jest dalej opracowywany i doprecyzowywany. Analizę skutków wzmocniono i bardziej wyważono, doprecyzowano i wzmocniono opis oczekiwanych kosztów i korzyści.

–dopasowanie organów nadzorczych do organów właściwych do egzekwowania ogólnego rozporządzenia o ochronie danych oraz oparcie się na mechanizmie spójności określonym w ogólnym rozporządzeniu o ochronie danych.

W ekspertyzie zewnętrznej opracowano trzy odrębne scenariusze wdrożenia wariantu 3, zależnie od podmiotu, który ustanowi okno dialogowe między użytkownikiem wybierającym ustawienia „odrzuć pliki cookie osoby trzeciej” lub ustawienia uniemożliwiające śledzenie a odwiedzonymi stronami internetowymi, na których prosi się użytkownika internetu o ponowne rozważenie decyzji. Podmioty, którym może zostać powierzone to zadanie techniczne, to: 1) oprogramowanie, takie jak przeglądarki internetowe; 2) osoba trzecia dokonująca śledzenia; 3) poszczególne strony internetowe (tj. usługa społeczeństwa informacyjnego żądana przez użytkownika) Wariant 3 przy pierwszym scenariuszu (rozwiązanie zakładające przeglądarkę) wdrożonym w niniejszym wniosku prowadziłby do ogólnych oszczędności pod względem kosztów przestrzegania przepisów w porównaniu do scenariusza odniesienia na poziomie 70 % (948,8 mln EUR oszczędności). Oszczędności kosztów w innych scenariuszach byłyby mniejsze. Ponieważ ogólne oszczędności wynikają w dużej mierze z bardzo istotnego spadku liczby przedsiębiorstw, na które przepisy mają wpływ, indywidualna kwota kosztów przestrzegania przepisów dla jednego przedsiębiorstwa byłaby – średnio – wyższa niż dziś.

W przypadku centralizacji zgody w oprogramowaniu, takim jak przeglądarki internetowe, i nakłaniania użytkowników do wyboru ustawień prywatności oraz dzięki rozszerzeniu wyjątków od zasady wyrażania zgody na pliki cookie znaczna część przedsiębiorstw byłaby w stanie pozbyć się banerów i powiadomień o plikach cookie, co potencjalnie powodowałoby istotne oszczędności kosztów i uproszczenie. Niemniej jednak internetowym dostawcom reklam ukierunkowanych może być trudniej uzyskać zgodę, w sytuacji gdy duża część użytkowników wybierze ustawienie „odrzuć pliki cookie osoby trzeciej”. Jednocześnie scentralizowana zgoda nie pozbawia operatorów stron internetowych możliwości uzyskania zgody w drodze indywidualnych próśb skierowanych do użytkowników końcowych, dzięki czemu utrzymaliby oni swój obecny model biznesowy. Niektórzy dostawcy przeglądarek lub podobnego oprogramowania mieliby do czynienia z dodatkowymi kosztami, ponieważ przeglądarki i programy musiałyby zapewnić ustawienia chroniące prywatność.

Oczekuje się, że skutek gospodarczy wariantu 3 będzie zasadniczo proporcjonalny w stosunku do celów wniosku. Możliwości biznesowe związane z przetwarzaniem danych komunikacyjnych otwierają się dla tradycyjnych usług łączności elektronicznej, w sytuacji gdy dostawcy usług OTT zaczynają podlegać tym samym zasadom. Oznacza to dla tych operatorów pewne dodatkowe koszty przestrzegania przepisów. Niemniej jednak zmiana ta nie wpłynie w znaczny sposób na tych dostawców usług OTT, którzy już funkcjonują w oparciu o zasadę wyrażenia zgody. Wpływ tego wariantu nie byłby odczuwany w państwach członkowskich, które już rozszerzyły swoje przepisy na dostawców usług OTT.

Rozdział III dotyczy praw użytkowników końcowych do kontrolowania wysyłania i odbioru komunikacji elektronicznej w celu ochrony ich prywatności: (i) prawo użytkowników końcowych do zapobiegania przedstawianiu identyfikacji rozmów przychodzących w celu zagwarantowania anonimowości (art. 12), wraz z ograniczeniami (art. 13); oraz (ii) obowiązek zapewnienia przez dostawców publicznie dostępnej komunikacji interpersonalnej opartej na numerach możliwości ograniczenia otrzymywania niechcianych połączeń (art. 14). Rozdział ten reguluje również warunki, na jakich użytkowników końcowych można uwzględnić w publicznie dostępnych spisach numerów (art. 15) oraz warunki, na jakich możliwe jest prowadzenie niezamówionej komunikacji na potrzeby marketingu bezpośredniego (art. 17). Obejmuje on również kwestię ryzyka związanego z bezpieczeństwem i przewiduje obowiązek ostrzegania użytkowników końcowych przez dostawców usług łączności elektronicznej w przypadku szczególnego ryzyka, które może zagrozić bezpieczeństwu sieci i usług. Obowiązki w zakresie bezpieczeństwa przewidziane w ogólnym rozporządzeniu o ochronie danych i w Europejskim kodeksie łączności elektronicznej będą miały zastosowanie do dostawców usług łączności elektronicznej.

