SK Úradný vestník Európskej únie C 164/2

Zhrnutie stanoviska EDPS k návrhu nariadenia o ochrane fyzických osôb pri spracúvaní osobných údajov inštitúciami, orgánmi, úradmi a agentúrami Únie a o voľnom pohybe takýchto údajov, ktorým sa zrušuje nariadenie (ES) č. 45/2001 a rozhodnutie č. 1247/2002/ES

[Úplné znenie tohto stanoviska sa nachádza v anglickom, vo francúzskom a v nemeckom jazyku na webovej lokalite európskeho dozorného úradníka pre ochranu údajov www.edps.europa.eu]

(2017/C 164/02)

Európska únia práve zverejňuje novú generáciu noriem ochrany údajov. Prijatie všeobecného nariadenia o ochrane údajov a smernice pre odvetvia polície a súdnictva takmer pred rokom predstavovali najambicióznejšie úsilie zákonodarcu EÚ, pokiaľ ide o zaistenie základných práv fyzických osôb v digitálnej ére. Teraz nastal čas, aby samotné inštitúcie EÚ šli príkladom v oblasti pravidiel, ktoré uplatňujú samy na seba ako na prevádzkovateľov a sprostredkovateľov. Za uplynulých 18 mesiacov EDPS inicioval dialóg s inštitúciami EÚ na najvyššej úrovni, aby sa pripravili na nové výzvy týkajúce sa dodržiavania predpisov o ochrane údajov so zdôraznením novej zásady zodpovednosti za spôsob spracovania údajov. Cieľom EDPS je priniesť týmto stanoviskom dvanásťročné skúsenosti nezávislého dohľadu, politického poradenstva a obhajoby navrhovania zlepšení do navrhovaného nariadenia o spracúvaní osobných údajov inštitúciami a orgánmi EÚ.

Nariadenie č. 45/2001 slúžilo na určenie trendov, stanovovali sa v ňom priamo uplatniteľné povinnosti prevádzkovateľov, práva dotknutých osôb a jasne nezávislý orgán dohľadu. EÚ teraz musí zabezpečiť súlad so všeobecným nariadením o ochrane údajov zdôraznením zodpovednosti a ochranných opatrení pre fyzické osoby, nie pre postupy. Určitá odchýlka od pravidiel vzťahujúcich sa na spracovanie údajov inštitúciami EÚ je opodstatnená, takisto ako boli do všeobecného nariadenia o ochrane údajov zahrnuté výnimky pre verejný sektor – musia byť však udržané na minimálnej úrovni.

Z perspektívy fyzickej osoby je však veľmi dôležité, aby sa spoločné zásady v celom rámci ochrany údajov v EÚ uplatňovali jednotne bez ohľadu na to, kto je prevádzkovateľ. Takisto je veľmi dôležité, aby sa celý rámec uplatňoval naraz, to znamená, v máji 2018, čo je lehota na plné uplatnenie všeobecného nariadenia o ochrane údajov.

Komisia viedla konzultácie s EDPS o pripravovanom návrhu v súlade s dlhodobou dohodou medzi našimi inštitúciami. Domnievame sa, že Komisia dosiahla celkovo dobrú rovnováhu rôznych dotknutých záujmov. V tomto stanovisku sa uvádza niekoľko oblastí, v ktorých by sa návrh dal ešte zlepšiť. Vyjadrujeme sa za zlepšenia navrhovaného nariadenia, najmä pokiaľ ide o obmedzenia práv dotknutých osôb a ustanovenie pre inštitúcie EÚ, aby v určitých kontextoch používali certifikačné mechanizmy. Pokiaľ ide o naše vlastné úlohy a právomoci nezávislého orgánu, zdá sa, že návrh dosiahol primeranú rovnováhu a zohľadňuje normálne funkcie nezávislého orgánu pre ochranu osobných údajov podľa Charty základných práv a tak, ako bolo potvrdené v nedávnej judikatúre Súdneho dvora, či už v pozícii subjektu presadzujúceho právo, subjektu riešiaceho sťažnosti alebo poradcu zákonodarcu v politikách, ktoré ovplyvňujú ochranu údajov a súkromie.

Vyzývame zákonodarcu EÚ, aby dosiahol dohodu vo veci návrhu čo najrýchlejšie, aby mohli inštitúcie EÚ využívať primerané prechodné obdobie pred nadobudnutím účinnosti nového nariadenia.

