Návrh NARIADENIE EURÓPSKEHO PARLAMENTU A RADY o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov (všeobecné nariadenie o ochrane údajov) /* COM/2012/011 final - 2012/0011 (COD) */





DÔVODOVÁ SPRÁVA 1. KONTEXT NÁVRHU Táto dôvodová správa poskytuje spresnenie navrhovaného nového právneho rámca ochrany osobných údajov v EÚ, ktorý bol ustanovený v oznámení COM(2012) 9 v konečnom znení[1]. Navrhovaný nový právny rámec pozostáva z týchto dvoch legislatívnych návrhov: – návrh nariadenia Európskeho parlamentu o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov (všeobecné nariadenie o ochrane údajov) a – návrh smernice Európskeho parlamentu a Rady o ochrane fyzických osôb pri spracúvaní osobných údajov príslušnými orgánmi na účely predchádzania trestným činom, ich vyšetrovania, odhaľovania alebo stíhania alebo na účely výkonu trestných sankcií a o voľnom pohybe takýchto údajov[2]. Táto dôvodová správa sa týka legislatívneho návrhu všeobecného nariadenia o ochrane údajov. Hlavný právny predpis EÚ týkajúci sa ochrany osobných údajov, smernica 95/46/ES[3], bol prijatý v roku 1995 a jeho úlohou bolo dosiahnuť dva ciele – chrániť základné právo na ochranu údajov a zaručiť voľný tok osobných údajov medzi členskými štátmi. Smernicu doplnilo rámcové rozhodnutie 2008/977/SVV ako všeobecný nástroj na úrovni Únie určený na ochranu osobných údajov v oblastiach policajnej a justičnej spolupráce v trestných veciach[4]. Rýchly technologický rozvoj so sebou priniesol nové výzvy v oblasti ochrany osobných údajov. Rozsah zdieľania a zhromažďovania údajov sa značne zväčšil. Technológia umožňuje súkromným podnikom a verejným orgánom pri výkone ich činností využívať osobné údaje v doteraz bezprecedentnom rozsahu. Fyzické osoby v čoraz väčšej miere zverejňujú svoje osobné údaje, a to aj v globálnom meradle. Technológia zmenila ekonomiku aj sociálny život. Kľúčom hospodárskeho rozvoja je vybudovanie dôvery v online prostredie. Nedostatok dôvery spotrebiteľov spôsobuje ich váhanie pri nákupe online a akceptovaní nových služieb. Vyvoláva to riziko spomalenia rozvoja inovatívneho využívania nových technológií. Ochrana osobných údajov preto zohráva hlavnú úlohu pri iniciatíve Digitálna agenda pre Európu[5] a vo všeobecnosti pri plnení stratégie Európa 2020[6]. V článku 16 ods. 1 Zmluvy o fungovaní Európskej únie (ZFEÚ), ktorý bol zavedený Lisabonskou zmluvou, sa stanovuje zásada, že každý má právo na ochranu osobných údajov, ktoré sa ho týkajú. Okrem toho v článku 16 ods. 2 ZFEÚ zaviedla Lisabonská zmluva osobitný právny základ pre prijatie pravidiel ochrany osobných údajov. V článku 8 Charty základných práv EÚ je zakotvená ochrana osobných údajov ako základné právo. Európska rada vyzvala Komisiu, aby zhodnotila fungovanie nástrojov EÚ v oblasti ochrany údajov a v prípade potreby predstavila ďalšie legislatívne a nelegislatívne iniciatívy[7]. Európsky parlament vo svojej rezolúcii[8] o Štokholmskom programe uvítal komplexný systém ochrany údajov v EÚ a okrem iného vyzval k revízii rámcového rozhodnutia. Komisia vo svojom akčnom pláne na implementáciu Štokholmského programu[9] zdôraznila potrebu zabezpečiť, aby sa základné právo na ochranu osobných údajov uplatňovalo v kontexte politík EÚ konzistentne. Vo svojom oznámení „Komplexný prístup k ochrane osobných údajov v Európskej únii“[10] Komisia dospela k záveru, že EÚ potrebuje komplexnejšiu a konzistentnú politiku, pokiaľ ide o základné právo na ochranu osobných údajov. Príslušné ciele a zásady súčasného rámca zostávajú naďalej platné, rámec však nezabránil rozdielnostiam v spôsobe, akým sa ochrana osobných údajov implementuje v rámci Únie, nezabránil právnej neistote a rozšírenému pocitu verejnosti, že najmä s výkonom online aktivít, sú spojené značné riziká[11]. Z tohto dôvodu je načase vytvoriť silnejší a komplexnejší rámec ochrany údajov v EÚ, ktorého uplatňovanie by sa dôrazne presadzovalo a ktorý by umožnil rozvoj digitálnej ekonomiky v rámci vnútorného trhu, umožnil fyzickým osobám kontrolovať ich vlastné údaje a posilnil právnu a praktickú istotu pre hospodárske subjekty a verejné orgány. 2. VÝSLEDKY KONZULTÁCIÍ SO ZAINTERESOVANÝMI STRANAMI A POSÚDENIE VPLYVU Táto iniciatíva je výsledkom rozsiahlych konzultácií so všetkými hlavnými zainteresovanými stranami o revízii súčasného právneho rámca ochrany osobných údajov, ktoré trvali viac ako dva roky a zahŕňali konferenciu na vysokej úrovni, ktorá sa konala v máji 2009[12]. Konzultácie prebiehali v dvoch fázach: – Od 9. júla do 31. decembra 2009 prebiehali konzultácie o právnom rámci pre základné právo na ochranu osobných údajov. Komisii bolo doručených 168 odpovedí, 127 bolo od fyzických osôb, obchodných organizácií a združení a 12 od verených orgánov[13]. – Od 4. novembra 2010 do 15. januára 2011 prebiehali konzultácie o komplexnom prístupe Komisie k ochrane osobných údajov v Európskej únii. Komisii bolo doručených 305 odpovedí, z nich bolo 54 od občanov, 31 od verejných orgánov a 220 bolo od súkromných organizácií, najmä od obchodných združení a mimovládnych organizácií[14]. Boli vykonané aj cielené konzultácie s hlavnými zainteresovanými stranami. V júni a júli 2010 boli zorganizované osobitné podujatia s orgánmi členských štátov a so zainteresovanými stranami zo súkromného sektora, ako aj s organizáciami z oblasti ochrany súkromia, ochrany údajov a ochrany spotrebiteľov[15]. V novembri 2010 zorganizovala podpredsedníčka Európskej komisie Redingová diskusiu pri okrúhlom stole o reforme v oblasti ochrany údajov. Komisia a Rada Európy 28. januára 2011 (Deň ochrany údajov) zorganizovali spoločnú konferenciu na vysokej úrovni, na ktorej sa diskutovalo o otázkach týkajúcich sa reformy právneho rámca EÚ, ako aj o potrebe celosvetovo platných spoločných noriem ochrany údajov[16]. Maďarské a poľské predsedníctva Rady hostili v dňoch 16. – 17. júna 2011 a 21. septembra 2011 dve konferencie o ochrane údajov. Počas roku 2011 sa konali odborné workshopy a semináre o osobitných otázkach. Európska agentúra pre bezpečnosť sietí a informácií (ENISA)[17] zorganizovala v januári workshop o oznámeniach o porušení ochrany údajov v Európe[18]. Komisia vo februári zorganizovala workshop s orgánmi členských štátov, venovaný diskusii o otázkach ochrany v oblasti policajnej a justičnej spolupráce v trestných veciach vrátane implementácie rámcového rozhodnutia a Agentúra pre základné práva zorganizovala konzultačné stretnutie pre zainteresované strany o ochrane údajov a súkromia. Dňa 13. júla 2011 sa konala diskusia s národnými orgánmi pre ochranu údajov o hlavných otázkach reformy. Konzultácia s občanmi EÚ sa uskutočnila prostredníctvom prieskumu Eurobarometer v novembri a decembri 2010[19]. Začalo sa aj s prácou na niekoľkých štúdiách[20]. Pracovná skupina zriadená podľa článku 29[21] poskytla Komisii viaceré stanoviská a užitočné pripomienky[22]. Európsky dozorný úradník pre ochranu údajov takisto vydal komplexné stanovisko o otázkach, ktoré nastolila Komisia vo svojom oznámení z novembra 2010[23]. Európsky parlament schválil vo svojom uznesení zo 6. júla 2011 správu, ktorá podporila prístup Komisie k reforme rámca ochrany údajov[24]. Rada Európskej únie prijala 24. februára 2011 závery, v ktorých v širokej miere podporila zámer Komisie reformovať rámec ochrany údajov a súhlasí s mnohými prvkami prístupu Komisie. Európsky hospodársky a sociálny výbor takisto podporil zámer Komisie zabezpečiť konzistentnejšie uplatňovanie pravidiel ochrany údajov EÚ[25] v rámci všetkých členských štátov a primeranú revíziu smernice 95/46/ES[26]. Počas konzultácií o komplexnom prístupe sa veľká väčšina zainteresovaných strán zhodla na tom, že všeobecné zásady zostávajú platné, ale je potrebné súčasný rámec prispôsobiť tak, aby lepšie reagoval na výzvy, ktoré prináša rýchly rozvoj nových technológií (najmä online) a posilňovanie globalizácie, a to pri súčasnom zachovaní technologickej neutrality právneho rámca. K súčasnej rozdielnosti úprav v oblasti ochrany osobných údajov v Únii bola vyjadrená závažná kritika, a to najmä zo strany hospodárskych zainteresovaných subjektov, ktoré žiadali posilnenie právnej istoty a harmonizáciu pravidiel ochrany osobných údajov. Zložitosť pravidiel týkajúcich sa medzinárodného prenosu osobných údajov pokladajú za prekážku pri ich práci, pretože potrebujú pravidelne prenášať osobné údaje z EÚ do iných častí sveta. V súlade so svojou politikou „lepšej regulácie“ Komisia vykonala posúdenie vplyvu alternatív politiky. Posúdenie vplyvu sa opieralo o tri politické ciele: zlepšenie ochrany údajov vo vzťahu k vnútornému trhu, zefektívnenie uplatňovania práva na ochranu údajov zo stany fyzických osôb a vytvorenie komplexného a uceleného rámca pokrývajúceho všetky oblasti kompetencií Únie vrátane policajnej a justičnej spolupráce v trestných veciach. Boli posúdené tri politické možnosti s rozličným stupňom intervencie. Prvá možnosť pozostávala z minimálnych legislatívnych zmien a doplnení, použitia výkladových oznámení a z politických podporných opatrení, ako je financovanie programov a technických nástrojov. Druhou možnosťou bol súbor legislatívnych predpisov týkajúcich sa jednotlivých problémov identifikovaných v analýze a tretia možnosť spočívala v centralizácii ochrany údajov na úrovni EÚ prostredníctvom precíznych a podrobných pravidiel pre všetky sektory a v zavedení agentúry EÚ na monitorovanie a presadzovanie týchto predpisov. Za pomoci medziútvarovej riadiacej skupiny bola každá politická možnosť posudzovaná podľa metodiky Komisie, a to pokiaľ ide o jej účinnosť na dosiahnutie politických cieľov, jej hospodársky vplyv na zainteresované strany (vrátane vplyvu na rozpočet inštitúcií EÚ) a jej sociálny dosah a účinok na základné práva. Dosah na životné prostredie sa neskúmal. Analýza celkového vplyvu viedla k vypracovaniu uprednostnenej politickej možnosti, ktorá sa opiera o druhú možnosť s niektorými prvkami ostatných dvoch možností a ktorá je obsahom súčasného návrhu. Podľa posúdenia vplyvu povedie implementácia tohto návrhu okrem iného k značnému zlepšeniu právnej istoty pre prevádzkovateľov údajov a občanov, k zníženiu administratívnej záťaže, ku konzistentnému uplatňovaniu ochrany údajov v Únii, k skutočnému uplatňovaniu práv na ochranu osobných údajov zo strany fyzických osôb v rámci EÚ a k účinnému dozoru nad ochranou údajov a uplatňovaniu tejto ochrany. Očakáva sa, že implementácia uprednostnených politických možností takisto prispeje k splneniu cieľa Komisie – zjednodušeniu a zníženiu administratívneho zaťaženia – a k cieľom Digitálnej agendy pre Európu, akčného plánu na implementáciu Štokholmského programu a k cieľom stratégie Európa 2020. Výbor na posudzovanie vplyvu poskytol k návrhu posúdenia vplyvu 9. septembra 2011 svoje stanovisko. Podľa stanoviska výboru boli v posúdení vplyvu vykonané tieto zmeny: – boli ozrejmené ciele súčasného právneho rámca (s uvedením, do akej miery boli alebo neboli splnené), ako aj ciele plánovanej reformy, – do oddielu, v ktorom sú vymedzené problémy, boli pridané ďalšie dôkazy a vysvetlenia/ozrejmenia, – bol pridaný oddiel o proporcionalite, – všetky výpočty a odhady týkajúce sa administratívneho zaťaženia v základnom scenári a v uprednostnenej možnosti boli v plnej miere preskúmané a zrevidované a ozrejmila sa súvislosť medzi nákladmi na oznámenia a nákladmi spôsobenými všeobecnou rozdielnosťou úprav (vrátane prílohy 10), – lepšie boli špecifikované vplyvy na mikropodniky a malé a stredné podniky, najmä pokiaľ ide o úradníkov pre ochranu údajov a posúdenia vplyvu na ochranu údajov. Správa o posúdení vplyvu a zhrnutie sú uverejnené spolu s návrhmi. 3. PRÁVNE PRVKY NÁVRHU 3.1. Právny základ Tento návrh sa opiera o článok 16 ZFEÚ, ktorý je novým právnym základom pre prijatie pravidiel ochrany údajov zavedeným Lisabonskou zmluvou. Toto ustanovenie umožňuje prijať pravidlá týkajúce sa ochrany fyzických osôb, pokiaľ ide o spracúvanie osobných údajov zo strany členských štátov pri výkone činností, ktoré patria do rozsahu pôsobnosti práva Únie. Umožňuje aj prijatie pravidiel týkajúcich sa voľného pohybu osobných údajov vrátane osobných údajov spracovávaných členskými štátmi alebo súkromnými subjektmi. Nariadenie sa považuje za najvhodnejší právny nástroj na vymedzenie rámca ochrany osobných údajov v Únii. Priame uplatňovanie nariadenia v súlade s článkom 288 ZFEÚ zníži rozdielnosť právnych úprav a poskytne väčšiu právnu istotu zavedením harmonizovaného súboru základných pravidiel, zlepšením ochrany základných práv fyzických osôb a prispením k fungovaniu vnútorného trhu. Na článok 114 ods. 1 ZFEÚ je potrebné odkázať len v súvislosti so zmenou a doplnením smernice 2002/58/ES, keďže smernica stanovuje aj ochranu oprávnených záujmov účastníkov, ktorí sú právnickými osobami. 