EURÓPSKA KOMISIA V Bruseli10. 1. 2017 COM(2017) 8 final 2017/0002(COD) Návrh NARIADENIE EURÓPSKEHO PARLAMENTU A RADY o ochrane fyzických osôb pri spracúvaní osobných údajov inštitúciami, orgánmi, úradmi a agentúrami Únie a o voľnom pohybe takýchto údajov, ktorým sa zrušuje nariadenie (ES) č. 45/2001 a rozhodnutie č. 1247/2002/ES



DÔVODOVÁ SPRÁVA 1.KONTEXT NÁVRHU •Dôvody a ciele návrhu V článku 16 ods. 1 Zmluvy o fungovaní Európskej únie (ZFEÚ), ktorý bol zavedený Lisabonskou zmluvou, sa stanovuje zásada, že každý má právo na ochranu osobných údajov, ktoré sa ho týkajú. Okrem toho sa v článku 16 ods. 2 ZFEÚ Lisabonskou zmluvou zaviedol osobitný právny základ pre prijatie pravidiel ochrany osobných údajov. V článku 8 Charty základných práv Európskej únie je zakotvená ochrana osobných údajov ako základné právo. Právo na ochranu osobných údajov sa vzťahuje aj na spracúvanie osobných údajov inštitúciami, orgánmi, úradmi a agentúrami EÚ. Nariadenie (ES) č. 45/2001, ktoré je hlavnou súčasťou existujúcich právnych predpisov EÚ o ochrane osobných údajov v inštitúciách Únie, bolo prijaté v roku 2001 s dvoma cieľmi: chrániť základné právo na ochranu údajov a zaručiť voľný tok osobných údajov v celej Únii. Toto nariadenie bolo doplnené rozhodnutím č. 1247/2002/ES. Dňa 27. apríla 2016 Európsky parlament a Rada prijali všeobecné nariadenie o ochrane údajov [nariadenie (EÚ) 2016/679], ktoré nadobudne účinnosť 25. mája 2018. V tomto nariadení sa vyžaduje, aby sa nariadenie (ES) č. 45/2001 v záujme stanovenia silného a súdržného rámca ochrany údajov v Únii prispôsobilo zásadám a pravidlám stanoveným v nariadení (EÚ) 2016/679 a aby sa umožnil súčasný začiatok uplatňovania oboch nástrojov. Je v súlade s jednotným prístupom k ochrane osobných údajov v celej Európskej únii, aby sa pravidlá ochrany údajov pre inštitúcie, orgány, úrady a agentúry Únie čo možno najviac zosúladili s pravidlami na ochranu údajov prijatými pre členské štáty. Ak sú ustanovenia návrhu založené na rovnakej koncepcii ako ustanovenia nariadenia (EÚ) 2016/679, mali by sa tieto dve ustanovenia vykladať rovnako, najmä preto, že schéma návrhu by sa mala chápať ako ekvivalent schémy nariadenia (EÚ) 2016/679. Pri preskúmaní nariadenia (ES) č. 45/2001 sa okrem toho berú do úvahy aj výsledky prieskumov a konzultácií so zainteresovanými stranami a hodnotiaca štúdia o jeho vykonávaní za posledných 15 rokov. Táto iniciatíva sa neuskutočňuje v rámci programu regulačnej vhodnosti (REFIT). •Súlad s existujúcimi ustanoveniami v tejto oblasti politiky Návrh má za cieľ zosúladiť ustanovenia nariadenia (ES) č. 45/2001 so zásadami a pravidlami stanovenými v nariadení (EÚ) 2016/679 v záujme stanovenia silného a súdržného rámca ochrany údajov v Únii. Tento návrh tiež zahŕňa príslušné pravidlá stanovené v nariadení (ES) XXXX/XX [nariadenie o ochrane súkromia v elektronickej komunikácii] s ohľadom na ochranu koncových zariadení koncových používateľov. •Súlad s ostatnými politikami Únie Neuplatňuje sa. 2.PRÁVNY ZÁKLAD, SUBSIDIARITA A PROPORCIONALITA •Právny základ Ochrana fyzických osôb v súvislosti so spracúvaním ich osobných údajov je základným právom, ktoré je zakotvené v článku 8 ods. 1 Charty základných práv Európskej únie. Tento návrh sa zakladá na článku 16 ZFEÚ, ktorý je právnym základom pre prijatie pravidiel ochrany osobných údajov. Tento článok umožňuje prijatie pravidiel týkajúcich sa ochrany fyzických osôb, pokiaľ ide o spracúvanie osobných údajov inštitúciami, orgánmi, úradmi a agentúrami Únie pri výkone činností, ktoré patria do rozsahu pôsobnosti práva Únie. Umožňuje tiež prijatie pravidiel týkajúcich sa voľného pohybu osobných údajov vrátane osobných údajov spracúvaných týmito inštitúciami, orgánmi, úradmi a agentúrami. •Subsidiarita (v prípade inej ako výlučnej právomoci) Predmet tohto nariadenia patrí do oblasti výlučnej kompetencie Únie, keďže len Únia môže prijímať pravidlá upravujúce spracovávanie osobných údajov inštitúciami Únie.

•Proporcionalita V súlade so zásadou proporcionality je na dosiahnutie základných cieľov súvisiacich so zabezpečením rovnocennej úrovne ochrany fyzických osôb so zreteľom na spracúvanie osobných údajov a voľný tok osobných údajov v rámci Únie potrebné a vhodné stanoviť pravidlá spracúvania osobných údajov inštitúciami, orgánmi, úradmi a agentúrami Únie. Toto nariadenie neprekračuje rámec toho, čo je nevyhnutné na dosiahnutie cieľov stanovených v súlade s článkom 5 ods. 4 Zmluvy o Európskej únii. •Výber nástroja Za vhodný právny nástroj na vymedzenie rámca na ochranu fyzických osôb so zreteľom na spracúvanie osobných údajov inštitúciami, orgánmi, úradmi a agentúrami Únie a voľný pohyb týchto údajov sa považuje nariadenie. Poskytuje fyzickým osobám práva, ktoré sú vymožiteľné právnymi prostriedkami, určuje povinnosti súvisiace so spracúvaním údajov pre prevádzkovateľov v inštitúciách, orgánoch, úradoch a agentúrach Únie. Okrem toho tiež stanovuje nezávislý dozorný orgán, európskeho dozorného úradníka pre ochranu údajov, ktorý má byť zodpovedný za monitorovanie spracúvania osobných údajov inštitúciami, orgánmi, úradmi a agentúrami Únie. 3.VÝSLEDKY HODNOTENÍ EX POST, KONZULTÁCIÍ SO ZAINTERESOVANÝMI STRANAMI A POSÚDENÍ VPLYVU Komisia v roku 2010 a 2011 uskutočnila konzultácie so zainteresovanými stranami a posúdenie vplyvu v súvislosti s prípravou balíčka reforiem týkajúcich sa ochrany údajov, v ktorom informuje o navrhovaných zmenách v nariadení (ES) č. 45/2001. V tejto súvislosti Komisia tiež uskutočnila prieskum medzi koordinátormi Komisie pre ochranu údajov. Pokiaľ ide o praktické uplatňovanie nariadenia (ES) č. 45/2001 inštitúciami, orgánmi, úradmi a agentúrami Únie, zhromaždili sa informácie od európskeho dozorného úradníka pre ochranu údajov, iných inštitúcií, orgánov, úradov a agentúr Únie, iných GR Komisie a od externého dodávateľa. Sieti zodpovedných osôb sa zaslal dotazník. Zodpovedné osoby z viacerých inštitúcií, orgánov, úradov a agentúr Únie uskutočnili workshopy v súvislosti s reformou nariadenia č. 45/2001, a to v dňoch 9. júla 2015, 22. októbra 2015, 19. januára 2016 a 15. marca 2016. V roku 2013 sa Komisia rozhodla vykonať hodnotiacu štúdiu o dovtedajšom uplatňovaní nariadenia (ES) č. 45/2001, ktorú zadala externému dodávateľovi. Konečné výsledky hodnotiacej štúdie (záverečná správa, päť prípadových štúdií a analýza podľa jednotlivých článkov) boli predložené Komisii 8. júna 2015. Z hodnotenia vyplynulo, že systém riadenia tvorený zodpovednými osobami a európskym dozorným úradníkom pre ochranu údajov (EDPS) je účinný. Zistilo sa, že rozdelenie právomocí medzi zodpovedné osoby a EDPS je jasné a dobre vyvážené, a že obe strany majú primeraný rozsah právomocí. Mohli by však vzniknúť problémy súvisiace s nedostatočnými kompetenciami v dôsledku nedostatočnej podpory zodpovedných osôb zo strany vedenia. Z hodnotiacej štúdie vyplynulo, že nariadenie (ES) č. 45/2001 by sa mohlo lepšie presadzovať prostredníctvom sankcií zo strany EDPS. Väčšie využívanie jeho právomocí ako dozorného orgánu by mohlo viesť k lepšiemu vykonávaniu pravidiel ochrany osobných údajov. Ďalším záverom bolo, že prevádzkovatelia by mali prijať prístup založený na riadení rizík a vykonávať posúdenia rizík ešte pred spracovateľskými operáciami s cieľom lepšie plniť požiadavky na uchovávanie údajov a ich bezpečnosť. Štúdia takisto ukázala, že súčasné predpisy v kapitole IV nariadenia (ES) č. 45/2001 o telekomunikačnom sektore sú zastarané a že je potrebné zosúladiť túto kapitolu so smernicou o súkromí a elektronických komunikáciách. Podľa hodnotiacej štúdie je tiež potrebné objasniť niektoré kľúčové definície nariadenia (ES) č. 45/2001. Tieto zahŕňajú identifikáciu prevádzkovateľov v inštitúciách, orgánoch, úradoch a agentúrach Únie, vymedzenie príjemcov a rozšírenie povinnosti zachovávania dôvernosti na externých sprostredkovateľov. Hodnotiaca štúdia okrem toho poukázala na potrebu zjednodušenia systému notifikácií a predbežných kontrol v záujme zvýšenia účinnosti a zníženia administratívnej záťaže. Posudzovateľ vykonal online prieskum v 64 inštitúciách, orgánoch, úradoch a agentúrach Únie. Na otázky prieskumu odpovedalo 422 zodpovedných úradníkov prevádzkovateľov, 73 zodpovedných osôb, 118 koordinátorov pre ochranu údajov a 109 respondentov z oblasti IT. Posudzovateľ okrem toho vykonal aj rad rozhovorov so zainteresovanými stranami. Dňa 26. marca 2015 posudzovateľ a Komisia zorganizovali záverečný workshop, na ktorom sa zúčastnili viacerí prevádzkovatelia, zodpovedné osoby, koordinátori pre ochranu údajov, respondenti z oblasti IT a predstavitelia EDPS. •Získavanie a využívanie expertízy Pozri odkaz na hodnotiacu štúdiu pod predchádzajúcim bodom. •Posúdenie vplyvu Vplyv tohto návrhu sa bude týkať najmä inštitúcií, orgánov, úradov a agentúr Únie. Potvrdzujú to informácie získané od EDPS, iných inštitúcií, orgánov, úradov a agentúr Únie, GR Komisie a externého dodávateľa. Okrem toho sa hodnotil aj vplyv nových povinností vyplývajúcich z nariadenia (EÚ) 2016/679, s ktorým sa má toto nariadenie zosúladiť, a to v súvislosti s prípravnými prácami pre toto nariadenie. Na základe toho sa osobitné posúdenie vplyvu pre toto nariadenie stáva zbytočným. •Regulačná vhodnosť a zjednodušenie Neuplatňuje sa.

•Základné práva Právo na ochranu osobných údajov sa stanovuje v článku 8 Charty základných práv Európskej únie (ďalej len „charta“), v článku 16 ZFEÚ a v článku 8 Európskeho dohovoru o ochrane ľudských práv. Ako zdôraznil Súdny dvor Európskej únie, právo na ochranu osobných údajov nie je absolútne právo, ale musí sa posudzovať vo vzťahu k jeho funkcii v spoločnosti. Ochrana údajov takisto úzko súvisí s rešpektovaním súkromného a rodinného života, ktorý je chránený článkom 7 charty. V tomto návrhu sa stanovujú pravidlá ochrany fyzických osôb so zreteľom na spracúvanie osobných údajov inštitúciami, orgánmi, úradmi a agentúrami Únie a voľný pohyb týchto údajov. Ostatné základné práva zakotvené v Charte, ktoré by prípadne mohli byť ovplyvnené, sú: sloboda prejavu (článok 11), právo vlastniť majetok a najmä ochrana duševného vlastníctva (článok 17 ods. 2), zákaz akejkoľvek diskriminácie na základe rasy, etnického pôvodu, genetických vlastností, náboženstva alebo viery, politického alebo iného názoru, zdravotného postihnutia alebo sexuálnej orientácie (článok 21), práva dieťaťa (článok 24), právo na vysokú úroveň zdravotnej starostlivosti (článok 35), právo na prístup k dokumentom (článok 42) a právo na účinný prostriedok nápravy a na spravodlivý proces (článok 47). 4.VPLYV NA ROZPOČET Pozri finančný výkaz v prílohe. 5.ĎALŠIE PRVKY •Plány vykonávania, spôsob monitorovania, hodnotenia a podávania správ Neuplatňuje sa. •Vysvetľujúce dokumenty (v prípade smerníc) Neuplatňuje sa. KAPITOLA I – VŠEOBECNÉ USTANOVENIA V článku 1 sa vymedzuje predmet nariadenia a rovnako ako v článku 1 nariadenia (ES) č. 45/2001 sa stanovujú dva ciele tohto nariadenia: chrániť základné právo na ochranu údajov a zaručiť voľný tok osobných údajov v celej Únii. Okrem toho sa tiež stanovujú hlavné úlohy európskeho dozorného úradníka pre ochranu údajov. Článok 2 určuje rozsah pôsobnosti tohto nariadenia: uplatňuje sa na spracúvanie osobných údajov, automatizovanými alebo inými prostriedkami, všetkými inštitúciami a orgánmi Únie, pokiaľ sa takéto spracúvanie realizuje pri výkone činností, z ktorých všetky alebo časť spadajú pod pôsobnosť práva Únie. Vecná pôsobnosť tohto nariadenia je technologicky neutrálna. Ochrana osobných údajov sa vzťahuje na spracúvanie osobných údajov automatizovanými prostriedkami, ako aj na manuálne spracúvanie, ak sú osobné údaje uložené v informačnom systéme alebo v ňom majú byť uložené. V článku 3 sa uvádzajú definície pojmov používaných v nariadení. S výnimkou definícií „inštitúcií a orgánov Únie“, „prevádzkovateľa“, „používateľa“ a „zoznamu“, ktoré sú špecifické pre toto nariadenie, sú pojmy použité v tomto nariadení vymedzené v nariadení (EÚ) 2016/679, nariadení (EÚ) 0000/00 [nové nariadenie o ochrane súkromia v elektronickej komunikácii], smernici 00/0000/EÚ [smernica, ktorou sa stanovuje európsky kódex elektronickej komunikácie] a v smernici Komisie 2008/63/ES. KAPITOLA II – ZÁSADY V článku 4 sa stanovujú zásady týkajúce sa spracúvania osobných údajov, ktoré sa zhodujú so zásadami v článku 5 nariadenia (EÚ) 2016/679. V porovnaní s nariadením (ES) č. 45/2001 sa navyše dopĺňajú nové zásady transparentnosti a integrity a dôvernosti. Článok 5 je založený na článku 6 nariadenia (EÚ) 2016/679 a stanovuje kritériá pre zákonné spracúvanie, s jedinou výnimkou kritéria legitímneho záujmu prevádzkovateľa, ktoré sa nevzťahuje na verejný sektor, a preto by sa nemalo týkať inštitúcií a orgánov Únie. Článok 5 uvádza kritériá, ktoré už sú stanovené v článku 5 nariadenia (ES) č. 45/2001. Článok 6 objasňuje podmienky pre spracúvanie na iný zlučiteľný účel v súlade s článkom 6 ods. 4 nariadenia (EÚ) 2016/679. V porovnaní s článkom 6 nariadenia (ES) č. 45/2001 toto nové ustanovenie umožňuje väčšiu flexibilitu a právnu istotu s ohľadom na ďalšie spracúvanie na zlučiteľné účely. V článku 7 sa v súlade s článkom 7 nariadenia Rady (EÚ) 2016/679 objasňujú podmienky, za ktorých sa vyjadrenie súhlasu pokladá za právoplatný dôvod zákonného spracúvania údajov.