1. ÚVOD A SÚVISLOSTI

1.1. Kontext

1. Európska komisia prijala 10. januára 2017 návrh nariadenia Európskeho parlamentu a Rady o ochrane fyzických osôb pri spracúvaní osobných údajov inštitúciami, orgánmi, úradmi a agentúrami Únie a o voľnom pohybe takýchto údajov, ktorým sa zrušuje nariadenie (ES) č. 45/2001 a rozhodnutie č. 1247/2002/ES (1) („návrh“).

2. Základné právo na ochranu osobných údajov je zakotvené v článku 8 Charty základných práv Európskej únie („charta“) a článku 16 Zmluvy o fungovaní Európskej únie („ZFEÚ“).

3. Európsky dozorný úradník pre ochranu údajov („EDPS“) je nezávislým orgánom dohľadu zodpovedným za zabezpečenie toho, aby európske inštitúcie, orgány, úrady a agentúry („inštitúcie EÚ“) dodržiavali súlad s právnymi predpismi o ochrane údajov pri spracúvaní osobných údajov (2). Požiadavka zabezpečenia nezávislej kontroly v systéme ochrany údajov EÚ je zakotvená v primárnych právnych predpisoch, a to v článku 16 ods. 2 ZFEÚ, ako aj v článku 8 ods. 3 charty. Súdny dvor jednotne zdôrazňoval, že kontrola nezávislým orgánom je veľmi dôležitou súčasťou práva na ochranu údajov, a stanovil kritériá tejto nezávislosti (3). Orgán dohľadu musí najmä konať úplne nezávisle, z čoho vyplýva rozhodujúca právomoc nezávislá od všetkých priamych alebo nepriamych vonkajších vplyvov (4) a sloboda od akéhokoľvek podozrenia zo zaujatosti (5).

4. Hlavný právny nástroj vzťahujúci sa na spracovanie osobných údajov inštitúciami EÚ je nariadenie (ES) č. 45/2001 (6) („nariadenie č. 45/2001“) doplnené rozhodnutím č. 1247/2002/ES (7).

5. Po uzavretí zdĺhavých rokovaní o novom rámci ochrany údajov EÚ – všeobecnom nariadení o ochrane údajov a smernice pre odvetvia polície a súdnictva 27. apríla 2016 tento návrh (spolu s návrhom nariadenia o súkromí a elektronických komunikáciách (8), ktorý predložila Komisia) predstavuje začiatok veľmi dôležitej fázy v procese dokončenia tohto rámca o ochrane údajov EÚ. Jeho cieľom je zosúladiť ustanovenia nariadenia č. 45/2001 s pravidlami stanovenými vo všeobecnom nariadení o ochrane údajov s cieľom vytvoriť silnejší a jednotnejší rámec ochrany údajov v Únii a umožniť, aby sa uplatňovali oba nástroje súčasne (9). Okrem toho nový návrh obsahuje aj nové pravidlá ochrany koncových zariadení koncových používateľov, stanovené v návrhu nového nariadenia o súkromí a elektronických komunikáciách, ktorý predložila Komisia.

6. V stratégii na roky 2015 – 2019 sa EDPS zaviazal pracovať s Európskym parlamentom, Radou a Komisiou na zabezpečení toho, aby sa súčasné pravidlá stanovené v nariadení č. 45/2001 uviedli do súladu so všeobecným nariadením o ochrane údajov a aby revidovaný rámec nadobudol účinnosť najneskôr na začiatku roka 2018. EDPS víta, že s ním Komisia viedla neformálne konzultácie pred prijatím návrhu, a zdá sa, že v návrhu boli zohľadnené mnohé prvky, ku ktorým sa vo svojich neformálnych príspevkoch doteraz vyjadril. Súčasný návrh považuje za uspokojivejší z hľadiska maximálneho zosúladenia so všeobecným nariadením o ochrane údajov, pokiaľ sa v úzko vymedzených špecifikách verejného sektora EÚ neodôvodňuje inak, a osobitne víta rovnováhu rôznych predmetných záujmov, ktorú dosiahla Komisia.

7. Aj keď sú v tomto stanovisku uvedené niektoré oblasti, v ktorých by sa návrh mohol ešte zlepšiť, EDPS vyzýva zákonodarcu EÚ, aby dosiahol dohodu o návrhu čo najskôr, aby mohli inštitúcie EÚ využiť primerané prechodné obdobie pred úplným nadobudnutím účinnosti nového nariadenia.