3.2. Subsidiarita a proporcionalita Podľa zásady subsidiarity (článok 5 ods. 3 ZEÚ) opatrenia na úrovni Únie by sa mali prijať len vtedy, keď predpokladané ciele nemôžu uspokojivo dosiahnuť samotné členské štáty, a preto je možné ich z dôvodu rozsahu alebo účinkov navrhnutých opatrení lepšie dosiahnuť na úrovni Únie. Vzhľadom na uvedené problémy z analýzy otázky subsidiarity vyplýva potreba prijať opatrenia na úrovni EÚ, a to z týchto dôvodov: – Právo na ochranu osobných údajov zakotvené v článku 8 Charty základných práv si vyžaduje rovnakú úroveň ochrany údajov v celej Únii. Neexistencia spoločných pravidiel na úrovni EÚ by znamenala riziko rozličnej úrovne ochrany v členských štátoch a vytvorila by obmedzenia cezhraničných tokov osobných údajov medzi členskými štátmi s rozličnými normami. – Osobné údaje sú stále častejšie prenášané cez hranice jednotlivých štátov – vnútorné aj vonkajšie. Okrem toho existujú praktické výzvy týkajúce sa posilnenia právnych predpisov o ochrane údajov a potreba spolupráce medzi členskými štátmi a ich orgánmi, ktorú treba zorganizovať na úrovni EÚ s cieľom zabezpečiť jednotné uplatňovanie práva Únie. EÚ zároveň najlepšie umožňuje zabezpečiť rovnakú úroveň účinnej a konzistentnej ochrany pre fyzické osoby, keď sú ich osobné údaje prenášané do tretích krajín. – Členské štáty nemôžu samotné znížiť počet problémov pretrvávajúcich za súčasnej situácie, najmä tých, ktoré sú dôsledkom rozdielnosti právnych úprav jednotlivých štátov. Existuje preto osobitná potreba zaviesť harmonizovaný a ucelený rámec umožňujúci bezproblémové prenášanie osobných údajov cez hranice v rámci EÚ pri súčasnom zabezpečení účinnej ochrany pre všetky fyzické osoby v rámci EÚ. – Navrhované právne opatrenia EÚ budú účinnejšie než by mohli byť podobné opatrenia na úrovni členských štátov, čo je spôsobené povahou a rozsahom problémov, ktoré sa dotýkajú viac ako jedného alebo niekoľkých členských štátov. Zásada proporcionality vyžaduje, aby každá intervencia bola cielená a neprekračovala rámec toho, čo je potrebné na dosiahnutie cieľov. Táto zásada sprevádzala prípravu tohto návrhu od identifikácie a posúdenia alternatívnych politických možností až po vypracovanie návrhu právneho predpisu. 3.3. Zhrnutie otázok týkajúcich sa základných práv Právo na ochranu osobných údajov je stanovené v článku 8 charty, v článku 16 ZFEÚ a v článku 8 Európskeho dohovoru o základných právach. Ako zdôraznil Súdny dvor EÚ[27], právo na ochranu osobných údajov sa nejaví ako absolútne právo, ale musí sa zohľadniť so zreteľom na jeho funkciu v spoločnosti[28]. Ochrana údajov úzko súvisí s rešpektovaním súkromného a rodinného života, ktoré sú chránené článkom 7 charty. Túto skutočnosť odráža článok 1 ods. 1 smernice 95/46/ES, v ktorej sa stanovuje, že členské štáty chránia základné práva a slobody fyzických osôb, a najmä ich právo na súkromie v súvislosti so spracúvaním osobných údajov. Ďalšie potenciálne dotknuté základné práva zakotvené v charte: sloboda prejavu (článok 11 charty), sloboda podnikania (článok 16), vlastnícke právo a najmä ochrana duševného vlastníctva (článok 17 ods. 2), zákaz akejkoľvek diskriminácie, okrem iného z dôvodu rasy, etnického pôvodu, genetických vlastností, náboženstva alebo viery, politického alebo iného zmýšľania, zdravotného postihnutia alebo sexuálnej orientácie (článok 21), práva dieťaťa (článok 24), právo na vysokú úroveň ochrany zdravotnej starostlivosti (článok 35), právo na prístup k dokumentom (článok 42), právo na účinný prostriedok nápravy a na spravodlivý proces (čl. 47). 3.4. Podrobné vysvetlenie návrhu 3.4.1. KAPITOLA I – VŠEOBECNÉ USTANOVENIA V článku 1 je vymedzený predmet nariadenia a rovnako ako v článku 1 smernice 95/46/ES sú tu stanovené dva ciele nariadenia. V článku 2 je stanovená vecná pôsobnosť nariadenia. V článku 3 je stanovená územná pôsobnosť nariadenia. V článku 4 sú vymedzené pojmy používané v nariadení. Niektoré definície sú prevzaté zo smernice 95/46/ES, iné boli upravené, doplnené o ďalšie prvky alebo sú nové (pojem „porušenie ochrany osobných údajov“ vychádza z článku 2 písm. h) smernice 2002/58/ES[29] o súkromí a elektronických komunikáciách, zmenenej a doplnenej smernicou 2009/136/ES[30], pojmy „genetické údaje“, „biometrické údaje“, „údaje týkajúce sa zdravia“, „ústredie“, „zástupca“, „podnik“, „skupina podnikov“, „záväzné firemné pravidlá“ a „dieťa“ vychádzajú z Dohovoru OSN o právach dieťaťa[31], a pojem „dozorný orgán“). Do definície súhlasu bolo pridané kritérium „výslovného“ súhlasu, aby sa predišlo paralelnosti s nepochybným súhlasom a aby existovala jediná a konzistentná definícia súhlasu, ktorá by zaručovala, že si dotknutá osoba uvedomí, že poskytla súhlas, a k čomu ho poskytla. 3.4.2. KAPITOLA II - ZÁSADY V článku 5 sú stanovené zásady týkajúce sa spracúvania osobných údajov, ktoré zodpovedajú zásadám uvedeným v článku 6 smernice 95/46/ES. Ďalšími novými prvkami sú najmä zásada transparentnosti, spresnenie zásady obmedzenia spracovania údajov na nevyhnutné minimum a zavedenie komplexnej zodpovednosti a povinnosti pre prevádzkovateľa. V článku 6 sa na základe článku 7 smernice 95/46/ES stanovujú podmienky zákonného spracúvania údajov, ktoré sú ďalej špecifikované, pokiaľ ide o vyváženie kritéria záujmu a súlad s právnymi záväzkami a verejným záujmom. V článku 7 sú uvedené podmienky vyjadrenia súhlasu, ktorý sa pokladá za právoplatný dôvod zákonného spracovania údajov. V článku 8 sú stanovené ďalšie podmienky zákonnosti spracovania osobných údajov detí v súvislosti so službami informačnej spoločnosti, ktoré sú im priamo ponúkané. V článku 9 je uvedený všeobecný zákaz spracúvania osobitných kategórií osobných údajov a výnimky z tohto všeobecného pravidla, pričom sa vychádza z článku 8 smernice 95/46/ES. V článku 10 sa spresňuje, že prevádzkovateľ nie je povinný získať dodatočné informácie na zistenie totožnosti dotknutej osoby výlučne na to, aby dosiahol súlad s niektorým ustanovením tohto nariadenia. 3.4.3. KAPITOLA III – PRÁVA DOTKNUTEJ OSOBY 3.4.3.1. Oddiel I – Transparentnosť a metódy V článku 11 sa zavádza povinnosť pre prevádzkovateľov poskytnúť transparentné a ľahko dostupné a pochopiteľné informácie, pričom sa vychádza najmä z Madridskej rezolúcie o medzinárodných štandardoch o ochrane osobných údajov a súkromia[32]. V článku 12 je stanovená povinnosť pre prevádzkovateľa zaviesť postupy a mechanizmy na výkon práv dotknutej osoby, a to aj prostredníctvom elektronickej žiadosti, pričom sa vyžaduje odpoveď na žiadosť dotknutej osoby v rámci stanovenej lehoty a uvedenie dôvodov odmietnutia. Vychádzajúc z článku 12 písm. c) smernice 95/46/ES sa v článku 13 stanovilo právo vo vzťahu k príjemcom, pričom sa toto právo rozšírilo na všetkých príjemcov vrátane spoločných prevádzkovateľov a sprostredkovateľov. 3.4.3.2. Oddiel 2 – Informácie a prístup k údajom Vychádzajúc z článkov 10 a 11 smernice 95/46/ES sa v článku 14 podrobnejšie stanovujú povinnosti prevádzkovateľa informovať dotknutú osobu, pričom sa stanovuje povinnosť poskytnúť dotknutej osobe aj ďalšie informácie týkajúce sa medzinárodného prenosu a zdroja, z ktorého údaje pochádzajú, vrátane informácií o období, počas ktorého sa informácie budú uchovávať, a o práve podať sťažnosť. Sú tu zachované aj možné výnimky, ktoré sa nachádzali v smernici 95/46/ES, napr. takáto povinnosť nebude existovať, ak je zaznamenávanie alebo sprístupnenie informácií výslovne určené zákonom. Toto ustanovenie by sa mohlo uplatniť napríklad v rámci konaní orgánov hospodárskej súťaže, daňových alebo colných správ alebo útvarov zodpovedných za záležitosti sociálneho zabezpečenia. V článku 15 je stanovené právo dotknutej osoby na prístup k jej osobným údajom, pričom sa vychádzalo z článku 12 písm. a) smernice 95/46/ES a boli pridané nové prvky, ako je povinnosť informovať dotknuté osoby o období, počas ktorého sa osobné údaje budú uchovávať, o práve na opravu alebo výmaz údajov a o práve podať sťažnosť. 3.4.3.3. Oddiel 3 – Oprava a výmaz V článku 16 je stanovené právo dotknutej osoby na opravu, pričom sa vychádza z článku 12 ods. b) smernice 95/46/ES. V článku 17 je stanovené „právo byť zabudnutý“ a právo na výmaz. Ďalej sa v ňom ozrejmuje a špecifikuje právo na výmaz stanovené v článku 12 ods. b) smernice 95/46/ES a stanovujú sa tu podmienky pre uplatnenie práva byť zabudnutý vrátane povinnosti prevádzkovateľa, ktorý osobné údaje zverejnil, informovať tretie strany o požiadavke dotknutej osoby na odstránenie všetkých odkazov na tieto osobné údaje, ich kópií alebo replikácií. Je tu začlenené aj právo na dosiahnutie obmedzenia spracovania údajov v určitých prípadoch, pričom sa vyhlo použitiu mnohovýznamového pojmu „blokovanie“. V článku 18 sa zavádza právo dotknutej osoby na prenosnosť údajov, t. j. na prenesenie údajov z jedného systému elektronického spracovania do iného bez toho, aby jej v tom prevádzkovateľ bránil. Ako predpoklad uplatnenia tohto práva a s cieľom zlepšiť prístup fyzických osôb k ich osobným údajom sa tu stanovuje právo získať od prevádzkovateľa tieto údaje v štruktúrovanej forme a v bežne používanom elektronickom formáte. 3.4.3.4. Oddiel 4 – Právo namietať a profilovanie V článku 19 je stanovené právo dotknutej osoby namietať. Vychádza z článku 14 smernice 95/46/ES s určitými úpravami vrátane dôkazného bremena a jeho uplatňovania v rámci priameho marketingu. Článok 20 sa týka práva dotknutej osoby, aby sa na ňu nevzťahovalo žiadne opatrenie založené na profilovaní. Článok vychádza z článku 15 ods. 1 smernice 95/46/ES o automatizovaných individuálnych rozhodnutiach, pričom boli vykonané úpravy a pridané záruky a zohľadňuje sa odporúčanie Rady Európy o profilovaní[33]. 3.4.3.5. Oddiel 5 – Obmedzenia V článku 21 sa stanovuje právo Únie alebo členských štátov zachovať obmedzenia alebo obmedziť zásady stanovené v článku 5 a práva dotknutej osoby stanovené v článkoch 11 až 20 a v článku 32. Toto ustanovenie vychádza z článku 13 smernice 95/46/ES a z požiadaviek vyplývajúcich z Charty základných práv a Európskeho dohovoru o ochrane ľudských práv a základných slobôd, ako ich vyložili Súdny dvor EÚ a Európsky súd pre ľudské práva. 3.4.4. KAPITOLA IV – PREVÁDZKOVATEĽ A SPROSTREDKOVATEĽ 3.4.4.1. Oddiel 1 – Všeobecné povinnosti V článku 22 sa zohľadňuje diskusia o „zásade zodpovednosti“ a podrobne sa tu opisuje zodpovednosť a povinnosť prevádzkovateľa dodržiavať ustanovenia tohto nariadenia a preukázať dosiahnutie súladu, a to aj prostredníctvom prijatia interných pravidiel a mechanizmov na zabezpečenie takéhoto súladu. V článku 23 sú stanovené povinnosti prevádzkovateľa vyplývajúce zo zásady ochrany údajov špecificky navrhnutej a štandardne určenej. V článku 24 o spoločných prevádzkovateľoch je vymedzená zodpovednosť spoločných prevádzkovateľov, pokiaľ ide o ich interné vzťahy a vzťah k dotknutej osobe. V článku 25 je pre situácie, kedy sa nariadenie uplatňuje na spracovávanie údajov zo strany prevádzkovateľov so sídlom mimo Únie, stanovená povinnosť určiť za určitých podmienok zástupcu v Únii. V článku 26 je vymedzené postavenie a povinnosti sprostredkovateľa, pričom sa sčasti vychádza z článku 17 ods. 2 smernice 95/46/ES a boli doň pridané nové prvky vrátane ustanovenia, že sprostredkovateľ, ktorý spracúva údaje nad rámec inštrukcií prevádzkovateľa, sa tiež pokladá za prevádzkovateľa (spoloční prevádzkovatelia). Článok 27 o spracúvaní na základe právomoci prevádzkovateľa a sprostredkovateľa sa opiera o článok 16 smernice 95/46/ES. V článku 28 sa zavádza povinnosť pre prevádzkovateľov a sprostredkovateľov, aby uchovávali dokumentáciu o operáciách spracovania v rámci okruhu ich zodpovednosti, pričom táto povinnosť nahrádza povinnosť všeobecného oznámenia dozornému orgánu, ktorá bola stanovená v článku 18 ods. 1 a v článku 19 smernice 95/46/ES. V článku 29 sú stanovené povinnosti prevádzkovateľa a sprostredkovateľa týkajúce sa spolupráce s dozorným orgánom. 3.4.4.2. Oddiel 2 – Bezpečnosť údajov V článku 30 je uvedená povinnosť pre prevádzkovateľa a sprostredkovateľa uplatniť primerané opatrenia, aby zaistili bezpečnosť spracovania údajov, pričom sa vychádza z článku 17 ods. 1 smernice 95/46/ES s tým, že sa povinnosť rozširuje na sprostredkovateľov bez ohľadu na zmluvu, ktorú uzavreli s prevádzkovateľom. V článkoch 31 a 32 sa zavádza povinnosť oznamovať porušenie ochrany osobných údajov, pričom sa vychádza z ustanovenia o oznamovaní porušenia ochrany osobných údajov uvedeného v článku 4 ods. 3 smernice 2002/58/ES o súkromí a elektronických komunikáciách. 