V článku 8 sa v súlade s článkom 8 nariadenia (EÚ) 2016/679 stanovujú ďalšie podmienky zákonnosti spracúvania osobných údajov detí v súvislosti so službami informačnej spoločnosti, ktoré sú im priamo ponúkané. Stanovuje sa v ňom 13 rokov ako minimálny vek dieťaťa pre platný súhlas. V článku 9 sa uvádzajú, v súlade s článkom 8 nariadenia (ES) č. 45/2001, predpisy stanovujúce osobitnú úroveň ochrany pre prenos osobných údajov príjemcom iným ako inštitúcie a orgány Únie, ktorí majú sídlo v Únii a na ktorých sa vzťahuje nariadenie (EÚ) 2016/679 alebo smernica (EÚ) 2016/680. Uvádza sa v ňom, že ak prenos iniciuje prevádzkovateľ, mal by preukázať nutnosť a primeranosť tohto prenosu. V článku 10 je uvedený všeobecný zákaz spracúvania osobitných kategórií osobných údajov a výnimky z tohto všeobecného pravidla, pričom sa vychádza z článku 9 nariadenia (EÚ) 2016/679 a ďalej sa rozvíja článok 10 nariadenia (ES) č. 45/2001. V článku 11 sa v súlade s článkom 10 nariadenia (EÚ) 2016/679 a v súlade s článkom 10 ods. 5 nariadenia (ES) č. 45/2001 uvádzajú podmienky spracúvania osobných údajov týkajúcich sa rozsudkov v trestných veciach a trestných činov. V článku 12 sa objasňujú povinnosti prevádzkovateľa informovať dotknutú osobu, v súlade s článkom 11 nariadenia (EÚ) 2016/679, pričom sa stanovuje, že ak osobné údaje spracúvané prevádzkovateľom nedovoľujú prevádzkovateľovi identifikovať fyzickú osobu, prevádzkovateľ by nemal byť povinný získať dodatočné informácie na identifikovanie dotknutej osoby výlučne na to, aby dosiahol súlad s niektorým ustanovením tohto nariadenia. Prevádzkovateľ by však nemal odmietnuť prijať dodatočné informácie, ktoré mu poskytne dotknutá osoba na podporu uplatnenia svojich práv. V článku 13 sa stanovujú, na základe článku 89 ods. 1 nariadenia (EÚ) 2016/679, predpisy o zárukách týkajúcich sa spracúvania na archívne účely vo verejnom záujme, na účely vedeckého alebo historického výskumu alebo na štatistické účely. KAPITOLA III – PRÁVA DOTKNUTEJ OSOBY Oddiel 1 – Transparentnosť a postupy V článku 14 sa na základe článku 12 nariadenia (EÚ) 2016/679 zavádza povinnosť prevádzkovateľov poskytovať transparentné, ľahko prístupné a zrozumiteľné informácie a postupy a mechanizmy na výkon práv dotknutej osoby, vrátane, vo vhodných prípadoch, prostriedkov na podávanie elektronických žiadostí, vyžaduje sa poskytnutie odpovede na žiadosť dotknutej osoby v stanovenej lehote a odôvodnenie zamietnutí. Keďže od inštitúcií a orgánov Únie sa za žiadnych okolností neočakáva účtovanie poplatkov súvisiacich s administratívnymi nákladmi na poskytovanie informácií, táto možnosť sa z nariadenia (EÚ) 2016/679 neprevzala. Oddiel 2 – Informácie a prístup k osobným údajom Vychádzajúc z článku 13 nariadenia (EÚ) 2016/679 a ďalej rozvíjajúc článok 11 nariadenia (ES) č. 45/2001 sa v článku 15 stanovujú povinnosti prevádzkovateľa informovať dotknutú osobu, ak sa osobné údaje získavajú od dotknutej osoby, teda povinnosť poskytnúť dotknutej osobe informácie týkajúce sa okrem iného obdobia uchovávania, práva podať sťažnosť a informácie vo vzťahu k medzinárodným prenosom. Vychádzajúc z článku 14 nariadenia (EÚ) 2016/679 a ďalej rozvíjajúc článok 12 nariadenia (ES) č. 45/2001 sa v článku 16 podrobnejšie stanovujú povinnosti prevádzkovateľa informovať dotknutú osobu, ak sa osobné údaje nezískali od dotknutej osoby, pričom sa stanovuje povinnosť poskytnúť informácie týkajúce sa zdroja, z ktorého údaje pochádzajú. Tento článok okrem toho zachováva aj možné výnimky v nariadení (EÚ) 2016/679, napr. takáto povinnosť nebude existovať, ak dotknutá osoba už dané informácie má, keď sa poskytnutie takýchto informácií sa ukáže ako nemožné alebo by si vyžadovalo, aby prevádzkovateľ vyvinul neprimerané úsilie, ak osobné údaje musia zostať dôverné na základe povinnosti zachovávania profesijného tajomstva upravenej právom Únie alebo ak je zaznamenanie alebo poskytnutie výslovne stanovené zákonom. To by sa mohlo uplatňovať napríklad v konaní útvarov zodpovedných za otázky sociálneho zabezpečenia alebo zdravia. V súlade s článkom 15 nariadenia (EÚ) 2016/679 a ďalej rozvíjajúc článok 13 nariadenia (ES) č. 45/2001 sa v článku 17 stanovuje právo dotknutej osoby na prístup k jej osobným údajom, pričom sa pridávajú nové prvky, ako je povinnosť informovať dotknuté osoby o období, počas ktorého sa osobné údaje budú uchovávať, o práve na opravu a výmaz údajov a o práve podať sťažnosť. Oddiel 3 – Oprava a vymazanie V článku 18 sa stanovuje právo dotknutej osoby na opravu, pričom sa vychádza z článku 16 nariadenia (EÚ) 2016/679 a ďalej sa rozvíja článok 14 nariadenia (ES) č. 45/2001. V článku 19 sa stanovuje právo dotknutej osoby na zabudnutie a na vymazanie, pričom sa vychádza z článku 17 nariadenia (EÚ) 2016/679 a ďalej sa rozvíja článok 16 nariadenia (ES) č. 45/2001. Stanovujú sa tu podmienky pre uplatnenie práva byť zabudnutý vrátane povinnosti prevádzkovateľa, ktorý osobné údaje zverejnil, informovať tretie strany o požiadavke dotknutej osoby na odstránenie všetkých odkazov na tieto osobné údaje, ich kópií alebo replikácií. V článku 20 sa stanovuje právo na dosiahnutie obmedzenia spracúvania údajov v určitých prípadoch, pričom sa vyhlo použitiu nejednoznačného pojmu „blokovanie“ používaného v nariadení (ES) č. 45/2001 a zabezpečila sa konzistentnosť s novou terminológiou podľa článku 18 nariadenia (EÚ) 2016/679. V článku 21 sa, v súlade s článkom 19 nariadenia (EÚ) 2016/679 a ďalej rozvíjajúc článok 17 nariadenia (ES) č. 45/2001, stanovuje povinnosť prevádzkovateľa oznámiť príjemcom, ktorým boli osobné údaje poskytnuté, akúkoľvek opravu alebo vymazanie osobných údajov alebo ich obmedzenie, pokiaľ sa to neukáže ako nemožné alebo ak si to nevyžaduje neprimerané úsilie. Prevádzkovateľ o týchto príjemcoch informuje aj dotknutú osobu, ak to dotknutá osoba požaduje. V článku 22 sa v súlade s článkom 20 nariadenia (EÚ) 2016/679 stanovuje právo dotknutej osoby na prenosnosť údajov, t. j. právo získať osobné údaje týkajúce sa danej osoby, ktoré táto osoba poskytla prevádzkovateľovi, alebo právo preniesť takéto osobné údaje priamo inému prevádzkovateľovi, pokiaľ je to technicky uskutočniteľné. Ako predpoklad uplatnenia tohto práva a s cieľom ďalej zlepšiť prístup fyzických osôb k ich osobným údajom sa tu stanovuje právo získať od prevádzkovateľa tieto údaje v štruktúrovanej forme a v bežne používanom a strojovo čitateľnom formáte. Toto právo sa uplatňuje len ak je spracúvanie založené na súhlase dotknutej osoby alebo na zmluve uzatvorenej touto osobou. Oddiel 4 – Právo namietať a automatizované individuálne rozhodovanie

V článku 23 sa stanovuje právo dotknutej osoby namietať, pričom sa vychádza z článku 21 nariadenia (EÚ) 2016/679 a ďalej sa rozvíja článok 18 nariadenia (ES) č. 45/2001. Článok 24 sa týka práva dotknutej osoby, aby sa na ňu nevzťahovalo opatrenie založené výlučne na automatizovanom spracúvaní vrátane profilovania, pričom sa vychádza z článku 22 nariadenia (EÚ) 2016/679 a ďalej sa rozvíja článok 19 nariadenia (ES) č. 45/2001. Oddiel 5 – Obmedzenia Článok 25 umožňuje obmedzenia práv dotknutej osoby stanovených v článkoch 14 až 22 a v článkoch 34 a 38 a obmedzenia zásad stanovených v článku 4 (v rozsahu, v akom jeho ustanovenia zodpovedajú právam a povinnostiam stanoveným v článkoch 14 až 22). Takéto obmedzenia by mali byť stanovené v právnych aktoch prijatých na základe zmlúv alebo interných predpisov inštitúcií a orgánov Únie. V prípade, že možnosť takéhoto obmedzenia nie je stanovená v právnych aktoch prijatých na základe zmlúv alebo interných predpisov inštitúcií a orgánov Únie, v interných predpisoch by sa mohlo zaviesť ad hoc obmedzenie, pokiaľ rešpektuje podstatu základných práv a slobôd vo vzťahu ku konkrétnej spracovateľskej operácii a je v demokratickej spoločnosti potrebným a primeraným opatrením na zaistenie jedného alebo viacerých cieľov umožňujúcich obmedzenie práv dotknutej osoby. Tento prístup je v súlade s článkom 23 nariadenia (EÚ) 2016/679. Na rozdiel od článku 23 nariadenia (EÚ) 2016/679 a v súlade s článkom 20 nariadenia (ES) č. 45/2001 sa však v tomto ustanovení nestanovuje možnosť obmedziť právo namietať a právo nebyť predmetom rozhodnutí založených výlučne na automatizovanom spracúvaní. Požiadavky na obmedzenia sú v súlade s Chartou základných práv a Európskym dohovorom o ochrane ľudských práv, ako ich vyložili Súdny dvor Európskej únie a Európsky súd pre ľudské práva. KAPITOLA IV – PREVÁDZKOVATEĽ A SPROSTREDKOVATEĽ Oddiel 1 – Všeobecné povinnosti Článok 26 vychádza z článku 24 nariadenia (EÚ) 2016/679 a zavádza „zásadu zodpovednosti“, pričom opisuje povinnosť prevádzkovateľa niesť zodpovednosť za dodržiavanie tohto nariadenia a preukázanie jeho dodržiavania, a to aj prostredníctvom prijatia primeraných technických a organizačných opatrení a prípadne interných pravidiel a mechanizmov na zabezpečenie takéhoto dodržiavania. Článok 24 ods. 3 nariadenia (EÚ) 2016/679 sa v tomto ustanovení neuchoval, keďže inštitúcie a orgány Únie by sa nemali držať kódexov správania ani certifikačných mechanizmov. V článku 27 sa v súlade s článkom 25 nariadenia (EÚ) 2016/679 stanovujú povinnosti prevádzkovateľa vyplývajúce zo zásad špecificky navrhnutej a štandardne určenej ochrany údajov. Článok 28 o spoločných prevádzkovateľoch vychádza z článku 26 nariadenia (EÚ) 2016/679 a objasňuje zodpovednosť spoločných prevádzkovateľov – či už inštitúcií alebo orgánov Únie, alebo iných – pokiaľ ide o ich vzájomný vzťah a vzťah k dotknutej osobe. Toto ustanovenie sa uplatňuje v situácii, keď sa na všetkých spoločných prevádzkovateľov vzťahuje ten istý právny režim (toto nariadenie) a v situácii, keď sa na niektorých vzťahuje toto nariadenie a na niektorých iný právny nástroj [nariadenie (EÚ) 2016/679, smernica (EÚ) 2016/680, smernica (EÚ) 2016/681 a iné osobitné režimy ochrany údajov týkajúce sa inštitúcií alebo orgánov Únie]. Vychádzajúc z článku 28 nariadenia (EÚ) 2016/679 a ďalej rozvíjajúc článok 23 nariadenia (ES) č. 45/2001 sa v článku 29 vymedzuje postavenie a povinnosti sprostredkovateľa vrátane stanovenia, že sprostredkovateľ, ktorý poruší nariadenie určením účelov a prostriedkov spracúvania, sa bude vo vzťahu k danému spracúvaniu považovať za prevádzkovateľa. Článok 30 o spracúvaní na základe poverenia prevádzkovateľa a sprostredkovateľa sa opiera o článok 29 nariadenia (EÚ) 2016/679, pričom stanovuje zákaz pre sprostredkovateľa alebo akúkoľvek osobu konajúcu na základe poverenia prevádzkovateľa alebo sprostredkovateľa, ktorá má prístup k osobným údajom, spracovať tieto údaje inak než podľa pokynov prevádzkovateľa, pokiaľ to od nej nevyžadujú právne predpisy Únie alebo členského štátu. Článok 31 vychádza z článku 30 nariadenia (EÚ) 2016/679 a zavádza pre prevádzkovateľov a sprostredkovateľov povinnosť uchovávať dokumentáciu o spracovateľských operáciách v rámci okruhu ich zodpovednosti, pričom táto povinnosť nahrádza povinnosť predchádzajúceho oznámenia európskemu dozornému úradníkovi pre ochranu údajov, ako sa vyžaduje podľa článku 25 nariadenia (ES) č. 45/2001, a registru zodpovedných osôb. Na rozdiel od nariadenia (EÚ) 2016/679 sa v tomto ustanovení nehovorí o zástupcoch, keďže inštitúcie Únie nebudú mať zástupcov a vždy budú mať zodpovedné osoby. Nezachovali sa odkazy na prenosy na základe výnimiek pre osobitné situácie podľa nariadenia (EÚ) 2016/679, keďže tieto typy prenosov sa v súčasnom nariadení nepredpokladajú. Povinnosť viesť záznamy o spracovateľských činnostiach môže byť centralizovaná na úrovni inštitúcie alebo orgánu Únie. V takom prípade majú inštitúcie a orgány Únie možnosť viesť svoje záznamy o spracovateľských činnostiach vo forme verejne prístupného registra. V článku 32 sa na základe článku 31 nariadenia (EÚ) 2016/679 vymedzujú povinnosti inštitúcií a orgánov Únie týkajúce sa spolupráce s európskym dozorným úradníkom pre ochranu údajov. Oddiel 2 – Bezpečnosť osobných údajov a dôvernosť elektronických komunikácií V článku 33 sa, vychádzajúc z článku 32 nariadenia (EÚ) 2016/679 a ďalej rozvíjajúc článok 22 nariadenia (ES) č. 45/2001, ukladá prevádzkovateľovi povinnosť prijať primerané opatrenia na zaistenie bezpečnosti spracúvania údajov, pričom sa táto povinnosť rozširuje aj na sprostredkovateľov, bez ohľadu na zmluvu s prevádzkovateľom. Článok 34 vychádza z článku 36 nariadenia (ES) č. 45/2001 a zabezpečuje dôvernosť elektronických komunikácií v rámci inštitúcií a orgánov Únie. Článok 35 vychádza z existujúcich postupov inštitúcií a orgánov Únie a chráni informácie týkajúce sa koncových zariadení koncových používateľov, ktoré majú prístup k verejne dostupným webovým sídlam a mobilným aplikáciám, ktoré ponúkajú inštitúcie a orgány Únie, v súlade s nariadením (EÚ) XXXX/XX [nové nariadenie o ochrane súkromia v elektronickej komunikácii], najmä s jeho článkom 8. Článok 36 je založený na článku 38 nariadenia (ES) č. 45/2001 a chráni osobné údaje uchovávané vo verejných a súkromných zoznamoch inštitúcií a orgánov Únie. Články 37 a 38 zavádzajú povinnosť oznamovať porušenia ochrany osobných údajov, v súlade s článkami 33 a 34 nariadenia (EÚ) 2016/679. Oddiel 3 – Posúdenie vplyvu na ochranu údajov a predchádzajúca konzultácia