1.2. Ciele návrhu a načasovanie

8. V minulosti EDPS odporúčal, aby boli do (vtedajšieho) návrhu všeobecného nariadenia o ochrane údajov (10) zapracované vecné pravidlá pre inštitúcie EÚ. Zákonodarca si vybral inú možnosť: samostatný právny nástroj vzťahujúci sa na inštitúcie EÚ zosúladený so všeobecným nariadením o ochrane údajov a uplatniteľný súčasne s ním. EDPS podporuje tento prístup: bolo by neprijateľné, keby Európska komisia a iné inštitúcie EÚ neboli viazané rovnocennými pravidlami, ako sú tie, ktoré budú čoskoro platiť na úrovni členských štátov. Okrem toho by bolo neželateľné, aby EDPS vykonával dohľad nad dodržiavaním vecných pravidiel zo strany inštitúcií EÚ, ktoré by boli menej kvalitné ako pravidlá, nad ktorými vykonávajú dohľad jeho partneri na vnútroštátnej úrovni, najmä vzhľadom na to, že EDPS bude členom budúceho Európskeho výboru pre ochranu údajov („EDPB“) (11).

9. Budúce pravidlá vzťahujúce sa na spracúvanie osobných údajov inštitúciami EÚ by preto malo byť zosúladené s ustanoveniami všeobecného nariadenia o ochrane údajov s výnimkou úzko vykladaných špecifík, v ktorých sa vo verejnom sektore odôvodňuje inak. V tomto smere EDPS víta odôvodnenie 5 v návrhu, v ktorom sa zdôraznila potreba maximálneho možného zosúladenia a objasňuje, že „(a)k sú ustanovenia tohto nariadenia založené na rovnakej koncepcii ako ustanovenia (všeobecného nariadenia o ochrane údajov), mali by sa tieto dve ustanovenia vykladať rovnako, najmä preto, že schéma tohto nariadenia by sa mala chápať ako ekvivalent schémy (všeobecného nariadenia o ochrane údajov)“.

10. Zosúladenie so všeobecným nariadením o ochrane údajov zároveň nemôže byť ani úplné, ani automatické. Všeobecné nariadenie o ochrane údajov obsahuje početné klauzuly, ktoré členským štátom umožňujú udržať alebo zaviesť osobitné právne predpisy v určitých oblastiach, a to aj pre verejné orgány (12). V prípadoch, keď sa vo všeobecnom nariadení o ochrane údajov stanovujú osobitné pravidlá pre verejné orgány (13) alebo sa ponecháva priestor na implementáciu jeho ustanovení členskými štátmi, možno usudzovať, že návrh plní úlohu porovnateľnú s vnútroštátnymi právnymi predpismi, ktorými sa tzv. vykonáva všeobecné nariadenie o ochrane údajov, ako napríklad v článku 9 Prenosy osobných údajov príjemcom iným, ako sú inštitúcie a orgány Únie alebo v článku 66 Správne pokuty návrhu (pozri ďalej oddiel 2.8.1). Okrem toho, je dôležité zabezpečiť, aby bola udržaná vysoká úroveň ochrany, ktorá sa v súčasnosti vzťahuje na inštitúcie EÚ. Preto je potrebné udržať určité špecifiká nariadenia č. 45/2001, napríklad v článku 25 Obmedzenia (pozri ďalej oddiel 2.3.1) a v článku 44 Určenie zodpovednej osoby (pozri ďalej oddiel 2.4.5.1).

11. Okrem podstatného zosúladenia so všeobecným nariadením o ochrane údajov je veľmi dôležité, aby revidované pravidlá nadobudli účinnosť v rovnakom čase ako všeobecné nariadenie o ochrane údajov, t. j. 25. mája 2018. Existujúca sieť zodpovedných osôb zabezpečuje efektívny kanál výmeny informácií a spolupráce. V dôsledku toho je EDPS presvedčený, že súlad by sa mohol dosiahnuť po pomerne krátkom prechodnom období, napr. troch mesiacoch.

12. Zásada zodpovednosti, o ktorú sa opiera všeobecné nariadenie o ochrane údajov – ako aj súčasný návrh – presahuje jednoduché dodržiavanie pravidiel a implikuje kultúrnu zmenu. V záujme zjednodušenia prechodu EDPS spustil projekt zodpovednosti. V tejto súvislosti bol EDPS počas rokov 2016 a 2017 v kontakte so siedmimi kľúčovými inštitúciami a orgánmi EÚ, aby pomohol s prípravou na uplatňovanie všeobecného nariadenia o ochrane údajov v správnom čase.