3.4.4.3. Oddiel 3 – Posúdenie vplyvu na ochranu údajov a povolenie vopred V článku 33 sa zavádza povinnosť pre prevádzkovateľov a sprostredkovateľov vykonávať posúdenie vplyvu na ochranu údajov pred vykonávaním operácií spracovania spojených s rizikami. Článok 34 sa týka prípadov, v ktorých je pred spracovaním potrebné konzultovať s dozorným orgánom a získať jeho povolenie, pričom sa vychádza z koncepcie prvotnej kontroly uvedenej v článku 20 smernice 95/46/ES. 3.4.4.4. Oddiel 4 – Úradník pre ochranu údajov V článku 35 sa zavádza povinnosť určiť úradníka pre ochranu údajov pre verejný sektor a v prípade súkromného sektora pre veľké podniky, alebo ak hlavné činnosti prevádzkovateľa alebo sprostredkovateľa pozostávajú z operácií spracovania, ktoré si vyžadujú pravidelné a systematické monitorovanie. Tento článok vychádza z článku 18 ods. 2 smernice 95/46/ES, v ktorom bola stanovená možnosť pre členské štáty zaviesť takúto požiadavku namiesto všeobecnej oznamovacej povinnosti. V článku 36 je stanovené postavenie úradníka pre ochranu údajov. V článku 37 sú stanovené úlohy úradníka pre ochranu údajov. 3.4.4.5. Oddiel 5 – Kódexy správania a certifikácia Článok 38 sa týka kódexov správania a vychádza z koncepcie uvedenej v článku 27 ods. 1 smernice 95/46/ES, pričom sa tu spresňuje obsah kódexov a postupov a stanovuje sa právomoc pre Komisiu rozhodovať o všeobecnej platnosti kódexov správania. V článku 39 sa uvádza možnosť zavádzať mechanizmy certifikácie a plomby a značky pre potreby ochrany údajov. 3.4.5. KAPITOLA V – PRENOS OSOBNÝCH ÚDAJOV DO TRETÍCH KRAJÍN ALEBO MEDZINÁRODNÝM ORGANIZÁCIÁM V článku 40 je ako všeobecná zásada uvedené, že dodržiavanie podmienok uvedených v tejto kapitole je povinné v prípade akýchkoľvek prenosov osobných údajov do tretích krajín alebo medzinárodným organizáciám vrátane ďalších prenosov. V článku 41 sú stanovené kritériá, podmienky a postupy pre prijímanie rozhodnutí Komisie o primeranosti, pričom sa vychádza z článku 25 smernice 95/46/ES. Kritériá, ktoré má Komisia zohľadniť pri svojom posudzovaní, či úroveň ochrany je alebo nie je primeraná, zahŕňajú výslovne kritérium existencie právneho štátu, súdnych prostriedkov nápravy a nezávislého dozoru. Článok výslovne potvrdzuje možnosť pre Komisiu posúdiť úroveň ochrany poskytovanú na danom území alebo v určitom sektore spracovania v rámci tretej krajiny. V článku 42 sa v prípadoch prenosov do tretích krajín, v ktorých Komisia prijala rozhodnutie o primeranosti, požaduje poskytnutie náležitých záruk, najmä v podobe štandardných ustanovení o ochrane údajov, záväzných firemných pravidiel a zmluvných doložiek. Možnosť využiť štandardné ustanovenia o ochrane údajov sa opiera o článok 26 ods. 4 smernice 95/46/ES. Novým prvkom je, že štandardné ustanovenia o ochrane údajov môže teraz prijímať aj dozorný orgán a Komisia ich môže vyhlásiť za všeobecne platné. Záväzné firemné pravidlá sa teraz osobitne uvádzajú v texte predpisu. Možnosť využitia zmluvných doložiek poskytuje prevádzkovateľovi alebo sprostredkovateľovi určitú flexibilitu, ale je potrebné získať vopred povolenie od dozorných orgánov. V článku 43 sú podrobne opísané podmienky prenosu na základe záväzných firemných pravidiel, ktoré vychádzajú zo súčasnej praxe a požiadaviek dozorných orgánov. V článku 44 sú uvedené a vymedzené výnimky pre prenos údajov, ktoré sa opierajú o existujúce ustanovenia článku 26 smernice 95/46/ES. Platí to najmä pre prenosy údajov požadované a potrebné na účely ochrany dôležitých verejných záujmov, napríklad v prípade medzinárodných prenosov údajov medzi orgánmi hospodárskej súťaže, daňovými alebo colnými správami alebo medzi orgánmi, ktoré majú na starosti záležitosti sociálneho zabezpečenia alebo riadenie rybolovu. Okrem toho možno prenos údajov za určitých okolností odôvodniť oprávneným záujmom prevádzkovateľa alebo sprostredkovateľa, ale až po posúdení a zdokumentovaní okolností tohto prenosu. V článku 45 sa výslovne stanovujú mechanizmy medzinárodnej spolupráce na účely ochrany osobných údajov medzi Komisiou a dozornými orgánmi tretích krajín; konkrétne ide o spoluprácu s tými orgánmi, ktoré ponúkajú primeranú úroveň ochrany, pričom sa zohľadňuje odporúčanie Organizácie pre hospodársku spoluprácu a rozvoj (OECD) z 12. júna 2007 o cezhraničnej spolupráci pri presadzovaní právnych predpisov na ochranu súkromia. 3.4.6. KAPITOLA VI – NEZÁVISLÉ DOZORNÉ ORGÁNY 3.4.6.1. Oddiel 1 – Nezávislé postavenie Vychádzajúc z článku 28 ods. 1 smernice 95/46/ES sa v článku 46 stanovuje povinnosť pre členské štáty zriadiť dozorné orgány, pričom sa rozširujú úlohy týchto dozorných orgánov na spoluprácu medzi sebou a s Komisiou. V článku 47 sa stanovujú podmienky nezávislosti dozorných orgánov, pričom sa uplatňuje judikatúra Súdneho dvora Európskej únie[34] a vychádza sa aj z článku 44 nariadenia (ES) č. 45/2001[35]. V článku 48 sa stanovujú všeobecné podmienky pre členov dozorného orgánu, pričom sa uplatňuje judikatúra Súdneho dvora Európskej únie[36] a vychádza sa aj z článku 42 ods. 2 až 6 nariadenia (ES) č. 45/2001. V článku 49 sú stanovenú pravidlá pre zriadenie dozorného orgánu, ktoré musia členské štáty uzákoniť. Vychádzajúc z článku 28 ods. 7 smernice 95/46/ES sa v článku 50 pre členov a zamestnancov dozorného orgánu stanovuje povinnosť zachovávať služobné tajomstvo. 3.4.6.2. Oddiel 2 – Povinnosti a právomoci V článku 51 sa vymedzuje pôsobnosť dozorných orgánov. S cieľom zabezpečiť jednotné uplatňovanie (jediné kontaktné miesto) sa všeobecné pravidlo, ktoré sa opiera o článok 28 ods. 6 smernice 95/46/ES (kompetencia na území vlastného členského štátu), doplnilo o novú kompetenciu týkajúcu sa príslušnosti orgánu v prípade, že by prevádzkovateľ alebo sprostredkovateľ mali sídlo vo viacerých členských štátoch. Súdy, ktoré konajú v rámci svojej súdnej právomoci, sú vyňaté z monitorovania dozorného orgánu, nie však z uplatňovania hmotných pravidiel ochrany údajov. V článku 52 sa stanovujú povinnosti dozorného orgány vrátane prejednávania a vyšetrovania sťažností a zvyšovania informovanosti verejnosti o rizikách, pravidlách, zárukách a právach. V článku 53 sú stanovené právomoci dozorného orgánu, pričom sa sčasti vychádza z článku 28 ods. 3 smernice 95/46/ES a článku 47 nariadenia (ES) č. 45/2001 avšak pridalo sa niekoľko nových prvkov vrátane právomoci uložiť sankcie za správne delikty. Vychádzajúc z článku 28 ods. 5 smernice 95/46/ES je v článku 54 pre dozorné orgány stanovená povinnosť predkladať výročné správy o činnosti. 3.4.7. KAPITOLA VII – SPOLUPRÁCA A KONZISTENTNOSŤ 3.4.7.1. Oddiel 1 – Spolupráca V článku 55 sa zavádzajú výslovné pravidlá o povinnej vzájomnej pomoci vrátane dôsledkov nevyhovenia žiadosti iného dozorného orgánu, pričom sa vychádza za článku 28 ods. 6 druhého pododseku smernice 95/46/ES. Článok 56 je inšpirovaný článkom 17 rozhodnutia Rady 2008/615/SVV[37] a zavádzajú sa v ňom pravidlá spoločných operácií vrátane práva dozorných orgán zapájať sa do takýchto operácií. 3.4.7.2. Oddiel 2 – Konzistentnosť V článku 57 sa zavádza mechanizmus konzistentnosti na zabezpečenie jednotného uplatňovania v súvislosti s operáciami spracovania údajov, ktoré sa môžu týkať dotknutých osôb v niekoľkých členských štátoch. V článku 58 sú stanovené postupy a podmienky pre poskytnutie stanoviska Európskeho výboru pre ochranu údajov. Článok 59 sa týka stanovísk Komisie k záležitostiam týkajúcim sa mechanizmu konzistentnosti, ktoré môžu podporiť stanovisko Európskeho výboru pre ochranu údajov alebo sa od neho odchyľovať, a k opatreniam navrhnutým dozorným orgánom. Ak bola záležitosť predložená Európskym výborom pre ochranu údajov podľa článku 58 ods. 3, možno očakávať, že Komisia v súlade so svojou právomocou poskytne v prípade potreby stanovisko. Článok 60 sa týka rozhodnutí Komisie, v ktorých sa od príslušných orgánov požaduje, aby pozastavili návrh opatrenia, ak je to potrebné na zabezpečenie správneho uplatňovania tohto nariadenia. V článku 61 sa stanovuje možnosť prijatia dočasných opatrení v rámci postupu v naliehavých prípadoch. V článku 62 sú stanovené požiadavky na Komisiu pri vykonávacích aktoch v rámci mechanizmu konzistentnosti. V článku 63 sa stanovuje povinnosť vymáhať opatrenia dozorného orgánu vo všetkých dotknutých členských štátoch a takisto sa tu stanovuje, že uplatňovanie mechanizmu konzistentnosti je podmienkou pre právoplatnosť a vymáhateľnosť príslušného opatrenia. 3.4.7.3. Oddiel 3 – Európsky výbor pre ochranu údajov Článkom 64 sa zriaďuje Európsky výbor pre ochranu údajov, ktorý pozostáva z vedúcich predstaviteľov dozorných orgánov z jednotlivých členských štátov členského štátu a európskeho dozorného úradníka pre ochranu údajov. Európsky výbor pre ochranu údajov nahrádza pracovnú skupinu pre ochranu jednotlivcov so zreteľom na spracovanie osobných údajov, ustanovenú článkom 29 smernice 95/46/ES. Určuje sa tu, že Komisia nie je členom Európskeho výboru pre ochranu údajov, má však právo zúčastňovať sa na činnostiach a byť zastúpená. V článku 65 sa zdôrazňuje a určuje nezávislosť Európskeho výboru pre ochranu údajov. Vychádzajúc z článku 30 ods. 1 smernice 95/49/ES sú v článku 66 opísané úlohy Európskeho výboru pre ochranu údajov a stanovujú sa tu dodatočné prvky, pričom sa tu odráža rozšírený rozsah činností Európskeho výboru pre ochranu údajov v rámci Únie a mimo nej. Aby bola Komisia schopná reagovať v naliehavých situáciách, stanovuje sa tu možnosť pre Komisiu požiadať v určitej časovej lehote o stanovisko. V článku 67 sa od Európskeho výboru pre ochranu údajov vyžaduje, aby každoročne predkladal správu o činnosti, pričom sa vychádza z článku 30 ods. 6 smernice 95/46/ES. V článku 68 je stanovený postup prijímania rozhodnutí Európskeho výboru pre ochranu údajov vrátane povinnosti prijať rokovací poriadok, ktorý by sa mal vzťahovať aj na pracovné postupy. V článku 69 sú uvedené ustanovenia o predsedovi a zástupcoch predsedu Európskeho výboru pre ochranu údajov. V článku 70 sú stanovené úlohy predsedu. V článku 71 sa stanovuje, že európsky dozorný úradník pre ochranu údajov zabezpečí sekretariát pre Európsky výbor pre ochranu údajov a určujú sa v ňom úlohy sekretariátu. V článku 72 sa stanovujú pravidlá dôvernosti. 3.4.8. KAPITOLA VIII – PROSTRIEDKY NÁPRAVY, ZODPOVEDNOSŤ A SANKCIE V článku 73 je stanovené právo každej dotknutej osoby podať sťažnosť dozornému orgánu, pričom sa vychádza z článku 28 ods. 4 smernice 95/46/ES. Sú tu špecifikované aj orgány, organizácie a združenia, ktoré môžu podať sťažnosť v mene dotknutej osoby alebo, v prípade porušenia ochrany osobných údajov, nezávisle od sťažnosti dotknutej osoby. Článok 74 sa týka práva na súdny prostriedok nápravy voči dozornému orgánu. Vychádza z všeobecného ustanovenia článku 28 ods. 3 smernice 95/46/ES. Stanovuje sa tu výslovne súdny prostriedok nápravy, ktorý dozornému orgánu ukladá povinnosť konať vo veci sťažnosti, a vymedzuje sa tu právomoc súdov členského štátu, v ktorom má dozorný úrad sídlo. Takisto sa tu stanovuje, že dozorný orgán členského štátu, v ktorom má dotknutá osoba bydlisko, môže podať v mene dotknutej osoby návrh na začatie konania na súde iného členského štátu, v ktorom má príslušný dozorný orgán sídlo. Článok 75 sa týka práva na súdny prostriedok nápravy voči prevádzkovateľovi či sprostredkovateľovi, pričom sa vychádza z článku 22 smernice 95/46/ES, a stanovuje sa aj možnosť výberu súdu v členskom štáte, v ktorom má odporca sídlo, alebo v ktorom má dotknutá osoba bydlisko. Ak prebiehajú konania týkajúce sa tej istej veci v rámci mechanizmu konzistentnosti, súd môže pozastaviť konanie, pokiaľ nejde o naliehavý prípad. V článku 76 sa stanovujú spoločné pravidlá pre súdne konania vrátane práva orgánov, organizácií alebo združení zastupovať dotknuté osoby na súde, práva dozorných orgánov postupovať súdnou cestou a práva na informovanie súdu o súbežnom konaní v inom členskom štáte a možnosti pre súd pozastaviť v takomto prípade konanie[38]. Členské štáty sú povinné zabezpečiť rýchly priebeh súdneho konania[39]. V článku 77 sa stanovuje právo na kompenzáciu a zodpovednosť. Článok vychádza z článku 23 smernice 95/46/ES a rozširuje toto právo o právo na odškodnenie za škody spôsobené sprostredkovateľom a spresňuje sa zodpovednosť spoločných prevádzkovateľov a sprostredkovateľov. V článku 78 sa stanovuje povinnosť členských štátov, aby stanovili pravidlá o sankciách uplatniteľných v prípade porušenia ustanovení tohto nariadenia a aby zabezpečili ich vykonávanie. V článku 79 je uvedená povinnosť pre všetky dozorné orgány uložiť správne sankcie za priestupky uvedené v tomto ustanovení pri zohľadnení okolností každého konkrétneho prípadu, a to až do maximálnej výšky pokuty. 