Vychádzajúc z článku 35 nariadenia (EÚ) 2016/679 článok 39 zavádza povinnosť prevádzkovateľov a sprostredkovateľov vykonať posúdenie vplyvu na ochranu údajov ešte pred spracovateľskými operáciami, ktoré by mohli viesť k vysokému riziku pre práva a slobody fyzických osôb. Táto povinnosť sa bude uplatňovať najmä v prípade systematického a rozsiahleho hodnotenia osobných aspektov týkajúcich sa fyzických osôb, ktoré je založené na automatizovanom spracúvaní vrátane profilovania, spracúvania osobitných kategórií údajov vo veľkom rozsahu alebo systematického monitorovania verejne prístupných priestorov vo veľkom rozsahu. Článok 40 vychádza z článku 36 nariadenia (EÚ) 2016/679 a týka sa prípadov, v ktorých je pred spracúvaním povinné povolenie zo strany európskeho dozorného úradníka pre ochranu údajov a konzultácia s ním. Prvý odsek článku 40 však reprodukuje odôvodnenie 94 nariadenia (EÚ) 2016/679 a je zameraný na objasnenie rozsahu povinnosti konzultovať. Oddiel 4 – Informácie a legislatívne konzultácie V článku 41 sa stanovuje povinnosť pre inštitúcie a orgány Únie informovať európskeho dozorného úradníka pre ochranu údajov pri vypracúvaní administratívnych opatrení a interných predpisov týkajúcich sa spracúvania osobných údajov. V článku 42 sa stanovuje povinnosť Komisie konzultovať s európskym dozorným úradníkom pre ochranu údajov v nadväznosti na prijatie návrhov legislatívneho aktu a odporúčaní alebo návrhov Rade podľa článku 218 ZFEÚ a pri príprave delegovaných aktov alebo vykonávacích aktov, ktoré majú dosah na ochranu práv a slobôd fyzických osôb so zreteľom na spracúvanie osobných údajov. Ak tieto akty majú osobitný význam pre ochranu práv a slobôd fyzických osôb so zreteľom na spracúvanie osobných údajov, Komisia môže uskutočniť konzultácie aj s Európskym výborom pre ochranu údajov. V takýchto prípadoch by oba subjekty mali koordinovať svoje činnosti s cieľom vydať spoločné stanovisko. Na vydanie odporúčania v uvedených prípadoch sa stanovuje lehota ôsmich týždňov, pričom v naliehavých prípadoch, alebo ak je to vhodné z iného dôvodu, sú možné výnimky, napríklad keď Komisia pripravuje delegované a vykonávacie akty. Oddiel 5 – Povinnosť reagovať na obvinenia Článok 43 stanovuje povinnosť prevádzkovateľa a sprostredkovateľa reagovať na obvinenia, v prípade, že sa európsky dozorný úradník pre ochranu údajov rozhodne postúpiť im danú vec. Oddiel 6 – Zodpovedná osoba Článok 44 vychádza z článku 37 ods. 1 písm. a) nariadenia (EÚ) 2016/679 a článku 24 nariadenia (ES) č. 45/2001 a stanovuje pre inštitúcie a orgány Únie povinnosť mať zodpovednú osobu. Článok 45 vychádza z článku 38 nariadenia (EÚ) 2016/679 a článku 24 nariadenia (ES) č. 45/2001 a stanovuje postavenie zodpovedných osôb. Článok 46 vychádza z článku 39 nariadenia (EÚ) 2016/679 a z článku 24 a druhého a tretieho odseku prílohy k nariadeniu (ES) č. 45/2001 a stanovuje hlavné úlohy zodpovedných osôb. KAPITOLA V – PRENOSY OSOBNÝCH ÚDAJOV DO TRETÍCH KRAJÍN ALEBO MEDZINÁRODNÝM ORGANIZÁCIÁM Článok 47 ďalej stavia na článku 9 nariadenia (ES) č. 45/2001 a stanovuje všeobecnú zásadu v súlade s článkom 44 nariadenia (EÚ) 2016/679, že pri každom prenose osobných údajov do tretích krajín alebo medzinárodným organizáciám, ako aj pri následných prenosoch osobných údajov z tretej krajiny alebo medzinárodnej organizácie do ďalšej tretej krajiny alebo ďalšej medzinárodnej organizácii je povinné dodržiavať ostatné ustanovenia tohto nariadenia a podmienky stanovené v kapitole V. V článku 48 sa stanovuje, že prenos osobných údajov do tretej krajiny alebo medzinárodnej organizácii sa môže uskutočniť, ak Komisia podľa článku 45 ods. 3 nariadenia (EÚ) 2016/679 rozhodla, že v danej tretej krajine, na území danej tretej krajiny alebo v jednom či viacerých určených sektoroch v danej tretej krajine, alebo v rámci príslušnej medzinárodnej organizácie je zabezpečená primeraná úroveň ochrany a osobné údaje sa prenášajú výlučne na umožnenie realizácie úloh patriacich do právomoci prevádzkovateľa. Odseky 2 a 3 tohto článku boli prevzaté z článku 9 nariadenia (ES) č. 45/2001, keďže sú užitočné pre monitorovanie úrovne ochrany v tretích krajinách a medzinárodných organizáciách. Článok 49 vychádza z článku 46 nariadenia (EÚ) 2016/679 a pre prenosy do tretích krajín, pre ktoré Komisia neprijala žiadne rozhodnutie o primeranosti, požaduje zavedenie primeraných záruk, najmä štandardných doložiek o ochrane údajov a zmluvných doložiek. Sprostredkovatelia iní ako inštitúcie a orgány Únie by v súlade s nariadením (EÚ) 2016/679 mohli používať záväzné vnútropodnikové pravidlá, kódexy správania a certifikačné mechanizmy. Štvrtý odsek tohto článku o povinnosti inštitúcií a orgánov Únie oznamovať európskemu dozornému úradníkovi pre ochranu údajov kategórie prípadov, v ktorých sa uplatnil tento článok, zodpovedá článku 9 ods. 8 nariadenia (ES) č. 45/2001 a vzhľadom na svoju osobitosť sa zachoval. Piaty odsek zachováva právne účinky súčasných povolení stanovených v článku 46 ods. 5 nariadenia (EÚ) 2016/679. V článku 50 sa v súlade s článkom 48 nariadenia (EÚ) 2016/679 objasňuje, že rozsudky súdov alebo rozhodnutia správnych orgánov tretích krajín, v ktorých sa vyžaduje prenos alebo poskytnutie osobných údajov môžu byť uznané alebo vykonateľné akýmkoľvek spôsobom len vtedy, ak sa zakladajú na medzinárodnej dohode, ako napríklad zmluve o vzájomnej právnej pomoci, platnej medzi žiadajúcou treťou krajinou a Úniou bez toho, aby boli dotknuté iné dôvody prenosu podľa tejto kapitoly. Článok 51 vychádza z článku 49 nariadenia (EÚ) 2016/679 a vymedzuje a objasňuje výnimky pre prenos dát. To sa týka najmä prenosov údajov, ktoré sa požadujú a sú potrebné na ochranu dôležitých dôvodov verejného záujmu, napríklad v prípadoch medzinárodnej výmeny údajov s účasťou orgánov hospodárskej súťaže, daňových alebo colných správ, alebo medzi útvarmi zodpovednými za otázky sociálneho zabezpečenia alebo riadenie rybolovu. Piaty odsek týkajúci sa povinnosti informovať európskeho dozorného úradníka pre ochranu údajov o kategóriách prípadov, v ktorých sa na prenos využili výnimky, zodpovedá súčasnému článku 9 ods. 8 nariadenia (ES) č. 45/2001. Článok 52 je založený na článku 50 nariadenia (EÚ) 2016/679 a explicitne stanovuje medzinárodné mechanizmy spolupráce na ochranu osobných údajov medzi európskym dozorným úradníkom pre ochranu údajov, v spolupráci s Komisiou a s Európskym výborom pre ochranu údajov, a dozornými orgánmi tretích krajín. KAPITOLA VI – EURÓPSKY DOZORNÝ ÚRADNÍK PRE OCHRANU ÚDAJOV Článok 53 vychádza z článku 41 nariadenia (ES) č. 45/2001 a týka sa zriadenia európskeho dozorného úradníka pre ochranu údajov.

Článok 54 vychádza z článku 42 nariadenia (ES) č. 45/2001 a z článku 3 rozhodnutia 1247/2002/ES a stanovuje pravidlá pre menovanie európskeho dozorného úradníka pre ochranu údajov Európskym parlamentom a Radou. Takisto určuje jeho funkčné obdobie: päť rokov. Článok 55 vychádza z článku 43 nariadenia (ES) č. 45/2001 a z článku 1 rozhodnutia 1247/2002/ES a stanovuje právne predpisy a všeobecné podmienky upravujúce vykonávanie povinností európskeho dozorného úradníka pre ochranu údajov a jeho zamestnancov a finančné zdroje. Článok 56 vychádza z článku 52 nariadenia (EÚ) 2016/679 a článku 44 nariadenia (ES) č. 45/2001 a vymedzuje podmienky pre nezávislosť európskeho dozorného úradníka pre ochranu údajov, pričom zohľadňuje judikatúru Súdneho dvora Európskej únie. Článok 57 na základe článku 45 nariadenia (ES) č. 45/2001 stanovuje povinnosti európskeho dozorného úradníka pre ochranu údajov zachovávať tajomstvo počas trvania funkčného obdobia a po jeho skončení s ohľadom na dôverné informácie, s ktorými sa oboznámil počas výkonu svojich služobných povinností. Článok 58 vychádza z článku 57 nariadenia (EÚ) 2016/679 a z článku 46 nariadenia (ES) č. 45/2001 a stanovuje úlohy európskeho dozorného úradníka pre ochranu údajov vrátane vypočúvania a vyšetrovania sťažností a podpory informovanosti verejnosti o rizikách, predpisoch, zárukách a právach. Článok 59 je založený na článku 58 nariadenia (EÚ) 2016/679 a článku 47 nariadenia (ES) č. 45/2001 a stanovuje právomoci európskeho dozorného úradníka pre ochranu údajov. Článok 60 vychádza z článku 59 nariadenia (EÚ) 2016/679 a z článku 48 nariadenia (ES) č. 45/2001 a stanovuje povinnosť európskeho dozorného úradníka pre ochranu údajov vypracovávať výročnú správu o činnosti. KAPITOLA VII – SPOLUPRÁCA A KONZISTENTNOSŤ Článok 61 vychádza z článku 61 nariadenia (EÚ) 2016/679 a z článku 46 písm. f) nariadenia (ES) č. 45/2001 a zavádza explicitné pravidlá spolupráce európskeho dozorného úradníka pre ochranu údajov s národnými dozornými orgánmi. Článok 62 stanovuje povinnosti európskeho dozorného úradníka pre ochranu údajov, ak iné akty Únie odkazujú na tento článok v rámci koordinovaného dozoru s národnými dozornými orgánmi. Jeho cieľom je zaviesť jednotný model koordinovaného dozoru. Tento model by sa mohol využiť na koordinovaný dozor nad veľkými IT systémami, ako je napríklad Eurodac, Schengenský informačný systém II, vízový informačný systém, colný informačný systém alebo informačný systém o vnútornom trhu, ale aj na dozor nad niektorými agentúrami Únie, v prípade ktorých je zavedený osobitný model spolupráce medzi európskym dozorným úradníkom pre ochranu údajov a národnými orgánmi, ako napríklad Europol. Jediným fórom na celoplošné zabezpečenie účinného koordinovaného dozoru by mal byť Európsky výbor pre ochranu údajov. KAPITOLA VIII – PROSTRIEDKY NÁPRAVY, ZODPOVEDNOSŤ A SANKCIE Článok 63 je založený na článku 77 nariadenia (EÚ) 2016/679 a článku 32 nariadenia (ES) č. 45/2001 a stanovuje sa ním právo každej dotknutej osoby podať sťažnosť európskemu dozornému úradníkovi pre ochranu údajov. Stanovuje takisto povinnosť európskeho dozorného úradníka pre ochranu údajov riešiť sťažnosť a informovať dotknutú osobu o priebehu a výsledku sťažnosti v lehote troch mesiacov, po uplynutí ktorých sa sťažnosť považuje za zamietnutú. Článkom 64 sa zachováva článok 32 ods. 1 nariadenia (ES) č. 45/2001, ktorým sa stanovuje právomoc Súdneho dvora Európskej únie pojednávať o všetkých sporoch, ktoré sa týkajú ustanovení tohto nariadenia, vrátane žalôb o náhradu škody. Článok 65 stanovuje právo na náhradu majetkovej aj nemajetkovej ujmy za podmienok, vrátane podmienok týkajúcich sa zodpovednosti, ktoré sú stanovené v zmluvách. Článok 66 vychádza z článku 83 nariadenia (EÚ) 2016/679 a dáva európskemu dozornému úradníkovi pre ochranu údajov právomoc ukladať správne pokuty inštitúciám a orgánom Únie ako sankcie v krajnom prípade a len ak inštitúcie alebo orgány Únie nesplnili príkaz európskeho dozorného úradníka pre ochranu údajov uvedený v článku 59 ods. 2 písm. a) až h) a j). Tento článok takisto stanovuje kritériá pre rozhodovanie o výške správnej pokuty v každom jednotlivom prípade, pričom maximálne ročné stropy vychádzajú z výšky pokút platných v niektorých členských štátoch. Článok 67 v súlade s článkom 80 ods. 1 nariadenia (EÚ) 2016/679 umožňuje určitým orgánom, organizáciám alebo združeniam podať sťažnosť v mene dotknutej osoby. Článok 68 v súlade s článkom 33 nariadenia (ES) č. 45/2001 stanovuje osobitné pravidlá zamerané na ochranu zamestnancov Únie, ktorí podajú sťažnosť európskemu dozornému úradníkovi pre ochranu údajov v súvislosti s údajným porušením ustanovení tohto nariadenia bez toho, aby postupovali úradnou cestou. Článok 69 vychádza z článku 49 nariadenia (ES) č. 45/2001 a stanovuje sankcie uplatniteľné pri nedodržaní povinností podľa tohto nariadenia zo strany úradníkov alebo iných zamestnancov Európskej únie. KAPITOLA IX – VYKONÁVACIE AKTY Článok 70 obsahuje ustanovenie týkajúce sa postupu výboru, ktorý je nutný na to, aby bolo možné Komisii zveriť vykonávacie právomoci v prípadoch, keď sú v súlade s článkom 291 ZFEÚ potrebné jednotné podmienky na vykonávanie právne záväzných aktov Únie. Uplatňuje sa postup preskúmania.