1.3. Rozsah pôsobnosti a vzťah s inými právnymi nástrojmi

13. EDPS pri niekoľkých príležitostiach v minulosti vyzýval Komisiu, aby navrhla odolný a komplexný systém, ktorý by bol ambiciózny a zlepšil by účinnosť a konzistentnosť ochrany údajov v EÚ tak, aby sa zaistilo zdravé prostredie pre ďalší rozvoj v nadchádzajúcich rokoch (14). Komisia si zvolila iný prístup a navrhla samostatný právny nástroj na ochranu údajov v oblasti presadzovania práva (15). Nasledovalo niekoľko návrhov právnych aktov, v ktorých sa zavádzajú samostatné režimy ochrany údajov (16).

14. EDPS uznáva, že súčasný, aj keď fragmentovaný právny rámec pre ochranu osobných údajov je najlepším výsledkom, ktorý sa dnes dá dosiahnuť (17). EDPS chápe, že súčasný návrh by sa naďalej uplatňoval na inštitúcie EÚ, ktoré v súčasnosti nepatria do rozsahu pôsobnosti nariadenia č. 45/2001 (18) (v zásade ide o všetky bývalé inštitúcie, orgány, úrady a agentúry prvého a druhého piliera (19)), ale ako taký by neovplyvnil existujúce alebo otvorené samostatné režimy (20). Tieto režimy by boli ovplyvnené týmto návrhom, len ak, a v takom rozsahu, v ktorom je to výslovne stanovené v príslušnom právnom nástroji. EDPS berie na vedomie tento prístup, ale navrhuje, aby bola táto skutočnosť explicitnejšie uvedená v preambule návrhu a prípadne aj v jeho článku 2 Rozsah pôsobnosti. Zároveň by EDPS chcel zdôrazniť, že fragmentácia a rastúca zložitosť právneho rámca pre spracovanie údajov rôznymi inštitúciami EÚ pôsobiacimi v bývalom prvom a treťom pilieri nie je úplne uspokojivým výsledkom a môže si vyžadovať riešenie zo strany zákonodarcu EÚ v strednodobom horizonte.

15. V nariadení č. 45/2001 sa stanovujú opatrenia zamerané na ochranu súkromia a dôvernosti komunikácií v prípadoch, keď inštitúcie EÚ ovládajú infraštruktúru používanú na komunikáciu. V tomto smere zahŕňa niekoľko ustanovení vzťahujúcich sa na časti regulačného rozsahu pôsobnosti smernice 2002/58/ES (smernica o súkromí a elektronických komunikáciách) (21) a stanovuje sa v ňom zásada, že pravidlá pre ochranu základných práv by sa mali uplatňovať jednotným a harmonickým spôsobom v celej Únii, s odkazom na príslušné nástroje, ako je smernica o súkromí a elektronických komunikáciách (22). Potreba zabezpečiť rovnakú úroveň súkromia a dôvernosti komunikácií s účasťou inštitúcií EÚ zostáva nezmenená, a preto by sa mala zachovať zásada jednotného a harmonického uplatňovania. EDPS sa preto domnieva, že návrhom by sa malo zabezpečiť, aby sa príslušné pravidlá všeobecného nariadenia o ochrane údajov a budúceho nariadenia o súkromí a elektronických komunikáciách vzťahovali na inštitúcie EÚ mutatis mutandis. Malo by to zahŕňať zachovanie dôvernosti a súkromia, pokiaľ ide o komunikačné služby ovládané inštitúciami EÚ, ako aj iné zásady budúceho nariadenia o súkromí a elektronických komunikáciách, napríklad ochranu koncových zariadení a iné pravidlá, napr. pokiaľ ide o sledovanie a spam.

16. Na záver, aj keď sa právne predpisy EÚ o ochrane údajov vzťahujú aj na Európsky hospodársky priestor a zúčastnené krajiny EZVO sú povinné zriadiť nezávislé orgány dohľadu podľa všeobecného nariadenia o ochrane údajov, inštitúcie EZVO nepodliehajú žiadnym osobitným pravidlám a dohľadu v oblasti ochrany údajov, aj keď si vymieňajú osobné údaje s inštitúciami EÚ. EDPS sa domnieva, že tento návrh by mohol byť príležitosťou na vyriešenie tejto otázky.