3.4.9. KAPITOLA IX – USTANOVENIA TÝKAJÚCE SA OSOBITNÝCH SITUÁCIÍ SPRACÚVANIA ÚDAJOV Podľa článku 80 sú členské štáty povinné prijať výnimky a odchýlky z osobitných ustanovení nariadenia, ak je to potrebné na zosúladenie práva na ochranu osobných údajov so slobodou prejavu. Tento článok je založený na článku 9 smernice 95/46/ES, ako bol vyložený Súdnym dvorom EÚ[40]. Na základe článku 81 sú členské štáty povinné nad rámec podmienok pre osobitné kategórie údajov zabezpečiť osobitné záruky v súvislosti so spracúvaním údajov na zdravotné účely. Na základe článku 82 majú členské štáty právomoc prijímať osobitné zákony o spracúvaní osobných údajov v súvislosti so zamestnávaním. V článku 83 sú stanovené osobitné podmienky spracúvania osobných údajov na historické, štatistické a vedeckovýskumné účely. Podľa článku 84 majú členské štáty právomoc prijímať osobitné pravidlá pre dozorné orgány, pokiaľ ide o ich prístup k osobným údajom a do priestorov, ak sa na prevádzkovateľov vzťahuje povinnosť zachovávať mlčanlivosť. Článok 85 umožňuje v kontexte článku 17 Zmluvy o fungovaní Európskej únie ďalšie uplatňovanie existujúcich komplexných pravidiel cirkví týkajúcich sa ochrany údajov, ak budú uvedené do súladu s týmto nariadením. 3.4.10. KAPITOLA X – DELEGOVANÉ AKTY A VYKONÁVACIE AKTY Článok 86 obsahuje štandardné ustanovenia o výkone delegovaných právomocí v súlade s článkom 290 ZFEÚ. Zákonodarcovi to umožňuje delegovať na Komisiu právomoc prijímať všeobecne záväzné nelegislatívne akty, ktorými sa dopĺňajú alebo menia určité nepodstatné prvky legislatívneho aktu (kvázi legislatívne akty). Článok 87 obsahuje ustanovenie o postupe výboru, ktorý je potrebný na postúpenie vykonávacích právomocí Komisii v prípadoch, v ktorých v súlade s článkom 291 ZFEÚ sú potrebné jednotné podmienky vykonávania právne záväzných aktov Únie. Uplatňuje sa pritom postup preskúmania. 3.4.11. KAPITOLA XI – ZÁVEREČNÉ USTANOVENIA Článkom 88 sa zrušuje smernica 95/46/ES. V článku 89 sa spresňuje vzťah k smernici 2002/58/ES o súkromí a elektronických komunikáciách a mení a dopĺňa sa uvedená smernica. V článku 90 sa Komisii ukladá povinnosť hodnotiť nariadenie a predkladať súvisiace správy. V článku 91 je stanovený dátum nadobudnutia účinnosti nariadenia a prechodné obdobie týkajúce sa dátumu začatia jeho uplatňovania. 4. VPLYV NA ROZPOČET Osobitný vplyv návrhu na rozpočet sa týka úloh pridelených európskemu úradníkovi pre ochranu údajov, ako boli uvedené v legislatívnom finančnom výkaze pripojenom k tomuto návrhu. Tieto vplyvy si vyžadujú preprogramovanie okruhu 5 finančného výhľadu. Návrh nemá vplyv na operačné výdavky. Legislatívny finančný výkaz pripojený k tomuto návrhu nariadenia sa týka vplyvu tohto nariadenia a smernice o policajnej a justičnej ochrane údajov na rozpočet. 2012/0011 (COD) Návrh NARIADENIE EURÓPSKEHO PARLAMENTU A RADY o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov (všeobecné nariadenie o ochrane údajov) (Text s významom pre EHP) EURÓPSKY PARLAMENT A RADA EURÓPSKEJ ÚNIE, so zreteľom na Zmluvu o fungovaní Európskej únie, a najmä na jej článok 16 ods. 2 a článok 114 ods. 1, so zreteľom na návrh Európskej komisie, po postúpení návrhu legislatívneho aktu národným parlamentom, so zreteľom na stanovisko Európskeho hospodárskeho a sociálneho výboru[41], po konzultácii s európskym dozorným úradníkom pre ochranu údajov[42], konajúc v súlade s riadnym legislatívnym postupom, keďže: (1) Ochrana fyzických osôb v súvislosti so spracúvaním osobných údajom patrí medzi základné práva. V článku 8 ods. 1 Charty základných práv Európskej únie a v článku 16 ods. 1 zmluvy sa stanovuje zásada, že každý má právo na ochranu osobných údajov, ktoré sa ho týkajú. (2) Spracovávanie údajov je určené k tomu, aby slúžilo človeku; zásady a pravidlá ochrany fyzických osôb pri spracúvaní ich osobných údajov by bez ohľadu na štátnu príslušnosť alebo bydlisko fyzických osôb mali rešpektovať základné práva a slobody, najmä ich právo na ochranu osobných údajov. Mali by prispieť k dokončeniu budovania priestoru slobody, bezpečnosti a spravodlivosti a hospodárskej únie, k hospodárskemu a sociálnemu pokroku, k posilneniu konvergencie ekonomík v rámci vnútorného trhu a ku prospechu fyzických osôb. (3) Úlohou smernice Európskeho parlamentu a Rady 95/46/EHS z 24. októbra 1995 o ochrane fyzických osôb pri spracovaní osobných údajov a voľnom pohybe týchto údajov[43] je harmonizovať ochranu základných práv a slobôd fyzických osôb v súvislosti so spracúvaním údajov a zabezpečiť voľný tok osobných údajov medzi členskými štátmi. (4) Hospodárska a sociálna integrácia, ktorá je dôsledkom fungovania vnútorného trhu, viedla k značnému nárastu cezhraničných tokov. Výmena údajov medzi hospodárskymi a sociálnymi, verejnými a súkromnými aktérmi v Únii vzrástla. Vnútroštátne orgány v členských štátoch sú na základe právnych predpisov Únie povinné spolupracovať a vymieňať si osobné údaje, aby mohli vykonávať svoje povinnosti a úlohy v mene orgánu iného členského štátu. (5) Rýchly technologický rozvoj so sebou priniesol nové výzvy v oblasti ochrany osobných údajov. Rozsah zdieľania a zhromažďovania údajov sa výrazne zväčšil. Technológia umožňuje súkromným podnikom a verejným orgánom pri výkone ich činností využívať osobné údaje v doteraz bezprecedentnom rozsahu. Fyzické osoby vo väčšej miere zverejňujú svoje osobné údaje, a to aj v globálnom meradle. Technológia transformovala hospodársky aj sociálny život a žiada si ďalšie zjednodušenie voľného toku údajov v rámci Únie a prenosu do tretích krajín a medzinárodným organizáciám pri súčasnom zabezpečení vysokej úrovne ochrany osobných údajov. (6) Táto situácia si vyžaduje vytvorenie silného a súdržnejšieho rámca ochrany údajov v Únii, ktorý sa bude intenzívne presadzovať vzhľadom na význam vybudovania dôvery, ktorá umožní rozvoj digitálnej ekonomiky v rámci vnútorného trhu. Fyzické osoby by mali mať kontrolu nad svojimi vlastnými osobnými údajmi a mala by sa posilniť právna a praktická istota pre fyzické osoby, hospodárskych aktérov a verejné orgány. (7) Ciele a zásady smernice 95/46/ES zostávajú platné, nepodarilo sa však zabrániť rozdielnosti implementácie ochrany údajov v Únii, právnej neistote a rozšírenému vnímaniu verejnosti, že v súvislosti s ochranou údajov v prípade fyzických osôb existujú značné riziká, najmä v online prostredí. Rozdiely, ktoré existujú v členských štátoch, pokiaľ ide o úroveň ochrany práv a slobôd fyzických osôb pri spracúvaní osobných údajov, konkrétne práva na ochranu osobných údajov, môžu brániť vo voľnom toku osobných údajov v Únii. Tieto rozdiely preto môžu predstavovať prekážku pri vykonávaní množstva hospodárskych činností na úrovni Únie, narúšať hospodársku súťaž a brániť orgánom v plnení úloh, ktoré majú vykonávať na základe práva Únie. Tento rozdiel v úrovni ochrany je spôsobený existenciou rozdielov vo vykonávaní a uplatňovaní smernice 95/46/ES. (8) Aby sa zabezpečila konzistentná a vysoká úroveň ochrany fyzických osôb a odstránili sa prekážky tokov osobných údajov, musí byť úroveň ochrany osobných práv a slobôd pri spracovávaní týchto údajov rovnaká vo všetkých členských štátoch. Konzistentné a jednotné uplatňovanie pravidiel ochrany základných práv a slobôd fyzických osôb pri spracúvaní osobných údajov by malo byť zabezpečené v rámci celej Únie. (9) Účinná ochrana osobných údajov v rámci Únie si vyžaduje posilnenie a spresnenie práv dotknutých osôb a povinností tých, ktorí osobné údaje spracúvajú a o ich spracovaní rozhodujú, no vyžaduje si aj zodpovedajúce právomoci na monitorovanie a zabezpečenie súladu s pravidlami ochrany osobných údajov a zodpovedajúce sankcie voči tým, ktorí v členských štátoch tieto pravidlá porušujú. (10) Podľa článku 16 ods. 2 zmluvy má Európsky parlament a Rada právomoc stanovovať pravidlá týkajúce sa ochrany fyzických osôb pri spracúvaní osobných údajov a pravidiel týkajúcich s voľného pohybu osobných údajov. (11) Aby sa zabezpečila konzistentná úroveň ochrany fyzických osôb v Únii a zabránilo sa rozdielom, ktoré sú prekážkou voľného pohybu údajov v rámci vnútorného trhu, je potrebné prijať nariadenie, ktoré by poskytlo právnu istotu a bolo by transparentné pre hospodárskych aktérov vrátane mikropodnikov a malých a stredných podnikov, ktoré by fyzickým osobám vo všetkých členských štátoch poskytlo rovnakú úroveň práv vymáhateľných právnymi prostriedkami a prevádzkovateľom a sprostredkovateľom uložilo povinnosti a zodpovednosti, ktoré by zabezpečilo konzistentné monitorovanie a spracovávanie osobných údajov a ktoré by stanovovalo zodpovedajúce sankcie vo všetkých členských štátoch, ako aj účinnú spoluprácu dozorných orgánov rozličných členských štátov. Aby sa zohľadnila osobitná situácia mikropodnikov a malých a stredných podnikov, toto nariadenie obsahuje aj niekoľko výnimiek. Okrem toho sú inštitúcie a orgány Únie, členské štáty a ich dozorné orgány nabádané k tomu, aby pri uplatňovaní tohto nariadenia zohľadňovali osobitné potreby mikropodnikov a malých a stredných podnikov. Pojem mikropodniky a malé a stredné podniky vychádza z odporúčania Komisie 2003/361/ES zo 6. mája 2003 o definícii mikropodnikov a malých a stredných podnikov. (12) Ochrana, ktorú toto nariadenie poskytuje, sa týka fyzických osôb bez ohľadu na ich štátnu príslušnosť alebo bydlisko a vzťahuje sa na spracúvanie osobných údajov. Pokiaľ ide o spracúvanie údajov týkajúcich sa právnických osôb a najmä podnikov vystupujúcich ako právnické osoby vrátane názvu, formy a kontaktných údajov právnickej osoby, takéto právnické osoby sa nemôžu domáhať ochrany poskytovanej týmto nariadením. Toto pravidlo sa uplatňuje aj vtedy, ak názov právnickej osoby obsahuje mená jedného alebo viacerých fyzických osôb. (13) Ochrana fyzických osôb by mala byť technologicky neutrálna a nemala by sa odvíjať od použitých techník, inak by vznikalo závažné riziko obchádzania predpisov. Ochrana fyzických osôb by sa mala vzťahovať na spracúvanie osobných údajov automatizovaným spôsobom, ako aj na ručné spracovávanie, ak sú údaje uchované v informačnom systéme alebo doň majú byť uložené. Súbory alebo komplexy súborov ako aj ich hlavičky, ktoré nie sú štruktúrované podľa špecifických kritérií, nebudú patriť do pôsobnosti tejto smernice. (14) Toto nariadenie sa netýka otázok ochrany základných práv a slobôd alebo voľného toku údajov týkajúcich sa činností, ktoré nepatria do pôsobnosti práva Únie, a netýka sa ani spracúvania osobných údajov inštitúciami, orgánmi, úradmi a agentúrami Únie, na ktoré sa vzťahuje nariadenie (ES) č. 45/2001[44], či spracúvania osobných údajov členskými štátmi pri vykonávaní činností v súvislosti so spoločnou zahraničnou a bezpečnostnou politikou Únie. (15) Toto nariadenie by sa nemalo uplatňovať na spracovávanie osobných údajov fyzickou osobou, ktoré je výlučne osobnej či súkromnej povahy, ako je korešpondencia a uchovávanie adries, a ktoré je bez akéhokoľvek zárobkového motívu, a teda nesúvisí so žiadnou profesionálnou alebo komerčnou činnosťou. Výnimka by sa mala uplatňovať aj na prevádzkovateľov a sprostredkovateľov, ktorí poskytujú prostriedky pre spracovávanie osobných údajov na takéto osobné či súkromné činnosti. (16) Ochrana fyzických osôb pri spracúvaní osobných údajov príslušnými orgánmi na účely predchádzania trestným činom, ich vyšetrovania, odhaľovania alebo stíhania alebo na účely výkonu trestných sankcií a voľný pohyb takýchto údajov podlieha pôsobnosti osobitného právneho nástroja na úrovni Únie. Toto nariadenie by sa teda nemalo uplatňovať pri spracovávaní na takéto účely. Na údaje spracované verejnými orgánmi podľa tohto nariadenia, ak sa používajú na účely predchádzania trestným činom, ich vyšetrovania, odhaľovania alebo stíhania alebo na výkon trestov, by sa mal vzťahovať špecifickejší právny nástroj na úrovni Únie (smernica XX/YYY). (17) Týmto nariadením by nemalo byť dotknuté uplatňovanie smernice 2000/31/ES, najmä povinnosť poskytovateľov sprostredkovateľských služieb uvedená v článkoch 12 až 15 uvedenej smernice. (18) Toto nariadenie umožňuje, aby sa princíp verejného prístupu k oficiálnym dokumentom zohľadnil pri uplatňovaní ustanovení tohto