KAPITOLA X – ZÁVEREČNÉ USTANOVENIA Článkom 71 sa zrušuje nariadenie (ES) č. 45/2001 a rozhodnutie č. 1247/2002/ES a stanovuje sa, že odkazy na tieto dva zrušené akty sa majú vykladať ako odkazy na predkladané nariadenie. V článku 72 sa vymedzuje, že súčasné funkčné obdobia európskeho dozorného úradníka pre ochranu údajov a zástupcu dozorného úradníka nebudú týmto nariadením dotknuté a že články 54 ods. 4, 5 a 7 a články 56 a 57 nariadenia sa uplatňujú na súčasného zástupcu dozorného úradníka až do skončenia jeho funkčného obdobia, t. j. do 5. decembra 2019. V článku 73 sa stanovuje 25. máj 2018 ako deň nadobudnutia účinnosti tohto nariadenia s cieľom zabezpečiť konzistentnosť s dátumom nadobudnutia účinnosti nariadenia (EÚ) 2016/679. 2017/0002 (COD) Návrh NARIADENIE EURÓPSKEHO PARLAMENTU A RADY o ochrane fyzických osôb pri spracúvaní osobných údajov inštitúciami, orgánmi, úradmi a agentúrami Únie a o voľnom pohybe takýchto údajov, ktorým sa zrušuje nariadenie (ES) č. 45/2001 a rozhodnutie č. 1247/2002/ES EURÓPSKY PARLAMENT A RADA EURÓPSKEJ ÚNIE, so zreteľom na Zmluvu o fungovaní Európskej únie, a najmä na jej článok 16 ods. 2, so zreteľom na návrh Európskej komisie, po postúpení návrhu legislatívneho aktu národným parlamentom, so zreteľom na stanovisko Európskeho hospodárskeho a sociálneho výboru, konajúc v súlade s riadnym legislatívnym postupom, keďže: (1)Ochrana fyzických osôb v súvislosti so spracúvaním osobných údajov patrí medzi základné práva. V článku 8 ods. 1 Charty základných práv Európskej únie (ďalej len „charta“) a v článku 16 ods. 1 Zmluvy o fungovaní Európskej únie (ZFEÚ) sa stanovuje, že každý má právo na ochranu osobných údajov, ktoré sa ho týkajú. (2)Nariadenie Európskeho parlamentu a Rady (ES) č. 45/2001 poskytuje fyzickým osobám práva, ktoré sú vymožiteľné právnymi prostriedkami, určuje povinnosti prevádzkovateľov v inštitúciách a orgánoch Spoločenstva súvisiace so spracúvaním údajov a vytvára nezávislý dozorný orgán, európskeho dozorného úradníka pre ochranu údajov, ktorý je zodpovedný za monitorovanie spracovávania osobných údajov inštitúciami a orgánmi Únie. Nevzťahuje sa však na spracúvanie osobných údajov v priebehu činnosti inštitúcií a orgánov Únie, ktoré nespadajú do rozsahu pôsobnosti práva Únie. (3)Nariadenie Európskeho parlamentu a Rady (EÚ) 2016/679 a smernica Európskeho parlamentu a Rady (EÚ) 2016/680 boli prijaté 27. apríla 2016. Zatiaľ čo v uvedenom nariadení sa stanovujú všeobecné pravidlá na ochranu fyzických osôb v súvislosti so spracúvaním osobných údajov a na zabezpečenie voľného pohybu osobných údajov v rámci Únie, v smernici sa stanovujú osobitné pravidlá na ochranu fyzických osôb v súvislosti so spracúvaním osobných údajov a na zabezpečenie voľného pohybu osobných údajov v rámci Únie v oblastiach justičnej spolupráce v trestných veciach a policajnej spolupráce. (4)V nariadení (EÚ) 2016/679 sa zdôrazňuje potreba nevyhnutných úprav nariadenia (ES) č. 45/2001 s cieľom stanoviť silný a súdržný rámec ochrany údajov v Únii a umožniť uplatňovanie súčasne s nariadením (EÚ) 2016/679. (5)Je v záujme koherentného prístupu k ochrane osobných údajov v celej Únii a voľného pohybu osobných údajov v rámci Únie, aby sa v čo možno najväčšej miere zosúladili pravidlá ochrany údajov pre inštitúcie a orgány Únie s pravidlami ochrany údajov prijatými pre verejný sektor v členských štátoch. Ak sú ustanovenia tohto nariadenia založené na rovnakej koncepcii ako ustanovenia nariadenia (EÚ) 2016/679, mali by sa tieto dve ustanovenia vykladať rovnako, najmä preto, že schéma tohto nariadenia by sa mala chápať ako ekvivalent schémy nariadenia (EÚ) 2016/679.

(6)Osoby, ktorých osobné údaje spracúvajú inštitúcie alebo orgány Únie v akejkoľvek súvislosti, napríklad preto, že sú zamestnané v týchto inštitúciách a orgánoch, by mali byť chránené. Toto nariadenie by sa nemalo uplatňovať na spracúvanie osobných údajov zosnulých osôb. Toto nariadenie sa nevzťahuje na spracúvanie osobných údajov, ktoré sa týkajú právnických osôb, a najmä podnikov založených ako právnické osoby vrátane názvu, formy a kontaktných údajov právnickej osoby. (7)S cieľom zabrániť vzniku závažného rizika obchádzania právnych predpisov by mala byť ochrana fyzických osôb technologicky neutrálna a nemala by závisieť od použitých technologických riešení. Ochrana fyzických osôb by sa mala vzťahovať na spracúvanie osobných údajov automatizovanými prostriedkami, ako aj na manuálne spracúvanie, ak sú osobné údaje uložené v informačnom systéme alebo v ňom majú byť uložené. Súbory alebo zbierky súborov, ani ich titulné strany, ktoré nie sú štruktúrované podľa špecifických kritérií, by nemali patriť do rozsahu pôsobnosti tohto nariadenia. (8)Vo vyhlásení č. 21 o ochrane osobných údajov v oblastiach justičnej spolupráce v trestných veciach a policajnej spolupráce, pripojenom k záverečnému aktu medzivládnej konferencie, na ktorej bola prijatá Lisabonská zmluva, konferencia uznala, že vzhľadom na osobitný charakter uvedených oblastí sa možno ukáže ako nutné prijať osobitné pravidlá ochrany osobných údajov a voľného pohybu osobných údajov v oblastiach justičnej spolupráce v trestných veciach a policajnej spolupráce na základe článku 16 ZFEÚ. Toto nariadenie by preto malo platiť pre agentúry Únie vykonávajúce činnosť v oblastiach justičnej spolupráce v trestných veciach a policajnej spolupráce len pokiaľ právo Únie platné pre tieto agentúry neobsahuje osobitné pravidlá týkajúce sa spracúvania osobných údajov. (9)V smernici (EÚ) 2016/680 sa stanovujú harmonizované pravidlá ochrany a voľného pohybu osobných údajov spracúvaných na účely predchádzania trestným činom, ich vyšetrovania, odhaľovania alebo stíhania, alebo výkonu trestných sankcií vrátane ochrany pred ohrozením verejnej bezpečnosti a jeho predchádzania. S cieľom zaručiť rovnakú úroveň ochrany fyzických osôb v celej Únii prostredníctvom práv, ktoré sú vymožiteľné právnymi prostriedkami, a zabrániť rozdielom, ktoré sú prekážkou výmeny osobných údajov medzi agentúrami Únie vykonávajúcimi činnosti v oblasti súdnej spolupráce v trestných veciach a policajnej spolupráce a príslušnými orgánmi v členských štátoch, by pravidlá ochrany a voľného pohybu operačných osobných údajov spracúvaných týmito agentúrami Únie mali vychádzať zo zásad tohto nariadenia a mali by byť v súlade so smernicou (EÚ) 2016/680. (10)Ak zakladajúci akt agentúry Únie vykonávajúcej činnosti, ktoré spadajú do rozsahu pôsobnosti hlavy V kapitol 4 a 5 zmluvy, stanovuje samostatný režim ochrany údajov pre spracúvanie operačných osobných údajov, takýto režim by nemal byť ovplyvnený týmto nariadením. Komisia by však mala v súlade s článkom 62 smernice (EÚ) 2016/680 do 6. mája 2019 preskúmať akty Únie, ktoré upravujú spracúvanie príslušnými orgánmi na účely predchádzania trestným činom, ich vyšetrovania, odhaľovania alebo stíhania alebo na účely výkonu trestných sankcií vrátane ochrany pred ohrozením verejnej bezpečnosti a predchádzania takémuto ohrozeniu, a ak je to potrebné, mala by predložiť potrebné návrhy na zmenu týchto aktov s cieľom zabezpečiť konzistentný prístup k ochrane osobných údajov v oblasti justičnej spolupráce v trestných veciach a policajnej spolupráce. (11)Zásady ochrany údajov by sa mali vzťahovať na všetky informácie týkajúce sa identifikovanej alebo identifikovateľnej fyzickej osoby. Osobné údaje, ktoré boli pseudonymizované a ktoré by sa mohli použitím dodatočných informácií priradiť fyzickej osobe, by sa mali považovať za informácie o identifikovateľnej fyzickej osobe. Na určenie toho, či je fyzická osoba identifikovateľná, by sa mali vziať do úvahy všetky prostriedky, napríklad osobitný výber, pri ktorých existuje primeraná pravdepodobnosť, že ich prevádzkovateľ alebo iná osoba využije na priamu alebo nepriamu identifikáciu fyzickej osoby. Na zistenie toho, či je primerane pravdepodobné, že sa prostriedky použijú na identifikáciu fyzickej osoby, by sa mali zohľadniť všetky objektívne faktory, ako sú náklady a čas potrebný na identifikáciu so zreteľom na technológiu dostupnú v čase spracúvania, ako aj na technologický vývoj. Zásady ochrany údajov by sa preto nemali uplatňovať na anonymné informácie, konkrétne na informácie, ktoré sa nevzťahujú na identifikovanú alebo identifikovateľnú fyzickú osobu, ani na osobné údaje, ktoré sa stali anonymnými takým spôsobom, že dotknutá osoba nie je alebo už nie je identifikovateľná. Toto nariadenie sa preto netýka spracúvania takýchto anonymných informácií vrátane spracúvania na štatistické účely alebo účely výskumu. (12)Použitie pseudonymizácie osobných údajov môže znížiť riziká pre príslušné dotknuté osoby a pomôcť prevádzkovateľom a sprostredkovateľom pri plnení ich povinností v oblasti ochrany údajov. Výslovným zavedením „pseudonymizácie“ v tomto nariadení sa nemajú vylúčiť akékoľvek iné opatrenia na ochranu údajov. (13)Fyzickým osobám môžu byť pridelené online identifikátory, ktoré poskytujú ich prístroje, aplikácie, nástroje a protokoly, ako napríklad IP adresa, súbory cookie, alebo iné identifikátory, ako napríklad štítky na rádiofrekvenčnú identifikáciu. Tie môžu zanechávať stopy, ktoré sa najmä v kombinácii s jedinečnými identifikátormi a inými informáciami získanými zo serverov môžu použiť na vytvorenie profilov fyzických osôb a na ich identifikáciu. (14)Súhlas by sa mal poskytnúť jasným prejavom vôle, ktorý je slobodným, konkrétnym, informovaným a jednoznačným vyjadrením súhlasu dotknutej osoby so spracúvaním osobných údajov, ktoré sa jej týkajú, a to napríklad písomným vyhlásením vrátane vyhlásenia prostredníctvom elektronických prostriedkov alebo ústnym vyhlásením. Mohlo by to zahŕňať označenie políčka pri návšteve internetového webového sídla, zvolenie technických nastavení služieb informačnej spoločnosti alebo akékoľvek iné vyhlásenie či úkon, ktorý v tomto kontexte jasne znamená, že dotknutá osoba súhlasí s navrhovaným spracúvaním svojich osobných údajov. Mlčanie, vopred označené políčka alebo nečinnosť by sa preto nemali pokladať za súhlas. Súhlas by sa mal vzťahovať na všetky spracovateľské činnosti vykonávané na ten istý účel alebo účely. Ak sa spracúvanie vykonáva na viaceré účely, súhlas by sa mal udeliť na všetky tieto účely. Ak má dotknutá osoba poskytnúť súhlas na základe požiadavky elektronickými prostriedkami, požiadavka musí byť jasná a stručná a nemala by pôsobiť zbytočne rušivo na používanie služby, pre ktorú sa poskytuje. (15)Každé spracúvanie osobných údajov by malo byť zákonné a spravodlivé. Pre fyzické osoby by malo byť transparentné, že sa získavajú, používajú, konzultujú alebo inak spracúvajú osobné údaje, ktoré sa ich týkajú, ako aj to, v akom rozsahu sa tieto osobné údaje spracúvajú alebo budú spracúvať. Zásada transparentnosti si vyžaduje, aby všetky informácie a komunikácia súvisiace so