Rozdział II zawiera najważniejsze przepisy zapewniające poufność komunikacji elektronicznej (art. 5) oraz ograniczone dozwolone cele i warunki przetwarzania takich danych komunikacyjnych (art. 6 i 7). Obejmuje on również kwestię ochrony urządzenia końcowego poprzez (i) gwarantowanie integralności przechowywanych w nim informacji oraz (ii) ochronę informacji emitowanych przez urządzenie końcowe, ponieważ mogą one umożliwić identyfikację użytkowników końcowych (art. 8). Z kolei art. 9 zawiera szczegółowe elementy zgody użytkowników końcowych, a więc centralną, zgodną z prawem podstawę niniejszego rozporządzenia, odnosząc się wprost do jej definicji i warunków przewidzianych w ogólnym rozporządzeniu o ochronie danych, natomiast art. 10 nakłada na dostawców oprogramowania umożliwiającego łączność elektroniczną obowiązek wsparcia użytkowników końcowych w dokonywaniu skutecznych wyborów dotyczących ustawień prywatności. Art. 11 określa cele i warunki, jakie muszą spełnić państwa członkowskie, aby ograniczyć powyższe przepisy.

(13)Rozwój szybkich i wydajnych technologii bezprzewodowych spowodował przyspieszenie wzrostu dostępu społeczeństwa do internetu za pośrednictwem sieci bezprzewodowych dostępnych dla każdego w przestrzeniach publicznych i pół-prywatnych, takich jak „hotspoty” usytuowane w różnych miejscach w obrębie miasta, centrach handlowych, galeriach handlowych i szpitalach. W zakresie, w jakim takie sieci łączności są udostępniane nieokreślonej grupie użytkowników końcowych, należy chronić poufność komunikacji przekazywanej przez takie sieci. Fakt, iż bezprzewodowe usługi łączności elektronicznej mogą być pomocnicze względem innych usług, nie powinien stać na przeszkodzie zapewnieniu ochrony poufności danych pochodzących z łączności i zastosowaniu niniejszego rozporządzenia. Z tego względu niniejsze rozporządzenie powinno mieć zastosowanie do danych pochodzących z łączności elektronicznej wykorzystującej usługi łączności elektronicznej i publiczne sieci łączności. Z kolei niniejsze rozporządzenie nie powinno mieć zastosowania do zamkniętych grup użytkowników końcowych, takich jak sieci firmowe, do których dostęp mają wyłącznie członkowie danej instytucji.

(12)Urządzenia i maszyny podłączone do internetu na coraz większą skalę komunikują się ze sobą, wykorzystując sieci łączności elektronicznej (internet rzeczy). Przesył komunikatów w trybie maszyna-maszyna wiąże się z przekazywaniem sygnałów w ramach sieci, a przez to stanowi zazwyczaj usługę łączności elektronicznej. W celu zapewnienia pełnej ochrony prawa do prywatności i poufności komunikacji oraz w celu propagowania zaufanego i bezpiecznego internetu rzeczy na jednolitym rynku cyfrowym konieczne jest doprecyzowanie, że rozporządzenie powinno mieć zastosowanie do przesyłu komunikatów w trybie maszyna-maszyna. Z tego względu zasada poufności zapisana w niniejszym rozporządzeniu powinna obowiązywać również w odniesieniu do przesyłu komunikatów w trybie maszyna-maszyna. Można by przyjąć również konkretne zabezpieczenia w ramach sektorowych aktów prawnych, takich jak na przykład dyrektywa 2014/53/UE.

(11)Usługi wykorzystywane w celach komunikacyjnych oraz techniczne środki ich dostawy rozwinęły się w znacznym stopniu. Użytkownicy końcowi coraz częściej zastępują tradycyjną telefonię głosową, wiadomości tekstowe (SMS) oraz usługi elektronicznego przekazywania poczty usługami internetowymi będącymi ich funkcjonalnymi odpowiednikami, takimi jak telefonia internetowa (VoIP), komunikatory internetowe i usługi poczty elektronicznej przez internet. Aby zapewnić skuteczną i równą ochronę użytkowników końcowych podczas korzystania z usług równoważnych pod względem funkcjonalnym, niniejsze rozporządzenie wykorzystuje definicję usług łączności elektronicznej zawartą w [dyrektywie Parlamentu Europejskiego i Rady ustanawiającej Europejski kodeks łączności elektronicznej]. Definicja ta obejmuje nie tylko usługi dostępu do internetu i usługi polegające w całości lub częściowo na przekazywaniu sygnałów, lecz również usługi łączności interpersonalnej, z wykorzystaniem numerów lub bez ich wykorzystania, takie jak przykładowo telefonia internetowa, komunikatory internetowe i usługi poczty elektronicznej przez internet. Ochrona poufności komunikacji jest kluczowa również w odniesieniu do usług łączności interpersonalnej, które są usługami pomocniczymi względem innej usługi. Tego rodzaju usługi, które mają również funkcję komunikacyjną, powinny być zatem objęte niniejszym rozporządzeniem.

(9)Niniejsze rozporządzenie powinno mieć zastosowanie do danych pochodzących z łączności elektronicznej przetwarzanych w związku z zapewnieniem i zastosowaniem usług łączności elektronicznej w Unii, niezależnie od tego, czy przetwarzanie odbywa się na terytorium Unii. Ponadto, aby uniknąć pozbawienia użytkowników końcowych w Unii skutecznej ochrony, niniejsze rozporządzenie powinno mieć zastosowanie również do danych pochodzących z łączności elektronicznej przetwarzanych w związku ze świadczeniem użytkownikom końcowym w Unii usług łączności elektronicznej pochodzących spoza Unii.

(8)Niniejsze rozporządzenie powinno mieć zastosowanie do dostawców usług łączności elektronicznej, dostawców publicznie dostępnych spisów numerów oraz dostawców oprogramowania umożliwiającego łączność elektroniczną, łącznie z odzyskiwaniem i przedstawianiem informacji w internecie. Niniejsze rozporządzenie powinno również mieć zastosowanie do osób fizycznych i prawnych, które korzystają z usług łączności elektronicznej, aby wysyłać materiały handlowe do celów marketingu bezpośredniego, lub gromadzą informacje związane z urządzeniem końcowym użytkowników końcowych bądź przechowywane na takim urządzeniu.