nariadenia. (19) Každé spracovanie osobných údajov v súvislosti s činnosťami zariadenia prevádzkovateľa alebo sprostredkovateľa v Únii by sa malo vykonávať v súlade s týmto nariadením bez ohľadu na to, či sa samotné spracovanie realizuje v Únii alebo nie. Zariadenie znamená efektívny a skutočný výkon činnosti. Právna forma takéhoto zariadenia, či už ide o pobočku alebo dcérsku spoločnosť s právnou subjektivitou, nie je v tomto ohľade určujúcim faktorom. (20) Aby sa zabezpečilo, že fyzické osoby nebudú zbavené ochrany, na ktorú majú na základe tohto nariadenia právo, toto nariadenie by sa malo uplatňovať na spracovanie osobných údajov dotknutých osôb s bydliskom v Únii vykonávané prevádzkovateľom, ktorý nemá sídlo v Únii, ak spracovanie súvisí s ponukou tovaru alebo služieb týmto dotknutým osobám alebo so sledovaním správania týchto dotknutých osôb. (21) Na určenie toho, či spracúvanie údajov možno pokladať za „sledovanie správania“ dotknutej osoby, je potrebné zistiť, či je pohyb fyzických osôb na internete sledovaný prostredníctvom techník spracovania údajov, pomocou ktorých je fyzickej osobe pridelený „profil“ na účely prijatia rozhodnutia týkajúceho sa tejto osoby alebo na účely analýzy či predvídania osobných preferencií, správania a zvykov tejto osoby. (22) Ak sa podľa medzinárodného práva uplatňujú vnútroštátne právne predpisy niektorého členského štátu, toto nariadenie by sa malo uplatniť aj na prevádzkovateľa, ktorý nemá sídlo v Únii, napríklad na diplomatickom zastúpení alebo konzuláte členského štátu. (23) Zásady ochrany údajov by sa mali uplatňovať na všetky informácie týkajúce sa určenej alebo určiteľnej osoby. Na určenie toho, či je osoba určiteľná, by sa mali brať do úvahy všetky prostriedky, pri ktorých existuje primeraná pravdepodobnosť, že ich využije prevádzkovateľ alebo ľubovoľná iná osoba na identifikáciu príslušnej osoby. Zásady ochrany údajov by sa nemali uplatňovať na údaje, ktoré sú považované za anonymizované takým spôsobom, že dotknutá osoba už nie je určiteľná. (24) Pri používaní online služieb môžu byť fyzickým osobám pridelené online identifikátory, ktoré sú generované prístrojmi, aplikáciami, nástrojmi a protokolmi, ako je IP adresa alebo cookies týchto služieb. Tieto môžu zanechávať stopy, ktoré môžu byť v kombinácii s jedinečnými identifikátormi a inými informáciami získanými zo serverov použité na vytvorenie profilov fyzických osôb a na ich identifikáciu. Vyplýva z toho, že identifikačné čísla, lokalizačné údaje, online identifikátory alebo iné osobitné faktory nemusia byť nutne ako také pokladané za všetkých okolností za osobné údaje. (25) Súhlas by mal byť daný výslovne pomocou vhodnej metódy, ktorá umožňuje slobodne poskytnúť špecifické a informované vyjadrenie o želaní dotknutej osoby, a to buď vo forme stanoviska alebo prostredníctvom výslovného prejavu vôle dotknutej osoby, a ktorá zabezpečuje, že fyzické osoby sú si vedomé, že dávajú súhlas na spracovanie osobných údajov – prostredníctvom zakliknutia rámika pri návšteve internetovej stránky alebo podaním iného vyjadrenia alebo vykonaním inej činnosti, ktorá v tomto kontexte jasne znamená, že dotknutá osoba súhlasí s navrhovaným spracovaním jej osobných údajov. Nereagovanie alebo nečinnosť sa preto nepokladajú za vyslovenie súhlasu. Súhlas by sa mal vzťahovať na každé spracovanie vykonávané na ten istý účel alebo účely. Ak má dotknutá osoba vyjadriť súhlas na základe elektronickej požiadavky, požiadavka musí byť jasná, stručná a bez zbytočného prerušenia používania služby, na ktorú sa poskytuje. (26) Osobné údaje týkajúce sa zdravia by mali zahŕňať najmä všetky údaje týkajúce sa zdravotného stavu dotknutej osoby, informácie o registrácii fyzickej osoby na poskytovanie zdravotníckych služieb, informácie o platbách alebo nároku na zdravotnú starostlivosť týkajúce sa fyzickej osoby, číslo, symbol alebo osobitný údaj, ktorý bol fyzickej osobe priradený na individuálnu identifikáciu fyzickej osoby na zdravotné účely, všetky informácie získané o fyzickej osobe počas poskytovania zdravotníckych služieb, informácie získané na základe vykonávania testov alebo prehliadok častí organizmu alebo telesných substancií vrátane biologických vzoriek, identifikácia osoby ako poskytovateľa zdravotnej starostlivosti fyzickej osobe, alebo akékoľvek informácie napr. o chorobe, zdravotnom postihnutí, riziku ochorenia, lekárskej anamnéze, klinickej liečbe, alebo o aktuálnom fyziologickom alebo biomedickom stave dotknutej osoby bez ohľadu na zdroj týchto informácií, či už pochádzajú od lekára alebo zdravotníka, z nemocnice, zo zdravotného prístroja alebo z vykonania diagnostického testu in vitro. (27) Hlavné zariadenie prevádzkovateľa v Únii by sa malo určiť podľa objektívnych kritérií a malo by zahŕňať efektívne a skutočné vykonávanie riadiacich činností stanovujúcich hlavné rozhodnutia týkajúce sa účelu, podmienok a prostriedkov spracúvania na trvalom základe. Toto kritérium by nemalo byť závislé od toho, či sa spracúvanie osobných údajov skutočne vykonáva na tomto mieste, existencia a použitie technických prostriedkov a technológií spracúvania osobných údajov alebo spracovateľských činností nepredstavujú sami osebe takéto hlavné ústredie a preto nie sú určujúcimi kritériami pre hlavné ústredie. Ústredím sprostredkovateľa by malo byť miesto jeho administratívneho sídla v Únii. (28) Skupina podnikov by mala pozostávať z kontrolujúceho podniku a ním kontrolovaných podnikov, pričom kontrolujúci podnik by mal byť podnikom, ktorý môže vykonávať dominantný vplyv na podniky napr. v dôsledku toho, že ich vlastní, v dôsledku finančnej účasti alebo pravidiel upravujúcich činnosť podniku alebo v dôsledku právomoci implementovať pravidlá ochrany osobných údajov. (29) Osobitnú ochranu osobných údajov si zasluhujú deti, keďže si môžu byť v menšej miere vedomé rizík, dôsledkov, záruk a práv súvisiacich so spracovávaním osobných údajov. Na určenie toho, kedy sa fyzická osoba pokladá za dieťa, by toto nariadenie malo prevziať definíciu stanovenú v Dohovore OSN o právach dieťaťa. (30) Každé spracovanie osobných údajov musí byť zákonné, spravodlivé a transparentné vo vzťahu k dotknutým fyzickým osobám. Najmä osobitné dôvody, pre ktoré sa údaje spracúvajú, by mali byť presné a legitímne a stanovené už v čase zhromažďovania údajov. Údaje by mali byť primerané, relevantné a obmedzené na minimum nevyhnutné na účely, na ktoré sa údaje spracúvajú; to si vyžaduje najmä zabezpečenie, aby množstvo zhromaždených údajov nebolo neúmerné a aby obdobie, počas ktorého sa tieto údaje uchovávajú, bolo obmedzené na prísne minimum. Osobné údaje by mali byť spracované len vtedy, ak účel spracovania nebolo možné dosiahnuť inými prostriedkami. Mali by sa prijať všetky primerané opatrenia, aby sa zabezpečilo vymazanie alebo oprava nepresných údajov. Prevádzkovateľ by mal stanoviť lehoty na výmaz alebo pravidelné prehodnotenie, aby sa zabezpečilo, že údaje nebudú uchovávané dlhšie, než je to nutné. (31) Aby bolo spracúvanie zákonné, osobné údaje by sa mali spracúvať na základe súhlasu dotknutej osoby alebo na nejakom inom legitímnom základe, ktorý je stanovený v právnych predpisoch, a to buď v tomto nariadení alebo v iných právnych predpisoch Únie alebo príslušného členského štátu, ako je to uvedené v tomto nariadení. (32) Ak je spracovanie založené na súhlase dotknutej osoby, malo by byť povinnosťou prevádzkovateľa preukázať, že dotknutá osoba vyjadrila súhlas s operáciami spracovania údajov. Najmä v súvislosti s písomným vyhlásením v inej záležitosti by záruky mali zabezpečovať, že dotknutá osoba si je vedomá, že dáva súhlas a v akom rozsahu ho udeľuje. (33) Aby sa zabezpečilo, že vyjadrenie súhlasu bude dobrovoľné, malo by sa ozrejmiť, že súhlas neposkytuje platný právny základ, ak fyzická osoba nemohla vykonať riadnu a slobodnú voľbu, a teda následne nemôže odmietnuť alebo odvolať súhlas bez nepriaznivých následkov. (34) Súhlas by nemal byť platným právnym dôvodom na spracovanie osobných údajov, ak medzi postavením dotknutej osoby a prevádzkovateľa existuje jednoznačný nepomer. Týka sa to najmä situácie, keď je dotknutá osoba závislá od prevádzkovateľa, okrem iného, keď osobné údaje zamestnancov sú spracúvané zamestnávateľom v súvislosti s ich zamestnávaním. Ak je prevádzkovateľom verejný orgán, nepomer by nastal iba pri určitých operáciách spracovania údajov, pri ktorých verejný orgán môže uložiť zo svojej úradnej moci povinnosť a súhlas tak nemožno pokladať za dobrovoľne udelený z hľadiska záujmov dotknutej osoby. (35) Spracovanie by malo byť zákonné, ak je potrebné v súvislosti s plnením zmluvy alebo s úmyslom uzatvoriť zmluvu. (36) Ak sa spracúvanie údajov vykonáva v súlade so zákonnými povinnosťami, ktoré má prevádzkovateľ, alebo ak spracovanie je potrebné na splnenie úlohy vykonávanej vo verejnom záujme alebo na výkon úradnej moci, právny základ pre spracovanie by mal existovať v práve Únie alebo v práve niektorého členského štátu, a tento právny základ by mal spĺňať požiadavky Charty základných práv Európskej únie týkajúce sa obmedzenia práv a slobôd. V právnych predpisoch Únie alebo vo vnútroštátnych právnych predpisoch by malo byť takisto stanovené, či prevádzkovateľom vykonávajúcim úlohu vo verejnom záujme alebo z úradnej moci by mala byť verejná správa, alebo iná fyzická alebo právnická osoba, na ktorú sa vzťahuje verejné alebo súkromné právo, ako napríklad profesijné združenie. (37) Spracovanie osobných údajov sa musí považovať za rovnako zákonné tam, kde je potrebné na účely ochrany záujmu, ktorý je zásadný pre život dotknutej osoby. (38) Oprávnené záujmy prevádzkovateľa môžu poskytnúť právny základ pre spracovanie údajov, ak nad nimi neprevažujú záujmy alebo základné práva a slobody dotknutej osoby. Tu by bolo potrebné vykonávať podrobnejšie posúdenie, najmä ak je dotknutou osobou dieťa, keďže deti majú nárok na osobitnú ochranu. Dotknutá osoba by mala mať právo bezplatne namietať voči spracovaniu z dôvodov jej konkrétnej situácie. Aby sa zabezpečila transparentnosť, prevádzkovateľ by mal byť povinný výslovne informovať dotknutú osobu o oprávnených záujmoch, ktoré spracúvaním sleduje, a o jej práve namietať, a mal by byť takisto povinný zdokumentovať tieto oprávnené záujmy. Keďže je úlohou zákonodarcu stanoviť pre verejné orgány v právnych predpisoch právny základ pre spracovanie údajov, tento právny základ by sa nemal vzťahovať na spracúvanie verejnými orgánmi pri plnení ich úloh. (39) Spracúvane údajov v rozsahu nevyhnutne potrebnom na účely zaistenia siete informačnej bezpečnosti – t. j. schopnosti siete alebo informačného systému s daným stupňom spoľahlivosti zabezpečiť, že sieť alebo systém odolá poruchám alebo nezákonnému narušeniu, ktoré ovplyvňujú disponibilitu, autenticitu, integritu a dôvernosť uložených alebo prenesených údajov – spolu s bezpečnosťou súvisiacich služieb ponúkaných alebo dostupných prostredníctvom týchto sietí a systémov verejnými orgánmi, jednotkami reakcie na núdzové počítačové situácie (CERTs), jednotkami pre riešenie počítačových incidentov (CSIRTs), poskytovateľmi elektronických komunikačných sietí a služieb a poskytovateľmi bezpečnostných technológií a služieb predstavuje oprávnený záujem dotknutého prevádzkovateľa údajov. Takýto oprávnený záujem by mohol spočívať napríklad v zabránení v neoprávnenom prístupe k elektronickým komunikačným sieťam, v zabránení šíreniu poškodzujúcich programových kódov, v zastavení útokov vo forme cieleného preťaženia serverov („denial of service“), ako aj v zabránení poškodzovaniu počítačových a elektronických komunikačných systémov. (40) Spracúvanie osobných údajov na iné účely by malo byť povolené len vtedy, ak je toto spracúvanie v súlade s účelmi, na ktoré boli údaje pôvodne zhromaždené, najmä ak spracúvanie je potrebné na historické, štatistické alebo vedeckovýskumné účely. V prípadoch, v ktorých tento iný účel nie je v súlade s pôvodným účelom, na ktorý boli údaje zhromaždené, prevádzkovateľ by mal získať súhlas dotknutej osoby na tejto iný účel alebo by mal spracovanie vykonať na základe iného legitímneho dôvodu zákonného spracúvania, a to najmä ak je takýto dôvod stanovený v práve Únie alebo v práve členského štátu, ktorému prevádzkovateľ podlieha. V každom prípade by sa malo zabezpečiť uplatnenie zásad stanovených v tomto nariadení a najmä povinnosti informovať dotknutú osobu o týchto iných účeloch. (41) Osobitnú ochranu je potrebné poskytnúť pri osobných údajoch, ktoré sú svojou povahou zvlášť citlivé a exponované v súvislosti so základnými