spracúvaním týchto osobných údajov boli ľahko prístupné a ľahko pochopiteľné a formulované jasne a jednoducho. Uvedená zásada sa týka najmä informácií pre dotknuté osoby o identite prevádzkovateľa a účeloch spracúvania, a ďalších informácií na zabezpečenie spravodlivého a transparentného spracúvania, pokiaľ ide o dotknuté fyzické osoby a ich právo získať potvrdenie a oznámenie spracúvaných osobných údajov, ktoré sa ich týkajú. Fyzické osoby by mali byť upozornené na riziká, pravidlá, záruky a práva pri spracúvaní osobných údajov, ako aj na to, ako môžu uplatňovať svoje práva pri takomto spracúvaní. Najmä konkrétne účely, na ktoré sa osobné údaje spracúvajú, by mali byť výslovne uvedené a legitímne a stanovené v čase získavania osobných údajov. Osobné údaje by mali byť primerané, relevantné a obmedzené na rozsah, ktorý je potrebný vzhľadom na účely, na ktoré sa spracúvajú. To si vyžaduje najmä zabezpečenie toho, aby obdobie, počas ktorého sa tieto osobné údaje uchovávajú, bolo obmedzené na nevyhnutné minimum. Osobné údaje by sa mali spracúvať len vtedy, ak účel spracúvania nebolo možné za primeraných podmienok dosiahnuť inými prostriedkami. S cieľom zabezpečiť, aby sa osobné údaje neuchovávali dlhšie, než je to potrebné, by mal prevádzkovateľ stanoviť lehoty na vymazanie alebo pravidelné preskúmanie. Mali by sa prijať všetky primerané opatrenia, aby sa zabezpečila oprava alebo vymazanie nesprávnych údajov. Osobné údaje by sa mali spracúvať tak, aby sa zabezpečila primeraná bezpečnosť a dôvernosť osobných údajov vrátane predchádzania neoprávnenému prístupu k osobným údajom a zariadeniu používanému na spracúvanie, alebo neoprávnenému využitiu týchto údajov a zariadení. (16)Ak inštitúcie a orgány Únie uskutočnia prenos osobných údajov v rámci inštitúcie a orgánu Únie alebo do iných inštitúcií alebo orgánov Únie, mali by v súlade so zásadou zodpovednosti preveriť, či sú tieto osobné údaje potrebné na legitímne plnenie úloh patriacich do právomoci príjemcu, ak príjemca nie je súčasťou prevádzkovateľa. V nadväznosti na žiadosť príjemcu o prenos osobných údajov by mal prevádzkovateľ preveriť najmä existenciu relevantných dôvodov na zákonné spracúvanie osobných údajov, právomoci príjemcu a mal by vykonať predbežné posúdenie nutnosti prenosu údajov. Ak vzniknú pochybnosti, pokiaľ ide o túto nutnosť, prevádzkovateľ by mal požiadať príjemcu o ďalšie informácie. Príjemca by mal zabezpečiť, aby bolo možné nutnosť prenosu údajov následne overiť. (17)Aby bolo spracúvanie zákonné, osobné údaje by sa mali spracúvať na základe nutnosti splnenia úlohy realizovanej vo verejnom záujme inštitúciami a orgánmi Únie alebo pri výkone verejnej moci, nutnosti splnenia zákonných povinností, ktoré sa vzťahujú na prevádzkovateľa, alebo na nejakom inom legitímnom základe, ktorý je stanovený v tomto nariadení, vrátane súhlasu dotknutej osoby, alebo na základe nutnosti plnenia zmluvy, ktorej zmluvnou stranou je dotknutá osoba, alebo s cieľom podniknúť kroky na požiadanie dotknutej osoby pred uzavretím zmluvy. Spracúvanie osobných údajov na účely plnenia úloh realizovaných vo verejnom záujme inštitúciami a orgánmi Únie zahŕňa spracúvanie osobných údajov potrebných na riadenie a fungovanie týchto inštitúcií a orgánov. Spracúvanie osobných údajov by sa malo rovnako považovať za zákonné, ak je potrebné na účely ochrany záujmu, ktorý je zásadný pre život dotknutej alebo inej fyzickej osoby. Spracúvanie osobných údajov na základe životne dôležitého záujmu inej fyzickej osoby by sa malo v zásade uskutočniť len vtedy, keď sa takéto spracúvanie zjavne nemôže zakladať na inom právnom základe. Niektoré typy spracúvania môžu slúžiť na dôležité účely verejného záujmu aj pre životne dôležité záujmy dotknutej osoby, napríklad ak je spracúvanie potrebné na humanitárne účely vrátane monitorovania epidémií a ich šírenia alebo v humanitárnych núdzových situáciách, najmä v prípade prírodných katastrof a katastrof spôsobených ľudskou činnosťou. (18)Právo Únie, ako aj interné predpisy uvedené v tomto nariadení by mali byť jasné a presné a ich uplatňovanie by malo byť predvídateľné pre tie osoby, na ktoré sa vzťahujú, a to v súlade s judikatúrou Súdneho dvora Európskej únie a Európskeho súdu pre ľudské práva. (19)Spracúvanie osobných údajov na iné účely ako na účely, na ktoré boli osobné údaje pôvodne získané, by malo byť umožnené len vtedy, ak je toto spracúvanie zlučiteľné s účelmi, na ktoré boli osobné údaje pôvodne získané. V takom prípade sa nevyžaduje žiadny iný samostatný právny základ, než je právny základ, ktorý umožňoval získavanie osobných údajov. Ak je spracúvanie potrebné na splnenie úlohy realizovanej vo verejnom záujme alebo pri výkone verejnej moci zverenej prevádzkovateľovi, v práve Únie sa môžu stanoviť a upraviť úlohy a účely, v prípade ktorých by sa malo ďalšie spracúvanie považovať za zlučiteľné a zákonné. Ďalšie spracúvanie na účely archivácie vo verejnom záujme, na účely vedeckého či historického výskumu alebo štatistické účely by sa malo považovať za zlučiteľné zákonné spracovateľské operácie. Právny základ pre spracúvanie osobných údajov, ktorý je zakotvený v práve Únie, môže byť aj právnym základom pre ďalšie spracúvanie. S cieľom zistiť, či je účel ďalšieho spracúvania zlučiteľný s účelom, na ktorý boli osobné údaje pôvodne získané, by mal prevádzkovateľ po splnení všetkých požiadaviek na zákonnosť pôvodného spracúvania zohľadniť okrem iného: akékoľvek prepojenie medzi týmito účelmi a účelmi zamýšľaného ďalšieho spracúvania; kontext, v ktorom sa osobné údaje získali, najmä primerané očakávania dotknutých osôb na základe ich vzťahu s prevádzkovateľom, pokiaľ ide o ich ďalšie použitie; povahu osobných údajov; následky zamýšľaného ďalšieho spracúvania pre dotknuté osoby; a existenciu primeraných záruk pri pôvodných aj zamýšľaných operáciách ďalšieho spracúvania. (20)Ak je spracúvanie založené na súhlase dotknutej osoby, prevádzkovateľ by mal vedieť preukázať, že dotknutá osoba vyjadrila súhlas so spracovateľskou operáciou. Najmä v kontexte písomného vyhlásenia v inej záležitosti by sa zárukami malo zabezpečiť, že dotknutá osoba si je vedomá, že dáva súhlas a v akom rozsahu ho udeľuje. V súlade so smernicou Rady 93/13/EHS by vyjadrenie súhlasu, ktoré vopred naformuloval prevádzkovateľ, malo byť poskytnuté v zrozumiteľnej a ľahko prístupnej forme a formulované jasne a jednoducho a nemalo by obsahovať nekalé podmienky. Aby sa zaistilo, že súhlas bude informovaný, dotknutá osoba by si mala byť vedomá aspoň identity prevádzkovateľa a účelov spracúvania, na ktoré sú osobné údaje určené. Súhlas by sa nemal považovať za slobodný, ak dotknutá osoba nemá skutočnú alebo slobodnú voľbu alebo nemôže odmietnuť či odvolať súhlas bez nepriaznivých následkov. (21)Osobitnú ochranu osobných údajov si zasluhujú deti, keďže si môžu byť v menšej miere vedomé rizík, dôsledkov a dotknutých záruk a svojich práv súvisiacich so spracúvaním osobných údajov. Takáto osobitná ochrana by sa mala vzťahovať najmä na vytvorenie osobných profilov a získavanie osobných údajov o deťoch pri používaní služieb poskytovaných priamo dieťaťu na webových stránkach inštitúcií a orgánov Únie, akými sú napríklad služby medziľudskej komunikácie alebo online predaj vstupeniek a ak je spracúvanie osobných údajov založené na súhlase. (22)Keby príjemcovia, ktorí majú sídlo v Únii a na ktorých sa vzťahuje nariadenie (EÚ) 2016/679 alebo smernica (EÚ) 2016/680, chceli, aby im inštitúcie a orgány Únie odovzdali osobné údaje, títo príjemcovia by mali preukázať, že prenos je potrebný na dosiahnutie ich cieľa, že je primeraný a neprekračuje rámec toho, čo je potrebné na dosiahnutie tohto cieľa. Inštitúcie a orgány Únie by mali v súlade so zásadou transparentnosti preukázať takúto nutnosť, keď sami iniciujú prenos. (23)Osobné údaje, ktoré sú svojou povahou obzvlášť citlivé z hľadiska základných práv a slobôd, si zasluhujú osobitnú ochranu, keďže z kontextu ich spracúvania by mohli pre základné práva a slobody vyplývať významné riziká. Uvedené osobné údaje by mali zahŕňať osobné údaje, ktoré odhaľujú rasový alebo etnický pôvod, pričom použitie výrazu „rasový pôvod“ v tomto nariadení neznamená, že Únia akceptuje teórie, ktoré sa usilujú stanoviť existenciu oddelených ľudských rás. Spracúvanie fotografií by sa nemalo systematicky považovať za spracúvanie osobitných kategórií osobných údajov, pretože vymedzenie pojmu biometrické údaje sa na ne vzťahuje len v prípadoch, keď sa spracúvajú osobitnými technickými prostriedkami, ktoré umožňujú jedinečnú identifikáciu alebo autentifikáciu fyzickej osoby. Okrem osobitných požiadaviek na spracúvanie citlivých údajov by sa mali uplatňovať všeobecné zásady a ďalšie pravidlá uvedené v tomto nariadení, najmä pokiaľ ide o podmienky zákonného spracúvania. Výnimky zo všeobecného zákazu spracúvania týchto osobitných kategórií osobných údajov by sa mali výslovne uviesť okrem iného vtedy, ak dotknutá osoba poskytla svoj výslovný súhlas alebo v súvislosti s osobitnými potrebami, najmä ak spracúvanie vykonávajú v rámci legitímnych činností určité združenia alebo nadácie, ktorých účelom je umožniť výkon základných slobôd. (24)Z dôvodov verejného záujmu v oblasti verejného zdravia môže byť potrebné spracúvanie osobitných kategórií osobných údajov bez súhlasu dotknutej osoby. Takéto spracúvanie by malo podliehať vhodným a osobitným opatreniam na ochranu práv a slobôd fyzických osôb. V tejto súvislosti by sa malo „verejné zdravie“ vykladať v zmysle nariadenia Európskeho parlamentu a Rady (ES) č. 1338/2008, teda malo by zahŕňať všetky prvky týkajúce sa zdravia, a to zdravotný stav vrátane chorobnosti a zdravotného postihnutia, faktory ovplyvňujúce tento zdravotný stav, potreby zdravotnej starostlivosti, zdroje pridelené na zdravotnú starostlivosť, poskytovanie zdravotnej starostlivosti a jej všeobecnú dostupnosť, ako aj výdavky na zdravotnú starostlivosť a jej financovanie, a príčiny smrti. Takéto spracúvanie údajov týkajúcich sa zdravia z dôvodov verejného záujmu by nemalo viesť k spracúvaniu osobných údajov na iné účely tretími stranami. (25)Ak osobné údaje, ktoré spracúva prevádzkovateľ, neumožňujú prevádzkovateľovi identifikovať fyzickú osobu, prevádzkovateľ by nemal byť povinný získať dodatočné informácie na identifikovanie dotknutej osoby výlučne na to, aby dosiahol súlad s niektorým ustanovením tohto nariadenia. Prevádzkovateľ by však nemal odmietnuť prijať dodatočné informácie, ktoré mu poskytne dotknutá osoba na podporu uplatnenia svojich práv. Súčasťou identifikácie by mala byť digitálna identifikácia dotknutej osoby, napríklad prostredníctvom mechanizmu autentifikácie, napríklad na základe rovnakých prihlasovacích údajov, ako sú tie, ktoré dotknutá osoba používa na prihlásenie do online služby poskytovanej prevádzkovateľom.