(6)Chociaż zasady i główne przepisy dyrektywy Parlamentu Europejskiego i Rady 2002/58/WE pozostają co do zasady rozsądne, dyrektywa nie nadąża w pełni za rozwojem technologicznym i rzeczywistością rynkową, co skutkuje niespójną lub niedostatecznie skuteczną ochroną prywatności i poufności w związku z łącznością elektroniczną. Rozwój, o którym mowa, obejmuje wejście na rynek usług łączności elektronicznej, które z perspektywy konsumenta są usługami zastępującymi usługi tradycyjne, ale nie muszą być godne z tym samym zestawem przepisów. Innym przejawem rozwoju są nowe techniki, które umożliwiają śledzenie aktywności użytkowników końcowych w internecie, a również nie są objęte zakresem stosowania dyrektywy 2002/58/WE. Dyrektywę 2002/58/WE należy zatem uchylić i zastąpić niniejszym rozporządzeniem.

(4)Na podstawie art. 8 ust. 1 Karty praw podstawowych oraz art. 16 ust. 1 Traktatu o funkcjonowaniu Unii Europejskiej każdy ma prawo do ochrony dotyczących go danych osobowych. W rozporządzeniu (UE) 2016/679 ustanowiono przepisy o ochronie osób fizycznych w związku z przetwarzaniem danych osobowych oraz przepisy o swobodnym przepływie danych osobowych. Dane pochodzące z łączności elektronicznej mogą zawierać dane osobowe zdefiniowane w rozporządzeniu (UE) 2016/679.

(3)Dane pochodzące z łączności elektronicznej mogą również ujawniać informacje dotyczące podmiotów prawnych, takie jak tajemnice przedsiębiorstwa lub inne dane szczególnie chronione o wartości ekonomicznej. Z tego względu przepisy niniejszego rozporządzenia powinny mieć zastosowanie zarówno do osób fizycznych, jak i do osób prawnych. Ponadto niniejsze rozporządzenie powinno zapewniać, aby przepisy rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 miały zastosowanie również do użytkowników końcowych będących osobami prawnymi. Dotyczy to również definicji zgody zawartej w rozporządzeniu (UE) 2016/679. Ilekroć mowa jest o zgodzie użytkownika końcowego, w tym osób prawnych, zastosowanie powinna mieć ta definicja. Ponadto osobom prawnym powinny przysługiwać takie same prawa w kwestii organów nadzorczych jak użytkownikom końcowym będącym osobami fizycznymi. Co więcej, organy nadzorcze powinny – zgodnie z niniejszym rozporządzeniem – odpowiadać również za monitorowanie stosowania niniejszego rozporządzenia w stosunku do osób prawnych.

(1)Art. 7 Karty praw podstawowych Unii Europejskiej („Karta praw podstawowych”) chroni podstawowe prawo każdej osoby do poszanowania jej życia prywatnego i rodzinnego, domu i komunikowania się. Poszanowanie prywatności komunikacji jest jednym z kluczowych aspektów tego prawa. Poufność komunikacji elektronicznej zapewnia, że informacji przekazywanych między stronami i zewnętrznych elementów takiej komunikacji, w tym danych dotyczących czasu wysłania informacji, miejsca nadania i adresata, nie ujawnia się żadnej innej osobie poza stronami zaangażowanymi w dany akt komunikacji. Zasada poufności powinna obowiązywać w stosunku do obecnych i przyszłych środków komunikacji, w tym rozmów, dostępu do internetu, komunikatorów internetowych, poczty elektronicznej, rozmów telefonii internetowej oraz wiadomości przesyłanych przed media społecznościowe.

(14)Dane pochodzące z łączności elektronicznej należy zdefiniować w dostatecznie szeroki i neutralny technologicznie sposób, aby ich definicja obejmowała wszelkie informacje dotyczące przesyłanych lub przekazywanych treści (treści łączności elektronicznej) oraz informacje dotyczące użytkowników końcowych usług łączności elektronicznej przetwarzane w celu przesyłania, dystrybuowania lub umożliwienia wymiany treści łączności elektronicznej; w tym dane służące do śledzenia i zidentyfikowania źródła i miejsca docelowego przypadku łączności, lokalizacji geograficznej oraz daty, godziny, czasu trwania oraz rodzaju łączności. Niezależnie od tego, czy sygnały i powiązane dane są przekazywane drogą telegraficzną, radiową, światłowodową czy elektromagnetyczną, w tym przez sieci satelitarne, sieci kablowe, stacjonarne (z komutacją łączy i komutacją pakietów, w tym internet) oraz komórkowe sieci naziemne, elektryczne systemy przewodowe, dane dotyczące takich sygnałów należy uznać za metadane pochodzące z łączności elektronicznej, a zatem powinny one podlegać przepisom niniejszego rozporządzenia. Metadane pochodzące z łączności elektronicznej mogą zawierać informacje stanowiące część abonamentu na usługę, gdy takie informacje są przetwarzane na potrzeby przesyłania, dystrybuowania lub wymiany treści łączności elektronicznej.