3. ZÁVERY

90. Celkovo EDPS považuje návrh za úspešný v zosúladení pravidiel pre inštitúcie EÚ so všeobecným nariadením o ochrane údajov so zohľadnením špecifík verejného sektora EÚ. Vysoká úroveň ochrany, pokiaľ ide o spracúvanie údajov inštitúciami EÚ, je v návrhu všeobecne zachovaná. EDPS osobitne oceňuje rovnováhu rôznych predmetných záujmov, ktorú Komisia dosiahla.

91. EDPS sa domnieva, že návrh by sa mal ešte zlepšiť, najmä pokiaľ ide o modality obmedzení podľa článku 25. S cieľom zabezpečiť súlad s už uvedenými požiadavkami na kvalitu právnych predpisov, by bolo potrebné zmeniť článok 25 ods. 1 návrhu tak, že len právnymi aktmi prijatými na základe zmlúv by malo byť možné obmedziť základné práva, čím by sa uložili inštitúciám EÚ rovnaké normy, ktoré by sa uplatňovali na členské štáty podľa všeobecného nariadenia o ochrane údajov. V rozsahu úpravy obmedzení v článku 34 Dôvernosť elektronických komunikácií EDPS vyzýva zákonodarcu EÚ zabezpečiť, aby sa možné obmedzenia základného práva na súkromie komunikácií zo strany inštitúcií EÚ vo svojich vlastných prevádzkach riadili rovnakými normami, ktoré sú stanovené v práve Únie podľa výkladu Súdneho dvora v tejto problematike.

92. EDPS víta, že návrh obsahuje samostatný článok venovaný úlohe EDPS ako poradcovi inštitúcií EÚ (článok 42 návrhu). Obáva sa však, že znenie „[v] nadväznosti na prijatie návrhov“ (na rozdiel od „pri prijímaní legislatívneho návrhu“ v článku 28 ods. 2 nariadenia č. 45/2001) môže spochybniť dlhodobý záväzok Európskej komisie viesť konzultácie s EDPS o pripravovaných návrhoch neformálnym spôsobom, zvyčajne vo fáze konzultácií medzi útvarmi. Vzhľadom na dôležitosť neformálnych konzultácií by EDPS uvítal odôvodnenie, v ktorom by Komisia znovu potvrdila svoj záväzok vykonávať túto dlhodobú prax. Takisto by bol za, aby sa v návrhu zachovalo znenie článku 28 ods. 2 nariadenia č. 45/2001 („pri prijímaní“), ktorým sa umožňuje širší priestor na manévrovanie v tomto smere. Domnieva sa, že článok 42 tak, ako bol navrhnutý, poskytuje dostatočné objasnenie príslušných úloh EDPS a DEPB, aby sa v budúcnosti predišlo zbytočnému zdvojeniu.

93. EDPS sa domnieva, že možnosť externého zadania funkcie zodpovednej osoby nie je vhodná pre inštitúcie EÚ vykonávajúce verejnú právomoc. V dôsledku toho by sa mala v článku 44 ods. 4 vypustiť druhá alternatíva („alebo môže plniť úlohy na základe zmluvy o poskytovaní služieb“).

94. EDPS víta článok 66 návrhu, ktorým by sa EDPS udelila právomoc ukladať správne pokuty. Domnieva sa, že odopretie možnosti orgánu dohľadu EÚ ukladať správne pokuty, ak je to vhodné, by spôsobilo, že by inštitúcie EÚ mali zvýhodnené postavenie v porovnaní s inštitúciami verejného sektora v mnohých členských štátoch.

95. EDPS sa domnieva, že certifikačné mechanizmy môžu byť veľmi užitočným nástrojom pre inštitúcie EÚ a v určitých kontextoch sa už využívajú, napr. na osvedčovanie dodržiavania súladu so všeobecne prijatými normami. Odkazy na používanie certifikácie (ale nie kódexy správania) by sa preto mali doplniť v článku 26 Zodpovednosť prevádzkovateľa, článku 27 Špecificky navrhnutá a štandardná ochrana údajov, ako aj článku 33 Bezpečnosť spracúvania.

96. Aj keď sú v tomto stanovisku uvedené niektoré oblasti, v ktorom by sa návrh mohol ešte zlepšiť, EDPS vyzýva zákonodarcu EÚ, aby dosiahol dohodu o návrhu čo najskôr, aby mohli inštitúcie EÚ využiť primerané prechodné obdobie pred úplným nadobudnutím účinnosti nového nariadenia. v rovnakom čase ako všeobecného nariadenia o ochrane údajov – v máji 2018.