právami alebo právom na súkromie. Takéto údaje by sa nemali spracúvať, pokým k tomu dotknutá osoba nedá výslovne súhlas. Mali by sa však stanoviť výslovné výnimky z tohto zákazu v súvislosti s osobitnými potrebami, najmä ak sa spracúvanie vykonáva v rámci legitímnych činností určitými združeniami alebo nadáciami, ktoré sa zasadzujú o základné slobody. (42) Výnimka zo zákazu spracúvania citlivých kategórií údajov by sa mala povoliť aj v prípade, že existujú pre to zákonné dôvody – s výhradou primeraných záruk ochrany osobných údajov a iných základných práv – ak takéto konanie je odôvodnené verejným záujmom a najmä na zdravotné účely vrátane verejného zdravia, sociálnej ochrany a riadenia poskytovania zdravotníckych služieb, zvlášť ak sa takto zabezpečí kvalita a nákladová efektívnosť postupov používaných pri uplatňovaní nárokov v rámci systému zdravotného poistenia, alebo na účely historické, štatistické a vedeckovýskumné. (43) Okrem toho, spracovanie osobných údajov oficiálnymi orgánmi na dosiahnutie cieľov oficiálne uznaných náboženských združení – cieľov stanovených v ústave alebo v medzinárodnom verejnom práve – sa vykonáva z dôvodov verejného záujmu. (44) Tam, kde si počas volebných aktivít fungovanie demokratického systému v niektorom členskom štáte vyžaduje, aby politické strany zhromažďovali údaje o politických názoroch ľudí, môže byť spracovanie týchto údajov povolené z dôvodov verejného záujmu, a to za predpokladu, že sú poskytnuté náležité záruky. (45) Ak údaje spracúvané prevádzkovateľom nedovoľujú prevádzkovateľovi identifikovať fyzickú osobu, prevádzkovateľ nie je povinný získať dodatočné informácie na identifikovanie dotknutej osoby výlučne na to, aby dosiahol súlad s niektorým ustanovením tohto nariadenia. V prípade žiadosti o prístup k údajom má mať prevádzkovateľ právo žiadať dotknutú osobu o ďalšie informácie, ktoré mu umožnia lokalizovať osobné údaje, ktoré táto osoba hľadá. (46) Zásada transparentnosti si vyžaduje, aby všetky informácie určené verejnosti alebo dotknutej osobe boli ľahko prístupné a ľahko pochopiteľné a napísané jasne a jednoducho. Týka sa to najmä situácií, ako je online reklama, v ktorých veľký počet účastníkov a technologická komplexnosť sťažujú dotknutej osobe zistiť a pochopiť, či osobné údaje, ktoré sa jej týkajú, boli zhromaždené, kým a na aké účely. Keďže deťom prislúcha osobitná ochrana, všetky informácie a každá komunikácia, pri ktorej sa spracovanie zameriava osobitne na dieťa, by mali byť napísané jasne a jednoducho, aby ich dieťa mohlo jednoducho pochopiť. (47) Mali by sa stanoviť spôsoby, ktoré by dotknutej osobe uľahčili uplatnenie jej práv stanovených v tomto nariadení, vrátane mechanizmov pre vyžiadanie si bezplatného prístupu k údajom, ich opravu, výmaz a na uplatnenie práva namietať. Prevádzkovateľ by mal byť povinný odpovedať na žiadosť dotknutej osoby v stanovenej lehote a uviesť dôvody v prípade, že nemôže vyhovieť žiadosti dotknutej osoby. (48) Zásady spravodlivého a transparentného spracúvania vyžadujú, aby dotknutá osoba bola informovaná najmä o existencii operácie spracovania a je účeloch, o tom, ako dlho budú údaje uchované, o existencii práva na prístup, opravu a výmaz a o práve namietať. Ak sa údaje zhromažďujú od dotknutej osoby, dotknutá osoba by mala byť informovaná aj o tom, či je povinná údaje poskytnúť, a o následkoch v prípade, že tieto údaje neposkytne. (49) Informácie súvisiace so spracúvaním osobných údajov týkajúcich sa dotknutej osoby by sa dotknutej osobe mali poskytnúť v čase zhromaždenia údajov alebo, ak údaje nie sú zhromaždené od dotknutej osoby, v primeranej lehote v závislosti od okolností prípadu. Ak možno údaje legitímne poskytnúť inému príjemcovi, dotknutá osoba by mala byť informovaná o tom, kedy boli údaje prvýkrát poskytnuté tomuto príjemcovi. (50) Nie je však potrebné túto povinnosť uložiť, ak dotknutá osoba už tieto informácie má, ak uloženie alebo poskytnutie údajov je výslovne stanovené v právnych predpisoch, alebo ak poskytnutie informácií dotknutej osobe nie je možné alebo by si vyžiadalo vynaloženie neprimeraného úsilia. Posledná situácia by sa mohla týkať najmä spracovania na historické, štatistické alebo vedeckovýskumné účely; v tejto súvislosti možno zohľadniť počet dotknutých osôb, vek údajov a všetky prijaté kompenzačné opatrenia. (51) Každá osoba by mala mať právo na prístup k údajom, ktoré boli o nej zhromaždené, a toto právo aj jednoducho uplatňovať, aby si bola vedomá zákonnosti spracovania a mohla si ju overiť. Každá dotknutá osoba by preto mala mať právo vedieť a byť informovaná najmä o účeloch spracúvania údajov, akú dlhú dobu budú uchovávané, ktorí príjemcovia údajov ich dostanú, aká je logika spracúvania údajov a aké môžu byť následky takéhoto spracovania, aspoň v prípadoch, v ktorých sa spracovania opiera o profilovanie. Toto právo by sa nemalo nepriaznivo dotknúť práv a slobôd iných, ani obchodných tajomstiev alebo práv duševného vlastníctva a najmä autorských práv týkajúcich sa softvéru. Výsledkom týchto obáv by však nemalo byť odmietnutie poskytnutia akýchkoľvek informácií dotknutej osobe. (52) Prevádzkovateľ by mal použiť všetky primerané opatrenia na overenie totožnosti dotknutej osoby žiadajúcej o prístup k údajom, najmä v súvislosti s online službami a online identifikátormi. Prevádzkovateľ by nemal uchovávať osobné údaje len preto, aby bol schopný reagovať na prípadné žiadosti. (53) Každá osoba by mala mať právo nechať opraviť osobné údaje, ktoré sa jej týkajú, a právo byť zabudnutá, ak uchovávanie takýchto údajov nie je v súlade s týmto nariadením. Dotknuté osoby by mali mať najmä právo, aby ich osobné údaje boli vymazané a už viac neboli spracúvané, ak údaje už nie sú potrebné v súvislosti s účelmi, na ktoré boli zhromaždené alebo inak spracúvané, ak dotknuté osoby stiahli svoj súhlas s ich spracovaním, ak namietajú voči spracovaniu osobných údajov, ktoré sa ich týkajú, alebo ak spracovanie ich osobných údajov nie je v súlade s týmto nariadením z iných dôvodov. Toto právo je relevantné hlavné v situácii, v ktorej dotknutá osoba dala súhlas ako dieťa, teda v tom čase si ešte nebola plne vedomá rizík spojených so spracúvaním, a neskôr chce takéto osobné údaje odstrániť, najmä z internetu. Ďalšie uchovávanie údajov by malo byť povolené v prípadoch, ak je potrebné na historické, štatistické a vedeckovýskumné účely, z dôvodu verejného záujmu v oblasti verejného zdravia, na uplatnenie slobody prejavu, ak sa to vyžaduje v právnych predpisoch alebo ak existuje dôvod pre obmedzenie spracúvania údajov namiesto ich vymazania. (54) Aby sa posilnilo právo byť zabudnutý v online prostredí, malo by sa rozšíriť právo na výmaz, a to tak, že by prevádzkovateľ, ktorý osobné údaje zverejnil, bol povinný informovať tretie strany, ktoré takéto údaje spracúvajú, o tom, že dotknutá osoba ich žiada, aby vymazali akékoľvek odkazy na tieto osobné údaje, ich kópie alebo replikácie. Aby sa táto informácia zabezpečila, prevádzkovateľ by mal prijať všetky primerané kroky vrátane technických opatrení v súvislosti s údajmi určenými na zverejnenie, za ktoré je tento prevádzkovateľ zodpovedný. V súvislosti so zverejnením osobných údajov treťou stranou by sa mal za zodpovedného za toto zverejnenie pokladať prevádzkovateľ, ak prevádzkovateľ takéto zverejnenie treťou stranou povolil. (55) Na ďalšie posilnenie kontroly nad údajmi dotknutej osoby a práva na prístup by dotknutá osoba tam, kde sa osobné údaje spracúvajú elektronickými prostriedkami a štruktúrovaným spôsobom v bežne používanom formáte, mala mať právo získať kópiu údajov, ktoré sa jej týkajú, a to v bežne používanom elektronickom formáte. Dotknutá osoba by takisto mala mať právo prenášať tieto údaje, ktoré poskytla, z jednej automatizovanej aplikácie, ako je sociálna sieť, do inej. Tento postup by sa mal uplatniť, ak dotknutá osoba poskytla údaje do automatizovaného systému spracovania na základe jej súhlasu alebo v rámci plnenia zmluvy. (56) V prípade, že by osobné údaje mohli byť zákonne spracované na ochranu životných záujmov dotknutej osoby alebo z dôvodu verejného záujmu, pri výkone úradnej moci alebo na základe oprávnených záujmov prevádzkovateľa, dotknutá osoba by mala mať aj v takom prípade právo namietať proti spracovaniu akýchkoľvek údajov, ktoré sa jej týkajú. Dôkazné bremeno by malo spočívať na prevádzkovateľovi a ten by mal preukázať oprávnené záujmy, ktoré môžu prevažovať nad záujmami alebo základnými právami a slobodami dotknutej osoby. (57) Ak sa osobné údaje spracúvajú na účely priameho marketingu, dotknutá osoba by mala mať právo namietať proti takému spracovaniu, a to bezplatne a jednoduchým a účinným spôsobom. (58) Každá fyzická osoba by mala mať právo, aby sa na ňu nevzťahovalo opatrenie založené na profilovaní prostredníctvom automatizovaného spracovania. Takéto opatrenie by však malo byť povolené, ak je výslovne povolené v právnych predpisoch, vykonáva sa v rámci uzatvorenia alebo plnenia zmluvy alebo ak dotknutá osoba dala svoj súhlas. V každom prípade by takéto spracúvanie malo podliehať primeraným zárukám vrátane povinnosti výslovného informovania dotknutej osoby, práva vymôcť zásah ľudského činiteľa a pravidla, že takéto opatrenie sa nebude týkať detí. (59) Únia alebo členské štáty môžu zaviesť obmedzenia osobitných zásad a práva na informovanie, na prístup, opravu a výmaz alebo práva na prenosnosť údajov, práva namietať, opatrení založených na profilovaní, ako aj oznámení dotknutej osobe o porušení ochrany osobných údajov a určitých povinností prevádzkovateľa, pokiaľ je to potrebné a v demokratickej spoločnosti primerané na zaistenie verejnej bezpečnosti vrátane ochrany zdravia ľudí – najmä v reakcii na prírodné alebo človekom zapríčinené katastrofy – pokiaľ je potrebné predchádzať trestným činom alebo porušovaniu etiky v regulovaných profesiách, vyšetrovať ich a stíhať, alebo ak je to potrebné pre iné verejné záujmy Únie a niektorého členského štátu, najmä ak ide o dôležitý hospodársky alebo finančný záujem Únie alebo niektorého členského štátu, alebo ak je to dôležité pre ochranu dotknutej osoby alebo práv a slobôd iných. Tieto obmedzenia by mali byť predovšetkým v súlade s Chartou základných práv Európskej únie a s Európskym dohovorom o ochrane ľudských práv a základných slobôd. (60) Mala by sa stanoviť celková zodpovednosť a povinnosť prevádzkovateľa týkajúca sa akéhokoľvek spracúvania osobných údajov vykonávaného prevádzkovateľom alebo v jeho mene. Prevádzkovateľ by mal najmä zabezpečiť a mal by mať povinnosť preukázať súlad každej operácie spracovania údajov s týmto nariadením. (61) Ochrana práv a slobôd dotknutých osôb v súvislosti so spracúvaním osobných údajov si vyžaduje prijatie primeraných technických a organizačných opatrení v čase prípravy spracúvania a aj v čase samotného spracúvania, aby sa zabezpečilo splnenie požiadaviek uvedených v tomto nariadení. Aby sa zabezpečil a preukázal súlad s týmto nariadením, prevádzkovateľ by mal prijať interné pravidlá a uplatniť primerané opatrenia, ktoré budú rešpektovať najmä zásady ochrany údajov špecificky navrhnutej a ochrany údajov štandardne určenej. (62) Ochrana práv a slobôd dotknutých osôb, ako aj zodpovednosť a povinnosť prevádzkovateľov a sprostredkovateľa, a to aj v súvislosti s monitorovaním zo strany dozorných orgánov a ich opatreniami, si vyžaduje jasné priradenie zodpovednosti podľa tohto nariadenia vrátane prípadov, v ktorých prevádzkovateľ určuje účely, podmienky a prostriedky spracovania spoločne s inými prevádzkovateľmi alebo v prípadoch, v ktorých sa operácia spracovania vykonáva v mene prevádzkovateľa. (63) Ak prevádzkovateľ, ktorý nemá sídlo v Únii, spracúva osobné údaje dotknutej osoby s bydliskom v Únii, pričom jeho spracúvanie súvisí s ponukou tovaru a služieb takýmto dotknutým osobám alebo so sledovaním ich správania, prevádzkovateľ by mal určiť zástupcu, pokiaľ jeho sídlo nie je v tretej krajine, ktorá zabezpečuje primeranú úroveň ochrany, pokiaľ nie je malým alebo stredným podnikom či verejným orgánom alebo subjektom alebo pokiaľ tento prevádzkovateľ neponúka tovar a služby dotknutým osobám iba príležitostne. Zástupca by mal konať v mene prevádzkovateľa a môže sa na neho obracať ktorýkoľvek dozorný orgán. (64) Aby bolo možné určiť, či prevádzkovateľ ponúka tovar a služby dotknutým osobám s bydliskom v Únii iba príležitostne, je potrebné uistiť sa, či je z celkovej činnosti prevádzkovateľa zjavné, že ponuka tovaru a služieb takýmto dotknutým osobám je vedľajšou činnosťou vykonávanou popri jeho hlavnej