(15)Dane pochodzące z łączności elektronicznej należy traktować jako poufne. Oznacza to, że jakiekolwiek ingerowanie w przesył danych pochodzących z łączności elektronicznej, czy to za sprawą bezpośredniej ingerencji człowieka, czy za pośrednictwem zautomatyzowanego przetwarzania przez maszyny, dokonywane bez zgody wszystkich komunikujących się stron, powinno być zakazane. Zakaz przechwytywania danych pochodzących z łączności powinien obowiązywać podczas ich przekazywania, tj. do czasu otrzymania treści łączności elektronicznej przez docelowego odbiorcę. Przechwytywanie danych pochodzących z łączności elektronicznej może na przykład nastąpić, gdy ktoś inny niż komunikujące się strony słucha rozmów, czyta, skanuje lub przechowuje treść łączności elektronicznej lub powiązane metadane dla celów innych niż wymiana komunikatów. Przechwytywanie ma miejsce również wówczas, gdy osoby trzecie bez zgody danego użytkownika końcowego monitorują odwiedzane strony internetowe, godziny wizyt, interakcje użytkownika z innymi itp. Wraz z rozwojem technologii zwiększyły się również techniczne możliwości dokonywania przechwytywania. Takie sposoby mogą obejmować działania od instalowania sprzętu, który gromadzi dane z urządzeń końcowych na obszarach docelowych, takie jak tzw. IMSI Catcher (IMSI – międzynarodowy numer tożsamości telefonicznej abonenta mobilnego), po programy i techniki, które – przykładowo – w sposób zakamuflowany monitorują korzystanie z przeglądarki w celu tworzenia profilów użytkownika końcowego. Inne przykłady przechwytywania obejmują wychwytywanie bez zgody użytkownika końcowego danych właściwych (payload) lub danych dotyczących treści z niezaszyfrowanych sieci bezprzewodowych i routerów, w tym danych dotyczących korzystania z przeglądarki.

(16)Zakaz przechowywania komunikatów nie ma na celu zakazania jakiegokolwiek automatycznego, pośredniego i tymczasowego przechowywania tych informacji, o ile odbywa się to wyłącznie w celu dokonania przesyłu w ramach sieci łączności elektronicznej. Nie powinno się zakazywać przetwarzania danych pochodzących z łączności elektronicznej prowadzonego w celu zapewnienia bezpieczeństwa i ciągłości usług łączności elektronicznej, w tym sprawdzenia zagrożeń bezpieczeństwa, takich jak obecność złośliwego oprogramowania, ani przetwarzania metadanych prowadzonego w celu zapewnienia spełnienia wymogów koniecznej jakości usług, np. opóźnienia, zmienności opóźnienia przekazu pakietów itp.

(17)Przetwarzanie danych pochodzących z łączności elektronicznej może być użyteczne dla przedsiębiorstw, konsumentów i społeczeństwa ogółem. W stosunku do dyrektywy 2002/58/WE niniejsze rozporządzenie rozszerza możliwości dostawców usług łączności elektronicznej w zakresie przetwarzania metadanych pochodzących z łączności elektronicznej na podstawie zgody użytkowników końcowych. Niemniej jednak użytkownicy końcowi przywiązują dużą wagę do poufności komunikacji, w tym aktywności w internecie, oraz chcą kontrolować korzystanie z danych pochodzących z łączności elektronicznej do celów innych niż przekazywanie komunikatu. Z tego względu niniejsze rozporządzenie powinno zobowiązywać dostawców usług łączności elektronicznej do uzyskania zgody użytkowników końcowych na przetwarzanie metadanych pochodzących z łączności elektronicznej, które powinny obejmować dane dotyczące lokalizacji urządzenia wygenerowane na potrzeby udzielenia i utrzymania dostępu do usługi oraz połączenia z nią. Danych dotyczących lokalizacji generowanych w inny sposób niż w okolicznościach związanych z przypadkiem łączności nie powinno się uznawać za metadane. Przykłady komercyjnego korzystania z metadanych pochodzących z łączności elektronicznej przez dostawców usług łączności elektronicznej mogą obejmować dostarczanie tzw. mapy aktywności; graficznej reprezentacji danych, na której kolory wskazują obecność osób. Aby wyświetlić ruch drogowy w danym kierunku w określonym czasie, konieczny jest identyfikator wiążący pozycje osób w pewnych interwałach czasowych. Takiego identyfikatora zabrakłoby, gdyby korzystano z anonimowych danych, i taki ruch nie byłby wyświetlany. Tego rodzaju wykorzystanie metadanych pochodzących z łączności elektronicznej mogłoby na przykład przynosić korzyść organom publicznym i operatorom transportu publicznego, pozwalając im określić, gdzie rozwinąć nową infrastrukturę, w oparciu o wykorzystanie istniejącej struktury i presji na nią. W sytuacji gdy rodzaj przetwarzania metadanych pochodzących z łączności elektronicznej, w szczególności przy korzystaniu z nowych technologii, z uwzględnieniem charakteru, zakresu, kontekstu i celów przetwarzania, z dużym prawdopodobieństwem może skutkować dużym zagrożeniem dla praw i wolności osób fizycznych, przed przetwarzaniem należy przeprowadzić ocenę skutków w zakresie ochrony danych oraz – w stosownych przypadkach – powinny odbyć się konsultacje z organem nadzorczym, zgodnie z art. 35 i 36 rozporządzenia (UE) 2016/679.

(18)Użytkownicy końcowi mogą wyrazić zgodę na przetwarzanie swoich metadanych w celu uzyskania konkretnych usług, takich jak usługi ochrony przed oszustwami (poprzez analizowanie danych o korzystaniu, lokalizacji i koncie klienta w czasie rzeczywistym). W gospodarce cyfrowej usługi świadczy się często w zamian za świadczenie wzajemne inne niż pieniądze, na przykład w zamian za to, że użytkownicy końcowi są narażeni na reklamy. Do celów niniejszego rozporządzenia zgoda użytkownika końcowego, niezależnie od tego, czy jest on osobą fizyczną, czy prawną, powinna mieć takie samo znaczenie i podlegać takim samym warunkom jak zgoda osoby, której dane dotyczą, zgodnie z rozporządzeniem (UE) 2016/679. Podstawowe usługi dostępu szerokopasmowego do internetu i usługi komunikacji głosowej są uważane za usługi kluczowe dla osób fizycznych, aby mogły się one komunikować i czerpać korzyści z gospodarki cyfrowej. Zgoda na przetwarzanie danych związanych z korzystaniem z internetu lub komunikacją głosową nie będzie ważna, jeżeli osoba, której dane dotyczą, nie ma rzeczywistego i swobodnego wyboru lub nie może odmówić bądź wycofać zgody bez szkody.