(26)Na spracúvanie osobných údajov na účely archivácie vo verejnom záujme, na účely vedeckého alebo historického výskumu či na štatistické účely by sa mali vzťahovať primerané záruky ochrany práv a slobôd dotknutej osoby podľa tohto nariadenia. Uvedenými zárukami by sa malo zaistiť zavedenie technických a organizačných opatrení najmä s cieľom zabezpečiť zásadu minimalizácie údajov. Ďalšie spracúvanie osobných údajov na účely archivácie vo verejnom záujme, na účely vedeckého alebo historického výskumu či na štatistické účely sa má vykonať, keď prevádzkovateľ posúdil možnosti dosiahnuť tieto účely takým spracúvaním osobných údajov, ktoré neumožňuje alebo už ďalej neumožňuje identifikovať dotknuté osoby, za podmienky, že existujú primerané záruky (napríklad pseudonymizácia osobných údajov). Inštitúcie a orgány Únie by mali stanoviť primerané záruky pre spracúvanie osobných údajov na účely archivácie vo verejnom záujme, na účely vedeckého alebo historického výskumu alebo na štatistické účely v práve Únie, ktoré môže zahŕňať interné predpisy. (27)Mali by sa stanoviť postupy, ktoré by dotknutej osobe uľahčili uplatnenie jej práv podľa tohto nariadenia a ktoré by zahŕňali mechanizmy na vyžiadanie si a prípadné získanie bezplatného prístupu k osobným údajom a ich bezplatnú opravu alebo vymazanie, a na uplatnenie práva namietať. Prevádzkovateľ by mal tiež poskytnúť možnosť podávať žiadosti elektronicky, najmä ak sa osobné údaje spracúvajú elektronickými prostriedkami. Prevádzkovateľ by mal byť povinný odpovedať na žiadosti dotknutej osoby bez zbytočného odkladu a najneskôr do jedného mesiaca a uviesť dôvody v prípade, ak nemá v úmysle vyhovieť takejto žiadosti. (28)Zásady spravodlivého a transparentného spracúvania si vyžadujú, aby dotknutá osoba bola informovaná o existencii spracovateľskej operácie a jej účeloch. Prevádzkovateľ by mal dotknutej osobe poskytnúť všetky ďalšie informácie, ktoré sú potrebné na zaručenie spravodlivého a transparentného spracúvania, pričom sa zohľadnia konkrétne okolnosti a kontext, v ktorom sa osobné údaje spracúvajú. Dotknutá osoba by okrem toho mala byť informovaná o existencii profilovania a následkoch takéhoto profilovania. Ak sa osobné údaje získavajú od dotknutej osoby, dotknutá osoba by mala byť informovaná aj o tom, či je povinná osobné údaje poskytnúť, a o následkoch v prípade, že tieto údaje neposkytne. Tieto informácie možno poskytnúť v kombinácii so štandardizovanými ikonami s cieľom poskytnúť dobre viditeľným, zrozumiteľným a čitateľným spôsobom zmysluplný prehľad zamýšľaného spracúvania. Ak sú ikony uvedené v elektronickej podobe, mali by byť strojovo čitateľné. (29)Informácie súvisiace so spracúvaním osobných údajov týkajúcich sa dotknutej osoby by sa mali dotknutej osobe poskytnúť v čase získavania osobných údajov od dotknutej osoby, alebo ak sa osobné údaje získavajú z iného zdroja, v primeranej lehote v závislosti od okolností prípadu. Ak možno osobné údaje legitímne poskytnúť inému príjemcovi, dotknutá osoba by mala byť informovaná o ich prvom poskytnutí tomuto príjemcovi. Ak má prevádzkovateľ v úmysle spracúvať osobné údaje na iný účel ako ten, na ktorý boli získané, mal by dotknutej osobe pred takýmto ďalším spracúvaním poskytnúť informácie o tomto inom účele a ďalšie potrebné informácie. Ak sa z dôvodu použitia viacerých zdrojov nemôže dotknutej osobe oznámiť pôvod osobných údajov, mala by sa poskytnúť všeobecná informácia. (30)Dotknutá osoba by mala mať právo na prístup k osobným údajom, ktoré boli o nej získané, a uvedené právo aj jednoducho a v primeraných intervaloch uplatňovať, aby si bola vedomá zákonnosti spracúvania a mohla si ju overiť. K tomu patrí aj právo dotknutých osôb na prístup k údajom týkajúcim sa ich zdravia, napríklad k údajom v ich lekárskych záznamoch obsahujúcich informácie ako diagnózy, výsledky vyšetrení, posudky ošetrujúcich lekárov a akákoľvek poskytnutá terapia alebo uskutočnené zákroky. Každá dotknutá osoba by preto mala mať právo vedieť a byť informovaná najmä o účeloch spracúvania osobných údajov, podľa možnosti o období spracúvania osobných údajov, o príjemcoch osobných údajov, o postupe pri každom automatickom spracúvaní osobných údajov a aspoň v prípadoch, v ktorých sa spracúvanie opiera o profilovanie, o následkoch takéhoto spracúvania. Uvedené právo by sa nemalo nepriaznivo dotknúť práv alebo slobôd iných osôb, ani obchodného tajomstva alebo práv duševného vlastníctva a najmä autorských práv týkajúcich sa softvéru. Výsledkom zohľadnenia týchto prvkov by však nemalo byť odmietnutie poskytnutia akýchkoľvek informácií dotknutej osobe. Ak prevádzkovateľ spracúva v súvislosti s dotknutou osobou veľké množstvo informácií, mal by môcť požadovať, aby pred doručením informácií dotknutá osoba spresnila, ktorých informácií alebo spracovateľských činností sa žiadosť týka. (31)Dotknutá osoba by mala mať právo na opravu osobných údajov, ktoré sa jej týkajú, a „právo na zabudnutie“, ak uchovávanie takýchto údajov porušuje toto nariadenie alebo právo Únie vzťahujúce sa na prevádzkovateľa. Dotknutá osoba by mala mať právo na to, aby jej osobné údaje boli vymazané a prestali sa spracúvať, ak osobné údaje už nie sú potrebné v súvislosti s účelmi, na ktoré boli získané alebo inak spracúvané, ak dotknutá osoba odvolala svoj súhlas alebo namieta voči spracúvaniu osobných údajov, ktoré sa jej týkajú, alebo ak spracúvanie jej osobných údajov nie je v súlade s týmto nariadením z iných dôvodov. Uvedené právo je relevantné najmä v situácii, v ktorej dotknutá osoba dala súhlas ako dieťa a nebola si plne vedomá rizík spojených so spracúvaním, a neskôr chce takéto osobné údaje odstrániť, najmä z internetu. Dotknutá osoba by mala mať možnosť uplatniť uvedené právo bez ohľadu na skutočnosť, že už nie je dieťa. Ďalšie uchovávanie osobných údajov by však malo byť zákonné, pokiaľ je potrebné na uplatnenie slobody prejavu a práva na informácie, na splnenie zákonnej povinnosti, na splnenie úlohy realizovanej vo verejnom záujme alebo pri výkone verejnej moci zverenej prevádzkovateľovi, z dôvodov verejného záujmu v oblasti verejného zdravia, na účely archivácie vo verejnom záujme, na účely vedeckého alebo historického výskumu alebo na štatistické účely, alebo na preukazovanie, uplatňovanie alebo obhajovanie právnych nárokov. (32)Aby sa posilnilo „právo na zabudnutie“ v online prostredí, malo by sa rozšíriť aj právo na vymazanie, a to tak, že prevádzkovateľ, ktorý osobné údaje zverejnil, by mal byť povinný informovať prevádzkovateľov, ktorí takéto osobné údaje spracúvajú, že majú vymazať všetky odkazy na tieto osobné údaje alebo všetky kópie či repliky týchto osobných údajov. Pritom by mal uvedený prevádzkovateľ prijať primerané kroky s ohľadom na dostupnú technológiu a prostriedky, ktoré má prevádzkovateľ k dispozícii, vrátane technických opatrení, aby informoval prevádzkovateľov, ktorí spracúvajú osobné údaje, o žiadosti dotknutej osoby. (33)Metódy na obmedzenie spracúvania osobných údajov by mohli okrem iného zahŕňať dočasné presunutie vybraných údajov do iného systému spracúvania, zamedzenie prístupu používateľov k vybraným osobným údajom alebo dočasné odstránenie zverejnených údajov z webového sídla. V automatizovaných informačných systémoch by sa obmedzenie spracúvania malo v zásade zabezpečiť technickými prostriedkami takým spôsobom, aby osobné údaje neboli predmetom ďalších spracovateľských operácií a nebolo možné ich meniť. Skutočnosť, že spracúvanie osobných údajov je obmedzené, by sa v systéme mala jasne vyznačiť. (34)S cieľom ďalej posilniť kontrolu nad svojimi vlastnými údajmi by mala mať dotknutá osoba v prípade, že sa spracúvanie osobných údajov vykonáva automatizovanými prostriedkami, možnosť získať osobné údaje, ktoré sa jej týkajú a ktoré poskytla prevádzkovateľovi, v štruktúrovanom, bežne používanom strojovo čitateľnom a interoperabilnom formáte a preniesť ich k ďalšiemu prevádzkovateľovi. Prevádzkovatelia by sa mali nabádať k tomu, aby vyvinuli interoperabilné formáty, ktoré umožnia prenosnosť údajov. Uvedené právo by sa malo uplatňovať, ak dotknutá osoba poskytla osobné údaje na základe svojho súhlasu alebo ak je spracúvanie potrebné na plnenie zmluvy. Nemalo by sa preto uplatňovať, ak je spracúvanie osobných údajov potrebné na splnenie zákonnej povinnosti, ktorá sa na prevádzkovateľa vzťahuje, alebo na splnenie úlohy realizovanej vo verejnom záujme alebo pri výkone verejnej moci zverenej prevádzkovateľovi. Právo dotknutej osoby na prenos alebo prijatie osobných údajov, ktoré sa jej týkajú, by nemalo mať za následok vznik povinnosti prevádzkovateľov prijať alebo zachovať systémy spracúvania, ktoré sú technicky kompatibilné. Ak v rámci určitého súboru osobných údajov ide o viac ako jednu dotknutú osobu, právom prijímať tieto osobné údaje by nemali byť dotknuté práva a slobody iných dotknutých osôb podľa tohto nariadenia. Okrem toho by uvedeným právom nemalo byť dotknuté právo dotknutej osoby dosiahnuť vymazanie osobných údajov a obmedzenia tohto práva, ako sa uvádzajú v tomto nariadení, a predovšetkým by toto právo nemalo viesť k vymazaniu osobných údajov týkajúcich sa dotknutej osoby, ktoré poskytla na účely plnenia zmluvy, v takom rozsahu a počas takého obdobia, ako sú tieto osobné údaje potrebné na plnenie danej zmluvy. Keď je to technicky možné, mala by mať dotknutá osoba právo na prenos osobných údajov priamo od jedného prevádzkovateľa k druhému. (35)V prípadoch, keď by osobné údaje mohli byť spracúvané zákonne, pretože spracúvanie je potrebné na splnenie úlohy realizovanej vo verejnom záujme alebo pri výkone verejnej moci zverenej prevádzkovateľovi, by dotknutá osoba mala mať napriek tomu právo namietať proti spracúvaniu akýchkoľvek osobných údajov, ktoré sa týkajú jej konkrétnej situácie. Malo by byť na prevádzkovateľovi, aby preukázal, že jeho závažné oprávnené záujmy prevažujú nad záujmami alebo základnými právami a slobodami dotknutej osoby. (36)Dotknutá osoba by mala mať právo nepodliehať žiadnemu rozhodnutiu, čo môže zahŕňať aj opatrenie, ktoré hodnotí osobné aspekty týkajúce sa dotknutej osoby, je založené výlučne na automatizovanom spracúvaní a ktoré má právne účinky, ktoré sa dotknutej osoby týkajú alebo ju podobným spôsobom významne ovplyvňujú, ako sú napríklad elektronické postupy prijímania pracovníkov bez akéhokoľvek ľudského zásahu. Takéto spracúvanie zahŕňa „profilovanie“ pozostávajúce z akejkoľvek formy automatizovaného spracúvania osobných údajov spočívajúceho v hodnotení osobných aspektov týkajúcich sa fyzickej osoby, predovšetkým na analýzu alebo predvídanie aspektov súvisiacich s výkonnosťou dotknutej osoby v práci, jej majetkovými pomermi, zdravím, osobnými preferenciami alebo záujmami, spoľahlivosťou alebo správaním, polohou alebo pohybom, pokiaľ vedie k právnym účinkom, ktoré sa dotknutej osoby týkajú alebo ju podobným spôsobom významne ovplyvňujú. Rozhodovanie založené na takomto spracúvaní vrátane profilovania by sa však malo umožniť, ak je výslovne povolené právom Únie. V každom prípade by takéto spracúvanie malo podliehať vhodným zárukám, ktoré by mali zahŕňať konkrétne informácie pre dotknutú osobu a právo na ľudský zásah, právo vyjadriť svoj názor, dostať vysvetlenie rozhodnutia, ktoré bolo prijaté po takomto posúdení, a právo napadnúť toto rozhodnutie. Takéto opatrenie by sa nemalo týkať dieťaťa. S cieľom zabezpečiť spravodlivé a transparentné spracúvanie vo vzťahu k dotknutej osobe a s ohľadom na konkrétne okolnosti a súvislosti spracúvania osobných údajov by mal prevádzkovateľ používať na účely profilovania primerané matematické alebo štatistické postupy, prijať technické a organizačné opatrenia vhodné na to, aby sa predovšetkým zabezpečilo, že faktory, ktoré vedú k nesprávnosti osobných údajov, sa opravia a riziko chýb sa minimalizuje, zabezpečiť osobné údaje tak, aby sa zohľadnili súvisiace potenciálne riziká pre záujmy a práva dotknutej osoby a aby sa okrem iného zabránilo diskriminačným účinkom na fyzické osoby na základe rasového alebo etnického pôvodu, politického názoru, náboženstva alebo presvedčenia, členstva v odborových organizáciách, genetického alebo zdravotného stavu či sexuálnej orientácie, alebo účinkom, ktoré vedú k opatreniam majúcim takéto účinky. Automatizované rozhodovanie a profilovanie založené na osobitných kategóriách osobných údajov by sa malo umožniť len za osobitných podmienok. (37)V právnych aktoch prijatých na základe zmlúv alebo interných predpisov inštitúcií a orgánov Únie sa môžu uložiť obmedzenia pokiaľ ide o osobitné zásady a práva na informácie, prístup k osobným údajom a ich opravu alebo vymazanie, právo na prenosnosť údajov, dôvernosť elektronických komunikácií, ako aj informovanie dotknutej osoby o porušení ochrany osobných údajov a o určitých súvisiacich povinnostiach prevádzkovateľov, pokiaľ je to v demokratickej spoločnosti potrebné a primerané na zaistenie verejnej bezpečnosti, predchádzanie trestným činom, ich vyšetrovanie alebo stíhanie alebo na účely výkonu trestných sankcií, vrátane ochrany pred ohrozením verejnej bezpečnosti vrátane ochrany ľudského života, najmä v reakcii na prírodné katastrofy alebo katastrofy spôsobené ľudskou činnosťou, vnútornú bezpečnosť inštitúcií a orgánov Únie, iné dôležité ciele všeobecného verejného záujmu Únie alebo členského štátu, najmä ak ide o dôležitý hospodársky alebo finančný záujem Únie alebo členského štátu, vedenie verejných registrov vedených vo všeobecnom