činnosti. (65) Aby sa preukázal súlad s týmto nariadením, mal by prevádzkovateľ alebo sprostredkovateľ zdokumentovať každú operáciu spracovania. Každý prevádzkovateľ a sprostredkovateľ by mal byť povinný spolupracovať s dozorným orgánom a na požiadanie mu sprístupniť svoju dokumentáciu tak, aby tento orgán mohol vykonávať monitorovanie týchto operácií spracovania údajov. (66) Aby sa zachovala bezpečnosť a aby sa predišlo spracúvaniu údajov v rozpore s týmto nariadením, prevádzkovateľ alebo sprostredkovateľ by mali posúdiť riziká súvisiace so spracovaním a uplatniť opatrenia na zmiernenie týchto rizík. Tieto opatrenia by mali zabezpečiť primeranú úroveň bezpečnosti pri zohľadnení najnovšieho stavu techniky a nákladov na jej zavedenie v súvislosti s rizikami a povahou osobných údajov, ktoré sa majú chrániť. Pri stanovovaní technických noriem a organizačných opatrení na zaistenie bezpečnosti spracúvania by Komisia mala podporovať technologickú neutralitu, interoperabilitu, inovácie, prípadne spoluprácu s tretími krajinami. (67) Ak nie je porušenie ochrany osobných údajov vhodne a včas riešené, môže spôsobiť značné hospodárske straty a sociálne škody vrátane krádeže totožnosti dotknutej fyzickej osoby. Preto hneď ako prevádzkovateľ zistí, že došlo k porušeniu ochrany údajov, bez zbytočného odkladu oznámi toto porušenie dozornému orgánu, pokiaľ možno do 24 hodín. Ak túto skutočnosť nie je možné oznámiť do 24 hodín, k oznámeniu je potrebné priložiť vysvetlenie dôvodov omeškania. Fyzické osoby, ktorých osobné údaje by mohli byť nepriaznivo ovplyvnené takýmto porušením, by o tejto skutočnosti mali byť bez zbytočného odkladu informované, aby sa im umožnilo podniknúť potrebné kroky. Porušenie by sa malo pokladať za udalosť nepriaznivo ovplyvňujúcu ochranu osobných údajov alebo súkromia, ak by mohlo mať za následok napríklad krádež totožnosti alebo podvod, fyzickú ujmu, veľké poníženie alebo poškodenie dobrého mena. V informácii by mal byť opísaný charakter porušenia ochrany osobných údajov a mali by tu byť uvedené odporúčania pre dotknutú osobu, ako zmierniť možné nepriaznivé dôsledky. Informovanie dotknutých osôb by malo realizovať čo možno najskôr, v úzkej spolupráci s dozorným orgánom a pri dodržaní usmernenia, ktoré tento orgán alebo iný relevantný orgán (napr. orgány presadzovania práva) poskytol. Napríklad možnosť pre dotknutú osobu zmierniť okamžité riziko ujmy si vyžaduje promptné informovanie dotknutých osôb, avšak v prípade, že je potrebné zaviesť primerané opatrenia na zabránenie pokračovaniu alebo výskytu podobných poručení ochrany údajov, môže byť opodstatnená aj dlhšia lehota. (68) Na určenie toho, či porušenie osobných údajov bolo oznámené dozornému orgánu a dotknutej osobe bez zbytočného odkladu, je potrebné uistiť sa, že prevádzkovateľ uplatnil a použil primeranú technologickú ochranu a organizačné opatrenia na bezodkladné zistenie, či došlo k porušeniu ochrany osobných údajov, a na promptné informovanie dozorného orgánu a dotknutej osoby skôr, než príde k poškodeniu osobných a ekonomických záujmov, a zohľadniť pritom najmä povahu a závažnosť porušenia ochrany osobných údajov, dôsledky tohto porušenia a nepriaznivé vplyvy pre dotknutú osobu. (69) Pri stanovovaní podrobných pravidiel týkajúcich sa formátu a postupov uplatniteľných na oznámenia o porušení ochrany osobných údajov je potrebné venovať veľkú pozornosť okolnostiam porušenia, ako aj tomu, či osobné údaje boli alebo neboli chránené primeranými technickými ochrannými opatreniami, ktoré účinne obmedzujú pravdepodobnosť podvodu alebo inej formy zneužitia. Takéto pravidlá a postupy by okrem toho mali zohľadňovať aj oprávnené záujmy orgánov presadzovania práva v prípadoch, v ktorých by predčasné zverejnenie informácií mohlo ľahko poškodiť vyšetrovanie okolností porušenia ochrany údajov. (70) V smernici 95/46/ES bola stanovená všeobecná povinnosť oznamovať spracúvanie osobných údajov dozorným orgánom. Keďže táto povinnosť spôsobovala administratívnu a finančnú záťaž, neprispela vždy k zlepšeniu ochrany osobných údajov. Takáto nerozlišujúca všeobecná oznamovacia povinnosť by preto mala byť zrušená a nahradená efektívnymi postupmi a mechanizmami zameranými namiesto toho na tie operácie spracovania, ktoré môžu predstavovať osobitné riziko pre práva a slobody dotknutých osôb z dôvodu ich povahy, rozsahu alebo účelu, na ktorý sa vykonávajú. V takých prípadoch by prevádzkovateľ alebo sprostredkovateľ mali pred spracovaním informácií vykonať posúdenie vplyvu na ochranu údajov, ktoré by malo zahŕňať najmä uvedenie plánovaných opatrení, záruky a mechanizmy zabezpečenia ochrany osobných údajov a mal by sa takisto preukázať súlad s týmto nariadením. (71) Tento postup by sa mal uplatniť najmä pri novozaložených rozsiahlych informačných systémoch, ktorých cieľom je spracovávať značný objem osobných údajov na regionálnej, vnútroštátnej alebo nadnárodnej úrovni a ktoré by mohli ovplyvniť veľký počet dotknutých osôb. (72) Existujú okolnosti, za ktorých môže byť vhodné a ekonomické, aby sa predmet posúdenia vplyvu na ochranu údajov nevzťahoval len na jeden projekt, ale bol širší, napríklad ak verejné orgány alebo subjekty zamýšľajú vytvoriť spoločnú aplikáciu či spracovateľskú platformu alebo ak niekoľko prevádzkovateľov zamýšľa zaviesť spoločnú aplikáciu či spracovateľské prostredie v rámci odvetvia alebo segmentu alebo na široko rozvetvenú horizontálnu činnosť. (73) Posúdenie vplyvu na ochranu údajov by mal vykonávať verejný orgán alebo verejný subjekt, ak takéto posúdenie nebolo vykonané už v súvislosti s prijímaním vnútroštátneho zákona, na ktorom je založené vykonávanie úloh verejného orgánu alebo verejného subjektu a ktorý reguluje osobitnú operáciu spracovania alebo súbor takýchto operácií. (74) Ak z posúdenia vplyvu na ochranu údajov vyplýva, že operácie spracovania údajov sú sprevádzané vysokým stupňom osobitných rizík pre práva a slobody dotknutých osôb, ako je napríklad riziko, že v dôsledku použitia osobitných nových technológií nebude pre fyzické osoby možné uplatniť ich právo, mal by byť ešte pred začiatkom spracúvania kontaktovaný dozorný orgán a informovaný o riskantnom spracúvaní, ktoré nemusí byť v súlade s týmto nariadením, a mali by byť navrhnuté možnosti nápravy tejto situácie. Takéto konzultácie by sa mali rovnako vykonávať aj počas prípravy buď opatrenia vnútroštátnym parlamentom alebo opatrenia založeného na takomto legislatívnom opatrení, ktoré definuje povahu spracúvania a stanovuje náležité záruky. (75) Ak sa spracúvanie vykonáva vo verejnoprávnom sektore, ak v súkromnom sektore vykonáva spracúvanie veľký podnik, alebo ak hlavné činnosti podniku bez ohľadu na jeho veľkosť zahŕňajú operácie spracovania údajov, ktoré si vyžaduje pravidelné a systematické monitorovanie, prevádzkovateľovi alebo sprostredkovateľovi by mala nejaká osoba pomáhať monitorovať vnútorné dodržiavanie tohto nariadenia. Takýto úradníci pre ochranu údajov, či už sú alebo nie sú zamestnancami prevádzkovateľa, by mali byť schopní vykonávať svoje povinnosti a úlohy nezávisle. (76) Združenia alebo iné orgány zastupujúce kategórie prevádzkovateľov by mali podnecovať k tomu, aby vypracovali kódy správania v rámci ustanovení tohto nariadenia, aby sa uľahčilo účinné uplatňovanie tohto nariadenia, pričom by sa zohľadnili osobitné črty spracúvania v určitých odvetviach. (77) Aby sa zlepšila transparentnosť a posilnil súlad s týmto nariadením, malo by sa podporiť zavádzanie mechanizmov certifikácie, plomb a značiek pre potreby ochrany údajov, aby sa dotknutým osobám umožnilo rýchlo posúdiť úroveň ochrany údajov v prípade relevantných produktov a služieb. (78) Cezhraničné toky osobných údajov sú potrebné pre rozmach medzinárodného obchodu a medzinárodnej spolupráce. Zvyšovanie týchto tokov so sebou prinieslo nové výzvy a obavy týkajúce sa ochrany osobných údajov. Avšak ani v prípade, keď sú osobné údaje prenášané z Únie do tretích krajín alebo medzinárodným organizáciám, úroveň ochrany údajov fyzických osôb zaručovaná Úniou na základe tohto nariadenia by nemala byť oslabená. V každom prípade by prenos do tretích krajín mal byť vykonávaný v úplnom súlade s týmto nariadením. (79) Toto nariadenie sa nedotýka medzinárodných dohôd uzatvorených medzi Úniou a tretími krajinami, ktoré upravujú prenos osobných údajov a poskytujú náležité záruky pre dotknuté osoby. (80) Komisia môže rozhodnúť s účinkom pre celú Úniu, že určité tretie krajiny, územie, sektor spracovania v niektorej tretej krajine alebo medzinárodná organizácia zaručujú primeranú úroveň ochrany údajov, čím poskytne právnu istotu a jednotnosť pre celú Úniu, pokiaľ ide o tretie krajiny alebo medzinárodné organizácie pokladané za krajiny a organizácie poskytujúce takúto úroveň ochrany. V takýchto prípadoch sa prenosy osobných údajov do týchto krajín môžu uskutočňovať bez potreby získania ďalšieho povolenia. (81) V súlade so základnými hodnotami, na ktorých je založená Únia, najmä pokiaľ ide o ochranu ľudských práv, by Komisia pri posudzovaní tretej krajiny mala zohľadniť skutočnosť, ako daná tretia krajina dodržiava zásady právneho štátu, prístupu k spravodlivosti, ako aj medzinárodné normy a štandardy v oblasti ľudských práv. (82) Komisia môže rovnako usúdiť, že tretia krajina, územie, sektor spracovania v tretej krajine alebo medzinárodná organizácia nezabezpečujú primeranú úroveň ochrany údajov. V dôsledku toho by sa mal prenos osobných údajov do tejto tretej krajiny zakázať. V takomto prípade treba prijať ustanovenie o konzultácii medzi Komisiou a takýmito tretími krajinami alebo medzinárodnými organizáciami. (83) Pri absencii rozhodnutia o primeranosti by prevádzkovateľ a sprostredkovateľ mali prijať opatrenia na kompenzáciu za nedostatočnú ochranu údajov v tretej krajine prostredníctvom náležitých záruk pre dotknutú osobu. Takéto náležité záruky môžu spočívať v uplatnení záväzných firemných pravidiel, štandardných ustanovení o ochrane údajov prijatých Komisiou, štandardných ustanovení o ochrane údajov prijatých dozorným orgánom, alebo iných vhodných a primeraných opatrení opodstatnených všetkými okolnosťami operácie prenosu údajov alebo súboru operácií prenosu údajov a povolených dozorným orgánom. (84) Možnosť pre prevádzkovateľa alebo sprostredkovateľa uplatniť štandardné ustanovenia o ochrane údajov prijaté Komisiou alebo dozorným orgánom by prevádzkovateľom ani sprostredkovateľom nemali brániť v tom, aby zahrnuli štandardné doložky o ochrane údajov do širšej zmluvy alebo k nim pridali ďalšie ustanovenia, pokiaľ nie sú priamo alebo nepriamo kontradiktórne vo vzťahu k štandardným zmluvným doložkám prijatým Komisiou alebo dozorným orgánom alebo pokiaľ sa nedotýkajú základných práv a slobôd dotknutých osôb. (85) Každá skupina podnikov by mala byť schopná uplatňovať záväzné firemné pravidlá pri svojich medzinárodných prenosoch z Únie organizáciám v rámci tej istej skupiny podnikov, pokiaľ takéto firemné pravidlá zahŕňajú hlavné zásady a vymáhateľné práva na zabezpečenie náležitých záruk pre prenosy alebo kategórie prenosov osobných údajov. (86) Mali by byť prijaté ustanovenia o možnosti prenosov za určitých okolností, ak dotknutá osoba dala súhlas, ak je prenos potrebný v súvislosti so zmluvným alebo právnym nárokom, ak si to vyžadujú dôležité dôvody verejného záujmu stanoveného Úniou alebo členským štátom alebo ak je prenos realizovaný z registra vytvoreného na základe zákona alebo určeného na nahliadanie zo strany verejnosti alebo osôb s oprávneným záujmom. V poslednom uvedenom prípade by tento prenos nemal zahŕňať úplné údaje alebo celé kategórie údajov obsiahnutých v registri a ak je register učený na nahliadanie zo strany osôb s oprávneným záujmom, prenos by sa mal vykonať len na požiadanie takýchto osôb alebo vtedy, ak sú takéto osoby príjemcami údajov. (87) Tieto výnimky by sa mali uplatňovať najmä pri prenosoch údajov požadovaných a potrebných na ochranu dôležitých dôvodov verejného záujmu, napríklad v prípadoch medzinárodných prenosov medzi orgánmi hospodárskej súťaže, daňovými alebo colnými správami, orgánmi finančného dohľadu, medzi útvarmi zodpovednými za otázky sociálneho zabezpečenia alebo medzi príslušnými orgánmi na účely predchádzania trestným činom, ich vyšetrovania, odhaľovania a stíhania. (88) Možno vykonávať aj prenosy, ktoré nemožno označiť za časté alebo hromadné, a to na účely oprávnených záujmov prevádzkovateľa alebo sprostredkovateľa, ak posúdili všetky okolnosti prenosu údajov. Na účely spracúvania na historické, štatistické a vedeckovýskumné