(19)Treść łączności elektronicznej dotyczy kwintesencji prawa podstawowego, jakim jest poszanowanie życia prywatnego i rodzinnego, domu i komunikowania się na mocy art. 7 Karty praw podstawowych. Jakakolwiek ingerencja w treść łączności elektronicznej powinna być dozwolona jedynie w bardzo jasno określonych warunkach i w konkretnych celach oraz powinna podlegać odpowiednim zabezpieczeniom przed nadużyciami. W niniejszym rozporządzeniu przewidziano możliwość przetwarzania przez dostawców usług łączności elektronicznej danych pochodzących z łączności elektronicznej za świadomą zgodą wszystkich zainteresowanych użytkowników końcowych. Dostawcy mogą na przykład oferować usługi, które wiążą się ze skanowaniem poczty elektronicznej w celu usunięcia pewnego zdefiniowanego wcześniej materiału. Z uwagi na wrażliwy charakter treści łączności w niniejszym rozporządzeniu zakłada się, że przetwarzanie takich danych dotyczących treści będzie skutkować dużym zagrożeniem dla praw i wolności osób fizycznych. Dostawca usług łączności elektronicznej, przetwarzając tego typu dane, powinien zawsze przed przetwarzaniem konsultować się z organem nadzorczym. Takie konsultacje powinny być zgodne z art. 36 ust. 2 i 3 rozporządzenia (UE) 2016/679. Założenie to nie obejmuje przetwarzania danych dotyczących treści w celu świadczenia usługi zamówionej przez użytkownika końcowego, gdy użytkownik końcowy zgodził się na takie przetwarzanie i jest ono dokonywane na potrzeby takiej usługi i przez okres absolutnie dla niej niezbędny i proporcjonalny. Po przesłaniu treści łączności elektronicznej przez użytkownika końcowego i otrzymaniu jej przez docelowego użytkownika końcowego lub docelowych użytkowników końcowych treść ta może być zapisywana lub przechowywana przez użytkownika końcowego, użytkowników końcowych lub osobę trzecią, której użytkownicy końcowi powierzyli zapisanie lub przechowywanie takich danych. Wszelkie przetwarzanie takich danych musi odbywać się zgodnie z rozporządzeniem (UE) 2016/679.

(20)Urządzenie końcowe użytkowników końcowych sieci łączności elektronicznej oraz wszelkie informacje związane z korzystaniem z takiego urządzenia końcowego, czy to w szczególności przechowywane na takim urządzeniu lub przez nie wysyłane, stanowiące przedmiot zapytania kierowanego do urządzenia bądź przetwarzane w celu umożliwienia połączenia z innym urządzeniem lub sprzętem sieciowym, stanowią część prywatnej sfery użytkowników końcowych wymagającej ochrony zgodnie z Kartą praw podstawowych Unii Europejskiej oraz europejską Konwencją o ochronie praw człowieka i podstawowych wolności. Ponieważ taki sprzęt zawiera lub przetwarza informacje, które mogą ujawnić szczegóły dotyczące emocji, poglądów politycznych i sytuacji społecznej osoby fizycznej, w tym treść łączności, zdjęcia, lokalizację osób przez dostęp do funkcji GPS urządzenia, listę kontaktów i inne informacje już przechowywane w urządzeniu, informacje związane z takim sprzętem wymagają zwiększonej ochrony prywatności. Ponadto tak zwane oprogramowanie szpiegujące, robaki internetowe, ukryte identyfikatory, trwałe pliki cookie oraz inne podobne niepożądane narzędzia umożliwiające śledzenie mogą uzyskać dostęp do urządzenia końcowego użytkownika końcowego bez jego zgody w celu uzyskania dostępu do informacji, przechowywania ukrytych informacji i śledzenia aktywności użytkownika. Informacje dotyczące urządzenia użytkownika końcowego mogą być również gromadzone zdalnie w celu identyfikacji i śledzenia z zastosowaniem technik takich jak pobieranie odbitek linii papilarnych przez urządzenie (device fingerprinting), często bez wiedzy użytkownika końcowego, a także mogą poważnie naruszyć prywatność takich użytkowników końcowych. Techniki służące do zakamuflowanego monitorowania działań użytkowników końcowych, na przykład poprzez śledzenie ich aktywności w internecie lub lokalizacji ich urządzenia końcowego, bądź przerwania operacji wykonywanych na urządzeniach końcowych użytkowników końcowych stanowią poważne zagrożenie dla prywatności użytkowników końcowych. Z tego względu jakakolwiek ingerencja tego typu w urządzenie końcowe użytkownika końcowego powinna być dozwolona jedynie za zgodą użytkownika końcowego oraz w konkretnych i przejrzystych celach.