verejnom záujme, ochranu dotknutej osoby alebo práv a slobôd iných vrátane sociálnej ochrany, verejného zdravia a humanitárnych účelov. Ak v právnych aktoch prijatých na základe zmlúv alebo ich interných predpisov nie je stanovené obmedzenie, inštitúcie a orgány Únie môžu v osobitnom prípade zaviesť ad hoc obmedzenie týkajúce sa osobitných zásad a práv dotknutej osoby, pokiaľ takéto obmedzenie rešpektuje podstatu základných práv a slobôd a je, vo vzťahu k osobitnej spracovateľskej operácii, v demokratickej spoločnosti potrebné a primerané na zabezpečenie jedného alebo viacerých cieľov uvedených v odseku 1. Toto obmedzenie by sa malo oznámiť zodpovednej osobe. Všetky obmedzenia by mali byť v súlade s požiadavkami stanovenými v charte a v Európskom dohovore o ochrane ľudských práv a základných slobôd. (38)Mali by sa stanoviť povinnosti a zodpovednosť prevádzkovateľa v súvislosti s akýmkoľvek spracúvaním osobných údajov, ktoré vykonáva sám alebo ktoré sa vykonáva v jeho mene. Prevádzkovateľ by mal byť najmä povinný prijať primerané a účinné opatrenia a vedieť preukázať súlad spracovateľských činností s týmto nariadením vrátane účinnosti opatrení. V uvedených opatreniach by sa mala zohľadniť povaha, rozsah, kontext a účely spracúvania a riziko pre práva a slobody fyzických osôb. Riziká pre práva a slobody fyzických osôb s rôznym stupňom pravdepodobnosti a závažnosti môžu vyplývať zo spracúvania osobných údajov, ktoré by mohlo viesť k ujme na zdraví, majetkovej alebo nemajetkovej ujme, a to najmä: ak spracúvanie môže viesť k diskriminácii, krádeži totožnosti alebo podvodu, finančnej strate, poškodeniu dobrého mena, strate dôvernosti osobných údajov chránených profesijným tajomstvom, neoprávnenej depseudonymizácii alebo akémukoľvek inému závažnému hospodárskemu alebo sociálnemu znevýhodneniu; ak by dotknuté osoby mohli byť pozbavené svojich práv a slobôd alebo možnosti vykonávania kontroly nad svojimi osobnými údajmi; ak sa spracúvajú osobné údaje odhaľujúce rasový alebo etnický pôvod, politické názory, náboženstvo alebo filozofické názory, členstvo v odborových organizáciách, a ak sa spracúvajú genetické údaje, údaje týkajúce sa zdravia či údaje týkajúce sa sexuálneho života alebo rozsudkov v trestných veciach a trestných činov či súvisiacich bezpečnostných opatrení; ak sa posudzujú osobné aspekty, najmä ak sa analyzujú alebo predvídajú aspekty týkajúce sa výkonnosti v práci, majetkových pomerov, zdravia, osobných preferencií alebo záujmov, spoľahlivosti alebo správania, polohy alebo pohybu, s cieľom vytvoriť alebo používať osobné profily; ak sa spracúvajú osobné údaje zraniteľných fyzických osôb, najmä detí; alebo ak spracúvanie zahŕňa veľké množstvo osobných údajov a má dôsledky pre veľký počet dotknutých osôb. Pravdepodobnosť a závažnosť rizika pre práva a slobody dotknutej osoby by sa mala stanoviť v závislosti od povahy, rozsahu, kontextu a účelov spracúvania. Riziko by sa malo posudzovať na základe objektívneho posúdenia, ktorým sa určí, či spracovateľské operácie zahŕňajú riziko alebo vysoké riziko. (39)Ochrana práv a slobôd fyzických osôb v súvislosti so spracúvaním osobných údajov si vyžaduje, aby sa prijali primerané technické a organizačné opatrenia s cieľom zabezpečiť splnenie požiadaviek tohto nariadenia. Na to, aby mohol prevádzkovateľ preukázať súlad s týmto nariadením, by mal prijať interné pravidlá a opatrenia, ktoré budú predovšetkým spĺňať zásady špecificky navrhnutej ochrany údajov a štandardnej ochrany údajov. Takéto opatrenia by mohli okrem iného pozostávať z minimalizácie spracúvania osobných údajov, čo najskoršej pseudonymizácie osobných údajov, transparentnosti v súvislosti s funkciami a spracúvaním osobných údajov, umožnenia dotknutým osobám monitorovať spracúvanie údajov, umožnenia prevádzkovateľovi vypracovať a zlepšiť bezpečnostné prvky. Zásady špecificky navrhnutej ochrany údajov a štandardnej ochrany údajov by sa mali zohľadniť aj v súvislosti s verejným obstarávaním. (40)Ochrana práv a slobôd dotknutých osôb, ako aj zodpovednosť prevádzkovateľov a sprostredkovateľov si vyžaduje jednoznačné rozdelenie zodpovedností v zmysle tohto nariadenia, a to aj v prípade, že prevádzkovateľ spoločne s ostatnými prevádzkovateľmi určí účely a prostriedky spracúvania alebo že sa spracovateľská operácia uskutočňuje v jeho mene. (41)S cieľom zabezpečiť súlad s požiadavkami tohto nariadenia v súvislosti so spracúvaním, ktoré má v mene prevádzkovateľa vykonať sprostredkovateľ, by mal prevádzkovateľ pri poverovaní sprostredkovateľa spracovateľskými činnosťami využívať len takých sprostredkovateľov, ktorí poskytujú dostatočné záruky, najmä pokiaľ ide o odborné znalosti, spoľahlivosť a zdroje, na to, že prijmú technické a organizačné opatrenia, ktoré spĺňajú požiadavky tohto nariadenia, vrátane požiadavky na bezpečnosť spracúvania. Dodržiavanie schváleného kódexu správania alebo schváleného certifikačného mechanizmu sprostredkovateľmi inými ako inštitúcie a orgány Únie sa môže použiť ako prvok na preukázanie súladu s povinnosťami prevádzkovateľa. Vykonávanie spracúvania sprostredkovateľom by sa malo riadiť zmluvou alebo iným právnym aktom podľa práva Únie alebo práva členského štátu, ktorými by bol sprostredkovateľ viazaný voči prevádzkovateľovi a v ktorých by sa stanovil predmet a obdobie spracúvania, povaha a účely spracúvania, typ osobných údajov a kategórie dotknutých osôb, a ktoré by mali zohľadniť osobitné úlohy a povinnosti sprostredkovateľa v kontexte spracúvania, ktoré sa má vykonať, a riziko pre práva a slobody dotknutých osôb. Prevádzkovateľ a sprostredkovateľ by mali mať možnosť vybrať si použitie individuálnej zmluvy alebo štandardných zmluvných doložiek, ktoré prijme buď priamo Komisia, alebo ich prijme európsky dozorný úradník a následne ich prijme Komisia. Po ukončení spracúvania v mene prevádzkovateľa by mal sprostredkovateľ podľa rozhodnutia prevádzkovateľa vrátiť alebo vymazať osobné údaje, pokiaľ podľa práva Únie alebo práva členského štátu, ktorému sprostredkovateľ podlieha, neexistuje požiadavka na uchovanie týchto osobných údajov. (42)Na účely preukázania súladu s týmto nariadením by prevádzkovatelia mali uchovávať záznamy o spracovateľských činnostiach, za ktoré sú zodpovední, a sprostredkovatelia by mali uchovávať záznamy o kategóriách spracovateľských činností, za ktoré sú zodpovední. Inštitúcie a orgány Únie by mali byť povinné spolupracovať s európskym dozorným úradníkom pre ochranu údajov a na požiadanie mu poskytnúť svoje záznamy, aby mohli slúžiť na monitorovanie týchto spracovateľských operácií. Inštitúcie a orgány Únie by mali byť schopné zriadiť centrálny register záznamov svojich spracovateľských činností. Z dôvodov transparentnosti by takisto mali byť schopné tento register zverejniť. (43)S cieľom zachovať bezpečnosť a predchádzať spracúvaniu v rozpore s týmto nariadením by prevádzkovateľ alebo sprostredkovateľ mali posúdiť riziká súvisiace so spracúvaním a prijať opatrenia na zmiernenie týchto rizík, ako napríklad šifrovanie. Týmito opatreniami by sa mala zaistiť primeraná úroveň bezpečnosti vrátane dôvernosti, pričom by sa mali zohľadniť najnovšie poznatky a náklady na vykonanie opatrení v súvislosti s rizikami a povahou osobných údajov, ktoré sa majú chrániť. Pri posudzovaní rizika vo vzťahu k bezpečnosti údajov by sa mali zohľadniť riziká spojené so spracúvaním osobných údajov, ako je napríklad náhodné alebo nezákonné zničenie, strata, zmena, neoprávnené poskytnutie prenášaných, uchovávaných alebo inak spracúvaných osobných údajov alebo neoprávnený prístup k nim, ktoré by mohli viesť najmä k ujme na zdraví, majetkovej alebo nemajetkovej ujme. (44)Inštitúcie a orgány Únie by mali zabezpečiť dôvernosť elektronických komunikácií podľa článku 7 charty. Inštitúcie a orgány Únie by mali najmä zaistiť bezpečnosť svojich elektronických komunikačných sietí, chrániť informácie týkajúce sa koncových zariadení koncových používateľov, ktoré majú prístup k ich verejne dostupným webovým sídlam a mobilným aplikáciám, podľa nariadenia (EÚ) XXXX/XX [nové nariadenie o ochrane súkromia v elektronickej komunikácii] a chrániť osobné údaje v zoznamoch používateľov.

(45) Ak sa porušenie ochrany osobných údajov nerieši primeraným spôsobom a včas, môže fyzickým osobám spôsobiť ujmu na zdraví, majetkovú alebo nemajetkovú ujmu. Prevádzkovateľ by preto mal hneď, ako sa dozvie, že došlo k porušeniu ochrany osobných údajov, bez zbytočného odkladu a podľa možnosti najneskôr do 72 hodín od okamihu, ako sa dozvedel, že došlo k porušeniu ochrany osobných údajov, toto porušenie oznámiť európskemu dozornému úradníkovi pre ochranu údajov s výnimkou prípadov, keď vie prevádzkovateľ v súlade so zásadou zodpovednosti preukázať, že nie je pravdepodobné, že porušenie ochrany osobných údajov povedie k riziku pre práva a slobody fyzických osôb. Ak nie je možné takéto oznámenie vykonať do 72 hodín, malo by sa k oznámeniu pripojiť odôvodnenie omeškania, pričom informácie možno poskytnúť vo viacerých etapách bez ďalšieho zbytočného odkladu. Ak je takéto omeškanie odôvodnené, mali by sa menej citlivé či menej konkrétne informácie o porušení poskytnúť čo najskôr a s oznámením by sa nemalo čakať až do vyriešenia príslušného incidentu. (46)Ak porušenie ochrany osobných údajov pravdepodobne povedie k vysokému riziku pre práva a slobody fyzickej osoby, prevádzkovateľ by mal toto porušenie bezodkladne oznámiť dotknutej osobe, aby mohla prijať potrebné preventívne opatrenia. V oznámení by sa mala uviesť povaha porušenia ochrany osobných údajov, ako aj odporúčania pre dotknutú fyzickú osobu k tomu, ako zmierniť potenciálne nepriaznivé dôsledky. Takéto oznámenia dotknutým osobám by sa mali vykonať čo najskôr, ako je to možné, a v úzkej spolupráci s európskym dozorným úradníkom pre ochranu údajov, pričom by sa mali dodržiavať usmernenia tohto alebo iného relevantného orgánu, napríklad orgánov presadzovania práva. (47)V nariadení (ES) č. 45/2001 sa stanovuje všeobecná povinnosť prevádzkovateľa oznámiť spracúvanie osobných údajov zodpovednej osobe, ktorá zasa vedie register oznámených spracovateľských operácií. Uvedená povinnosť spôsobuje administratívnu a finančnú záťaž, a pritom neprispela vždy k zlepšeniu ochrany osobných údajov. Takéto nerozlišujúce všeobecné oznamovacie povinnosti by sa preto mali zrušiť a mali by sa nahradiť účinnými postupmi a mechanizmami, ktoré by sa namiesto toho zameriavali na tie typy spracovateľských operácií, ktoré vzhľadom na svoju povahu, rozsah, kontext a účel pravdepodobne povedú k vysokému riziku pre práva a slobody fyzických osôb. Takýmito typmi spracovateľských operácií by mohli byť najmä tie, pri ktorých sa používajú nové technológie, alebo tie, ktoré sú nového druhu a v súvislosti s ktorými prevádzkovateľ ešte nevykonal posúdenie vplyvu na ochranu údajov, alebo ktoré sa stali potrebnými vzhľadom na čas, ktorý uplynul od prvotného spracúvania. V takých prípadoch by prevádzkovateľ mal pred spracúvaním vykonať posúdenie vplyvu na ochranu údajov, aby posúdil osobitnú pravdepodobnosť a závažnosť vysokého rizika, pričom by mal zohľadniť povahu, rozsah, kontext a účely spracúvania a zdroje rizika. Uvedené posúdenie vplyvu by malo zahŕňať najmä plánované opatrenia, záruky a mechanizmy na zmiernenie daného rizika, na zabezpečenie ochrany osobných údajov a na preukázanie súladu s týmto nariadením. (48)Ak z posúdenia vplyvu na ochranu údajov vyplýva, že spracúvanie by v prípade neexistencie záruk, bezpečnostných opatrení a mechanizmov na zmiernenie rizika viedlo k vysokému riziku pre práva a slobody fyzických osôb, a prevádzkovateľ sa domnieva, že riziko sa nedá zmierniť primeranými prostriedkami, pokiaľ ide o dostupné technológie a náklady na vykonanie opatrení, mal by sa ešte pred začiatkom spracovateľskej činnosti konzultovať európsky dozorný úradník pre ochranu údajov. Takéto vysoké riziko pravdepodobne vyplynie z určitých typov spracúvania a z rozsahu a frekvencie spracúvania, v dôsledku ktorých by tiež mohlo dôjsť k vzniku ujmy alebo k zásahu do práv a slobôd fyzickej osoby. Európsky dozorný úradník pre ochranu údajov by mal odpovedať na žiadosť o konzultáciu v stanovenej lehote. Tým, že európsky dozorný úradník pre ochranu údajov v rámci tejto lehoty nezareaguje, by však nemal byť dotknutý žiadny zásah európskeho dozorného úradníka pre ochranu údajov v súlade s jeho úlohami a právomocami stanovenými v tomto nariadení, a to ani právomocou zakázať spracovateľské operácie. V rámci tohto konzultačného procesu by malo byť možné predložiť výsledok posúdenia vplyvu na ochranu údajov, ktoré sa vykonalo v súvislosti s daným spracúvaním, európskemu dozornému úradníkovi pre ochranu údajov, a najmä opatrenia určené na zmiernenie rizika pre práva a slobody fyzických osôb. (49)Európsky dozorný úradník pre ochranu údajov by mal byť informovaný o správnych opatreniach a interných predpisoch inštitúcií a orgánov Únie, ktoré stanovujú spracúvanie osobných údajov, podmienky pre obmedzenia práv dotknutej osoby alebo poskytujú primerané záruky pre práva dotknutej osoby, aby sa zabezpečil súlad zamýšľaného spracúvania s týmto nariadením a aby sa predovšetkým zmiernilo súvisiace riziko pre dotknutú osobu. (50)Nariadením (EÚ) 2016/679 sa zriaďuje Európsky výbor pre ochranu údajov ako nezávislý orgán Únie s právnou subjektivitou. Výbor by mal prispievať ku konzistentnému uplatňovaniu nariadenia (EÚ) 2016/679 a smernice 2016/680 v celej Únii, a to aj