účely by sa mali zohľadniť legitímne očakávania spoločnosti týkajúce sa prehĺbenia znalostí. (89) V každom prípade, v ktorom Komisia neprijala rozhodnutie o primeranej úrovni ochrany údajov v niektorej tretej krajine, prevádzkovateľ alebo sprostredkovateľ by mali využiť riešenia, ktoré dotknutým osobám poskytujú záruky, že budú aj naďalej môcť uplatňovať základné práva a záruky, pokiaľ ide o spracúvanie ich údajov v Únii, keď budú tieto údaje prenesené. (90) Niektoré tretie krajiny prijímajú zákony, nariadenia alebo iné legislatívne nástroje, ktoré priamo regulujú spracúvanie údajov fyzických a právnických osôb v rámci jurisdikcie členských štátov. Extrateritoriálne uplatňovanie týchto zákonov, nariadení a iných legislatívnych nástrojov môže byť v rozpore s medzinárodným právom a môže ohroziť ochranu fyzických osôb garantovanú Úniou v tomto nariadení. Prenosy by mali byť povolené len za podmienok uvedených v tomto nariadení pre prenosy do tretích krajín. Môže ísť okrem iného o prípad, keď zverejnenie je potrebné z dôležitého dôvodu verejného záujmu uznaného v právnych predpisoch Únie alebo v právnych predpisoch členských štátov, ktorým prevádzkovateľ podlieha. Podmienky, za ktorých existuje dôležitý dôvod verejného záujmu, by mala Komisia ďalej špecifikovať v delegovanom akte. (91) Pri pohybe osobných údajov za hranice sa môže zvýšiť riziko z hľadiska možnosti fyzických osôb uplatniť práva ochrany údajov, a to najmä pokiaľ ide o ich schopnosť chrániť sa pred nezákonným využitím alebo zverejnením týchto informácií. Zároveň dozorné orgány môžu zistiť, že nie sú schopné riešiť sťažnosti alebo vykonávať vyšetrovanie týkajúce sa činností vykonávaných za ich hranicami. Prekážkou v ich úsilí spolupracovať v cezhraničnom kontexte môžu byť aj nedostatočné preventívne alebo nápravné právomoci, nekonzistentné právne režimy a praktické prekážky, napríklad nedostatočné zdroje. Preto je tu potreba podporovať užšiu spoluprácu medzi dozornými orgánmi pre ochranu údajov s cieľom pomôcť im pri výmene informácií a pri vyšetrovaniach vykonávaných v spolupráci s ich medzinárodnými partnermi. (92) Zriadenie dozorných orgánov v členských štátoch a vykonávanie ich funkcií v úplnej nezávislosti je zásadným prvkom ochrany fyzických osôb v súvislosti so spracúvaním ich osobných údajov. Členské štáty môžu zriadiť viac ako jeden dozorný orgán, aby zohľadnili svoju ústavnú, organizačnú a správnu štruktúru. (93) Ak niektorý členský štát zriadi viacero dozorných orgánov, mal by v zákone stanoviť mechanizmy na zabezpečenie efektívnej účasti týchto dozorných orgánov na mechanizme konzistentnosti. Takéto členské štáty by mali najmä určiť dozorný orgán, ktorý bude fungovať ako jediné kontaktné miesto pre efektívnu účasť týchto orgánov na uvedenom mechanizme s cieľom zabezpečiť rýchlu a bezproblémovú spoluprácu s ostatnými dozornými orgánmi, Európskym výborom pre ochranu údajov a Komisiou. (94) Každý dozorný orgán by mal mať k dispozícii dostatok personálnych a finančných zdrojov, priestory a infraštruktúru, ktoré sú potrebné na účinné plnenie úloh vrátane tých, ktoré sa týkajú vzájomnej pomoci a spolupráce s ostatnými dozornými orgánmi v rámci Únie. (95) Všeobecné podmienky pre členov dozorného orgánu by mal každý členský štát stanoviť zákonným predpisom, kde by malo byť najmä stanovené, že členovia by mali byť menovaní parlamentom alebo vládou členského štátu, a mali by tu byť uvedené pravidlá o osobnej kvalifikácii členov a pozícii týchto členov. (96) Dozorné orgány by mali monitorovať uplatňovanie ustanovení podľa tohto nariadenia a prispievať k jeho konzistentnému uplatňovaniu v rámci Únie, aby sa chránili fyzické osoby v súvislosti so spracúvaním ich osobných údajov a uľahčil sa voľný tok osobných údajov v rámci vnútorného trhu. Na tento účel by dozorné orgány mali spolupracovať navzájom, ako aj s Komisiou. (97) Ak sa spracovanie osobných údajov v rámci činnosti zariadenia prevádzkovateľa alebo sprostredkovateľa v Únii vykonáva vo viac ako jednom členskom štáte, pre monitorovanie činností prevádzkovateľa alebo sprostredkovateľa v Únii a prijímanie súvisiacich rozhodnutí by mal byť príslušný iba jeden dozorný orgán, aby sa posilnilo konzistentné uplatňovanie pravidiel, poskytla sa právna istota a znížilo sa administratívne zaťaženie pre takýchto prevádzkovateľov a sprostredkovateľov. (98) Príslušným orgánom, ktorý je takýmto jediným kontaktným miestom, by mal byť dozorný orgán členského štátu, v ktorom má prevádzkovateľ alebo sprostredkovateľ svoje ústredie. (99) Hoci sa toto nariadenie uplatňuje aj na činnosti vnútroštátnych súdov, príslušnosť dozorných orgánov by sa nemala vzťahovať na spracúvanie osobných údajov v prípadoch, v ktorých konajú súdy na základe ich súdnej právomoci, aby sa takto zaručila nezávislosť sudcov pri výkone ich sudcovských úloh. Táto výnimka by mala byť prísne obmedzená výlučne na sudcovské činnosti v rámci súdnych konaní a nemala by sa uplatňovať na iné činnosti, do ktorých môžu byť sudcovia zapojení v súlade s vnútroštátnym právom. (100) Aby sa zabezpečilo konzistentné monitorovanie a uplatňovanie tohto nariadenia v rámci Únie, dozorné orgány by mali mať vo všetkých členských štátoch rovnaké povinnosti a účinné právomoci vrátane právomoci vykonávať vyšetrovania, právomoci robiť právne záväzné úkony, prijímať rozhodnutia a ukladať sankcie, a to najmä v prípadoch sťažností od fyzických osôb, a právomoci zapájať sa do súdnych konaní. Vyšetrovacie právomoci dozorných orgánov, pokiaľ ide o prístup do priestorov, by sa mali uplatňovať v súlade s právnymi predpismi Únie a s vnútroštátnymi právnymi predpismi. Týka sa to najmä požiadavky získať povolenie súdu vopred. (101) Každý dozorný orgán by mal prejednať sťažnosti podané ktoroukoľvek dotknutou osobou a vyšetriť predmetnú záležitosť. Vyšetrovanie na základe sťažnosti by sa malo vykonávať, s výhradou preskúmania veci súdom, v rozsahu primeranom pre konkrétny prípad. Dozorný orgán by mal informovať dotknutú osobu o pokroku pri vybavovaní sťažnosti a o výsledku sťažnosti v rámci primeranej lehoty. Ak si predmetná záležitosť vyžaduje ďalšie vyšetrovanie alebo koordináciu s iným dozorným orgánom, dotknutej osobe by sa mala poskytnúť priebežná informácia. (102) Aktivity dozorných orgánov zamerané na zvyšovanie informovanosti a adresované verejnosti by mali zahŕňať špecifické opatrenia určené prevádzkovateľom a sprostredkovateľom vrátane malých a stredných podnikov, ako aj dotknutým osobám. (103) Dozorné orgány by si mali navzájom pomáhať pri výkone svojich povinností a poskytovať vzájomnú pomoc s cieľom zabezpečiť konzistentné uplatňovanie a presadzovanie tohto nariadenia na vnútornom trhu. (104) Každý dozorný orgán by mal mať právo zúčastňovať sa na spoločných operáciách medzi dozornými orgánmi. Požiadaný dozorný orgán by mal mať povinnosť odpovedať na žiadosť v rámci vymedzenej časovej lehoty. (105) S cieľom zabezpečiť konzistentné uplatňovanie tohto nariadenia v celej Únii by sa mal zriadiť mechanizmus konzistentnosti pre spoluprácu medzi dozornými orgánmi navzájom a medzi nimi a Komisiou. Tento mechanizmus by sa mal uplatňovať najmä vtedy, keď dozorný orgán mieni prijať opatrenie týkajúce sa operácií spracovania, ktoré súvisia s ponukou tovaru alebo služieb dotknutým osobám v niekoľkých členských štátoch, alebo so sledovaním správania takýchto dotknutých osôb, alebo ktoré by mohli podstatne ovplyvniť voľný pohyb osobných údajov. Mal by sa takisto uplatniť vtedy, keď niektorý dozorný orgán alebo Komisia žiadajú, aby sa predmetná záležitosť riešila v rámci mechanizmu konzistentnosti. Týmto mechanizmom by nemali byť dotknuté žiadne opatrenia, ktoré by Komisia mohla prijať pri výkone svojich právomocí v zmysle zmlúv. (106) Pri uplatňovaní mechanizmu konzistentnosti by Európsky výbor pre ochranu údajov mal v rámci vymedzenej časovej lehoty vydať stanovisko, ak o tom rozhodne jednoduchá väčšina jeho členov, alebo ak o to požiada niektorý dozorný orgán alebo Komisia. (107) S cieľom zabezpečiť súlad s týmto nariadením môže Komisia prijať stanovisko k tejto veci alebo rozhodnutie, ktorým požiada dozorný orgán o pozastavenie jeho návrhu opatrenia. (108) Môže sa vyskytnúť naliehavá potreba konať kvôli ochrane záujmov dotknutých osôb, najmä ak existuje nebezpečenstvo, že by uplatňovanie práva dotknutej osoby mohlo byť podstatne sťažené. Dozorný orgán by preto mal mať možnosť pri uplatňovaní mechanizmu konzistentnosti prijímať dočasné opatrenia s vymedzenou dobou platnosti. (109) Uplatňovanie tohto mechanizmu by malo byť podmienkou právoplatnosti a vymáhania príslušného rozhodnutia dozorným orgánom. V iných prípadoch s cezhraničnou pôsobnosťou by sa vzájomná pomoc a spoločné vyšetrovanie mohli vykonávať medzi dotknutými dozornými orgánmi na dvojstrannom alebo viacstrannom základe bez uvedenia mechanizmu konzistentnosti do činnosti. (110) Na úrovni Únie by sa mal zriadiť Európsky výbor pre ochranu údajov. Mal by nahradiť pracovnú skupinu pre ochranu jednotlivcov so zreteľom na spracovanie osobných údajov, zriadenú smernicou 95/46/ES. Mal by pozostávať z vedúcich predstaviteľov dozorných orgánov, a to po jednom z každého členského štátu, a európskeho dozorného úradníka pre ochranu údajov. Na jeho činnosti by sa mala podieľať aj Komisia. Európsky výbor pre ochranu údajov by mal prispievať ku konzistentnému uplatňovaniu tohto nariadenia v rámci celej Únie, a to aj poskytovaním poradenstva Komisii a podporou spolupráce medzi dozornými orgánmi v rámci celej Únie. Európsky výbor pre ochranu údajov by mal pri výkone svojich úloh konať nezávisle. (111) Každá dotknutá osoba by mala mať právo podať sťažnosť u dozorného orgánu v ktoromkoľvek členskom štáte a mať právo na súdne prostriedky nápravy, ak usúdi, že jej práva ustanovené týmto nariadením sa porušujú, alebo ak dozorný orgán nereaguje na sťažnosť alebo nekoná v prípade, že takéto konanie je nevyhnutné na ochranu práv dotknutej osoby. (112) Všetky orgány, organizácie či združenia, ktorých cieľom je ochrana práv a záujmov dotknutých osôb súvisiaca s ochranou ich údajov a ktoré sú zriadené podľa právnych predpisov niektorého členského štátu, by mali mať možnosť podať sťažnosť u dozorného orgánu alebo využiť právo na súdny opravný prostriedok v mene dotknutých osôb, alebo nezávisle od sťažnosti niektorej dotknutej osoby podať vlastnú sťažnosť v prípade, že usúdia, že došlo k porušeniu ochrany osobných údajov. (113) Každá fyzická či právnická osoba by mala mať právo na súdne prostriedky nápravy voči rozhodnutiam dozorného orgánu, ktoré sa jej týka. Návrh na začatie konania voči dozornému orgánu by sa mal podať na súde členského štátu, v ktorom má dozorný orgán sídlo. (114) S cieľom posilniť súdnu ochranu dotknutých osôb v situáciách, keď príslušný dozorný orgán má sídlo v inom členskom štáte, než je štát, v ktorom má dotknutá osoba bydlisko, dotknutá osoba môže požiadať ktorýkoľvek z orgánov, organizácií či združení, ktorých cieľom je ochrana práv a záujmov dotknutých osôb súvisiaca s ochranou ich osobných údajov, podať v mene dotknutej osoby návrh na začatie konania voči dozornému orgánu na príslušnom súde v tomto druhom členskom štáte. (115) V situáciách, keď príslušný dozorný orgán so sídlom v inom členskom štáte nekoná alebo neprijal dostatočné opatrenia vo veci sťažnosti, dotknutá osoba môže požiadať dozorný orgán v členskom štáte jej obvyklého pobytu, aby tento podal návrh na začatie konania voči predmetnému dozornému orgánu na príslušnom súde v tomto druhom členskom štáte. Požiadaný dozorný orgán môže rozhodnúť, s výhradou preskúmania súdom, či je vhodné danej žiadosti vyhovieť alebo nie. (116) Pri konaniach voči prevádzkovateľovi alebo sprostredkovateľovi by žalobca mal mať možnosť podať návrh na začatie konania na súde členského štátu, v ktorom má prevádzkovateľ alebo sprostredkovateľ príslušné zariadenie v činnosti, alebo kde má dotknutá osoba bydlisko, s výnimkou prípadov, keď prevádzkovateľom je verejný orgán konajúci v rámci výkonu svojich verejných právomocí. (117) Ak existujú náznaky, že sa na súdoch iných členských štátov vedú súbežné konania, príslušné súdy by mali mať povinnosť navzájom sa kontaktovať. Súdy by mali mať možnosť pozastaviť konanie vo veci v prípade, že sa v inom členskom štáte vedie súbežné konanie. Členské štáty by mali zabezpečiť, aby súdne opatrenia umožňovali v záujme ich účinnosti urýchlené prijatie opatrení na nápravu alebo na predchádzanie porušeniu tohto nariadenia. (118) Prevádzkovateľ alebo sprostredkovateľ by mali nahradiť akúkoľvek š