(21)Wyjątki od obowiązku uzyskania zgody na korzystanie z możliwości przetwarzania i przechowywania, jakie daje urządzenie końcowe, lub dostępu do informacji przechowywanych w urządzeniu końcowym powinny ograniczać się do sytuacji, które nie wiążą się z żadną ingerencją w prywatność lub ingerencja ta jest bardzo ograniczona. Nie powinno się na przykład żądać zgody na zezwolenie na techniczne przechowywanie lub dostęp, gdy jest to absolutnie niezbędne i proporcjonalne w prawnie uzasadnionym celu umożliwienia korzystania z konkretnej usługi wprost żądanej przez użytkownika końcowego. Może to obejmować przechowywanie plików cookie przez okres jednej ustanowionej sesji na stronie internetowej w celu śledzenia wpisów użytkownika przy wypełnianiu formularzy online zajmujących kilka stron. Pliki cookie mogą być również zgodnym z prawem i użytecznym narzędziem, na przykład przy pomiarze ruchu w sieci na stronie internetowej. Zaangażowanie dostawców usług z zakresu społeczeństwa informacyjnego w sprawdzanie konfiguracji w celu zapewnienia usług zgodnych z ustawieniami użytkownika końcowego, a także samo odnotowanie w rejestrach faktu, że urządzenie użytkownika końcowego nie może otrzymać treści żądanych przez użytkownika końcowego, nie stanowią dostępu do takiego urządzenia ani korzystania z możliwości urządzenia w zakresie przetwarzania.

(22)Metody stosowane w celu przedstawienia informacji i uzyskania zgody użytkownika końcowego powinny być możliwie przyjazne dla użytkownika. Z uwagi na wszechobecność trwałych plików cookie oraz innych technik umożliwiających śledzenie użytkownicy końcowi są coraz częściej proszeni o wyrażenie zgody na przechowywanie takich trwałych plików cookie na ich urządzeniach końcowych. W rezultacie użytkownicy końcowi są zasypywani prośbami o wyrażenie zgody. Problem ten można rozwiązać przez zastosowanie technicznych środków umożliwiających wyrażenie zgody, na przykład poprzez przejrzyste i przyjazne dla użytkownika ustawienia. Z tego względu niniejsze rozporządzenie powinno zapewniać możliwość wyrażenia zgody poprzez zastosowanie odpowiednich ustawień przeglądarki lub innych aplikacji. Wybór dokonany przez użytkowników końcowych przy ustanawianiu ogólnych ustawień prywatności przeglądarki lub innej aplikacji powinien być wiążący i wykonalny względem osób trzecich. Przeglądarki internetowe są rodzajem aplikacji oprogramowania, która pozwala na wyszukiwanie i przedstawianie informacje w internecie. Inne typy aplikacji, takie jak aplikacje umożliwiające wykonywanie połączeń, przesyłanie wiadomości lub wyznaczenie trasy, mają takie same możliwości. Przeglądarki internetowe pośredniczą w tym, co odbywa się między użytkownikiem końcowym a stroną internetową. Z tej perspektywy są one na uprzywilejowanej pozycji, aby odgrywać aktywną rolę we wspomaganiu użytkownika końcowego w kontrolowaniu przepływu informacji do urządzenia końcowego i z niego. Ściślej mówiąc, przeglądarki internetowe mogą być wykorzystywane jako blokady, które umożliwiają użytkownikom końcowym zapobieganie dostępowi do informacji lub przechowywaniu informacji z ich urządzenia końcowego (na przykład smartfona, tabletu lub komputera).

(23)Zasadę uwzględniania ochrony danych już w fazie projektowania oraz domyślnej ochrony danych skodyfikowano w art. 25 rozporządzenia (UE) 2016/679. Obecnie ustawieniem domyślnym dla plików cookie w większości obecnych przeglądarek jest „akceptuj wszystkie pliki cookie”. Dostawcy oprogramowania umożliwiającego wyszukiwanie i przedstawianie informacji w internecie powinni mieć zatem obowiązek skonfigurowania oprogramowania, aby oferowało ono opcję uniemożliwienia osobom trzecim przechowywania informacji na urządzeniach końcowych; często przedstawia się to jako opcję „odrzuć pliki cookie osób trzecich”. Użytkownicy końcowi powinni mieć możliwość wyboru spośród szeregu ustawień prywatności, od najwyższych (na przykład „nigdy nie akceptuj plików cookie”) po najniższe (na przykład„zawsze akceptuj pliki cookie) oraz pośrednie (na przykład „odrzuć pliki cookie osób trzecich” lub „akceptuj tylko pliki cookie administratora”). Takie ustawienia prywatności powinny być przedstawione w sposób widoczny i zrozumiały.

(24)W przypadku przeglądarek internetowych w celu uzyskania zgody użytkowników końcowych zdefiniowanej w rozporządzeniu (UE) 2016/679, na przykład na przechowywanie trwałych plików cookie osób trzecich, konieczne jest między innymi wyraźne działanie potwierdzające ze strony użytkownika końcowego urządzenia końcowego w celu wyrażenia dobrowolnej i świadomej oraz jednoznacznej zgody na przechowywanie takich plików cookie na urządzeniu końcowym i ich dostęp z tego urządzenia. Takie działanie można uznać za potwierdzające, jeżeli – przykładowo – użytkownicy końcowi mają obowiązek aktywnie wybrać opcję „akceptuj pliki cookie osób trzecich” w celu potwierdzenia zgody i otrzymują niezbędne informacje, aby dokonać wyboru. W tym celu konieczne jest zobowiązanie dostawców oprogramowania umożliwiających dostęp do internetu, aby informowali użytkowników końcowych w momencie instalacji o możliwości wyboru ustawień prywatności spośród różnych opcji i prosili użytkowników o dokonanie wyboru. Przekazane informacje nie powinny zniechęcać użytkowników końcowych do wyboru wyższego poziomu ustawień prywatności i powinny zawierać istotne informacje o zagrożeniach związanych z wyrażeniem zgody na przechowywanie plików cookie osób trzecich na komputerze, w tym o kompilowaniu danych z historii wyszukiwania użytkownika obejmującej długi okres oraz wykorzystywaniu takich rejestrów do wysyłania reklam ukierunkowanych. Zachęca się, aby przeglądarki internetowe umożliwiały użytkownikom końcowym łatwą zmianę ustawień prywatności w dowolnym momencie podczas korzystania z nich i umożliwiały użytkownikowi wprowadzanie wyjątków lub wyłączanie z ustawień pewnych stron internetowych bądź określanie, na pliki cookie osób trzecich których stron internetowych należy zawsze zezwalać, a na które nigdy nie należy zezwalać.