V Bruseli 15. marca 2017 Giovanni BUTTARELLI Európsky dozorný úradník pre ochranu údajov

(1) COM(2017) 8 final; 2017/0002 (COD) (later, “the Proposal”).

(2) Article 286 EC rendered the (then) Community rules on data protection applicable to EU institutions and bodies and mandated the creation of a dedicated independent supervisory authority (later, the EDPS).

(3) Case C-518/07 Commission v Germany, EU:C:2010:125; Case C-614/10 Commission v Austria, EU:C:2012:631; Case C-288/12 Commission v Hungary, EU:C:2014:237; Case C-362/14 Maximilian Schrems v Data Protection Commissioner, ECLI:EU:C:2015:650.

(4) Case C-518/07 Commission v Germany, supra para. 19.

(5) Case C-288/12 Commission v Hungary, supra para. 53.

(6) See supra note 3.

(7) Decision No 1247/2002/EC of the European Parliament, of the Council and of the Commission of 1 July 2002 on the regulations and general conditions governing the performance of the European Data Protection Supervisor’s duties, OJ L 183, 12.7.2002, p. 1.

(8) Proposal for a Regulation of the European Parliament and of the Council concerning the respect for private life and the protection of personal data in electronic communications and repealing Directive 2002/58/EC (Regulation on Privacy and Electronic Communications), COM(2017) 10 final, 2017/0003 (COD).

(9) See Article 98 and recital 17 of the GDPR.

(10) See e.g. the EDPS Opinion of 7 March 2012 on the data protection reform package (OJ C 192, 30.6.2012, p. 7).

(11) EDPS Opinion of 7 March 2012 on the data protection reform package, p. 6.

(12) See in particular Article 6(3) and recital 10 to the GDPR: “Regarding the processing of personal data for compliance with a legal obligation, for the performance of a task carried out in the public interest or in the exercise of official authority vested in the controller, Member States should be allowed to maintain or introduce national provisions to further specify the application of the rules of this Regulation. In conjunction with the general and horizontal law on data protection implementing Directive 95/46/EC, Member States have several sector-specific laws in areas that need more specific provisions. This Regulation also provides a margin of manoeuvre for Member States to specify its rules, including for the processing of special categories of personal data (‘sensitive data’). To that extent, this Regulation does not exclude Member State law that sets out the circumstances for specific processing situations, including determining more precisely the conditions under which the processing of personal data is lawful.”

(13) E.g. last sentence of Article 6(1), Article 20(5), Article 27, Article 37, Article 41 or Article 46(2)(a) of the GDPR.

(14) See in particular the EDPS Opinion of 14 January 2011 on the Communication “A comprehensive approach on personal data in the European Union”, OJ L 181, 22.6.2011, p. 1.

(15) See supra note 5.

(16) Proposal for a Regulation of the European Parliament and of the Council on the European Union Agency for Law Enforcement Cooperation and Training (Europol) and repealing Decisions 2009/371/JHA and 2005/681/JHA, COM(2013) 173 final, now adopted as Regulation 2016/794 and published in OJ L 135 24.05.2016, p. 53; Proposal for a Council Regulation on the establishment of the European Public Prosecutor's Office, COM(2013) 534 final. See also the Council General approach [First reading] on the Proposal for a Regulation on the European Union Agency for Criminal Justice Cooperation (Eurojust) available at: http://data.consilium.europa.eu/doc/document/ST-6643-2015-INIT/en/pdf.

(17) EDPS Opinion 3/2015 “Europe’s big opportunity - EDPS recommendations on the EU’s options for data protection reform”, available at: https://secure.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/Consultation/Opinions/2015/15-10-09_GDPR_with_addendum_EN.pdf.

(18) See the list of EU institutions and bodies available at: http://publications.europa.eu/code/en/en-390500.htm.

(19) Regulation 45/2001 already today applies to, inter alia, the European Defence Agency, European Union Institute for Security Studies, and the European Union Satellite Centre.

(20) Europol, Eurojust, EPPO, supra note 21.

(21) Directive 2002/58/EC of the European Parliament and of theCouncil of 12 July 2002 concerning the processing of personal data and the protection of privacy in the electronic communications sector (Directive on privacy and electronic communications, OJ L 201, 31.7.2002, p. 37, as amended (later, “the ePrivacy Directive”).

(22) Recitals 10-12 ePrivacy Directive.