poskytovaním poradenstva Komisii. Európsky dozorný úradník pre ochranu údajov by zároveň mal aj naďalej vykonávať svoje dozorné a poradenské funkcie v súvislosti so všetkými inštitúciami a orgánmi Únie, a to aj z vlastnej iniciatívy alebo na požiadanie. S cieľom zabezpečiť konzistentnosť pravidiel ochrany údajov v rámci Únie by mala Komisia povinne viesť konzultácie po prijatí legislatívnych aktov alebo počas prípravy delegovaných aktov a vykonávacích aktov podľa článku 289, 290 a 291 ZFEÚ a po prijatí odporúčaní a návrhov týkajúcich sa dohôd s tretími krajinami a medzinárodnými organizáciami podľa článku 218 ZFEÚ, ktoré majú vplyv na právo na ochranu osobných údajov. V takýchto prípadoch by mala byť Komisia povinná konzultovať s európskym dozorným úradníkom pre ochranu údajov s výnimkou prípadov, keď sa v nariadení (EÚ) 2016/679 stanovujú povinné konzultácie s Európskym výborom pre ochranu údajov, napríklad v súvislosti s rozhodnutiami o primeranosti alebo delegovanými aktmi o štandardizovaných ikonách a požiadavkách na certifikačné mechanizmy. Ak má predmetný akt osobitný význam pre ochranu práv a slobôd fyzických osôb so zreteľom na spracúvanie osobných údajov, Komisia by okrem toho mala mať možnosť uskutočniť konzultácie aj s Európskym výborom pre ochranu údajov. V takýchto prípadoch by európsky dozorný úradník pre ochranu údajov ako člen Európskeho výboru pre ochranu údajov mal koordinovať svoju činnosť s týmto výborom s cieľom vydať spoločné stanovisko. Európsky dozorný úradník pre ochranu údajov a prípadne aj Európsky výbor pre ochranu údajov by mali poskytnúť svoje písomné vyjadrenie do ôsmich týždňov. Tento časový rámec by sa mal v naliehavých alebo inak vhodných prípadoch skrátiť, napríklad keď Komisia pripravuje delegované a vykonávacie akty. (51)V každej z inštitúcií alebo v každom z orgánov Únie by mala uplatňovanie ustanovení tohto nariadenia zabezpečovať zodpovedná osoba, ktorá by mala radiť prevádzkovateľom a sprostredkovateľom pri plnení ich povinností. Táto zodpovedná osoba by mala byť osobou s odbornými znalosťami z práva a o postupoch v oblasti ochrany údajov, čo by sa malo určiť najmä podľa vykonávaných operácií spracúvania údajov a požadovanej ochrany osobných údajov, ktoré spracúva prevádzkovateľ alebo sprostredkovateľ. Takéto zodpovedné osoby by mali mať možnosť vykonávať svoje povinnosti a úlohy nezávisle. (52)Keď sa osobné údaje prenášajú z inštitúcií a orgánov Únie prevádzkovateľom, sprostredkovateľom alebo iným príjemcom v tretích krajinách alebo medzinárodným organizáciám, nemala by byť ohrozená úroveň ochrany fyzických osôb, ktorá je v Únii zaručovaná týmto nariadením, a to ani v prípadoch následného prenosu osobných údajov z tretej krajiny alebo od medzinárodnej organizácie prevádzkovateľom, sprostredkovateľom v rovnakej alebo inej tretej krajine alebo medzinárodnej organizácii. V každom prípade sa prenosy do tretích krajín a medzinárodným organizáciám môžu uskutočňovať len v úplnom súlade s týmto nariadením. Prenos by sa mohol uskutočniť len vtedy, ak s výhradou ostatných ustanovení tohto nariadenia prevádzkovateľ alebo sprostredkovateľ splnili podmienky stanovené v tomto nariadení týkajúce sa prenosu osobných údajov do tretích krajín alebo medzinárodným organizáciám. (53)Komisia sa v súlade s článkom 45 nariadenia (EÚ) 2016/679 môže rozhodnúť, že tretia krajina, územie alebo konkrétne odvetvie v tretej krajine, alebo medzinárodná organizácia zabezpečujú primeranú úroveň ochrany údajov. V takýchto prípadoch môže inštitúcia alebo orgán Únie uskutočňovať prenosy osobných údajov do tejto tretej krajiny alebo tejto medzinárodnej organizácii bez potreby získania ďalšieho povolenia. (54)Pri neexistencii rozhodnutia o primeranosti by prevádzkovateľ alebo sprostredkovateľ mali prijať opatrenia na kompenzáciu nedostatočnej ochrany údajov v tretej krajine prostredníctvom primeraných záruk pre dotknutú osobu. Takéto primerané záruky môžu spočívať v uplatnení štandardných doložiek o ochrane údajov prijatých Komisiou, štandardných doložiek o ochrane údajov prijatých európskym dozorným úradníkom pre ochranu údajov, alebo zmluvných doložiek povolených európskym dozorným úradníkom pre ochranu údajov. Ak sprostredkovateľ nie je inštitúciou alebo orgánom Únie, tieto primerané záruky môžu pozostávať aj zo záväzných podnikových pravidiel, kódexov správania a certifikačných mechanizmov používaných pre medzinárodné prenosy podľa nariadenia (EÚ) 2016/679. Tieto záruky by mali zabezpečiť dodržiavanie požiadaviek na ochranu údajov a práv dotknutých osôb v rozsahu zodpovedajúcom spracúvaniu v rámci Únie vrátane dostupnosti vymožiteľných práv dotknutých osôb a účinných právnych prostriedkov nápravy vrátane účinných prostriedkov správnej a súdnej nápravy a možnosti domáhať sa náhrady škody v Únii alebo tretej krajine. Mali by sa týkať predovšetkým dodržiavania všeobecných zásad spracúvania osobných údajov a zásad špecificky navrhnutej a štandardnej ochrany údajov. Inštitúcie a orgány Únie môžu vykonávať prenosy aj orgánom verejnej moci alebo verejným subjektom v tretích krajinách alebo medzinárodným organizáciám s príslušnými povinnosťami alebo funkciami, a to aj na základe ustanovení, ktoré sa vložia do administratívnych dojednaní, ako je napríklad memorandum o porozumení, v ktorých sa ustanovia vymožiteľné a účinné práva dotknutých osôb. V prípade, že záruky sú stanovené v administratívnych dojednaniach, ktoré nie sú právne záväzné, by sa malo získať povolenie európskeho dozorného úradníka pre ochranu údajov. (55)Skutočnosť, že prevádzkovateľ alebo sprostredkovateľ môžu použiť štandardné doložky o ochrane údajov prijaté Komisiou alebo európskym dozorným úradníkom pre ochranu údajov by prevádzkovateľom ani sprostredkovateľom nemala brániť v tom, aby zahrnuli štandardné doložky o ochrane údajov do širšej zmluvy, ako napríklad zmluvy medzi sprostredkovateľom a ďalším sprostredkovateľom, alebo k nim pridali ďalšie doložky alebo dodatočné záruky, pokiaľ nie sú priamo alebo nepriamo v rozpore so štandardnými zmluvnými doložkami prijatými Komisiou alebo európskym dozorným úradníkom pre ochranu údajov alebo pokiaľ sa nedotýkajú základných práv alebo slobôd dotknutých osôb. Prevádzkovatelia a sprostredkovatelia by sa mali nabádať k tomu, aby poskytovali dodatočné záruky prostredníctvom zmluvných záväzkov, ktoré doplnia štandardné ochranné doložky o ochrane údajov. (56)Niektoré tretie krajiny prijímajú zákony, predpisy a iné právne akty, ktoré majú priamo regulovať spracovateľské činnosti inštitúcií a orgánov Únie. To môže zahŕňať rozsudky súdov alebo tribunálov alebo rozhodnutia správnych orgánov tretích krajín, v ktorých sa od prevádzkovateľa alebo sprostredkovateľa vyžaduje prenos alebo poskytnutie osobných údajov a ktoré nie sú založené na platnej medzinárodnej dohode medzi žiadajúcou treťou krajinou a Úniou. Extrateritoriálne uplatňovanie týchto zákonov, predpisov a iných právnych aktov môže byť v rozpore s medzinárodným právom a môže ohroziť ochranu fyzických osôb zaručenú Úniou v tomto nariadení. Prenosy by mali byť povolené, len ak sa splnia podmienky uvedené v tomto nariadení pre prenosy do tretích krajín. Môže ísť okrem iného o prípad, keď je poskytnutie potrebné z dôležitého dôvodu verejného záujmu uznaného v práve Únie. (57)V osobitných situáciách by sa mala stanoviť možnosť prenosov za určitých okolností, ak dotknutá osoba dala výslovný súhlas, ak je prenos príležitostný a potrebný v súvislosti so zmluvou alebo právnym nárokom, a to bez ohľadu na to, či ide o súdne konanie alebo správne či iné mimosúdne konanie vrátane konaní pred regulačnými orgánmi. Mala by sa takisto stanoviť možnosť prenosov, ak je to nutné z dôležitých dôvodov verejného záujmu stanovených v práve Únie alebo ak je prenos realizovaný z registra vytvoreného na základe právneho predpisu a určeného na nahliadanie verejnosťou alebo osobami s oprávneným záujmom. V poslednom uvedenom prípade by tento prenos nemal zahŕňať všetky osobné údaje ani celé kategórie údajov obsiahnutých v registri, pokiaľ to nepovoľuje právo Únie, a ak je register určený na nahliadanie osobami s oprávneným záujmom, prenos by sa mal vykonať len na požiadanie takýchto osôb alebo vtedy, ak majú byť takéto osoby príjemcami údajov, pričom sa vezmú plne do úvahy záujmy a základné práva dotknutej osoby. (58)Uvedené výnimky by sa mali uplatňovať predovšetkým na prenosy údajov, ktoré sa požadujú a sú potrebné z dôležitých dôvodov verejného záujmu, napríklad v prípadoch medzinárodnej výmeny údajov medzi inštitúciami a orgánmi Únie a orgánmi hospodárskej súťaže, daňovými alebo colnými správami, orgánmi finančného dohľadu a útvarmi zodpovednými za otázky sociálneho zabezpečenia alebo za verejné zdravie, napríklad v prípade sledovania kontaktu, pokiaľ ide o nákazlivé choroby, alebo s cieľom obmedziť a/alebo vylúčiť doping v športe. Prenos osobných údajov by sa mal tiež považovať za zákonný, ak je potrebný na ochranu záujmu, ktorý je podstatný pre životne dôležité záujmy dotknutej osoby alebo inej osoby, vrátane telesnej integrity alebo života, ak dotknutá osoba nemôže vyjadriť súhlas. Pri neexistencii rozhodnutia o primeranosti sa môžu v práve Únie z dôležitých dôvodov verejného záujmu výslovne stanoviť obmedzenia prenosu osobitných kategórií údajov do tretej krajiny alebo medzinárodnej organizácii. Akýkoľvek prenos osobných údajov dotknutej osoby, ktorá nie je fyzicky alebo právne spôsobilá na udelenie súhlasu, medzinárodnej humanitárnej organizácii s cieľom plniť úlohy uložené ženevskými dohovormi alebo v súlade s medzinárodným humanitárnym právom uplatniteľným na ozbrojené konflikty, by sa mohol považovať za potrebný z dôležitého dôvodu verejného záujmu alebo z dôvodu životne dôležitého záujmu dotknutej osoby. (59)V každom prípade, ak Komisia neprijala rozhodnutie o primeranej úrovni ochrany údajov v tretej krajine, prevádzkovateľ alebo sprostredkovateľ by mali využiť riešenia, ktoré dotknutým osobám poskytujú vymožiteľné a účinné práva, pokiaľ ide o spracúvanie ich údajov v Únii po prenesení, aby aj naďalej požívali základné práva a záruky. (60)Pri cezhraničnom pohybe osobných údajov mimo Úniu môžu byť fyzické osoby vystavené väčšiemu riziku, že nebudú schopné uplatniť si práva na ochranu údajov, a to najmä aby sa chránili pred nezákonným využitím alebo poskytnutím týchto informácií. Zároveň sa môže stať, že dozorné orgány v Únii vrátane európskeho dozorného úradníka pre ochranu údajov, nebudú schopné vybavovať sťažnosti alebo viesť vyšetrovania týkajúce sa činností vykonávaných mimo ich jurisdikcie. Prekážkou v ich úsilí spolupracovať v cezhraničnom kontexte môžu byť aj nedostatočné preventívne alebo nápravné právomoci, rozdielne právne režimy a praktické prekážky, napríklad nedostatočné zdroje. Preto je potrebné podporovať užšiu spoluprácu medzi európskym dozorným úradníkom pre ochranu údajov a inými dozornými orgánmi pre ochranu údajov s cieľom pomôcť pri výmene informácií s ich medzinárodnými partnermi. (61)Zásadným prvkom ochrany fyzických osôb so zreteľom na spracúvanie ich osobných údajov je zriadenie funkcie európskeho dozorného úradníka pre ochranu údajov v nariadení (ES) č. 45/2001, ktorý je oprávnený plniť svoje úlohy a vykonávať svoje právomoci úplne nezávisle. Týmto nariadením by sa mala ďalej posilniť a vymedziť jeho úloha a nezávislosť. (62)S cieľom zabezpečiť konzistentné monitorovanie a presadzovanie pravidiel ochrany údajov v celej Únii by európsky dozorný úradník pre ochranu údajov mal mať rovnaké úlohy a účinné právomoci ako dozorné orgány v členských štátoch vrátane právomocí viesť vyšetrovania, ukladať nápravné opatrenia a sankcie a právomocí vydávať povolenia a poskytovať poradenstvo, najmä v prípadoch sťažností fyzických osôb, právomoci upozorňovať Súdny dvor Európskej únie na porušovanie tohto nariadenia a zúčastňovať sa na súdnom konaní v súlade s primárnym právom. Takéto právomoci by mali tiež zahŕňať právomoc nariadiť dočasné alebo trvalé obmedzenie spracúvania, vrátane zákazu spracúvania. Aby sa predišlo zbytočným nákladom a neprimeraným ťažkostiam pre osoby, ktorých sa to týka a ktoré by mohli byť nepriaznivo ovplyvnené, každé opatrenie európskeho dozorného úradníka pre ochranu údajov by malo byť vhodné, potrebné a primerané vzhľadom na zabezpečenie súladu s týmto nariadením, mali by sa v ňom zohľadňovať okolnosti každého jednotlivého prípadu a rešpektovať právo každej osoby na vypočutie pred prijatím akéhokoľvek individuálneho opatrenia. Každé právne záväzné opatrenie európskeho dozorného úradníka pre ochranu údajov by malo mať písomnú podobu, malo by byť jasné a jednoznačné, mal by sa v ňom uvádzať dátum jeho vydania, podpis európskeho dozorného úradníka pre ochranu údajov, odôvodnenie opatrenia a poučenie o práve na účinný prostriedok nápravy. (63)Rozhodnutia európskeho dozorného úradníka pre ochranu údajov o výnimkách, zárukách, oprávneniach a podmienkach týkajúcich sa operácií spracovávania údajov tak, ako sú vymedzené v tomto nariadení, by sa mali uverejniť v správe o činnosti. Nezávisle od uverejnenia výročnej správy o činnosti môže európsky dozorný úradník pre ochranu údajov uverejňovať správy o špecifických témach. (64)Národné dozorné orgány monitorujú uplatňovanie nariadenia (EÚ) 2016/679 a prispievajú k jeho jednotnému uplatňovaniu v celej Únii v záujme ochrany fyzických osôb pri spracúvaní ich osobných údajov a uľahčenia voľného toku osobných údajov v rámci vnúto