(25)Dostęp do sieci łączności elektronicznej wymaga regularnego wysyłania pewnych pakietów danych w celu odnalezienia lub utrzymania połączenia z siecią lub innymi urządzeniami w obrębie sieci. Ponadto aby urządzenia mogły być rozpoznawane w tej sieci, muszą mieć przypisany niepowtarzalny adres. Standardy rozwiązań bezprzewodowych i telefonii komórkowej podobnie wiążą się z wysyłaniem aktywnych sygnałów zawierających niepowtarzalne identyfikatory, takie jak adres MAC, numer IMEI (międzynarodowy numer fabryczny mobilnego aparatu telefonicznego), IMSI itp. Pojedyncza bezprzewodowa stacja bazowa (tj. nadajnik i odbiornik), taka jak punkt dostępu bezprzewodowego, ma określony zasięg, w jakim można przechwycić takie informacje. Pojawili się dostawcy usług internetowych, którzy oferują usługi śledzenia w oparciu o skanowanie informacji związanych z urządzeniem, które to usługi obejmują różne funkcje, w tym liczenie osób, udostępnianie danych o osobach czekających w kolejce, potwierdzenie liczby osób na konkretnym obszarze itp. Te informacje można wykorzystywać w celach bardziej natarczywych, takich jak wysyłanie informacji handlowych ze spersonalizowanymi ofertami do użytkowników końcowych, na przykład gdy wchodzą oni do sklepów. Chociaż część tych funkcji nie wiąże się z dużym zagrożeniem dla prywatności, inne mogą wiązać się na przykład ze śledzeniem osób przez dłuży czas, w tym ze śledzeniem ponownych wizyt w określonych miejscach. Dostawcy zaangażowani w takie praktyki powinni wyświetlać widoczne zawiadomienia zamieszczone na granicy obszaru zasięgu, informujące użytkowników końcowych przed wejściem na taki określony obszar, że w danym okręgu funkcjonuje dana technologia, a także wskazujące cel śledzenia, osobę za nie odpowiedzialną oraz istnienie środków umożliwiających użytkownikowi końcowemu urządzenia końcowego ograniczenie lub wstrzymanie gromadzenia danych. Dodatkowo powinno się poinformować, gdzie zbierane są dane osobowe, zgodnie z art. 13 rozporządzenia (UE) 2016/679.

(26)Jeżeli przetwarzanie danych pochodzących z łączności elektronicznej przez dostawców usług łączności elektronicznej objęte jest zakresem stosowania niniejszego rozporządzenia, powinno ono na określonych warunkach umożliwiać Unii lub państwom członkowskim prawne ograniczenie niektórych obowiązków i praw, o ile takie ograniczenie stanowi w demokratycznym społeczeństwie niezbędny i proporcjonalny środek do ochrony określonych interesów publicznych, w tym bezpieczeństwa narodowego, obrony, bezpieczeństwa publicznego, oraz zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania lub ścigania czynów zabronionych lub też wykonywania sankcji karnych, w tym ochrony przed zagrożeniami dla bezpieczeństwa publicznego i zapobiegania takim zagrożeniom, jak również innych ważnych celów ogólnego interesu publicznego Unii lub państwa członkowskiego, w szczególności ważnego interesu gospodarczego lub finansowego Unii lub państwa członkowskiego bądź monitorowania, kontrolowania lub pełnienia funkcji regulacyjnej w związku z wykonywaniem władzy publicznej na potrzeby takich interesów. Z tego względu niniejsze rozporządzenie nie powinno wpływać na możliwość prowadzenia przez państwa członkowskie zgodnego z prawem przechwytywania komunikacji elektronicznej lub podejmowania innych środków, jeżeli jest to konieczne i proporcjonalne do zabezpieczenia interesów publicznych wskazanych powyżej, zgodnie z Kartą praw podstawowych Unii Europejskiej i europejską Konwencją o ochronie praw człowieka i podstawowych wolności, w myśl wykładni Trybunału Sprawiedliwości Unii Europejskiej i Europejskiego Trybunału Praw Człowieka. Dostawcy usług łączności elektronicznej powinni zapewnić odpowiednie procedury, aby ułatwić prawnie uzasadnione kierowanie zapytań przez właściwe organy, uwzględniając w stosownych przypadkach również rolę przedstawiciela powołanego na podstawie art. 3 ust. 3.

(27)Jeżeli chodzi o identyfikację rozmów przychodzących, konieczna jest ochrona prawa strony wywołującej do niedopuszczenia do wyświetlania identyfikacji numeru linii wywołującej, z której wychodzi połączenie, oraz prawa strony wywoływanej do odrzucenia połączeń z niezidentyfikowanych linii. W interesie niektórych użytkowników końcowych, w szczególności linii telefonów zaufania lub podobnych organizacji, leży zagwarantowanie anonimowości swoim rozmówcom. Jeżeli chodzi o identyfikację linii, z którą się połączono, konieczna jest ochrona prawa i uzasadnionego interesu strony wywoływanej do niedopuszczenia do wyświetlenia identyfikacji linii, z jaką faktycznie połączyła się strona wywołująca.

(28)W niektórych przypadkach uzasadnione jest nieuwzględnienie wyeliminowania identyfikacji rozmów przychodzących. Prawa użytkowników końcowych do prywatności w odniesieniu do identyfikacji rozmów przychodzących powinny być ograniczone, gdy takie ograniczenie praw jest niezbędne do śledzenia uciążliwych połączeń oraz identyfikacji rozmów przychodzących i danych dotyczących lokalizacji w sytuacji, gdy jest to konieczne do umożliwienia służbom ratunkowym wykonywania ich zadań, takich jak obsługa zgłoszeń eCall, w możliwie najbardziej efektywny sposób.

(29)Istnieje technologia, która umożliwia dostawcom usług łączności elektronicznej ograniczanie na różne sposoby otrzymywania przez użytkowników końcowych niepożądanych połączeń, w tym blokowanie głuchych telefonów oraz innych połączeń stanowiących oszustwa i połączeń uciążliwych. Dostawcy publicznie dostępnych usług łączności interpersonalnej wykorzystującej numery powinni wdrożyć tę technologię i bezpłatnie chronić użytkowników końcowych przed uciążliwymi połączeniami. Dostawcy powinni zapewnić, aby użytkownicy końcowi byli świadomi istnienia takich funkcji, np. publikując informację na ten temat na swojej stronie internetowej.

(30)Publicznie dostępne spisy numerów użytkowników końcowych usług łączności elektronicznej są dystrybuowane na szeroką skalę. Publicznie dostępne spisy numerów oznaczają wszelkie spisy numerów lub usługi zawierające informacje o użytkownikach końcowych, takie jak numer telefonu (w tym numer telefonu komórkowego) i adres e-mail, oraz obejmują usługę informacyjną. Prawo do prywatności i ochrony danych osobowych osób fizycznych wymaga, aby użytkownicy końcowi będący osobami fizycznymi wyrazili zgodę przed włączeniem ich danych osobowych do spisu numerów. Uzasadniony interes osób prawnych wymaga, aby użytkownicy końcowi będący osobami prawnymi mieli prawo sprzeciwić się zamieszczeniu dotyczących ich danych w spisie numerów.

(31)Jeżeli użytkownicy końcowi będący osobami fizycznymi udzielają zgody na umieszczenie swoich danych w takich spisach numerów, powinni móc określić, w formie zgody, jakie kategorie danych osobowych mają być zamieszczone w spisie numerów (na przykład imię i nazwisko, adres e-mail, adres domowy, nazwa użytkownika, numer telefonu). Ponadto dostawcy publicznie dostępnych spisów numerów powinni informować użytkowników końcowych o celach spisu numerów i funkcji przeszukiwania spisu numerów przed uwzględnieniem ich w tym spisie. Użytkownicy końcowi powinni być w stanie określić w formie zgody, na podstawie jakich kategorii danych osobowych można wyszukiwać ich dane kontaktowe. Kategorie danych osobowych zawartych w spisie numerów i kategorie danych osobowych, na podstawie których można wyszukiwać dane kontaktowe użytkowników końcowych, nie muszą być jednakowe.

(32)W niniejszym rozporządzeniu pojęcie „marketing bezpośredni” odnosi się do wszelkich form reklamy, w ramach których osoba fizyczna lub prawna wysyła materiały do celów marketingu bezpośredniego, kierując je bezpośrednio do jednego zidentyfikowanego użytkownika końcowego lub większej liczby zidentyfikowanych użytkowników końcowych lub do możliwych do zidentyfikowania użytkowników końcowych przy użyciu usług łączności elektronicznej. Poza oferowaniem produktów i usług w celach komercyjnych powinno to obejmować również wiadomości wysyłane przez partie polityczne, które kontaktują się z osobami fizycznymi za pośrednictwem usług łączności elektronicznej, aby promować swoje partie. To samo powinno dotyczyć wiadomości wysyłanych przez inne organizacje nienastawione na zysk w celu promowania działalności organizacji.

(33)Należy zapewnić zabezpieczenia, aby chronić użytkowników końcowych przed niezamówionymi komunikatami rozsyłanymi w celu prowadzenia marketingu bezpośredniego, które stanowią ingerencję w życie prywatne użytkowników końcowych. Stopień naruszenia prywatności i uciążliwości jest uważany za stosunkowo podobny niezależnie od szerokiego zakresu technologii i kanałów wykorzystywanych do prowadzenia takiej łączności elektronicznej, czy to z zastosowaniem zautomatyzowanych systemów wywoływania i łączności, czy komunikatorów internetowych, poczty elektronicznej, wiadomości tekstowych, wiadomości graficznych, technologii Bluetooth itp. Z tego względu uzasadnione jest wymaganie uzyskania zgody użytkownika końcowego przed wysłaniem komercyjnych materiałów elektronicznych do celów marketingu bezpośredniego do użytkowników końcowych, aby skutecznie chronić osoby fizyczne przed ingerowaniem w ich życie prywatne, a osoby prawne – przed ingerowaniem w ich uzasadniony interes. Pewność prawa i potrzeba zapewnienia, aby przepisy chroniące przed niezamawianymi materiałami elektronicznymi pozostały aktualne w przyszłości uzasadnia potrzebę zdefiniowania jednego zestawu przepisów, które nie zmieniają się w zależności od technologii stosowanej do przekazywania niezamówionych komunikatów, a jednocześnie gwarantują równoważny poziom ochrony wszystkim obywatelom w całej Unii. Niemniej jednak zasadne jest zezwolenie na korzystanie z danych kontaktowych w postaci adresu e-mail w odniesieniu do istniejącej relacji z klientem w celu oferowania podobnych produktów lub usług. Taka możliwość powinna dotyczyć wyłącznie tego przedsiębiorstwa, które uzyskało elektroniczne dane kontaktowe zgodnie z rozporządzeniem (UE) 2016/679.